Компании следят за сотрудниками. Кто следит за офисными сотрудниками. Чем защищают тайны

Чтобы узнать, как работают подчиненные, не нужно подкарауливать их в курилке или в столовой. Есть более современные средства.

Наиболее распространенный способ сбора информации о сотрудниках - это видеокамеры с датчиками слежения. Но этот способ является также самым неудобным: ведь по российским законам над каждой камерой должна висеть табличка о том, что ведется видеонаблюдение. Это же касается и установки прослушивающих устройств: лицензию на аудиозапись может выдать только ФСБ, и вряд ли работодатель будет ее получать () . Те, кто все-таки устанавливает камеры наблюдения в офисах, все чаще используют сервис HighlightCam , который автоматически группирует происходящее по событиям. В том случае, если видеокамера фиксирует активность в наблюдаемой зоне, начальник получает письмо, в котором ему предлагается просмотреть данный фрагмент.

Но чаще всего работодателей беспокоит, чем именно занят сотрудник в течение дня за монитором компьютера. В этом случае он может просто запросить в IT-отделе распечатку сайтов, посещенных человеком в течение дня. Самостоятельно узнать свою статистику, если вы работаете на разных компьютерах, вы можете, скачав программу hooeey , - она отслеживает время и периодичность посещений интернет-страничек. Также, проставив метки, можно увидеть соотношение сайтов, просмотренных по рабочим и по личным делам.

Часто руководителю нужно знать, достаточно ли внимательно работник прочитал его письмо. Например, прошел ли он по всем ссылкам, упомянутым в сообщении. Для этого используется сервис LinkBlip - он генерирует ссылку, а потом отправителю приходит по почте уведомление о том, сколько человек и в какое время открыли эту ссылку из письма шефа. Кстати, заодно она зафиксирует и географическое положение кликнувшего.

Денис Разжигаев, директор Razzhigaev & Company в перечислил еще несколько способов «высокотехнологичной» слежки:

Еще в прошлом году The Times сообщила, что Microsoft разрабатывает программное обеспечение, которое заставляет вспомнить о "Большом брате". Оно позволит дистанционно отслеживать продуктивность сотрудников, их физическую форму и степень соответствия профессиональным требованиям. Microsoft уже подготовил патентную заявку на компьютерную систему, в рамках которой сотрудники будут соединены со своими ПК посредством беспроводных сенсоров, измеряющих параметры их метаболизма.

В свою очередь, компания Nicekit Software разработала программу Time Boss. Ее широкие возможности начинаются с простого регулирования времени работы на ПК до сбора статистики о пользователях и списка запрещенных или разрешенных программ и сайтов. Неавторизированный пользователь не сможет удалить Time Boss со своего компьютера даже в Безопасном Режиме, то есть программа хорошо защищена.

StatWin следит за работой сотрудника на одном компьютере. Разработчиком StatWin является компания SXR Software (автор - Виталий Дворак). Система контролирует начало и завершение работы пользователя, процессы, приложения, Интернет и посещенные сайты, активность и др.

Еще есть StaffCop , позволяющая предотвратить возможные утечки корпоративной информации из локальной сети благодаря осуществлению мониторинга email переписки, сайтов, ICQ / MSN сообщений, USB-устройств, доступа к файлам/папкам и снятию скриншотов экрана. А программа-шпион Actual Spy позволяет узнать, что другие делают за компьютером в ваше отсутствие. Перехватывает все нажатия клавиш, запоминает запуск и закрытие программ, осуществляет мониторинг файловой системы. Она абсолютно невидима во всех операционных системах.

Недавно на российский рынок вышла и компания PaperCut Software , которая представила программу PaperCut NG на русском языке. Это лидирующее в мире решение для контроля за печатью документов и использованием Интернета. PaperCut NG выдает квоты, записывает на счет и занимается мониторингом. Диапазон работы системы от контроля за квотами на печать до режима «платит пользователь». Она разработана для компаний, которым требуется следить за стоимостью распечаток. Система работает, позволяя пользователям посылать документы на печать под уникальными аккаунтами, параллельно осуществляя учет всех процессов.

Пока системные администраторы по указанию руководства компаний закрывают доступ на различные сайты сотрудникам, а те выдумывают обходные пути - игра в «кошки-мышки» продолжается. С программами воевать сложнее, их возможности расширяются с каждым годом. Но чего компьютерные программы не смогут никогда, так это заставить сотрудников на своем рабочем месте быть занятыми делом.

Каждая третья российская компания читает электронные письма работников, каждая пятая следит за тем, какие они посещают сайты, каждая десятая мониторит переписку в мессенджерах. Даже не очень богатым организациям доступны инструменты, которые позволяют в реальном времени контролировать всё, что происходит в компьютерах и мобильных устройствах сотрудников. Неважно, служебные это гаджеты или личные. Есть только одно исключение - разговоры по мобильному телефону. Но технологии, которые позволят их перехватывать, уже тестируются . Авторы и лоббисты «пакета Яровой» о таком могут лишь мечтать. «Секрет» расспросил эксперта в области информационной безопасности о том, как работают средства корпоративной слежки и все ли они законны.

Как следят

Программное обеспечение, которое следит за сотрудниками и контролирует их действия, делает информацию доступной работодателю сразу - ни в каком зашифрованном виде она не хранится. Такой софт действует локально и никак не связан ни с операторами, ни с провайдерами.

Во-первых, это так называемые программы-агенты, которые устанавливаются на компьютеры и считывают нажатия клавиш, делают скриншоты, фиксируют весь интернет-трафик. Таких программ на рынке сотни, так как они относительно легко пишутся. Приведу несколько примеров.

PC Pandora - скрывается в системе и контролирует весь компьютер и весь интернет-трафик. Делает снимки экрана, фиксирует клавиатурный ввод, действия на посещаемых веб-сайтах, контролирует электронную почту, мгновенные сообщения мессенджеров и собирает ещё много другой информации о работе пользователя. У программы нет папки, в которой она хранит свои данные. Всё загружается в операционную систему, и каждая новая установка на один и тот же или другой компьютер производится с новыми названиями файлов.

SniperSpy - производит мониторинг удалённого компьютера в режиме реального времени, делает снимки пользователя с веб-камеры компьютера, записывает звуки в помещении, где установлен компьютер, просматривает файловую систему, удалённо загружает файлы, просматривает и удаляет процессы системы и выполняет другие стандартные для шпионской программы функции.

Micro Keylogger - шпионская программа, которую не видно в меню, в панели задач, панели управления программами, списке процессов и в других местах компьютера, где есть возможность отслеживать работающие приложения. Она не подаёт признаков присутствия и не влияет на производительность системы, скрытно отправляет отчёт на электронную почту или FTP-сервер.

Во-вторых, есть DLP (Data Leak Prevention) - технологии предотвращения утечек конфиденциальной информации из информационной системы во внешний мир (и технические устройства для осуществления этой задачи). DLP-системы анализируют потоки данных, пересекающих периметр защищаемой информационной системы. Если в потоке обнаруживается конфиденциальная информация, срабатывает активная компонента системы и передача сообщения (пакета, потока, сессии) блокируется.

Такие решения контролируют поток, который входит, выходит и циркулирует в периметре. Сейчас речь о пространстве офиса. Физически это обычный сервер (или группа серверов), который анализирует весь офисный трафик. DLP-системы с помощью технологий инспекции пакетов (DPI) читают не только заголовки сообщений, где написано, кому должно уйти письмо, но и вообще все передаваемые данные.

Такие системы обычно работают в двух режимах: мониторинг и блокирование. В первом случае система просто мониторит и скидывает подозрительные вещи сотруднику, отвечающему за безопасность, а он это читает и решает, хорошо это или плохо. Во втором случае система настроена так, чтобы блокировать определённые вещи. Например, все сообщения, в которых содержатся медицинские термины - для этого в систему загружаются медицинские словари. Или все сообщения, в которых содержатся паспортные данные, информация про кредитные карточки, любые условия, какие вы можете вообразить. Вы пытаетесь отправить сообщение со словами, которые политика безопасности не пропускает, и у вас это сообщение просто не отправляется.

Наконец, есть специальные программы, которые предотвращают перемещение файлов на любой носитель, будь то флешка, жёсткий диск или что угодно ещё. Чаще всего такие программы являются частью большой системы безопасности и современных решений DLP. Обычно средства защиты комбинируют, потому что ни одно не защищает от всех угроз.

Что касается личных устройств в офисе, то домашние ноутбуки часто стараются запретить, их можно обнаружить с помощью программно-аппаратного комплекса класса Network Admisson Control (например, Cisco ISE). NAC - комплекс технических средств и мер, обеспечивающих контроль доступа к сети на основании информации о пользователе и состоянии компьютера, получающего доступ в сеть. Такие системы сразу видят и блокируют «чужой» компьютер. Даже если такой системы нет, с помощью системы DLP всё равно можно отследить, что с любого компьютера в сети офиса ушло за периметр.

Если человек всё время работает удалённо, на его личный компьютер ничего поставить невозможно. Другое дело, если работник что-то делает на своём домашнем компьютере, а затем подключается к корпоративной системе из дома. Для таких случаев есть решения по контролю привилегированных пользователей (CyberArk, Wallix). Они позволяют следить, что делает пользователь, работая из дома, записывая сессию на оборудовании в пределах контролируемой зоны. Речь, разумеется, только о компьютерах, которые удалённо взаимодействуют с сетью предприятия.

Если взять рабочий ноутбук домой, информация тоже будет считываться. Можно поставить такую систему, которая локально сохранит все данные и потом, как только человек придёт на работу и подключит компьютер к системе, они тут же считаются.

Слежка распространяется не только на компьютеры. Если вы сидите в интернете с телефона через рабочий Wi-Fi, система воспринимает его как обычный компьютер, ещё один узел. Всё, что вы посылаете через WhatsApp или через любое самое защищённое приложение, может быть прочитано. Раньше DLP-решения плохо справлялись с шифрованным трафиком, но современные системы могут прочитать практически всё.

Что касается мобильной связи, то пока звонки никак не отслеживаются. Но вот Наталья Касперская выступила инноватором и предлагает прослушивать разговоры работников в периметре компании. C появлением такой системы с любым телефоном, который попадает в периметр, можно будет сделать всё что угодно. Касперская говорит, что работодатели будут следить только за служебными телефонами. Но кто может это гарантировать? И сейчас компании рассказывают, что следят только за служебной перепиской, но на самом деле часто контролируется всё. Мне кажется, предложение Касперской - это очевидный перебор. С другой стороны, мы видим, что мир движется к максимальному ограничению личных свобод - и с этим, по-моему, уже ничего сделать невозможно.

Законные основания

Наше законодательство вроде бы не даёт никому права читать чужую переписку. Согласно статье №23 Конституции РФ гражданин имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, а ограничение этого права допускается только на основании судебного решения. К тому же существует 138-я статья Уголовного кодекса РФ, которая вводит уголовную ответственность за нарушение этой тайны (штраф или исправительные работы).

Тем не менее, работодатели считают, что слежка за работниками законна и даже необходима. Они исходят из того, что корпоративная почта принадлежит компании и должна использоваться только для выполнения служебных обязанностей (выплачивая работнику зарплату, работодатель, по сути, арендует его время).

Компания оплачивает интернет-трафик, используемый работником в личных целях в рабочее время. То есть, даже если человек переписывается по личной почте или в мессенджерах с помощью рабочего ноутбука или через рабочий Wi-Fi, подобные действия рассматриваются как удовлетворение личных потребностей за счёт организации.

Работодатель понесёт убытки в случае утечки данных, поэтому, объясняя необходимость слежки, компании ссылаются на закон «О коммерческой тайне» и, в частности, статью 10, которая регулирует меры по охране конфиденциальной информации.

Как регулируется слежка

Если грубо, вся переписка, осуществляемая при помощи средств, принадлежащих организации и по оплаченным ею каналам связи, является служебной - даже если она ведётся в нерабочее время. Поэтому если вы пользуетесь рабочим компьютером или рабочим Wi-Fi (даже через личный компьютер) - это уже и есть необходимое условие для слежки.

Рабочее время никак не регламентируется, обычно систему мониторинга никогда не выключают. Ведь любой более-менее грамотный работник может настроить систему так, что после того, как он уйдёт с работы, отправится письмо на почту, где он сольёт всё, что хотел слить. Зачем нужна система, если в ней есть такая огромная дыра?

Согласие работника

По закону работник не может не знать, что за ним ведётся слежка. Юристы считают, что использование программ контроля законно только при условии наличия соответствующего соглашения между работником и работодателем. Обычно при устройстве на работу подписывают трудовой договор, где написано, что служебная переписка будет контролироваться: юристы включают в договор пункт, согласно которому работодатель оставляет за собой право контроля деятельности работников в рабочее время. Есть отдельные соглашения NDA, где даётся определение конфиденциальной информации.

В уставах организаций, как правило, указано, что компания является собственником всех материальных, технических, информационных и интеллектуальных ресурсов, в том числе и служебной переписки, которая осуществляется работниками организации с помощью всех этих средств. Кроме того, в организациях обычно действует режим коммерческой тайны. Если система безопасности вводится на уже существующем предприятии, всем работникам дают на подпись соответствующие документы.

Если работник - фрилансер, с ним заключается договор подряда и в нём прописывают соответствующий пункт. Если договор не заключается, что у нас происходит часто, и слежка ведётся, то закон при этом, конечно, нарушается. Есть ещё фрилансеры, которые работают на почасовой оплате на фриланс-биржах вроде Odesk и Elance. Эти биржи обязывает фрилансеров устанавливать софт, которые делает скриншоты экрана каждые 5–10 минут. Это позволяет работодателю понимать, что оплаченное время было потрачено на работу, а не на что-то ещё.

Работнику сообщают о слежке, но подробно разъяснять механизмы никто не обязан. «Дорогой, твою почту, твои сообщения, твои походы на сайты контролирует система, поэтому будь аккуратнее» - так никто никогда не скажет. Даже если с офицером безопасности выпить пива, он не раскроет схему, потому что это будет нарушением его служебных обязанностей.

Ещё иногда оформляют поручительство, причём не в лоб говорят: «Давай ты дашь согласие на просмотр всей твой переписки», а по-другому: «Давай ты подпишешь поручительство, что компания будет проверять электронную почту на наличие всяких вредоносных программ, порнографии, сообщений, раскрывающих коммерческую тайну. Просто чтобы ты не попал в какую-нибудь неприятную ситуацию не по своей вине». Но так грамотно у нас редко кто поступает.

У человека всегда есть выбор: он может дать согласие быть под присмотром или поискать себе другую работу. Без ведома работника за ним будут следить, только если в чём-то подозревают, но это уже незаконно.

Что компания делает с полученными данными

Компании не читают всю переписку работников ежедневно. Да, в маленькой фирме директор может видеть и читать всё, но в больших компаниях систему настраивают на критичные вещи: ключевые слова, типы файлов, виды информации.

Обычно эксперт по безопасности сразу видит критические угрозы: у него бежит лента всего, что происходит, и в этой ленте обычные сообщения подсвечиваются зелёным, а когда загорается красный, он сразу обращает внимание и начинает проверять. То есть, если вы сидите в Facebook во время работы, вероятность того, что работник безопасности прочитает вашу переписку, не очень велика. Конечно, если в компании общение в Facebook не считается критической угрозой.

Как долго хранится собранная информация, зависит от политики безопасности и мощности оборудования. Маленькие компании могут хранить информацию на сервере годами, но более крупные - обычно несколько месяцев. Хотя это зависит даже не от числа работников, а скорее от объёма трафика. В одной компании много работников-бухгалтеров, и в Сеть они вылезают раз в день. В другой люди постоянно работают в интернете: ведут переписку, мониторят сайты.

На основе полученных данных работодатель может и уволить. Но обычно заканчивается увольнением по собственному желанию или по соглашению сторон. Работника мягко шантажируют: «Давай ты лучше уйдёшь по-хорошему, потому что мы можем и в суд подать».

Может ли сотрудник обнаружить слежку

При достаточной квалификации работник может обнаружить шпионские программы-агенты или программы по предотвращению переноса на носители, которые установлены на компьютер. Они, конечно, не лежат в тех папках, где находятся программы. Но если работник грамотный, он может их найти.

А вот DLP работники обнаружить не могут никак, потому что системы не установлены на компьютерах, они стоят на периметре. Если захочется приватности, единственный вариант - пользоваться в офисе для личных переписок телефоном и не подключать его к сети компании.

Можно ли оспорить слежку

Как я уже сказал, обычно работодатели приводят следующие аргументы в пользу слежки: это служебная переписка, и она никак не связана с 23-ей статьёй Конституции; если работник дал согласие, нет никаких нарушений; вся переписка работника - собственность предприятия; закон о коммерческой тайне позволяет делать вообще всё. На самом деле все эти утверждения можно оспорить в суде.

Во-первых, тайна переписки распространяется как на частную, так и на служебную переписку, и работодатель не может прямо получить от работника разрешение на чтение всей переписки, не ограниченное ни временем, ни другими факторами.

Во-вторых, нельзя просто заставить работников написать расписку о том, что они ознакомлены с тем, что вся их почта, в том числе личная, будет прочитана и последуют санкции вплоть до увольнения.

В-третьих, нельзя признать всю переписку работника собственностью предприятия, потому что есть право на электронное письмо - это авторское право. Грамотный работник может нанять юриста и сказать: «А это литературное произведение, на него распространяются авторские права, это результат моей интеллектуальной деятельности, он принадлежит мне». Суд вполне может встать на его сторону, если с ним работает хороший адвокат.

Наконец, нельзя всю личную переписку признать содержащей коммерческую тайну.

В идеальной ситуации работник и работодатель понимают, что делают общее дело, находят правильные решения и закрепляют их во взаимовыгодных соглашениях. Но в жизни, конечно, бывает по-разному.

Чья слежка эффективнее - бизнеса или государства

Сейчас компании следят за сотрудниками так, что государство о таком контроле только мечтает, а осуществить на практике не может. Государство не будет вставлять шпионские программы в каждый компьютер и вообще вряд ли справится с таким объёмом информации.

Когда какое-то предприятие защищает свой периметр, понятно, чего оно добивается - ограничивает распространение информации, которая для него критически важна. У государства эта задача не сформулирована, государство говорит: «А мы просто хотим знать и читать вообще всё». Как это сделать, государство не знает, потому что интеллектуальных систем, которые ему нужны, оно построить не может.

Тогда государство заходит с другой стороны - и появляется «пакет Яровой». Государство как бы говорит операторам связи: «Нужную систему мы построить не можем, поэтому давайте-ка вы будете хранить все данные, чтобы мы могли в случае чего прийти к вам, всё скачать и посмотреть, что там у вас происходило в течение длительного времени». На это нужно огромное количество денег. Это действительно очень сильно бьёт по личной безопасности граждан.

Если сопоставить системы, которые нужно построить в масштабах государства, с системами, которые сегодня есть у бизнеса, получится, что власти пытаются построить гигантский самолёт на 100 000 пассажиров вместо обычного. То, что сегодня есть у бизнеса, летает прекрасно, но перевозит при этом 100, 200, 500 или несколько тысяч человек. Как должен выглядеть самолёт на 100 000 человек? С какого аэродрома он сможет взлететь? На эти вопросы никто не отвечает. По моему мнению, это ещё один ненужный проект.

Если заниматься этим всерьёз, нужно строить интеллектуальную систему, которая будет указывать на критические действия, причём в режиме реального времени, а не хранить огромный массив данных, который никто не сможет обработать. Но лучше бы, конечно, государство совсем не читало нашу переписку без решения суда. Компании работник разрешает мониторить его письма и сообщения, потому что компания платит ему деньги. А государству, наоборот, платит гражданин. Так что это государство должно перед нами отчитываться, вместо того чтобы воровать и следить, как бы кто лодку не раскачал.

Фотография на обложке: Tim Taddler / Getty Images

В любой организации рано или поздно наступает такой момент, когда интуитивно работать с персоналом перестает быть возможным. Чаще всего это связано с ростом организации - в компании в 10-15 человек еще можно контролировать ситуацию в компании в ручном режиме, однако с большим количеством сотрудников руководитель начинает «тонуть».

Одновременно с этим возрастает риск инцидентов, связанных с безопасностью. Когда организация перестает быть небольшой группой друзей-единомышленников, а это неизбежно происходит вследствие роста, появляются задачи, связанные с уменьшением рисков от недобросовестного поведения работников.

Для получения объективной картины происходящего в компании, и, в частности, для обеспечения безопасности, применяются различные методы контроля персонала. Об организационных мерах в другой раз, я хочу поговорить сегодня о технической стороне вопроса и насколько разные методы эффективны.

СКУД + Видеонаблюдение

На классических производствах для контроля сотрудников службой безопасности обычно применяется связка СКУД + видеонаблюдение. СКУД (система контроля и управления доступом) чаще всего представляет собой следующее: у каждого сотрудника есть пропуск, который он прикладывает к считывателю у входа, - время прихода и ухода с работы логируется и контролируется. В качестве второго рубежа защиты используются записи с камер.

В случае с большими заводами и предприятиями часто находятся некоторые сотрудники, не испытывающие особенно теплые чувства к работодателю, зато обладающие достаточной «смекалочкой» - кто-то на входе «пробивает» пропуск не только за себя, кто-то пытается вынести продукцию с предприятия. Из-за этого иногда работа охраны на таких предприятиях превращается в бесконечные кошки-мышки с работниками.

В случае возникновения подозрений - охрана предприятия берет на контроль сотрудника, просматривает видеозаписи или может обыскать его на выходе. Для защиты от выноса продукции такой метод защиты более-менее эффективен, однако в контексте информационной безопасности он беспомощен - для этого уже требуются программные средства.

Бесплатные и системные средства

В случае с контролем работы персонала в современных офисах ситуация становится сложнее - рабочий день чаще всего не нормирован, да и контролировать в компаниях нужно далеко не только физическое присутствие.

Для контроля рабочего времени можно применять тот же СКУД или выгружать данные из Active Directory. Иногда контроль рабочего времени интегрирован в CRM-системы. Проблема в таком случае очевидна - все, что находится за пределами CRM-системы, контролю не поддается.

Почту и месенджеры можно контролировать с помощью снифферов (модулей, перехватывающих сообщения) - проблема лишь в том, что тогда придется пожертвовать антивирусной защитой рабочих компьютеров. Подавляющее число антивирусов не даст запустить такие программы на компьютере.

В облачных продуктах для бизнеса от Google и Microsoft (Google Apps Unlimited и Office 365 Business, соответственно) есть возможность настраивать правила, которые проверяют почту и документы сотрудников на наличие ключевых слов или типов данных. Это, конечно, не замена полноценной системы безопасности, однако применение может найти. А для контроля отдельных аспектов работы сотрудников можно использовать и бесплатные средства удаленного доступа.

Силами системных администраторов со всеми перечисленными средствами можно получить какую-то систему контроля персонала. Однако контроль таким способом будет как минимум неполным, а систематизация и учет получаемых данных сведет с ума ответственного за это работника.

Примерно такой же итог ждет безопасника, который попробует решить вопросы безопасности без специального программного обеспечения- для этого понадобится несовместимое с эффективной работой количество «костылей».

Системы учета рабочего времени и контроля сотрудников

Этика анализа переписки сотрудников вызывает вопросы и споры - однако перехват применяется повсеместно, особенно в крупных компаниях. Основная задача - защита конфиденциальных данных компании от инсайдерских угроз. Также анализ внутренних коммуникаций часто используется и для выявления нелояльных сотрудников. Яркий пример - громкое увольнение «Яндексом» ряда сотрудников купленного им сервиса «Кинопоиск». По мнению уволенных, причина в острой критике перезапуска сервиса во внутреннем чате сотрудников. Согласно заявлению «Яндекса» - сотрудники в этом чате разглашали коммерческую тайну третьим лицам (бывшим коллегам). Как бы то ни было, неприятная для компании ситуация была обнаружена сотрудниками безопасности, причем наверняка вследствие использования DLP-системы (от англ. Data Leak Prevention - предотвращение утечек данных) или аналогичного продукта.

Кастрированным вариантом DLP-систем являются так называемые системы контроля персонала. Чаще всего они представляют собой «упакованный» пакет снифферов для какого-то количества популярных каналов коммуникации, вроде Skype, электронной почты или социальных сетей, дополненный возможностью удаленного подключения к рабочему столу сотрудника и кейлогером.
С помощью такого инструмента можно видеть время работы сотрудников, контролировать их действия за рабочими и компьютерами и вести частичный мониторинг переписки. В принципе для совсем небольшой компании этого может быть достаточно, однако для качественной работы нужны более комплексные решения.

DLP-системы

Более технологически изощренными являются DLP-системы. Если снифферы и «средства контроля сотрудников» просто перехватывают информацию, то DLP-системы идут дальше - вместе с перехватов еще и автоматически анализируют перехваченную информацию. Таким образом задача по поиску «вредной» информации перекладывается с плеч сотрудника безопасности на машину. Ему нужно лишь грамотно настроить правила и обращать внимание на сообщения системы о инцидентах.

Вариантов этих правил и методов анализа очень много - можно сделать уведомление о запуске на рабочей станции какого-либо процесса, проверять переписку на регулярные выражения (например, ИНН или паспортные данные) или настроить уведомление и блокировку передачи на USB-носитель определенного формата файлов - в общем, можно автоматизировать все и вся.

Большинство таких систем также умеют распознавать транслитерованный текст (napisannyi latinskimi bukvami), изменения в расширении файлов и прочие возможные ухищрения потенциальных злоумышленников.

При всем при этом стоит помнить, что насколько бы эффективный метод контроля не использовался - он окажется беспомощен при отсутствии в компании адекватного менеджмента и корпоративной культуры. С другой стороны, даже в самой лояльной по отношении к работникам организации всегда есть вероятность появления «слабого звена» и в отсутствии контроля это звено может причинить немалый ущерб. Поиск баланса между этими двумя крайностями и есть самая главная задача для службы безопасности и руководства.

Компания разработала программу, которая позволит работодателям прослушивать и анализировать разговоры сотрудников по мобильному телефону. Появление подобного инструмента уже обеспокоило тех, кто посчитал его вторжением в частную жизнь. Насколько уместно существование личной жизни в рабочее время - вопрос отдельный. Но инструменты, позволяющие работодателям контролировать работу сотрудников, существуют уже не первый год и даже век. Они всегда в той или иной степени ограничивали свободу работников.

Сначала, например, для контроля рабочего времени были введены журналы регистрации, затем им на смену пришли системы электронных пропусков, позволяющие понять, кто опаздывает или слишком часто отлучается, и видеокамеры, фиксирующие то, чем заняты сотрудники в рабочее время. В наши дни они уже никого не удивляют.

"Сейчас средства видеонаблюдения и контроля доступа уже фактически стали нормой, сотрудники воспринимают их как должное, практически не задумываясь", - отмечает Михаил Самошкин, ведущий специалист по информационной безопасности группы компаний .

Отследить причину

Он также объясняет, что работодатели, которые устанавливают наблюдение за персоналом, как правило, преследуют две цели. Во-первых, обеспечение безопасности, в основном экономической и информационной, иногда и физической (например охраны труда на производстве), и во-вторых - повышение эффективности работы сотрудников.

Причем чаще всего следят именно ради эффективности. А для предотвращения утечки важной информации используют запретительные меры. Например, специальные программы, просто не позволяющие сотрудникам использовать личную флешку.

Что касается эффективности, то здесь, считает доцент Санкт-Петербургской школы экономики и менеджмента НИУ ВШЭ - Санкт-Петербург Елена Кудрявцева, работодателю прежде всего интересны следующие вещи: структура рабочего времени, то есть то, чем в течение дня занят сотрудник, и то, насколько адекватно сотрудник использует то или иное программное обеспечение (нередко дорогостоящее). В решении этих вопросов, если речь идет об офисе, уже могут помочь только современные программы: при помощи обычного видеонаблюдения определить, чем именно занят сотрудник, сидящий за компьютером, достаточно сложно.

Оставить отпечаток

Разработки же последних лет решают эти и многие другие задачи. Сейчас набирает популярность контроль сотрудников при помощи специальных программ - их используют около 10-15% российских компаний. В Европе таким образом за сотрудниками следят около 70% компаний, в США - более 80%.

Прежде всего работодателей привлекает стоимость таких программ, она начинается от 1 тыс. рублей. Кроме того, установить программное обеспечение проще, чем поставить в офисе несколько видеокамер, а спектр применения гораздо шире.

Например, программа Mipko Employee Monitor, которую можно установить на любой компьютер, позволяет записывать общение сотрудников в социальных сетях и мессенджерах, делать снимки экрана и рабочего места (при помощи веб-камеры) и фиксировать нажатие каждой клавиши. Все это позволяет определить, действительно ли сотрудники работают или просто создают видимость. Кроме того, при утечке тех или иных данных фотографии монитора послужат доказательствами того, что к этому причастен кто-то из компании. Правда, отмечают в "Мипко", чаще всего работодатели начинают интересоваться приобретением программы уже после того, как слив информации однажды произошел.

Система "Стахановец", кроме прочего, может распознать "клавиатурный почерк" того или иного сотрудника и определить, кто создал определенный документ, даже если работник схитрил и использовал чужой компьютер. Перехват телефонных разговоров с помощью "Стахановца", кстати, тоже возможен. Кроме того, система может вычислить, не печатает ли сотрудник доклад для племянницы на рабочем офисном принтере.

Иначе работает система "БОСС Контроль" , которая в каком-то смысле является своеобразной альтернативой электронной системы пропусков. Состоит она из двух частей - сервиса обработки данных и специальных терминалов. Последние, сканируя отпечатки пальцев, фиксируют время прихода и ухода сотрудников, а также делают фотографию работника. Затем сервис получает данные и формирует соответствующие отчеты для руководителей и бухгалтерии.

"Фотография нужна для того, чтобы застраховаться от сбоев системы, собирающей биометрические данные (отпечатки), которых трудно избежать в любых подобных системах. Если отпечатки по какой-то причине не будут считаны, то фотография все равно сможет доказать, что тот или иной сотрудник явился на работу", - поясняет директор по развитию бизнеса ООО "Биометрические технологии" Григорий Улькин.

В компании также рассказывают, что отличие "БОСС Контроля" от обычной системы электронных пропусков в том, что она помогает выстроить процесс учета рабочего времени в соответствии с нуждами конкретной компании. Григорий Улькин рассказывает, что чаще всего подобной системой пользуются работодатели из сферы услуг. Например, ее применяют в ресторанах, где важно не запутаться, кто кого подменил во время той или иной смены. Также систему используют строительные компании, которым необходимо учесть, что за сотрудники работали на определенном объекте. А вот производственные предприятия к таким услугам прибегают редко.

Программа CrocoTime также помогает вести учет рабочего времени. Но ее цель - не отслеживание присутствия сотрудника на рабочем месте, а мониторинг использования им различных программ и сайтов. Такая система помогает понять, кто проводит все рабочее время в социальных сетях, а кому необходимо дополнительное обучение, так как он не умеет пользоваться необходимыми программами.

"Один из наших клиентов обнаружил у себя сотрудника, который играл в “шарики” по 5-6 часов в день. В другой компании в офисе любили смотреть фильмы (те же 5-6 часов). Если не учитывать такие “вопиющие случаи”, то среднее количество времени, которое сотрудники тратят на работе впустую, варьируется от 15% до 30%", - рассказывает основатель и генеральный директор CrocoTime Александр Бочкин.

Тем не менее, в CrocoTime отмечают, что они решительно против контроля за личной жизнью сотрудников и сама система не может просматривать ни личную переписку, ни пароли от сайтов. Верхний предел наблюдения – заголовок активного окна.

Сами не рады

Отношение сотрудников к появлению в офисе тех или иных программ контроля обычно колеблется от безразличия до резкого неприятия. Некоторые производители программ для контроля за персоналом могут заверять, что сотрудники бывают даже рады введению таковых, например, в тех случаях, когда работник чувствует, что его труд недооценен, а коллега, выполняющий меньше работы, получает завышенную зарплату. Но рекрутеры признаются, что о таких случаях они не слышали.

"Я бы не стала говорить о радости со стороны сотрудников. Радоваться таким вещам для нашей культуры совершенно не характерно. Возможно, где-то в Европе, особенно в северной, сотрудники могут с радостью отнестись к введению системы слежения, но у нас речь в основном идет о понимании. Если человек понимает необходимость введения данных мер, тогда он спокойно относится к происходящему", - говорит Елена Кудрявцева.

Генеральный директор кадрового агентства iChar Иван Осипов также рассказывает, что ни разу не сталкивался с ситуацией, когда бы сотрудники были рады установленному за ними наблюдению. "В нашей практике даже были случаи, когда кандидаты, прошедшие все этапы длинного пути собеседований, отказывались работать на очень лакомых должностях из-за того, что оказывалось, что за ними следят. Тем не менее эти вакансии довольно быстро закрывались менее щепетильными кандидатами", - поясняет он.

Наблюдательное право

Часто сотрудникам подобные меры кажутся неправомерными, особенно если последние приводят к их увольнению. В начале этого года Европейский суд по правам человека вынес решение по делу, широко известному как Барбулеску против Румынии. Началось оно с того, что инженер из Бухареста Богдан Барбулеску в 2007 году был уволен за нарушение правил внутреннего распорядка. По факту причиной увольнения стало то, что инженер использовал установленный на рабочем компьютере мессенджер для переписки с невестой и братом. Когда Барбулеску начал отрицать ведение личной переписки, работодатель продемонстрировал ему распечатки всех сообщений за последние 8 дней. Тогда инженер решил, что его право на тайну переписки было нарушено, и обратился в суд. Румынские суды жалобу сотрудника несколько раз отклоняли, и он в итоге дошел до , где ему разъяснили, что раз истец был предупрежден о возможности проверки и был знаком с правилами компании, не допускающими ведения личной переписки, то увольнение следует признать законным.

В российском судопроизводстве подобные процессы также встречаются нередко. В большинстве случаев суды спокойно относятся к чтению переписки работодателями, даже если письма отправляются не с корпоративного, а с личного рабочего ящика, но с рабочего компьютера. У работодателя действительно есть право контролировать то, как сотрудник исполняет свои обязанности. Более того, рабочий компьютер считается оборудованием, предназначенным исключительно для выполнения трудовых обязанностей, в связи с чем вопросы о неприкосновенности личной переписки отпадают. А ссылка на 23 статью Конституции, в которой говорится о неприкосновенности частной жизни, становится бессмысленной. Тем не менее работник в соответствии с ч. 1 ст. 21 ТК РФ имеет право на получение полной информации об условиях труда. То есть все, что необходимо сделать работодателю, - просто предупредить о возможных проверках. Для этого достаточно внести соответствующие изменения в трудовой договор или выпустить отдельный приказ под подпись каждого сотрудника.

Как правило, о необходимости предупредить сотрудника о наблюдении напоминают и сами производители соответствующих программ. В ООО " " даже объясняют, что настаивают на том, чтобы работодатель структурировал работу по информированию сотрудников о сборе биометрических данных.

Представитель компании "Мипко" Владимир Жилинский объясняет, что иногда сам факт предупреждения уже мотивирует работников не отвлекаться от непосредственных обязанностей. "Вот появилось у бухгалтера на мониторе окно, что за его компьютером ведется наблюдение, и тот уже не открывает "Косынку", а продолжает работать", - иронизирует он.

Выделите фрагмент с текстом ошибки и нажмите Ctrl+Enter

В российском законодательстве больше 60 видов тайн и иной информации ограниченного доступа - начиная от пресловутых персональных данных и тайны связи и заканчивая банковской тайной и инсайдерской информацией. Все эти тайны принадлежат либо обычным людям (например, тайна переписки или тайна исповеди), либо предприятиям (например, коммерческая или служебная тайна).

Но причастность к тайне накладывает ответственность - её обладатель должен сделать так, чтобы тайна не попала в посторонние руки. В одних случаях (например, в отношении персональных данных или банковской и служебной тайны) за соблюдением защиты информации следит государство, в других - защиту обеспечивает непосредственный владелец.

Чем защищают тайны

Итак, оставим в стороне частные тайны. Вы работаете в обычной компании, всё идет своим чередом, но коллеги иногда в шутку рассказывают, что все сотрудники под колпаком. Что рабочую почту не стоит использовать для романтических переписок, что все посещённые сайты, а также остальная ваша рабочая активность за компьютером проверяются и анализируются неразговорчивыми людьми из отдела информационной безопасности. Что происходит на самом деле?

Одним из основных средств по предотвращению утечек в компаниях являются программы класса DLP (Data Leak Prevention, "Предотвращение утечки данных" в пер. с англ.).

Задача DLP - контролировать обмен информации работниками по электронной почте (в том числе через браузер), переписку в чатах, посты в соцсетях и блогах, а также сетевые принтеры и всевозможные внешние устройства хранения, будь то USB-диски или карты памяти.

Конечно, это далеко не все каналы, которые могут быть использованы для случайной или целенаправленной утечки данных, но они являются самыми распространёнными. По мере развития технологий некоторые системы DLP уже обучились отслеживать IP-телефонию или даже корпоративные сотовые телефоны, но пока такие "универсальные солдаты" скорее исключение, чем правило.

Как DLP-системы ловят за руку

Самой очевидной разновидностью средств по предотвращению утечек являются сетевые решения. Такие DLP называются in motion , в их задачу входит анализирование данных, которые передаются внутри сети. К примеру, такие системы пристально наблюдают, какой информацией обмениваются друг с другом сотрудники, но доступа непосредственно к компьютерам и другим оконечным устройствам они не имеют. А значит, шифрование легко собьёт их с толку.

Так что же, достаточно включить Skype и вы неуловимы? Конечно, нет. На сцену выходит ваш личный кибернадсмотрщик типа in use . Он устанавливается непосредственно на рабочий компьютер, ноутбук или смартфон. Ему подвластны практически все каналы взаимодействия - от Bluetooth до портов USB и набираемого на клавиатуре текста.

От такого DLP-инструмента не спасёт ни мессенджер со сквозным шифрованием, ни браузер Tor, а обнаружить сам факт его присутствия практически невозможно, если ваши специалисты по информационной безопасности знают свое дело. Они просто не имеют права предоставить вам, к примеру, корпоративный ноутбук, не подготовив его к работе должным образом.

Конечно, мессенджерами и поиском в сети работа in use не ограничивается. Хороший DLP-инструмент этого типа в курсе практически всего, что происходит с компьютером. Какие файлы были записаны на флешку? Какой документ вы послали на печать? Правильно настроенная программа без лишнего шума перехватит данные и заблокирует подозрительную операцию или, наоборот, даст добро и пропустит до адресата.

Третий тип - это DLP-программы дляконтроля сохранённых данных или at rest . Такие "антишпионы" анализируют информацию на локальных и внешних (на USB-носителях или CD), а также удалённых хранилищах (например, на файловых серверах или облачных платформах).

Общую ситуацию, когда с вами начинает работать инструмент at rest , можно описать так: вы приходите на рабочее место с личным ноутбуком, включаетесь в общую сеть, а специалисты по безопасности не могут получить полный доступ к вашему гаджету.

Такая система регулярно будет сканировать все доступные папки и файлы в дистанционном режиме в поисках следов защищаемой информации. Например, только так можно следить за тем, что ваши коллеги выкладывают в Facebook или загружают на Dropbox и "Яндекс.Диск".

Как обмануть систему?

Гарантированно ли поймают вас DLP- программы, если вы захотите "слить" ценные данные конкурентам? Как показывают исследования, нет.

Дело в том, что их цель - случайные утечки. Именно на них по статистике приходится до 90 - 95% нарушений конфиденциальности данных. В то же время более-менее подкованный в сфере ИТ пользователь вполне способен обойти все системы DLP.

Шифрование. Как мы уже рассказали, для большинства инструментов DLP-шифрование становится непреодолимой преградой. Шифровать можно что угодно - от сообщений в чатах, до файлов и электронных писем.

Фото- и видеосъёмка. Нет ни одного инструмента против съёмки экрана монитора, кроме, разве что, постоянного наблюдения за работником. Да и то, обычно в таких случаях факт утечки можно установить только постфактум, когда чёрное дело уже будет сделано, а вы получите 30 серебряников.

Маскировка. Ещё одним очень эффективным методом сокрытия факта передачи конфиденциальной информации является стеганография (тайнопись). Она основана на маскировке - нужная информация прячется, на первый взгляд, в ничем не примечательных документах, например, в картинках или музыкальных файлах. Большинство DLP-решений просто не умеют работать со стеганографическими методами, ведь в отличие от зашифрованных данных информация после стеганографической обработки не вызывает подозрений.

Какое они имеют право?

Действительно, гражданское право на тайну переписки и телефонных переговоров закреплено законом, а нарушить его можно только по решению суда. Получается, что некоторые DLP-системы если и не вне закона, то как минимум балансируют на грани его нарушения? Не совсем так.

В качестве защиты производители DLP-систем заявляют, что их программы ничего не нарушают, и они правы - само программное обеспечение не является субъектом права и не может ничего нарушать. Зато нарушает человек, например, сотрудник службы информационной безопасности, который использует результаты работы DLP.

Сейчас в России сложился определённый баланс между интересами работодателей и конституционными правами граждан. С одной стороны организации обязаны по закону защищать информацию и предотвращать утечки собственных данных и принадлежащих государству. С другой стороны, у граждан есть вполне разумное желание знать, когда их контролируют и является ли данная деятельность законной, а отстаивать свои интересы в суде они пока не научились.

Среди участников процесса нет единства. Одни считают, что "слушать" коммуникации сотрудников нельзя ни при каких условиях. Другие рассматривают возможность читать чужую переписку при условии, что она ведётся на служебных компьютерах и мобильных устройствах. Третьи ставят обязательное условие - получить согласие работника на мониторинг его активности. Четвёртые же и вовсе говорят, что работодатель имеет право защищать свои права и законные интересы, применяя любые официально продаваемые в России средства.

Но в любом случае не лишним будет напомнить, что в переписке или телефонных разговорах обычно участвуют два человека и конституционные права должны быть соблюдены для обоих, а не только для своих сотрудников.