"Ил" усилит контроль персонала
ПАО "Авиационный комплекс им. С.В. Ильюшина" ("Ил") планирует внедрить систему защиты от утечек конфиденциальной информации. Это следует из информации, размещенной на сайте госзакупок. Такая система позволит компании следить за перепиской и разговорами сотрудников, а также перехватывать переписку и вести запись действий и разговоров работников. Компания "Ил" определит исполнителя заказа на конкурсной основе. Начальная цена контракта - 128 млн руб.
По условиям закупки, участниками конкурса могут быть только субъекты малого и среднего предпринимательства. Закупка предполагает создание системы защиты от утечек конфиденциальной информации "Контур информационной безопасности" (DLP-система КИБ). Итоги конкурса "Ил" подведет 8 февраля.
Согласно техническому заданию DLP-система должна обеспечивать контроль передачи данных по следующим каналам: Skype, электронная почта, сервисы обмена мгновенными сообщениями (ICQ, QIP, MSN, Mail.ru Agent, Web Whatsapp, Yahoo Messenger, Jabber и т.п.), коммуникационные программы-клиенты Microsoft Lync, Viber Desktop и Telegram Desktop, а также чаты социальных сетей (Facebook, "Одноклассники", LinkedIn, "ВКонтакте" и др.), интернет-запросы форумов, блогов, чатов, служб интернет-почты, браузерных IM-клиентов. Контролироваться должна также печать документов, передача данных в облачные хранилища, документы на РС сотрудников, мониторинг активности пользователей в запускаемых ими приложениях. "Система должна обеспечивать следующие возможности по контролю действий сотрудников: запись событий на мониторах контролируемых РС, запись действий сотрудников посредством интернет-камер, подключенных к контролируемым РС, запись данных, вводимых с клавиатуры (в том числе нажатия системных клавиш и их сочетаний) на контролируемых РС, запись разговоров сотрудников как внутри офиса, так и за его пределами с использованием микрофонов контролируемых РС", - говорится в техзадании.
Общее количество рабочих мест заказчика, подлежащих мониторингу, - 25 тыс., общее количество защищаемых площадок (включая центральный офис ПАО "Ил") - 10. Назначение системы - обеспечивать контроль широкого спектра информационных каналов с целью выявления попыток передачи за пределы контролируемой зоны информации ограниченного доступа. Система создается для защиты бизнеса от внутренних угроз. С ее помощью руководство компании предполагает контролировать персонал из групп рисков, выявлять инсайдеров, мошенников, нелояльный персонал, противодействовать несанкционированному распространению конфиденциальной информации.
Генеральный директор Zecurion Алексей Раевский сказал в беседе с корреспондентом ComNews, что DLP-системы - сейчас очень популярная тема и внедряются достаточно активно. "Сейчас идет вторая волна этих систем. У них появляются новые функции, и они используются не только для защиты от утечек, но и для расширенного внутреннего контроля - для контроля сотрудников, внутреннего аудита и предотвращения внутреннего мошенничества. То есть у этих систем безопасности очень широкий спектр. В любой организации есть служба безопасности, они хотят, естественно, как можно больше знать, видеть и иметь как можно больше доступа к различной информации. У таких систем типичный набор функционала и возможностей, и все, кто их закупает, стараются использовать их в полном объеме", - пояснил Алексей Раевский.
Он рассказал, что внедрение таких систем идет на крупных предприятиях - где работает много людей и где есть достаточно средств, чтобы заниматься безопасностью. "Это и финансовая, и нефтегазовая отрасли, энергетическая и оборонная. Везде, где есть секреты, конфиденциальная информация и возможны внутренние злоупотребления среди персонала, используют такие системы", - добавил Алексей Раевский.
Вице-президент ГК InfoWatch Константин Левин сказал, что основные клиенты разработчиков DLP-решений - это банки, страховые компании, государственные организации. "Готовность компании внедрить такое решение определяется не столько количеством сотрудников, сколько важностью информации, которую необходимо защищать. Как правило, это персональные данные и коммерческая тайна. Более половины проектов InfoWatch в 2018 г. были реализованы в предприятиях промышленности, государственных и муниципальных учреждениях, в банковских и финансовых организациях, а также в компаниях нефтегазового сектора. Четверть внедрений обусловлено спросом со стороны предприятий сферы оптовой и розничной торговли, транспорта и логистики, энергетики, а также медицины и фармацевтики", - прокомментировал он.
"Спрос на решения для защиты от утечек год от года растет, мы видим это на своем примере. В 2018 г. спрос на проекты внедрения продукта для предотвращения утечек конфиденциальной информации и защиты бизнеса от внутренних угроз InfoWatch Traffic Monitor повысился на 25% по сравнению с прошлым годом. Основная доля проектов внедрений за год, более 95%, пришлась на новых заказчиков. На российском рынке сегодня представлено много решений класса DLP. Некоторые производители выстраивают систему защиты, основываясь на поведении пользователей, "подглядывают" за сотрудниками", - рассказал Константин Левин.
На взгляд Алексея Раевского, спрос на такие решения уже стабильно сформировался. "Вряд ли он будет серьезно увеличиваться. Особого роста спроса в ближайшее время ожидать не стоит, российский рынок тут достаточно стабилен. Сейчас идет стабильный рост рынка таких систем на 7-9%", - отмечает он.
Говоря о степени защиты информации при помощи таких систем, Алексей Раевский отметил, что 100%-ную гарантию вообще не дает никакой продукт. "Эти системы тоже. Все системы ИБ позволяют лишь снизить риск до приемлемого уровня. Хорошо, когда организация понимает, например, что "я заплачу Х денег и риск у меня при этом снизится до уровня Y". Об этом редко думают, просто расходуют средства на ИБ, потому что считают это необходимым", - поясняет он.
Руководитель отдела консалтинга в области информационной безопасности "Ланит-Интеграции" (группа компаний "Ланит") Алексей Трипкош сказал, что активность внедрения решений такого класса из года в год показывает разную тенденцию. "В 2013 г. мы могли слышать об этих системах чуть ли не на каждом углу. В 2016-2017 гг. был небольшой спад. Сейчас системы DLP опять являются одними из часто внедряемых продуктов информационной безопасности на российском рынке. Как правило, данные системы внедряются в компаниях, финансовая эффективность которых строится вокруг критичной информации - информации, составляющей коммерческую тайну, - и в компаниях видят риски, связанные с утечкой данной информации. Такие компании могут быть абсолютно в любой отрасли. Единственным ограничением является стоимость, поэтому такие решения чаще всего встречаются в компаниях сегмента enterprise", - комментирует он степень активности внедрения таких систем.
"Утверждать, что это повсеместная тенденция, точно нельзя. Все зависит от уровня зрелости организации, обратившей внимание на решения данного класса. Однако все больше компаний хотят быть уверенными, что их данные находятся под контролем. Практика внедрения DLP не является жесткой, так как внедрение этой системы сопровождается рядом организационных мер. Они связаны с разъяснениями работникам правил работы, запретом обрабатывать личную информацию на рабочих местах, в том числе пользоваться личной электронной почтой. Также применяются и технические мероприятия: каждая система должна быть настроена на отлов важной и критичной информации, а автоматические правила удаления легитимной информации должны защищать право на личную жизнь рядовых сотрудников. Уровень контроля может быть разным, все зависит от возможностей и целей системы. Иными словами, если работник добросовестно выполняет свои рабочие обязанности, это внедрение его не коснется. Отдельно стоит отметить, что система уведомляет администраторов только в случае нарушения политик, а не в постоянном режиме", - рассказал Алексей Трипкош корреспонденту ComNews.
Комментируя ситуацию на рынке таких систем, он сказал, что DLP-системы были довольно популярными несколько лет назад, но и сейчас спрос на них сохраняет стабильность. "В текущих реалиях российской экономики видится общий спад финансирования обслуживающих подразделений компаний. С другой стороны, ужесточаются требования по информационной безопасности, поэтому мне видится, что спрос на такие системы сохранит стабильность. Заказчиками DLP в компаниях являются в основном руководители департаментов ИБ, KPI которых зависит и от обнаруженных инцидентов информационной безопасности", - отметил Алексей Трипкош.
Управляющий партнер юридической фирмы Axis Pravo Алексей Сулин рассказал о том, что Конституция РФ провозглашает право граждан на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. "Нарушение этого права влечет уголовную ответственность, предусмотренную ст.138 Уголовного кодекса РФ, которая так и называется "Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений" и влечет максимальную ответственность в виде лишения свободы сроком до четырех лет. Вместе с тем пленум Верховного суда РФ в своем недавнем постановлении от 25 декабря 2018 г. пояснил, что конституционное право на тайну переписки и сообщений является нарушенным, когда доступ к сообщениям, переписке и переговорам совершен без согласия лица, чьей тайной данная информация является. Таким образом, для того чтобы легализовать слежение за своими сотрудниками, компании "Ил" необходимо заручиться согласием каждого работающего сотрудника. Очевидно, что это должно быть сделано в письменном виде. Проблемы могут возникнуть в случае, если часть работников откажутся давать согласие на слежку за собой, в то же время выразив отказ увольняться с предприятия по собственному желанию. В такой ситуации компании предстоят долгие трудовые споры либо дополнительные финансовые расходы на выплату компенсаций несогласным сотрудникам", - объяснил юридическую составляющую использования таких систем на предприятии Алексей Сулин.
