Оформление внедрения и использования DLP (часть 2)

Появилась новая запись в блоге посвященном борьбе профсоюза работников Cisco с самой Cisco по вопросу нарушения прав работника. Первая часть описывалась у меня здесь. 

Так вот, поступил ответ Департамента персонала Cisco, в котором они сообщают о том, что в обращении профсоюза не содержалось доказательной базы (документов, записей и т.д.) и соответственно получается разговор не о чем. Поэтому они не будут консультироваться с профсоюзом по данному вопросу, но если необходимо будет, то они всегда рады помочь. 

Интересная позиция. С одной стороны вроде бы правильная. Чем коллеги могут доказать свои обвинения? Как говорится "Разговор к делу не пришьешь.". Мало ли кто и что сказал. Профсоюз планирует обращаться с требованием о проверке фактов. Правда не понятно куда. И еще написать в ФСБ и Министру связи. Думаю правильно обратиться в правоохранительные органы. Но в ответ на запрос органов Cisco вполне может сообщить (и предоставить документы), что имеется соответствующая политика, инструкция, и согласие работника. А может быть и нет таких документов у Cisco (правда я в этом сомневаюсь). Или написаны они не совсем правильно. 

В общем буду следить. Очень интересная ситуация.

Оформление внедрения и использования DLP

Наткнулся на интересную запись в блоге на CNews. Вкратце речь идет о представлении на увольнение директора Cisco Systems  в России П.Бетсиса от профсоюза работников. Основанием послужило то, что в отношении работников организации проводилось служебное расследование (насколько я понял). Основанием для служебного расследования явились данные полученные из перехвата частной переписки по Gmail полученные якобы негласно. Интересная ситуация. С точки зрения сотрудников я согласен. Нельзя негласно собирать информацию. И тем более передавать ее кому то. 

Однако с точки зрения работодателя все немного по другому. Получается, что процесс использования DLP системы не был должным образом оформлен. 

Как я уже писал ранее, в таких случаях нужно получать письменное согласие работника на проведение контроля. Уведомлять работника о наличии системы DLP. Доводить под роспись запрет на обработку личных данных, а также запрет на личную переписку. В этом случае, сразу отпадает уголовно наказуемый негласный сбор информации. А имея согласие работника на контроль за его работой (в том числе и перепиской) и его обязательство не использовать средства для личной переписки будет сложно ссылаться на конституционное право.

В общем я надеюсь, что компания Cisco все таки грамотно внедряет свои системы. 

А работникам желаю, чтобы наоборот.

Infosecurity 2011 (день второй)

Вчера весь день посвятил Zecurion DLP Forum'11. Мероприятие проходило в зале №4 расположенном отдельно от основного зала выставки. На входе стояли бдительные девушки и без наличия фамилии в списке не пропускали. Сначала. Потом все таки пускали. У меня проблем не возникло, т.к. я отправил запрос на регистрацию днем раньше и получил подтверждение. Однако мой коллега этого сделать не смог и его сначала не пускали. Мотивируя это тем, что якобы у них на 150 мест 300 желающих. Но когда к началу форума зал был заполнен наполовину, все таки решили пустить. 

Всем раздали тряпочные сумки с материалами. Среди материалов был блокнот, ручка, программа форума и рекламный буклет с продукцией Zecurion DLP. Да и еще в каждой сумке лежала книга. У всех разная. Мне досталась книга Паоло Коэльо "Алхимик". Коллеге достался Жан Жак Руссо. Забавно. Программа форума состояла из трех сессий. Плюс в конце обещали чемпионат по картингу. Но я на него не пошел. Были дела дома. 

Форум начался не очень организованно. Т.к. большинство докладчиков опоздали. Но тем не менее начали вовремя. В первой сессии под названием "DLP-сегодня: задачи и возможности" выступал А.Раевский с докладом по теме "Стратегический подход к защите от утечек: какие бизнес-задачи решают современные DLP-системы". 

Потом выступил И.Шабанов из Anti-malware.ru. Но его доклад как то не впечатлил. Раевский был интереснее. 

Затем очень не плохо выступил М.Кардер из Cisco. И еще выступил Е.Климов из RISSPA. 

Во второй части под названием "Выбор DLP" выступали П.Савич из Websense с интересным докладом о потребностях клиентов и возможностях систем DLP. В частности, он пытался объяснить, что зачастую клиенты требуют от системы DLP возможностей, ктороые в жизни не очень нужны. Например, морфологический анализ. По его словам это не самое главное свойство DLP. И если его нет, то вполне можно обойтись звездочкой - договор*. 

Р.Подкопаев (Zecurion) с докладом "А что вам нужно от DLP?". Затем выступил О.Головенко из Symantec с обзором технологий DLP. 

Затем был довольно скучный (для меня) доклад А.Рогожина из Trustwave о DLP в контексте PCI DSS.

В третьей части под названием "Практика защиты от утечек: от внедрения до расследований", довольно интересно выступил А.Новиков из McAfee. Он рассказывал о сложностях при внедрении DLP. 

Затем было выступление представителя Group-IB. Он много рассказал о проведении расследований. Но не совсем понятно было при чем здесь DLP. И когда мы спросили использовались ли системы DLP и их логи при расследовании. Был получен ответ  "Нет". 

Очень интересно выступал К.Суворов из адвокатской конторы "Корельский, Ищук, Астафьев и партнеры" о том, насколько правомерно использование DLP в компании. И что необходимо для обеспечения правомерности. Т.к. по конституции все имеют право на тайну частной переписки. И за нарушение этого права грозит уголовная ответственность. Но и работодатель имеет право контролировать исполнение обязательств. Но чтобы не нарушать права работника нужно получить его согласие. Тогда работодатель прав не нарушает. Было много вопросов. Например, даже если нет DLP, то есть скажем антиспам фильтр, который просматривает почту. Формально нарушаются права на тайну переписки. Т.е. нужно согласие работника. Для себя определил, что надо наравне с согласием на обработку персональных данных, брать еще согласие на доступ к переписке. Плюс вводить режим коммерческой тайны и запрещение использования служебных средств в частных целях.

Напоследок было выступление К.Керценбаума. В своем докладе Керценбаум пытался довести до нас, что внедрение DLP это одно из последних средств.  А на начальном этапе многие вопросы можно закрыть простыми средствами. Внедрением антивируса, межсетевого экрана, систем IDS/IPS и т.д.

Вкратце все. В целом форум понравился. Почерпнул некоторую новую для себя информацию.

Документы в рамках ФЗ №152 (продолжение)

Вчера был пост про документы по ФЗ №152 и их внутреннему наполнению. Сегодня я наткнулся на ссылку на сайте Защита персональных данных, содержащую подборку документов необходимых в рамках ФЗ №152. Документы из тех же методических рекомендаций Министерства здравоохранения и социального развития. Подборка большая (26 документов) и на мой взгляд полезная. Желающие могут ознакомиться. Мне кажется если оператор сделает себе примерно такую же подборку, то вопросов от регуляторов будет гораздо меньше. 

Документы в рамках ФЗ №152

Просматривая перечень документов необходимых для выполнения требований ФЗ №152 "О персональных данных" обратил внимание на документы Инструкция пользователя ИСПДн, Инструкция администратора ИСПДн, Инструкция администратора безопасности ИСПДн. Возник вопрос, а насколько подробными должны быть эти инструкции? Будет ли достаточно инструкции размером в 2-3 страницы, описывающей основные действия пользователей и администраторов? Решил поискать в сети, какие варианты предлагаются обществом. Наткнулся на следующие варианты от Министерства здравоохранения и социального развития РФ (инструкция администратора безопасности, Инструкция администратора, Инструкция пользователя). Варианты весьма лаконичные. Но тем не менее описывают основные действия. Формально инструкция есть. Вопрос удовлетворит ли такая инструкция регуляторов? Может быть у кого то был опыт общения с регуляторами? Какие требования к таким документам?

Борьба с мошенниками

Во время моей работы в банке нам приходилось бороться с так называемыми дропами. Т.е. людьми, которые занимаются обналичиванием краденных денег через банковские карты. И большой проблемой были люди, которые открывали счет сначала в одном банке. Потом когда там закрывали их счет за такие операции обналичивания, они шли в следующий банк и так далее. Возникает вопрос, как узнать, что человек уже участвовал в схемах обналичивания или других негативных схемах и не открывать ему счет или применять некие средства контроля? 

И тогда возникла идея организовать обмен такой информацией между банками и заинтересованными организациями. Но как это сделать не нарушая закон о банковской деятельности и закон о персональных данных? Одним из вариантов видится объединение участников в некую сеть и организация обмена информацией на базе некоего сервера для обмена. Но при этом на сервере не должно храниться никакой информации. Т.е. это просто некий сервер для связи. 

Схема работы могла быть такой. Есть некое клиентское ПО. В него заносятся ФИО человека, его дата рождения и некая "Соль" для усложнения взлома хеша. Считается хеш полученной строки и результат передается на сервер. Сервер отправляет запрос наличия такого хеша членам сети. Соответственно, банк или другая организация получив запрос от сервера производит поиск по заранее просчитанным хешам известных ему дропов или мошенников. Если совпадение есть, то он отправляет серверу флаг. Таким образом, сервер получает от участников обмена флаги, говорящие о том, что на запрашиваемое лицо есть негатив. Но при этом сервер не фиксирует от кого получена информация и какой именно негатив. После получения всех ответов сервер передает результат инициатору запроса. Инициатор на основании количества флагов может принимать некие решения и учитывать риски. Например, ставя клиента на контроль. Таким образом мы не раскрываем информацию о клиентах, не передаем ПДн в открытом виде. 

Вроде бы на первый взгляд все должно быть хорошо. Возможно коллеги найдут уязвимые места такого алгоритма. Готов выслушать.

Мы персональные данные не обрабатываем!

Во время аудита на предмет выяснения ИСПДн очень часто в начале разговора возникает ситуация, когда опрашиваемый заявляет: "А мы никакие персональные данные не обрабатываем!". И все точка. Причин такого ответа может быть несколько. Основная это конечно же непонимание людьми, что такое персональные данные. Второе, очень часто считают, что персональные данные это только в отделе кадров. А у них в КИС или еще где то, это так, мелочи. Еще один вариант, когда люди путают обработку и работу. Аудиторы спрашивают про обработку понимая под этим все процессы. А люди понимают обработку это как в кадрах или бухгалтерии. А я не обрабатываю, я только получаю и отправляю. Но когда уточняешь, ведется ли работа с персональными данными, вот тогда люди начинают рассказывать больше. В общем аудитор должен быть большим психологом и уметь общаться с людьми. А иначе получится, что на словах никто ничего не обрабатывает, а на деле все наоборот.

Дешевле платить штраф

В связи с новой версией закона "О персональных данных" возникла ситуация, что закон уже есть. а подзаконных актов пока нет. Кроме того. не определены требования к техническим средствам защиты. И в связи с этим, многие компании даже не пытаются внедрять защиту ПДн. Т.к. по их подсчетам пока дешевле платить штраф. Особенно если нет внешних субъектов, а только сотрудники. Как уже замечал Емельянников в своем блоге, он также в последнее время сталкивается с разновидностью такой ситуации. Когда компании готовы внедрять нормативную часть, но не готовы техническую. Получается как всегда, закон есть. но выполняют его не все и не всегда. А причиной является само государство, не обеспечившее полноценную поддержку закону. И в результате хотели как лучше. а получилось как всегда.

Английский и персональные данные

Занесло тут меня намедни в EF-EnglishFirst на день открытых дверей. В ходе мероприятия просили заполнить анкеты. Просмотрев анкету, обнаружил необходимость писать свои ФИО, ФИО супруги, телефоны и т.д. и отсутствие каких либо строк о сборе моего согласия на обработку ПДн. Отловил сотрудника школы, и сообщил ей, что у них возможно проблемы с Федеральным законом №152 "О персональных данных". Т.к. они не получают согласие на сбор и обработку ПДн. К сожалению не смог пообщаться с директором. Но надеюсь сотрудница передаст мое послание. 

Вход по отпечатку пальца и персональные данные

В ходе рассмотрения вопросов внедрения двухфакторной аутентификации у руководства возникло предложение: "А зачем нам смарт-карты? Пользователь их может забыть или потерять. Давайте сразу отпечаток пальца! Всегда с собой, безопасность обеспечивает, факторов два. Красота.". В ходе дальнейшего обсуждения выдвигались тезисы, что биометрия выйдет дороже. Но, руководитель (все таки 21 век) тут же зашел в Интернет и нашел китайский сканер за 500 руб. На доводы о том, что это непонятное устройство от непонятного производителя. Не известен состав поставки, надежность, уровень ошибок 1 и 2 рода и т.д. Было сказано:"Зато 500 руб. А карты еще и менять нужно, т.к. они ломаются.". Тогда в ход пошел ФЗ №152. Ведь получается, что мы обрабатываем персональные биометрические данные. И соответственно должны их защищать сертифицированными средствами. А средства эти стоят денег. Ну и т.д.

Уже после встречи у меня возник вопрос, будут ли теперь в РФ развиваться биометрические системы аутентификации в свете ФЗ №152? 

Или может не все так плохо? Нужно еще раз изучить закон.