Правомерность удаленного подключения специалиста по информационной безопасности к ПК сотрудника компании - Форум по вопросам информационной безопасности

Доброго дня. Может кто-то из участников сможет помочь консультацией? Имеет ли право специалист по информационной безопасности удаленно заходить на ПК сотрудников и копировать файлы без уведомления об этом пользователя, файлы имеют важность по коммерческой тайне, но сделано это было после того, как сотрудник пытался подписать договор об оказании услуг в бухгалтерии, минуя директора, что явилось нарушением. С целью выяснения всех обстоятельств было принято решение зайти удаленно на ПК и скопировать файлы, которые впоследствии специалист по инфобезу передал директору через внутренний файлообмен. Но теперь специалиста обвиняют в несанкционированном доступе и потере важных папок (хотя их не удалял, лишь скопировал для передачи руководителю) и написали заявление в полицию.

>>было принято решение зайти удаленно на ПК
Кем и в какой форме (устной, письменной) было принято это решение?
И кто заявлял в полицию?

Ведущим специалистом по информационной безопасности было принято решение о копировании файлов с целью дальнейшей передачи директору. А в полицию заявление написал директор, так как сотрудник написал служебную записку по факту исчезновения папок. Было начато служебное расследование, без издания приказа о таковом, и предложено написать заявление на увольнение ведущему специалисту по информационной безопасности , который копировал файлы. Он отказался писать заявление об увольнении и тогда директор сказала, что в случае отказа уволиться добровольно, будет вызвана полиция и написано заявление о потере папок

Что побудило ведущего специалиста по ИБ самовольно (???) принять решение о копировании файлов?

Если, специалист ИБ следовал по утвержденному ЛНА, по какому-нибудь регламенту, разрешающему ему действия по копированию файлов, например, в рамках пресечения противоправной деятельности, то его действия легитимны. В противном случае, действия специалиста ИБ неправомерны и заявление в полицию вполне законно.

В целом, специалист ИБ может, в рамках регламентных работ, удаленно и без оповещения заходить на служебные ПК, но производить несанкционированные действия с информацией, подлежащей защите, он не имеет права, если это заранее не оговорено в ЛНА.

Также непонятно, что мешало восстановить картину происшествия, как минимум проверить кем были удалены папки, чтобы снизить накал и необоснованные обвинения?
В той же ОС Windows подобные действия (удаление папок и прочее) довольно хорошо фиксируются, а если спец по ИБ грамотный, то он заранее настроил подробное логирование всех действий в системе.

Спасибо за беседу и Ваше мнение. Вы очень помогли понять, кто был не прав.

Технически всё очевидно (кроме необходимости не скопировать, а удалить файлы).
Формально, все коммерческие продукты и документы на СЛУЖЕБНЫХ рабочих местах - собственность компании, поэтому передача их директору, как и контроль злоупотреблений (левые файлы,незаконные копии на внешний носитель и пр.) - прямая обязанность ИБ.
Единственная зацепка для нарушителя - был ли он об этом предупрежден под роспись (в служебных обязанностях, положении о конфиденциальности или иных внутренних нормативах).
То есть целесообразность понятна, прямого нарушения закона точно нет. А вот легализована ли легитимность контроля - вопрос к юристам фирмы.

*в сторону*
Есть мнение, что ведущему специалисту по ИБ следует валить "по собственному" из компании, которая при первом удобном случае обвиняет специалиста по ИБ в некорректном выполнении его обязанностей (в частности, расследование ИБ-инцидента с использованием тех инструментов, которые у специалиста были в наличии), не предоставляя ему при этом явно утвержденных и определенных заранее прав, полномочий и средств. Особенно, с учетом желания компании "вынести сор из избы" за счет привлечения полиции вместо того, чтобы спокойно восстановить картину событий, сделать выводы и утвердить нужную регламентацию на будущее...

Ну есть же какие то регламенты в компании, порядок действий, как так то? Изначально как специалист по ИБ берешь блокируешь учетную запись пользователя, уж на это имеет право любой ИБ-шник, не надо никуда лезть ни в какие файлы. Потом инициируешь служебную проверку и всё, дальше начинаешь этого товарища разматывать по полной. У нас так это делается. И заместитель директора по безопасности, которому мы подчиняемся в этом вопросе только за!

Нужно не просто блокировать УЗ пользователя, а отключать хост от сети, делать полный слепок-копию системы, чтобы не уничтожить улики и дальше уже проводить расследование.