Обсуждение корпоративного сниффера pTraffer - Форум по вопросам информационной безопасности

Ну хоть через задницу, но вернулись к теме обсуждения поста, это радует. )))

Ещё раз озвучим описанные выше несколько "если":

- если работник обязуется не использовать например электронную почту в личных, а только в служебных целях
- если работник даёт своё согласие на проверку своей электронной почты
- если работодатель чётко регламентировал и описал процесс контроля и работник согласился с ним

Что может юридически помешать работодателю контролировать данный канал передачи информации?

П.С. - тема содержащихся там ПДн и К информации интересна - то здесь предлагаю на неё не переходить т.к. она слишком шировка, так сказать.

П.П.С. - если гражданин не может по своей воле нарушать конституцию, это равносильно тому что он самостоятельно не может выписаться из квартиры (т.к. государство обязано обеспечить его крышу над головой), не может совершить преступление УК РФ и тому подобное. Ещё раз предлагаю это здесь не осуждать т.к. это отдельный "холивар".

"- если работник обязуется не использовать например электронную почту в личных, а только в служебных целях"

То это не значит, что эта СЛУЖЕБНАЯ переписка не содержит сведений, составляющих тайну личной жизни, самого ли работника или его корреспондента.

"- если работник даёт своё согласие на проверку своей электронной почты"

то это согласие юридически ничтожно в силу априорного непризнания трудовым кодексом ю\ридической силы любого отказа работника от своих прав, установленых иными законами.

"- если работодатель чётко регламентировал и описал процесс контроля и работник согласился с ним"

то он подписался под тем, что осознанно и преднамеренно нарушил устанрвленное Конституцией неотчуждаемое право работника и совершил тем самым уголовное преступление.

Т.е. при всех перечисленных вами мерах нарушение тайны переписки осталось нарушением тайны переписки. И единственное, чем вы обосновываете отсутствие этого нарушения - утверждение о том, что тайна переписки - обязанность поставщика возмездной услуги связи. Это неправда, вы перепутали тайну переписки и тайну связи, что есть принципиально разные вещи.

"если гражданин не может по своей воле нарушать конституцию, это равносильно..."

Это равносильно только тому, что у пользователя вашей системы есть определенные правовые проблемы, которые вы не готовы обсуждать. Эти проблемы не сильно наказуемы, но они есть :)

Из всех разработчиков DLP я с искреним уважением отношусь к Инфовотчу за то, что они честно признают существование этой проблемы и предупреждают о ней потребителя.

Ага... а еще незаконная предпринимательская деятельность вырисовывается (нарушение 128-ФЗ) ну и если в самом ПО покапаться и посмотреть как его можно использовать - то и распространение вредоносного ПО прилепить...

Бегите..... пока не поздно... сюда сотрудники ФСБ и ФСТЭК иногда заглядывают......

А вот это уже интереснее - и как же с этими вопросами справляются такие гиганты как сирчинформ, или тот же инфовоч? Я посмотрю к ним никто притензий не предъявляет.

Если рассуждать дальше - они и не оказывают каких-то услуг, а предлагают некое ПО для контроля... той самой безопасности.

Ну вы для начала внимательней ознакомьтесь с тем что они хотябы заявляют - и сравните с тем, что предлагаете вы: не надо быть 7 пядей во лбу, чтобы заметить разницу....

...Если не понятно: не надо путать непосредственное чтение трафика и сигнализация нарушений (или блокирование) при совокупности определенных событий...

Хотя у них тоже косяков хватает...

А я здесь что-то предлагал? ) Я как раз за тем чтобы обсудить вышеописанные вопросы.

Хорошо - а как же тогда быть со снифферами вроде ваёршарка и обычного TCPDUMP? С технической точки зрения функции с тем что "я предлагаю" одинаковы. Единственное очевидное отличие это бесплатность, но ведь очевидно что если "предложенная мной" система станет бесплатной правовые аспекты её использовнаия ни чуть не поменяются. Как быть с ними?

П.С. - Намёк понял

"А вот это уже интереснее - и как же с этими вопросами справляются такие гиганты как сирчинформ, или тот же инфовоч? Я посмотрю к ним никто притензий не предъявляет."

А к ним (и к вам) никаких претензий нет. Претензии могут возникнуть только пользователям продукта, и то только потому, что они нарушают тайну переписки - и неважно, с помощью какого инструмента они это делают. Впрочем, я не представляю, как его за это можно наказать.

Единственное, чего я настоятельно не советую делать - утверждать, что использование средств просмотра переписки законно, поскольку это не так :)

"Хорошо - а как же тогда быть со снифферами вроде ваёршарка и обычного TCPDUMP?"

Вопрос не в том, какой инструмент используется, а для чего он используетс и не нарушаются ли при этом права и законные интересы других лиц.

Я вам честно скажу - мы в своей деятельности тоже сталкиваемся с подобным. Скажем, когда в ходе теста на проникновение специалист получает контроль над почтовым сервером заказчика или над АБС - он попадает в ситуацию ,аналогичную использованию вашего продукта. Сам по себе тест на проникновение не является чем-то незаконным: заказчик разрешил нам выполнить эти действия, Но он не вправе давать нам разрешение на получение доступа к чужой переписке или к банковскоцй тайне своих клиентов, и в отношении этих систем его разрешение юридически ничтожно.

Поэтому мы прикладываем определенные усилия, чтобы не допустить нарушение и не попасть под соответствующие статьи УК по совокупности формальных признаков. Но с пользователями вашей системы все несколько хуже - они знают, что просматривать чужую переписку незаконно, но делают это с помощью вашего продукта, Т.е., выражаясь терминами УК, "желают или сознательно допускают наступление общественно-опасных последствий".

Да, спасибо. Очень понятный комментарий.

вообще то переписку надо вести в соответствующих местах личного пользования. а не на асфальте или на стенах общественного предприятия где в обязанности уборщиков входит санитарная обработка и чистота. руководство в праве контралировать лействия персрнала на своем объекте- одназначто. и если работник кому то что то пишет то сам несёт ответственность за разглошение своей информации (писать не везде можно)