Что это за решения? "Речь идет об интегрированных продуктах для комплексной защиты конфиденциальных данных компании от несанкционированной утечки или разглашения,-- поясняет Игорь Царев.-- Решение представляет собой программно-аппаратное устройство, которое выполняет мониторинг и фильтрацию данных, передаваемых за пределы компании по электронной почте, через веб- или интернет-пейджеры (ICQ и проч.). Есть решения, которые представляют собой систему криптографической защиты конфиденциальной информации в процессе ее хранения и обработки".

Законное беззаконие

До сих пор в разных странах законодатели ломают голову, как примирить нормативную базу, отстаивающую территорию privacy, с законотворчеством, так или иначе эту территорию затрагивающим. Несмотря на драконовские законы, создававшиеся для борьбы с утечкой инсайда, Старый и Новый Свет не забывал укреплять пробелы нормативных баз по части защиты персональных данных: например, в США не так давно был принят закон "О защите персональных медицинских данных". Это действительно только пробелы, поскольку глобально тайна личной жизни и все с ней связанное -- письма, телефон, интернет -- охранялось всегда и везде на уровне конституции. Такова же ситуация и в России.

"Вопрос личной переписки любого гражданина нашей страны регулируется Конституцией,-- поясняет директор правового департамента компании "Нексиа Пачоли" Ирина Баршай.-- В соответствии с 23-й статьей Конституции РФ каждый человек имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этих прав возможно только на основании судебного решения, а за их нарушение предусмотрена ответственность вплоть до уголовной".

"Пункт 2 статьи 23 Конституции РФ защищает тайну переписки. Только на основании судебного решения эта тайна может быть нарушена. Для электронной переписки основной закон исключений не делает, упоминая о тайне "иных" сообщений. А за нарушение тайны переписки предусмотрена уголовная ответственность по статье 138 УК РФ,-- подтверждает Дмитрий Ширяев, ведущий консультант ООО "ФинЭкспертиза".-- Что же касается прихоти или системы безопасности как причин негласного сбора информации, то они одинаково незаконны, так как решение о допуске к частной электронной переписке принимал вовсе не суд. Так что хакер-любитель и начальник службы безопасности крупной корпорации отвечать должны одинаково, последний -- даже больше, поскольку точно будет действовать по предварительному сговору с подчиненным -- техническим специалистом-исполнителем".

Получается, что контроль за любыми коммуникациями сотрудников -- противозаконен, он может быть санкционирован только решением суда. Согласно внутреннему уставу компании, сотрудников могут обязать петь гимн по утрам. Или проходить собеседование с помощью детектора лжи, что, к примеру, практиковалось в "Евросети". Однако контролировать трудовую деятельность своих сотрудников, отслеживая их переписку, работодатель не вправе. Даже если речь идет о сотруднике, с утра до вечера сидящем в "Одноклассниках", уволить его за это будет нельзя. Хотя, конечно, это может стать поводом подобрать другие статьи Трудового кодекса. "Никто не запрещает работодателю контролировать работника в части исполнения последним его трудовых обязанностей,-- говорит Ирина Баршай.-- Но речь идет о простом контроле, когда работнику выдается письменное задание на день и вечером по пунктам проверяется его исполнение. Таким образом умный работодатель может сильно испортить жизнь сотруднику, который недобросовестно относится к своим трудовым обязанностям. Хотя в любом случае, если уж дело дойдет до суда и трудовой инспекции, работодатель будет обязан доказать, что он не нарушил прав сотрудника".

Практическая незадача

В России судебных процессов, где работники судятся со своими работодателями по неправомерному увольнению, достаточно много. Судебная же практика по неприкосновенности личной жизни практически отсутствует. Одним из немногих случаев, когда сотрудник попытался бороться с бывшим работодателем с помощью 23-й статьи Конституции РФ, является история десятилетней давности. Основные ее события разворачивались в Красноярске.

Руководство IT-разработчика MaxSoft уличило своего сотрудника Владимира Демочко в двойной игре. По утверждению компании, будучи ее сотрудником, Демочко стал продавать и продукцию конкурента -- Русской промышленной компании (РПК). После стремительного увольнения Владимира Демочко руководители MaxSoft подкрепили свою позицию тем, что опубликовали на сайте письма, якобы принадлежащие перу Демочко. Из писем следовало, что Демочко разрабатывает с конкурентом тактику демпинга против MaxSoft, сливает информацию IT-разработчика и делает все это не безвозмездно.

Владимир Демочко подавал иски трижды: два раза -- о нарушении права на неприкосновенность частной жизни, охраняемого 23-й статьей Конституции и 137-й и 138-й статьями Уголовного кодекса. И один раз -- гражданский иск о защите чести и достоинства.

По версии Демочко (ставшего впоследствии генеральным директором "РПК-Красноярск"), часть писем были фальшивые, хотя он не отрицал, что другая часть была написана действительно им; при этом свои письма он отправлял не с локальной системы MaxSoft, а с общедоступного почтового сервера Yahoo!, который взломали. Представители MaxSoft привели свои контраргументы, из которых следовало, что почта Демочко была прочитана после его увольнения, то есть не контролировалась в то время, когда он работал в компании. И отмечали, что, если бы в компании был тотальный контроль электронной почты, вряд ли сотрудник смог бы в течение многих месяцев вести ту деятельность, которую он вел.

В итоге в исках Демочко по поводу несанкционированной перлюстрации суд отказал с формулировкой "за отсутствием признаков состава преступления". Также судом было отказано и в гражданском иске о защите чести и достоинства.

Вместе с тем эта история наглядно демонстрирует, что основная проблема в спорах такого рода лежит в области предоставления доказательств. Если даже специалисты не смогли обосновать суду суть подобных претензий, что уж говорить о том, как станет доказывать факт перлюстрации почты человек, далекий от IT-технологий?

Интересно, что сами разработчики программного обеспечения в сфере безопасности уверены, что схема, при которой начальник службы IT или службы безопасности активирует поиск конкретной информации (которая, как мы помним, складируется в специальном хранилище данных) и знакомится с искомым результатом, вполне легитимна. IT-разработчики утверждали, что он не нарушает закона лишь потому, что реального сообщения не читал, а работал с некоей теневой, то есть эфемерной копией, осуществляя поиск по принципу "как пройти в библиотеку?" в поисковой системе Yandex.

Обвинять разработчиков в детской наивности не стоит. Думается, что рассуждают они логично: реально сливавший инсайд в суд не пойдет, а тот, кто был чист, никогда о слежке и не узнает. Да и кто в этом споре победит -- сотрудник, позаимствовавший у компании информацию, составляющую коммерческую или иную тайну, или компания, чьи действия по нарушению privacy еще надо доказать,-- это большой вопрос. Иначе рынок не знал бы случаев, когда инсайдеров не только оперативно увольняли, аннулируя все бонусы, но таким людям приходилось вернуть то, что взяли, и еще своего добавить.

Риторический ответ

Хочется верить, что вступающий в силу с Нового года закон "О персональных данных" сможет четче описать правила игры в области защиты информации. Хотя даже при первом рассмотрении этого закона возникают вопросы с трактовкой того или иного положения. Главный вопрос -- сохранение privacy -- в некоторых обстоятельствах остается по-прежнему риторическим. Как, например, обеспечить сохранность информации о клиентах, не организовав контроль за сотрудниками, которые имеют к ней доступ?

"Идеально защищенным с точки зрения информационной безопасности является компьютер, полностью отключенный от интернета и со всеми перекрытыми портами,-- говорит Игорь Царев.-- Однако в современном мире на таком компьютере нет возможности нормально работать". Тем не менее как-то работают. Например, согласно результатам опроса superjob.ru, в 22% российских компаний, где штат не превышает 50 сотрудников, последние попросту лишены возможности пользоваться на работе любыми электронными средствами коммуникаций.

Впрочем, это совсем не мешает сотрудникам малых компаний уносить с собой клиентские базы, тем более что хедхантеры такое желание работодателя высказывают открыто. "Естественно, уходя с прежней работы, я забрала всю клиентскую базу с собой,-- злорадствует теперь Елена Молчанова.-- Это позволило мне получить хорошую должность у бывшего же конкурента".

На черном российском рынке по-прежнему можно купить практически любую базу данных. Из этого следует, что ни законы, ни новейшие IT-разработки у нас пока не защищают ни частную жизнь, ни бизнес.

Как свидетельствуют результаты исследования "Инсайдерские угрозы в России-2009", проведенного аналитическим центром Perimetrix среди 1046 российских фирм, только в 5% компаний заявили об отсутствии инцидентов, связанных с утечкой информации за последний год. Сразу 42% респондентов вообще затруднились назвать точное количество утечек информации в компании.

"В любом обществе существуют традиции privacy, тем или иным образом поддержанные законодательно,-- говорит Владимир Гайкович.-- Это сдерживает тотальное применение контроля на уровне корпораций, но не отменяет на уровне государства. В этом смысле Россия и западные страны сильно отличаются друг от друга, так как культура privacy в нашей стране практически отсутствует. У нас государство и компании обычно ведут себя одинаково. Из-за этой особенности российский рынок средств контроля за перепиской, на мой взгляд, в краткосрочной перспективе более интересен, чем западный".