StaffCop Enterprise: что видит работодатель и как внедрить контроль сотрудников законно

Закон допускает контроль работы сотрудников на корпоративной технике. Трудовой кодекс прямо называет контроль количества и качества выполняемой работы законной целью обработки персональных данных работника (ТК РФ, ст. 86, п. 1). Право у работодателя есть, и оно действует при трёх условиях. Контроль должен проводиться на корпоративной технике, по заранее установленным правилам и для конкретных рабочих задач.

Основная сложность возникает на этапе оформления. Система записывает действия людей, поэтому до её запуска нужно принять несколько внутренних документов и ознакомить с ними сотрудников под подпись. Если этого не сделать, записи системы не помогут ни в разборе инцидента, ни в суде.

Российская система StaffCop Enterprise относится как раз к таким решениям. Она контролирует рабочие станции, фиксирует движение документов и помогает восстановить картину инцидента. Почти каждая её функция требует своего внутреннего документа, поэтому функции системы и нормы закона стоит разбирать вместе.

Почему компании ставят контроль и от чего он защищает

Риски, которых не видит антивирус

Антивирус и межсетевой экран закрывают внешние угрозы. Они не показывают, что сотрудник делает с документами, к которым у него есть законный рабочий доступ. Именно здесь возникает большая часть внутренних инцидентов.

Сотрудник складывает рабочие файлы в личное облако, чтобы было удобнее работать из дома. Менеджер пересылает клиентскую базу на личную почту. Инженер перед увольнением копирует проектную документацию на флешку. Кто-то отправляет договор через личный мессенджер, потому что так быстрее.

Удалённая работа добавляет ещё одну сложность. Корпоративные ноутбуки уезжают из офиса, и служба безопасности перестаёт видеть, через какие каналы уходят файлы. Для компаний, которые работают с коммерческой тайной, проектной документацией и клиентскими базами, риск особенно высок.

Другие решения этого класса собраны в разделе DLP и защита от утечек, а весь каталог средств защиты находится в разделе информационной безопасности.

Что показал реальный проект

В кейсе внедрения StaffCop описана крупная производственная компания с несколькими сотнями сотрудников и распределённой инфраструктурой. Руководство видело внешние угрозы, но почти ничего не знало о том, что происходит внутри. Каждое разбирательство требовало много времени, и объективную картину получить было сложно.

На первом этапе специалисты настроили мониторинг рабочих мест и ключевых информационных систем. В первые же недели система показала, что часть рабочих документов хранится в личных облачных сервисах сотрудников. Утечкой это не было, но риск для бизнеса создавало.

Самый показательный случай произошёл с сотрудником, который готовился к увольнению. Система зафиксировала массовое копирование служебной документации и попытки передать файлы через сторонние каналы. Служба безопасности получила уведомление и успела провести проверку до того, как информация ушла из компании. Компания в кейсе не названа. Результаты описаны без цифр: выросла прозрачность действий сотрудников и сократилось время разбора инцидентов.

Что StaffCop Enterprise показывает работодателю

StaffCop Enterprise разрабатывает российская компания «Атом Безопасность». Продукт закрывает задачи DLP, контроля активности пользователей, расследования инцидентов и анализа поведения пользователей. Агенты работают на Windows, macOS и GNU/Linux, а данные можно передавать в BI и SIEM через API.

Рабочее время, приложения и сайты

Система ведёт автоматический табель учёта рабочего времени и фиксирует присутствие на рабочем месте. Руководитель видит, какие приложения и сайты сотрудник открывал в течение дня и сколько времени в них провёл. Отдельно собираются поисковые запросы и тепловые карты активности по часам.

Этот блок чаще всего нужен руководителю подразделения. Он показывает, где именно в процессе теряется время и какие программы реально используются в работе.

Файлы, съёмные носители и печать

Система отслеживает операции с файлами и папками и умеет анализировать содержимое документов по словарям. Отдельно работает контроль USB-портов, поэтому видно, кто и какие файлы копировал на съёмный носитель. Есть табель использования принтеров, который показывает, что и в каком объёме сотрудник отправлял на печать. Мониторинг буфера обмена закрывает ещё один типовой канал выноса данных.

Кроме наблюдения доступна блокировка. Можно запретить запуск отдельных приложений, доступ к сайтам и подключение USB-устройств.

Почта, мессенджеры и веб-трафик

Система контролирует корпоративную электронную почту и перехватывает переписку в мессенджерах. Шифрованный веб-трафик разбирает ICAP-сервер, это отдельный компонент системы. Запись SIP-телефонии тоже подключается отдельно. Именно этот блок требует самого аккуратного оформления, потому что здесь ближе всего граница личной переписки.

Скриншоты, веб-камера, микрофон и кейлоггер

В системе есть кейлоггер, снимки экрана, автоматические снимки с веб-камеры и запись окружения с микрофона. Это самые чувствительные функции продукта, и включать их подряд для всех сотрудников не стоит.

Такие функции включают выборочно, под конкретную задачу или расследование, на ограниченный круг рабочих мест и на ограниченный срок. Сотрудники должны знать о самой возможности такого контроля заранее, из внутреннего документа, с которым они ознакомлены под подпись. Микрофон и веб-камера фиксируют не только действия сотрудника, но и происходящее вокруг рабочего места, поэтому их использование требует особенно чёткого и обоснованного регламента.

Аналитика: граф коммуникаций, детектор аномалий, отчёты

Отдельный слой системы работает с накопленными данными. Граф коммуникаций показывает, кто с кем переписывается и через какие каналы. Детектор аномалий подсвечивает поведение, которое отличается от обычного для этого сотрудника или отдела. Рейтинг нарушителей выводит людей, у которых чаще всего срабатывают политики безопасности.

Готовые отчёты дополняет конструктор, поэтому выборку можно собрать под конкретный вопрос руководителя. Есть и инвентаризация компьютеров и установленного программного обеспечения.

Карта функций: что даёт руководителю и что нужно оформить

Учёт рабочего времени и контроль присутствия. Руководитель получает объективный табель и видит реальную загрузку сотрудников. Нужно оформить порядок контроля в правилах внутреннего трудового распорядка и отдельном положении об учёте рабочего времени.

Мониторинг приложений и сайтов. Видно, какими программами и ресурсами сотрудник пользуется в рабочее время. Оформить нужно правила пользования корпоративной техникой и интернетом.

Контроль файлов, USB и печати. Видно движение документов и попытки вынести их за пределы компании. Оформить нужно перечень сведений, составляющих коммерческую тайну, и порядок обращения с такими документами.

Контроль почты и мессенджеров. Видно, через какие каналы уходит рабочая информация. Оформить нужно положение об обработке персональных данных работников и прямое предупреждение о том, что корпоративные каналы связи контролируются.

Скриншоты, кейлоггер, веб-камера и микрофон. Помогают восстановить картину инцидента. Оформить нужно приказ о вводе системы с описанием этих функций и подписи сотрудников об ознакомлении.

Аналитика, граф коммуникаций и отчёты. Дают основания для управленческих решений и для служебной проверки. Оформить нужно порядок доступа к данным системы и список сотрудников, допущенных к ним.

Что закон разрешает работодателю, а что нет

Почему контроль рабочих процессов законен

Основание для контроля прямо записано в Трудовом кодексе. Обработка персональных данных работника допускается в том числе для контроля количества и качества выполняемой работы и для обеспечения сохранности имущества (ТК РФ, ст. 86, п. 1). Работодатель также вправе требовать исполнения трудовых обязанностей и бережного отношения к своему имуществу (ТК РФ, ст. 22, ч. 1).

Правила такого контроля работодатель устанавливает сам, локальными нормативными актами в пределах своей компетенции (ТК РФ, ст. 8).

Обработка персональных данных допускается с согласия человека (152-ФЗ, ст. 6, ч. 1, п. 1). Она допускается и тогда, когда необходима для исполнения договора, стороной которого этот человек является (152-ФЗ, ст. 6, ч. 1, п. 5). Контроль рабочих процессов держится на трудовых отношениях и на внутренних документах компании, поэтому отказ одного сотрудника подписать документ не отменяет контроль для остальных.

Где проходит граница: частная жизнь и тайна переписки

Право на тайну переписки, телефонных переговоров и иных сообщений защищено Конституцией, и ограничить его можно только по судебному решению (Конституция РФ, ст. 23, ч. 2). Сбор и использование информации о частной жизни человека без его согласия также не допускаются (Конституция РФ, ст. 24, ч. 1).

За нарушение этих границ предусмотрена уголовная ответственность. Незаконное собирание или распространение сведений о частной жизни наказывается лишением свободы на срок до двух лет, а при использовании служебного положения до четырёх лет (УК РФ, ст. 137). Нарушение тайны переписки наказывается штрафом до 80 тысяч рублей, а при использовании служебного положения лишением свободы на срок до четырёх лет (УК РФ, ст. 138). Отдельная статья наказывает незаконный оборот специальных технических средств для негласного получения информации (УК РФ, ст. 138.1). За нарушение правил обработки персональных данных работника наступает дисциплинарная, материальная, гражданско-правовая, административная и уголовная ответственность (ТК РФ, ст. 90).

Работодатель контролирует свою инфраструктуру и рабочие процессы, а частная жизнь человека остаётся за пределами контроля. Поэтому законно то, что происходит на корпоративной технике, по заранее объявленным правилам и с понятной рабочей целью. Личный телефон сотрудника, его домашний компьютер и переписка в личных аккаунтах вне рабочей техники под контроль не попадают.

Почему скрытый контроль вредит самому работодателю

Скрытая установка кажется удобной, потому что избавляет от неприятного разговора с коллективом. На практике она лишает работодателя главного результата.

Записи системы становятся доказательством только тогда, когда сотрудник заранее ознакомлен с правилами под подпись. Работодатель обязан ознакомить работника с локальными актами, связанными с его трудовой деятельностью, до подписания трудового договора (ТК РФ, ст. 68, ч. 3). С уже работающими сотрудниками работодатель обязан знакомить под роспись каждый новый локальный акт, связанный с их трудовой деятельностью (ТК РФ, ст. 22, ч. 2). Передавать персональные данные работника внутри организации можно только в соответствии с локальным актом, с которым работник ознакомлен под роспись (ТК РФ, ст. 88).

Если правил не было, то в разборе инцидента у компании остаются записи, полученные без понятного основания. Уволить по ним нельзя, взыскать ущерб тоже сложно, а к работодателю появляются встречные вопросы. Открытый контроль по объявленным правилам даёт результат, а скрытый оставляет компанию без защиты.

Документы, без которых систему включать нельзя

Режим коммерческой тайны и перечень сведений

Режим коммерческой тайны важнее остальных документов из этого списка, и компании чаще всего его пропускают. Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне» требует принять пять мер (98-ФЗ, ст. 10, ч. 1).

1. Утвердить перечень сведений, составляющих коммерческую тайну.
2. Ограничить доступ к этим сведениям и установить порядок обращения с ними.
3. Вести учёт лиц, получивших доступ.
4. Урегулировать отношения с работниками в трудовых договорах, а с контрагентами в гражданско-правовых.
5. Наносить на носители гриф «Коммерческая тайна» с указанием обладателя.

Режим считается установленным только после принятия всех пяти мер (98-ФЗ, ст. 10, ч. 2).

Технические средства защиты применяются наряду с этими мерами, а не вместо них (98-ФЗ, ст. 10, ч. 4). Работодатель обязан ознакомить работника под расписку с перечнем сведений и с установленным режимом, включая меры ответственности (98-ФЗ, ст. 11, ч. 1). Работник обязан соблюдать режим и не разглашать сведения, в том числе после увольнения (98-ФЗ, ст. 11, ч. 3).

Уволить сотрудника за разглашение охраняемой законом тайны можно только тогда, когда эта тайна действительно охраняется и работник ознакомлен с режимом под расписку (ТК РФ, ст. 81, ч. 1, п. 6, подпункт «в»). Без введённого режима записи системы не превращаются ни в основание для увольнения, ни в доказательство ущерба.

Положение об обработке персональных данных работников

Этот документ описывает, какие данные сотрудников компания собирает, зачем, как долго хранит и кто из работников имеет к ним доступ. Для системы контроля в него нужно включить сами категории собираемых данных: действия на рабочей станции, переписку в корпоративных каналах, снимки экрана, файловые операции.

Сюда же входит порядок доступа к данным системы. Стоит утвердить список сотрудников, которые вправе смотреть записи, и правило, по которому выгрузка возможна только в рамках служебной проверки.

Уведомление работников и подписи об ознакомлении

С каждым документом сотрудников нужно ознакомить под подпись, и лист ознакомления стоит хранить вместе с личным делом. Новых сотрудников знакомят до подписания трудового договора (ТК РФ, ст. 68, ч. 3).

В трудовой договор или в дополнительное соглашение полезно включить отдельный пункт. В нём указывают, что рабочая техника и корпоративные каналы связи выдаются только для работы и подлежат контролю. Это же требование вытекает из режима коммерческой тайны, который регулирует отношения с работниками через трудовые договоры (98-ФЗ, ст. 10, ч. 1).

Приказ о вводе системы и правила пользования рабочей техникой

Приказ фиксирует дату запуска, цель контроля, перечень включённых функций и ответственного за систему. Отдельно стоит описать чувствительные функции и условия, при которых они включаются.

Правила пользования рабочей техникой и интернетом объясняют сотруднику практическую сторону. В них указывают, что компьютер, почта и мессенджеры выдаются для работы. Там же пишут, что личные файлы на рабочей технике хранить не следует и что действия на ней фиксируются. Если в компании есть профсоюз или другой представительный орган работников, правила внутреннего трудового распорядка утверждают с учётом его мнения (ТК РФ, ст. 190).

Уведомление Роскомнадзора

Уведомить Роскомнадзор о намерении обрабатывать персональные данные обязан любой оператор (152-ФЗ, ст. 22, ч. 1). Раньше от этой обязанности освобождались компании, которые обрабатывают только данные своих работников. Пункты 1–6 части 2 статьи 22, дававшие такие освобождения, утратили силу с 01.09.2022 по Федеральному закону от 14.07.2022 № 266-ФЗ.

Это означает, что подать уведомление нужно даже небольшой компании, у которой нет клиентской базы. Уведомление подаётся через личный кабинет на портале Роскомнадзора до начала обработки.

Как внедрить контроль по шагам

Внедрять систему можно поэтапно. «Инноватис» помогает с пилотом, настройкой политик и дальнейшим масштабированием.

1. Определить цель. От неё зависит набор функций, потому что защита от утечек и учёт рабочего времени требуют разных настроек.
2. Подготовить документы. Режим коммерческой тайны, положение об обработке персональных данных, правила пользования техникой и приказ о вводе системы лучше принять до установки агентов.
3. Ознакомить сотрудников под подпись и объявить о запуске. Стоит объяснить, что именно будет фиксироваться и для чего.
4. Запустить пилот на ограниченной группе рабочих мест. Пилот показывает нагрузку на технику и помогает отладить политики.
5. Настроить политики и уведомления по результатам пилота. Здесь отсекаются ложные срабатывания, из-за которых служба безопасности перестаёт читать оповещения.
6. Масштабировать систему на остальные подразделения и назначить ответственного за работу с данными.

Разговор с коллективом лучше провести до установки системы. Сотрудники принимают контроль спокойнее, когда заранее знают: система собирает данные о рабочих процессах и корпоративных документах, а не о личной жизни.

Что делать, если утечка уже случилась

Сначала нужно зафиксировать, что произошло. Система собирает хронологию действий пользователя: какие файлы открывались, что копировалось на съёмные носители, что уходило по почте и в мессенджеры, что отправлялось на печать. Из этих данных складывается картина инцидента с привязкой ко времени.

Затем компания проводит служебную проверку по правилам, которые приняла заранее. Данные системы выгружаются в рамках проверки, а не по устной просьбе руководителя, и доступ к ним имеют только назначенные сотрудники.

Юридическая сила этих материалов зависит от документов, которые компания приняла заранее. Если режим коммерческой тайны введён и сотрудник ознакомлен с ним под расписку, у компании есть основание для взыскания и для увольнения по соответствующему пункту (ТК РФ, ст. 81, ч. 1, п. 6, подпункт «в»). Если режима не было, материалы останутся внутренней информацией.

Формулировки конкретных документов стоит согласовать со своим юристом, потому что они зависят от структуры компании и от состава защищаемых сведений.

Частые вопросы

Подобрать решение

Редакцию и конфигурацию StaffCop Enterprise подбирают под задачу, число рабочих мест и состав функций. Инженеры «Инноватиса» помогут определить нужный вариант лицензии, запустить пилот и настроить политики под ваши процессы.

Посмотреть состав решения и оставить заявку на консультацию можно на карточке StaffCop Enterprise. Другие средства защиты от утечек собраны в разделе DLP.