Ассоциация российских банков (АРБ) и Ассоциация банков России (АБР) предложили запретить банковским служащим пользоваться мобильными телефонами с камерами на рабочем месте. 

В ассоциациях уверены, что запрет поможет в борьбе с утечками персональных данных. В перспективе объединения намерены обратиться в Центробанк с просьбой закрепить новую норму в банковских стандартах. 

Банки отнеслись к идее настороженно, хотя некоторые уже практикуют запрет на личную технику в офисе.

Алексей Парфентьев, руководитель отдела аналитики «СёрчИнформ», оценил инициативу с технической точки зрения:

– Запретительная практика является нормой для режимных предприятий, объектов с доступом к особой информации, технологиям или материалам. Изредка к ней прибегает и частный бизнес. Столь радикальные меры работодателей можно понять. Кроме защиты собственной коммерческой информации они обязаны соблюдать и федеральные законы (в частности, ФЗ-152, о защите персональных данных) и международные нормы (например, регламент GDPR, предполагающий гигантские штрафы). Не забудем и о репутационных рисках, которые неминуемо следуют за крупными утечками из финансовых учреждений.

Поэтому ничего экстраординарного в таких мерах я не вижу. Но только со сноской, что их применение будет осознанным – без вреда для бизнес-процессов и морального климата в коллективе. Некоторые сотрудники негативно воспримут инициативу, ведь на рабочем месте нельзя будет прерваться на беседу с приятелем в мессенджере, полистать ленту соцсети. С другой стороны – есть рабочий регламент, четко очерченный круг задач, за который сотрудник получает зарплату, и в него не входят подобные активности. У современного работодателя достаточно корпоративных средств коммуникаций, и личный смартфон для решения бизнес-задач не нужен. 

То есть концептуально все понятно и, в общем-то, вопросов не вызывает. Но что касается автоматизированного контроля исполнения этого запрета, все гораздо сложнее. 

Если организовывать надзор, как звучали предложения, через камеры ноутбуков, то возникает ряд проблем. система защиты от утечек информации (DLP)-системы по настроенным политикам безопасности позволяют делать снимки пользователя за компьютером (с помощью камеры монитора). Но обрабатывать этот массив фотографий ИБ-службе пока приходится вручную – существующие алгоритмы детектирования объектов на изображении (в данном случае поднесения смартфона к монитору) являются вероятностными, а значит, лишь в какой-то мере позволяют отслеживать инцидент. Потому в больших компаниях, где тысячи, а то и десятки тысяч сотрудников, это может обернуться тысячами ложно-положительных сработок. 

Вторая проблема даже более очевидна: как контролировать сотрудников, на ПК которых нет веб-камер? А если камера повреждена, заклеена чем-то, отвернута, закрыта шторкой?

Многие отечественные ИБ-разработчики, в том числе и мы, ведут разработки подобных технологий. Но им еще предстоит пройти немалый путь адаптации. 

Поэтому если Центробанк и закрепит запрет в стандартах, его соблюдение станет вопросом административным, а не техническим.