Журнал учёта разрешённых мобильных технических средств
Форма учёта устройств, которые разрешено вносить в помещения, где обрабатываются персональные данные: смартфонов, планшетов, личных и подрядных ноутбуков, фотоаппаратов и диктофонов.
Зачем нужен документ
У всех остальных каналов утечки есть след. Выгрузка отражается в журнале событий, подключение флешки фиксируется, письмо остаётся в почтовом сервере, печать — в очереди принтера. Даже если след находят поздно, он существует и его можно предъявить.
Фотография экрана не оставляет следа нигде. Работник смотрит в монитор — это его работа. Достаёт телефон — это не событие ни для одной системы защиты. Через минуту на устройстве лежат сорок карточек клиентов, и ни один журнал в организации об этом не знает.
Отсюда назначение документа: не запретить телефоны, а перевести устройства из невидимых в учтённые. Учтённое устройство — это фамилия владельца, отметка о проносе и понимание, кто находился в помещении с камерой в руках. Это не предотвращает съёмку, но превращает её из анонимной в приписываемую.
Чем грозит отсутствие
Утечки через мобильные средства редко бывают крупными: за раз выносят десятки записей, а не базу целиком. Опасность в другом — они повторяются, потому что канал удобен и незаметен. А повторность в этой статье меняет не размер штрафа, а способ его расчёта.
Как ещё называют этот документ
Что должно быть в документе
Журнал строится вокруг вопроса «кто и с чем находится в помещении». Критерий полноты: по журналу можно восстановить, у кого была камера в конкретный день.
Требования законодательства
Как связан с другими документами
Журнал стоит на стыке физического режима и защиты информации: помещение контролируется пропуском, а то, что человек внёс с собой, — этим документом.
Когда обновлять документ
Документ реагирует не на изменения закона, а на изменения помещений, подрядчиков и техники в руках у людей.
Что спросит проверяющий
Здесь смотрят на соответствие написанного увиденному — прямо в момент проверки, глазами, без выгрузок.
Разбор эксперта
С мобильными средствами организации обычно выбирают одну из двух крайностей, и обе не работают. Первая — полный запрет: телефоны не проносить, оставлять в ячейках на входе. Правило нарушают в первый же день, потому что человеку нужен телефон для жизни, а не для съёмки экрана, и дальше запрет не действует уже ни для кого, включая тех, кто действительно собирался что-то сфотографировать. Вторая крайность — не регулировать вообще, и тогда в помещении с базой на сто тысяч человек находится десяток камер, о которых никто не думает.
Работающая середина — режим «разрешено и учтено». Устройства проносить можно, но состав их известен, а съёмка экрана прямо запрещена и названа нарушением, а не невежливостью. Смысл здесь не в предотвращении: технически помешать съёмке невозможно. Смысл в том, что анонимность исчезает — когда известно, кто находился в помещении и с чем, разбор инцидента перестаёт быть гаданием и становится коротким списком.
Отдельно про подрядчиков, и это наш самый частый совет по этому журналу. Внешний человек с ноутбуком проводит в серверной три часа, к нему не применяются внутренние инструкции, он не подписывал обязательство о неразглашении и нигде не учтён. Между тем именно у него доступ к оборудованию и время наедине с ним. Строчка в журнале и подпись об ознакомлении с режимом — минимальное, что превращает его из невидимого в обычного участника процесса.
Не запрещайте телефоны целиком — такой запрет не исполняется и обесценивает весь режим. Ведите учёт устройств по помещениям, а не по организации в целом: серверная и открытый офис требуют разного. Обязательно охватите подрядчиков и посетителей — на них не действуют ваши инструкции, только подпись в журнале. Опишите, что делать, когда снимок действительно нужен по работе, иначе снимать будут все и молча. И заведите привычку фиксировать нарушения: пустой журнал за год означает не порядок, а отсутствие контроля.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Формально да, практически такой запрет не исполняется и обесценивает весь режим. Работающий вариант — разрешить пронос, вести учёт устройств и прямо запретить съёмку экрана.
Всё, чем можно скопировать информацию: смартфоны, планшеты, личные и подрядные ноутбуки, фотоаппараты, диктофоны, носимые устройства с камерой.
В первую очередь. На внешних людей не действуют внутренние инструкции, а времени наедине с оборудованием у них обычно больше, чем у работников.
Для них нужен быстрый порядок: сопровождение, зона без экранов с данными и краткая подпись об ознакомлении с режимом, если проход в рабочую зону нужен.
Описать разрешённый способ: согласование с ответственным, съёмка в присутствии сопровождающего или выгрузка штатными средствами. Без разрешённого варианта запрет обходят молча.
Прямо он не назван. Обязателен контроль зоны, где обрабатываются данные, а без учёта внесённых устройств такой контроль существует только на бумаге.
Тот учитывает носители организации, этот — чужие устройства в помещении. Смешивать не стоит: у них разные владельцы и разные основания.
Фиксировать как инцидент информационной безопасности и разбирать по регламенту, а не ограничиваться устным замечанием: объём снятого может оказаться значительным.