Как снизить риски из- за ошибок сотрудников
Влада Зайнуллина, консультант по защите персональных данных компании Б-152
Нарушение безопасности персональных данных не всегда связано с компьютерной атакой. Ошибочная отправка документа, предоставление избыточных прав доступа, использование несанкционированного сервиса или оставление бумажных материалов в общедоступном помещении могут приводить к неправомерному раскрытию сведений. Причиной таких событий нередко становятся не умышленные действия работников, а недостатки внутренних процедур и контроля.
С правовой точки зрения действия сотрудников следует оценивать в контексте обязанностей оператора. Именно он определяет цели и правовые основания обработки, круг лиц, которым необходим доступ к сведениям, и допустимые операции с ними. Часть 1 статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязывает оператора принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерных и случайных действий.
Техническая возможность открыть документ не равнозначна праву использовать его для любой цели. Например, сотрудник кадрового подразделения, имеющий доступ к сведениям о работниках, не вправе использовать их в личных интересах или предоставлять лицам, не участвующим в соответствующем процессе обработки. Статья 7 Закона № 152- ФЗ устанавливает требование конфиденциальности персональных данных, если иное не предусмотрено федеральным законом.
Один из распространённых рисков – передача персональных данных ненадлежащему получателю. Это возможно при ошибочном выборе адресата электронной почты, предоставлении доступа к общему хранилищу или направлении подрядчику избыточного объёма сведений. Например, для организации мероприятия контрагенту может требоваться ограниченный набор данных участников, тогда как работник направляет полный список, включающий дополнительные контактные сведения. Правовая оценка зависит от цели и основания передачи, состава информации, полномочий получателя и обстоятельств произошедшего.
Другой существенный риск связан с избыточными правами доступа. Сотруднику могут быть доступны кадровые документы, сведения о заработной плате или данные клиентов, которые не требуются для исполнения его функций.
Риски повышается, если после перевода работника на другую должность прежние права не пересматриваются или после увольнения сохраняется доступ к информационной системе. Пункт 8 части 2 статьи 19 Закона № 152- ФЗ предусматривает установление правил доступа к персональным данным в информационных системах, а также регистрацию и учёт действий с ними.
Практически это предполагает разграничение полномочий на просмотр, изменение, выгрузку, удаление и администрирование данных. Предоставление доступа должно проходить через установленную процедуру согласования, а сохранение прав — периодически проверяться. Особого внимания требуют привилегированные учётные записи, с помощью которых возможны массовая выгрузка, изменение или удаление информации.
Существенная часть ошибок связана с использованием инструментов, не предусмотренных внутренними правилами организации: личных устройств, облачных хранилищ, мессенджеров и внешних ИИ-сервисов. Например, работник загружает во внешнюю нейросеть таблицу с персональными данными клиентов для составления краткого отчёта. Само по себе применение стороннего инструмента не означает нарушения, однако решение о его допустимости должно приниматься с учётом целей обработки, правового основания, условий передачи и статуса получателя. Если другое лицо обрабатывает персональные данные по поручению оператора, подлежат учёту требования части 3 статьи 6 Закона № 152- ФЗ.
Риски возникают и при неавтоматизированной обработке. Оставленные на рабочем месте документы, передача материальных носителей неуполномоченному лицу и их ненадлежащее уничтожение могут приводить к раскрытию персональных данных независимо от защищённости информационной системы. Постановление Правительства РФ от 15.09.2008 № 687 устанавливает специальные требования к такой обработке; в частности, пункт 6 утверждённого им Положения предусматривает информирование непосредственно осуществляющих её лиц о категориях данных, особенностях и правилах их обработки.
Особую группу угроз образует социальная инженерия. Злоумышленники могут представляться руководителями, сотрудниками технической поддержки, контрагентами или представителями государственных органов, побуждая работника раскрыть сведения либо предоставить доступ. Одного технического разграничения полномочий недостаточно: сотрудник должен уметь проверять полномочия собеседника и распознавать обстоятельства, при которых привычное действие становится опасным.
Пункт 6 части 1 статьи 18.1 Закона № 152- ФЗ предусматривает ознакомление работников, непосредственно осуществляющих обработку персональных данных, с законодательством, требованиями к защите информации, политикой оператора, локальными актами по вопросам обработки и (или) обучение таких работников. Однако лист ознакомления подтверждает доведение документа до сотрудника, но не доказывает наличие у него навыков безопасной работы с данными.
Подготовка должна учитывать фактические функции работников. Для кадровых подразделений важны правила передачи сведений о кандидатах и работниках; для бухгалтерии — обработка данных при расчёте выплат, формировании отчётности и взаимодействии с банками; для сотрудников, работающих с клиентами, — условия использования клиентских баз, рассылок и передачи данных подрядчикам. Лицам с административными полномочиями требуется дополнительная подготовка по управлению учётными записями и массовым операциям с данными.
Такой подход отражён в приказе ФСТЭК России от 11.04.2025 № 117 в части работы в информационных системах персональных данных применительно к деятельности государственных органов.
Пункт 56 Требований предусматривает информирование пользователей, лекции, семинары, обучающие игры, имитационные рассылки и практические тренировки. Согласно пункту 57 способы подготовки, периодичность и формы оценки знаний определяются во внутренних регламентах; оценка должна проводиться не реже одного раза в три года или после компьютерного инцидента, а для пользователей, не обладающих необходимыми знаниями, организуется повторное обучение.
Пункты 60 и 61 названных Требований предусматривают меры защиты информации при использовании искусственного интеллекта и при взаимодействии пользователей с ИИ-сервисами. При этом приказ № 117 имеет специальную область применения и не устанавливает универсальные обязанности для всех коммерческих организаций, обрабатывающих персональные данные. Для операторов, на которых его действие не распространяется, такие меры могут служить методическим ориентиром, но не должны представляться обязательными непосредственно на основании указанного приказа.
Практическую подготовку работников следует сочетать с техническими ограничениями. В зависимости от применимых требований и характера угроз могут использоваться многофакторная аутентификация, ограничение массовой выгрузки, контроль внешнего доступа к корпоративным хранилищам, регистрация действий пользователей и ограничения на использование съёмных носителей. При этом технические средства не заменяют правил обращения с документами и проверки полномочий получателей.
Для внутренних и внешних передач персональных данных необходимо определить разрешённые каналы, объём предоставляемых сведений, порядок согласования и проверки получателя. Работник должен понимать, какие действия он вправе совершать самостоятельно, а какие требуют решения уполномоченного лица.
Нарушение установленных правил может повлечь ответственность работника. Статья 192 Трудового кодекса РФ предусматривает дисциплинарные взыскания; подпункт «в» пункта 6 части 1 статьи 81 ТК РФ допускает увольнение при разглашении охраняемой законом тайны, ставшей известной в связи с исполнением трудовых обязанностей, в том числе персональных данных другого работника. Применение конкретной меры требует установления предусмотренных законом обстоятельств и соблюдения процедуры привлечения к ответственности.
Самостоятельную уголовно- правовую оценку могут требовать действия, подпадающие под статью 272.1 УК РФ. Она предусматривает ответственность за незаконные действия с компьютерной информацией, содержащей персональные данные, полученной посредством неправомерного доступа к средствам её обработки или хранения, иного вмешательства в их функционирование либо иным незаконным путём. Пункт «г» части 3 статьи 272.1 УК РФ относит использование служебного положения к квалифицирующим признакам. Максимальное наказание по части 3 статьи 272.1 УК РФ составляет шесть лет лишения свободы, а при обстоятельствах, предусмотренных частью 5, — десять лет.
Однако ошибочная отправка документа ненадлежащему адресату сама по себе не подтверждает состав преступления, предусмотренный статьёй 272.1 УК РФ. Для уголовной квалификации необходимо установить предусмотренные законом обстоятельства получения компьютерной информации и другие обязательные признаки деяния. Дисциплинарная и уголовная ответственность не должны смешиваться, а действия работника необходимо оценивать по фактически установленным обстоятельствам.
Надлежащая организация обработки персональных данных предполагает не только предупреждение ошибок, но и возможность быстро выявить нарушение. Работникам необходим понятный порядок сообщения о подозрительной передаче информации, ошибочной отправке документа или компрометации учётной записи. Ответственные лица должны установить состав сведений и круг получателей, принять меры для ограничения последствий и оценить наличие оснований для уведомления Роскомнадзора.
Отдельное значение имеет документирование: согласование и пересмотр прав доступа, ознакомление с применимыми правилами, результаты обучения и проверок, действия по реагированию на инциденты. При повторяющихся нарушениях необходимо выяснять их причины — недостаточность подготовки, сложность внутренних процедур или отсутствие технических ограничений — и пересматривать меры, которые не обеспечивают требуемый результат.
Таким образом, снижение рисков, связанных с действиями работников, требует системы контроля, основанной на фактических процессах обработки персональных данных. Оператору необходимо определить полномочия сотрудников, закрепить допустимые способы передачи сведений, обеспечить пересмотр прав доступа, практическую подготовку и своевременное реагирование на нарушения. При этом наличие локальных актов и листов ознакомления не является достаточным критерием эффективности: определяющее значение имеют соблюдение установленных правил и возможность подтвердить принятие необходимых мер.
