Содержание статьи
Со временем работа в должности сисадмина становится все более и более рискованной. Ведь на самом деле администратор рулит не техникой, а деньгами, нематериальными активами, людьми, репутацией компании. Соответственно с этим — и его ответственность.
Держащий за чувствительные места
Чем дороже может обойтись инцидент, тем строже отбор в соответствующую профессию. Для управления атомной станцией или подлодкой-носителем ЯО персонал тестируют тщательнее. Алкоголикам, суицидникам, буддистам и пох... фаталистам там не место. Для того, чтобы держать в руках автомат Калашникова, отбор не такой строгий: отсеивают лишь откровенных психов и уголовников. Остальным оружие можно (некоторым даже нужно, помимо их желания). Чтобы иметь право сесть за руль автомобиля (источник повышенной опасности), также требуется доказать, что претендент в состоянии отвечать за свои действия. И получить соответствующий документ. Для управления компьютером специальной лицензии не предусмотрено. Считается, что неумелый или неадекватный человек перед монитором может навредить лишь себе самому и своим данным. Так оно и было лет двадцать назад.
Ситуация меняется довольно быстро. Информация дорожает. Коммерческая тайна, интеллектуальная собственность, инсайдерская информация растут в цене быстрее золота, а по объему – так их просто пучит. Прощелкав вирус, можно парализовать на полдня работу офиса. А украв ма-а-а-аленькую флешку с тремя миллионами записей, можно выручить на черном рынке аж 50 американских центов... за каждую запись.
Кроме того, рассказывают (но чаще показывают в фильмах), что кое-где компьютеры подключены к разным автоматизированным производствам и к интернету одновременно. И существует теоретическая возможность несколькими коварными кликами мыши из-за моря уронить спутник, самолет, курс местной валюты или даже авторитет местного президента. Вероятность, конечно, очень малая, но зато потенциальный ущерб огромен. Их произведение (стоимость риска) получается внушительное. Ответственность админа – соответствующая.
До лицензий на право управления компьютером пока не додумались (вернее, додумались, но никто не горит желанием возложить на себя часть ответственности за то, что станут вытворять в Сети пользователи с выписанными ими «правами». А простую бумажку «Computer drive licence» могут выписать любому желающему).
Однако, важность (опасность) сисадмина уже осознали. Поэтому в серьезных конторах его производственные функции делят между двумя-тремя работниками. Чтобы один знал, но не мог, другой мог, но не знал, а третий (родственник директора) приглядывал за этими двумя грамотеями, чтобы они не сговорились.
Впрочем, читателя, наверное, волнуют совсем другие риски: что грозит самому админу в случае неудачного сочетания звезд над его головой. Перечислим основные риски.
Непрерывность бизнеса
Первый и основной риск сисадмина – самый неинтересный. Если он будет нерадиво исполнять должностные обязанности, и из-за этого предприятие понесет убытки, у руководства может возникнуть идея подвергнуть его не только дисциплинарной ответственности, но и получить возмещение убытков в гражданском порядке. При этом не так важно, что именно написано в трудовом договоре: каждый человек должен возмещать причиненные им убытки. Кроме того, руководству предприятия тоже надо отчитываться: перед акционерами, перед кредиторами и партнерами, перед регулирующими органами. Любые неудачи и потери, связанные с компьютерной техникой, логичнее всего перевалить на админа. Все равно кроме него в этих гудящих электронных штуках никто не разбирается.
В практике автора был такой случай. Предприятие, оказывающее услуги связи, подошло к грани полного банкротства: доходы падают, работники разбегаются, кредит поспел, а возвращать его нечем. И тогда директор делает отчаянную попытку спасти положение, а точнее – свалить вину на другого. Выявляется один случай хищения (через подтасовку данных в биллинговой системе), в этом обвиняется самый беззащитный из работников (недавно уволившийся), фальсифицируются доказательства и подается соответствующее заявление в правоохранительные органы. При полном бардаке на предприятии и десятках недовольных, не получающих зарплату работниках найти один случай хищения – не проблема. Проблемой было бы не замечать воровства. Вписать в лог-файл нужный IP-адрес и закрепить это актом осмотра – тоже не вопрос (некоторые из инженеров отказались подписывать этот акт, но следствие это обстоятельство не заинтересовало). Далее дело пошло по давно накатанной (кое-где у нас порой) обвинительной колее. «Правильные» показания свидетелей собирались, «неправильные» игнорировались. На одного подозреваемого валили все хищения, нарушения и недостачи, все причастные это с радостью подтверждали. Нашли послушного эксперта, который и написал в заключении то, что велел следователь. Дело сшито и передано в суд. У руководства появились оправдания перед кредиторами – дескать, это не мы плохо работали, это вот он все украл. Компания все равно разорилась, а сисадмин получил срок по статье 272 (неправомерный доступ).
Саботаж
Как известно, работники выражают свое недовольство разными способами. Одни сводятся к неисполнению обязанностей, другие – к пунктуальному и дословному их исполнению. В обоих случаях все ломается и стопорится (конкретные причины айтишного саботажа смотри на диаграмме). То и другое именуется «саботаж», а в отдельных, запущенных случаях – вредительство.
В области IT то и другое можно осуществить нажатием нескольких клавиш. Больше всего возможностей учинить саботаж или пресечь его – у админа. С него и главный спрос.
Но даже когда все сломалось по стихийным причинам, у начальства часто появляется подозрение на злой умысел. Во времена иные стихии в технике вообще не признавали: техника-де вещь детерминированная, если что-то пошло не так, то кто-то это устроил – найти и наказать! В конце XX века прогрессивные мыслители, адепты гуманизма додумались до концепции техногенной катастрофы. Этот термин означает, что стихийная сила может действовать не только в дикой природе, но и в недрах творения рук человеческих, в программном обеспечении, в частности. Ученые признали, что современная техника вовсе не детерминирована и вполне может непредсказуемо выйти из-под контроля. Но эту правовую новеллу далеко не все принимают. Поэтому попытки обязательно найти виновного продолжаются. Не найти – так назначить.
От этого назначения сисадмин может спастись лишь составлением правильных бумаг. Причем своевременным составлением. Когда техногенная катастрофа местного масштаба произошла, писать объяснительные уже поздно. Следует пригласить юриста и поработать над бюрократическим прикрытием своей филейной части заблаговременно.
Авторские права
Так называемые права интеллектуальной собственности на программы для ЭВМ и прочий цифровой контент не только дорожают (причем не за счет повышения цен на каждую лицензию, а за счет увеличения числа объектов интеллектуальной собственности в деятельности предприятия и скорости смены «поколений» софта). Кроме того, обостряется борьба за них. Как логично рассудил товарищ Сталин в 1928 году, классовая борьба должна постоянно обостряться, поскольку буржуи не будут молча терпеть, когда начнется индустриализация, которая сведет на нет роль частной собственности в СССР. А поэтому нужны посадки. С каждым годом все больше. То ли Вождь все верно рассчитал, то ли решение задачи подогнали под ответ, но репрессии против буржуев и их приспешников пошли с этого года нарастающими темпами. Совершенно аналогичная ситуация сложилась с авторскими правами в наше время. Пираты, согласно расчетам BSA и IFPI, должны наносить ущерб правообладателям во все возрастающих масштабах. Поэтому наказания за соответствующие нарушения должны постоянно ужесточаться. Так оно и происходит.
Ныне в России за нарушение авторских прав в размере меньше 50 тысяч рублей предусмотрена административная ответственность (ст. 7.12 КоАП), а для большего размера – уголовная (ч. 2-3 ст. 146 УК). Плюс гражданско-правовая в качестве довеска в обоих случаях.
Гражданскую ответственность может нести как физлицо, так и предприятие. А вот уголовную разрешается возлагать только на человека. Поэтому требуется козел отпущения. Им часто становится сисадмин.
По закону, отвечать должен тот, кто инсталлировал контрафактное ПО, причем лишь в том случае, если точно знал, что оно контрафактное (то есть, предприятие не заключило лицензионный договор с правообладателем). На практике с органов требуют план по раскрываемости и органы его дают. План обычно таков, что времени на сбор доказательств очень мало. Так что, если в вашем хозяйстве водится контрафактного софта более чем на 50 000 совокупно, вы имеете высокие шансы сделаться козлом отпущения, если что.
Понятно, что благородных донов, желающих взять на себя ответственность за контрафакт, среди работников не найдется. Скорее всего, все они дружно по подсказке следователя укажут пальцем на админа: «Это он все устанавливал». А показания свидетелей в судах «весят» значительно тяжелее, чем всякие компьютерно-технические экспертизы и заключения специалистов.
На практике чаще всего делают обвиняемым именно администратора или эникейщика. Так называемое «дело Поносова» представляло собой своего рода исключение: обвиняемым стал директор организации, а не сисадмин. Чаще вину сваливают (тоже по должности, а не по вине) на безответного и юридически безграмотного сисадмина.
Кроме программ для ЭВМ, объектами авторского права являются фонограммы (музыка, аудиокниги), аудиовизуальные произведения (фильмы, клипы), художественные тексты, объекты изобразительного искусства (рисунки, фотографии, элементы дизайна), а также шрифты. Все эти объекты в цифровой форме, если они не оплачены, при необходимости зачтутся в общую сумму нарушений.
Для возбуждения дела заявления правообладателя не требуется. Если не найдут потерпевшего (его полномочного представителя в России), то могут обойтись и без его участия (за подробностями прошу проследовать в ЧаВо по компьютерным преступлениям от сетевых правоведов: http://www.internet-law.ru/intlaw/crime/faq.htm).
Автор статьи частенько выступает в роли эксперта или специалиста по таким уголовным делам. Но защитить подсудимого очень трудно – как правило, уже поздно. Кое-что можно сделать на этапе предварительного следствия, до назначения экспертизы, а дальше уже труднее. После окончания следствия, на судебном заседании, помочь практически нечем. Самая эффективная защита от несправедливого (а также и частично справедливого) обвинения в нарушении авторских прав на ПО может быть оказана до того, как в офис пришли «с проверкой» или уже с постановлением на обыск.
Служебное произведение
Этот риск также связан с авторскими правами. Но здесь строгость закона играет уже на другую сторону. Как известно, админу трудно обойтись без создания собственных программ. Небольшие шелл-скрипты, макросы для MS Office, какая-нибудь учетная БД и веб-интерфейс к ней, SQL-функция, однострочный Java-скрипт на веб-страничке и так далее. Все это – объекты интеллектуальной собственности. Права на них принадлежат предприятию, если в трудовом договоре прописана обязанность работника создавать такие программы (это называется «служебное произведение», ст. 1295 ГК РФ). Если не прописана, то все права остаются у автора.
Сисадмин мог уже и сам забыть об этом, сменить место службы, но его скрипт, его интеллектуальная собственность исправно работает на сервере предприятия и при этом является контрафактной. Будучи правообладателем, бывший работник (и даже не бывший) может предъявить претензии к нарушителю авторских прав. В этом случае вся текущая истерия по поводу пиратства и все перекосы в законодательстве будут играть на стороне автора. Таких юридических мин замедленного действия типичный сисадмин оставляет за собой кучи. Их вполне может набраться на 50 000 рублей (уголовная ответственность), а уж на гражданскую хватит в любом случае.
Защищаться от этого риска выгоднее всего при найме работника. К тому времени, когда он решил уволиться, разрулить ситуацию встанет существенно дороже.
Вредоносные программы
Создание и использование вредоносных программ (ч. 1 ст. 273 УК) – это деяние, наказуемое в случае умышленного его совершения. По неосторожности оно будет преступлением (ч. 2 той же статьи) только в случае тяжких последствий. До сих пор вторая часть ни разу не применялась. Кстати говоря, «Тяжкие последствия» – это нечто наподобие показанного в фильме «Крепкий орешек-4», но российская техника еще не настолько интернетозависима.
Сисадмин рискует попасть под 273-ю статью, если он установит на компьютер работника троянскую шпионскую программу – большинство программ этого класса являются вредоносными. Автору несколько раз рассказывали знакомые и клиенты, как начальник требовал от админа поставить программу-шпион кому-то из подчиненных.
Получение приказа не освобождает исполнителя от уголовной ответственности, если приказ заведомо незаконный (ч. 2 ст. 42 УК), а в случае троянской программы это так.
Кроме того, сисадмин в своей работе иногда использует иные программы двойного назначения: кейгены, сниферы, подборщики паролей, сканеры. Они вредоносными не являются, но следователь и его «карманный» эксперт могут этого не знать. Или не хотеть знать. На практике достаточно много случаев, когда статью 273 рисуют безо любых на то оснований за всякие «нехорошие», но отнюдь не вредоносные программы (ахтунг – вредоносной является не любая программа, причиняющая вред. И наоборот, принести вред может вполне законная программа) . Оправдаться от такого обвинения достаточно сложно в силу полного отсутствия специальных знаний у милиции и судей.
Был интересный случай , когда под статью за вредоносные программы попали авторы хорошо известной и популярной программы «KGB Spy». Им удалось в конце концов доказать свою невиновность (не без содействия автора), но чего им это стоило! Если программист не так известен и не настолько состоятелен, он может и не оправдаться от обвинений.
Установить, является ли программа вредоносной, можно, самостоятельно разобравшись во всех технико-правовых тонкостях вопроса, а можно обратиться к специалисту. Стоит ли напоминать, что делать это надо как можно раньше, пока «болезнь» еще не запущена.
Тайны
Законодательство предусматривает несколько десятков видов тайн, то есть конфиденциальной информации, подлежащей обязательной защите (список конкретных тайн можно найти, например, тут: http://infowatch.livejournal.com/55585.html). Совсем недавно прибавился еще один вид – так называемая инсайдерская информация, ее следует защищать, даже если она не конфиденциальна.
Прикол в том, что ответственность за утечку (разглашение, утрату, неправомерное использование) этой информации предусмотрена далеко не всегда. А вот ответственность за нарушение предусмотренного порядка ее защиты – обязательно. Именно в последнем нарушении содержатся основные риски.
Например, персональные данные. Ответственности за их утечку (разглашение) нет. Но есть ответственность за нарушение установленных правил обработки персональных данных (ст. 13.11 КоАП). Всякому понятно, что утечка может произойти несмотря на соблюдение всех положенных правил. И наоборот, фактически защитить данные можно без оформления предписанных формальных процедур и бумаг. Особенно – без бумаг. Но на практике проверяют как раз документы и штрафуют за их отсутствие.
Другая опасная для сисадмина тайна – это тайна связи (формально именуемая «тайна переписки,телефонных переговоров, телеграфных и иных сообщений», ч. 2 ст. 23 Конституции). «Иные» – это как раз электронная почта, ICQ и прочие интернет-коммуникации, содержание которых так интересно для типичных начальников, не принимающих всерьез термин «права человека».
Существует распространенное заблуждение, что служебные коммуникации якобы можно просматривать/прослушивать без согласия работника. Другой вариант той же сказки – что работника якобы достаточно официально уведомить, после чего перлюстрация становится законной. В США, то есть на родине фильмов и приключенческих романов, из которых это заблуждение почерпнуто, дело обстоит действительно так. Но на родине прав человека — в Европе, а заодно и в России, конституции устроены немного иначе. Ни уведомление, ни право собственности на средства связи не дает работодателю возможность перлюстрировать электронную почту и другие служебные каналы связи. Требуется письменное (и притом добровольное) согласие абонентов; впрочем, и оно в некоторых случаях будет недействительно (подробнее – тут: http://forensics.ru/zi-ts.html).
Правда, работники-правозащитники находятся редко. Поэтому тайна связи нарушается на российских предприятиях сплошь и рядом. Если на таком нарушении все-таки поймают, то сисадмин – первый кандидат в обвиняемые, а отдавший приказ начальник может и отвертеться.
Лицензируемая деятельность
В России существует достаточно много видов деятельности, требующих лицензии. Получать их долго и муторно, а иной раз без соответствующих связей и вообще невозможно. Кроме того, случаи, когда следует иметь лицензию, а когда нет, определены в законах не вполне четко. Подробности отданы на откуп ведомствам, которые и лицензируют тот или иной вид деятельности. Ведомства определяют границы лицензирования так, как им удобно, и иногда передвигают их без предупреждения.
Однако за работу без лицензии предусмотрена уголовная ответственность (ст. 171 УК). По этой статье чаще всего привлекают руководителя предприятия, но сисадмин тоже может попасть под раздачу, особенно если фактическую деятельность осуществлял он. К таковым занятиям относятся: услуги связи, обслуживание шифровальной техники, техническая защита информации и некоторые иные виды деятельности.
Другие
А еще сисадмин иногда становится объектом шантажа, угроз или подкупа со стороны желающих проникнуть в информационную систему предприятия, завладеть коммерческой тайной. Наслушавшись квазиглубокомысленных изречений в духе «человек – слабейшее звено защиты», некоторые злоумышленники и начинают атаку с этого звена. А кто у нас по умолчанию имеет высший допуск и максимальные технические полномочия? Админ. Вот его и прессуют, его и подкупают. Иногда внешние злоумышленники, а порой и представители внутренних группировок.
Отвечать на такие вызовы и ориентироваться в раскладе сил (чтоб вовремя стать на сторону победителя) технический специалист, как правило, не способен. Поэтому рискует остаться виноватым, даже если он и не виноват. А уж если поддался на угрозы, посулы и взятки, так тем более будет сделан ответственным за все. Выиграть у прожженных бюрократов на их поле по их правилам технарь не может. Даже не надейтесь.
Действенный способ защиты для админа – не иметь неограниченного доступа ко всей конфиденциальной информации. То есть учинить разделение полномочий, которое и рекомендуется стандартами по информационной безопасности.
Также на памяти автора были случаи, когда админов привлекали к ответственности за слишком ревностную или чересчур усердную защиту своих ресурсов (и подобных случаев было гораздо больше двух).
Борясь со спамом, DoS-атаками, фишингом, порнографией и прочими онлайновыми и оффлайновыми грехами, технари часто излишне усердствуют. И переходят грань закона, нарушая права других людей – самих защищаемых пользователей или вообще людей непричастных. Далеко не все средства защиты приемлемы. Администратор и даже работник интернет-провайдера – это не следователь, не судья и не палач, хотя частенько и норовит выполнять все три роли одновременно. Делать так не стоит. Конечно, большинство пользователей – ничтожные черви и бесправные рабы. Но все чаще попадаются среди них персонажи с прокачанным скилом «право/юриспруденция». И они могут поставить борцуна на место оригинальным способом – направлением заявления в милицию, ФСБ или подачей искового заявления в суд. А эти органы склонны руководствоваться оффлайновыми законами и полностью игнорировать «сетевые нормы» и понятия.
Заключение
Только с первого взгляда сисадмин взаимодействует с техникой. На самом деле каждой настройкой, каждой буквой в конфиг-файле, каждым заблокированным пакетом, каждой командой в консоли он воздействует на отношения между людьми. Не просто отношения, но те отношения, которые затрагивают права и свободы личности, а также деньги. Отношения, которые защищены законом. Неудивительно, что законы эти массово нарушаются.
Как видно, риски сисадмина лежат в правовой сфере. Не имея соответствующего образования, разобраться в них трудно. Поэтому не надо стесняться спрашивать совета и учиться.
