Плейбук: подозрение на выгрузку данных сотрудником перед уходом

Сотрудник готовится уйти и, возможно, выносит базу клиентов или документы. Не объявляйте ему о подозрении, пока не сохранили журналы и не позвали юриста и кадры. Это не доступ уволенного, который не отозвали: доступ уволенного. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Слежку сверх закона и трудового договора не ведём.

Признаки и что не делать

Необычный объём выгрузок из CRM или файлового сервера, копирование на личные носители и в личную почту, доступ к данным вне должностных задач, интерес к чужим разделам. Не конфликтуйте с сотрудником сами. Не читайте личную переписку. Не обсуждайте подозрение в общих чатах. Не блокируйте всё сразу: потеряете следы и возможность доказать.

Схема решений

Читайте сверху вниз. Оранжевая рамка — вопрос: «да» уводит вправо, «нет» продолжает путь вниз. Текст ниже ведёт по тем же шагам и добавляет команды и пояснения.

Первые шаги

1. Руководитель инцидента вместе с юристом и кадрами решает, что законно собирать: журналы входов, выгрузок, DLP и прокси в рамках политики и трудового договора.
2. Снимите журналы за период: входы, выгрузки из CRM, обращения к файловому серверу, отправка на внешние адреса. Храните копию вне системы сотрудника.
3. Если выгрузка подтверждается: сузьте права по минимуму без объявления причин, затем разговор с руководителем и кадрами.
4. Данные на личных устройствах или в личной почте: запросите письменно вернуть и удалить, подтверждение сохраните: обязательство о неразглашении.
5. ПДн вынесены: сроки Роскомнадзора идут от выявления: уведомление Роскомнадзора.

Приоритет: высокий; критический при базе клиентов или ПДн. Эскалация директору и юристу сразу. Без согласования с юристом сотруднику ничего не сообщайте.

Кто что делает и в какой срок

Первый звонок: директор и юрист. Ориентир срока первой реакции в малой компании: критический приоритет — сразу и не позже 15 минут, высокий — в течение часа, средний — в течение рабочего дня. Подставьте свои сроки в карточку инцидента; уровень выбирайте по наибольшему возможному ущербу, а не по тому, что видно сейчас (классификация).

Если людей двое, руководитель инцидента ведёт и журнал, а администратор делает действия.

Когда считать закрытым

• Журналы и доказательства сохранены вне системы сотрудника
• Права сужены, личные носители и ящики запрошены к возврату
• Состав вынесенных данных определён
• Уведомление Роскомнадзора отправлено или записано решение, что оно не нужно, с причиной (сроки 24 и 72 часа идут от выявления)

Что сохранить: журналы входов и выгрузок за период; список данных и систем; письменное требование вернуть и удалить. Ссылки на материалы кладите в карточку инцидента, сами значения секретов и персональные данные в карточку не копируйте. Если затронуты персональные данные, часы Роскомнадзора идут от выявления, а не от подтверждения.

Разбор: в течение пяти рабочих дней по схеме разбора после инцидента. Типичная первопричина здесь: нет журналов выгрузок и нет правил по личным носителям. Допишите в этот плейбук шаг, которого не хватило, и укажите дату правки. Остальные сценарии — в каталоге плейбуков.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). DLP и журналы дают сигнал; плейбук задаёт порядок: факты, юрист, права.

Как проверить

1. В плейбуке первым шагом сбор журналов и юрист, а не блокировка.
2. Список того, что можно собирать по политике и трудовому договору, согласован заранее.
3. Есть форма запроса вернуть и удалить данные.

Источники

• CIS Control 17: cisecurity.org/controls.
• NIST SP 800-61 Rev. 3: csrc.nist.gov. Не закон РФ.