Взыскания за нарушения ИБ: как оформить по Трудовому кодексу
Правила ИБ без последствий остаются памяткой на портале: пароль на стикере замечают, обсуждают и забывают. Зафиксируйте, какие нарушения служба ИБ передаёт кадрам и какие меры вообще допустимы. Ниже рабочая таблица для небольшой компании. Это не юридическая консультация: меру выбирают кадры и руководитель по актуальной редакции Трудового кодекса, а не ответственный за ИБ «по своему регламенту».
Статья опирается на логику направления «Организационная структура» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.
Что допускает Трудовой кодекс
Статья 192 называет три дисциплинарных взыскания: замечание, выговор, увольнение по соответствующим основаниям. Иных «штрафов ИБ», лишения премии как взыскания и отработки в выходной кодекс не вводит. Применять можно только то, что прямо предусмотрено Трудовым кодексом, федеральными законами или уставом для отдельных категорий работников. Редакцию проверяйте по актуальному тексту.
| Мера | Срок / условие | Что сделать службе ИБ |
|---|---|---|
| Замечание | После письменного объяснения, в сроки статьи 193 | Передать кадрам факт, ссылку на пункт правил, доказательства |
| Выговор | То же; учитываются тяжесть и обстоятельства | Не предлагать «сразу выговор», если правила не доведены |
| Увольнение | Только по основаниям кодекса, подбор основания — за кадрами | Не формулировать основание самостоятельно |
Статья 193 задаёт порядок, который нельзя ускорить «из-за ИБ»: письменное объяснение, два рабочих дня на него, акт при отказе, приказ, ознакомление. Срок применения считают кадры (в том числе месяц со дня обнаружения с оговорками кодекса). Одно нарушение — одно взыскание. Риск обойти порядок: приказ потом отменяют, а повторно за то же событие наказать уже нельзя.
До взыскания сотрудник должен быть ознакомлен с правилами, которые якобы нарушил. Иначе разговор начинается с того, что требования не доводили. Опора: программа осведомлённости и памятка на одну страницу.
Что делает ИБ, что делают кадры
| Шаг | ИБ | Кадры и руководитель |
|---|---|---|
| Обнаружение | Фиксирует факт, время, систему, какие правила задеты | Не участвуют, пока нет служебной записки |
| Доказательства | Сохраняет журналы и переписку, не правит исходные файлы | Оценивают допустимость доказательств в трудовом споре |
| Квалификация | Описывает событие своими словами, без ярлыка взыскания | Соотносят с трудовыми обязанностями и статьёй 192 |
| Мера | Может указать тяжесть для бизнеса, не выбирает вид взыскания | Издают приказ, знакомят, хранят в личном деле |
Кто в какой роли участвует в самом решении «заблокировать доступ / объявить инцидент», описано в матрице ответственности. Это другой документ: там роли в операции, здесь — последствия для работника. Назначение и полномочия ответственного: приказ о назначении.
Ориентир по типовым нарушениям
Таблица ниже — внутренняя памятка для служебной записки, а не автоматический «тариф». Одинаковые события без ознакомления с правилами и с ознакомлением разбираются по-разному. Увольнение в правом столбце означает «кадры проверяют, есть ли основание в кодексе», а не «ИБ увольняет».
| Событие | Что зафиксировать | Ориентир для кадров |
|---|---|---|
| Пароль на стикере, повторно после инструктажа | Дата инструктажа, фото или акт осмотра рабочего места без лишних ПДн | Замечание, при повторе — выговор |
| Пересылка рабочей почты на личный ящик | Письмо, правило о каналах, факт ознакомления | Выговор; при составе данных — смотреть ещё требования к ПДн |
| Учётка уволенного жива спустя дни | Дата увольнения из кадров, журнал доступа | Разбирать процесс, не только человека; см. отзыв доступа |
| Отключение журналирования «чтобы не мешало» | Изменение конфигурации, кто применил, было ли согласование ИБ | Выговор исполнителю; принятие риска — за руководителем |
| Сообщил о фишинге и ошибке вовремя | Время сообщения, что сделано | Взыскание не применяется: канал сообщений не должен наказывать за добросовестный доклад |
Служебная записка в кадры
Кому: кадровая служба / руководитель подразделения
От: ответственный за информационную безопасность
Дата: ДАТА
Тема: фиксация события, связанного с правилами ИБ
1. Что произошло (без домыслов): ...
2. Когда обнаружено и кем: ...
3. Какие пункты каких документов задеты: ...
4. Был ли сотрудник ознакомлен, дата и способ: ...
5. Какие журналы и файлы сохранены, где лежат: ...
6. Предварительная оценка вреда для бизнеса (не мера взыскания): ...
Прошу рассмотреть в порядке статей 192 и 193 Трудового кодекса.
Взыскание службой ИБ не предлагается.Не пишите в записке «применить выговор»: это решение работодателя. Не храните в общем чате дампы почты с персональными данными — укажите путь к защищённому каталогу.
Чем грозит обход порядка
Трудовой спор и отмена приказа — зона кадров и суда, не ИБ. Для компании отдельно остаются требования к персональным данным и возможные санкции по КоАП: размеры не повторяем, канон на сайте — обзор штрафов. Служба ИБ отвечает за то, чтобы факт был собран вовремя и без порчи доказательств.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| ИБ «штрафует» лишением доступа навсегда | Блокировка учётки при инциденте — мера защиты, не взыскание. Срок блокировки согласуйте с руководителем и кадрами |
| Приказ о взыскании через неделю после служебной записки без объяснения | Пропущен порядок статьи 193. Остановите процесс и передайте кадрам заново |
| Наказывают того, кто сам сообщил о письме | Канал сообщений сломан. Зафиксируйте в правилах: добросовестный доклад не является основанием взыскания |
| В положении ИБ свои виды наказаний | Локальный акт не может расширить статью 192. Вычеркните «штраф ИБ», оставьте отсылку к кодексу |
Где это в модели зрелости
Материал относится к направлению «Организационная структура» (хаб: организационная структура, карта: карта зрелости). Гигиена здесь — не «таблица наказаний от ИБ», а согласованный с кадрами порядок: правила доведены, факт фиксируется, меру применяет работодатель по кодексу. Без этого обязанности из должностной инструкции не на что опереться.
Как проверить готовность
- В правилах ИБ нет собственных видов взысканий, есть отсылка к статьям 192 и 193.
- Есть шаблон служебной записки; в нём нет готовой «меры».
- Последние три инструктажа имеют листы ознакомления с датами.
- Кадры подтверждают, что знают порядок объяснения и сроков и что ИБ не издаёт приказы о взыскании.
- В правилах явно сказано: сообщение о подозрении само по себе не наказывается.
Как делают в международной практике
В каталоге мер NIST SP 800-53 есть семейство Personnel Security, в том числе контроль санкций за нарушения политик (PS-8). Это рамка для крупных организаций США, не российский закон и не замена Трудового кодекса: csrc.nist.gov.
Источники
- Трудовой кодекс Российской Федерации, статьи 192 и 193. Редакцию проверяйте по актуальной: consultant.ru.
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- NIST SP 800-53 Rev. 5.1.1, контроль PS-8 Personnel Sanctions. Не закон РФ: csrc.nist.gov.
