Риски системного администратора

Николай Николаевич Федотов, главный аналитик компании «InfoWatch»

Риски системного администратора

СЕМЬ И ЕЩЕ ОДИН СПОСОБ ПОДВЕСТИ СИСАДМИНА ПОД МОНАСТЫРЬ

Со временем работа в должности сисадмина становится все более и более рискованной. Ведь на самом деле администратор рулит не техникой, а деньгами, нематериальными активами, людьми, репутацией компании. Соответственно с этим — и его ответственность. 

ДЕРЖАЩИЙ ЗА ЧУВСТВИТЕЛЬНЫЕ МЕСТА

Чем дороже может  обойтись инцидент, тем строже отбор  в соответствующую профессию. Для управления атомной станцией или подлодкой-носителем ЯО персонал тестируют тщательнее. Алкоголикам, суицидникам, буддистам и пох... фаталистам там не место. Дня того, чтобы держать в руках автомат Калашникова, отбор не такой строгий: отсеивают лишь откровенных психов и уголовников. Остальным оружие можно (некоторым даже нужно, помимо их желания). Чтобы иметь право сесть за руль автомобиля (источник повышенной опасности), также требуется доказать, что претендент в состоянии отвечать за свои действия. И получить соответствующий документ. Для управления компьютером специальной лицензии не предусмотрено. Считается, что неумелый или неадекватный человек перед монитором может навредить лишь себе самому и своим данным. Так оно и было лет двадцать назад.

Ситуация меняется довольно быстро. Информация дорожает. Коммерческая тайна, интеллектуальная собственность, инсайдерская информация растут в цене быстрее золота, а по объему—так их просто пучит. Прощелкав вирус, можно парализовать на полдня работу офиса. Аукрав ма-а-а-аленькую флешку с тремя миллионами записей, можно выручить на черном рынке аж 5 0 американских центов... за каждую запись.

Кроме того, рассказывают (но чаще показывают в фильмах), что  кое-где компьютеры подключены к разным автоматизированным производствам и к интернету одновременно. И существует теоретическая возможность несколькими коварными кликами мыши из-за моря уронить спутник, самолет, курс местной валюты или даже авторитет местного президента. Вероятность, конечно, очень малая, но зато потенциальный ущерб огромен. Их произведение (стоимость риска) получается внушительное. Ответственность админа—соответствующая. До лицензий на право управления компьютером пока не додумались (вернее, додумались, но никто не горит желанием возложить на себя часть ответственности за то, что станут вытворять в Сети пользователи с выписанными ими «правами». А простую бумажку «Computer drive licence» могут выписать любому желающему).

Однако, важность (опасность) сисадмина уже осознали. Поэтому в серьезных конторах его производственные функции делят между двумя-тремя работниками. Чтобы один знал, но не мог, другой мог, но не знал, а третий (родственник директора) приглядывал за этими двумя грамотеями, чтобы они не сговорились. Впрочем, читателя, наверное, волнуют совсем другие риски: что грозит самому админу 

в случае неудачного сочетания звезд над его головой. Перечислим основные риски.

НЕПРЕРЫВНОСТЬ БИЗНЕСА

Первый и основной риск сисадмина—самый неинтересный. Если он будет нерадиво исполнять  должностные обязанности, и из-за этого предприятие понесет убытки, у руководства может возникнуть идея подвергнуть его не только дисциплинарной ответственности, но и получить возмещение убытков в гражданском порядке. При этом не так важно, что именно написано в трудовом договоре: каждый человек должен возмещать причиненные им убытки. Кроме того, руководству предприятия тоже надо отчитываться: перед акционерами, перед кредиторами и партнерами, перед регулирующими органами. Любые неудачи и потери, связанные с компьютерной техникой, логичнее всего перевалить на админа. Все равно кроме него в этих гудящих электронных штуках никто не разбирается.

В практике автора был такой случай. Предприятие, оказывающее услуги связи, подошло к грани полного банкротства: доходы падают, работники разбегаются, кредит поспел, а возвращать его нечем. И тогда директор делает отчаянную попытку спасти положение, а точнее — свалить вину на другого. Выявляется один случай хищения (через подтасовку данных в биллинговой системе),в этом обвиняется самый беззащитный из работников (недавно уволившийся) , фальсифицируются доказательства и подается соответствующее заявление в правоохранительные органы. При полном бардаке на предприятии и десятках недовольных, не получающих зарплату работниках найти один случай хищения — не проблема. Проблемой было бы не замечать воровства. Вписать в лог-файл нужный IP-адрес и закрепить это актом осмотра — тоже не вопрос (некоторые из инженеров отказались подписывать этот акт, но следствие это обстоятельство не заинтересовало). Далее дело пошло по давно накатанной (кое-где у нас порой) обвинительной колее. «Правильные» показания свидетелей собирались, «неправильные» игнорировались. На одного подозреваемого валили все хищения, нарушения и недостачи, все причастные это с радостью подтверждали. Нашли послушного эксперта, который и написал в заключении то, что велел следователь. Дело сшито и передано в суд. У руководства появились оправдания перед кредиторами — дескать, это не мы плохо работали, это вот он все украл. Компания все равно разорилась, а сисадмин получил срок по статье 272 (неправомерный доступ).

САБОТАЖ

Как известно, работники  выражают свое недовольство разными  способами. Одни сводятся к неисполнению обязанностей, другие—к пунктуальномуидословномуихисполнению. В обоих случаях все ломается и стопорится (конкретные причины айтишного саботажа смотри на диаграмме). То и другое именуется «саботаж», а в отдельных, запущенных случаях—вредительство.

В области  IT то и другое можно осуществить нажатием нескольких клавиш. Больше всего возможностей учинить саботаж или пресечь его—у админа. С него и главный спрос.

Но даже когда  все сломалось по стихийным причинам, у начальства часто появляется подозрение на злой умысел. Во времена иные стихии в технике вообще не признавали: техника-де вещь детерминированная, если что-то пошло не так, то кто-то это устроил—найти и наказать! В конце XX века прогрессивные мыслители, адепты гуманизма додумались до концепции техногенной катастрофы. Этот термин означает, что стихийная сила может действовать не только в дикой природе, но и в недрах творения рук человеческих, в программном обеспечении, в частности. Ученые признали, что современная техника вовсе не детерминирована и вполне может непредсказуемо выйти из-под контроля. Но эту правовую новеллу далеко не все принимают. Поэтому попытки обязательно найти виновного продолжаются. Не найти—так назначить.

От этого назначения сисадмин может спастись лишь составлением правильных бумаг. Причем своевременным составлением. Когда техногенная катастрофа местного масштаба произошла, писать объяснительные уже поздно. Следует пригласить юриста и поработать над бюрократическим прикрытием своей филейной части заблаговременно.

АВТОРСКИЕ ПРАВА

Так называемые права интеллектуальной собственности  на программы для ЭВМ и прочий цифровой контент не только дорожают (причем не за счет повышения цен на каждую лицензию, аза счет увеличения числа объектов интеллектуальной собственности в деятельности предприятия и скорости смены «поколений» софта). Кроме того, обостряется борьба за них. Как логично рассудил товарищ Сталин в 1928 году, классовая борьба должна постоянно обостряться, поскольку буржуи не будут молча терпеть, когда начнется индустриализация, которая сведет на нет роль частной собственности в СССР. А поэтому нужны посадки. С каждым годом все больше. То ли Вождь все верно рассчитал, то ли решение задачи подогнали под ответ, но репрессии против буржуев и их приспешников пошли с этого года нарастающими темпами. Совер- 

шенно аналогичная ситуация сложилась  с авторскими правами в наше время. Пираты, согласно расчетам BSA и IFPI, должны наносить ущерб правообладателям во все возрастающих масштабах. Поэтому наказания за соответствующие нарушения должны постоянно ужесточаться. Так оной происходит.

Ныне  в России за нарушение авторских прав в размере меньше 50 тысяч рублей предусмотрена административная ответственность (ст. 7.12 КоАП), а для большего размера—уголовная (ч. 2-3 ст. 146 УК). Плюс гражданско-правовая в качестве довеска в обоих случаях. Гражданскую ответственность может нести как физлицо, так и предприятие. А вот уголовную разрешается возлагать только на человека. Поэтому требуется козел отпущения. Им часто становится сисадмин. По закону, отвечать должен тот, кто инсталлировал контрафактное ПО, причем лишь в том случае, если точно знал, что оно контрафактное (то есть, предприятие не заключило лицензионный договор с правообладателем) . На практике с органов требуют план по раскрываемости и органы его дают. План обычно таков, что времени на сбор доказательств очень мало. Так что, если в вашем хозяйстве водится контрафактного софта более чем на 50 000 совокупно, вы имеете высокие шансы сделаться козлом отпущения, если что.

Понятно, что благородных донов, желающих взять на себя ответственность за контрафакт, среди работников не найдется. Скорее всего, все они дружно по подсказке следователя укажут пальцем на админа: «Это он все устанавливал». А показания свидетелей в судах «весят» значительно тяжелее, чем всякие компьютерно-технические экспертизы и заключения специалистов.

На практике чаще всего делают обвиняемым именно администратора или эникейщика. Так называемое «дело Поносова» представляло собой своего рода исключение: обвиняемым стал директор организации, а не сисадмин. Чаще вину сваливают (тоже по должности, а не по вине) на безответного и юридически безграмотного сисадмина. Кроме программ для ЭВМ, объектами авторского права являются фонограммы (музыка, аудиокниги), аудиовизуальные произведения (фильмы, клипы), художественные тексты, объекты изобразительного искусства (рисунки, фотографии, элементы дизайна), а также шрифты. Все эти объекты в цифровой форме, если они не оплачены, при необходимости зачтутся в общую сумму нарушений.

Для возбуждения  дела заявления правообладателя  не требуется. Если не найдут потерпевшего (его полномочного представителя в России) , то могут обойтись и без его участия (за подробностями прошу проследовать в ЧаВо по компьютерным преступлениям от сетевых правоведов: http://www.internet-law.ru/mtlaw/crime/faq.htm). Автор

статьи частенько выступает в роли эксперта или специалиста по таким уголовным делам. Но защитить подсудимого очень трудно — как правило, уже поздно. Кое-что можно сделать на этапе предварительного следствия, до назначения экспертизы, а дальше уже труднее. После окончания следствия, на судебном заседании, помочь практически нечем. Самая эффективная защита от несправедливого (а также и частично справедливого) обвинения в нарушении авторских прав на ПО может быть оказана до того, как в офис пришли «с проверкой» или уже с постановлением на обыск.

СЛУЖЕБНОЕ ПРОИЗВЕДЕНИЕ

Этот риск также  связан с авторскими правами. Но здесь  строгость закона играет уже на другую сторону. Как известно, админу трудно обойтись без создания собственных  программ. Небольшие шелл-скрипты, макросы для MS Office, какая-нибудь учетная БД и веб-интерфейс к ней, SQL-функция, однострочный Java-скрипт на веб-страничке и так далее. Все это — объекты интеллектуальной собственности. Права на них принадлежат предприятию, если в трудовом договоре прописана обязанность работника создавать такие программы (это называется «служебное произведение», ст. 1295 ГКРФ). Если не прописана, то все права остаются у автора. Сисадмин мог уже и сам забыть об этом, сменить место службы, но его скрипт, его интеллектуальная собственность исправно работает на сервере предприятия и при этом является контрафактной. Будучи правообладателем, бывший работник (и даже не бывший) может предъявить претензии к нарушителю авторских прав. В этом случае вся текущая истерия по поводу пиратства и все перекосы в законодательстве будут играть на стороне автора. Таких юридических мин замедленного действия типичный сисадмин оставляет за собой кучи. Их вполне может набраться на 50 000 рублей (уголовная ответственность), а уж на гражданскую хватит в любом случае. Защищаться от этого риска выгоднее всего при найме работника. К тому времени, когда он решил уволиться, разрулить ситуацию встанет существенно дороже.

ВРЕДОНОСНЫЕ ПРОГРАММЫ

Создание и  использование вредоносных программ (ч. 1 ст. 273 УК) — это деяние, наказуемое в случае умышленного его совершения. По неосторожности оно будет преступлением (ч. 2 той же статьи) только в случае тяжких последствий. До сих пор вторая часть ни разу не применялась. Кстати говоря, «Тяжкие последствия» — это нечто наподобие показанного в фильме «Крепкий орешек-4», но российская техника еще не настолько интернетозависима. Сисадмин рискует попасть под 273-ю статью, если он установит на компьютер работника троянскую шпионскую программу — боль-