Риски системного администратора

шинство программ этого класса являются вредоносными. Автору несколько раз рассказывали знакомые и клиенты, как начальник требовал от админа поставить программу-шпион кому-то из подчиненных. Получение приказа не освобождает исполнителя от уголовной ответственности, если приказ заведомо незаконный (ч. 2 ст. 42 УК), а в случае троянской программы это так. Кроме того, сисадмин в своей работе иногда использует иные программы двойного назначения: кейгены, сниферы, подборщики паролей, сканеры. Они вредоносными не являются, но следователь и его «карманный» эксперт могут этого не знать. Или не хотеть знать. На практике достаточно много случаев, когда статью 273 рисуют без любых на то оснований за всякие «нехорошие», но отнюдь не вредоносные программы (ахтунг — вредоносной является не любая программа, причиняющая вред. И наоборот, принести вред может вполне законная программа). Оправдаться от такого обвинения достаточно сложно в силу полного отсутствия специальных знаний у милиции и судей. Был интересный случай, когда под статью за вредоносные программы попали авторы хорошо известной и популярной программы «KGB Spy». Им удалось в конце концов доказать свою невиновность (не без содействия автора), но чего им это стоило! Если программист не так известен и не настолько состоятелен, он может и не оправдаться от обвинений. Установить, является ли программа вредоносной, можно, самостоятельно разобравшись во всех технико-правовых тонкостях вопроса, а можно обратиться к специалисту. Стоит ли напоминать, что делать это надо как можно раньше, пока «болезнь» еще не запущена.

ТАЙНЫ

Законодательство  предусматривает несколько десятков видов тайн, то есть конфиденциальной информации, подлежащей обязательной защите (список конкретных тайн можно найти, например, тут: http://infowatch.livejournal.com/55585.html). Совсем недавно прибавился еще один вид — так называемая инсайдерская информация, ее следует защищать, даже если она не конфиденциальна. Прикол в том, что ответственность за утечку (разглашение, утрату, неправомерное использование) этой информации предусмотрена далеко не всегда. А вот ответственность за нарушение предусмотренного порядка ее защиты — обязательно. Именно в последнем нарушении содержатся основные риски.

Например, персональные данные. Ответственности  за их утечку (разглашение) нет. Но есть ответственность за нарушение установленных правил обработки персональных данных (ст. 13.11 КоАП). Всякому понятно, что утечка может произойти несмотря на соблюдение всех положенных правил. И наоборот, фактически защитить данные можно без оформления предписанных формальных процедур и бумаг. Особенно — без бумаг. Но на практике проверяют как раз документы и штрафуют за их отсутствие.

Другая  опасная для сисадмина тайна  — это тайна связи (формально  именуемая «тайна перепискиделефонных переговоров, телеграфных и иных сообщений», ч. 2 ст. 23 Конституции). «Иные» — это как раз электронная почта, ICQ и прочие интернет-коммуникации, содержание которых так интересно для типичных начальников, не принимающих всерьез термин «права человека». Существует распространенное заблуждение, что служебные коммуникации якобы можно просматривать/прослушивать без согласия работника. Другой вариант той же сказки — что работника якобы достаточно официально уведомить, после чего перлюстрация становится законной. В США, то есть на родине фильмов и приключенческих романов, из которых это заблуждение почерпнуто, дело обстоит действительно так. Но на родине прав человека — в Европе, а заодно и в России, конституции устроены немного иначе. Ни уведомление, ни право собственности на средства связи не дает работодателю возможность перлюстрировать электронную почту и другие служебные каналы связи. Требуется письменное (и притом добровольное) согласие абонентов; впрочем, и оно в некоторых

случаях будет недействительно (подробнее  — http: //forensics.ru/ zbtsjurnl).

Правда, работники-правозащитники находятся  редко. Поэтому тайна связи нарушается на российских предприятиях сплошь и рядом. Если на таком нарушении все-таки поймают, то сисадмин — первый кандидат в обвиняемые, а отдавший приказ начальник может и отвертеться.

ЛИЦЕНЗИРУЕМАЯ ДЕЯТЕЛЬНОСТЬ

В России существует достаточно много видов  деятельности, требующих лицензии. Получать их долго и муторно, а иной раз без соответствующих связей и вообще невозможно. Кроме того, случаи, когда следует иметь лицензию, а когда нет, определены в законах не вполне четко. Подробности отданы на откуп ведомствам, которые и лицензируют тот или иной вид деятельности. Ведомства определяют границы лицензирования так, как им удобно, и иногда передвигают их без предупреждения.

Однако  за работу без лицензии предусмотрена  уголовная ответственность (ст. 171 УК). По этой статье чаще всего привлекают руководителя предприятия, но сисадмин тоже может попасть под раздачу, особенно если фактическую деятельность осуществлял он. К таковым занятиям относятся: услуги связи, обслуживание шифровальной техники, техническая защита информации и некоторые иные виды деятельности.

ДРУГИЕ

А еще  сисадмин иногда становится объектом шантажа, угроз или подкупа со стороны желающих проникнуть в информационную систему предприятия, завладеть коммерческой тайной. Наслушавшись квазиглубокомысленных изречений в духе «человек — слабейшее звено защиты», некоторые злоумышленники и начинают атаку с этого звена. А кто у нас по умолчанию имеет высший допуск и максимальные технические полномочия? Админ. Вот его и прессуют, его и подкупают. Иногда внешние злоумышленники, а порой и представители внутренних группировок.

Отвечать  на такие вызовы и ориентироваться  в раскладе сил (чтоб вовремя стать на сторону победителя) технический специалист, как пра- 

вило, не способен. Поэтому рискует остаться виноватым, даже если он и не виноват. А уж если поддался на угрозы, посулы и взятки, так тем более будет сделан ответственным за все. Выигратьу прожженных бюрократов на их поле по их правилам технарь не может. Даже не надейтесь. Действенный способ защиты для админа — не иметь неограниченного доступа ко всей конфиденциальной информации. То есть учинить разделение полномочий, которое и рекомендуется стандартами по информационной безопасности.

Также на памяти автора были случаи, когда админов  привлекали к ответственности за слишком ревностную или чересчур усердную защиту своих ресурсов (и подобных случаев было гораздо больше двух). Борясь со спамом, DoS-атаками, фишингом, порнографией и прочими онлайновыми и оффлайновыми грехами, технари часто излишне усердствуют. И переходят грань закона, нарушая правадругих людей—самих защищаемых пользователей или вообще людей непричастных. Далеко не все средства защиты приемлемы. Администратор и даже работник интернет-провайдера—это не следователь, не судья и не палач, хотя частенько и норовит выполнять все три роли одновременно. Делать так не стоит. Конечно, большинство пользователей — ничтожные черви и бесправные рабы. Но все чаще попадаются среди них персонажи с прокачанным скилом «право/юриспруденция». И они могут поставить борцуна на место оригинальным способом — направлением заявления в милицию, ФСБ или подачей искового заявления в суд. А эти органы склонны руководствоваться оффлайновыми законами и полностью игнорировать «сетевые нормы» и понятия.

ЗАКЛЮЧЕНИЕ

Только с первого  взгляда сисадмин взаимодействует  с техникой. На самом деле каждой настройкой, каждой буквой в конфиг-файле, каждым заблокированным пакетом, каждой командой в консоли он воздействует на отношения между людьми. Не просто отношения, но те отношения, которые затрагивают права и свободы личности, а также деньги. Отношения, которые защищены законом. Неудивительно, что законы эти массово нарушаются.

Как видно, риски сисадмина лежат в правовой сфере. Не имея соответствующего образования, разобраться в них трудно. Поэтому не надо стесняться спрашивать совета и учиться, зс