Первый Закон

Собственно, тема поднималась в соседнем блоге. И холивар на тему был нешуточный. Но последние события заставили меня вернуться к вопросу, кто должен совершать перлюстрацию, человек или машина.
С одной стороны – аргументы одного из оппонентов – выглядят логично и щекочут Чувство Собственной Важности контролируемого. Запрещено читать – и точка. Отказ от прав – ничтожен, так что видал я ваши подписки!
С другой – выстроена чёткая и понятная система, в соответствии с которой личной информации на работе не должно быть по определению, и если сотрудник безопасности её прочёл, то сугубо потому, что автор ему специально её отправил.
Я не знаю, кто из них прав, я не юрист, я автоматчик. И в мою голову чётко вбили, что если автоматическая система нанесла вред человеку, то отвечающий за её безопасную работу должен ответить по закону. Независимо от того, нарушал пострадавший правила техники безопасности или нет. Потому что прямое следствие из обоих Первых Законов – в связке человек-машина слабым звеном всегда является человек.
С третьей – первый оппонент сам рассказывал леденящие души истории о том, как плохо принимать автоматизированные решения на основании трех красных линий в личном деле.
Расскажу то же самое, но посовременней. Некая дама уехала из «цивилизованной» страны в «нецивилизованную». Временно, к родственникам. А муж её, сотрудник иммиграционного ведомства – внёс благоверную в список потенциальных (!) террористов. Всё. Три года мыканья в чужой стране без права вернуться домой, или хотя бы узнать, а на каком, собственно, основании?
Теперь переносим ситуацию в контору, где применяется DLP «без перлюстрации». Нечистоплотный сотрудник СБ (или внедряющей организации) ставит алерт на некое невинное действие, характерное для конкретной личности. Один-два звоночка и человек расстаётся с организацией. Объяснить за что, ему не могут. В связи с «защитой его прав личности». Вот нельзя читать перехваченное письмо и всё тут. Даже если он сам попросит. Ибо отказ от прав – ничтожен.
Как решить проблему юридически в существующем правовом поле? Я не знаю. Я даже не уверен, что её следует решать именно юристам. Я бы скорее поручил это геймдизайнеру. Не из тех, что клоны ферм и Пользовательских Соглашений плодят, а из тех, что осознают, что «что запрещено – должно быть или невозможно, или невыгодно».
И ещё. Это очередной звоночек. Очередной повод собраться вместе и подумать, а нужно ли нам повсеместное внедрение «общечеловеческих» стандартов, с учётом того, что под общечеловечестовм понимается хорошо если пятая часть человечества. И сделать… хорошо.
Александр Ерощев
специалист по информационной безопасности компании SearchInform