Цифровизация кадров: почему безопасность превыше всего

Защитить нельзя игнорировать: где поставить запятую

Информационная безопасность всегда была критически важна для бизнеса. Но сегодня ИБ-повестка вышла на новый уровень. Причин тому несколько.

Участились кибератаки, напрямую влияющие на работу компаний. Громкие случаи вроде инцидента с «Аэрофлотом» — лишь верхушка айсберга. Подобные атаки наносят ощутимый ущерб и бьют по репутации: даже при быстром восстановлении сервисов новости о взломе надолго остаются в памяти клиентов и партнеров.

Источники угроз расширились из-за геополитических причин. Ужесточилось и государственное регулирование. Если раньше утечка персональных данных могла пройти незаметно финансово, то сейчас за повторные нарушения грозят оборотные штрафы в процентах от оборота компании.

Идеальной защиты не существует, но теперь компании вынуждены делать для своей безопасности значительно больше. Инвестировать в защиту данных стало выгоднее, чем платить штрафы.

Всё это приводит к ключевому выводу: системы обработки персональных данных должны соответствовать высочайшим требованиям информационной безопасности. От этого зависит не только непрерывность бизнеса, но также его репутация и финансовое благополучие.

Из чего складывается безопасность в КЭДО

Александр Быков

эксперт по информационной безопасности Directum

Надежная система должна обеспечивать три ключевых аспекта информационной безопасности: конфиденциальность, целостность и доступность. В основном, конечно, всех интересует конфиденциальность — как сделать так, чтобы те, кому не положено видеть персональные данные, их не видели.
При этом нельзя забывать и о том, чтобы данные не могли быть изменены несанкционированно, а сервисы оставались работоспособными. Комплексный подход дает возможность создать среду, которой можно доверить самые чувствительные данные компании.

Система кадрового электронного документооборота (КЭДО) — это по умолчанию система обработки персональных данных. Работодатель, выбирая такое ПО, берет на себя роль оператора этих данных и обязан охранять их. В современных условиях, когда риски и требования ужесточились, к защите HR-систем предъявляются особые требования. Разберем подробно, какие именно.

Продуманная архитектура и шифрование

Архитектура систем КЭДО: просто о сложном Первый и важный принцип: наиболее ценные данные в системе должны быть отделены в защищенном сегменте. Это достигается за счет микросервисной архитектуры, которая изначально закладывает разделение ПО на уровни и сервисы.

Дополнительные рубежи обороны, например демилитаризованная зона (DMZ), помогают фильтровать неавторизованный доступ. Для защиты данных при передаче по открытым каналам (через интернет) обязательно использовать российскую криптографию, такую как ГОСТ TLS. Это защищает от перехвата извне.

Важно уделить особое внимание привилегированным специалистам (администраторам, служебным пользователям), чьи учетные записи имеют широкие права. Доступ к критически важным настройкам и внутренним сведениям, таким как пароли к базам данных (БД), должен быть защищен дополнительным шифрованием конфигурационных файлов. Это предотвращает ситуацию, когда злоумышленник, получив доступ к файлам настроек, сможет ими воспользоваться.

Все нюансы учтены в отечественной системе для цифровизации кадровых процессов и документов Directum HR Pro. Архитектура на основе микросервисов дает возможность распределить данные по сегментам сети: сервисы личного кабинета вынесены в DMZ, а наиболее чувствительные сведения изолированы за несколькими уровнями защиты. Все конфигурационные файлы с критичными данными (доступы к БД, служебные учетные записи) надежно шифруются. Для защиты информации при передаче используется шифрование каналов связи по протоколам TLS/ГОСТ TLS, что соответствует требованиям ФСБ к защите персональных данных.

Архитектура Directum HR Pro

Замкнутый контур: независимость как гарантия доступности

На страже безопасности: как компании с закрытым контуром выбрать систему КЭДО Часто компании стремятся размещать системы КЭДО на своих ресурсах, ведь зависимость от сторонних сервисов создает риски: сбой у внешнего провайдера может парализовать ключевые кадровые процессы.

Яркий пример — функция электронной подписи. Ее можно организовать на базе облачного удостоверяющего центра (УЦ): это быстро и удобно. Но если этот УЦ или инфраструктура провайдера окажутся недоступны (как это случалось на рынке), подписание документов встанет.

Решение — замкнутый контур, когда вся инфраструктура, включая УЦ, развернута внутри периметра компании. Это обеспечивает максимальную независимость от внешних сбоев. Даже при проблемах с интернет-каналами сотрудники в офисе сохранят возможность подписывать документы в рабочей локальной сети.

Разделение сети на сегменты для обеспечения безопасности

Directum HR Pro подходит компаниям с любой степенью закрытости. Система интегрирована с отечественными криптопровайдерами (КриптоПро) и умеет работать с собственными УЦ заказчиков. Это не только повышает отдачу от инвестиций в инфраструктуру, но и дает компании свободу выбора — можно использовать имеющийся УЦ, если он есть, или работать с любым из внешних провайдеров.

Импортонезависимость: безопасность вместо скрытых рисков

Импортозамещение — вопрос не только следования госпрограммам, но также безопасности и непрерывности бизнеса. Массовый уход зарубежных провайдеров с российского рынка показал, к чему приводит зависимость от иностранного ПО: компании остались без лицензий, технической поддержки и обновлений безопасности.

Но риски от использования зарубежных решений глубже. Недокументированные возможности («закладки») — это реальная угроза. Речь может идти о встроенных учетных записях, через которые разработчик или злоумышленник может получить полный контроль над системой и данными. Российский регулятор не проводит независимую проверку такого ПО на предмет подобных уязвимостей.

Отечественные продукты, в отличие от зарубежных, проходят сертификацию уполномоченных организаций в области безопасности. Пока такая проверка добровольная, не все вендоры на нее решаются. Поэтому факт сертификации свидетельствует о зрелости и качестве программного продукта.

Directum HR Pro — полностью российская система. Её развитие и поддержка осуществляются внутри страны, что гарантирует непрерывность обновлений и сводит к нулю риск внезапного ухода вендора.

Безопасность в облаке: изоляция и аттестованная инфраструктура

Многие сервисы на рынке экономят за счет модели мультитенантности, когда одна система и инфраструктура обслуживают множество не связанных друг с другом клиентов. Для кадровых систем, работающих с персональными данными, такой подход несет повышенные риски: сбой или атака на одну компанию могут затронуть всех остальных.

Александр Быков

эксперт по информационной безопасности Directum

Гораздо надежнее другой подход — выделенный стенд для каждого заказчика. Это означает полную изоляцию на уровне виртуальных машин. Данные и приложение одного клиента физически отделены от других, что значительно повышает и конфиденциальность, и доступность.

Но даже выделенный стенд развернут в инфраструктуре облачного провайдера. Поэтому критически важен выбор партнера. Directum HR Pro сотрудничает только с провайдерами, чьи инфраструктуры имеют аттестат соответствия требованиям по уровню защищенности 1 (УЗ-1). Это означает, что независимые эксперты (лицензиаты ФСТЭК) проверили и подтвердили, что меры безопасности у провайдера реально работают.

Контроль доступа: «гигиена» паролей и единые стандарты

Базовый, но критически важный элемент безопасности —надежный контроль доступа. Современный стандарт начинается с обязательной «гигиены»: строгой парольной политики и двухфакторной аутентификации (2FA). 2FA значительно усложняет задачу злоумышленнику, требуя не только пароль, но и второе средство подтверждения (например код из SMS), что делает взлом учетной записи практически невозможным даже если мошенник узнал пароль.

Для корпоративной среды важно сочетать безопасность с удобством. Directum HR Pro поддерживает интеграцию по стандартным протоколам (OpenID Connect, SAML) с внутренними системами аутентификации, такими как Active Directory. Это дает возможность реализовать единый вход — пользователи используют один пароль, а система обеспечивает безопасное взаимодействие между сервисами по проверенным стандартам. Такой подход повышает уровень защиты за счет централизованного управления и снижает нагрузку на сотрудников, избавляя их от необходимости запоминать множество паролей.

Гибкое управление правами: баланс между контролем и удобством

Современные системы должны давать возможность гибко управлять правами доступа, а не ограничиваться стандартными ролями. Например, Directum HR Pro дает возможность создавать любое число ролей и настраивать права для каждого документа или папки. Это помогает идеально подстроить систему под нужды компании.

Но гибкость не должна мешать контролю. Чтобы правами было легко управлять и проверять их, в программном продукте можно централизованно настроить доступ для создания и изменения ролей. Это дает удобство тонкой настройки без риска беспорядка в правах доступа.

Безопасное подписание и долгосрочная юридическая сила

При работе с облачными удостоверяющими центрами важно обеспечить конфиденциальность документов. Технология подписания через хеш решает эту проблему: в УЦ передается не сам документ, а только его криптогорафический хеш (уникальная контрольная сумма). Это полностью исключает риск утечки данных, так как восстановить документ из хеша невозможно. Directum HR Pro использует этот метод, гарантируя, что персональные данные не покидают защищенный контур компании.

Способы передачи документов в удостоверяющий центр

Для долгосрочного хранения электронные подписи должны оставаться юридически значимыми годами. Чтобы обеспечить это, подпись должна проходить процедуру усовершенствования, когда к ней присоединяются доказательства действительности сертификата на момент заверения и информация о точном времени подписания.

В Directum HR Pro встроены механизмы усовершенствования, которые обеспечивают юридическую силу документов на десятилетия вперед даже при прекращении деятельности УЦ. Такая функциональность избавляет от необходимости спустя годы собирать подтверждения подлинности документов вручную.

Полный аудит и расследование инцидентов: каждое действие под контролем

Для службы информационной безопасности критически важно не только предотвращать угрозы, но и иметь возможность оперативно расследовать инциденты. Любое разбирательство начинается с ответа на вопрос: «Что именно произошло в системе?».

Чтобы нужная информация была под рукой, необходима детальная фиксация всех событий безопасности. Речь идет о полноценном аудит-логе, который регистрирует:

• входы и выходы пользователей из программы;
• просмотры, создание, редактирование и подписание документов;
• любые изменения настроек и прав доступа.

Однако просто иметь логи недостаточно. Важно, чтобы эти данные были структурированы, понятны и готовы для анализа. Сотрудники служб ИБ используют специализированные системы мониторинга и управления событиями информационной безопасности (SIEM). Задача HR-системы — предоставлять им «сырье» в удобном формате.

Directum HR Pro обеспечивает именно такой, глубокий и структурированный аудит. Система предоставляет детализированную информацию о событиях, готовую для передачи в SIEM-системы.

Лицензии, сертификация и проверки на прочность: формальность или необходимость

Выбор ПО для обработки персональных данных — это и вопрос юридической ответственности. Компания-разработчик должна иметь все необходимые лицензии, например лицензию ФСБ на деятельность, связанную с шифрованием (криптографией). Ее отсутствие у вендора — серьезный «красный флаг» для заказчика. Регулятор может приостановить деятельность такой организации, что оставит ее клиентов без поддержки и обновлений безопасности.

Но лицензии — лишь первый шаг. Следующий уровень доверия — добровольная сертификация продукта в аккредитованных лабораториях ФСТЭК. Это результат проверки, в ходе которой независимые эксперты всесторонне тестируют систему на соответствие строгим требованиям безопасности.

Александр Быков

эксперт по информационной безопасности Directum

Directum HR Pro разрабатывается компанией, имеющей все необходимые лицензии. Мы понимаем, что обеспечение безопасности — это не разовая акция, а непрерывный процесс. Поэтому инвестируем в регулярные пентесты (тесты на проникновение), привлекая внешних экспертов, чтобы находить и устранять уязвимости до того, как ими воспользуются злоумышленники. Мы управляем уязвимостями, проводим статический и динамический анализ кода, а выпуск патчей происходит на регулярной основе.

Вместо заключения: почему безопасность определяет выбор ПО

Безопасность HR-систем перестала быть опцией — это обязательное требование для любого внедрения. ИТ-решения должны обеспечивать не только функциональность, но и архитектурную зрелость, защиту данных и гибкость интеграции.

Уровень осведомленности заказчиков растет: даже средние компании начинают задавать целенаправленные вопросы о защите персональных данных, архитектуре и лицензировании. Безопасность становится не прерогативой крупного бизнеса, а обязательным критерием выбора, определяющим надежность и устойчивость бизнес-процессов в долгосрочной перспективе.

Выбор в пользу решений, которые соответствуют высочайшим требованиям информационной безопасности, — это инвестиция в непрерывность бизнеса и его репутацию.

Источник: Cnews