Система безопасности ЭДО не ломается снаружи. Её ломают изнутри

Как выглядит система защиты ЭДО, которая работает

Хорошо выстроенная система защиты юридически значимого документооборота, это:

• регламенты с закрепленными принципами: что можно, что нельзя, кто за что отвечает;
• обученные пользователи и администраторы, понимающие правовые последствия своих действий;
• отсутствие возможности у администраторов нарушать регламенты;
• вето на административные изменения, которые могут которые могут уничтожить юридическую силу документов, у инцидент-менеджера;
• инцидент-менеджер с правом вето, через которого проходят все рисковые заявки на любые административные изменения в системе;
• нормативная база, защищающая участников системы от правовых рисков.

Когда такой комплекс построен правильно — он даёт результат. У компании нет уголовных инцидентов, штрафов и утечек.

• В системе — юридически значимые документы, которые в любой момент можно предъявить в суде и где угодно, и никто не сочтет их «недопустимыми доказательствами» и ничтожными.
• Система работает без того, кто её построил, автономно от личностей пользователей и администраторов.

Именно к этому нужно стремиться: система защиты должна быть воспроизводимой. Она не должна держаться на одном человеке. Но она может быть разрушена. И разрушают её те, для кого ее правила — помеха.

Почему системы защиты ЭДО ломают изнутри

В любой системе безопасности есть точка, где правила системы упираются в чей-то личный интерес.

Регламент и риск-менеджмент говорят: «Нельзя менять подписанный документ». Человек сверху говорит: «А мне надо. Или поменяете, или вас уволят».

Регламент говорит: «Нужно согласование трёх ролей». «Нужный человек» из администраторов ЭДО говорит: «А зачем, я и так сделаю».

Регламент говорит: «Учётная запись уволенного сотрудника должна быть деактивирована». Человек сверху говорит: «Да ладно, пусть работает, под ней Аня посидит, так удобнее». «Нужный человек» из администраторов говорит: «Я не слышал, что у вас в ИСПД (информационная система для работы с документами, содержащими персональные данные) работает человек под чужой учетной записью, и никому этого не говорите». Итог: Для Ани штраф 300 000 рублей за КАЖДЫЙ обработанный ей документ, для организации — от 25 000 до 20 млн рублей. Каждый обработанный Аней документ ничтожен.

Система защиты ЭДО не тормозит бизнес — наоборот, снижает риски и экономит деньги в перспективе. Она мешает тем, кто решает вопросы через личные договорённости, игнорирует риски и стремится удержать контроль за счёт своей «незаменимости». Чёткие правила лишают таких сотрудников рычагов влияния — поэтому они нередко пытаются их обойти.

Как отличить системного управленца от «нужного человека»

Это — самое важное. Потому что в обычной ситуации их не отличить. Оба говорят правильные слова, «болеют за дело», «хотят, как лучше».

Разница проявляется, когда система сталкивается с угрозой. Один её защищает, второй — ломает, чтобы сохранить свою роль.

Системный управленец

• Строит так, чтобы работало без него. Уходит в отпуск — система не «падает». Уходит из компании — ПО продолжает работать.
• Обучает пользователей так, чтобы они понимали логику процессов, а не просто заучивали шаги.
• Пишет регламенты и наполняет базу знаний — всё фиксирует в документах, а не оставляет на словах. Так как понимает: устные договорённости исчезают вместе с человеком.
• Говорит «нет», потому что считает риски и готов объяснить, какую именно угрозу несет в себе заявка.
• Его можно заменить, а система продолжит работать. Она не держится на одном человеке.

«Нужный человек»

• Строит так, чтобы работало только через него. Уходит в отпуск — начинается хаос. Уходит из компании — всё рушится.
• Не обучает сотрудников: ему невыгодно делиться знаниями. Его позиция держится на том, что только он знает, как всё устроено.
• Не оставляет регламентов, только связи. Он против создания базы знаний. Потому что регламент и база знаний — это то, что работает без него.
• Говорит «да» всем, кто ему выгоден. Потому что «да» — это способ сохранить расположение и рабочее место.
• Кажется незаменимым, но это не польза, а зависимость системы от одного человека.

Что происходит, если «нужный человек» держит систему

Пример из практики. Представьте: в системе каждый день по просьбе выгодных людей администратор меняет файлы в подписанных документах. Это точечная работа, которая совершенно не видна никому со стороны.

Когда я пришла руководить технической поддержкой ЭДО и стала проводить аудит заявок на административные изменения в СЭД, обнаружила, что каждый день подавалось 10-20 заявок на замену файлов в документах, подписанных ЭЦП, и все они выполнялись. ЭЦП при этом уничтожалась и документы лишались юридической силы.

• 10 документов в день — 50 фальсифицированных документов в неделю.
• 200 документов в месяц.
• 2400 документов в год.

ПО исправно работает, но внутри него за год было создано 2400 документов с уничтоженной юридической силой. Внешне все хорошо: в истории документа зафиксировано, что документ подписан ЭЦП. В карте есть все необходимые согласования. Только ни один суд, проверяющий и надзорный орган не примет этот документ, так как он ничтожен.

Никто может и не заметить подмены. Но стоит начаться проверке, суду или расследованию — и всё всплывёт. Окажется: на бумаге защита была, а по факту — её не существовало.

Что с этим делать

1. Защищать систему на уровне руководства.

Не «правила Ирины», а стандарт компании. Чтобы это работало, руководство должно разбираться в теме и видеть реальную картину по показателям и фактическим процессам., а не через призму «нужного человека».

2. Считать цену компромисса.

«Проще» — не аргумент, когда на кону миллионы рублей штрафов. Решения нужно принимать не на уровне «нужного человека», а там, где считают риски, и где в основе есть риск‑менеджмент, а не личные договорённости.

3. Не путать незаменимость с надёжностью.

Незаменимый специалист — это риск. Надёжная система работает без одного человека. Если сотрудник говорит: «Без меня всё рухнет», — значит, система зависима от него, а не надёжна.

4. Учить постоянно.

5. Закрыть лазейки и сделать процессы неуязвимыми.

Нужно исключить «тихое» решение вопросов — работа должна быть прозрачной. Каждая заявка обязана отображаться в системе, чтобы не оставалось слепых зон. Рисковые действия нужно проводить только через инцидент‑менеджера. Замена файлов без фиксации следов недопустима: любые изменения регистрируются. Аудит заявок и действий администраторов необходимо проводить регулярно, для этого назначается ответственный специалист.

Стоит появиться лазейке — найдутся те, кто ею воспользуется. Главный канал для обходных манёвров — тот самый «нужный человек», который думает не о системе, а о связях.

6. Создавать и постоянно обновлять базу знаний.

База знаний — это не документ «на полке», а инструмент. который:

• даёт пользователям ответы без «нужного человека»;
• помогает новым сотрудникам быстро войти в контекст;
• делает систему воспроизводимой;
• лишает «нужного человека» монополии на знание.

От «нужного человека» систему надо защищать

Позиция может показаться жёсткой, но в ней нет лукавства — только прямая правда.

Когда контроль над защитой ПО остаётся у «нужного человека», реальной защиты не получается, так как его главная ставка — не на безопасность, а на собственное влияние. И пока он управляет процессами, система будет понемногу терять устойчивость: день за днём, без громких сбоев, но вполне ощутимо.

Других вариантов решения проблемы нет, потому что:

• убедить «нужного человека» не получится: он осознанно ломает систему;
• обучить его нельзя — ему невыгодно понимать процессы;
• контроль не сработает: он найдёт обходные пути;
• договориться не удастся: ему нужна зависимость, а не общий порядок.

Остаётся одно: не подпускать его к системе защиты или быстро его от нее удалить, если вы его обнаружили.