Профайлинг сотрудников: что это и где граница закона
План статьи
Слово «профайлинг» обычно рисует образ специалиста, который по мимике читает собеседника. В информационной безопасности все иначе: профиль строится по действиям человека с рабочими данными.
У такого подхода есть практическая польза и жесткие юридические рамки, а сам профиль остается поводом задать вопрос, но не приговором.
Что такое профайлинг простыми словами
Профайлинг — это построение профиля человека по совокупности наблюдаемых признаков, чтобы оценить вероятное поведение. Если объяснить совсем просто, это сравнение того, что видно, с тем, что считается типичным. Мысли такой анализ не читает и поступки не предсказывает: он дает повод для проверки, а не вердикт.
Понятие профайлинга сложилось в криминалистике: аналитики восстанавливали привычки, навыки и распорядок преступника по следам на месте происшествия. Затем метод подхватила авиационная и транспортная безопасность, где за считаные минуты нужно выбрать пассажира для проверки. Отсюда и шлейф: микромимика, язык тела, детекция лжи. Большинство материалов на вопрос «что такое профайлинг» продают обучение этому ремеслу.
Для компании пригодна меньшая часть идеи: поведение можно наблюдать, сравнивать с нормой и толковать с учетом контекста. В корпоративной среде ее реализует DLP-система с анализом поведения пользователей.
Виды профайлинга
Под одним словом скрываются разные практики со своими методами и технологией профайлинга.
- Криминалистический профайлинг
Следователи по месту преступления и серии похожих эпизодов делают выводы о привычках, навыках и распорядке преступника. Метод работает с уже случившимися событиями и требует подготовленного аналитика.
- Транспортный профайлинг
Сотрудники безопасности в аэропортах и на границе сопоставляют документы, короткий разговор и поведенческие признаки, чтобы решить, кого проверить внимательнее. Решение принимает человек на месте и за несколько минут.
- Кадровый профайлинг
Рекрутеры и руководители оценивают кандидатов и сотрудников по собеседованию, наблюдению и тестам, чтобы понять, подходят ли они на роль. Результат сильно зависит от того, кто оценивает.
- Бизнес-профайлинг в переговорах
Переговорщик следит за реакциями и речью собеседника и подстраивает тактику. Это личное умение, а не процесс, который можно выстроить в компании.
- Профайлинг в информационной безопасности
Поведенческий профиль собирается из цифровых следов: когда человек работает, какими ресурсами пользуется, что отправляет и кому. Текущую активность сравнивают с этой базой.
Первые четыре вида требуют специалиста рядом с человеком. Последнему нужны данные, поэтому только он масштабируется на всю организацию.
Почему «чтение человека» плохо работает в компании
У классических методик профайлинга три ограничения, из-за которых они плохо подходят для кадровой безопасности. Первое: они не масштабируются, ведь один наблюдатель не уследит за сотнями сотрудников каждый рабочий день. Второе: результат зависит от наблюдателя, и двое посмотрят на одно и то же поведение, но сделают разные выводы. Третье: оценивается личность, а не действие, и это открывает дорогу предвзятости. Личная неприязнь руководителя легко превращается в «подозрительный профиль».
Хуже всего обстоит дело с детекцией лжи по мимике. В обычных рабочих ситуациях она портит отношения в коллективе, а в материалы проверки ее результат не приложишь: «выглядел нервным» не доказательство. Такие инструменты профайлинга уместны там, где решение принимают за минуты, но не в ежедневном контроле.
Полезно также различать классы решений. Учет рабочего времени фиксирует присутствие, HR-платформа оценивает компетенции, психологический тест описывает личность. Ни один из них не видит, куда ушел файл: с действиями, угрожающими данным компании, работает DLP.
Профиль сотрудника по цифровым следам
В информационной безопасности профиль не портрет личности, а запись того, как человек обычно работает внутри контура компании. Поведенческий профайлинг складывает его из пяти элементов: рабочего ритма, типовых приложений и ресурсов, объемов и направлений передачи файлов, круга рабочих контактов и обращений к чувствительным документам.
| Что наблюдаем | Что это говорит о норме | Какое отклонение важно |
|---|---|---|
| Часы и ритм работы | Типовой график роли | Активность ночью и в выходные без задачи |
| Объемы передачи файлов | Обычный рабочий поток | Разовая выгрузка в разы больше обычной |
| Направления передачи | Рабочие адреса и системы | Личная почта, личное облако, съемный носитель |
| Круг общения | Коллеги и закрепленные контрагенты | Новый внешний контакт с ростом переписки |
| Обращение к документам | Данные своей зоны ответственности | Интерес к чужим проектам и клиентским базам |
Технически схема простая. Система накапливает нормальное поведение, сравнивает с ним текущую активность, оценивает отклонения и подсказывает офицеру безопасности, куда смотреть первым делом. В DLP такая система профайлинга опирается на поведенческий анализ пользователей на основе машинного обучения и статистической оценки, риск-скоринг с динамикой изменения уровня риска, граф связей по коммуникациям, архив перехваченных данных и расследование по делу. Архив хранит копии файлов, поэтому удаление документа с рабочей станции не стирает следы.
Система видит действия: файл ушел из сети, подключили накопитель, сообщение ушло на внешний адрес. Эмоции она не распознает, ложь не определяет и типы личности не присваивает.
Кража данных редко выглядит эффектно: то, как крадут данные из компании, чаще всего сводится к череде обычных операций необычного масштаба. Если заранее разобрать каналы утечки внутренней информации, станет понятно, какие следы стоит собирать.
Что считается отклонением, а что нет
Вопрос «как распознать инсайдера» интуицией не решается: на практике это значит заметить сочетание наблюдаемых действий. Признаки профайлинга в ИБ — это поступки, а не черты характера. Чаще всего внимания заслуживают:
- массовая выгрузка документов перед увольнением сотрудника;
- ночная активность у того, кто всегда работал днем;
- резкий рост переписки с внешним адресом;
- обращение к данным вне своей зоны ответственности, которое разграничение прав доступа должно было исключить;
- попытки обойти ограничения: отключить контроль или передать файлы по неутвержденному каналу.
Одно отклонение само по себе почти ничего не значит. Работает совокупность сигналов, прочитанная в контексте роли: у бухгалтера выгрузка данных в конце квартала штатная, у дизайнера та же выгрузка повод посмотреть внимательнее. Без контекста система превращается в генератор ложных тревог, и через пару недель служба безопасности перестает ей верить.
| Сигнал | Безобидное объяснение | Когда стоит разбираться |
|---|---|---|
| Ночная активность | Дедлайн, другой часовой пояс | Регулярно и вместе с выгрузкой данных |
| Большая выгрузка | Подготовка отчета, миграция | Перед увольнением или без рабочей задачи |
| Флешка | Печать в другом офисе | Копирование клиентской базы целиком |
| Переписка с внешним адресом | Новый подрядчик | Адрес конкурента и пересылка документов |
Если безобидного объяснения нет, а сигналы складываются в цепочку, случай разбирает человек. Балл риска лишь задает очередность.
Где проходит граница закона
Наблюдение законно, когда оно касается действий с рабочими ресурсами и опирается на документально оформленное основание. В российской практике это локальный нормативный акт (ЛНА) в связке с трудовым договором, ознакомление работника с ним под подпись (ст. 86 ТК РФ) и четко определенная цель обработки по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных». Для сведений, которые действительно защищаются, сверху добавляется режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ.
Важно. Одной фразы «мы же предупреждали» недостаточно, а материал не заменяет консультацию юриста.
Конституция РФ (ст. 23 и 24) и Трудовой кодекс (ст. 86) ограничивают вмешательство в частную жизнь, поэтому наблюдать допустимо внутри рабочего контура и по рабочим ресурсам. Граница нарушается в четырех местах. Три из них касаются сбора, и вот что собирать нельзя:
- сведения о частной жизни, политических и религиозных убеждениях, здоровье;
- личную переписку в личных аккаунтах и на личных устройствах;
- данные, полученные скрытым наблюдением вне рабочего контура.
Четвертое место — принятие решений. Балл риска не должен превращаться в автоматическое кадровое решение. Статья 16 Федерального закона № 152-ФЗ ограничивает решения с юридическими последствиями, принятые исключительно на основании автоматизированной обработки: случай разбирает человек и берет ответственность за вывод на себя.
В этом и этическая рамка. Профайлинг сотрудников по цифровым следам дает повод задать вопрос, но не доказывает вину и не предсказывает поступок.
DLP-система Falcongaze SecureTower строит поведенческий профиль по работе сотрудника с данными, показывает отклонения от его собственной нормы и помогает разобрать инцидент. Выводы остаются за вашей командой. Проверить это можно в бесплатном тесте: 30 дней, полная функциональность, для юридических лиц.
Заключение
В компании профайлинг не сводится к чтению лица. Это профиль по действиям и контроль отклонений от собственной нормы сотрудника. Ценность в отклонениях, прочитанных в контексте. Законность держится на трех вещах: ЛНА, ознакомлении под подпись и определенной цели. Все, что лежит за пределами рабочего контура, остается вне наблюдения.
Часто задаваемые вопросы
- Чем профайлинг в информационной безопасности отличается от психологического?
Психологический профайлинг толкует человека: мимику, речь, черты. Профайлинг в ИБ фиксирует действия с рабочими данными и сравнивает их с нормой. О характере он не судит.
- Законно ли строить профиль сотрудника по его рабочей активности?
Может быть законно, если правила закреплены в ЛНА и трудовом договоре, работник ознакомлен с ними под подпись, а цель обработки определена по 152-ФЗ. Наблюдение ограничено рабочими ресурсами. Детали стоит уточнить у юриста.
- Можно ли уволить или наказать человека на основании высокого балла риска?
Нет. Балл только повод для проверки, а не доказательство. Для взыскания нужен подтвержденный проступок, объяснение работника и соблюдение порядка по ст. 192 и 193 ТК РФ.
- Какие отклонения в поведении действительно указывают на риск?
Смотрите на сочетания: необычное действие, чувствительные данные, внешний адресат и особый момент вроде увольнения. Попытки обойти контроль добавляют веса.
- Нужно ли сообщать сотрудникам, что их рабочая активность анализируется?
Да. Ознакомление с правилами под подпись входит в правовое основание. К тому же напряжение снижается: люди видят, что речь о рабочих ресурсах, а не о личной жизни.
- Подходит ли такой подход небольшой компании?
Логика работает и на малом масштабе: в маленькой команде для каждой роли ясна норма. Тест SecureTower в течение 30 дней покажет, как выглядит ваша собственная база, до любых решений.
.jpg)
 system.jpg)
