Контроль Mattermost и Rocket.Chat: мониторинг переписки

Собственный сервер дает компании больше контроля над хранением данных: информация не передается стороннему провайдеру, а исходный код можно проверить. Для некоторых организаций это также часть стратегии импортозамещения.

Но сервер отвечает лишь на вопрос «где лежат данные». Что сотрудник написал в канале, какой файл приложил и куда его переслал — задача другая, и сам по себе хостинг эту задачу не решает.

Зачем контролировать чат, если он на вашем сервере

Собственный сервер дает компании больше контроля над инфраструктурой, но не над содержимым переписки. Распространенное заблуждение: если чат работает внутри корпоративной сети, утечки через него невозможны. На практике сотрудник может отправить в канал договор, сообщения с конфиденциальными сведениями или выгрузку из базы данных.

И чаще всего утечка происходит не из-за действий хакера. В Mattermost или Rocket.Chat сотрудник может опубликовать в общем канале выгрузку клиентской базы, переслать черновик договора человеку, который собирается уйти из компании, или обсудить условия перехода к конкуренту. Для самого мессенджера это обычный обмен сообщениями: без дополнительного контроля он не всегда может определить, что передача нарушает установленные правила безопасности.

Откуда утечка в Mattermost и Rocket.Chat

Оба мессенджера устроены похоже: каналы, личные чаты, файлы, интеграции. Для DLP различия платформ вторичны, потому что контроль организован так же, как и для других мессенджеров на рабочей станции, а не в журналах самой платформы.

У чатов этих мессенджеров сразу несколько «дверей», куда уходит информация:

• файлы и вложения в каналах и личных сообщениях;
• приватные каналы и прямые сообщения, в том числе с внешними контактами;
• боты и интеграции, которые умеют забирать и отдавать данные (бот, подключенный ради удобства, вполне способен сыпать выгрузки в канал, где есть посторонние);
• экспорт истории и др.

Что перехватывает DLP и чем это отличается от admin-логов

DLP-агент стоит на компьютере сотрудника и видит то, что человек делает в чате. В отличие от серверного журнала, DLP может фиксировать содержание переписки и передаваемые файлы. В поддерживаемых сценариях система берет переписку в каналах и приватных чатах, вложения с анализом содержимого, голосовые коммуникации с переводом речи в текст. Все попадает в единый архив, по которому потом можно искать. При расследовании это экономит дни: видно, кто что отправил, кому и когда, без выгрузок со стороны платформы.

DLP закрывает именно эту часть. Перехваченное проверяется по правилам: ключевым словам, словарям, цифровым отпечаткам документов. Если установленная политика расценивает это как нарушение, фиксируется инцидент, а сотрудник ИБ получает о нем уведомление. Это позволяет распознать опасность для ИБ не через неделю или месяц после отправки данных, а в самом моменте.

Допустимые действия сотрудников стоит заранее определить во внутренних документах компании и закрепить в политиках безопасности. Срабатывание политики — повод разобраться с инцидентом, а не доказательство злого умысла: файл мог уйти за периметр по ошибке, и разговор с сотрудником часто проще и дешевле любого разбирательства.

Где проходит граница закона

Читать рабочие чаты, просто предупредив сотрудников, нельзя: одного уведомления мало. Нужна связка из трех вещей.

1. Первая: правила контроля записаны в локальном нормативном акте (политике ИБ или регламенте), а чат объявлен служебным ресурсом.
2. Вторая: сотрудник ознакомлен с документом под подпись, и это встроено в трудовые отношения.
3. Третья: у обработки персональных данных есть определенная цель по 152-ФЗ «О персональных данных».

Если в переписке ходит коммерческая тайна, добавляется 98-ФЗ «О коммерческой тайне». Из Трудового кодекса пригодятся статья 22 о правах работодателя и статьи 86–90 о персональных данных работника.

Рабочее и личное нужно разделять: речь только о чате, который организация сама назвала служебным. Если люди пишут там и личное, это решается правилами: либо личные разговоры в служебном чате запрещены, либо четко сказано, что контролируется. Доступ к архиву получают те, кому он нужен по работе, и никто больше.

Как внедрить контроль без конфликтов

Установка и настройка агентов не требуют сложных действий со стороны администратора DLP: достаточно выбрать рабочие станции и настроить политики безопасности с учетом информационных рисков компании.

Важно понимать, что контроль персонала ведется только с установленных рабочих станций, а чаты с личных или неучтенных устройств не учитываются. Эта задача решается политикой доступа к чату, а не DLP.

Начать мониторинг Mattermost и Rocket.Chat удобнее с пилотного проекта в одном отделе, установив политики безопасности в режиме наблюдения. Это поможет оценить реальные срабатывания, выявить ложные тревоги и скорректировать правила до включения блокировок и более обширном применении DLP.

Возможности мониторинга Mattermost и Rocket.Chat можно протестировать с помощью DLP-системы SecureTower. В поддерживаемых сценариях система перехватывает переписку и файлы, обрабатывает голосовые коммуникации с преобразованием речи в текст, сохраняет данные в архиве и может блокировать передачу информации в момент отправки. 

Заключение

Self-hosted дает контроль над инфраструктурой, но не над тем, что люди пишут и отправляют. DLP дополняет встроенные механизмы платформы: перехватывает переписку и файлы на рабочей станции, проверяет их по правилам и оставляет архив для расследований. Только мониторинг должен стоять на законной основе: локальный акт, ознакомление под подпись, определенная цель обработки. Без этого самая точная система создаст компании больше проблем, чем решит. Разумный порядок такой: сначала правила и документы, потом агенты, потом блокировки.

Часто задаваемые вопросы

• Что видит DLP в переписке сотрудника в Mattermost или Rocket.Chat?

   

  Текст в каналах и личных чатах и передаваемые файлы, причем на рабочей станции пользователя, а не в журналах сервера. Затем данные проверяются по правилам безопасности, а события сохраняются в архиве.

• Если чат на своем сервере, зачем еще DLP?

   

  Свой сервер дает контроль над инфраструктурой, но не над содержимым сообщений. DLP добавляет анализ того, что и куда отправляет человек, и позволяет реагировать, пока файл не ушел.

• Видит ли DLP файлы и голосовые звонки?

   

  В поддерживаемых сценариях да: файлы анализируются по содержимому, а голос записывается и переводится в текст для поиска. Набор возможностей зависит от платформы, клиента и настроек.

• Чем DLP отличается от прав доступа и логов платформы?

   

  Права и журналы отвечают, кто мог пользоваться каналом и что происходило с настройками DLP-системы. DLP смотрит, что реально было отправлено, и может отреагировать на нарушение.

• Нужно ли предупреждать сотрудников о мониторинге информационной безопасности?

   

  Да. Правила заранее доводят до людей, и делать это нужно до начала мониторинга: ознакомление с локальным актом входит в набор условий законного контроля.