Запись с веб-камеры и распознавание лиц на рабочем месте: возможности и границы

Зачем бизнесу видеофиксация рабочих мест и распознавание лиц

Запись с веб-камеры сотрудника нужна для того, чтобы подтвердить, что за местом с доступом к данным действительно сидит тот, кому этот доступ выдан. Видеофиксация помогает не допустить постороннего к рабочей станции, восстанавливает контекст при разборе инцидента и поддерживает дисциплину на удаленной работе.

Что и как можно фиксировать технически

Видеофиксация обычно работает вместе с другими каналами контроля:

• запись с веб-камеры: фиксация присутствия и действий перед экраном;
• скриншоты экрана и запись действий: что происходило на рабочем столе;
• запись действий в приложениях: какие программы запускались, какие файлы открывались;
• запись разговоров через микрофон.

Периодическая, непрерывная запись и запись по событию (например, при попытке подключить внешний накопитель) отличаются объемом архива и глубиной контроля, но в целом нужны для одной цели.

Распознавание лиц как инструмент информационной безопасности

Технически распознавание лиц — это обнаружение лица в кадре и сопоставление с эталонным изображением, например, из карточки пользователя. Его основная цель — идентификация человека за рабочей станцией. Специалистам по безопасности нужно убедиться, что за компьютером работает именно тот сотрудник, кому выдан доступ.

Сценарии применения:

• идентификация сотрудника перед сессией на станции с доступом к конфиденциальным данным;
• контроль присутствия: за местом авторизованный пользователь, а не тот, кому передали пароль;
• недопуск постороннего к терминалу, если распознавание не подтверждает личность;
• фиксация подмены, когда сотрудник отошел, а сессию продолжает кто-то другой.

Законность видеофиксации и биометрии

Видеофиксация и распознавание лиц не становятся законными автоматически, просто потому что стоит камера. Правомерность обеспечивается соблюдением нескольких обязательных условий:

• средство видеофиксации закреплено в локальном нормативном акте — политике информационной безопасности или положении о видеонаблюдении;
• условие о контроле зафиксировано в трудовом договоре или дополнительном соглашении;
• сотрудник ознакомлен с документами под подпись — до начала записи;
• определена и заявлена конкретная цель обработки данных по 152-ФЗ «О персональных данных».

Для распознавания лиц чаще всего требуется дополнительно отдельное согласие сотрудника на обработку биометрии.

Чек-лист: что проверить перед запуском видеофиксации

• положение о видеонаблюдении в составе ЛНА;
• пункт в трудовом договоре или дополнительном соглашении;
• ознакомление сотрудника под подпись;
• цель обработки данных;
• отдельное согласие на биометрию, если используется распознавание лиц;
• регламент доступа к записям и срок их хранения.

Видеофиксация как часть DLP: от кадра к инциденту

Здесь проходит граница между тайм-трекером или рекордером и видеомониторингом в составе DLP. Рекордер сохраняет ролик — и на этом функция заканчивается. В DLP видеокадр и данные об активности становятся доказательной привязкой к событию: попытке скопировать файл с грифом, отправить документ во внешний канал.

Смысл связки видеомониторинга с мониторингом пользователей — собрать профиль поведения из разных источников: активности за компьютером, работы с файлами, сетевого трафика, данных с камеры. Отклонения от нормы DLP помечает как повышенный риск — это дает возможность отреагировать до факта инцидента.

Распознавание работает так: SecureTower сравнивает векторы лица на снимке с векторами фотографии авторизованного сотрудника. Если на снимке обнаружен посторонний, можно заблокировать рабочий сеанс. При необходимости можно продолжить поиск по фотографиям и установить личность постороннего.

DLP-система SecureTower ведет мониторинг активности сотрудников, записывает действия на экране и с веб-камеры, поддерживает распознавание лиц по снимкам и строит профиль поведения сотрудников с оценкой риска. Протестировать можно бесплатно — триал на 30 дней доступен для юридических лиц.

Заключение

Видеофиксация рабочего места и распознавание лиц приносят пользу при двух условиях. Первое — они легальны, а второе — встроены в контур безопасности с DLP. Без этих условий видеофиксация останется либо юридическим риском, либо бесполезным архивом файлов.

Частые вопросы

• Законно ли вести запись с веб-камеры сотрудника на рабочем месте?

   

  Да, если камера объявлена служебным средством в ЛНА, условие закреплено в трудовом договоре, сотрудник ознакомлен под подпись и заявлена цель обработки данных.

• Чем видеофиксация в DLP отличается от программы для записи с веб-камеры?

   

  Рекордер сохраняет ролик, и на этом функция заканчивается. В DLP видеокадр привязывается к событию и участвует в поведенческом анализе — это разные классы решений.

• Можно ли использовать скрытую запись с веб-камеры?

   

  Нет, как основной метод контроля она нарушает право на неприкосновенность частной жизни. Сотрудник должен быть уведомлен о видеофиксации до ее начала.

• Как распознавание лиц помогает защитить данные компании?

   

  Оно подтверждает, что доступом к станции с конфиденциальными данными пользуется именно тот сотрудник, которому он выдан, и помогает выявить подмену за терминалом.

• Кто и как должен иметь доступ к видеозаписям рабочих мест?

   

  Доступ стоит ограничивать узким кругом ответственных лиц, как правило службой безопасности, с регламентированным сроком хранения и целью обращения к записям.