Корпоративная защита от утечек выстроена вокруг цифровых каналов. DLP-система контролирует почту, мессенджеры, облачные хранилища и съёмные носители, SIEM собирает события, порты закрыты политиками. На схеме периметр выглядит замкнутым.
Но у него есть канал, который не проходит ни через одну из этих точек: сотрудник открывает документ и фотографирует экран монитора на личный смартфон. Файл никуда не копировался, письмо не отправлялось, флешка не подключалась. Для корпоративной инфраструктуры ничего не произошло.
Разберём, почему фотографирование экрана остаётся слепой зоной, какие данные утекают этим способом чаще всего и как защита экрана позволяет установить источник снимка.
Почему DLP не видит фото экрана
DLP работает с цифровым следом: перехватывает передачу файла, анализирует содержимое письма, фиксирует подключение устройства. Чтобы система среагировала, данные должны пройти через контролируемый канал.
Фотография экрана на внешнее устройство такого следа не оставляет. Информация уходит в виде света от монитора к камере смартфона, который не входит в корпоративную инфраструктуру и не управляется ею.
| Канал | Что фиксирует DLP |
|---|---|
| Почта и мессенджеры | Отправку, содержимое сообщений и вложений |
| Облака и файлообменники | Загрузку файлов, обращения к ресурсам |
| Съёмные носители | Подключение устройства, копирование файлов |
| Печать | Отправку документа на принтер и его содержимое |
| Скриншот средствами ОС | Создание снимка — его можно запретить или зафиксировать, а дальнейшую передачу файла система видит |
| Фото экрана на смартфон | Ничего: снимок не проходит через инфраструктуру компании |
Отсюда двойная проблема. Служба безопасности не может предотвратить такую утечку, потому что не получает сигнала. И не может её расследовать, потому что изображение, всплывшее у конкурента или в открытом доступе, не содержит ничего, что указывало бы на источник: к экрану с этим документом могли иметь доступ десятки сотрудников.
Как выглядит типичный сценарий
Сотрудник с легальным доступом открывает документ на рабочем месте. Всё в рамках его прав: он не копирует файл, не пересылает его, не выгружает. Затем фотографирует экран или его фрагмент на смартфон и отправляет снимок через личный мессенджер или почту.
С точки зрения журналов — обычный рабочий день: пользователь открыл документ, к которому у него есть доступ. Об утечке компания узнаёт постфактум, когда информацию уже используют. Иногда не узнаёт вовсе.
Какие данные утекают через фотографию экрана
Риск выше всего там, где ценность информации видна с одного взгляда и не требует выгрузки файла целиком.
| Отрасль | Что фотографируют с экрана |
|---|---|
| Промышленность и КБ | Чертежи, схемы, фотографии прототипов, технологическая документация |
| Банки и финансы | Клиентские данные, внутренние отчёты, финансовые модели, зарплатные ведомости |
| B2B и продажи | Клиентские базы, условия сделок, коммерческие предложения |
| IT | Исходный код, архитектура систем |
| Госсектор и КИИ | Служебная информация в защищённых контурах |
| Телеком и крупный бизнес | Данные, к которым массово имеют доступ сотрудники |
Во всех этих случаях снимок экрана — полноценный носитель коммерческой тайны, банковской тайны или персональных данных. Ущерб от него не меньше, чем от выгруженного файла.
Почему запрет смартфонов не решает проблему
Первая реакция — запретить телефоны на рабочих местах. На практике мера работает только в отдельных закрытых зонах:
- сотрудники воспринимают её как недоверие, и лояльность падает;
- камера есть почти в любом телефоне, включая кнопочные, и в носимых устройствах;
- контроль соблюдения запрета требует физического досмотра, что в обычном офисе нереалистично;
- удалённые сотрудники работают вне досягаемости любых физических запретов.
Поэтому подход меняется. Предотвратить съёмку экрана технически почти невозможно — значит, нужно сделать так, чтобы любой снимок указывал на своего автора.
Как работает невидимая маркировка экрана
Принцип — персонализированная метка, которая присутствует на изображении постоянно, но не видна глазу.
- Сотрудник открывает защищаемое приложение — документ, чертёж, схему, клиентскую карточку.
- На экран наносится невидимая метка. В ней закодирован идентификатор пользователя, связанный с рабочим сеансом.
- Происходит утечка. Скриншот, фотография монитора или фрагмент изображения оказывается за пределами компании.
- Источник устанавливается по снимку. Из изображения восстанавливается идентификатор и сопоставляется с пользователем, устройством, сеансом и журналом событий DLP.
Метка рассчитана на типичные сценарии обработки изображения:
- скриншот и пересохранение;
- масштабирование и изменение размера;
- обрезка и использование только фрагмента;
- снимок экрана средствами операционной системы;
- фотографирование монитора на внешнее устройство.
При этом на экране нет видимых плашек, ФИО или сетки поверх рабочего контента — маркировка не мешает работе и не подсказывает, как её обойти.
Чего маркировка не делает
Важно понимать границы метода. Маркировка не предотвращает съёмку — она делает утечку расследуемой. Это разные задачи, и путать их не стоит.
Идентификатор из снимка — дополнительный технический признак, а не самостоятельное доказательство. Его сила в связке с журналом DLP: метка указывает на рабочее место и сеанс, журнал показывает, что в этот момент происходило на экране, кто работал за компьютером и с каким документом. Вместе они дают хронологию, с которой можно проводить расследование.
Есть и эффект, который не измеряется расследованиями: сотрудник, который знает, что каждый снимок экрана персонализирован, гораздо реже решается его сделать.
Что нужно оформить заранее
Техническая возможность установить источник не гарантирует, что виновного удастся привлечь к ответственности. Для этого организационная часть должна быть готова до инцидента:
- режим коммерческой тайны по 98-ФЗ введён полностью — со всеми пятью мерами статьи 10, иначе защищаемой информации юридически нет;
- работники ознакомлены под расписку с перечнем сведений, режимом и мерами ответственности;
- контроль рабочих мест закреплён в локальных актах, сотрудники ознакомлены с ним под подпись до начала контроля, а использование корпоративных ресурсов в личных целях запрещено;
- обработка собранных сведений соответствует требованиям 152-ФЗ.
Без этого даже точно установленный источник снимка останется знанием службы безопасности, а не основанием для увольнения или взыскания ущерба.
«Стахановец: защита экрана»
Функциональность предназначена для сценариев, когда данные утекают не по цифровым каналам, а через скриншот или фотографию монитора либо его фрагмента. Метка связывается с пользователем, устройством, сеансом и событиями «Стахановца», поэтому расследование ведётся в той же системе, что и по остальным каналам.
Защита экрана будет доступна в редакции «Стахановец ПРО». Сейчас мы изучаем, какие сценарии наиболее востребованы и какие требования предъявляют компании, чтобы инструмент учитывал реальные условия эксплуатации.
Узнать больше о «Стахановец: защита экрана» →
Часто задаваемые вопросы
Можно ли запретить фотографировать экран монитора?
Технически — нет. Запрет смартфонов работает только в закрытых зонах с физическим контролем, а в обычном офисе и на удалёнке не применим. Реалистичная цель — сделать каждый снимок экрана расследуемым.
Видит ли DLP-система фотографирование экрана?
Нет. DLP-система контролирует цифровые каналы: почту, мессенджеры, файлы, устройства. Фото экрана на личный смартфон не оставляет следа в корпоративной инфраструктуре, поэтому для этого канала нужна отдельная защита.
Как узнать, кто сфотографировал экран?
По невидимой персонализированной маркировке. Из снимка восстанавливается идентификатор, который сопоставляется с пользователем, устройством, сеансом и журналом событий DLP.
Сохранится ли метка, если фото обрезать или сжать?
Маркировка рассчитана на скриншоты, пересохранение, масштабирование, обрезку и фотографирование монитора на внешнее устройство.
Видна ли маркировка сотрудникам?
Нет. Метка наносится без видимых плашек, ФИО и сетки поверх рабочего контента и не мешает работе с документами.
