Цифровая трансформация бизнеса привела к тому, что информационная безопасность перестала быть исключительно задачей IT-отдела или службы безопасности. Сегодня каждый сотрудник является частью периметра защиты компании. Однако рост числа инцидентов (фишинг, утечки данных по вине персонала) порождает конфликт интересов между работодателем, стремящимся минимизировать риски, и работником, опасающимся несправедливых обвинений.

Разграничение ответственности базируется на пересечении трудового, гражданского законодательства и специальных норм о защите информации.

Выделяют следующие типы вины сотрудника:

• прямой умысел, например, копирование базы клиентов перед увольнением, продажа учетных данных;
• грубая неосторожность, например, игнорирование явных предупреждений антивируса, отключение средств защиты ради установки пиратского софта, передача СМС-кода мошенникам после очевидного звонка с признаками социальной инженерии;
• простая ошибка (отсутствие вины), например, переход по ссылке в письме, которое имитировало официальное распоряжение руководства и не было заблокировано корпоративным фильтром; использование рабочего компьютера в публичной сети без VPN, если работодатель не выдал защищенный канал и не запретил такие действия приказом.

Чтобы разграничить вину, работодатель обязан провести служебное расследование инцидента согласно ст. 247 ТК РФ: создать комиссию приказом руководителя (минимум 3 человека, включая представителя профсоюза); затребовать от работника письменное объяснение; собрать технические доказательства, например, записи систем контроля и управления доступом (СКУД); установить причинно-следственную связь: что именно сделал или не сделал сотрудник и как это привело к ущербу; оформить акт расследования с выводами о степени вины.

Трудовое законодательство РФ содержит ряд защитных механизмов сотрудника от необоснованных санкций:

• Принцип презумпции невиновности в трудовых отношениях. Любые сомнения в виновности работника трактуются в его пользу. Работодатель обязан доказать наличие прямого действительного ущерба, противоправность поведения сотрудника и прямую причинно-следственную связь, косвенных подозрений недостаточно.
• Право на технические средства защиты. Согласно ст. 22 ТК РФ, работодатель обязан обеспечить исправное состояние оборудования. Если инцидент произошел из-за того, что рабочий компьютер тормозил, антивирус не обновлялся полгода по вине ИТ-отдела, а политика блокировок отсутствовала, взыскать ущерб с рядового сотрудника невозможно. Суд встает на сторону работника, ссылаясь на необеспечение надлежащих условий труда.
• Оспаривание должностной инструкции. Если обязанности по кибербезопасности вписаны в инструкцию менеджера по продажам задним числом или явно не соответствуют его квалификации, этот пункт можно признать недействительным.
• Пределы материальной ответственности. По общему правилу (ст. 241 ТК РФ) ответственность ограничена средним месячным заработком. Полная материальная ответственность возможна только в случаях, прямо предусмотренных ТК РФ (умышленный вред, опьянение, преступление по приговору суда) или если должность входит в утвержденный перечень и подписан договор о полной матответственности. Коллективная (бригадная) ответственность за цифровые активы допустима только при совместном выполнении работ, связанных с хранением ценностей, и крайне сложно доказуема в контексте ИТ-инцидентов.
• Привлечение профсоюза и трудовой инспекции. При попытке взыскания суммы свыше среднего заработка без договора о полной материальной ответственности или при нарушении процедуры расследования жалоба в Государственную инспекцию труда часто останавливает произвол работодателя до суда.
• Процедурные фильтры. Дисциплинарное взыскание должно быть наложено не позднее одного месяца со дня обнаружения проступка и шести месяцев со дня его совершения (ст. 193 ТК РФ). Нарушение сроков делает приказ незаконным.
• Защита при давлении. Если сотрудника принуждают подписать признание вины («возьмем все на себя, иначе уволим по статье»), следует фиксировать давление (аудиозаписи, свидетели, электронные письма) и отказываться от подписания документов без ознакомления с результатами технической экспертизы.

Эффективная кибербезопасность строится на культуре нулевой терпимости к сокрытию ошибок и четком соблюдении процедур. Для работодателя попытка сделать крайним рядового сотрудника при наличии собственных дыр в инфраструктуре ведет к проигрышу в суде, штрафам от Роскомнадзора и потере доверия коллектива. Для работника знание своих прав, фиксация запросов на обеспечение безопасности и строгое следование регламентам являются единственным надежным щитом от необоснованных санкций. Баланс достигается через прозрачную архитектуру локальных нормативных актов, адекватные инвестиции работодателя в автоматизированные средства защиты и цифровую грамотность персонала.

Экспертное мнение подготовила ведущая рубрики «Цифровой суверенитет»: кандидат педагогических наук, доцент, доцент кафедры информационных систем и математического моделирования ВИУ РАНХиГС Мединцева Ирина Петровна