Пресональные данные и рекрутинг

Последнее изменение закона "О защите персональных данных" породило парадокс для рекрутеров.
Из 12 статьи закона убрали часть 3, которая ранее позволяла не уведомлять субъектов о сборе их персональных данных в случае, если эти данные собираются из открытых источников.
Теперь попытаемся натянуть эту норму на процесс рекрутинга.  Особенно на ту часть, которая называется метод прямого поиска. Т.е. когда рекрутеры напрямую ищут информацию о потенциальных кандидатах и бомбят их предложениями. Для того, чтобы найти информацию о человеке, последнему вовсе не обязательно выкладывать свое резюме на специализированных сайтах или рассылать по его по компаниям. В большинстве случаев сносное резюме можно почерпнуть из социальных сетей. Например LinkedIn - отличный источник.  Другим источником могут быть статьи, третьим - блоги, и т.д.
И в тот момент, когда рекруер обнаружил потенциально интересное резюме и решает его сохранить у себя в базе для дальнейшей работы, возникает юридический казус. С одной стороны, субъект добровольно сделал информацию публичной. С другой - как только мы начали сбор такой информации (т.е. обработку), закон обязывает нас уведомлять субъекта. Что-то вроде письма "Уважаемый Имярек,  компания "Рога и Ко" сим письмом уведомляет Вас и начале обработки ваших персональных данных ... <перечень>  с целью ... <благородная цель в помощи трудоустройства>. В соответствии со статьей 8 закона вы имеете право ... <перечень прав на пол страницы текста> ". В общем масштабе это сотни тысяч бессмысленных коммуникаций. С одной стороны, включение его в базу может в дальнейшем никак на субъекта не повлиять. Ну не подошел он никуда. С другой стороны,  субъект сам предоставил информацию в общий доступ. И в последствии разрешать или запрещать читать эту публичную информацию так же абсурдно, как избирательно запрещать читать надпись на заборе.

Если у вас нету тети... Обновление

Буквально через час после того, как господин Blessing Asuzu сообщил мне о трагической кончине моего родственника, я решил снова посетить его профиль на LinkedIn. Мне было крайне интересно узнать, профиль создавался с целью единоразовой рассылки  или для многоразовой. За это непродолжительное время  Blessing Asuzu успел обзавестись одним контактом и фотографией профиля.

Потешить самолюбие не удалось - Blessing Asuzu, судя по комментариям LinkedIn, начал активно рассылать аналогичные сообщения бродкастом. По всей видимости в Тоголезской Республике трагически разбился самолет, в котором летели исключительно богатые родственники и у каждого в нагрудном кармане лежал паспорт, завещание и контакты LinkedIn наследников.
Поскольку  мистер Asuzu обзавелся фотографией, я решил узнать об этом прекрасном человеке побольше. Под этим псевдонимом (судя по фотографии) скрывался Nii Laryea Afotey-Agbo - министр Республики Гана.

Не хорошо, господин министр, обманывать доверчивых граждан, используя родственные чувства и природную человеческую жадность.

Если у вас нету тети...

Сегодня получил  письмо от некоего Blessing Asuzu. Он с прискорбием  сообщил мне о кончине моего родственника. Боль невосполнимой утраты немного смягчали $9.6 млн наследства, которые мой родственник завещал мне. Господин Asuzu предлагал срочно связаться с ним для того, чтобы наследство, оставленное моим родственником в далекой и загадочной Тоголезской Республике, наконец обрело законного владельца. 

Во истину, это чудо, когда твой родственник, о котором ты никогда не слышал уезжает в страну, о которой ты мало что знаешь, для того, чтобы там умереть и оставить тебе достойное наследие.
И конечно нельзя не отметить благородство господина Asuzu, который специально поехал в Россию (это логично - ближе ведь нигде интернета нет), чтобы зарегистрироваться в LinkedIn исключительно для того, чтобы найти там меня и передать мне эту трагическую новость. 
 

Большой поклон, мистер Blessing Asuzu, Вы меня здорово развлекли.

Персональные данные и конкуренция

Не могу сказать, что новость неожиданная. Скорее совсем наоборот - ожидаемая. Персональные данные, точнее отношение к вопросу их защиты и бережного использования стало предметом спекуляции  диференцирующим фактором в конкурентных войнах.
Компания Microsoft запустила ряд роликов, "разоблачающих" Google в активном вмешательстве в личную жизнь. Даже красивый термин (куда без него?) для этого придумали - Scroogled. Дескать, читает Google КАЖДОЕ слово в КАЖДОМ Вашем письме на Gmail. А свидетельсвом тому служит динамическая контекстная реклама, которая формируется в зависимости от того, что написано в Вашем письме. Ну, а outlook, разумеется, ни в жизнь себе этого не позволяет (скрытая зависть ?) - так что все на outlook.

Достигнет ли поставленной цели рекламная компания - покажет время. На мой взгляд, мероприятие достаточно недальновидное. Ибо Microsoft активно всех загоняет в свои облаяные сервисы и рискует получить своими же граблями. Ведь персональные данные доверяются не только гуглу. А то, что outlook не умеет грамотно подбирать рекламу по контенту, вовсе не значит, что в Microsoft больше беспокоятся защитой персональных данных. Следовательно, не доверять, так всем.
Единственный положительный момент в данной рекламной компании - это возможность для пользователей бесплатных облачных сервисов еще раз подумать над тем, какие данные они безоговорочно предоставляем вирутальному миру и о возможных последствиях.

О своей рубашке 2. Почему не работает управление рисками?

В продолжение прошлого поста разберем ситуацию с управлением рисками. Как и в прошлый раз, ниже сказанное характерно для любого процесса управления рисками,  но будем рассматривать на примере ИБ.
Итак, ситуация аналогичная: теория классная, все понятно, ничего не работает.
В качестве Главных Виновников, стоящих на пути в светлое будущее к риск-ориентированному подходу, неоднократно упоминается:

• нежелание/неумение безопасников считать в деньгах
• сложность методик
• отсутствием опыта безопасников
• сложность вовлечения представителей бизнеса

Последняя, кстати, как правило, объясняют неумением безопасников общаться с бизнесом по причине номер 1. В общем, виноватых много, а результата - мало.
Если абстрагироваться от сухой теории "ведущих практик" и посмотреть на ситуацию сквозь призму человеческой натуры, то мы снова окунемся в мотивацию. Вовлечение бизнеса невозможно не потому, что безопасность невнятно формирует свои желания/аргументы. Это, конечно, тоже встречается, но не является главной причиной.  И не потому, что бизнес считает, что рисков нет.  Они есть, но их официальное признание тянет за собой необходимость признать существование таких рисков перед высшим руководством/материнской компанией/акционерами/регуляторами/другое. А еще, нужно принимать решение об адекватности оценки и мер по обработке риска.  Это значит, что, в случае, если что-то пойдет нет так и меры окажутся неадекватными, придется отвечать.
И менеджмент задается главным одесским вопросом: "Оно мне надо?". Нет ответственности - нет проблемы. Она есть у компании, но ведь это - проблема компании. А на случай, если все-таки какая-то высшая сила заставила заставила принимать решение, есть прекрасный механизм - коллективная ответственность. Мы создаем комитет/комиссию/другое, желательно одноранговых представителей различных подразделений и размазываем ответственность 15-ю подписями. Под этот прекрасный механизм можно принимать любые решения. В случае чего - крайнего не найти.
Кстати, "неумение" считать риски в деньгах - прекрасный инструмент для размазывания серьезности картины. Риск А высокий? Выше чем риск Б? На сколько? На 2 мм, судя по картинке?
К чему я это все? К тому, что человеческий фактор - один из самых мощных источников проблем, который нужно учитывать при любом действии. После сценария "как это должно работать" обязательно нужно рассмотреть сценарий "что будут делать люди, которые не захотят делать это". И добавить для них несколько дополнительных сдерживающих от самодеятельности факторов.

 
   

О своей рубашке

Скажите мне, как вы измеряете мою деятельность, и я скажу вам, как буду себя вести.
Голдратт Элияху

Оговорюсь заранее, что тема значительно шире и все ниже сказанное также прекрасно применимо и к другим областям, не связанным с информационной безопасностью. Но, поскольку блог посвящен  безопасности, то и примеры соответствующие.
Возьмем к примеру показатели эффективности (KPI). Тема уже настолько избита, что на ней нет ни одного живого места. Написаны тысячи томов научных изысканий.  Десятки тысяч консультантов сорвали голосовые связки, расхваливая преимущества, которые получит компания  их от использования . Но, не смотря на неоднократные попытки, внедрить в жизнь заветы лучших ведущих  мировых практик большинству компаний почему-то так и не удалось. На эту тему также написано тысячи томов, а обломков копий, сломанных в жарких баталиях безопасников-практиков,  хватит на то, чтобы  построить забор вокруг Китая.
Самым Главным Виновником называют сложности в выборе правильных метрик. Ибо, как вы яхту назовете... Скажем, насколько эффективна метрика количество инцидентов ИБ ? Если этот показатель высокий - это эффективное обнаружение инцидентов или низкий уровень безопасности? И наоборот - если показатель низкий - это высокий уровень безопасности или плохая работа безопасности по выявлению? Есть идеи считать эффективность использования инвестиций в ИБ. Всякие ROSI и другие нанотехнологии методики. Но вот опять незадача. Методики вроде бы понятные, а не работает.

Существует еще одна, пожалуй, сама распространенная причина, о которой все скромно умалчивают. А причиной как всегда выступает... Кто самое слабое звено? Правильно, человеческий фактор. А точнее, человеческая мотивация.
Казалось бы, ну при чем тут мотивация? Преимуществ для компаний от использования KPI так много, а недостатков - нет вовсе. Ведь все становится прозрачно и понятно! Одни плюсы для компании.
Так вот, "для компании" тут ключевое слово. Кто такая эта абстрактная компания? Набор бумажек с печатями и подписями? Ну ладно, есть еще владельцы. Их интересы - это интересы компании. Случай с государственными компаниями рассматривать не буду - это особый критичный случай рекурсивной абстракции: абстракцией "компания" владеет абстракция "государство", которое как-то определяет абстракция "народ"... в доме, который построил Джек. О них либо хорошо, либо - ничего. Возвращаемся к коммерческим. Так вот, компания состоит из целой кучи всяких ролей: тут тебе и владельцы, и руководство (которое еще разделяется на топ, высшее, среднее/линейное и т.д.), сотрудники, контрактники и т.д. и т.д. И тут и возникает мотивация. Причем у всех разная. У владельцев - больше доить и меньше кормить повышать прибыль и снижать затраты, у руководства - бонусы, у сотрудников - "вовремя зарплата и не грузите меня работой".
Рассмотрим поочередно какая взаимосвязь между мотивацией и неработающими KPI.
Суть человеческой природы такова, что свои цели человек всегда ставит выше целей компании. Потому, что своя рубашка ближе к телу. Когда мы вводим оценку деятельности, человек в первую очередь оценивает влияние на себя. Интересы компании ему до менее приоритетны. Есть, конечно, случаи патологии патриотизма, но в естественной среде они крайне редкие. И как любая нежизнеспособная форма обречены. 
В зависимости от того, на что влияют метрики, поведение персонала, попавшего под оценку, может очень сильно разниться:

 Метрики не влияют или несущественно влияют на оценку исполнителя. Результат - отсутствие мотивации. Процессы выполняются также, как и без KPI. Качество зависит сугубо от индивидуальных условий.

 Метрики существенно влияют на оценку исполнителя (влияние на бонусы, ежегодный пересмотр зарплаты, выговоры и т.д.). Сотрудник сосредоточен исключительно на задачах, оказывающих влияние на достижение KPI. Все остальные задачи - просто раздражающий фактор. Как правило, это имеет крайне негативное влияние на компанию. Например, если у нас есть метрика "количество выявленных инцидентов", это выливается в бессмысленно большое  количество проверок со стороны ИБ и огромное количество выявленных копеечных  нарушений, возведенных в ранг критичных для компании. Совокупные затраты на выявление таких инцидентов катастрофически превышают реальную пользу. При этом, не остается времени на выполнение более важных для компании, но не повышающих значение KPI задач.
Это применимо абсолютно ко всем видам деятельности. Поставь продавцам план по объему продаж в деньгах - он будет продавать наиболее дорогие вещи, а остальные останутся без внимания. Это провал планов  по продвижению других продуктов, затраты на склад и т.д. Поставим KPI по объему - фокус будет только на наиболее ходовых, как правило, наиболее дешевых продуктах. А это завал по выручке.
Отдельная тема - согласованность KPI между подразделениями. Если они не совпадают - поддержки от смежных подразделений не ждите. ИТ обещал помочь автоматизировать контроль безопасности? У них есть KPI по количеству успешно выполненных запросов? Нет? А что есть? Скорость реакции не более 30 дней? Тогда отреагируют они на запрос ровно через 30 дней. Как правило, уточнением запроса. Ведь главное реакция, а не результат?

Как я уже многократно повторялся выше, это проблема присуща любой области. По этому и возникают ситуации, когда все трудились не покладая рук, а суммарные результаты печальны, если не катастрофичны. KPI - мощный стимулирующий фактор. Как граната. Не давайте его в руки обезьянам.

 

Приват и защита персональных данных

Приват продолжает "радовать" креативностью в области защиты персональных данных.
Получение согласия на сбор персональных данных оформлено на квитанции о получении средств. Поставив подпись о получении денег, клиент автоматически дает согласие на обработку его любых(!) персональных данных.

Любые персональные данные банк не может обрабатывать хотя бы по причине 7-й статьи закона о защите персональных данных, которая вводит перечень данных не подлежащих обработке. По крайней мере для целей коммерческих и банковских услуг.
Кстати, в последней редакции закона убран раздел о том, что Национальный банк определяет типовой порядок обработки для банков. Теперь банки приравнены к простым смертным  другим коммерческим организациям и история с профанацией на тему "персональные данные=банковская тайна" закончилась.
Теперь о сборе согласия таким. Если вы столкнулись с таким вот чудо-способом - смело пишите рядом со своей подписью оговорку. 10 раздел 8 статьи закон в последней редакции дает вам такое право.
Если конечно для вас важен вопрос сохранения конфиденциальности  ваших персональных данных.
Если вас это вопрос не волнует - посмотрите ролик о том, что потом банк делает с вашим данными.