Автоматизация архива меняет модель угроз, а не только скорость работы. Пока договор трёхлетней давности искали полдня по папкам и почтовым ящикам, права доступа были формальностью: закрытым документ делала не настройка, а невозможность его найти. Как только над архивом появился поиск, отдающий нужный пункт с цитатой за секунду, эта защита исчезла — и вместе с ней исчезло время на то, чтобы заметить лишний доступ.
Практический вывод: модель прав ставится до запуска поиска, а не после первой жалобы. Ниже — четыре оси, по которым обычно режут доступ к архиву, матрица, которая их заменяет, требования 152-ФЗ к договорам с физическими лицами, порядок хранения и уничтожения и расчёт: 141 600 ₽ на постановку против 72 000 ₽ и девяти дней на разбор одного инцидента вслепую.
Оговорка о нашей роли: мы инженерное бюро, а не юридическая фирма. Мы отвечаем за то, чтобы права проверялись на этапе отбора документов, события писались в журнал, а сроки хранения считались от правильной даты. Что относится к охраняемой тайне, какие документы нельзя уничтожать и как оформляется поручение обработки — определяет юрист; список того, что несут ему, — в конце статьи.
Четыре оси, по которым режут доступ, и почему побеждает матрица
Компании пытаются описать доступ к архиву одним из четырёх способов, и каждый по отдельности разваливается на второй месяц.
- По подразделению. «Отдел продаж видит свои договоры». Ломается на первом договоре, который вели вдвоём с юристом, и на первом сотруднике, переведённом в другой отдел вместе с портфелем.
- По роли. «Юристы видят всё». Работает, пока юрист один. При трёх юристах и внешнем консультанте становится опасной: доступ к корпоративным и кадровым документам получают люди, которым он не нужен ни дня.
- По контрагенту. «Кто ведёт клиента, тот и видит его документы». Разумно и полностью бесполезно для документов, у которых контрагента нет: уставных, кадровых, внутренних регламентов.
- По грифу. «Конфиденциально» на документе. Единственная ось, которая ничего не решает сама: гриф ставит человек, ставит выборочно, и через год половина архива помечена, а вторая — нет, хотя содержит то же самое.
Рабочая модель собирается не из одной оси, а из пересечения двух: роль и тип документа. Подразделение и контрагент при этом не исчезают — они становятся дополнительным сужением внутри клетки: «менеджер видит договоры поставки, но только своих контрагентов». Анатомия самого права — что значит «видеть», «менять» и «выгружать» — разобрана отдельно в материале про разграничение прав сотрудников; здесь речь о том, по каким осям резать архив.
| Тип документа | Видит целиком | Видит карточку без файла | Не видит вовсе |
|---|---|---|---|
| Договоры поставки и оказания услуг | Юристы, руководители подразделений, ответственный по договору | Менеджеры по своим контрагентам, финансовая служба | — |
| Договоры с физическими лицами | Юристы, руководитель компании | Финансовая служба — без паспортных данных и адреса | Менеджеры, все остальные |
| Кадровые документы и трудовые договоры | Кадровая служба, руководитель компании | Руководитель подразделения — только по своим сотрудникам | Юристы по умолчанию, доступ выдаётся по заявке на срок |
| Договоры с особыми коммерческими условиями | Руководитель компании, ведущий юрист | Финансовая служба | Менеджеры, включая ведущего этого клиента |
| Документы по спорам и претензиям | Юристы, руководитель компании | Руководитель подразделения — факт спора без материалов | Все остальные |
| Корпоративные и учредительные документы | Руководитель компании, главный бухгалтер | Юристы | Все остальные |
Архив на 5 000 документов обычно разложен по 200–250 папкам, и на каждой свой список — считайте, 240 независимых решений, принятых в разное время разными людьми. Матрица даёт 36 решений вместо них, и, что важнее, каждое обсуждаемо: шесть строк можно принести руководителям и закрыть вопрос за одну встречу. Двести сорок списков нельзя обсудить в принципе, поэтому их и не обсуждают, а просто раздают доступ по обращению.
Две зоны рядом. Слева подпись «Как обычно»: россыпь из множества мелких прямоугольников-папок с крошечными списками имён внутри, часть соединена хаотичными линиями, общая подпись «более 240 списков доступа, архив 5 000 документов» и красная пометка «вопрос «кто видит договоры с физлицами» без ответа». Справа подпись «Как надо»: аккуратная сетка 6 столбцов на 6 строк, столбцы подписаны «поставка», «физлица», «кадры», «особые условия», «споры», «корпоративные», строки — «юрист», «руководитель подразделения», «менеджер», «финансы», «кадры», «руководитель компании». Клетки закрашены тремя градациями с легендой «целиком», «карточка без файла», «нет доступа». Под сеткой подпись «36 решений на одном листе». Чертёжный стиль, подписи по-русски.
Права должны работать внутри поиска, а не поверх него
Самая дорогая ошибка этого проекта незаметна: формально ничего не сломалось, просто менеджер получил в ответе цитату из документа, к которому у него доступа нет. Происходит это потому, что фильтр прав ставят в конце цепочки — на показ результата, а не на отбор кандидатов.
- 1Отбор с условием доступа. Кандидаты на ответ выбираются сразу с учётом прав пользователя. Фильтр после сборки ответа не спасает: языковая модель уже прочитала закрытые фрагменты и способна пересказать их своими словами, не цитируя.
- 2Метка доступа на каждом фрагменте. Документ режется на части, и права переносятся на каждую часть. Индекс, построенный без меток, придётся перестраивать целиком — это повторные деньги за обработку всего архива.
- 3Один источник прав. Если в учётной системе одни группы, в файловом хранилище другие, а в поиске третьи, расхождение появится в первый же месяц. Права берутся из одного места и в остальные транслируются.
- 4Ответ «ничего не найдено» вместо «доступ запрещён». Сообщение о запрете само раскрывает факт существования документа. Для документов по спорам и по особым условиям это уже утечка.
Техническая сторона вопроса — как устроен индекс и во что обходится его подготовка — разобрана в статье про поиск по архиву договоров. Здесь важно одно организационное следствие: матрица прав должна быть готова до того, как строится индекс, иначе первая же перестройка съест бюджет, заложенный на весь проект.
Персональные данные в договорах с физическими лицами
Договор с физическим лицом содержит фамилию, паспортные данные и адрес — это персональные данные, и компания в этот момент является их оператором со всеми обязанностями по 152-ФЗ. Что именно относится к персональным данным и где проходят границы, разобрано в отдельном материале — что относится к персональным данным. Для архива договоров практических требований четыре.
| Требование | Что это значит для архива | Как проверить за час |
|---|---|---|
| Хранение баз на территории России | Файловое хранилище, индекс поиска и резервные копии находятся в российском дата-центре | Запросить у провайдера письменное подтверждение расположения серверов, включая копии |
| Поручение обработки подрядчику | Любой, кто получает доступ к архиву для настройки или поддержки, обрабатывает данные по поручению: нужен документ с перечнем действий и требованиями к защите | Открыть договор с подрядчиком и найти раздел о поручении обработки. Если его нет, доступ выдавать нельзя |
| Минимизация состава | В поисковый индекс и в карточку не выносятся паспортные данные и адрес, если по ним не ищут | Посмотреть, какие поля извлекаются из договора с физлицом в реестр, и вычеркнуть лишние |
| Ограничение по цели | Доступ выдаётся под задачу, а не «на всякий случай»: финансовой службе — сумма и срок, не паспорт | Взять строку матрицы «договоры с физлицами» и проверить, зачем каждому доступ |
Отдельный риск появляется, когда над архивом ставят языковую модель. Прямая оплата зарубежных сервисов из России недоступна, доступ идёт через посредников, и в этой схеме невозможно ни подтвердить место хранения, ни оформить поручение обработки. Для документов с персональными данными это блокер, а не неудобство. Рабочий вариант — локальная модель на своём сервере в России: трансграничной передачи не происходит вовсе. Для остального архива допустимы российские платформы, но и там место хранения проверяется письменно, а не по описанию на сайте.
Сроки хранения и контролируемое уничтожение
Срок хранения считается не от даты подписания договора, а от завершения его исполнения и окончания отчётного года — это первое, что настраивается неверно. Ориентиры такие: первичные документы и счета-фактуры хранятся не менее 5 лет, кадровые документы, созданные после 2003 года, — 50 лет, по убыткам прошлых лет и по основным средствам срок длиннее и считается иначе. Подробности по формату и по тому, что происходит с электронной подписью через годы, — в материале про хранение электронных документов.
Если по договору идёт спор, проводится проверка или заявлено требование, документы по нему сохраняются независимо от того, что срок хранения формально прошёл. Практическое правило для настройки: удаление по сроку никогда не делается автоматическим заданием. Система формирует перечень кандидатов на уничтожение, юрист вычёркивает из него всё, что связано с открытыми спорами и претензиями, и только после этого перечень утверждается. Автоматическое удаление по расписанию — единственная настройка в этом контуре, которую мы отказываемся делать.
- 1Перечень кандидатов
Система раз в квартал собирает документы, у которых истёк срок, с указанием даты окончания исполнения, от которой срок считался.
- 2Вычёркивание по спорам
Юрист сверяет перечень с реестром претензий и дел. Всё, что связано с открытым или вероятным спором, остаётся в архиве с пометкой и новой датой пересмотра.
- 3Утверждение и акт
Оставшееся утверждается актом с перечнем: что именно, за какой период, на каком основании, кто утвердил. Акт хранится дольше уничтоженных документов.
- 4Невосстановимое удаление
Удаляется не только файл, но и его копии в резервных наборах, во временных папках подрядчика и во фрагментах поискового индекса. Индекс, из которого не убрали фрагменты, продолжает отдавать цитаты из уничтоженного документа.
- 5Запись в журнале
Факт уничтожения — такое же событие, как доступ: дата, перечень, основание, исполнитель. Без записи невозможно доказать, что документ уничтожен законно, а не пропал.
Горизонтальная лента времени слева направо. Отметки: «подписание», «окончание исполнения — отсюда начинается отсчёт» (выделена), далее длинный отрезок с двумя параллельными подписями «первичные документы и счета-фактуры: не менее 5 лет» и «кадровые документы после 2003 года: 50 лет». Дальше по ленте четыре последовательных блока: «перечень кандидатов», «вычёркивание по спорам», «акт с перечнем», «невосстановимое удаление, включая копии и фрагменты индекса». Над блоком «вычёркивание» ответвление вверх к блоку «спор или проверка — документ остаётся». В конце ленты небольшой блок «запись в журнале». Чертёжный стиль, подписи по-русски.
Журнал доступа и цена его отсутствия
Журнал заводят после инцидента, а нужен он до. Логика простая: журнал отвечает не на вопрос «кто виноват», а на вопрос «что именно ушло» — и на этот вопрос надо ответить в сжатый срок. При обнаружении инцидента с персональными данными в первые 24 часа подаётся уведомление о самом факте, в течение 72 часов — сведения о результатах внутреннего расследования. Подробный порядок разобран в материале про уведомление об утечке данных.
Фиксировать достаточно пять типов событий: открытие документа, выгрузку или печать, изменение прав, поисковый запрос с перечнем попавших в ответ документов и удаление. Пятое событие — то, которое чаще всего не пишут, и именно его отсутствие превращает разбор в опрос свидетелей.
Девять рабочих дней не помещаются в 72 часа — и это главный аргумент за журнал, а не экономия 57 700 ₽. Второй аргумент неочевиден: разбор без журнала обычно заканчивается выводом «достоверно установить не удалось», и этот вывод хуже любого конкретного. Штрафы за нарушения при работе с персональными данными измеряются миллионами, а при повторе переходят в процент от выручки — точные диапазоны мы намеренно не расписываем, норму правили дважды, детали в материале про штрафы за нарушение 152-ФЗ.
Две горизонтальные полосы одна под другой в общем масштабе времени, размеченном в рабочих днях. Верхняя, длинная, подписана «Без журнала — 72 000 ₽»: сегменты «опрос 18 человек 9 000 ₽», «сверка выгрузок 36 000 ₽», «юридическая оценка 27 000 ₽», в конце пометка «вывод: достоверно установить не удалось». Нижняя, короткая, подписана «С журналом — 14 300 ₽»: сегменты «выгрузка событий 800 ₽», «юридическая оценка 13 500 ₽». Поперёк обеих полос две вертикальные отсечки-флажка с подписями «24 часа: уведомление о факте» и «72 часа: результаты расследования»; верхняя полоса обе отсечки пересекает, нижняя заканчивается до первой. Чертёжный стиль, подписи по-русски.
Сколько стоит поставить модель прав
Модельная компания: 5–50 человек, архив на 5 000 договоров, шесть типов документов, шесть ролей. Ставки — помощник 1 200 ₽/час, юрист 4 500 ₽/час, руководитель подразделения 1 800 ₽/час, инженер 3 000 ₽/час.
Строка про 40 контрольных запросов — единственная, которую пытаются вычеркнуть, и единственная, которую вычёркивать нельзя. Проверка делается так: берутся шесть ролей, для каждой формулируются 6–7 запросов, часть из которых заведомо должна упереться в запрет, и результат сравнивается с матрицей. Без этой проверки вы не знаете, что настроили, — вы знаете, что настраивали. Общий принцип выдачи прав, включая временный доступ и квартальную ревизию, разобран в материале про принцип минимальных прав доступа.
Когда всё это лишнее
Три ситуации. Первая — компания до десяти человек, где все и так видят всё, а договоров меньше сотни: матрица из 36 клеток в ней превратится в 36 строк «доступ есть», и смысла в ней ноль. Достаточно закрыть два типа — кадровые и корпоративные документы. Вторая — архив бумажный и оцифровывать его вы не планируете: поиска нет, значит, и новой модели угроз нет, работает физический доступ к шкафу. Третья — договоров с физическими лицами у вас нет вовсе, все контрагенты юридические лица: тогда из всего перечисленного остаются только сроки хранения и журнал, а требования 152-ФЗ к архиву не применяются.
И граница, за которую техника не заходит. Юристу при любой модели прав несут: отнесение документа к охраняемой тайне и решение о грифе; состав персональных данных, которые вы вправе хранить и извлекать в реестр, и основание их обработки; оформление поручения обработки подрядчику и проверку его условий; решение об уничтожении конкретного перечня и связь документов с открытыми спорами; оценку инцидента и содержание уведомления регулятора; правила доступа внешних консультантов к материалам по спорам. Система в этих вопросах показывает, где что лежит и кто что открывал, и ошибается — поэтому каждый её ответ идёт со ссылкой на документ и на событие журнала, а не с формулировкой «доступ был правомерным». Смежный контур — учёт того, кто вправе подписывать документы, — разобран в статье про доверенности и их отзыв.
