Хотели сегодня про очередную конференцию. Ну да, сезон такой, осень. Но передумали. Точнее так, сама конференция – CIRF – была хорошая, много чего обсудили. Но она, все-таки, для «прогрессивного ИБ-комьюнити», куда организаторы хотя и «собрали практикующих спикеров: экспертов ИБ и IT, технических специалистов, юристов и разработчиков, готовых обсуждать самые сложные и неудобные вопросы информационной безопасности и помогать находить решения», но тематика эта весьма специфичная, не массовая. Реально про безопасность, расследования, противодействие и жестко технологичные аспекты всего этого. От большинства юристов это очень далеко.
Хотя про юридическое тоже говорили, в контексте правильной подготовки НПА для задач ИБ, внутренних проверок и предупреждения инцидентов. Классика короче. Однако весьма актуальная, особенно в непростые кризисные времена. Ну то есть всегда.
Но мы повторять и пересказывать это не будем, а зайдем чуть по-новому, с международным размахом. Вы вот как служебные расследования проводите, если вдруг что? Нет, мы конечно надеемся что именно вы их вообще не проводите и все у вас в компании хорошо – нет ни инсайда, ни карапшена, ни чего похуже. Но все равно, на всякий случай расскажем. Ведь сегодня наши любимые цифровые доказательства для таких целей используются чуть ли не в первую очередь. Цифровизация же.
Ну так вот. Почти совсем недавно появился целый международный стандарт на эту тему – ISO 37008:2023 «Internal investigations of organizations – Guidance». Если кратко, то внутреннее расследование – это процесс, инициируемый организацией или в ее интересах с целью установления фактов в отношении предполагаемых нарушений, неправомерных действий или несоблюдения требований (таких как взяточничество, внутреннее мошенничество или дискриминация). Ну как бы все ясно.
Принципы проведения расследований – это независимость, конфиденциальность, профессиональность, объективность и, само собой, законность. Да-да, именно она. Про которую технари иногда как раз забиывают. А потом юристы думают, как же легализовать все, что коллеги «нарасследовали».
Стадии есть рекомендованные: собрать команду, оценить что вообще произошло и определится с объемом этого, план составить. Ну и дальше интервью и, собственно, сбор доказательств. А потом отчет написать. Наверное где-то тут должно еще было быть еще про установление причинно-следственных связей и т.п., но на этом не заостряют.
А вообще профильные юристы знают, что конец служебного расследования – это только начало большого пути. Если, конечно, расследование затевалось не ради просто «чтобы было», типа модных несколько лет назад whistleblower’ов, а реально для защиты и восстановления законных интересов компании. Поэтому хорошо, когда к этому отчету приложили руки сами юристы. А еще технари, понимающие потребности юристов.
Хотя про юридическое тоже говорили, в контексте правильной подготовки НПА для задач ИБ, внутренних проверок и предупреждения инцидентов. Классика короче. Однако весьма актуальная, особенно в непростые кризисные времена. Ну то есть всегда.
Но мы повторять и пересказывать это не будем, а зайдем чуть по-новому, с международным размахом. Вы вот как служебные расследования проводите, если вдруг что? Нет, мы конечно надеемся что именно вы их вообще не проводите и все у вас в компании хорошо – нет ни инсайда, ни карапшена, ни чего похуже. Но все равно, на всякий случай расскажем. Ведь сегодня наши любимые цифровые доказательства для таких целей используются чуть ли не в первую очередь. Цифровизация же.
Ну так вот. Почти совсем недавно появился целый международный стандарт на эту тему – ISO 37008:2023 «Internal investigations of organizations – Guidance». Если кратко, то внутреннее расследование – это процесс, инициируемый организацией или в ее интересах с целью установления фактов в отношении предполагаемых нарушений, неправомерных действий или несоблюдения требований (таких как взяточничество, внутреннее мошенничество или дискриминация). Ну как бы все ясно.
Принципы проведения расследований – это независимость, конфиденциальность, профессиональность, объективность и, само собой, законность. Да-да, именно она. Про которую технари иногда как раз забиывают. А потом юристы думают, как же легализовать все, что коллеги «нарасследовали».
Стадии есть рекомендованные: собрать команду, оценить что вообще произошло и определится с объемом этого, план составить. Ну и дальше интервью и, собственно, сбор доказательств. А потом отчет написать. Наверное где-то тут должно еще было быть еще про установление причинно-следственных связей и т.п., но на этом не заостряют.
А вообще профильные юристы знают, что конец служебного расследования – это только начало большого пути. Если, конечно, расследование затевалось не ради просто «чтобы было», типа модных несколько лет назад whistleblower’ов, а реально для защиты и восстановления законных интересов компании. Поэтому хорошо, когда к этому отчету приложили руки сами юристы. А еще технари, понимающие потребности юристов.