8.3. Комплексная защита информации и персонал

Персонал является первостепенным и наиболее сложным элементом управления государственными и негосударственными структурами. В концепции комплексной защиты информации кадровая политика играет очень важную профилактическую роль по отношению к множеству видов угроз, исходящих от персонала, в том числе такой угрозы как неблагонадежность отдельных сотрудников.

Основным “производителем” и “держателем” защищаемой информации является человек. Этот первичный канал как возникновения, так и утраты любого объекта информации. Исходя из этого основное внимание должно быть уделено сотрудникам предприятия, начиная от момента их поступления на работу.

Миграция специалистов, особенно имеющих дело с защищаемой информацией, самый основной и трудно контролируемый канал утечки информации. Так, практика разного рода совместительства сотрудников, прежде всего научно-исследовательских организаций, где они используют свои профессиональные знания и навыки, приобретенные по основному месту работы, т.е. фактически интеллектуальный продукт организации, только должным образом не оформленный в ее собственность, является одним из наиболее вероятных каналов утечки служебной информации.

Вторым по значимости с каналом утечки конфиденциальной информации являются

всевозможные публикации в печати, депонированные рукописи, монографии, отчеты по НИОКР, а так же научно-технические семинары, конференции, симпозиумы и т.п., являются одним из существенно значимых факторов, способствующих утечке коммерчески значимой для предприятия и организации информации.

Угрозы защите информации со стороны, например, конкурентов, реализуемые через ее персонал, могут принимать такие формы, как:

а) переманивание сотрудников, владеющих конфиденциальной информацией;

б) ложные предложения работы сотрудникам предприятия с целью выведения информации;

в) выведывание конфиденциальных сведений у сотрудников предприятия в такой форме, что последние не догадываются о цели вопросов;

г) прямой подкуп сотрудников предприятий - конкурентов;

д) засылка агентов на предприятие;

е) тайное наблюдение за сотрудниками предприятия.

Одним из основных принципов создания комплексной системы защиты информации является удобство работы сотрудников. Поэтому в методологию КСЗИ предприятия закладываются средства защиты не конкретных сотрудников, а локализованных замкнутых групп пользователей, внутри которых информационный обмен не формализован, а передача информации наружу контролируется средствами защиты.

Например, к функциям программно-аппаратных средств защиты информации можно отнести:

1. разграничение (ограничение) доступа сотрудников в различные подразделения

2. выделение сильно защищенных сотрудников, обрабатывающих строго конфиденциальную информацию;

3. защиту каналов связи между различными офисами организации, между отдельными подразделения или сотрудниками;

4. защиту рабочих станций пользователей от непосредственного доступа к ним других сотрудников;

5. строгое разграничение доступа к архивам документов, рабочей информации;

6. протоколирование и аудит действий сотрудников предприятия с конфиденциальной информацией;

7. резервное копирование архивов документов и др.

Среди актуальных проблем, касающихся комплексной защиты информации предприятия - проблема хранения паролей и парольной защиты в целом.

Появились технологии, способствующие эффективному решению данной проблемы, это технологии биометрической аутентификации пользователей (пользователь для получения доступа к персональному компьютеру, сетевому ресурсу или архиву документов предъявляет системе, например, свой отпечаток пальца, тем самым избавляя себя от необходимости запоминать пароли и хранить их).

В условиях же преобладания бумажного документооборота многие предприятия не могут отслеживать четкие маршруты прохождения документов, не могут ранжировать поступающие документы по степени конфиденциальности. Конфиденциальный документ, проходя согласование, визирование у многих руководителей и во многих подразделениях, оказывается в руках большого числа посторонних людей - секретарей, заместителей, помощников руководителей, не имеющих к нему прямого отношения.

Складывается ситуация, когда «все занимаются всем». Следовательно, все сотрудники потенциально имеют доступ ко всей информации, проходящей через подразделение. А через некоторые подразделения, как, например, бухгалтерия, проходит вообще вся коммерческая информация. В этом случае при утечке информации очень трудно выяснить, где она произошла.

Секретари-референты многих некрупных фирм, предпринимательских структур в малом и среднем бизнесе одновременно с выполнением функции документационного обеспечения деятельности предприятия и функции обеспечения защиты информации, т.е. информационной безопасности выполняют комплекс операций, свойственных обычно службе персонала. Вопросы документирования трудовых правоотношений, ведения личных дел и учетно-справочного аппарата, составления отчетности по кадрам, как правило, в достаточной степени известны секретарям-референтам. Вместе с тем, при выполнении работы, связанной с персоналом, секретари-референты всегда должны учитывать, что деятельность любого предприятия связана с использованием определенного объема конфиденциальной информации и то, что персонал владеет этими сведениями. Утрата их по вине персонала может нанести ущерб интересам и престижу предприятия, успеху в бизнесе.

Подобное обстоятельство требует от секретаря-референта знания тех особенностей, которые необходимо соблюдать при подборе, отборе и приеме на работу или переводе на должность, увольнении сотрудников предприятия, деятельность которых связана с оперированием конфиденциальными сведениями, т.е. с защитой коммерческой информации предприятия.