1.7.6 Професійна таємниця

Професійна таємниця - інформація, що захищається згідно із законом, довірена або така, що стала відомою особі виключно через виконання нею своїх професійних обов'язків, не пов'язаних з державною або муніципальною службою, поширення якої може завдати збитку правам і законним інтересам власника інформації або іншої особи (довірителя), що довірила ці відомості, які не є державною або комерційною таємницею.

Інформація професійної таємниці за критеріями охороно здатності права відповідає таким вимогам:

• інформація не належить до відомостей, що складають державну і комерційну таємницю;

• інформація стала відомою або була довірена особі лише через ви­конання нею своїх професійних обов'язків;

• інформація стала відомою або була довірена особі, що не перебу­ває на державній або муніципальній службі (інакше інформація вважається службовою таємницею);

• заборонено поширення довіреної або такої, що стала відомою, ін­формації, яка може завдати збитку правам і законним інтересам довірителя.

Відповідно до цих критеріїв виділяють такі об'єкти професійної таємниці.

1. Лікарська таємниця - інформація, що містить:

• відомості про факт звертання за медичною допомогою, про стан здоров'я, діагнози захворювання та інші відомості, отримані при обстеженні і лікуванні громадянина;

• не бути надлишковими стосовно неї. Не допускається об'єднання баз персональних даних, зібраних тримачами в різних цілях, для автоматизованої обробки інформації;\

• персональні дані, що надаються тримачем, мають бути точними; у разі потреби вони повинні оновлюватися;

• персональні дані повинні зберігатися не довше, ніж цього вимагає мета, і підлягати знищенню після досягнення цієї мети;

• персональні дані охороняються в режимі конфіденційної інформа­ції, що виключає їх випадкове або несанкціоноване руйнування або випадкову втрату, а також несанкціонований доступ до даних, їх зміну, блокування або передачу;

• встановлюється спеціальний правовий режим використання персо­нальних даних осіб, що обіймають вищі державні посади, і канди­датів на ці посади.

8. Способи неправомірного оволодіння конфіденційною інформацією

У значній частині законодавчих актів, законів, кодексів, офіційних матеріалів стосовно неправомірного оволодіння конфіденційною інформації використовуються такі поняття, як розголошення відомостей, витік інфор­мацією і несанкціонований доступ до конфіденційної інформації.

Розголошення - це навмисні чи необережні дії з конфіденційними відомостями, що призвели до ознайомлення з ними осіб, не допущених до них.

Розголошення полягає у повідомленні, передачі, наданні, пересилан­ні, опублікуванні, втраті та в інших формах обміну і дій з діловою і науко­вою інформацією.

Реалізується розголошення формальними і неформальними каналами поширення інформації.

До формальних комунікацій належать ділові зустрічі, наради, пере­говори і тому подібні форми спілкування: обмін офіційними діловими і нау­ковими документами засобами передачі офіційної інформації (пошта, теле­фон, телеграф і ін.).

Неформальні комунікації - це особисте спілкування (зустрічі, лис­тування й ін.); виставки, семінари, конференції й інші масові заходи, а також засоби масової інформації (газети, інтерв’ю, радіо, телебачення й ін.).

Як правило, причиною розголошення конфіденційної інформації є недостатнє знання співробітниками правил захисту комерційних секретів і нерозуміння необхідності їх ретельного дотримання. Отут важливо відзна­чити, що суб’єктом у цьому процесі виступає джерело (власник) секретів, що охороняються.

Необхідно враховувати такі особливості інформації. Інформація змісто­вна, осмислена, упорядкована, аргументована і доводиться найчастіше в реаль­ному масштабі часу. Часто є можливість діалогу. Інформація орієнтована у пе­вній тематичній галузі і документована. З урахуванням цього, для одержання інформації зловмисник може докладати практично мінімальні зусилля.

Закордонні фахівці до найбільш Імовірних каналів витоку конфіден­ційної інформації відносять такі:

• спільну діяльність із іншими фірмами;

• проведення переговорів;

• екскурсії й відвідування фірми;

• рекламу, публікації в пресі, інтерв'ю;

• консультації фахівців з інших фірм, що одержують доступ до до­кументації й виробничої діяльності даної фірми;

• фіктивні запити про можливість роботи у фірмі, укладання з нею угод, здійснення спільної діяльності;

• розсилання окремим співробітникам фірми різних анкет й опиту- вальників під виглядом наукових або маркетингових досліджень;

• приватні бесіди зі співробітниками фірми, нав'язування їм неза- планованих дискусій з різних проблем.

Витік - це безконтрольний вихід конфіденційної інформації за межі організації чи кола осіб, яким вона була довірена

Канал витоку інформації - це шлях від джерела конфіденційної інформації до зловмисника, за допомогою якого останній може одержати доступ до відомостей, що охороняються.

Для утворення каналу витоку інформації необхідні певні просторові, енергетичні і часові умови, а також наявність на стороні зловмисника відпо­відної апаратури прийому, обробки і фіксації інформації.

Взаємодію об'єкта (фірма, організація) і суб’єкта (конкурент, зловми­сник) в інформаційному процесі з протилежними інтересами можна розгля­дати з позиції активності в діях, що призводять до оволодіння конфіденцій­ними відомостями.

У цьому випадку можливі такі ситуації:

• власник (джерело) не вживає ніяких заходів для збереження кон­фіденційної інформації, що дозволяє зловмиснику легко одержати відомості, які його цікавлять;

• джерело інформації строго дотримується заходів інформаційної безпеки, тоді зловмиснику доводиться докладати значних зусиль для здійснення доступу до відомостей, що охороняються, викорис­товуючи для цього всю сукупність способів несанкціонованого проникнення;

• проміжна ситуація - це витік інформації технічними каналами, ко­ли джерело ще не знає про це (інакше він вжив би заходи захисту), а зловмисник легко, без особливих зусиль може їх використовува­ти у своїх інтересах.

Можливі канали витоку інформації поділяються на такі групи.

Перша група. Канали, пов'язані з доступом до елементів системи об­робки даних, але такі, що не потребують зміни компонентів системи. До цієї

групи належать канали, що утворюються за рахунок:

• дистанційного прихованого відеоспостереження або фотографування;

• застосування пристроїв підслуховування;

• перехоплення електромагнітних випромінювань і наведень і т.д.

Друга група. Канали, пов'язані з доступом до елементів системи й

зміною структури її компонентів. До даної групи належать:

• спостереження за інформацією з метою її запам'ятовування в про­цесі оброблення;

• розкрадання носіїв інформації;

• збір виробничих відходів, що містять оброблювану інформацію;

• навмисне зчитування даних з файлів інших користувачів;

• читання інформації, що залишається на носіях після виконання завдань;

• копіювання носіїв інформації;

• навмисне використання для доступу до інформації терміналів за­реєстрованих користувачів;

• маскування під зареєстрованого користувача шляхом викрадення паролів і інших реквізитів розмежування доступу до інформації, використовуваної в системах обробки;

• використання для доступу до інформації так званих «люків», «ді­рок» і «лазівок», тобто можливостей обходу механізму розмежу­вання доступу, що виникають внаслідок недосконалості загально - системних компонентів програмного забезпечення (операційних систем, систем керування базами даних і ін.) і неоднозначності мов програмування, застосовуваних в автоматизованих системах обро­бки даних.

Третя група. Канали, що утворюються за рахунок:

• незаконного підключення спеціальної реєструвальної апаратури до пристроїв системи або ліній зв'язку (перехоплення мод ємного й факсимільного зв'язку);

• злочинної зміни програм таким чином, щоб ці програми поряд з основними функціями обробки інформації здійснювали також не­санкціоноване збирання і реєстрацію цінної інформації;

• злочинного виведення з ладу механізмів захисту.

Четверта група. До складу цієї групи входять:

• несанкціоноване одержання інформації шляхом підкупу або шан­тажу посадових осіб відповідних служб;

• одержання інформації шляхом підкупу та шантажу співробітників, знайомих, обслуговуючий персонал або родичів, що знають про відповідну діяльність.

Несанкціонований доступ - це протиправне навмисне оволодіння конфіденційною інформацією суб'єктом, який не має права доступу до секретів, що охороняються.

Несанкціонований доступ до джерел конфіденційної інформації реа­лізується різними способами: від ініціативного співробітництва, що поля­гає в активному прагненні «продати» секрети, до використання різних засо­бів проникнення до комерційних секретів.

Розглянемо типову ситуацію, яка може виникнути в будь-якій фірмі або організації.

Після того, як фінансовий документ у філії великої компанії створе­но, його необхідно відправити електронною поштою в головний офіс на під­пис керівникові. При цьому можуть відбутися такі події:

1. Документ створено, і щасливий співробітник після роботи над ним пішов на обід. У цей час зловмисник здійснив несанкціонований доступ до персонального комп'ютера співробітника й підмінив або знищив документ.

2. Документ створено, співробітник поклав його в теку на файловому сервері корпоративної мережі й пішов додому. У цей час його конкурент або не­доброзичливець, отримавши доступ до сервера, підмінив або знищив документ.

3 ) Документ створено, співробітник поклав його в теку на файловому сервері корпоративної мережі. Відбулася атака на корпоративну мережу компанії з боку мережі Інтернет, і всі бази даних й інші матеріали знищено.

4. Документ створено і відправлено електронною поштою або відп­равлено на ftp сервер у головний офіс. При передачі документа відбулося його перехоплення й підміна.

5. Документ створено, переписано на дискету й відправлено з кур'є­ром у головний офіс. Кур'єр за день дуже втомився й забув теку з диском в транспорті.

6. Документ створено, оброблено, і він зберігається десь на диску якогось комп’ютера. Комп'ютер «за старістю» списується й новий власник знаходить у схованих файлах річний фінансовий звіт. Він продає звіт конку­рентові.

7. Комп'ютер співробітника або сервер мережі був заражений віру­сом, що спричинило знищення баз даних і іншої важливої інформації.

У кожному із цих випадків компанія зазнає фінансових збитків і, як­що інформація про подію виходить за межі компанії, втрачає свою репута­цію на ринку.

Наведений приклад свідчить про необхідність комплексного підходу до забезпечення інформаційної безпеки, тобто потрібен захист інформації як від розголошення, так і від витоку по технічних каналах і від несанкціонова­ного доступу до неї з боку конкурентів і зловмисників.