Тема 15. Защита информации в организации

Защита информации предполагает предотвращение утечки, хищения, утраты, несанкционированного досту­па, копирования, уничтожения, искажения, модифика­ции (подделки), блокирования информации и т.п.

Механизм защиты информации должен вклю­чать следующие блоки.

На макроуровне:

• нормы права, направленные на защиту интересов ее владельца (законы, указы, положения и т.д.).

На микроуровне:

• нормы, устанавливаемые руководителем организа­ции (приказы, распоряжения, инструкции);

• специальные структурные подразделения, обеспечи­вающие соблюдение этих норм (режимные подразделе­ния, служба безопасности предприятия и т.д.);

• действенная система мер по защите коммерче­ской тайны (взаимосвязь методов, способов, средств за­щиты).

В условиях рыночной экономики защита сведений, составляющих коммерческую тайну, является залогом сохранения лидирующих позиций организации на рынке.

В Республике Беларусь сформировались правовые основы защиты коммерческой тайны. Основным доку­ментом в данной сфере является Положение о коммерче­ской тайне, предусматривающее ряд норм, рассмотрен­ных ранее.

Установленный положением и локальными докумен­тами, изданными руководителем предприятия (организа­ции), несущим персональную ответственность за создание необходимых условий для обеспечения сохранения ком­мерческой тайны, порядок должен быть закреплен в кол­лективном договоре, Уставе предприятия (организации), в договорах с нанимаемыми работниками и хозяйствую­щими субъектами. Только в этом случае государство смо­жет обеспечить субъектам хозяйствования право на ком­мерческую тайну и ее защиту в судебном порядке.

В связи с широким использованием при обработке кон­фиденциальной информации технических средств руково­дитель обязан аттестовывать применяемые при этом аппа­ратные и программные средства компетентными органами и получать соответствующие сертификаты. При рассмот­рении дел в суде наличие этих документов обязательно.

Содержание работ по защите информации должно носить комплексный, системный и экономически целесообразный характер.

Задачи защиты информации организации включают:

• защиту прав и интересов фирмы и его работников;

• выявление реальных и потенциальных угроз;

• выработку и использование системы профилактиче­ских мер, предотвращающих утечку и хищение секрет­ной информации;

• обеспечение эффективности системы защиты ком­мерческой тайны..

К системе защиты информации организации предъявляются определенные требования:

• система должна быть комплексной;

• должна быть гибкой, динамичной, учитывать изме­нения ценности информации в конкурентной среде;

• должна соответствовать законодательству страны. При несоблюдении вышеперечисленных требований

и принципов риск, связанный с защитой экономиче­ской безопасности организации, при работе на рынке воз­растает.

Организационная работа. Она включает разработку концепции обеспечения безопасности информации, сос­тавляющей коммерческую тайну, и формирование пакета необходимой организационно-планирующей документа­ции, обеспечивающей действенную ее защиту, подтверж­денную компетентными органами.

Концепция обеспечения защиты коммерческой тайны организации включает:

1. Правовое обеспечение сохранности информации:

• регистрацию права на коммерческую тайну в Уставе организации;

• внесение соответствующих дополнений, касающих­ся охраны коммерческой тайны и взаимных обяза­тельств сторон по данному вопросу, в коллективный до­говор;

• наличие в организации утвержденного руководите­лем Положения о коммерческой тайне;

• отражение индивидуальных обязательств по сохра­нению коммерческой тайны в трудовом договоре или контракте;

• заключение письменных договоров-обязательств, за­явлений увольняющихся работников, имевших доступ к конфиденциальной информации, о сохранении коммер­ческой тайны в течение определенного срока;

• наличие соглашений о секретности с юридическими лицами, являющимися партнерами по бизнесу и имею­щими доступ к коммерческой информации (поставщики, покупатели продукции, инвесторы и т.д.);

• наличие приказа по организации о защите коммер­ческой тайны;

• наличие памятки о сохранении конфиденциальной информации и ознакомление с ней под личную роспись тех, кто имеет к ней доступ.

2. Идеологическое и методическое обеспечение сохранности информации:

• воспитательная работа, формирование чувства ответ­ственности, гордости за свою организацию, комфортности и удовлетворенности своей деятельностью;

• чтение лекций, проведение различных семинаров, практикумов, деловых игр, консультаций, личных бесед;

• четкое и своевременное доведение необходимой ин­формации до лиц, имеющих отношение к данному вопросу.

3. Организация процесса обеспечения сохранности информации:

• отбор объектов защиты;

• выбор средств защиты, адекватных целевым задачам;

• управление обеспечением сохранности коммерческой тайны и контроль эффективности применения охран­ных мер.

4. Систему ограничения лиц, допускаемых к сведе­ниям, составляющим коммерческую тайну:

• инструктаж и учет лиц, имеющих доступ к информа­ции, составляющей коммерческую тайну;

• меры по повышению бдительности и ответственного отношения к сохранению закрытой информации.

5. Организацию делопроизводства с информацией, составляющей коммерческую тайну:

• разработка инструкции, регламентирующей работу с закрытой информацией;

• ведение журналов регистрации дел и учета сведений, составляющих коммерческую тайну;

• особые меры при использовании ПЭВМ и ЛВС.

6. Формирование тактики представления матери­алов, предназначенных к опубликованию, использова­нию для рекламы, выступлений, докладов на конфе­ренциях, для передачи по радио, телевидению, во вре­мя деловых переговоров и т.п.

7. Определение порядка и целесообразности исполь­зования технических средств для работы с докумен­тами и информацией, составляющими коммерческую тайну: ПЭВМ, сканирующих устройств, аудио-видео­техники, факсов и т.д.

8. Создание системы контроля и исполнения всех требований и задач по обеспечению защиты коммер­ческой тайны организации.

Мировой опыт свидетельствует, что для защиты информации организации не достаточно чисто адми­нистративных мер, даже четко обработанных, следует активно вовлекать в ее защиту всех сотрудников. Каж­дый сотрудник должен быть уверен, что его личное бла­гополучие зависит от успехов фирмы, в которой он ра­ботает.

Концепция должна быть сформирована с учетом реаль­ной и потенциальной ценности информации и опасности посягательства на нее.

Результатом этого этапа работы должно быть создание документов, регламентирующих состав и содержание ра­бот по защите коммерческой тайны:

• порядок взаимодействия физических и юридических лиц, имеющих доступ к коммерческой тайне;

• состав, содержание и правомочие документации по защите конфиденциальной информации организации;

• критерии защищенности коммерческой тайны. Работа по оценке эффективности защиты информации. Данная работа предполагает:

• четкое выделение информации, представляющей коммерческую тайну, оценку ее реальной и потенциаль­ной ценности, оценку ущерба, который может быть нане­сен субъекту хозяйствования при ее разглашении;

• определение особо ценных элементов информации, к которым проявляется повышенный интерес;

• установление «срока жизни» информации как ком­мерческой тайны;

• оценку объемов затрат на создание и постоянное под­держание в рабочем состоянии системы защиты.

Экономическая целесообразность охраны коммерче­ской тайны имеет место в том случае, если сумма ущерба от ее разглашения, по крайней мере, не ниже стоимости ее защиты.

Работа по использованию способов и внедрению средств защиты информации. Наиболее часто используемые способы защиты коммерческой тайны:

• ограничение доступа к коммерческой тайне;

• запретительные способы, касающиеся производства, хранения, продажи и т.д.;

• создание условий для хранения и работы с информа­цией, составляющей коммерческую тайну (сейфы, специ­альные помещения и т.д.);

• охранные способы (наемная охрана, собственная служба охраны);

• административные способы;

• технические средства.

Следует уделять серьезное внимание предупредитель­ным мерам.

Средства защиты можно разделить на три группы:

1) административно-организационные:

• морально-этические нормы;

• воспитательные;

• соответствующий режим секретности;

• внутренний распорядок;

• пропускной режим;

• обучение, инструктаж персонала;

• установление норм, регулирующих локальные взаи­моотношения: приказы, распоряжения, инструкции, до­говоры и т.д.;

2) технические средства защиты коммерческой информации:

• физические средства защиты: замки, решетки, меха­нические и электронные средства охраны помещений;

• комплексные системы охраны информации (акусти­ческие, радиотехнические, магнитометрические);

• программные продукты, системы защиты ПЭВМ;

3) криптографические меры защиты (шифровка, кодирование).

Важно помнить, что невозможно защитить всю инфор­мацию, характеризующую различные направления дея­тельности, да это и нецелесообразно. Главная задача - оп­ределить ключевую информацию и создать надежную систему ее защиты.

Система защиты информации обойдется доро­го и ее создание должно быть поручено профессионалам. Не каждое предприятие (организация) имеет возмож­ность создать такую систему. Поэтому необходимо осуще­ствлять хотя бы минимально возможный комплекс мер.

Меры защиты информации:

• работа с кадрами. Специалисты считают, что сохран­ность секретов на 80 % зависит от правильного подбора формирование нормативной базы (приказы, инструк­ции, договора, соглашения);

• ограничение доступа к секретной информации;

• воспитание кадров (обучение правилам хранения и защиты информации, стимулирование и т.д.);

• соблюдение порядка обращения с секретными доку­ментами (на любых носителях);

• охрана помещения, условия работы в них, «полити­ка чистых столов», т.е. в отсутствие работника на его сто­ле не должно быть никаких документов;

• обеспечение запрета на несанкционированное ксеро­копирование;

• соблюдение правил ведения переговоров, обеспечива­ющих недопущение утечки информации;

• умение правильно рекламировать и давать в прессу информацию, недопускающую разглашение секретов (реклама по методу «черного ящика», сообщить резуль­тат, а не как он получен);

• защита информации аналитической службой пред­приятия (организации).