5. Методические указания и порядок проведения работы

5.1. Студенты разбиваются на несколько групп, каждая из которых представляет одно из основных подразделений предприятия. Одна из групп является СЗИ предприятия. Все исполнители работы получают статус членов рабочей группы.

5.2. СЗИ разрабатывает опросной лист №1 для проведения 1-ого тура опроса и направляет по одному экземпляру каждому члену рабочей группы. Пример опросного листа приведен в приложении 4.

5.3. Члены рабочей группы вносят в опросные листы предложения для включения в ПП в пределах своей компетенции, руководствуясь сведениями, приведенными в приложении 2. Далее они анализируют свои предложения по нескольким критериям, приведенным в шапке опросного листа, по упрощенной методике: каждое предложение проверяется на соответствие выбранным критериям. Свое мнение «да» или «нет» они проставляют на пересечении столбцов и строк, в последнем столбце отмечают свое решение по каждому из внесенных в опросной лист предложений. Заполненные опросные листы направляются в СЗИ.

5.4. СЗИ по предложениям членов рабочей группы формирует ПП. В процессе формирования предварительного перечня СЗИ проверяет предложения рабочей группы на наличие ошибок и противоречий.

5.5. СЗИ разрабатывает опросной лист №2 для проведения второго тура опроса и направляет по одному экземпляру каждому члену экспертной комиссии (ЭК). В качестве экспертов во втором туре выступают все студенты, за исключением тех, кто вошел в состав СЗИ. Пример опросного листа приведен в приложении 5. Опросной лист представляет собой ПП и набор других критериев для оценки правильности отнесения сведений к составляющим коммерческую тайну. В качестве одного из основных критериев в опросной лист следует включить величину ущерба от разглашения информации.

5.6. Члены ЭК анализируют ПП по выбранным критериям и высказываю свое мнение также, как в п.4.3 за исключением критерия величины ущерба. Величина ущерба оценивается по 3-балльной шкале ущербов с помощью лингвистических переменных [5]:

-низкий ущерб (индекс «Н») – разглашение информации приводит к негативным последствиям, выражающимся в одном или нескольких условиях: небольшая стоимость прямых финансовых потерь; задержки в работе некоторых служб, дезорганизация деятельности на некоторый период; необходимость восстановления информационных ресурсов.

-средний ущерб (индекс «С») - разглашение информации приводит к заметным негативным последствиям, выражающимся в одном или нескольких условиях: ощутимая стоимость прямых финансовых потерь; задержки в работе некоторых служб, дезорганизация деятельности на значительный период; потеря репутации, что может привести к снижению заказов и негативной реакции деловых партнеров;

-высокий ущерб (индекс «В») - разглашение информации оказывает сильные негативные последствиям, выражающимся в одном или нескольких условиях: высокая стоимость прямых финансовых потерь; перехват основного рынка сбыта, дезорганизация деятельности на длительный период; потеря репутации, приведшая к существенному снижению деловой активности.

5.7. На основании опросных листов второго тура СЗИ формирует проект Перечня, разрабатывает опросной лист №3 для проведения 3-его тура опроса экспертов и направляет материалы в ЭК для окончательного анализа. Опросной лист №3 приведен в приложении 6.

5.8. На этом этапе ЭК коллегиально принимает решения по тем пунктам Перечня, для которых мнения экспертов оказались противоречивы и определяет сроки засекречивания по каждому пункту Перечня. Срок может быть указан как в виде временного интервала (например, 1 год), так и при наступлении какого-либо события (например, до подписания или окончания договора).

5.9. Следующим этапом работы экспертной комиссии является ранжирование Перечня по уровню конфиденциальности каждым экспертом на основе опросного листа №3 (приложение 6). Для этого используется метод парных сравнений c расчетом строчных сумм. Каждый эксперт заполняет матрицу сравнений приложения 6, в которой наименования строк и столбцов соответствуют именам альтернатив. На пересечении строки и столбца ставятся числа по следующим правилам, например:

- ставится 1, если альтернатива с именем строки лучше альтернативы с именем столбца;

- ставится 0, если альтернатива с именем строки хуже альтернативы с именем столбца;

- ставится 0,5, если альтернатива с именем строки равноценна альтернативе с именем столбца.

После заполнения таблицы рассчитываются суммы строк. Затем проводится ранжирование альтернатив следующим образом: альтернативе, имеющей максимальную строчную сумму, присваивается ранг 1; альтернативе, имеющей следующую по величине сумму, присваивается ранг 2, и т.п. Далее эксперты коллегиально определяют количество уровней конфиденциальности (обычно 2-3 уровня), присваивают им наименования и распределяют сведения в Перечне на соответствующее количество групп на основе ранговых оценок.

5.10. Секретарь ЭК на основе опросных листов формирует окончательный проект Перечня. При необходимости Перечень может быть еще раз рассмотрен ЭК на предмет устранения ошибок и противоречий. Форма Перечня приведена в приложении 7.

Примечание: при проведении анализа могут быть использованы и другие методы экспертных оценок. При этом они могут применяться и для контроля результатов, полученных одним методом, с помощью другого. При этом всегда надо опираться на здравый смысл и при обнаружении противоречий в результатах анализа отдавать предпочтение решениям, основанным на опыте и здравом смысле.

Необходимо помнить, что исключение важной, коммерчески ценной информации из Перечня влечет за собой возможность легкого НСД к информации. В то же время, включение в Перечень чрезмерного количества сведений заметно увеличит затраты на систему защиты коммерческой тайны.