5.11. Регламентация и контроль доступа персонала к защищаемой информации

Доступ – это получение разрешения руководителя на выдачу тому или иному сотруднику конкретных сведений с учетом его служебных обязанностей.

Регламентация доступа – установление правил, определяющих порядок доступа.

Контроль доступа – процесс обеспечения достижения оптимального уровня доступа.

Если ценная информация фирмы похищена или стала известной конкуренту, фирме будет трудно удержать свои позиции на рынке. С другой стороны, само по себе обладание такой ценной информацией не принесет никакой выгоды, если работникам не разрешено ее использовать.

При распределении информации необходимо обеспечить предоставление каждому конкретному сотруднику пол­ного объема данных для качественного выполнения порученных ему функций. В то же время необходимо исключить его ознакомление с излишними, ненужными для работы сведениями.

Перечень сведений конфиденциального характера в общих чертах включает: персональные данные, сведения, составляющие тайну следствия и судопроизводства, служебную, профессиональную и коммерческую тайну, сведения о сущности изобретения, полезной модели или промышленного образца (до официальной публикации информации о них).

В современной компании конфиденциальная информация может подразделяться на следующие категории:

• персональные данные;

• служебная информация;

• коммерческая тайна;

• профессиональная тайна.

Персональные данные – сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность. Такие данные хранятся в отделе кадров, и компания несет ответственность перед работниками в соответствии с законодательством РФ за нарушение режима защиты, обработки и порядка использования этой информации.

Служебная информация – служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом РФ и федеральным законодательством.

Служебная информация – та, которую органы государственной власти передают в коммерческие структуры. Отнесение к грифу «служебная информация» проводится органами государственной власти.

Коммерческая тайна – информация, связанная с производственными, техническими, технологическими данными, управлением финансовой и иной деятельностью предприятия, разглашение (передача, утечка) которой может нанести ущерб его интересам.

Профессиональная тайна – сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией РФ и федеральными законами. Так, для компании, занимающейся предоставлением услуг связи, – это информация операторов связи и иных клиентов, которая передается и обрабатывается в информационно-телекоммуникационных ресурсах компании.

В целях обеспечения правомерного доступа сотрудников фирмы к конфиденциальным сведениям, содержащимся в грифован­ных докумен­тах, необходимо внедрить соответствующую систему доступа. Для этого вначале составляется перечень сведений, содержащих коммерческую тайну, определяется ценность того или иного документа, каждому из которых присваивается соответствующий гриф. Для коммерческой тайны в США используют, например грифы: «секрет фирмы», «конфиденциально», «строго конфиденциально», «секрет производства» и т.п. Вслед за этим составляется список сотрудников, допущенных к тем или иным документам. Он утверждается вице-президентом фирмы и служит правовой основой для практической реализации доступа.

Система доступа должна отвечать следующим требованиям:

• распространяться на все виды классифицированных документов;

• определять порядок доступа всех категорий сотрудников, получивших право на ознакомление и использование документов, содержащих конфиденциальную информацию;

• определять порядок доступа к коммерческой информации предста­ви­телей государственных служб;

• устанавливать надлежащий порядок оформления разрешений на доступ к конфиденциальным документам;

• регламентировать права определенных должностных лиц на оформление доступа сотрудников;

• исключить возможность бесконтрольной и несанкциони­рова­н­ной выдачи грифованных документов.

Правовой основой для возникновения ответственности за предание огласке, утерю, утечку сведений, составляющих коммерчес­кую тайну, является их занесение в перечень сведений, составляющих коммерческую тайну. Там же должны быть обозначены сроки пере­­смотра грифов. Перечень доводится до сведения всех сотрудников под расписку об ознакомлении.

На многих американских фирмах конфиденциальная информа­ция разбивается на блоки, каждому из которых присваивается свой код. Для каждого сотрудника разрабатывается с выдачей на руки карта-предписание. Она содержит перечень кодов, по которым он может получить информацию, необходимую и достаточную для нормального выполнения должностных обязанностей.

Не менее актуальна и проблема разграничения доступа к данным, хранимым в электронном виде.