4. Захист комерційної таємниці і конфіденційної інформації підприємства

1. Захист комерційної таємниці і конфіденційної інформації підприємства передбачає виконання двох груп заходів: активної спрямованості, направлених на виявлення загроз та суб’єктів, які можуть здійснювати або здійснюють посягання на інформацію підприємства з обмеженим доступом, запобігання та протидію таким намірам і посяганням; пасивної спрямованості, направлених на встановлення відповідного порядку та правил доступу і використання інформації підприємства з обмеженим доступом, контролю несанкціонованого доступу до такої інформації, локалізацію випадків несанкціонованого доступу до об’єктів і джерел інформації, ліквідацію наслідків такого доступу.

2. Забезпечення захисту комерційної таємниці і конфіденційної інформації підприємства здійснюється всіма його установами, підрозділами та працівниками шляхом дотримання норм і правил роботи з таємною (конфіденційною) інформацією, заходів її захисту та правильної поведінки при виявленні ознак посягань на інформацію.

3. Організація систем заходів захисту комерційної таємниці і конфіденційної інформації підприємства покладається на його службу безпеки.

Розробка заходів захисту, безпосереднє виконання їх в частині, яка носить спеціальний характер, покладається на службу безпеки підприємства та підрозділ автоматизації (інформатизації) виробничого процесу (останній в частині забезпечення захисту інформації, що знаходиться в автоматизованих інформаційних системах підприємства).

Заходи захисту реалізуються у формі відповідних режимів вироблення, руху, зберігання, використання, надання інформації з обмеженим доступом на підприємстві. Вказані режими встановлюються і регламентуються відповідними нормативними документами, в тому числі і цим Положенням.

4. Ефективний захист комерційної таємниці і конфіденційної інформації на підприємстві забезпечується за умов:

• поєднання рішень щодо виробничих, комерційних, фінансових і режимних питань;

• координації заходів захисту всіх підрозділів і установ підприємства з єдиного центру – службу безпеки;

• оцінки інформації з точки зору її уразливості та наслідків втрати;

• персональної відповідальності керівників усіх рівнів, користувачів інформації, що становить комерційну таємницю і конфіденційну інформацію, за забезпечення їх зберігання і підтримку на необхідному рівні режиму таємності (конфіденційності);

• організації спеціального діловодства на підприємстві;

• обмеження кола осіб, допущених до комерційної таємниці і конфіденційної інформації підприємства в повному обсязі;

• встановлення ефективного пропускного і внутрішньооб’єктового режиму, єдиного порядку доступу до відомостей, що становлять комерційну таємницю і конфіденційну інформацію підприємства;

• спеціального обладнання місць зберігання носіїв інформації з обмеженим доступом та приміщень для проведення конфіденційних переговорів; обов’язкового використання спеціальних технічних та програмних засобів захисту інформації підприємства, яка знаходиться на електронних носіях;

• створення системи навчання працівників підприємства щодо використання та захисту його інформації з обмеженим доступом, систематичного контролю за ефективністю заходів захисту.

1. Основними функціями служби безпеки з питань захисту комерційної таємниці і конфіденційної інформації є:

• розробка критеріїв і ознак віднесення інформації до категорій комерційної таємниці і конфіденційної інформації;

• визначення об’єктів зосередження такої інформації на підприємстві, відбір інформації, яка підлягає обов’язковому захисту;

• вибір видів захисту інформації (патентування, авторське право, комерційна таємниця, конфіденційна інформація), форм і методів забезпечення безпеки її зберігання, вироблення, руху, використання, розподілу та надання;

• розробка правил і порядку доступу до відомостей, що становлять комерційну таємницю і конфіденційну інформацію підприємства, встановлення правил і процедур класифікації, маркування документів та інших носіїв інформації з обмеженим доступом, а також виводу їх із сфери обмеженого доступу;

• розробка і впровадження в роботу підприємства єдиного порядку роботи з носіями інформації з обмеженим доступом (технологій створення, обліку, правил роботи, зберігання, пересилання, транспортування, розмноження, знищення);

• атестація приміщень для зберігання носіїв комерційної таємниці і конфіденційної інформації підприємства та роботи з ними, проведення конфіденційних переговорів і засідань, встановлення єдиного порядку проходу до таких приміщень;

• надання методичної допомоги працівникам підприємства по підготовці їх до роботи з носіями комерційної таємниці і конфіденційної інформації підприємства;

• визначення видів та заходів режимів таємності та конфіден­ційності, організація їх виконання та контроль за їх дотриманням;

• перевірка доцільності надання права доступу працівникам підприємства та іншим особам до відомостей, що становлять комерційну таємницю і конфіденційну інформацію підприємства;

• розробка нормативно-правових документів підприємства з питань захисту інформації з обмеженим доступом;

• проведення службових розслідувань за фактами несанкціонованого доступу до інформації, що становить комерційну таємницю та є конфіденційною, порушення встановленого порядку роботи з її носіями та фактів витоку.

1. Функції підрозділів підприємства по забезпеченню захисту його комерційної таємниці та конфіденційної інформації:

• участь у визначенні видів та обсягів інформації, яку необхідно віднести до категорій комерційної таємниці та такої, що є конфіденційною, термінів її перебування у таких категоріях;

• забезпечення працівників підприємства необхідними засобами захисту інформації з обмеженим доступом та технічними засобами захисту від несанкціонованого проникнення до місць зберігання зазначеної інформації;

• встановлення і підтримка у підрозділах відповідних режимів захисту інформації, виявлення ознак несанкціонованого доступу до неї та інформування про це службу безпеки;

• проведення виховної роботи з працівниками підприємства щодо формування у них відповідального ставлення до виконання заходів захисту інформації з обмеженим доступом.

1. Повноваження керівника підприємства щодо організації захисту комерційної таємниці і конфіденційної інформації:

• видає накази про створення та роботу комісії по визначенню переліку відомостей, які становлять комерційну таємницю і конфіденційну інформацію підприємства;

• вносить пропозиції про включення відповідних відомостей до інформації з обмеженим доступом, у разі виявлення порушень доступу до такої інформації змінює порядок її зберігання, пересилання, користування та доступу;

• усуває конкретних осіб від роботи з інформацією підприємства з обмеженим доступом у разі грубих порушень ними встановленого на підприємстві порядку роботи з такою інформацією;

• через відповідні підрозділи здійснює контроль за станом і надійністю захисту комерційної таємниці і конфіденційної інформації підприємства;

• надає право доступу до відомостей, що становлять комерційну таємницю і конфіденційну інформацію підприємства державним органам, установам, іншим організаціям та їх представникам відповідно до чинного законодавства та цього Положення;

• призначає службові розслідування за фактами порушень встановленого порядку зберігання, використання та захисту відомос­тей, що становлять комерційну таємницю і конфіденційну інформацію підприємства.

1. Працівники підприємства щодо виконання режимів захис­ту комерційної таємниці і конфіденційної інформації підприємства зобов’язані:

• суворо дотримуватись встановленого чинним законодавством та нормативно-правовими документами підприємства порядку роботи, зберігання і захисту відомостей, що становлять його комерційну таємницю і конфіденційну інформацію;

• не надавати без відповідного дозволу третім особам інформацію, що є комерційною таємницею підприємства та носить характер конфіденційної;

• при розробці документів, які носять таємний або конфіденційний характер, встановлювати категорію таємності (конфіденційності) та забезпечувати відповідний режим їх захисту;

• вести облік документів таємного та конфіденційного характеру, які використовуються ними на робочому місці, забезпечувати надійне їх зберігання;

• постійно підвищувати рівень своїх знань щодо захисту інформації підприємства з обмеженим доступом;

• доповідати своїм безпосереднім керівникам та в підрозділ безпеки про втрату носіїв, відомі їм спроби та ознаки несанкціонованого доступу до відомостей, що становлять комерційну таємницю і конфіденційну інформацію підприємства, факти звернень до них третіх осіб з необґрунтованими проханнями надати останнім інформацію підприємства з обмеженим доступом;

• дотримуватись правил ведення службових переговорів, змістом яких є комерційна таємниця підприємства або його конфіденційна інформація, у тому числі і з використанням засобів зв’язку;

• не використовувати на робочих місцях та в приміщеннях підприємства власні засоби кіно-, відеозйомки та фотоапаратуру, не знімати копії з паперових, електронних та магнітних носіїв інформації підприємства;

• на вимогу представників служби безпеки надавати для перевірки всі матеріали, які обліковуються за працівниками і мають категорію таємності (конфіденційності), пояснення щодо нестачі таких матеріалів, щодо порушення встановленого порядку роботи з ними та зберігання їх;

• не використовувати відомості, що становлять комерційну таємницю і конфіденційну інформацію підприємства, у власних інтересах або інтересах третіх осіб. При звільненні з роботи протягом терміну дії комерційної таємниці не публікувати, не розголошувати, не передавати її без дозволу адміністрації підприємства.

9. Система захисту комерційної таємниці і конфіденційної інформації на підприємстві передбачає комплекс заходів нормативного, організаційного, технічного, програмно-криптографічного та ідеологічного характеру.

Особливого захисту потребує інформація, виток якої може завдати підприємству суттєвої матеріальної шкоди або упущення ним вимоги, значно знизити його імідж та конкурентоспроможність на ринку.

10. Заходи захисту комерційної таємниці і конфіденційної інформації підприємства нормативного характеру передбачають використання норм чинного законодавства з інформаційної безпеки та створення власної нормативної бази щодо регулювання внутрішніх та зовнішніх інформаційних відносин підприємства.

11. Заходи організаційного характеру передбачають створення відповідних режимів таємності (конфіденційності) на підприємстві щодо порядку розробки, обліку, руху, надання та зберігання інформації, віднесеної до категорій комерційної таємниці та такої, що носить конфіденційний характер, контролю за дотриманням таких режимів.

До заходів організаційного характеру також відносяться: підбір та перевірка кандидатів на роботу на підприємстві, забезпечення відповідних умов доступу до носіїв інформації та засобів їх передачі, моделювання можливих каналів витоку та руйнування інформації, збір та аналіз статистики спроб порушень.

12. Заходи технічного характеру, спрямовуються на забезпечення контролю доступу на територію підприємства та в його установи, їх приміщення та до ЕОМ, створення дійової системи страхового копіювання та зберігання електронної інформації, виключення можливості “зняття” інформації з кінцевих пристроїв (екранів, принтерів тощо) системи інформатизації виробничих процесів, забезпечення безперервної роботи автоматизованої інформаційної системи підприємства при аварійних ситуаціях.

13. Заходи програмно-криптографічного характеру передбачають шифрування інформації, розмежування доступу до інформаційних ресурсів підприємства, ідентифікацію суб’єктів та об’єктів автоматизованої інформаційної системи, незалежну від користувачів реєстрацію дій у такій системі.

14. Заходами інтелектуального характеру є формування норм поведінки персоналу підприємства заснованих на засадах патріотичного ставлення до свого підприємства та обумовлених відчуттям особистої відповідальності працівників за виконання заходів захисту інформації з обмеженим доступом, розумінням їх необхідності та доцільності. До методів інтелектуального характеру, які використовуються під час проведення заходів захисту інформації підприємства з обмеженим доступом належать:

• роз’яснення працівникам підприємства важливості виконання встановленого порядку захисту інформації підприємства з обмеженим доступом та можливих наслідків від нехтування ним;

• формування чіткої мети захисту інформації та об’єднання колективів підрозділів підприємства для її досягнення, своєчасне виявлення конфліктних ситуацій в колективах та вжиття заходів щодо їх вирішення;

• формування психологічної настанови працівників на почуття гордості за підприємство, відповідальності за захист його інтересів;

• моральне заохочення працівників за якісне забезпечення захисту таємниць підприємства, недопущення їх витоку;

• вироблення моральних правил поведінки працівників підприємства, створення умов ефективного виконання цих правил всім його персоналом.

1. Для забезпечення захисту відомостей, що становлять комерційну таємницю і конфіденційну інформацію підприємства, при проведенні представниками підприємства переговорів та укладанні договорів і угод передбачається:

• дотримання принципу мінімального використання інформації з обмеженим доступом у договорах, угодах та при проведенні переговорів;

• включення в договори та угоди зобов’язань сторін щодо дотримання в таємниці, відомостей, які стали їм відомі у зв’язку із змістом угоди, та встановлення відповідальності за порушення таких зобов’язань; у разі, коли при укладанні договорів і угод не тільки використовується інформація сторін з обмеженим доступом, а й зміст або факт таких договорів і угод не підлягають розголошенню, передбачається укладання окремих угод про конфіденційність, які є невід’ємною частиною основних договорів та угод;

• обмеження кола учасників переговорів та осіб, які залучені до підготовки договорів та угод;

• аудіоконтроль переговорів, під час яких використовується інформація з обмеженим доступом, проведення таких переговорів у спеціально обладнаних для цього приміщеннях;

• обмеження доступу до текстів договорів і угод протягом усього терміну їх дії;

• обов’язкова експертиза службою безпеки наданих партнерами варіантів договорів або угод на предмет наявності в них інфор­мації з обмеженим доступом.

Відомості партнерів, клієнтів, контрагентів, які становлять їх комерційну таємницю є конфіденційною інформацією підприємства і захищаються відповідно до встановленого на підприємстві порядку щодо такої категорії інформації.