Тема 15. Защита коммерческой информации в организации

Владение информацией необходимого качества — полной и точной — в нужное время и в нужном месте является залогом успеха в любом виде хозяйственной деятельности. Монопольное обладание определенной информацией оказывается зачастую решающим преимуществом в конкурентной борьбе и предопределяет тем самым высокую цену «информационного фактора».

Согласно Гражданскому кодексу Республики Беларусь (глава 66,ст.1011), действующему с 7 декабря 1998 г. «Лицо, без законных оснований получившее или распространившее нераскрытую информацию либо использующее ее, обязано возместить тому, кто правомерно обладает этой информацией, убытки, причиненные ее незаконным использованием».

Регламент использования информационного пространства и защита информации от несанкционированного доступа отражены в Постановлении Совета Министров Республики Беларусь от 27 декабря 2002 г. № 1819 :

информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления;

информатизация - организационный социально - экономический и научно - технический процесс создания оптимальных условий для удовлетворения информационных потребностей и реализации прав граждан, органов государственной власти, органов местного самоуправления, организаций, общественных объединений на основе формирования и использования информационных ресурсов;

документированная информация (документ) - зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать;

информационные процессы - процессы сбора, обработки, накопления, хранения, поиска и распространения информации;

информационная система - организационно упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы;

информационные ресурсы - отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах);

информация о гражданах (персональные данные) - сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность;

конфиденциальная информация - документированная информация, доступ к которой ограничивается в соответствии с законодательством;

средства обеспечения автоматизированных информационных систем и их технологий - программные, технические, лингвистические, правовые, организационные средства (программы для электронных вычислительных машин; средства вычислительной техники и связи; словари, тезаурусы и классификаторы; инструкции и методики; положения, уставы, должностные инструкции; схемы и их описания, другая эксплуатационная и сопроводительная документация), используемые или создаваемые при проектировании информационных систем и обеспечивающие их эксплуатацию;

собственник информационных ресурсов, информационных систем, технологий и средств их обеспечения - субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения указанными объектами;

владелец информационных ресурсов, информационных систем, технологий и средств их обеспечения - субъект, осуществляющий владение и пользование указанными объектами и реализующий полномочия распоряжения в пределах, установленных Законом;

пользователь (потребитель) информации - субъект, обращающийся к информационной системе или посреднику за получением необходимой ему информации и пользующийся ею.

Защита информации от несанкционированного использования, изменения или уничтожения приобретает в условиях рыночной экономики первоочередное значение.

Круг вопросов, связанных с этой проблемой, можно условно разделить так:

1) защита государственных интересов;

2) защита служебной, предпринимательской и финансовой деятельности, в том числе обеспечение коммерческой тайны;

3) защита интересов правообладателей и пользователей.

Защита государственных интересов приобретает все большую актуальность в связи с привлечением коммерческих организаций к реализации государственных программ. Любая организация должна четко определить перечень сведений, которые относятся к государственной тайне, и установить порядок обращения с ними. Права и обязанности участников информационных процессов при работе с такими сведениями регламентируются законом «О государственной тайне», где оговорена возможность ограничения прав собственности предприятий, учреждений, организаций и граждан на информацию в связи с ее засекречиванием, а также меры ответственности за разглашение сведений и их утрату.

Решение задачи защиты коммерческой тайны имеет две составляющие: законодательную защиту со стороны государства интересов владельцев коммерческой тайны, а также собственные мероприятия владельца, направленные на их защиту.

По гражданскому законодательству обладатель технической, организационной или коммерческой информации, составляющей секрет производства (ноу-хау), имеет правовую защиту от незаконного ее использования при условии, что:

1) эта информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам;

2) к этой информации нет свободного доступа на законном основании;

3) обладатель информации принимает надлежащие меры к соблюдению ее конфиденциальности.

Какие собственные мероприятия по защите информации, проведенные организацией, могут быть приняты во внимание на юридическом уровне? Подходы к решению проблемы защиты коммерческой тайны на предприятиях в общем виде должны сводиться к исключению неправомерных или неосторожных действий со сведениями, составляющими коммерческую тайну.

Для этого необходимо:

1) определить порядок работы с документами, образцами, изделиями и др., содержащими сведения, составляющие коммерческую тайну;

2) разработать правила присвоения и снятия грифа секретности с документов и изделий, включающих подобную информацию. При этом могут применяться различные ограничительные грифы: «конфиденциально», «коммерческая тайна», «секрет предприятия, фирмы» и др.;

3) установить круг лиц и порядок доступа к подобной информации;

4) выработать меры по контролю обращения с документами и изделиями, содержащими сведения, отнесенные к коммерческой тайне;

5) включить в трудовые договоры с сотрудниками обязательство о неразглашении сведений, составляющих коммерческую тайну, определив санкции за нарушение порядка работы с ними и их разглашение.

Организация имеет право не предоставлять сведения, касающиеся коммерческой тайны, контролирующим органам, если эти вопросы не входят в их компетенцию и не относятся к предмету контроля. Контролирующие органы не должны разглашать коммерческую тайну. В противном случае причиненные убытки подлежат возмещению в полном.

Предметом защиты коммерческой информации могут быть все свойственные данному предприятию особенности и детали коммерческой деятельности, деловые связи, закупка сырья и товаров, сведения о поставщиках, предполагаемой прибыли, методики установления цен и др.

В первую очередь к коммерческой информации следует отнести, сохранив в режиме:

1) знание и опыт в области реализации продукции и услуг;

2) сведения о конъюнктуре рынка, маркетинговые исследования;

3) анализ конкурентоспособности продукции и услуг;

4) информацию о потребителях, заказчиках, посредниках;

5) банковские отношения, кредиты, ссуды, долги;

6) знание наиболее выгодных форм использования денежных средств, ценных бумаг, акций, капиталовложений;

7) бухгалтерские и финансовые отчеты, сведения о зарплате;

8) предполагаемые объемы коммерческой деятельности, материалы договоров (условия, реализация, порядок передачи продукции);

9) списки клиентов и деловую переписку;

10) цены и расценки, формы и виды расчетов.

В настоящее время большинство перечисленных сведений размещается на электронных носителях, которые и становятся объектами защиты.

Комплекс мероприятий по созданию системы защиты информации в информационных системах включает, в соответствии с «Положением о защите информационных систем»:

• классификацию хранящихся и обрабатываемых в информационной системе сведений и разделение информации по категориям доступа;

• анализ организационной структуры информационной системы, порядка организации вычислительных процессов и условий ее функционирования;

• присвоение информационной системе класса типового объекта информатизации в соответствии с требованиями технических нормативных правовых актов в области защиты информации;

• разработку или корректировку политики информационной безопасности;

• разработку или корректировку задания по безопасности на информационную систему в соответствии с требованиями технических нормативных правовых актов в области защиты информации;

• реализацию требований задания по безопасности в информационной системе;

• оценку соответствия системы защиты информации требованиям нормативных правовых актов в области защиты информации, в том числе технических нормативных правовых актов, путем проведения мероприятий по аттестации системы защиты информации;

• ввод информационной системы в эксплуатацию.

Сохранение в тайне коммерческой информации от всех посторонних служб, кроме налоговых, — непременное условие для удержания достигнутых в конкурентной борьбе позиций.

Обратимся к правовым аспектам защиты производственной информации, которая представляет собой широкое понятие. Сюда входит информация, например, об изобретениях на стадии разработки и оформления, программное обеспечение и базы данных для ЭВМ, рецепты, процесс изготовления различных изделий, электронные схемы, способы, навыки и т. д. и т. п.

На практике под ноу-хау понимаются технические решения — методы использования технологических процессов и устройств, которые не могут быть обеспечены патентной защитой по законодательству или по усмотрению владельца.

Основными признаками ноу-хау являются знания, связанные с освоением, обслуживанием, созданием, эксплуатацией, ремонтом новой техники, технологии, материалов управленческого, финансового, экономического и другого характера.

Патентным правом регулируются имущественные, а также связанные с ними личные отношения, возникающие при создании и использовании изобретений, полезных моделей и промышленных образцов.

Объективно категория «информационная безопасность» возникла с появлением средств информационных коммуникаций между людьми, а также с осознанием человеком наличия у людей и их сообществ интересов, которым может быть нанесен ущерб путём воздействия на средства информационных коммуникаций, наличие и развитие которых обеспечивает информационный обмен между всеми элементами социума.

Классификация информационных угроз разделяется по субъектам (антропогенные, техногенные и стихийные) и объектам

«В классификации угроз безопасности информации по субъектам – источникам они могут подразделяться на три группы: антропогенные, техногенные и стихийные.

Группа антропогенных источников угроз представляется:

- криминальными структурами, рецидивистами и потенциальными преступниками;

- недобросовестными партнерами и конкурентами;

- персоналом предприятия (банка и его филиалов).

В свою очередь злоумышленные действия персонала предприятия можно разделить на четыре категории:

1) прерывание – прекращение обработки информации, например вследствие разрушения вычислительных средств. Такого рода действия могут иметь серьезные последствия для безопасности деятельности предприятия, даже если информация не подвергнется серьезным искажениям;

2) кража – чтение или копирование информации, хищение носителей информации с целью получения данных, которые могут быть использованы против интересов владельца (собственника) информации;

3) модификация информации – внесение в данные несанкционированных изменений, направленных на причинение ущерба владельцу (собственнику) информации;

4) разрушение данных – необратимое изменение информации, приводящее к невозможности ее использования.

К техногенным источникам относятся некачественные технические и программные средства обработки информации, средства связи, охраны, сигнализации, другие технические средства, применяемые в учреждении, а также глобальные техногенные угрозы (опасные производства, сети энерго -, водоснабжения, транспорт)». [4]

Конечно, эти классификации не исчерпывают всей сложности проблемы распознания информационных угроз предприятия. Некоторые угрозы имеют латентный характер и последствия для организации могут быть катастрофическими, поэтому, серьезные организации никогда не скупятся на затраты, необходимые для защиты информации.

Можно выделить следующие виды угроз безопасности информации общего плана:

• организация утечки информации;

• угроза искажений (дезинформация, подделка, повтор);

• угроза уничтожения информации;

• угроза интеллектуальной собственности (незаконное копирование, воспроизведение и т. д.);

• помехи функционирования информационных систем;

• телекоммуникации (отказ от получения, отправления информации)

Например, комиссия министерства обороны США приводит следующую классификацию угроз информационным системам по степени нарастания ущерба:

• Некомпетентные служащие

• Хакеры и кракеры

• Служащие не удовлетворённые своим статусом

• Нечестные служащие.

• Инициативный шпионаж.

• Организованная преступность.

• Политические диссиденты.

• Террористические группы.

• Экономические, политический, военный шпионаж.

• Тактические удары и стратегические операции противника по разрушению информационного пространства государства в ходе ведения информационной войны.

Обычно выделяют следующие направления обеспечения безопасности информации:

• Законодательная защита информации.

• Защита информации от уничтожения в результате реализации угроз природного и техногенного характера (пожар, землетрясение и т. д.).

• Защита от несанкционированного копирования, в том числе защита интеллектуальной собственности.

• Защита от вредоносных программ (вирусы, программные закладки).

• Защита информации от утечки в каналах связи (несанкционированное подключение к каналам связи и оборудование)

• Защита информации от утечки по техническим каналам.

• Обеспечение юридической значимости электронных документов.

Средства защиты информации — это совокупность инженерно-технических, электрических, электронных, оптических и других устройств и приспособлений, приборов и технических систем, а также иных вещных элементов, используемых для решения различных задач по защите информации, в том числе предупреждения утечки и обеспечения безопасности защищаемой информации.

В целом средства обеспечения защиты информации в части предотвращения преднамеренных действий в зависимости от способа реализации можно разделить на группы:

ТЕХНИЧЕСКИЕ (АППАРАТНЫЕ) СРЕДСТВА. Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они либо препятствуют физическому проникновению, либо, если проникновение все же состоялось, доступу к информации, в том числе с помощью ее маскировки. Первую часть задачи решают замки, решетки на окнах, сторожа, защитная сигнализация и др. Вторую — генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, «перекрывающих» потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны — недостаточная гибкость, относительно большие объем и масса, высокая стоимость. Аппаратные средства защиты информации. К аппаратным средствам защиты относятся различные электронные, электронно-механические, электронно-оптические устройства. К настоящему времени разработано значительное число аппаратных средств различного назначения, однако наибольшее распространение получают следующие:

• специальные регистры для хранения реквизитов защиты: паролей, идентифицирующих кодов, грифов или уровней секретности;

• устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации;

• схемы прерывания передачи информации в линии связи с целью периодической проверки адреса выдачи данных.

• устройства для шифрования информации (криптографические методы).

• Технические средства защиты информации. Для защиты периметра информационной системы создаются:

• • системы охранной и пожарной сигнализации;

• • системы цифрового видео наблюдения;

• • системы контроля и управления доступом (СКУД).

ПРОГРАММНЫЕ СРЕДСТВА включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств — универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки — ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).

СМЕШАННЫЕ АППАРАТНО-ПРОГРАММНЫЕ СРЕДСТВА реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.

ОРГАНИЗАЦИОННЫЕ СРЕДСТВА складываются из организационно-технических (подготовка помещений с компьютерами, прокладка кабельной системы с учетом требований ограничения доступа к ней и др.) и организационно-правовых (национальные законодательства и правила работы, устанавливаемые руководством конкретного предприятия). Преимущества организационных средств состоят в том, что они позволяют решать множество разнородных проблем, просты в реализации, быстро реагируют на нежелательные действия в сети, имеют неограниченные возможности модификации и развития. Недостатки — высокая зависимость от субъективных факторов, в том числе от общей организации работы в конкретном подразделении.

По степени распространения и доступности выделяются программные средства, другие средства применяются в тех случаях, когда требуется обеспечить дополнительный уровень защиты информации.

Методика отнесения тех или иных сведений к коммерческой тайне в Республике Беларусь пока не сформировалась. Каждая организация, ее руководитель решает этот вопрос самостоятельно. Для того чтобы такое решение было обоснованным, в том числе и экономически, следует воспользоваться наработанным в разных странах практическим опытом.

На его основе представляется целесообразным предложить для использования в деловой практике следующие принципы:

• при засекречивании информации следует исходить из принципа выгоды и безопасности торговой организации. Нельзя засекречивать всю информацию: это неразумно и невыгодно. Но и пренебрежительное отношение к коммерческой тайне может нанести непоправимый ущерб. Для организации, работающей на рынке, с одной стороны, важно, чтобы о ее существовании знали как можно больше, с другой стороны, особые технологии ее и методы достижения поставленных целей, обеспечивающие конкурентные преимущества, должны охраняться. Потому в практической работе важно найти «золотую середину», гарантирующую защиту только той информации, которая того стоит;

• информация типа ноу-хау обязательно должна быть отнесена к разряду коммерческой тайны;

• информация, которая касается разработки чего-то нового (нового товара, новой технологии, способа транспортировки, продажи, рекламы и т.п.), представляет собой коммерческую тайну;

• значительная часть договоров, заключаемых организацией, относится к коммерческой тайне. В ряде случаев ситуация такова, что не только текст договора, но и сам факт его заключения представляет собой коммерческую тайну. Если это так, то либо в договоре поставки, либо в специальном соглашении, приложенном к договору, должно быть оговорено, что партнер обязуется не разглашать предоставленную ему в связи с заключением договора информацию или защищать какие-то документы, переданные при этом.

Объектом коммерческой тайны является информация, которая может быть разделена на следующие две группы:

Деловая информация:

• некоторые финансовые сведения;

• данные о цене (стоимости) продукции, услуг, технологии; прайс-листы;

• производственные планы, планы выпуска новой продукции;

• стратегия предприятия;

• списки деловых партнеров, их намерения;

• договора, контракты, соглашения;

• информация о маркетинге;

• коммерческие предложения, квоты;

• списки персонала, сведения о нем;

• организационные схемы, структура управления, применяемые формы и методы и др.

Научно-техническая (технологическая) информация:

• научные работники, научно-исследовательские проекты;

• конструкторские разработки для производства какой-либо продукции;

• технические параметры продукции, ее химический состав, рецептура;

• заявки на патенты;

• дизайн, методы работы, ноу-хау;

• информационные технологии;

• программное обеспечение ЭВМ и др.

Работа по выделению коммерческой тайны организации включает:

• проведение анализа всех сторон деятельности организации и составление предварительного перечня коммерческой информации фирмы, представляющей ценность;

• исключение из предварительного перечня ценной информации организации сведений, являющихся государственной тайной, так как порядок ее защиты устанавливается правительством;

• исключение сведений, являющихся чужой собственностью на законных основаниях: авторские права, патенты, торговые марки, знаки;

• исключение сведений, касающихся негативной деятельности организации или наносящих ущерб обществу государству: загрязнение окружающей среды, нарушение действующих законов, уклонение от договорных обязательств, осуществление запрещенной деятельности, способы недобросовестной конкуренции, обман, шантаж, шпионаж и т.д.;

• выделение наиболее ценной информации организации на основе системы показателей: прироста прибыли, снижения себестоимости, затрат на защиту коммерческой тайны, годового эффекта, срока окупаемости, повышения уровня рентабельности, возможного ущерба от утечки информации, предел экономической безопасности организации, сопоставление выгоды и затрат; определение реальной ценности;

• оценка возможного ущерба при разглашении (утечке) охраняемых сведений;

• после определения окончательного перечня сведений, представляющих коммерческую тайну организации, издается приказ руководителя, к которому в качестве приложения прикладывается документ — Перечень сведений, составляющих коммерческую тайну организации с определением степени секретности.

По степени секретности она может быть:

• строго конфиденциальной, утеря ее может повлечь банкротство (например, ноу-хау);

• конфиденциальной, обеспечивающей устойчивую прибыль (например, сведения о клиентах, кредитовании, прогнозах и т.п.);

• не подлежащей огласке, разглашение которой наносит вред положению организации на рынке (например, информация о поставщиках, условиях поставки, рынках и каналах сбыта, имеющих место разногласиях, конфликтах и т.д.).

Перечень состоит из непрерывно меняющихся сведений, длительность и степень ценности которых зависит от конкретных условий. Временной диапазон ценности может быть от нескольких минут (на биржах, переговорах) до многих лет (рецептура продуктов, компоненты духов, секреты художественных росписей). Поэтому перечень информации, составляющей коммерческую тайну, должен определяться экспертной комиссией.

Вводится порядок работы с закрытой информацией. Руководитель организации утверждает Положение (инструкцию) по защите коммерческой тайны, с которым под личную подпись должны быть ознакомлены лица, имеющие к ней доступ.

Задачи защиты коммерческой тайны организации включают;

• защиту прав и интересов фирмы и его работников;

• выявление реальных и потенциальных угроз;

• выработку и использование системы профилактических мер, предотвращающих утечку и хищение информации;

• обеспечение эффективности системы защиты коммерческой тайны.

Концепция обеспечения защиты коммерческой тайны организации включает:

1. Правовое обеспечение сохранности коммерческой тайны:

• регистрацию права на коммерческую тайну в Уставе организации;

• внесение соответствующих дополнений, касающихся охраны коммерческой тайны и взаимных обязательств сторон по данному вопросу, в коллективный договор;

• наличие в организации утвержденного руководителем Положения о коммерческой тайне;

• отражение индивидуальных обязательств по сохранению коммерческой тайны в трудовом договоре или контракте;

• заключение письменных договоров-обязательств, заявлений увольняющихся работников, имевших доступ к конфиденциальной информации, о сохранении коммерческой тайны в течение определенного срока;

• наличие соглашений о секретности с юридическими лицами, являющимися партнерами по бизнесу и имеющими доступ к коммерческой информации (поставщики, покупатели продукции, инвесторы и т.д.);

• наличие приказа по организации о защита коммер­ческой тайны;

• наличие памятки о сохранении конфиденциальной информации и ознакомление с ней под личную роспись тех, кто имеет к ней доступ.

2. Идеологическое и методическое обеспечение сохранности коммерческой тайны:

• воспитательная работа, формирование чувства ответственности, гордости за свою организацию, комфортности и удовлетворенности своей деятельностью;

• чтение лекций, проведение различных семинаров, практикумов, деловых игр, консультаций, личных бесед;

• четкое и своевременное доведение необходимой информация до лиц, имеющих отношение к данному вопросу.

3. Организация процесса обеспечения сохранности коммерческой тайны:

• отбор объектов защиты;

• выбор средств защиты, адекватных целевым задачам;

• управление обеспечением сохранности коммерческой тайны и контроль эффективности применения охранных мер.