Защита и обработка конфиденциальных документов. Учебное пособие
.pdf
81
ствии черновика или отдельных экземпляров проекта документа руководителем предприятия назначается комиссия для их поиска. Если они не будут найдены, то об этом делается отметка на обороте последнего экземпляра проекта за подписью председателя комиссии. Об обстоятельствах утраты докладывается руководителю предприятия для принятия соответствующих решений. Фактически представленные экземпляры проекта документа и черновик регистрируются в журнале учета изданных документов в графе 1, 3—7. В графе 5 при наличии черновика пишется «засекреченол.» с указанием количества листов черновика, на черновике проставляется гриф конфиденциальности и учетный номер проекта документа. При отсутствии черновика в графе 5 указывается «б/ч» (без черновика). Проект документа оформляется в соответствии с правилами, предъявляемыми к КД, и выдается вместе с черновиком (при наличии) исполнителю под подпись в графе 8.
После отработки проекта текстового документа исполнитель должен проставить номера экземпляров, завизировать остающийся на предприятии экземпляр, получить визы соответствующих должностных лиц, подписать (а при необходимости и утвердить) проект у соответствующего руководителя и передать все экземпляры документа, в том числе и оказавшиеся по каким-либо причинам лишними, вместе с черновиком (если документ печатался с черновика) в подразделение конфиденциального делопроизводства. Если проект документа по каким-либо причинам не был подписан, то все его экземпляры вместе с черновиком также передаются в ПКД.
Сотрудник ПКД расписывается за получение документа (проекта) и черновика в графе 9 журнала учета изданных документов, одновременно проставляя в графе 2 дату документа, которая должна соответствовать дате его подписания (утверждения).
Черновик, проект(какнеподписанный, такиперепечатанный), лишниеэкземплярыдокументаразрываютсяипомещаютсявнаходящуюся
вПКД урну.
Вграфе 10 журнала учета изданных документов пишется слово или проставляется штамп «Уничтожен», заверяемый подписью сотрудника ПКД с проставлением даты. В графе11 при уничтожении проекта документа пишется слово или проставляется штамп «Проект уничтожен», а при уничтожении лишних экземпляров документа — «Экз. №уничтожены» с указанием номеров экземпляров.
ЭтиотметкизаверяютсяподписьюсотрудникаПКДспроставлением даты. В графе 9 журнала учета носителей производится отметка об уничтожении носителя (кроме спецблокнотов) в качестве черновика изданного документа (проекта). Отметка оформляется следующим образом:
■Курс лекций
82
«Уничтожен как черновик №» с указанием номера изданного документа (проекта). Если носитель не являлся черновиком, а уничтожается по ка- ким-либодругимпричинам, тоонпомещаетсявурну, авграфе9 пишется слово или проставляется штамп «Уничтожен», заверяемый подписью сотрудника ПКД с указанием даты.
Испорченные листы бумаги, ватмана, кальки, миллиметровки уничтожаются как листы черновика.
Кроме того, в урну должны помещаться без проставления отметок об уничтожении отдельные перепечатанные листы проекта документа, а также использованные при печатании документов копировальная бумага, красящая лента, прокладки, т.к. в них отображена конфиденциальная информация.
Содержимоеурны(макулатура) впоследующемуничтожаетсядвумя сотрудниками ПКД путем сжигания.
Уничтожение, как правило, должно производиться по окончании квартала после проведения проверки наличия КД за истекший квартал, что позволяет в случае недостачи каких-либо документов проверить содержимое урны на предмет случайного помещения в нее недостающих документов.
Макулатура может уничтожаться и с помощью бумагорезательной машины, как правило, также после проведения квартальной проверки наличия документов. При этом листы должны быть разрезаны на куски не более 2,5 кв. мм, гарантирующие невозможность восстановления текста. При уничтожении таким способом тоже может составляться акт об уничтожении с заменой в тексте слова «сжигания» на слова «измельчения машиной».
ПКД наряду с руководителями соответствующих подразделений должно осуществлять контроль за соответствием издаваемых документов перечню КД. Необходимость такого контроля обусловлена тем, что составители документов нередко допускают отступления от перечня. Эти отступления осуществляются по следующим направлениям:
■завышениеилизанижениегрифаконфиденциальностидокументов;
■проставление грифа конфиденциальности на документах, не содержащих конфиденциальных сведений;
■необоснованное включение КИ в документы и превращение тем самым открытых документов в конфиденциальные;
■неправильное адресование документов;
■непроставление грифа конфиденциальности на документах, содержащих конфиденциальную информацию.
Завышение или занижение грифа конфиденциальности документов осуществляется составителями документов механически или из-за плохого знания перечня издаваемых КД.
В. М. Бисюков ■
83
Проставление грифа конфиденциальности на документах, не содержащих КИ, т. е. необоснованное засекречивание документов также иногда осуществляется по указанным причинам, но чаще всего происходит с целью избежать гласности, оградить себя от критики, скрыть недостатки и даже преступные деяния. Делается это и для придания «веса» документу, обеспечения дополнительной гарантии его сохранности при пересылке.
6.2.Порядок документирования конфиденциальной информации
Документирование КИ (составление КД) является более сложным процессом по сравнению с аналогичной работой по составлению открытого документа. Усложнение процесса определяется объективной необходимостью создать условия для обеспечения сохранения в тайне сведений, включаемых в документ.
В ходе составления КД подвергаются максимально возможному спектру угроз, которые реализуются за счет:
■документирования КИ на случайном носителе, не входящем в сферу контроля службы конфиденциальной документации;
■подготовки к изданию документа, не обоснованного деловой необходимостью или не разрешенного для издания, т. е. документирования определенной информации;
■включения в документ избыточных конфиденциальных сведений, что равносильно разглашению тайны фирмы;
■случайного или умышленного занижения грифа конфиденциальности сведений, включенных в документ;
■изготовления документа в условиях, которые не гарантируют сохранность носителя, конфиденциальность информации;
■утери оригинала, черновика, варианта или редакции документа, его части, приложения к документу, умолчания этого факта и попытки подмены утраченных материалов;
■сообщения содержания проекта конфиденциального или открытого документа постороннему лицу, несанкционированного копирования документа или его части (в том числе на неучтенной дискете);
■утечки информации по техническим каналам;
■ошибочных действий работника службы КД, особенно в части нарушения разрешительной системы доступа к документам.
Важно, что в отличие от открытых документов процесс документирования КИ насыщен специфическими технологическими этапами и процедурами.
Выделяются следующие основные этапы:
■получение разрешения на издание КД;
■Курс лекций
84
■установлениеуровнягрифаконфиденциальностисведений, подлежащих включению в будущий документ;
■оформление и учет носителя для документирования выделенного комплекса КИ;
■составление вариантов и черновика текста документа;
■получение разрешения на изготовление документа;
■учет подготовленного черновика КД;
■изготовление проекта КД;
■издание КД.
Указанные этапы характеризуются не только регламентированной технологией, но и жесткими правилами работы исполнителей с конфиденциальной информацией.
Передача КИ в интересах дела партнерам, посредникам, работникамгосударственныхучрежденийдопускаетсятольковслучаях, установленных законодательством, или соответствующим пунктом в контракте
итолько по их письменному запросу с указанием конкретного состава
иназначения требуемых сведений. Информация передается им также всегда в письменном виде за подписью первого руководителя фирмы
ис информированием об этом руководителя службы безопасности. Передача конфиденциальных сведений в устной форме не разрешается.
Общеизвестно, что в наибольшей безопасности находится конфиденциальная информация, не зафиксированная на каком-либо носителе. Система защиты КИ должна начинать функционировать не после издания (подписания) КД, а заблаговременно, т. е. до момента нанесения на чистый лист бумаги первых букв будущего документа. Еще до создания документа необходимо решить:
а) является ли данная информация конфиденциальной; б) какой уровень грифа конфиденциальности ей должен быть при-
своен.
До решения вопроса о присвоении будущему документу грифа конфиденциальности должно быть получено разрешение первого руководителя фирмы на издание этого документа. Как правило, для типовых категорий документов такое разрешение определяется наличием данноготипадокументавутвержденномпервымруководителемфирмыперечне ценных и КД фирмы. При отсутствии предполагаемого документа в этом перечне вопрос издания решается индивидуально, а решение первого руководителя фиксируется им на носителе, предназначенном для составления черновика данного документа.
Своевременное установление грифа конфиденциальности сведений, подлежащихвключениювбудущийдокумент, являетсяоднимизосновных элементов защиты документированной информации, позволяющим обеспечить относительно надежную безопасность тайны фирмы.
В. М. Бисюков ■
85
В основе присвоения документу грифа конфиденциальности должны лежать:
■перечень конфиденциальных сведений фирмы;
■требования партнеров;
■условия контрактов;
■перечень ценных и КД фирмы.
Руководители фирмы и структурных подразделений, филиалов фирмы имеют право присваивать гриф конфиденциальности любому разрешенному для издания, но не включенному в перечень документу, если это не противоречит действующему законодательству. Система грифования (маркирования) документов не гарантирует сохранность информации, однако позволяет четко организовать работу с документами, и в частности сформировать систему доступа к документам персонала.
Гриф конфиденциальности или гриф ограничения доступа к традиционному, машиночитаемому или электронному документу представляет собой реквизит (элемент, служебную отметку, пометку) формуляра документа, свидетельствующий о конфиденциальности содержащихся в документе сведений и проставляемый на самом документе и (или) сопроводительномписьмекнему. Грифыставятсянавсехэкземплярахдокумента, учетных и отчетных формах, черновиках, вариантах и копиях, в которых содержится хотя бы один из конфиденциальных показателей.
Информация и документы, отнесенные к коммерческой (предпринимательской) тайне, имеют один гриф конфиденциальности «КТ» [2]. Для внутреннего пользования возможно применение грифов «Конфиденциально», «Конфиденциальная информация», «Строго конфиденциально», «Строго конфиденциальная информация», «Конфиденциально. Особый контроль».
Надокументах, содержащихсведения, отнесенныекслужебнойтайне, ставится гриф «Для служебного пользования», «Служебная информация» или «Не для печати».
Гриф ограничения доступа, указываемый на документе, не сокращается по написанию.
Подобозначениемгрифауказываютсяномерэкземплярадокумента, срок действия грифа и иные условия его снятия. Гриф располагается на первом и титульном листах документа, а также на обложке дела (тома) в правом верхнем углу. На электронных документах и документах, записанных на любых машинных носителях, гриф обозначается на всех листах.
Ниже грифа или ниже адресата могут обозначаться ограничительные пометы типа: «Лично», «Только в руки», «Только адресату», «Лично в руки» и др. При регистрации КД к его номеру добавляется сокращенное обозначение грифа конфиденциальности, например: № 37к, 89ск, 97дсп.
■ Курс лекций
86
Гриф конфиденциальности присваивается документу:
■исполнителем при подготовке к составлению проекта документа;
■руководителем структурного подразделения (направления деятельности) или руководителемфирмы при согласованииили подписании документа;
■работником службы КД при первичной обработке поступающих документов, есликонфиденциальныйдляфирмыдокументнеимеетгрифа ограничения доступа.
Изменение или снятие грифа конфиденциальности документа производится при изменении степени конфиденциальности и ценности содержащихся в нем сведений. Основаниями для этих действий являются:
■соответствующая корректировка перечней конфиденциальных сведений или документов фирмы;
■истечение установленного срока действия грифа;
■наличие события, при котором гриф должен быть изменен или снят (например, опубликование ноу-хау в печати, патентование изобретения и др.);
■установление факта неправильности присвоения грифа документу. Руководители всех рангов и исполнители несут персональную ответ-
ственность за своевременное и правильное установление, изменение и снятие грифа конфиденциальности.
Фактическое изменение или снятие грифа осуществляет должностное лицо, подписавшее (утвердившее) документ, а также первый руководитель фирмы.
Процедуры изменения и снятия грифа конфиденциальности с документов фирмы должны быть четко регламентированы.
При изменении или снятии грифа должностное лицо делает отметку на самом документе и в сопроводительном письме: зачеркивает гриф или проставляет новый, указав основания для выполнения этого действия, ставит подпись и дату. В соответствии с этой отметкой делаются необходимые записи в учетной форме документа. После снятия грифа документ передается в службу открытого делопроизводства фирмы. При необходимости об изменении или снятии грифа конфиденциальности с документа сообщается заинтересованным фирмам и предприятиям.
Носителями документированной КИ могут быть:
■для традиционных текстовых документов - специальный блокнот с отрывными листами и корешком, выполняющим функцию учета листов, нанесения отметок о целевом их использовании; рабочая и стенографическая тетради для больших по объему документов, отдельные пронумерованные листы бумаги, типографские формы и бланки документов;
■для чертежно-графических документов - пронумерованные листы ватмана, кальки, пленки, координатной бумаги и т. п.;
В. М. Бисюков ■
87
■для машиночитаемых документов — маркированные и пронумерованные магнитные ленты, диски, дискеты, карты, флэш и т. п.;
■для аудио и видеодокументов — маркированные и пронумерованныекассетысмагнитнойпленкой, лазерныедиски, кассетыскинопленкой и т. п.;
■для фотодокументов — маркированные и пронумерованные кассеты с фотопленкой, фотобумага, микрофиши, слайды, кассеты с микрофотопленкой и т. п.
ОсновнымизадачамиучетаносителейКИ, можноназватьследующие:
■закрепление факта присвоения носителю категории конфиденциальности, ограниченного доступа;
■присвоение носителю учетного номера и включение его в спра- вочно-информационный банк для обеспечения контроля за использованием и проверкой наличия;
■документирование фактов перемещения носителя между сотрудниками фирмы, закрепление персональной ответственности за его сохранность;
■контроль работы исполнителя над документом и своевременным уничтожением носителя или его частей, потерявших практическое значение.
Все типы носителей конфиденциальной документированной информации должны быть учтены до начала составления на них проектов черновика, вариантов и беловика будущего документа. При этом реализуются следующие требования обеспечения защиты информации:
■формирование основы для последующей персональной ответственности сотрудника за сохранность носителя, повышенного внимания к нему;
■предупреждение возможности нецелевого использования носителя или его неправильного хранения;
■формирование грифа конфиденциальности будущего документа;.
■предупреждение возможности тайной подмены носителя, изъятия из него или включения в него отдельных частей (листов, кусков фото-, видео- или магнитной пленки), для чего фиксируются технические характеристикиносителя(количестволистов, длиналенты, наличиесклеекидр.);
■предупреждение технической возможности тайной разборки кассет, пеналов, футляров, конвертов и иных оболочек, содержащих технические носители информации;
■включение носителя в сферу регулярного контроля сохранности и местонахождения.
Этап оформления и учета носителей КИ, выдачи их исполнителям и приема от исполнителей выполняется в службе КД, как в традиционном,
■Курс лекций
88
так и автоматизированном режимах и включает в себя следующие процедуры:
■первичное оформление носителя, в процессе которого выполняются специализированные операции, позволяющие в дальнейшем контролировать подлинность носителя и сохранность всех его элементов;
■традиционный или автоматизированный учет носителя, при котором документируется факт включения носителя в категорию носителей ограниченного доступа с присвоением ему инвентарного номера;
■окончательное оформление носителя, в процессе которого учетныеданныепереносятсянаносительиегосоставныечастидляихидентификации;
■выдача учтенного, укомплектованного носителя информации исполнителю, закрепление за исполнителем персональной ответственности за сохранность носителя, его целостность и целевое использование;
■выдача исполнителю при необходимости дополнительных учтенных листов, форм и бланков;
■прием от исполнителя носителя информации, в процессе которого проверяется комплектность носителя, наличие оправдательных отметок
вслучае отсутствия элементов и документирование факта передачи носителя в службу КД;
■ежедневная проверка правильности учета носителей и их наличия. При работе с сотрудником фирмы работник службы КД педантично
решает следующие задачи обеспечения защиты информации:
■предотвращение выдачи носителя лицу, не связанному с составлением конкретного документа или исключенному из состава лиц, допускаемых к данному носителю (составляемому документу);
■выявление факта утраты носителя или его частей, организация поиска носителя и проведение служебного расследования;
■предотвращение нарушения принципа персональной ответственности за сохранность носителя и фиксируемой в нем информации;
■обнаружениефактаподменыносителядругим, фальсификациичасти носителя;
■обнаружение фактов случайной или умышленной порчи носителя, изменения формата, нумерации листов, вырывания листов, их загрязнения, склеивания и т. п.;
■предотвращение несанкционированной и не оправданной деловойнеобходимостьюпередачиносителямеждуруководителямииисполнителями;
■предотвращениенесанкционированногоознакомленияпосторонних лиц с содержанием информации, зафиксированной на носителе,
впроцессе его выдачи исполнителю и приема от исполнителя.
В. М. Бисюков ■
89
Следовательно, до начала составления черновика КД должен быть выполнен ряд принципиально важных технологических этапов обеспечениясохранноститайныфирмы, которыедаютвозможностьвбудущем свести к минимуму риск утраты ценной информации, документирование которой пока только предполагается.
6.3. Этап составления текста конфиденциального документа
Этап составления текста КД методически мало отличается от аналогичной творческой, формально-логической и технической работы, проводимой при формировании содержания открытого документа. Однако исполнителю следует всегда помнить, что конфиденциальная информация документируется только при наличии серьезных объективных потребностей, а не субъективного желания сотрудника фирмы. КД составляются в строго определенных случаях.
Составление текстов особо ценных КД обычно централизуется на уровне руководства фирмы. Менее значимые КД по отдельным функциональным вопросам составляются децентрализовано. руководителями структурных подразделений (направлений деятельности) фирмы и иногда допущенными к этой работе исполнителями (опытными менеджерами, экспертами). Налюбыхчерновиках, вариантах, редакцияхКД(втом числе электронных), относящихся к ним материалах, записях, записках и т. п. обязательно и заблаговременно проставляется установленный гриф ограничения доступа.
При документировании КИ следует учитывать следующее:
■объем включаемых в документ конфиденциальных сведений должен быть минимальным и определяться реальной ситуацией;
■документ всегда должен касаться только одного вопроса (темы);
■необходимо заблаговременно предусмотреть, что сводные плановые, организационные, распорядительные, отчетные и другие подобные документы, составляемые в виде сложных многоадресных схем не должнырассылатьсяпоподразделениямиисполнителям, онидоводятся до исполнителей избирательно;
■информация, относящаяся к тайне фирмы, должна быть максимальным образом локализована в конкретной части документа, его разделе, приложении, отдельной дискете, электронном массиве с усложненной системой доступа;
■включаемые в документ конфиденциальные фотоиллюстрации, графики, схемы и т. п. наклеиваются на учтенные листы, их количество оговаривается в сопроводительном письме или специальной записи;
■не допускается снимать копии и делать выписки из ранее изданных КД без разрешения соответствующего должностного лица или орга-
низации-автора;
■ Курс лекций
90
■конфиденциальные показатели (формулы, выводы, результаты наблюдений, опытов, описания технологических процессов и т. п.) должны фиксироватьсявдокументетолькоодинраз, принеобходимостиповторного их описания делается ссылка на документ, в котором они были ранее отражены;
■в открытых документах не допускаются намеки на наличие конфиденциальных сведений или их описание в произвольной форме;
■сопоставление плановых и отчетных показателей деятельности фирмы, результаты перспективных маркетинговых исследований, аналитические выводы по производству и продаже продукции, параметры новой технологии, характеристики ноу-хау и т. п. допускается документировать и хранить только на уровне первого руководителя фирмы в документах, делах, базах данных с грифом «Строго конфиденциально»;
■не допускается включение в открытые документы сведений, составляющих интеллектуальную собственность или КТ других фирм или лиц (даже при отсутствии соответствующего пункта в договоре о сотрудничестве);
■для обеспечения высокого уровня конфиденциальности документов, пересылаемых обычной почтой, передаваемых по незащищенным каналам связи и хранящимся в компьютерах, целесообразно решить вопрос о шифровании информации.
Говоря о технологии подготовки к документированию и документировании КИ, мы отметили наличие трех специфических особенностей (дополнительных этапов), необходимых для обеспечения заблаговременного сохранения в тайне содержания создаваемого документа:
■получение разрешения на составление документа;
■присвоение будущему документу определенного уровня грифа конфиденциальности;
■предварительный учет того носителя, на котором этот документ будет составляться.
Следующая, четвертая, специфическая особенность состоит в том, что ни один проект КД не может быть изготовлен с черновика и обрести статус правомерно документированной информации без дополнительной санкции (письменного разрешения) полномочного должностного лица фирмы.
Разрешениефиксируетсядвумяспособами: иливнесениемданного документа в перечень ценных и КД фирмы, или индивидуальным разрешением в виде соответствующей подписанной руководителем структурного подразделения записи на черновике документа. На черновике документа, вошедшего в перечень, исполнитель указывает: наименование подразделения (направления деятельности) фирмы, свою фамилию
В. М. Бисюков ■