Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Коммерческая тайна в России. Монография
.pdf
§ 4. Методология и методика определения степени конфиденциальности
прекращение или снижение уровня деловых отношений с •
парт нерами;
срыв переговоров и выгодного контракта;•
невыполнение договорных обязательств;•
необходимость проведения маркетинговых исследований и •
разработки новой рыночной стратегии;
отказ от ранее принятых решений, ставших неэффективными •
в результате утечки сведений;
экономические санкции в отношении организации;•
возникновение сложных ситуаций в снабжении, производстве •
и сбыте продукции и другие.
Для определения ущерба в стоимостном выражении используются показатели, применяемые в планово-экономическом и финансовом подразделениях. Показателями ущерба могут быть:
потери вследствие прекращения финансовых инвестиций;•
экономический эффект от внедрения предприятием-•
конкурентом результатов НИОКР и полученных при этом
преимуществах;
стоимость оборудования и технологий, незаконно использо-•
ванных конкурентом в производстве аналогичных товаров, и
другие.
Сложность расчетов предполагает проведение оценки ущерба
экспертным путем.
Третий этап должен быть посвящен проверке сведений, включенных в Перечень, не являются ли они общеизвестными и общедоступными на законных основаниях. Оценка сведений по данному критерию
заключается в поиске и установлении законных источников информации. В частности, сведения статистического характера не могут
составлять коммерческую тайну, сведения о деловых партнерах содержатся в справочной литературе, сведения научно-технического
характера после их открытого опубликования не являются коммерческой тайной.
Четвертый этап посвящен проверке возможностей организации
осуществлять меры по защите сведений, доступ к которым ограничен.
Ограничение на доступ к информации связано с отрицательными
последствиями для организаций. Во-первых, это затраты на защиту
информации, а во-вторых, потери других предприятий, связанные с
неиспользованием информации, доступ к которой ограничен.
Для обеспечения защиты выделенных сведений организации:
285
Глава 3. Организационное обеспечение деятельности по охране конфиденциальности
закрепляют функцию защиты коммерческой тайны за кон-•
кретными подразделениями и работниками;
проводят необходимые организационные, инженерно-техни-•
ческие и иные работы;
устанавливают режим охраны конфиденциальности техно-•
логии, материалов, порядок работы с документами, и другие
меры.
При оценке затрат необходимо установить:
категории и численность лиц, допускаемых к КЗИ;•
затраты на заработную плату, стоимость оборудования, техни-•
ческих средств и материалов, необходимых для организации
охраны конфиденциальности КЗИ;
затраты, связанные с оборудованием контрольно-пропускных •
пунктов, систем охраны и сигнализации, обеспечением безопасности связи;
затраты на подготовку и переподготовку кадров в сфере ин-•
формационной безопасности и другие.
Ограничение на доступ к КЗИ является вынужденной мерой.
Поэтому сопоставление данных об отрицательных последствиях засекречивания сведений с ущербом при их открытом использовании,
анализ возможностей финансирования организацией защитных мер
позволит определить экономическую целесообразность отнесения
сведений к коммерческой тайне.
Пятый этап заключается в проверке того, что рассматриваемые
сведения не могут составлять коммерческую тайну. Законодатель-
ством предусмотрено, что сведения, содержащие государственную,
служебную и иную тайну, учредительные документы, годовые отчеты, бухгалтерские балансы, документы, связанные с уплатой налогов, и иные не могут составлять коммерческую тайну.
Шестой этап состоит в проверке того, что относимые к коммерческой тайне сведения не касаются негативной деятельности организации, способной причинить ущерб личности, обществу и государству.
Речь идет о сведениях, касающихся: загрязнения окружающей среды; нарушения законов; сокрытия информации, якобы подрывающей имидж организации; злоупотреблений в коммерческих интересах; уклонения от выполнения договорных обязательств либо уплаты
налогов; недобросовестной конкуренции и другие.
Таким образом, категории сведений, включаемые в Перечень,
должны удовлетворять следующим критериям: открытое использование выделенных сведений связано с ущербом для организации;
286
§ 4. Методология и методика определения степени конфиденциальности
сведения не являются общеизвестными или общедоступными на законных основаниях; организация имеет возможности осуществлять
надлежащие меры по охране их конфиденциальности, руководствуясь соображениями экономической выгоды; выделенные сведения
нуждаются в охране, так как не являются государственной тайной,
не защищены авторским и патентным правом, к ним нет ограничений на отнесение их к коммерческой тайне; сокрытие этих сведений
не может причинить ущерба личности, обществу и государству.
Методика определения степени конфиденциальности сведений, содержащихся в работах, документах и изделиях. Разработка и утверж-
дение Перечня создает нормативную основу для руководства по
определению степени конфиденциальности конкретных сведений,
содержащихся в работах, документах и изделиях. Степень конфиденциальности конкретных сведений определяется непосредственно исполнителем работ на основании соответствующих категорий сведений, предусмотренных в Перечне, и лицом, которому направлен документ на утверждение. Следует подчеркнуть, что от того, насколько
верно определена степень конфиденциальности сведений и присвоена категория важности с указанием грифа «Коммерческая тайна», зависит уровень установления режима охраны, порядок работы с документами и изделиями, их учет, хранение, обращение и уничтожение,
а также защита в суде прав обладателя КЗИ.
В Законе о коммерческой тайне не упоминается обязанность исполнителя по определению конфиденциальности сведений с учетом их новизны и степени осведомленности конкурентов. Работники, кроме Перечня, в своей практической деятельности учитывают и
иные факторы. В их числе:
1) наличие уязвимых мест в разработке изделия, знание которых
потенциальным конкурентом может ослабить эффективность их использования и продажи;
2) тактико-технические характеристики изделия, обеспечивающие преимущества по сравнению с аналогичными изделиями конкурентов;
3) уникальные характеристики изделия, присущие только данному классу изделий;
4) состав элементов системы, обеспечивающий изделию высокие
эксплуатационные характеристики и технические возможности;
5) уникальность проекта модернизации или создания нового
класса изделий или необычность применения технологических процессов.
287
Глава 3. Организационное обеспечение деятельности по охране конфиденциальности
Перечень названных факторов не является исчерпывающим. Их
наличие определяется спецификой деятельности организации и учитывается работниками при определении степени конфиденциальности КЗИ.
Изучение опыта работы по определению степени конфиденциальности информации позволяет предложить введение системы разрядов, в
зависимости от важности КЗИ. Сведения, разглашение которых мо-
жет оказать отрицательное воздействие на финансовое состояние
организации и даже поставить под угрозу сам факт ее существования, должны относиться к наивысшему разряду конфиденциальности КЗИ (третья категория ущерба). Иным сведениям, отнесенным
к коммерческой тайне, устанавливается средний и низший разряды конфиденциальности (соответственно вторая и третья категории
ущерба). Технически процедура установления разрядов, в зависимости от степени конфиденциальности, состоит в том, что рядом с грифом «Коммерческая тайна» проставляется соответствующий разряд
(высший, средний, низший), который соответствует размеру возможного ущерба (третья, вторая и первая категории ущерба).
Установленный в Перечне разряд указывает на важность охраны сведений. Однако в Перечне сведений, составляющих коммерческую тайну, как правило, не выделяется КЗИ по степени ее конфиденциальности и не устанавливаются разряды в зависимости от возможного ущерба при ее разглашении. Более того, на практике до сих
пор не выработано единого понимания категорий сведений, включаемых в Перечень.
Это приводит к неоднозначной оценке степени конфиденциальности одних и тех же сведений. В отдельных случаях отмечается
снижение степени конфиденциальности защищаемых сведений или
полное их рассекречивание. Часто в силу действия «перестраховочного» фактора происходит завышение степени конфиденциальности
КЗИ. Такая практика порождает ненужное отвлечение сил и средств
на защиту менее важных сведений и увеличивает объем работ по обеспечению безопасности организации.
Изучение практики определения степени конфиденциальности сведений свидетельствует о несколько приниженной роли представителей организации-заказчика в этом процессе. Она сводится
в основном к согласованию документов, включая и те, которые содержат коммерческую тайну. Например, действия заказчика ограничиваются выдачей подрядчику перечня охраняемых сведений, на
основании которого исполнитель работ определяет степень их кон-
288
§ 4. Методология и методика определения степени конфиденциальности
фиденциальности. Однако сведения, указанные в Перечне, не всегда отражают перспективы развития науки и техники, особенности
коммерческого оборота. Представители заказчика должны принимать непосредственное участие в определении степени конфиденциальности конкретных работ, и вносить изменения в техническое задание. Совместная работа подрядчика и заказчика по определению
степени конфиденциальности КЗИ позволит, с одной стороны, учитывать изменения хозяйственной ситуации и вносить коррективы
в процесс обеспечения охраны параметров создаваемого изделия, с
другой стороны, согласовывать коммерческие интересы по использованию (продаже) новых технологий.
В процессе засекречивания КЗИ важно не только правильно
определить степень конфиденциальности сведений, содержащихся в
новой работе, но и определиться с необходимостью применения дополнительных мер защиты.
Основным документом, которым обязан руководствоваться подрядчик, является техническое задание (ТЗ), разрабатываемое заказчиком. Руководствуясь нормами ФЗ «О техническом регулировании»
1
,
ГОСТ Р52069.0-2003 «Защита информации. Система стандартов.
Основные положения», ГОСТ Р50922-96 «Защита информации.
Основные термины и определения», ГОСТ Р51275-99 «Защита информации. Объект информатизации. Факторы, воздействующие на
информацию. Общие положения» и др., подрядчик может использовать любые правовые конструкции, определяющие требования по
обеспечению секретности разработок, испытаний, производства и
эксплуатации изделий и разработке перечня охраняемых характеристик (параметров) создаваемого конкретного изделия. Весьма полезным в этом плане является советский опыт обеспечения режима секретности, который может быть использован в работе коммерческих
организаций. В частности, в разработке перечня охраняемых сведений принимал участие генеральный (главный) конструктор темы
или его заместитель, руководитель РСО, начальники отдела режима
и аналитического подразделения. Перечень согласовывался с заказчиком, представителем министерства и утверждался руководителями
предприятий заказчика и подрядчика.
Сегодня в процессе разработки перечня специалисты использу-
ют ранее разработанные перечни по аналогичным темам и применя-
1
См.: Собрание законодательства РФ. 2002. № 52. Ст. 5140.
289
Глава 3. Организационное обеспечение деятельности по охране конфиденциальности
ют опыт в сфере защиты КЗИ. При этом учитывается главный критерий — это новизна создаваемого изделия. Эти данные могут быть получены путем сравнительного анализа отечественных и зарубежных
разработок, которые определяют облик вновь создаваемого изделия.
Вместе с тем специалисты руководствуются не только Перечнем, но
и используют личный опыт, метод аналогии, учитывают важность
сведений, возможный ущерб, который может быть причинен организации, новизну изделия, стоимость работы и др. критерии.
Опрос работников организаций по вопросам улучшения порядка определения степени конфиденциальности КЗИ показывает, что
решение этой проблемы видится им не только в конкретизации, расширении, сужении или отказе от Перечня или регулярности его пересмотра, но и в создании единой методики определения степени кон-
фиденциальности КЗИ. В этом плане предлагается примерная система
критериев и признаков, которые в совокупности составляют методику определения степени конфиденциальности сведений, содержащихся в
работах, документах и изделиях. Как представляется, структурно ее
содержание состоит, во-первых, из учета общего критерия, это ущерб
коммерческой организации при попадании сведений в конкурирующую организацию. Во-вторых, из учета частных критериев, которые
включают характер сведений и их относимость к защищаемым сферам деятельности организации; важность сведений; возможность защиты сведений и материальные затраты на их защиту. Содержание
частных критериев может быть охарактеризовано отдельными признаками.
Характер сведений, составляющих КЗИ, зависит от направлений
деятельности организации. Методически нами учитывается информация, циркулирующая в сфере управления, производства (технические и технологические сведения) и коммерческой деятельности (деловые сведения). Критерий важности сведений, составляющих КЗИ,
характеризуется актуальностью, новизной, объемом и степенью
обобщенности сведений, эффективностью и др. Критерий защиты
сведений с использованием соответствующих материальных затрат
раскрывается при помощи изучения таких признаков, как: уязвимость КЗИ от конкурентной разведки, осведомленность и устремления конкурентов к защищаемой КЗИ, опасность разглашения (утечки) КЗИ со стороны работников, осведомленных в таких сведениях.
Выделенные критерии и признаки составляют содержание примерного варианта методики, использование которой позволяет обо-
290
§ 4. Методология и методика определения степени конфиденциальности
снованно подходить к процессу определения степени конфиденциальности КЗИ.
Рассмотрим характеристику отдельных выделенных критериев.
Общим критерием оценки является ущерб коммерческой организации
при попадании сведений к конкуренту. Размер ущерба зависит от мас-
штабов деятельности организации (крупное, среднее и малое предприятие). Размер ущерба может быть выражен такими понятиями,
как «стратегический» (организация на грани банкротства) или «тактический» (потеря управляемости и доходности одного из подразделений) материальный вред. Показателем ущерба может быть его характер имущественной потери для организации вследствие разглашения (утечки) КЗИ. Например, распространение ложных сведений
о деятельности организации, связанных с выпуском некачественных
товаров, и т.п. Также учитывается размер убытков, превышающих,
например, размер уставного капитала или балансовую стоимость
имущества, и т.п.
Существенное значение имеет учет вероятности и быстроты
причинения конкурентом ущерба в случае получения им сведений, составляющих КЗИ. Оценка этих показателей необходима организа-
ции для установления соответствующего уровня режима коммерческой тайны и реализации предупредительных мер. Эти меры могут
быть связаны с изменением структуры управления и технологии изготовления изделия или отдельных его частей (узлов), выпуском более совершенных по своим техническим характеристикам товаров и
другие. Представляется, что эти показатели могут быть определены в
количественном и качественном отношении. Это позволит организации предметно оценивать возможный ущерб от попадания КЗИ к
конкурентам. Если вероятность нанесения ущерба условно принять
в интервале от 0 до 1, то повышение этого значения до 1 будет означать необходимость определения наивысшего разряда конфиденциальности КЗИ. Вероятность (быстрота) причинения ущерба может
исчисляться при этом днями, месяцами, годами. Соответственно
оценка фактора быстроты причинения ущерба зависит от возмож-
ности принятия организацией адекватных мер противодействия усилиям конкурентов с целью уменьшения размера ущерба.
Характер сведений и их относимость к основным направлениям
деятельности организации определяется такими показателями, как
актуальность, новизна и эффективность использования КЗИ в рыночной экономике. Можно с уверенностью сказать, что такие совокуп-
ные сведения, которые носят научно-технический, технологический
291
Глава 3. Организационное обеспечение деятельности по охране конфиденциальности
и коммерческий характер, имеют значимость для организации. Показатель новизны работы организации в плане создания (модернизации) изделия определяется исходя из существующих аналогов в РФ
и других странах. Если имеются аналогичные изделия или ведутся
аналогичные работы, то новизна в данном случае отсутствует. Актуальность КЗИ оценивается с учетом возможного теоретического и
практического использования полученных сведений. Следует учитывать показатель, характеризующий эффективность использования
технической, технологической и деловой информации. Если отмечается высокая эффективность использования полученных сведений,
например, при заключении коммерческой сделки или модернизации
элементов конечного изделия, то следует относить такие сведения к
КЗИ. Важно различать класс сведений по степени их обобщенности
и объему. Речь идет о сведениях, содержащихся в отдельном элементе (узле) изделия или о работе (изделии) в целом. В данном случае
степень конфиденциальности будет различной.
Осведомленность конкурентов и их устремления к получению технической, технологической и деловой КЗИ должны оцениваться с пози-
ций степени их осведомленности и с учетом вероятности такой осведомленности. Оценка этих показателей может быть получена путем
изучения обстоятельств появления публикаций в СМИ, анализа выступлений участников на конференциях и симпозиумах, раскрывающих данные о тактико-технических характеристиках и конструктивных особенностях опытных образцов изделий, оригинальных методах управления, о ведущихся коммерческих переговорах по поводу
инвестирования крупных проектов. Конкурирующей организацией
могут быть получены сведения в результате утраты или хищения документов, изделий либо разглашения КЗИ путем попадания образцов изделий и технической документации (чертежи и др.) с использованием методов промышленного шпионажа. Специалистами изучается не только возможная осведомленность конкурентов, но и их
устремления к конкретным защищаемым сведениям.
При оценке названных выше частных критериев (характер сведений, важность сведений и возможность защиты сведений) и их признаков необходимо учитывать этапы работ, выполняемые организацией. Полученные результаты исследования указывают на существующую зависимость степени конфиденциальности КЗИ от этапов
работ. Если мы возьмем, например, начальный цикл работ, связанный с постановкой проблемы и ее теоретическим решением, что является характерным для НИОКР, то эта часть работы содержит наи-
292
§ 4. Методология и методика определения степени конфиденциальности
более ценную информацию, которая должна охраняться по высшему
разряду. Такая же степень конфиденциальности сохраняется на этапах изготовления и испытаний опытного образца. Принятие заказчиком изделия и передача его в серийное производство несколько снижают степень конфиденциальности. Снятие изделия с производства,
в зависимости от возможности использования научно-технических
решений при модернизации и изготовлении новых образцов, требует
решения вопроса об изменении степени конфиденциальности.
На основании выделенных нами критериев и признаков представляется возможным произвести оценку степени конфиденциаль-
ности технической, технологической и деловой информации, имеющей
коммерческую значимость.
Оценка степени конфиденциальности информации, циркулирующей в организации, производится (Ocku) путем суммирования значения i-критерия (признака) в баллах и коэффициента значимости
i-го признака (может быть использована школа качественной оценки, выраженная в виде разрядов «низкий» (категория «В»), «средний»
(категория «Б») и «высший» (категория «А»), означающая степень
конфиденциальности информации с грифом «Коммерческая тайна».
n
⋅=
i
,КзнHЗOcku
i
1∑=
где Ocku — означает оценку степени конфиденциальности информации; ЗНi — значение i-го признака (в баллах); Кзн — коэффициент
значимости i-го признака (шкала качественной оценки, по разрядам
(категориям) коммерчески значимой информации), причем Формула 2; n — число критериев (признаков).
Во-первых, предлагаемая методика позволяет учитывать значение
следующих критериев (признаков):
Первый критерий (Зн1) — характер и относимость технической,
технологической и деловой информации в зависимости от доступа работников к защищаемым сферам деятельности организации, имеет сле-
дующую балльную оценку (значения).
Таблица 3.4.1
№
п/п
1 Управление: подготовка и принятие решений по произ-
водственным, коммерческим и иным вопросам; планы,
совещания, финансы, безопасность и др.
Признаки относимости (характера) информации
к защищаемым сферам деятельности организации
Баллы
10
293
Глава 3. Организационное обеспечение деятельности по охране конфиденциальности
2 Научно-исследовательские и опытно-конструктор ские
работы, разработка технологий и др.
3 Производство: структура, производственные мощности,
запасы сырья, комплектующих и т.д., изготовление изделий, применение технологий и др.
4 Коммерческая деятельность: рыночная стратегия орга-
низации, изучение рынка, партнеры, переговоры, контракты (договоры), цены, торги и др.
5 Иные признаки
Второй критерий (Зн2) — степень важности технической, технологической и деловой информации, имеет следующие значения.
Таблица 3.4.2
№ п/п Признаки важности сведений Баллы
1 Актуальность сведений 10
2 Новизна сведений 9
3 Обобщенность сведений 7
4 Эффективность технического, технологического и ком-
мерческого решения, оригинальность методов управления
5 Иные признаки
8
6
5
5
Третий критерий (Зн3) — степень возможности охраны и защиты
сведений, составляющих КЗИ, имеет следующие значения.
Таблица 3.4.3
№ п/п Признаки возможности защиты сведений, составляющих КЗИ Баллы
1 Уязвимость КЗИ от конкурентной разведки 10
2 Осведомленность конкурентов в КЗИ 9
3 Устремления конкурентов с целью получения КЗИ 8
4 Опасность разглашения (утечки) КЗИ работниками ор-
ганизации
5 Иные признаки
294
7
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]