Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Коммерческая тайна в России. Монография
.pdf
§ 1. Характеристика нарушений режима конфиденциальности информации
Наряду с использованием новейших информационных технологий, каждая организация имеет традиционные телефонные сети общего пользования (по данным С.В. Сафронова, на эти линии приходится более 60% объема услуг коммуникационного рынка страны)
1
Кроме того, организации используют различные технологические
системы сети электросвязи, обеспечивающие один или несколько
видов передач: телеграфную, факсимильную, передачу данных и других видов документальных сообщений, включая обмен информацией
между ЭВМ, телевизионное, звуковое и иные виды радиопроводного
вещания. Конечные технические устройства коммуникации устанавливаются в режимных подразделениях (помещениях), где циркулирует КЗИ. Линии связи имеют выход за охраняемый периметр организации и подвержены технической возможности несанкционированного снятия КЗИ. Нужно отметить общемировую тенденцию,
когда конкурирующие фирмы, ведущие промышленный шпионаж,
широко используют технические средства для перехвата охраняемой
информации, передаваемой по незащищенным каналам связи, используя для этих целей радио- и радиотехническую аппаратуру, установленную, например, на автомобилях и других средствах, а также
портативные радиоэлектронные средства, переносимые их агентурой. Это позволяет осуществлять несанкционированное прослушивание линий связи, связывающих организацию с деловым внешним
миром. Для обработки полученной информации конкурентами используются современные ЭВМ, методы системного анализа, математической логики и искусственного интеллекта. С помощью технических средств вводная информация преобразуется в качественно
новую выводную информацию. Из сопоставления множества разрозненных сведений аналитическим путем конкурирующим фирмам
удается раскрыть охраняемую информацию.
В условиях кооперации и специализации производства любая
организация имеет множество деловых связей, соединяющих ее с
контрагентами. Ежегодно растет число служебных междугородных и
международных телефонных переговоров (СМТП). С введением мобильной телефонной связи их число увеличивается в геометрической
прогрессии. Опрос работников организаций показал, что 47% из них
.
1
См.: Сафронов С.В. Вопросы информационной поддержки предприниматель-
ства в ФЦП «Электронная Россия» // В сб.: Информационное обеспечение предпринимательства. М., 2001. С. 36.
325
Глава 4. Обеспечение деятельности по охране конфиденциальности информации
считают ведение СМТП без соблюдения правил режима конфиденциальности крайне опасным ВКУ КЗИ. В организациях установлен
порядок ведения СМТП. В частности, еще с советских времен существует практика определения телефонов, разрешенных для ведения СМТП. Ведутся списки лиц, допущенных к ведению переговоров. Разработаны и периодически пересматриваются корпоративные
акты, регулирующие ведение СМТП. Уточняются перечни несекретных технических терминов и других косвенных признаков, раскрывающих охраняемую в организации информацию. Ежегодно уточняются списки лиц, допущенных к ведению СМТП.
Контроль за соблюдением требований режима конфиденциальности при ведении СМТП возлагается на руководителей подразделений. Ежемесячно сверяются лицевые счета, поступающие из городской телефонной станции на оплату, с перечнем телефонов,
с которых разрешено ведение СМТП. В случаях, когда телефонный разговор велся с неразрешенного аппарата, проводится служебное расследование с целью установления лиц, нарушивших установленный порядок. Используются различные технические устройства,
ограничивающие выход на междугороднюю линию связи при наборе
определенной цифры. Отдельные организации используют аппаратуру внутреннего контроля за ведением СМТП, позволяющую автоматически произвести отключение телефонного аппарата при упоминании сведений, составляющих коммерческую тайну.
Фиксация результатов контроля СМТП осуществляется работниками СБ с использованием технических средств и ЭВМ. В основу используемых методик контроля положен системный подход к оценке
информативности сведений, передаваемых по телефону. Выбор периодов контроля и их длительность обусловливаются особенностями оперативной обстановки, сложившейся в организации, и периодами интенсивного обмена информацией с другими предприятиями. Это, как правило, начало и окончание НИР и ОКР, проведение
испытаний опытного образца изделия, коммерческая деятельность,
связанная с заключением договоров. Важным звеном этой работы
является оценка информативности сведений и отнесение их к КЗИ.
Суммарный контроль, составляющий примерно 15—20% от общего
числа СМТП за год, является оптимальным для оценки действительной информативности сведений, передаваемых по телефонной линии связи.
Нарушения режима КЗИ при ведении СМТП проявляются в том,
что при употреблении определенных слов и терминов могут быть
326
§ 1. Характеристика нарушений режима конфиденциальности информации
определены: принадлежность перехваченной информации к важным
работам (например, сведения, раскрывающие демаскирующие признаки предприятия, технические и технологические характеристики
новых изделий, и др.); характер и направление работ, принцип действия разрабатываемых систем (при этом называются технические термины, общепринятые устройства, системы). Анализ этих сведений и
привязка их к направлениям деятельности организации и ее контрагентов дает возможность конкурентам получить данные о ведущихся работах, сведения о которых составляют коммерческую тайну.
Вторая группа ВКУ КЗИ связана с перепиской по служебным вопросам, которая ведется в организациях с использованием открытого и конфиденциального делопроизводства. При ведении открытой и
конфиденциальной переписки существуют различные каналы возможной утечки КЗИ. Выборочный опрос исполнителей конфиденциальных работ показал, что наиболее характерными каналами утеч-
ки КЗИ могут быть следующие: публикация материалов, содержащих
КЗИ в открытой печати, оглашение ее в передачах по радио и на телевидении — 15%; отнесение информации к КЗИ и включение ее в
открытые документы — 11%; переписка с другими организациями и
ведение междугородных телефонных переговоров — 9%; подготовка
и защита диссертационных материалов — 7%; осуществление государственной регистрации НИОКР — 6%; ведение конфиденциального делопроизводства — 6%; внедрение изобретений, открытий и
результатов НИОКР — 4% и другие.
Публикация материалов в открытой печати, оглашение в передачах
по радио и на телевидении. Любая публикация требует, с одной сто-
роны, включение в нее максимума полезных данных, а с другой —
ограничение информации с учетом коммерческих интересов. В последнем случае могут допускаться нарушения, поэтому необходим
авторский самоконтроль и заключение экспертной комиссии организации о возможности публикации материалов. Авторский самоконтроль предполагает знание автором документов, в которых изложены
режимные ограничения. Так, опрос работников ряда организаций
показал, что 25% от числа опрошенных не ознакомлены с перечнями
сведений, составляющих коммерческую тайну, 46% — ознакомлены
в общих чертах, и только 29% — ознакомлены в части, их касающейся. Такое положение дел, когда работники слабо представляют, какие сведения составляют КЗИ, может привести к раскрытию в открытых публикациях сведений конфиденциального характера.
327
Глава 4. Обеспечение деятельности по охране конфиденциальности информации
При определении конфиденциальности сведений, содержащихся в работах, документах и изделиях, опрошенные работники заявили, что в 41% случаев они руководствуются возможным ущербом,
который может быть причинен организации при попадании сведений к конкурентам, в 31% случаев — личным опытом, в 15% случаев — перечнем сведений, составляющих коммерческую тайну, в 14%
случаев — новизной изделия (работы), в 2% — вредом, который может наступить вследствие излишнего отнесения информации к коммерческой тайне. Как видно, критерии, которыми руководствуются работники при определении степени конфиденциальности сведений, сформулированы недостаточно четко и в корпоративных актах,
как правило, не закреплены, что отрицательно сказывается на защите КЗИ и может привести к ее утечке.
Анализ работы экспертных комиссий по рассмотрению ими материалов для открытого опубликования показывает, что имеется ряд
недостатков, связанных с проведением экспертизы, которые могут
привести к утечке сведений конфиденциального характера. Экспертиза материалов иногда поручается самому автору, который одновременно является членом экспертной комиссии, либо некомпетентному работнику, плохо знающему специфику организации и требования конфиденциальности КЗИ. Имеются нарушения процедурного
характера при рассмотрении материалов и оформлении акта экспертизы.
Опрос исполнителей, выполняющих конфиденциальные работы,
показывает, что нарушение установленных правил государственной ре-
гистрации НИОКР может стать одной из причин утечки КЗИ. Государственная регистрация и учет НИОКР осуществляется в соответствии с требованиями законов, ГОСТов и стандартов организаций,
которые являются обязательными для руководителей и ответственных исполнителей НИОКР. Работники отделов научно-технической
информации организаций отвечают за своевременное представление регистрационных, информационных карт (РК, ИК) и отчетной
научно-технической документации (ОНТД) в федеральные государственные органы. Нарушения режима КЗИ могут проявляться, вопервых, в подготовке и оформлении РК и ИК на НИОКР, содержащих КЗИ, лицами, не допущенными к этой работе; во-вторых, в
неправильном оформлении РК, ИК и ОНТД вследствие незнания
исполнителями нормативно-технических документов или недобросовестного отношения к данной работе; в-третьих, во внесении исполнителями конфиденциальных сведений в аннотации, рефераты и
328
§ 1. Характеристика нарушений режима конфиденциальности информации
другие графы РК и ИК на открытые части работ, выделяемых из НИОКР с грифом «Коммерческая тайна».
Ведение конфиденциального делопроизводства с нарушением требований, установленных в организации, может стать одним из каналов утечки КЗИ. Нарушения режима КЗИ выражаются в невыполнении или ненадлежащем выполнении работниками этих подразделений обязанностей по созданию, учету, хранению и обращению
грифованных документов. Изучение приемов и способов охраны документов, применяемых в конфиденциальном делопроизводстве,
позволяет выделить ряд упущений, допускаемых работниками в этой
деятельности. К числу основных, чаще всего повторяющихся, недостатков относятся: отсутствие должного контроля со стороны руководства за созданием, оформлением, учетом и хранением документов; нерегулярное проведение проверок наличия документов на рабочих местах исполнителей и в местах их хранения; несвоевременное
составление номенклатуры дел и неправильное оформление первичных документов; нарушение порядка размножения и копирования
документов; неправильное ведение информационно-справочной работы; нарушение требований, предъявляемых к порядку уничтожения грифованных документов.
Третья группа ВКУ КЗИ включает нарушения, которые возникают в процессе хозяйственной деятельности организации. Условно эту
группу можно обозначить как «материальные потоки» объекта, обеспечивающие оборот готовых изделий, комплектующих деталей и
иных материальных ценностей от изготовителя к потребителю, что
связано с передачей, в том числе изделий и документов, содержащих
конфиденциальные сведения, для доставки которых используются
различные виды транспорта и связи. Опрос работников ряда организаций показывает, что 3% из числа опрошенных считают нарушения,
допускаемые при транспортировке грузов и почты, возможными каналами утечки КЗИ. Обязанностью администрации является сопровождение и охрана изделий, содержащих КЗИ, при их транспортировке за пределами территории организации. Закон о коммерческой
тайне не регулирует порядок охраны изделий и документов, в период их транспортировки. Поэтому организации руководствуются общими нормами ГК РФ, регулирующими перевозку и хранение с учетом особенностей охраны КЗИ в период транспортировки изделий
и документов, которые согласовываются сторонами в договоре. Реализация мер, связанных с транспортировкой изделий и документов,
осуществляется в соответствии с принятым в организациях поряд-
329
Глава 4. Обеспечение деятельности по охране конфиденциальности информации
ком. Как показывают данные опроса, работники, обеспечивающие
движение материальных ценностей и документов, содержащих КЗИ,
только в 52% случаев были ознакомлены с этим порядком. Это ведет
к нарушениям, которые проявляются в доставке работниками документов на личном транспорте, без сопровождения охраны, в несогласовании со СБ маршрутов движения транспорта, на котором осуществляется доставка материальных ценностей.
Четвертая группа ВКУ КЗИ — это технические каналы, обусловливающие возможность утечки такой информации. Различают пас-
сивные и активные способы несанкционированного доступа (НСД)
к КЗИ, которые обусловливают структуру (визуально-оптические,
акустические, электромагнитные и др.) и особенности образования
каналов утечки информации через технические средства информационных систем организаций. К числу распространенных активных способов НСД относятся незаконное подключение к линиям
связи, установка в технические средства микрофонных и телефонных радио закладок, НСД к информации, обрабатываемой на ЭВМ,
ее копирование, модификация, хищение, визуальное наблюдение
экранов.
Наибольшую опасность представляют каналы, возникающие
вследствие использования конкурентами портативных технических
средств, которые могут устанавливаться в служебных помещениях или вблизи расположения объектов организации. Такие средства
позволяют комплексно решать задачу НСД к КЗИ. Это достигается, во-первых, путем фиксации на магнитный или иной носитель разговоров по каналам телефонной связи; во-вторых, путем визуального наблюдения и фотографирования из соседних зданий передвижения контролируемых грузов, а также документов, содержащих КЗИ,
с которыми работают исполнители в рабочих комнатах. Судя по опубликованным в печати данным, можно судить о достаточно высоких
тактико-технических характеристиках таких средств, используемых
конкурентной разведкой
1
. Они обладают высокой чувствительностью
и разрешающей способностью, обеспечивают ведение конкурентной
разведки на значительных расстояниях от разведываемых объектов.
Важно отметить и возможность скрытого использования портатив-
1
См.: Сб. материалов 2-й Всероссийской конференции «Информационная безопасность России в условиях глобального информационного общества» / Под ред.
А.В. Жукова. М., 2001. С. 148–216, и др.
330
§ 1. Характеристика нарушений режима конфиденциальности информации
ных средств разведки, которые могут камуфлироваться под различные предметы повседневного обихода. В частности, могут быть замаскированы в автомашинах, в одежде и на переносимых человеком
предметах. Утечка информации по техническим каналам чаще всего
происходит в силу действия субъективного фактора, а именно: невыполнения или ненадлежащего выполнения работниками требований организационно-технического характера по обеспечению режима КЗИ.
Пятая группа ВКУ КЗИ, которую мы условно обозначаем как
«внешние окна». Это особая группа информационных каналов о дея-
тельности организаций, позволяющих производить извне обзор внутренней территории или какого-либо помещения визуально или с
помощью оптических и иных средств. Опрос работников ряда организаций показал, что 6% опрошенных указали на наличие дема-
скирующих признаков объекта как возможный канал утечки охраняемой информации. Под демаскирующими признаками понимаются
следы производственной и иной деятельности, по которым можно
определить использование организацией специально охраняемой
ею информации. Об этом могут свидетельствовать такие признаки,
как, в частности, дозирование информации о деятельности организаций для средств массовой информации в целях уменьшения степени осведомленности конкурентных разведок; специфика территориальной дислокации объектов и их удаленность от воздушных трасс,
железнодорожных линий и автодорог для затруднения ведения агентурной и технической разведки; наличие уникальных технических
сооружений, запретных зон на подступах к объекту, специальных рубежей войсковой охраны периметра предприятия, пропускного режима. Характерными нарушениями режима КЗИ является несоблюдение мер комплексной защиты объекта с использованием правовых, организационных, технических и иных средств.
Шестая группа ВКУ КЗИ обозначена условно нами как «людские
потоки», объединяющая возможности утечки КЗИ, образующей-
ся вследствие действия «человеческого фактора» (работников и командированных лиц). Эта группа ВКУ КЗИ распределилась по числу опрошенных лиц следующим образом: 32% опрошенных заявили, что ВКУ информации является прием и увольнение работников;
28% — посещение предприятия командированными лицами; 15% —
проведение совещаний по конфиденциальным вопросам; 15% — ведение конфиденциальных работ в помещениях, не обеспечивающих
их надежную охрану; 14% — допуск и доступ к КЗИ; 10% — выезд
331
Глава 4. Обеспечение деятельности по охране конфиденциальности информации
работников за границу; 8% —недостатки пропускного и внутриобъектового режима; 7% — прохождение практики студентами и стажировки аспирантами; 7% — посещение международных выставок;
5% — обучение на курсах повышения квалификации; 4% — подготовка приказов и иных внутренних документов. С учетом данных
опроса охарактеризуем отдельные, наиболее распространенные, каналы этой группы.
Прием и увольнение работников организации — наиболее харак-
терный канал утечки КЗИ. Его функционирование обусловлено частой сменой персонала в организациях (утечка кадров) и нарушениями, которые имеют место при оформлении допуска и доступа лиц
к КЗИ. Опрос руководителей ряда предприятий показывает, что в
среднем ежегодно утечка кадров составляет от 10 до 20% от общего
количества работающих. В отдельные годы, в связи с ростом инфляции и спадом производства, каждый третий работающий вынужден
был увольняться в поисках более высокого заработка. Почти половина работников, уволившихся с предприятия, по оценке администрации, были ознакомлены с КЗИ. Недостатки в допускной работе, отсутствие в Законе о коммерческой тайне нормы, регулирующей порядок оформления допуска лиц к КЗИ, приводят к тому, что к КЗИ
допускаются лица, которые по своим деловым и иным качествам не
способны надежно охранять доверенные им секреты. Существенное значение имеет инструктаж лиц, допущенных к КЗИ, обучение,
воспитание и контроль уровня знаний. Причем подход должен быть
дифференцированным, в зависимости от категории (разряда) КЗИ,
к которой лицо имеет доступ. Опрос показал, что всесторонне ознакомлены с правилами внутреннего трудового распорядка, в которых
имелись нормы об охране КЗИ, 79% работников, с инструкцией по
обеспечению режима коммерческой тайны были ознакомлены 33%, с
положением о разрешительной системе доступа к КЗИ были ознаком-
лены в части, их касающейся, 36% работников, ознакомлены в общих чертах — 35%, не ознакомлены — 17%; с памяткой об ответ-
ственности за разглашение коммерческой тайны всесторонне были
ознакомлены 58% работников, ознакомлены в общих чертах — 30%,
не ознакомлены — 12%. Эти данные свидетельствуют о неудовлетворительной работе администрации по воспитанию и обучению работников, занятых в сфере обращения КЗИ, когда большинство опрошенных лиц не знают или плохо знают требования корпоративных
норм, что создает условия для их невыполнения и образования канала утечки КЗИ.
332
§ 1. Характеристика нарушений режима конфиденциальности информации
Посещение организаций командированными лицами становит-
ся реальным каналом утечки КЗИ в случае нарушения корпоративных требований внутриобъектового и пропускного режима. Характерными нарушениями режима КЗИ при приеме командированных
лиц являются, во-первых, допуск лиц к КЗИ без оформления разрешения при отсутствии командировочного удостоверения, предписания на выполнение служебного задания и договора с организацией. Во-вторых, невыполнение принимающей стороной требований
по сопровождению прибывших в подразделения командированных
лиц. В-третьих, отсутствие в предписаниях на выполнение служебного задания отметок о решении конкретных производственных вопросов и передачи необходимого объема КЗИ. В-четвертых, отсутствие в предписании на выполнение служебного задания основания
для совместной деятельности (номер и дата договора, технического
задания и др.). В-пятых, допуск командированных лиц к новым сведениям, степень конфиденциальности которых еще не определена в
организации.
Решение производственных задач не обходится без служебных
совещаний, на которых обсуждаются вопросы, содержащие КЗИ. По-
рядок их проведения, который регламентирован внутренними документами, может быть нарушен, о чем указали 15% опрошенных лиц
ряда организаций. Распространенными являются такие нарушения,
как, в частности: проведение совещаний в не аттестованных СБ помещениях; допуск на совещание лиц, не имеющих отношения к обсуждаемым вопросам; несоблюдение очередности рассмотрения вопросов конфиденциального характера; нарушения внутриобъектового режима, создающие условия для визуального осмотра помещений,
в которых проводятся совещания; фотографирование экспонатов и
документов, представляемых на совещании; звукозапись и видеозапись выступлений участников совещания на носителях, не учтенных
в СБ.
Предоставление информации, составляющей коммерческую тай-
ну, по мотивированному требованию органа государственной власти,
органа местного самоуправления создает в отдельных случаях предпосылки для ее возможной утечки. Это возможно вследствие допускаемых служащими нарушений сохранности полученной КЗИ. Характерными нарушениями являются включение полученных от организаций конфиденциальных сведений в ведомственные открытые
документы; ознакомление с конфиденциальными работами и документами работников госучреждений, не входящими в круг их обя-
333
Глава 4. Обеспечение деятельности по охране конфиденциальности информации
занностей; направление в органы местного самоуправления конфиденциальных документов, к которым они не имеют отношения
в соответствии с их правовым статусом.
Изучение проявлений нарушений режима КЗИ на каналах ее
возможной утечки позволяет сделать вывод о том, что борьба ведется
в основном с традиционными нарушениями пропускного и внутриобъектового режима, тогда как другие нарушения, прямо ведущие к
утечке охраняемой информации, остаются вне поля зрения администрации. Внимание должно быть обращено к нетрадиционным формам ВКУ информации, в которых проявляются нарушения, которые
слабо или практически не выявляются, к принятию мер по установлению лиц, допускающих такие нарушения, что будет иметь значение для повышения эффективности предупреждения правонарушений в сфере обращения КЗИ.
§ 2. Причины и обстоятельства,
способствующие нарушениям режима
конфиденциальности информации
Понятие и классификация причин нарушений режима КЗИ. Знание
причин нарушений режима коммерчески значимой информации
имеет определяющее значение для познания такого явления, как
утечка КЗИ, и организации эффективного предупреждения правонарушений, совершаемых в этой области. Учитывая направленность
данного исследования, представляется важным сформулировать теоретические положения о понятии причин нарушений режима КЗИ,
дать классификацию общих и конкретных причин и охарактеризовать систему обстоятельств, ведущих к нарушениям режима КЗИ.
Определяя утечку охраняемой информации, следует отметить,
что это явление представляет собой последствие каких-то предшествующих ей по времени событий. Если исследовать эти события, то
можно выделить такие их совокупности, которые всегда (или почти
всегда) прямо или непосредственно приводят к утечке КЗИ. Такие
совокупности событий объективного и субъективного характера, которые всегда (или почти всегда) приводят прямо и непосредственно
к утечке коммерческих секретов, называются причинами утечки КЗИ.
Причинная связь (или причинность) определяется как объективная
связь между двумя явлениями (ситуациями, событиями), одно из
которых (причина) производит, порождает другое (следствие), т.е.
334
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]