Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Коммерческая тайна в России. Монография
.pdf
§ 2. Организация и методика аналитических исследований
сит плановый характер и включает разработку программы и отдельных планов по анализу конкретных объектов исследования.
Программа содержит мероприятия, раскрывающие цель, задачи,
объект, предмет и сроки исследования, силы, средства и используемые методики. Реализация программы предусматривает разработку
плана проведения АИ с указанием сроков исполнения мероприятий
и исполнителей. Программой определяются общие задачи АИ, содержание которых должно раскрывать масштабность и последовательность действий исследователей. К числу первоочередных задач следует отнести: изучение явлений и процессов, связанных с выявлением угроз безопасности организации, ВКУ КЗИ, и разработку мер по
их предупреждению; обобщение эмпирических данных и получение
новых фактов по предметной области исследования; рекомендации
субъектам, занимающихся использованием и охраной КЗИ.
Наряду с постановкой общих вопросов определяются конкрет-
ные способы и процедуры исследования, в частности, по сбору и обработке информации. Например, когда целью АИ является выявление
ВКУ КЗИ в связи с разработкой нового изделия и продвижением его
на рынок, то задачами соответственно могут выступать: получение
данных о состоянии режима конфиденциальности на объектах, где
сосредоточены коммерческие секреты; определение ВКУ информации на участках деятельности таких объектов; установление причин
и обстоятельств, способствующих утечке охраняемой информации;
выработка рекомендаций по воздействию на условия, способствующие проявлению ВКУ, и мер по предупреждению нарушений. В процессе проведения исследования задачи могут уточняться, что может
быть связано с изменением хозяйственной ситуации, недостаточностью финансирования исследований, возможностями использования сил и средств.
При выполнении исследований следует проводить различие
между объектом и предметом исследования. Объектом исследования
является сфера обращения КЗИ в отдельных подразделениях или в
целом организации либо ее часть при выполнении договорных работ с контрагентами. Предмет исследования составляет та сторона
объекта, которая непосредственно подлежит изучению в ходе проведения АИ, например, анализ обращения КЗИ при ведении коммерческих переговоров.
Важным является не только получение результатов исследования, но и правильное их оформление с учетом целей использования.
В большинстве случаев по результатам АИ составляется отчет, к кото-
435
Глава 5. Обеспечение деятельности по охране конфиденциальности информации
рому могут быть приложены цифровые, графические и иные данные,
характеризующие состояние режима КЗИ на конкретных объектах,
методики по выявлению ВКУ КЗИ и предложения по предупреждению нарушений в этой сфере. Материалы исследований используются для подготовки управленческих решений, поэтому должны содержать четкие, а не расплывчатые выводы и рекомендации, адресованные субъектам, о порядке внедрения результатов исследования.
Рекомендации, вытекающие из отчета, должны содержать сведения об использованных источниках информации. В зависимости
от целей АИ используются различные источники, подтверждающие
существование внешних и внутренних угроз безопасности организации, связанные с незаконным использованием КЗИ, раскрытием технологии производства и реализации товаров. Это могут быть
отчетные данные о деятельности организации по обеспечению безопасности, ежегодно представляемые руководству и акционерам
(учредителям). Изучение опыта ряда организаций показывает, что к
таким сведениям следует относиться весьма осторожно. Порой они
искажены в подразделениях и не всегда отражают реальное состояние дел по обеспечению безопасности.
В аналитической работе важно учитывать данные, характеризую-
щие хозяйственную ситуацию на различных участках деятельности организации. В частности, это могут быть данные о контроле за исполь-
зованием новейших технологий производства; о практике подбора и
расстановки кадров на участках, где обращается КЗИ, и результаты
их проверки на предмет лояльности фирме; о системе поощрения и
взыскания работников; о прогнозах деятельности по продвижению
товаров на рынок; о партнерах, контрагентах, конкурентах и их финансовом положении; о кредитной и инвестиционной стратегии организации, о результатах коммерческих переговоров по заключению
договоров; о юридическом сопровождении коммерческих сделок и
системе контроля за их исполнением, о порядке использования и передачи КЗИ; о методах защиты КЗИ от несанкционированного доступа. Такие данные можно получить на различных уровнях управления фирмой.
Данные анализа хозяйственной ситуации позволяют, во-первых,
получить характеристику эффективности системы обеспечения безопасности на отдельных направлениях возникновения угроз, а также
оценить уровень достаточности режимных мер. Во-вторых, сформулировать выводы о направлениях возникновения угроз, о причинах и
обстоятельствах, способствующих совершению правонарушений, и
436
§ 2. Организация и методика аналитических исследований
эффективности мер борьбы с ними. В-третьих, предложить прогнозы развития возможных изменений хозяйственной ситуации вследствие реализации угроз. В-четвертых, разработать предложения по
повышению эффективности принимаемых предупредительных мер.
Функциональные направления деятельности аналитических подразделений. Реализация программы АИ предполагает ее организационно-
материальное и кадровое обеспечение. В организациях для этой
цели используются различные организационные структуры. В отдельных крупных и средних организациях создаются специальные штатные подразделения, выполняющие аналитическую работу. На малых
предприятиях эта работа выполняется в основном в рамках нештатных творческих трудовых коллективов, образуемых для решения
конкретных задач. Большинство подразделений, ведущих аналитическую работу в сфере обращения КЗИ, используют опыт аналогичных структур, которые функционировали в СССР в основном на
предприятиях оборонной промышленности. Это объясняется существованием определенной преемственности в кадровом и методическом обеспечении этой деятельности, имеющей специфику в рамках
правовой работы.
Аналитической работой по выявлению и предупреждению возможной утечки охраняемой в интересах государства информации
начали заниматься в Советском Союзе в первой половине 60-х гг.
XX в. Первые штатные аналитические подразделения появились на
предприятиях министерств оборонных отраслей промышленности,
в частности, в 1968 г. на предприятиях Министерства среднего машиностроения (МСМ) СССР, а спустя 20 лет они были созданы и
в структуре Министерства радиопромышленности (МРП) СССР.
Нужно отметить, что и в других отраслях народного хозяйства имелись аналогичные структуры. Подразделения, занимавшиеся аналитической работой, имели различное наименование («специальные
научно-технические подразделения» (СНТП), аналитические отделения, сектора и т. д.). Изучение опыта их работы важно для определения направлений деятельности подразделений, действующих в настоящее время.
Аналитические подразделения, действовавшие в советский период, структурно состояли из двух групп специалистов-аналитиков.
Первая группа специалистов занималась анализом организационноправовых каналов утечки информации, вторая — технических каналов, с использованием различных технических устройств и аппаратуры. Такое разделение функций позволяло учитывать особенности
437
Глава 5. Обеспечение деятельности по охране конфиденциальности информации
процесса выявления нарушений организационно-правового и технического характера и формулировать научно обоснованные предложения по разработке мер предупреждения.
Правовой статус аналитических подразделений, действовавших в
советский период, определялся типовым положением о специальном
научно-исследовательском (научно-техническом), аналитическом подразделении предприятия, утвержденным министерством. В нем была
определена компетенция таких подразделений, права, обязанности и
ответственность руководителей, направления деятельности по предупреждению утечки секретных сведений (ПУСС), охраняемых в интересах государства, и по противодействию иностранным техническим разведкам (ПД ИТР).
Аналитические подразделения являлись самостоятельным структурным подразделением и подчинялись непосредственно руководителю предприятия. Научно-техническое руководство их работой осуществлялось одним из заместителей руководителя предприятия, ответственного за научную (производственную) деятельность.
Организационно-методическое руководство в части разработки и
осуществления организационно-правовых мер по ПУСС, координации и методического обеспечения АИ и контроля эффективности
ПД ИТР было возложено на заместителя руководителя предприятия
по режиму. Оплата труда работников была отнесена к системе оплаты труда научных и инженерно-технических работников. Штатная
численность подразделений определялась директором предприятия
по согласованию с министерством, в зависимости от объема работ
по ПУСС и ПД ИТР.
Начальник аналитического подразделения назначался на должность и освобождался от нее приказом руководителя предприятия
по согласованию с руководителями главных управлений министерства по режиму, производственной либо научно-технической деятельности. Комплектование подразделений осуществлялось из числа инженерно-технических и научных работников, имевших опыт
работы по основным направлениям деятельности предприятия. Работа подразделений определялась перспективными и текущими планами предприятий по ПУСС и ПД ИТР и велась во взаимодействии с научными и производственными подразделениями, органами
КГБ СССР, военными представительствами МО СССР и РСО министерств.
Анализ нормативных документов, определявших правовой статус аналитических подразделений в советский период, показывает,
438
§ 2. Организация и методика аналитических исследований
что основными направлениями их деятельности были выполнение ис-
следований, методическая и организационная работа. В части выполне-
ния исследований — это выполнение НИР и ОКР (составных частей)
по проблемам ПУСС и ПД ИТР; изучение технологического цикла
разработки, производства, испытания образцов вооружения (В) и
военной техники (ВТ), особенностей и условий проведения испытаний, начиная с ранних стадий; выявление возможностей утечки
сведений, разведоопасных участков работ; проведение анализа отечественных и зарубежных публикаций по международному научнотехническому сотрудничеству для определения осведомленности и
разведустремлений спецслужб иностранных государств, стремящихся получить информацию о деятельности предприятия; сбор, систематизация и анализ данных, необходимых для разработки дополнительных мероприятий по ПУСС и ПД ИТР; изучение и анализ возможностей иностранной технической разведки (ИТР) по получению
секретной информации с учетом профиля работ предприятия и особенностей его дислокации, определение видов и средств ИТР, которым необходимо осуществлять противодействие; исследование и
оценка демаскирующих признаков предприятия и разработка дополнительных мер защиты.
Методическая работа включала такие функции, как, в частности: разработка совместно с научно-техническими подразделениями
и РСО руководящих и методических документов, определявших порядок организации и проведения работ по ПУСС и ПД ИТР; подготовка предложений к проектам ведомственных перечней сведений,
подлежащих засекречиванию, перечней сведений, запрещенных к
опубликованию в открытой печати, передачах по радио и телевидению; методическое руководство аналитической работой по ПУСС и
ПД ИТР, планирование, координация и контроль этих работ.
Организационная работа состояла в рассмотрении и согласовании
проектов технических заданий (ТЗ), приказов и указаний по предприятию, хозяйственных договоров на выполнение работ, стандартов предприятия, инструкций по ПД ИТР, соответствующих разделов конструкторской, технологической и отчетной документации с
целью оценки полноты предусмотренных в них требований и мероприятий по ПУСС и ПД ИТР; осуществление контроля за выполнением норм по ПД ИТР при проведении работ и подготовка заключений о возможности эксплуатации объекта защиты; участие в работе
по проверке состояния защиты объекта по ПУСС и ПД ИТР; учет
выявленных ВКУ информации и принимаемых мер по их предупре-
439
Глава 5. Обеспечение деятельности по охране конфиденциальности информации
ждению; составление годового отчета о работе по ПУСС и ПД ИТР
для представления его в министерство и органы КГБ.
Анализ материалов ряда коммерческих организаций показывает,
что для них в современный период характерными функциональными направлениями являются организационная и методическая работа и в меньшей степени выполнение исследований. Что касается содержательной части функций в сфере защиты КЗИ, то они претерпели изменения. Это обусловлено условиями рыночной экономики и
необходимостью защиты частных интересов. Хотя по-прежнему, как
и в советский период, результаты аналитической работы используются главными конструкторами, руководителями службы безопасности (СБ) и конкурентной разведки при разработке мероприятий,
направленных на обеспечение эффективности разрабатываемых изделий и продвижения товаров на рынок. В этой связи задачами ана-
литической работы являются: изучение производственной, научноисследовательской, опытно-конструкторской, коммерческой и иной
деятельности с целью выявления и оценки противодействия угрозам,
анализ нарушений режима КЗИ, сбор и анализ данных об устремлениях и осведомленности конкурирующих фирм о проводимых в организации работах, позволяющих получить конкурентные преимущества на рынке.
Для решения этих задач в крупных организациях создаются ана-
1
литические центры
. Структурно такие центры входят в состав СБ
и с учетом деятельности организации специализируются на охране
КЗИ. Аналитическая работа рассматривается руководством фирм
как неотъемлемая часть производственной деятельности, что отражается на правовом статусе и ресурсном обеспечении аналитических
подразделений. Финансирование обеспечивается за счет выполнения договоров с контрагентами, в которых предусматриваются условия об охране КЗИ.
Основными направлениями аналитической работы являются: определение целей и задач по выявлению ВКУ КЗИ, оценка обоснованности мер по установлению режима КЗИ с учетом конкурентного
развития техники и технологий; учет и анализ правонарушений режима КЗИ; изучение осведомленности конкурентов о результатах
выполненных НИОКР и способах внедрения новаций в производ-
1
См.: Ващекин В.П., Дзлиев М.И., Урсул А.Д. Безопасность предпринимательской
деятельности. М., 2002. С. 255, и др.
440
§ 2. Организация и методика аналитических исследований
ство; подготовка рекомендаций по использованию правовых средств
в сфере обращения КЗИ; рассмотрение и согласование тактикотехнических заданий, технических заданий на проведение НИОКР в
части выделения и охраны конфиденциальной информации; системный анализ состояния обеспечения безопасности организации о выявленных угрозах и ВКУ КЗИ, о принятых мерах по локализации и
возмещению ущерба; разработка совместных заключений, положений и др. документов по обеспечению режима КЗИ с контрагентами, предложений по совершенствованию механизма корпоративного и договорного регулирования в сфере обращения КЗИ. Содержание конкретных функций аналитических подразделений зависит от
специфики работы организаций.
Полученные результаты исследования позволили сформулировать предложения по совершенствования аналитической работы в сфе-
ре обращения КЗИ. Одним из важных направлений является формиро-
вание банка данных о состоянии обеспечения безопасности организации
и научно-методическое сопровождение разработки автоматизированной системы управления режимным обеспечением (АСУРО) работ.
Создание и обеспечение функционирования АСУРО применительно к крупным коммерческим структурам либо к зонам свободного
предпринимательства и отдельным федеральным научным центрам,
требуют решения следующих задач. Во-первых, это комплексная
1
разработка и научно-техническое сопровождение средств АСУРО
.
Речь идет о разработке научных прогнозов, планов и программ решения научно-технических и производственных проблем создания
технических средств системы и системы в целом; о разработке общих технических требований на систему; обоснование технических
принципов построения системы и подсистем; разработке эскизных и
технических проектов, функциональных схем, конструировании аппаратуры и узлов для различных вариантов системы, эксплуатационной документации на систему; о размещении аппаратуры системы
на различных объектах контроля; о проведении испытаний системы
и ее опытной эксплуатации.
Во-вторых, это математическое моделирование и автоматизация
процессов обработки информации о состоянии обеспечения безопасности, о внутренних и внешних угрозах организации и вариантах
1
См.: ГОСТ 34.003 - 90 «Информационные технологии. Комплекс стандартов и
руководящих документов на автоматизированные системы». М., 1990.
441
Глава 5. Обеспечение деятельности по охране конфиденциальности информации
возможных мер по их предотвращению и нейтрализации, включая
мониторинг обеспечения безопасности коммерческой организации
1
Речь идет о построении автоматизированной системы управления
обработки информации на основе математической формализации
признаков, выбора критериев, позволяющих сгруппировать массив информации с определенными параметрами; о моделировании
процессов обработки информации с целью выявления ВКУ КЗИ; об
анализе адекватности построенной математической модели обработки информации реальному процессу преобразования информации;
об изменении параметров математической модели и выборе уточненных критериев качества обработки информации; о разработке
методики и инструкций, направленных на закрытие обнаруженных
в процессе моделирования ВКУ КЗИ, а также обеспечения безопасности самой системы обработки информации.
Вторым, не менее важным направлением совершенствования
аналитической деятельности в этой сфере является работа с кадра-
ми. Изучение требований, предъявляемых к личным и деловым качествам лиц, выполняющих аналитическую работу в сфере обращения
КЗИ, является предметом самостоятельного исследования. Вместе
с тем при подборе кадров в такие подразделения нужно учитывать
ряд особенностей. Серьезной предпосылкой развития способностей
специалистов-аналитиков являются природные задатки, хотя в целом, как признают ученые-психологи, нельзя полностью их считать
врожденными и не зависящими от воли человека. Развитие способностей зависит от общественных условий труда, воспитания, воли
человека, его отношения к труду и своей профессии
2
. Из общего
числа способностей человека следует выделить те, которые, на наш
взгляд, должны быть присущи работникам аналитических подразделений. Это внимание, наблюдательность, сообразительность, умение правильно принимать решение даже при неполноте сведений,
рассудительность, корректность, коммуникабельность и др. Лавинообразный рост информации в XXI в. связан с определенными трудностями усвоения знаний в различных областях науки и техники.
Это обстоятельство следует учитывать при подборе кадров в анали-
.
1
См.: Северин В.А. Информационная безопасность предприятия: правовые
проблемы и методология исследования // Безопасность информационных технологий. 2001. № 1. С. 38–39.
2
См.: Теоретические проблемы психологии личности. М., 1974. С. 180–218,
и др.
442
§ 2. Организация и методика аналитических исследований
тические подразделения. Как представляется, преимущество должны иметь лица с адекватной решаемым задачам организацией процесса мышления
1
.
Методика выявления возможных каналов утечки информации и
изучения системы предупреждения нарушений в сфере обращения КЗИ.
Концептуальные положения, лежащие в основе данной методики,
носят общий характер и могут быть использованы в АИ при изучении различных аспектов предметной области КЗИ, обращаемой в
сфере производства и реализации товаров (работ, услуг). При построении методики с учетом целей и задач АИ важно учитывать следующие принципиальные положения:
общую хозяйственную ситуацию в части финансовой устойчивости и конкурентоспособности технологического потенциала, безопасности персонала, имущества и капитала, правовой защищенности коммерческих интересов;
существование угроз, возникающих в связи с использованием
КЗИ на различных направлениях хозяйственной деятельности;
устремление конкурентов по выявлению отличительных признаков вновь создаваемых изделий и продвижению их на рынок с использованием методов конкурентной разведки, а при необходимости
и способов промышленного шпионажа;
состояние установленного в организации режима КЗИ и эффективность принимаемых мер по его обеспечению;
использование типичных способов выявления ВКУ КЗИ независимо от этапов обращения КЗИ при производстве и реализации товаров (работ, услуг), базирующихся на установлении нарушений требований правовых норм;
2
применение метода распознавания образов
для поиска новых,
еще не установленных ВКУ КЗИ с учетом накопленных в банке данных ЭВМ фактических сведений о причинах и обстоятельствах, способствующих совершению правонарушений при обращении КЗИ;
моделирование процессов образования новых ВКУ на основе
анализа практики соблюдения правовых норм при обращении КЗИ
на конкретных участках хозяйственной деятельности (выявленные
1
См.: Спиркин А. Г. Философия: Учебник. М., 2002. С. 439–447.
2
См.: Гаврилов О.А. Математические методы и модели в социально-правовом ис-
следовании. М., 1980. С. 152–181.
443
Глава 5. Обеспечение деятельности по охране конфиденциальности информации
несовпадения могут свидетельствовать о признаках правонарушения, связанного с появлением неконтролируемой ВКУ КЗИ);
характер установленного режима КЗИ и содержание реализованных мероприятий по обеспечению безопасности организации с целью эффективного использования правовых средств для устранения
имеющихся недостатков организационно-управленческого, воспитательного и правового характера.
Предлагаемая методика, на наш взгляд, позволяет выявить под-
разделения, насыщенные охраняемой информацией, являющейся предметом устремлений конкурентов, работников-исполнителей, облада-
ющих или могущих обладать такой информацией, причем с учетом ее
основных параметров (важности, полноты и качества); работников,
инициативно предпринимающих усилия по получению КЗИ в обход действующей разрешительной системы доступа к такой информации, а
также сформулировать предложения по рассредоточению наиболее важ-
ных сведений, составляющих коммерческую тайну в пространстве (например, при выполнении НИОКР, заключении коммерческой сделки и т.д.) и по лицам, среди работников, выполняющих конкретные
трудовые функции (с целью затруднения получения конкурентами
полного объема информации о параметрах нового изделия, способов
продвижения товара на рынок и другие).
В целях получения информации о рассредоточении обращаемой
КЗИ проводятся анализ и изучение направлений деятельности организации с использованием различных методов исследования. На
основании Перечня категорий сведений, составляющих коммерческую тайну организации, проводится отбор признаков, раскрывающих охраняемые параметры, которые, по данным службы маркетинга и конкурентной разведки, в первую очередь могут представлять
коммерческий интерес для конкурентов. Уточняются все источники (документы, базы данных ЭВМ и т.д.), в которых содержится информация, имеющая коммерческую значимость. Затем составляются
электронные таблицы исполнителей, допущенных к источникам (документы, БД ЭВМ и т.д.), содержащим признаки охраняемых параметров и таблицы исполнителей, пользовавшихся этими документами (БД ЭВМ). Полученная таким образом информация зашифровывается с применением криптографических методов и закладывается в
память ЭВМ. Использование ЭВМ позволяет периодически решать
задачу: кто из работников-исполнителей может располагать или уже
располагает полным или частичным объемом информации, раскрывающей характеристики конкретных параметров нового изделия, кото-
444
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]