3_2011_ua

Поняття «інформація» сьогодні вживається досить широко і різносторонньо. Важко знайти таку галузь знань, де б воно не викори

стовувалося. Обсяг наукових знань, за оцінкою фахівців, подвоюється кожні п’ять років. Тож, можна сказати, що ХХI століття буде інформаційним століттям.

Стабільне функціонування, зрос тання економічного потенціалу будь якого підприємства в умовах шалено го розвитку інформаційних відносин багато в чому залежить від наявності надійної системи інформаційної без пеки. Це і зумовлює актуальність на укових пошуків цього напряму.

Останнім часом наукові доробки з вирішення різних проблем інформа ційної безпеки бізнесу значно активізу вались. Це зумовлено як потребами ча су, адже ми є активними учасниками розвитку інформаційного суспільства, так і пріоритетними вимогами бізнесу. Адже не володіючи достовірною, своєчасною, цінною тощо інформацією щодо різних аспектів функціонування

© Т. Ткачук, 2011

підприємства, керівник, та й весь бізнес, вразливий до впливу як внутрішніх, так і зовнішніх інфор маційних загроз. Дослідженню окре мих напрямів цієї проблеми присвя тили свої праці Ю. Бабенко, О. Бєліков, К. Бєляков, Ю. Мірошник, А. Марущак, О. Івченко, П. Пригунов, Д. Прокоф’єва та ін. Проте такі питан ня, як внутрішні загрози інформа ційній безпеці підприємства та шляхи їх попередження, залишаються мало дослідженими, потребують подальшо го наукового осмислення питання конфіденційного та секретного діло водства на підприємстві як важливої складової системи інформаційної без пеки підприємства.

Зогляду на зазначене, метою статті

євизначення найбільш актуальних проблем формування системи інфор маційної безпеки бізнесу в сучасних умовах.

Досягнення поставленої мети реа лізовувалось через постановку та послідовне вирішення таких основних завдань:

• обґрунтувати правові напрями визначення комерційної таємниці на підприємстві;

том. Це безперервний процес, що по лягає в обґрунтуванні та реалізації найбільш раціональних методів, спо

фіденційної інформації та можливі шляхи локалізації таких загроз.

Пріоритетним напрямом у процесі формування та забезпечення інфор маційної безпеки будь якої компанії є збереження в таємниці комерційно важливої інформації, що дозволяє успішно конкурувати на ринку вироб ництва та збуту товарів і послуг. Це вимагає конкретних дій, спрямованих на захист інформації з обмеженим до ступом. Як свідчить вітчизняна і за кордонна преса, кількість злочинів в інформаційній сфері не тільки не зменшується, а й має досить стійку тенденцію до зростання.

Досвід свідчить, що для боротьби з цією тенденцією необхідна цілеспря мована організація процесу захисту інформаційних ресурсів. Причому в цьому повинні брати активну участь професіонали, адміністрація та спів робітники, що і визначає значущість організаційної сторони питання.

Аналіз стану справ у сфері інфор маційної безпеки свідчить, що на сьо годні концепція і структура захисту інформації вже склалася, і її основу становлять:

місць та протиправних дій;

•безпека інформації може бути забезпечена лише за умови комплекс ного використання всього арсеналу на явних засобів захисту у всіх структур них елементах виробничої системи і на всіх етапах технологічного циклу об робки інформації. Найбільший ефект досягається тоді, коли всі засоби, ме тоди і заходи поєднуються в єдиний цілісний механізм – систему захисту інформації (СЗІ). При цьому функ ціонування системи повинно контро люватися, оновлюватися і доповнюва тися залежно від зміни зовнішніх і внутрішніх умов;

•жодна СЗІ не може забезпечи ти необхідного рівня безпеки інфор мації без належної підготовки корис тувачів і дотримання ними усіх уста новлених правил, спрямованих на її захист [1].

Систему захисту інформації можна визначити як сукупність спеціальних органів, засобів, методів і заходів, що забезпечують захист інформації від внутрішніх та зовнішніх загроз.

Перш ніж починати роботу над СЗІ, необхідно насамперед визначити

відповідно до згаданого Закону (ст. 29), здатна переходити до категорії кон фіденційної за рішенням її власника або уповноваженої ним особи; відо мості, які становлять конфіденційну або таємну інформацію, можуть нале жати до об’єктів права інтелектуальної власності; інформація, що визнана конфіденційною за рішенням її власни ка або уповноваженої ним особи, може також бути віднесена до категорії таємної у випадках, передбачених зако нодавством.

Закон України «Про інформацію» не містить чіткого розмежування по нять конфіденційної інформації та ко мерційної таємниці. У цьому Законі не встановлено, в чому саме полягає особливість правового режиму інфор мації комерційного та банківського ха рактеру, але однозначно встанов люється, що такі відомості не можуть бути конфіденційною інформацією.

Згідно зі ст. 505 ЦК України [7] ко мерційною таємницею є інформація, яка є секретною в тому розумінні, що вона в цілому чи в певній формі та су купності її складових є невідомою і не є легкодоступною для осіб, які звичай но мають справу з видом інформації, до якого вона належить. У зв’язку з цим, як зазначає вітчизняний дослід ник О. Бєліков, такий вид інформації має комерційну цінність; вона є пред метом адекватних існуючим обстави нам заходів щодо збереження її сек ретності, вжитих особою, яка законно контролює цю інформацію. Комер ційною таємницею можуть бути відо мості технічного, організаційного, комерційного, виробничого та іншого характеру, за винятком тих, які відпо відно до закону не можуть належати до комерційної таємниці [4].

Для визначення комерційної таєм ниці на підприємстві можна запропо нувати чотири способи:

1. Тотальний. Сутність цього мето ду дуже проста. Виключити з переліку відомостей все, що не може бути ко мерційною таємницею. По перше, ві домостями, які становлять комер ційну таємницю, не можуть бути відо мості, що становлять державну таєм ницю, тобто такого виду секретної інформації, котрий містить відомості у сфері оборони, економіки зовнішніх відносин, державної безпеки і охорони правопорядку, розголошення яких мо же заподіяти шкоду життєво важли вим інтересам України і які визнані за коном державною таємницею і підля гають охороні з боку держави.

По друге, Кабінет Міністрів Украї ни затвердив перелік відомостей, що не становлять комерційну таємницю. Ці відомості використовуються при здійсненні перевірок контролюючими органами, аудиторами для проведення аудита, при здачі звітності в різні фон ди. До них належать: статутні доку менти, документи, що дозволяють зай матися підприємницькою або госпо дарською діяльністю та її окремими видами; інформація з усіх установле них форм державної звітності; дані, необхідні для перевірки вирахування і сплати податків та інших обов’язко вих платежів; відомості про чисель ність і склад працівників, їхню за робітну плату за професіями і посада ми, а також наявність вільних місць; документи про сплату податків і обов’язкових платежів; інформація про забруднення навколишнього при родного середовища, недотримання безпечних умов праці, реалізацію про дукції, що заподіює шкоду здоров’ю, а також інших порушень законодавства України і розміри заподіяних при цьому збитків; документи про плато спроможність; відомості про участь посадових осіб підприємства в коопе ративах, малих підприємствах, союзах,

підготовку, підкріплену практичним досвідом. І їм не складе особливих труднощів виконати свою роботу.

Створення ефективної системи ін формаційної безпеки є неможливим без чіткого визначення загроз інфор мації, що охороняється. Під загрозами інформації з обмеженим доступом прийнято розуміти потенційні або реально можливі дії стосовно інфор маційних ресурсів, що призводять до неправомірного оволодіння інфор мацією.

Джерелами зовнішніх загроз є: не сумлінні конкуренти; злочинні угру повання і формування; окремі особи та організації адміністративно уп равлінського апарату.

Джерелами внутрішніх загроз можуть бути: адміністрація підприєм ства; персонал; технічні засоби забез печення виробничої та трудової діяль ності.

Фахівці встановлюють, у середньо му, таке співвідношення зовнішніх і внутрішніх загроз: 82 % загроз створю ються співробітниками фірми або за їх прямої чи опосередкованої участі; 17 % загроз виникає ззовні – зовнішні загрози; 1 % загроз створюється ви падковими особами [9].

Основними загрозами інформації є її розголошення, витік і несанкціоно ваний доступ до її джерел.

Розголошення інформації. Розголо шення комерційних секретів, мабуть, найбільш розповсюджена дія власни ка (джерела), що призводить до непра вомірного оволодіння конфіденцій ною інформацією за мінімальних ви трат зусиль з боку зловмисника. Для цього він користується в основному легальними шляхами і мінімальним набором технічних засобів.

Реалізується розголошення фор мальними і неформальними каналами поширення інформації.

До формальних каналів поширення інформації належать:

•ділові зустрічі, наради, перего вори та інші форми спілкування;

•обмін офіційними діловими, науковими і технічними документами, засобами передачі офіційної інфор мації (пошта, телефон, телеграф, факс тощо).

Неформальними каналами поши рення інформації є:

•особисте спілкування (зустрі чі, переписка, телефонні переговори тощо);

•виставки, семінари, конферен ції, з’їзди, колоквіуми та інші масові заходи;

•засоби масової інформації (пре са, інтерв’ю, радіо, телебачення тощо).

Як правило, причиною розголо шення конфіденційної інформації є:

•слабке знання (або незнання) вимог захисту конфіденційної інфор мації;

•помилковість дій персоналу через низьку виробничу кваліфікацію;

•відсутність системи контролю за оформленням документів, підготов кою виступів, реклами і публікацій;

•злісне, навмисне невиконання вимог захисту комерційної таємниці.

Витік інформації загалом можна розглядати як неправомірний вихід конфіденційної інформації за межі організації або кола осіб, яким ця інформація була довірена.

Витік інформації за своєю суттю завжди припускає протиправне (таєм не або явне, усвідомлене або випадко ве) оволодіння конфіденційною ін формацією, незалежно від того, яким шляхом це досягається.

Причини витоку полягають, як правило, у недосконалості норм щодо збереження комерційних секретів, по рушенні цих норм, а також відступі від правил поводження з відповідними

документами, технічними засобами, зразками продукції та іншими ма теріалами, що містять конфіденційну інформацію.

Умови передбачають різні фактори й обставини, що складаються у процесі наукової, виробничої, рекламної, ви давничої, звітної, інформаційної та іншої діяльності підприємства (орга нізації) і створюють передумови для витоку комерційних секретів. До таких факторів і обставин можуть, напри клад, належати:

• недостатнє знання працівника ми підприємства правил захисту ко мерційної таємниці та нерозуміння (або непорозуміння) необхідності їх ретельного дотримання;

рушують норм закону, але знаходяться на межі такої ситуації, можна віднести:

•співбесіди про наймання на ро боту зі службовцями конкуруючих фірм (хоча опитувач зовсім не має на міру приймати цю людини на роботу);

•так звані «помилкові» перего вори з фірмою конкурентом щодо придбання ліцензії, створення спіль ного підприємства, підписання парт нерської угоди;

•наймання на роботу службовця конкуруючої фірми для одержання не обхідної інформації;

•працевлаштування «свого» пра цівника на підприємство конкурента.

Перехід від абстрактного до кон кретного захисту зазвичай розпочи

ням правил захисту інформації право вими, організаційними та інженерно технічними засобами;

• плинність кадрів, у тому числі які володіють інформацією, що стано вить комерційну таємницю.

Таким чином, значна частина при чин і умов, що створюють передумови і можливість неправомірного оволо діння конфіденційною інформацією, виникають через недбалість керів ників підприємств та їхніх співробіт ників.

Несанкціонований доступ. Несанк ціонований доступ можна визначити як сукупність прийомів і порядок дій з метою одержання (добування) охоро нюваних даних протиправним шля хом (таємне спостереження, перехоп лення телеграфних повідомлень, під слуховування телефонних перегово рів, крадіжки креслень, зразків, доку ментів тощо).

До інших способів несанкціонова ного доступу до інформації, які не по

теру.

Джерелами інформації, що є комер ційною таємницею, а отже, потенцій ними джерелами витоку, можуть бути:

1. Документація підприємства або просто документи (вхідні вихідні, на кази, бізнес плани, ділова переписка тощо).

Важливою особливістю документів є те, що вони іноді є єдиним джерелом найважливішої інформації (напри клад контракт, боргова розписка), а отже, їхня втрата, викрадення чи зни щення може завдати непоправної шкоди. Розмаїття форм і змісту доку ментів за призначенням, спрямова ністю, характером руху і використан ням є досить привабливим джерелом для зловмисників, що, природно, при вертає їхню увагу до можливості одер жання цінної інформації. Важливим напрямом інформаційної безпеки у цьому напрямі буде створення систе ми секретного та конфіденційного діловодства на підприємстві.

вуються, їхній склад, особливості ви робництва, технології. Тим більше їх одержують майже безпечним шляхом на смітниках, місцях збору металоб рухту, у кошиках кабінетів. Вмілий аналіз цих «відходів» може багато чо го розповісти про секрети вироб ництва. Публікації — це інформаційні носії у вигляді найрізноманітніших видань: книги, статті, монографії, огляди, повідомлення, рекламні про спекти, доповіді, тези тощо, в яких ви можете, самі того не бажаючи, розкри ти всі секрети.

Джерела конфіденційної інфор мації дають повні зведення про склад, зміст і напрям діяльності підприєм ства (організації), що досить цікаво для конкурентів. Природно, що така інформація їм вкрай необхідна, і вони докладуть усіх зусиль, знайдуть необ хідні способи, щоб одержати необ хідну їм інформацію. Тому грамотна система захисту, розроблена з ураху ванням усіх особливостей, дозволить запобігти багатьом проблемам.

Беручи до уваги все викладене ви ще, забезпечення інформаційної без пеки можна поділити на такі основні напрями:

штампів, спеціальних оцінок, а можна і за допомогою кольору (наприклад документи загального користуван ня — білого кольору, документи служ бового — жовті, а таємні — червоного);

•обов’язково встановити про цедуру передання конфіденційної ін формації від одного співробітника іншому, порядок її обробки і збере ження залежно від ступеня таємності. (Це неминуче призведе до включення до цієї процедури аспектів забезпечен ня комп’ютерної безпеки, а також по рядку ведення діловодства загалом і встановлення правил роботи з конфі денційними документами.) Краще, як що робота з контролю за документами буде доручена окремому співробітни ку (наприклад інспектору по режиму роботи з документами), в ідеалі цим повинна займатися група режиму служби безпеки підприємства;

•необхідно постійно проводити

зперсоналом компанії розмова про правила поводження з конфіденцій ною інформацією [5, 6].

Таким чином, створення системи інформаційної безпеки є масштабною роботою, яка вимагає серйозних зу силь. Тому фахівці радять, насампе

обхідно розробляти і вводити просту систему класифікації ступеня конфі денційності інформації, що оброб ляється (гриф обмеження доступу). Гриф можна присвоїти за допомогою

ки, які існують для інформаційної без пеки підприємства, і не вживати додаткових заходів забезпечення без пеки, якщо це реально не відобразить ся на зростанні самого бізнесу.