Кадровое Обеспечение Функционирования КСЗИ

     Задачи  подразделения:

         • Предотвращение несанкционированного  доступа (НСД) к информации.

         • Предотвращение утечки информации  за счет ПЭМИН.

         • Защита информации от компьютерных  вирусов.

         • Защита информации от сбоев  в системе питания.

         • Защита от копирования.

         • Программная защита каналов  передачи данных.

         • 

     Подразделение инженерно-технической защиты информации.

     Инженерно-техническая  защита информации предназначена для  активно-пассивных противодействий средствам технической разведки и формирования рубежей охраны территории, зданий, помещений, оборудования с помощью комплексов технических средств и включает себя:

         • Сооружения физической (инженерной) защиты от проникновения посторонних лиц на территорию, в здания и помещения.

         • Средства защиты технических  каналов утечки информации при  работе ЭВМ, средств связи, других приборов и офисного оборудования, при проведении совещаний, беседах с посетителями и сотрудниками.

         • Средства защиты помещений  от визуальных способов технической  разведки.

         • Средства обеспечения охраны  территорий, зданий, помещений.

         • Средства противопожарной охраны.

         • Технические средства и мероприятия,  предотвращающие вынос персоналом  из помещений документов, дискет, дисков и других носителей информации.

     Подразделение конфиденциального делопроизводства.

     Задачи:

         • обработка и хранение конфиденциальных  документов.

         • контроль системы конфиденциального  документооборота.

     В не очень больших организациях целесообразно организовать Службу защиты информации в следующем составе:

         • Руководитель СЗИ,

         • сотрудник, занимающийся программно-аппаратной  защитой,

         • сотрудник, занимающийся инженерно-технической  защитой.

     Функции конфиденциального делопроизводства возложить на уже имеющихся сотрудников, занимающихся в данное время созданием и обработкой документов, содержащих конфиденциальную информацию.

     Для работы СЗИ необходимо подготовить  ряд нормативных документов:

         • Положение о СЗИ;

         • Инструкцию по безопасности  конфиденциальной информации.

         • Перечень сведений составляющих  конфиденциальную информацию.

         • Инструкцию по работе с  конфиденциальной информацией.

         • Должностные инструкции сотрудников  СЗИ.

         • Инструкцию по обеспечению пропускного режима в компании.

         • Памятку работнику (служащему)  о сохранении конфиденциальной  информации.

     Для обеспечения полноценной организационной  и правовой защиты информации необходимо разработать пакет документов, включающий в себя :

         • Положение о конфиденциальной информации предприятия;

         • Перечень документов предприятия,  содержащих конфиденциальную информацию;

         • Инструкция по защите конфиденциальной  информации в информационной системе предприятия;

         • Предложения по внесению изменений в Устав предприятия;

         • Предложения по внесению  изменений в трудовой договор,  контракт с руководителем и  коллективный договор;

         • Соглашение о неразглашении  конфиденциальной информации предприятия  с сотрудником;

         • Обязательство сотрудника о неразглашении конфиденциальной информации предприятия при увольнении;

         • Предложения о внесении изменений  в Правила внутреннего распорядка предприятия (в части регламентации мер физическо защиты информации и вопросов режима);

         • Предложения о внесении изменений в должностное (штатно) расписание предприятия (штат Службы защиты информации);

         • Предложения о внесении дополнений  в должностные инструкции всему  персоналу;

         • Ведомость ознакомления сотрудников  предприятия с Положением о  конфиденциальной информации и Инструкцией по защите конфиденциальной информации в ИС предприятия;

         • План проведения занятий  с персоналом по сохранению  и неразглашению конфиденциальной информации;

         • Предложения о внесении изменений  в структуру интервью при приеме на работу (уточнение обязательств информационного характера с последних мест работы);

         • Предложения о внесении дополнений  в стандартные договоры с контрагентами.

     Эти документы играют важную роль в обеспечении  безопасности предприятия.

     Документационное обеспечение защиты должно начинаться с внесения дополнений в Устав предприятия: «Предприятие имеет право самостоятельно устанавливать объем сведений, составляющих коммерческую и иную охраняемую законом тайну и порядок ее защиты. Общество имеет право в целях защиты экономического суверенитета требовать от персонала, партнеров, контрагентов и иных физических и юридических лиц, учреждений и организаций обеспечения сохранности конфиденциальных сведений предприятия на основании договоров, контрактов и других документов».

     Для разработки всех документов, затрагивающих  вопросы работы с конфиденциальной информацией необходимо в первую очередь разработать «Положение о конфиденциальной информации». Формат всех документов, регулирующих защиту конфиденциально информации, утверждается приказом руководителя. Положение же является основным документом предприятия, регламентирующим вопросы оборота конфиденциальной информации. Все базовые моменты, связанные с этим процессом, закладываются именно здесь.

     Положение содержит основные обязанности сотрудников по обеспечению сохранности конфиденциальной информации. Для усиления этой составляющей системы защиты необходимо обязанности персонала доводить также в форме включения в должностные инструкции и дополнительно выдавать специальные памятках. Все это должно происходить строго под роспись.

     Неотъемлемым  приложением к Положению является Перечень документов, содержащих конфиденциальную информацию. Его наличие на предприятии носит принципиальный характер, так как невозможно требовать от работников неразглашения абстрактной конфиденциальной информации, как иногда указывают в обязательственных документах: «сохранять ноу-хау, деловые секреты, служебные сведения». Защищается только документированная информация, следовательно, необходим как можно конкретнее описать все группы и виды конфиденциально документации.

     В качестве основы для установления контроля над доступом к информации компании берется классификация информации по уровню конфиденциальности, в зависимости от содержания и возможных последствий в случае утраты информации или злоупотреблений.

     По  категориям конфиденциальности основные виды информации распределяются примерно следующим образом.

     Самый низкий гриф конфиденциальности «ДСП» (для служебного пользования) ставится на телефонные справочники, в которых указываются отдельные данные о кадровом составе или партнерах. Также этот гриф ставится на журналы регистрации, документы, регламентирующие деятельность, служебную переписку (заявления, распоряжения, приказы, докладные и т.д.).

     К категории документов с грифом “КОНФИДЕНЦИАЛЬНО” относится информация об отдельных аспектах деловых сделок за короткий промежуток времени; развернутые сведения о персонале компании; текущие документы, отражающие финансовую деятельность; документы, содержащие данные о клиентах, не предоставляемые третьим лицам.

     Гриф  “СТРОГО КОНФИДЕНЦИАЛЬНО” присваивается  документам, содержащим данные о деловых  сделках с партнерами или клиентами  фирмы, об итогах деятельности за продолжительный  период времени. Кроме этого, подобный гриф присваивается документам, содержащим важнейшие аспекты коммерческой деятельности компании, стратегии деятельности, документам, содержащим детальную информацию о финансовом положении.

     Классификации по уровню конфиденциальности подлежат все документы в соответствии с планом мероприятий по обеспечению безопасности компании. Вопрос о присвоении грифа решается разработчиком документа при участии руководителя СЗИ. В случае, когда ценность информации по каким-либо причинам снижается, снижается и гриф документа.

     Отдельного  упоминания заслуживает вопрос о  сроках действия грифов конфиденциальности. Срок секретности определяется создателем документа, исполнителем, лицом, подписывающим  или утверждающим документ по согласованию руководителем СЗИ. Срок может указываться в виде периода грифа, в виде даты окончания грифа, наступления определенного события, на которое сориентирован документ, или надписи «бессрочно». В иных случаях решение вопроса о снятии грифа остается за руководителем СЗИ.

     Следующий документ, входящий в состав документации внедрения — Соглашение с сотрудником (обязательство сотрудника) о неразглашении конфиденциальной информации предприятия, подписываемое сотрудником при приеме на работу. В нем должно содержаться следующее: 

         • Обязательство о сохранении конфиденциальной информации;

         • Право сотрудника на служебное  произведение;

         • Ответственность сотрудника  за нарушение данного обязательства.

     Перед подписанием обязательства целесообразно  также предъявлять для ознакомления кандидатам на работу выдержки из законодательства, кратко обосновывающие правовую защиту и описывающие санкции за неправомерное обращение с информацией, в том числе уголовно-правовые.

     Продолжением  обязанностей сотрудника по неразглашению  информации является документ, декларирующий подтверждение сотрудником данных обязательств при увольнении, а именно «Заявление о подтверждении обязательств неразглашения конфиденциальной информации предприятия при увольнении».

     Документ  не является бесспорным с юридической  точки зрения, так как после увольнения трудовые отношения, в рамках которых действуют обязательства сотрудника, прекращаются. Однако целесообразно предлагать увольняющимся такое заявление к подписанию, и по реакции бывшего сотрудника можно будет оценить реальную значимость для конкретного человека данных им обещаний. В то же время, в случае нанесения ущерба предприятию разглашением конфиденциальных сведений уволенным, такое обязательство, скорее всего, будет принято судом как дополнительно доказательство его вины. Кроме того, об этом можно будет без зазрения совести сообщить его новому работодателю.

     Отношение контрагентов и партнеров к тайне  организации необходимо устанавливать  самой организации. Для этого  необходимо внести во все стандартные формы договорной документации разделов конфиденциальности:

     1. Каждая из сторон согласилась  считать текст настоящего договора, а также весь объем информации, переданной и передаваемой сторонами  друг другу в ходе исполнения  обязательств, возникающих из настоящего  договора, конфиденциальной информацией другой стороны.

     2. Стороны принимают на себя  обязательство никаким образом  не разглашать (делать доступной любым третьим лицам, кроме случаев наличия у третьих лиц соответствующих полномочий в силу прямого указания федерального закона, либо случаев, когда другая сторона в письменной форме даст согласие на предоставление конфиденциальной информации, определяемой в соответствии с п. 1 настоящего договора, третьим лицам) конфиденциальную информацию другой стороны, к которой она получила доступ при заключении настоящего договора и в ходе исполнения обязательств, возникающих из него.