Глава 11 защита конфиденциальных документов от несанкционированного доступа

 

Состав и направления защиты

Документной информации

 

В современной российской рыночной экономике обязатель­ным условием успеха предпринимателя в бизнесе, получения при­были и сохранения в целостности созданной им организационной структуры является обеспечение экономической безопасности его деятельности. Одна из главных составных частей экономической безопасности информационная безопасность, достигаемая за счет использования комплекса систем, методов и средств защиты информации предпринимателя от возможных злоумышленных дей­ствий конкурентов и с целью сохранения ее целостности и кон­фиденциальности.

Информация, используемая предпринимателем в бизнесе и уп­равлении предприятием, банком, компанией или другой структурой (далее по тексту фирмой), является его собственной или частной информацией, представляющей значительную ценность для пред­принимателя. Эта информация составляет его интеллектуальную собственность.

Обычно выделяется два вида собственной информации:

техническая, технологическая: методы изготовления продукции, программное обеспечение, основные производственные показатели, химические формулы, рецепты, результаты испытаний опытных об­разцов, данные контроля качества и т.п.;

деловая: стоимостные показатели, результаты исследования рын­ка, списки клиентов, экономические прогнозы, стратегия действий на рынке и т.п.

Собственная информация предпринимателя в целях ее защиты может быть отнесена к коммерческой тайне и является конфиденци­альной при соблюдении следующих условий:

информация не должна отражать негативные стороны деятельнос­ти фирмы, нарушения законодательства и другие подобные факты;

информация не должна быть общедоступной или общеизвест­ной;

возникновение или получение информации должно быть закон­ным и связано с расходованием материального, финансового или интеллектуального потенциала фирмы;

персонал фирмы должен знать о ценности такой информации и обучен правилам работы с ней;

предпринимателем должны быть выполнены действия по защи­те этой информации.

Для документирования информации предпринимателя, являю­щейся результатом творческого интеллектуального труда в науке и производстве, наиболее характерны не текстовые, а изобразитель­ные способы. Достаточно часто конфиденциальная информация до­кументируется фотографическими, видеографическими и иными способами.

Ценность информации может быть стоимостной категорией и от­ражать конкретный размер прибыли при ее использовании или размер убытков при ее утере. Информация становится часто ценной ввиду ее правового значения для организации или развития бизнеса, например учредительные документы, программы и планы, договоры с партнера­ми и посредниками и т.д. Ценность может отражать ее перспективное научное, техническое или технологическое значение.

Следовательно, собственная ценная информация предпринима­теля не обязательно является конфиденциальной. Часто обычный правовой документ важно сохранить в целостности и безопасности от похитителя или стихийного бедствия.

Ценную конфиденциальную деловую информацию, как прави­ло, содержат:

планы развития производства;

деловые планы;

планы маркетинга, бизнес-планы;

списки держателей акций и другие документы.

Наиболее ценны сведения о производстве и продукции, рынке, научных разработках, материально-техническом обеспечении, усло­виях контрактных переговоров, сведения о персонале, принципах уп­равления фирмой, системе безопасности фирмы и др.

Коммерческая ценность информации, как правило, недолговечна и определяется временем, необходимым конкуренту для выработки той же идеи или ее хищения и воспроизводства, опубликования и перехода в число общеизвестных. Степень ценности информации и необходи­мая надежность ее защиты находятся в прямой зависимости.

Зарубежные фирмы в целях повышения своего престижа и кон­курентоспособности товаров часто используют различные реклам­ные приемы и, 'в частности, создают несуществующие секреты. Подобный «секрет» умело разглашается с учетом общеизвестной исти­ны - подслушанному верят больше, чем услышанному.

Выявление и регламентация реального состава информации, представляющей ценность для предпринимателя и подлежащей за­щите, является основополагающей частью системы защиты. Состав ценной информации определяется ее собственником или владель­цем и фиксируется в специальном перечне.

Перечень ценных сведений, составляющих тайну фирмы, явля­ется постоянным рабочим материалом руководства фирмы, служб безопасности и конфиденциальной документации. Он регулярно обновляется, корректируется и представляет собой инвентарный список сведений о конкретных работах, конкретной продукции, кон­кретных исследованиях, конкретных контрактах и т.п. В перечень включаются действительно ценные сведения («изюминки») о каж­дой работе фирмы, хотя определенная номенклатура типовых сведе­ний в перечне может содержаться.

В каждой позиции перечня рекомендуется указывать гриф кон­фиденциальности.сведений, фамилии сотрудников, имеющих право доступа к ним и несущих ответственность за их сохранность, срок действия грифа или наименование события, снимающего это огра­ничение, виды документов и баз данных, в которых эти сведения фиксируются и хранятся.

Важной задачей перечня является дробление коммерческой тай­ны на отдельные информационные элементы, известные разным лицам. В свою очередь, закрепление конфиденциальных сведений за конкретными документами позволяет исключить возможность нео­боснованного издания документов или включения в них избыточ­ных данных.

Аналогичные перечни в качестве разделов, входящих в общий перечень сведений, составляющих тайну фирмы, могут иметь ее крупные структурные подразделения.

На основе перечня сведений составляется и ведется перечень (список) документов фирмы, подлежащих защите и имеющих соот­ветствующий гриф ограничения доступа.

Под конфиденциальным (защищаемым, закрытым) документом, т. е. документом, к которому ограничен доступ персонала, понимает­ся необходимым образом оформленный носитель ценной докумен­тированной информации, составляющей интеллектуальную собст­венность предпринимателя.

Особенность конфиденциального документа в том, что он пред­ставляет собой одновременно: массовый носитель ценной, защища­емой информации, основной источник накопления и распространения этой информации, в том числе ее разглашения (утечки), и обя­зательный объект защиты.

Конфиденциальный характер включенной в документ информа­ции обозначается грифом ограничения доступа к документу, кото­рый инициирует выделение его из общего потока и обработку в спе­циальном автономном режиме, а также распространяет на документ защитные и иные меры повышенного внимания и контроля.

Гриф ограничения доступа к документу или гриф конфиденци­альности представляет собой служебную отметку (реквизит), кото­рая проставляется на носителе информации или сопроводительном документе.

Информация и документы, отнесенные к предпринимательской тайне, имеют несколько уровней грифов ограничения доступа, соот­ветствующих различным степеням конфиденциальности информа­ции:

первый, низший и массовый уровень - грифы «Коммерческая тайна», «Конфиденциально», «Конфиденциальная информация»;

второй уровень - «Коммерческая тайна. Строго конфиденци­ально», «Строго конфиденциально», «Строго конфиденциальная информация», «Конфиденциально - Особый контроль».

В практической деятельности может использоваться также од­ноуровневая система грифования (грифов только первого уровня) или иногда - трехуровневая, при которой вводится высший по зна­чимости гриф - «Коммерческая тайна особой важности».

Под обозначением грифа всегда указывается номер экземпля­ра документа, срок действия грифа или иные условия его снятия, а также уточняющие отметки типа - «Лично», «Только адресату» и др.

Документы и информация, отнесенные к профессиональной тайне (например, врачебной тайне, тайне страхования), как прави­ло, грифа ограничения доступа не имеют, потому что в полном объ­еме являются конфиденциальными. В данном случае конфиденци­альны массивы документов в целом, например истории болезни, массивы учетных персональных данных и др.

На ценных, но не конфиденциальных документах может про­ставляться гриф (надпись, штамп), предполагающий особое внима­ние к сохранности такого документа. Например: «Собственная ин­формация фирмы», «Информация особого внимания», «Копии не снимать», «Хранить в сейфе» и т.д. Могут использоваться дополни­тельные цветовые идентификаторы ценных и конфиденциальных документов и дел для их быстрого визуального выделения и контро­ля использования в процессе работы.

Гриф конфиденциальности присваивается документу:

исполнителем на стадии подготовки проекта документа;

руководителем структурного подразделения или руководителем фирмы на стадии согласования или подписания документа;

адресатом (получателем) документа на стадии его первичной обработки в службе конфиденциальной документации.

Изменение грифа конфиденциальности документа производит­ся при изменении степени конфиденциальности содержащихся в нем сведений. Основанием для изменения или снятия грифа конфиден­циальности являются:

соответствующая корректировка перечней конфиденциальных сведений или конфиденциальных документов фирмы;

истечение установленного срока действия грифа;

наличие события, при котором гриф должен быть изменен или снят (например, окончание действия контракта, требование заказ­чика продукции, опубликование описания изделия в печати, патен­тование изобретения и т.п.).

После снятия грифа документ передается в службу открытой документации фирмы. Об изменении или снятии грифа делается отметка на самом документе, удостоверяемая росписью руководите­ля, подписавшего или утвердившего этот документ. О внесении в документ такой отметки сообщается заинтересованным лицам и предприятиям.

В целях своевременного изменения или снятия грифа конфиден­циальности с документов рекомендуется регулярно просматривать учетные (инвентарные) картотеки (журналы, списки) конфиденциаль­ных документов и выявлять те документы, которые могут быть удалены из банка контролируемых и защищаемых документов.

Следовательно, любая предпринимательская деятельность все­гда связана с созданием, использованием и хранением значительных объемов информации и документов, представляющих определенную ценность для фирмы и подлежащих обязательной защите от различ­ных видов угроз. С этой целью на носителе информации обознача­ется гриф ограничения доступа, который относит этот носитель к категории защищаемых конфиденциальных документов и иниции­рует включение по отношению к нему системы защитных мер.