Защиты документированной информации

 

Нормативно-методическое обеспечение защиты конфиденциаль­ной информации предназначено для регламентации процессов обес­печения информационной безопасности фирмы, в том числе при работе персонала с конфиденциальной информацией, документами, делами и базами данных. Оно включает в себя ряд обязательных организационных, инструктивных и информационных документов, устанавливающих принципы, требования и способы предотвраще­ния пассивных и активных угроз ценной информации, которые мо­гут возникнуть по вине персонала, конкурентов, злоумышленников и других лиц.

Нормативно-методическое обеспечение базируется на тех обяза­тельных положениях, которые должны содержаться в учредительных и иных основополагающих документах фирмы и определять правовой статус информационной безопасности фирмы. Указанные положения позволяют на законных основаниях вести речь о сохранении предпри­нимательской тайны, выделять ценную информацию, составляющую собственность и тайну фирмы, и выполнять действия по ее защите. Предмет и направления защиты должны найти отражение, например, в уставе фирмы, типовых формах контрактов различного рода и назначе­ниях, положениях о структурных подразделениях фирмы, должностных инструкциях сотрудников и других документах.

Важнейшими организационными документами, фиксирующими задачи, функции и ответственность служб, осуществляющих защиту ценной документированной информации фирмы, являются: поло­жение о службе безопасности, положение о службе конфиденциаль­ной документации, должностные инструкции сотрудников этих служб, должностная инструкция менеджера (референта) по безопас­ности небольшой предпринимательской фирмы и другие документы.

Технологические инструктивные документы отличаются боль­шим разнообразием и по своему назначению, составу и содержанию отражают избранную фирмой систему защиты документированной информации. Можно выделить основные, на наш взгляд, регламен­тирующие документы, имеющие значение для любой фирмы и необ­ходимые при использовании любой системы защиты информации или отдельных элементов такой системы.

Прежде всего, следует назвать Перечень сведений предпринима­тельской фирмы, составляющих ее тайну или являющихся особо ценными. Перечень предназначен для определения состава конфи­денциальных документов и баз данных, установления грифов огра­ничения доступа к бумажным и электронным документам, определе­ния необходимой структуры системы защиты информации. Содер­жание перечня обычно делится на несколько частей: общую методи­ческую часть по способам составления перечня и правилам работы с ним, списки конфиденциальных сведений по структурным подраз­делениям или управленческим функциям фирмы, список видов кон­фиденциальных документов и баз данных с указанием места их хра­нения, срока конфиденциальности и т.п.

Другим важным регламентирующим документом является Ин­струкция по обеспечению безопасности собственной информации предпринимательской фирмы. Она необходима для организации ра­боты по защите конфиденциальной и ценной документированной информации и включает в себя:

«Обязанности сотрудников фирмы при работе с конфиденци­альной информацией»;

«Порядок доступа сотрудников к конфиденциальным докумен­там и базам данных, оформление доступа»;

«Обеспечение сохранности документов на бумажных и магнит­ных носителях при работе с ними руководителей, исполнителей (спе­циалистов) и технического персонала»;

«Порядок сохранения тайны фирмы при проведении совещаний, заседаний и переговоров»;

«Требования к помещениям для работы с конфиденциальной информацией»;

«Порядок охраны территории, здания, помещений, транспорт­ных средств и персонала фирмы»;

«Пропускной режим помещений фирмы, учет и порядок выдачи удостоверений, пропусков и визуальных идентификаторов»;

«Порядок приема, учета и контроля деятельности посетителей»;

«Требования к защите информации в рекламной и выставочной работе, публикациях, при интервьюировании и собеседованиях»;

«Организационное обеспечение защиты информации в ПЭВМ и линиях связи, при использовании в обработке документов средств организационной техники»;

«Ответственность сотрудников фирмы за разглашение конфи­денциальной информации и утрату ценных документов».

Инструкция по обработке, хранению и движению конфиденци­альных документов предпринимательской фирмы предназначена для организации работы сотрудников службы конфиденциальной доку­ментации, менеджера (референта) по безопасности, управляющего делами фирмы. Основные разделы этой инструкции:

«Структура защищенного документооборота фирмы»;

«Установление, изменение и снятие грифа конфиденциальности документов»;

«Порядок составления, изготовления и издания конфиденциаль­ных документов»;

«Копирование и размножение документов»;

«Прием и распределение поступивших документов»;

«Учет (регистрация) документов»;

«Отправка и рассылка документов»;

«Порядок передачи документов в процессе их рассмотрения и исполнения»;

«Контроль исполнения документов»;

«Порядок систематизации документов и формирования дел»;

«Порядок передачи документов и дел в архив фирмы, уничтоже­ния документов и дел с истекшим сроком хранения»;

«Оперативное (текущее) и архивное хранение дел»;

«Проверка наличия документов, дел, баз данных и носителей конфиденциальной информации»;

«Правила хранения и использования бланков документов, печа­тей и штампов».

В приложении к инструкции даются учетные и иные технологи­ческие формы, необходимые для организации обработки, хранения и движения документов.

Информационные (методические, советующие, обучающие) до­кументы (правила, требования, указания, методики, памятки и т. п.), детализирующие процессы защиты информации, носят вместе с тем обязательный характер и устанавливают порядок работы с конфи­денциальной информацией и документами различных категорий сотрудников фирмы или всех сотрудников в конкретных типовых ситуациях. При необходимости они могут составляться по каждому отдельному сотруднику. Целесообразно выделить следующие инфор­мационные документы.

Правила работы руководителей и исполнителей (специалистов) предпринимательской фирмы с конфиденциальными документами и базами данных включают в себя:

«Порядок распределения документов между руководителями и исполнителями в соответствии с действующей системой доступа персонала к конфиденциальной информации»;

«Рассмотрение документов руководителем и адресование их ис­полнителям»;

«Порядок передачи и получения документов исполнителями»;

«Ознакомление исполнителей с содержанием документов и ре­шением по ним руководителя»;

«Составление и изготовление документов исполнителями»;

«Работа руководителя с подготовленными документами»; •

«Порядок хранения документов, дел, носителей информации, чистых бланков документов и штампов на рабочем месте руководи­теля и исполнителя»;

«Проверка наличия конфиденциальных документов и баз дан­ных на рабочем месте руководителя и исполнителя»;

«Порядок ведения телефонных переговоров, факсимильной пе­реписки»;

«Особенности работы с ПЭВМ при обработке конфиденциаль­ной информации, правила работы с копировальной техникой»;

«Правила работы с конфиденциальными документами за преде­лами фирмы, в командировках, транспорте, порядок хранения доку­ментов»;

«Обеспечение сохранности документов и баз данных во внера­бочее время».

Правила работы менеджера по безопасности (управляющего делами, референта) предпринимательской фирмы с конфиденциаль­ными документами и базами данных включают в себя:

«Порядок приема и отправки конфиденциальных документов»;

«Порядок учета (регистрации) документов»;

«Организация доступа исполнителей к конфиденциальным до­кументам»;

«Распределение документов по руководителям и исполнителям, ознакомление с документами исполнителей и передача документов на исполнение»;

«Формирование и ведение справочно-информационного банка данных по конфиденциальным документам»;

«Контроль исполнения документов»;

«Оформление и изготовление документов на пишущих устрой­ствах»;

«Оформление и ведение номенклатуры дел фирмы»;

«Формирование и хранение (текущее и архивное) дел фирмы»;

«Порядок организации приема руководителем посетителей, ме­тоды обеспечения безопасности руководителя»;

«Защита информации при ведении телефонных переговоров и передаче информации по факсимильной связи»;

«Защита информации при работе с ПЭВМ»;

«Построение систем охраны кабинета руководителя, приемной, сейфов, шкафов с документацией, вычислительной и организацион­ной техники в рабочее и нерабочее время»;

«Ответственность за нарушение правил работы с конфиденци­альной документацией и базами данных».

Правила работы менеджера по персоналу предпринимательской фирмы включают в себя:

«Обязанности менеджера в области защиты информации и рабо­ты с сотрудниками, обладающими секретами фирмы»;

«Организация и документирование приема сотрудников на ра­боту»;

«Обязательства сотрудников по сохранению тайны фирмы»;

«Контроль соблюдения персоналом правил работы с конфиден­циальными документами и информацией»;

«Организация и документирование переводов сотрудников на другие должности и изменения условий контрактов»;

«Порядок формирования и ведения личных дел сотрудников»;

«Порядок оформления и ведения трудовых книжек сотрудников»;

«Порядок ведения справочно-информационного банка данных по персоналу фирмы»;

«Правила и методы защиты персональных данных»; «Организация и документирование увольнений сотрудников, обязательства по сохранению секретов фирмы»;

«Порядок оформления доступа сотрудников к конфиденциаль­ным сведениям, документам и базам данных»;

«Принципы и направления формирования нормального психо­логического климата в коллективе, воспитания гордости персонала за свою фирму»;

«Психологический анализ сотрудников, тестирование, анкети­рование, инструктирование и обучение персонала»; «Правила хранения документов и работы с ними»; «Организация охраны помещения службы персонала в рабочее и •нерабочее время»;

«Ответственность менеджера по персоналу за разглашение пер­сональных данных о сотрудниках фирмы и другой конфиденциаль­ной информации».

Информационные документы могут также регламентировать требования по единообразному выполнению персоналом определен­ных видов типовых действий. К таким документам можно отнести, например, Правила обеспечения безопасности секретов фирмы и конфиденциальной, ценной информации в экстремальных ситуаци­ях. Правила включают в себя:

«Классифицированный перечень экстремальных ситуаций и со­ответствующих мероприятий по защите секретов фирмы, информа­ции и документов»;

«Порядок (при необходимости - план) эвакуации и охраны до­кументов, дел и баз данных»;

«Порядок (при необходимости - план) эвакуации и оказания

помощи персоналу»;

«Порядок охраны имущества фирмы, оборудования и техничес­ких средств защиты информации»;

«Порядок охраны персонала при индивидуальных экстремаль­ных ситуациях (угрозах, шантаже, нападении и т. п.)»;

«Порядок взаимодействия с правоохранительными органами при возникновении экстремальных ситуаций».

Рассмотренные нормативно-методические документы отражают действующую в фирме систему защиты информации и потому явля­ются строго конфиденциальными. После их утверждения первым руководителем фирмы они доводятся в выборочном порядке до све­дения всех сотрудников фирмы под роспись. Одновременно могут быть внесены необходимые изменения и дополнения в должностные инструкции сотрудников. При внесении обязательных периодических изменений в систему обеспечения безопасности фирмы соответ­ствующим образом своевременно корректируется нормативно-мето­дическая документация. Контроль за соблюдением сотрудниками фирмы изложенных в документах требований возлагается на службы безопасности, конфиденциальной документации и персонала, а в некрупных фирмах — на менеджера по безопасности.

Следовательно, система защиты ценной, конфиденциальной информации предпринимательской фирмы реализуется в комплексе нормативно-методических документов, которые детализируют и до­водят ее в виде конкретных рабочих требований до каждого работни­ка фирмы. Знание ими своих обязанностей по защите секретов фир­мы является обязательным условием эффективности функциониро­вания системы защиты и определенной гарантией сохранности соб­ственной информации фирмы.

 

 

Литература к главе 11

1. Закон Российской Федерации «Об информации, информати­зации и защите информации» от 25-января 1995 г. - Сборник зако­нов Российской Федерации. 1995. № 8. Ст. 609.

2. Экономическая безопасность предприятия: Защита коммер­ческой тайны. Практическое пособие для руководителей и специа­листов. Под ред. В. М. Чаплыгина. - М., Аналитик-Пресс, 1991.

3. Герасименко В. А. Защита информации в автоматизирован­ных системах обработки данных. — М., Энергоатомиздат,, 1994.

4. Киселев А. Е., Чаплыгин В. М., Шейкин М. С. Коммерческая безопасность. — М., Инфоарт, 1993.

5. Крысин А. В. Безопасность предпринимательской деятельно­сти. - М., Финансы и статистика, 1996.

6. Левин А. А. Секрет фирмы. — М., Машиностроение, 1992.

7. Степанов Е. А. Некоторые документоведческие проблемы за­щиты информации. Документ в административных структурах. - М., ВНИИДАД, 1995.

8. Халяпин Д. Б., Ярочкин В. И. Основы защиты информации: Учебное пособие. - М,, ИПКИР, 1994.

9. Халяпин Д. Б., Ярочкин В. И. Основы защиты промышлен­ной и коммерческой информации. Термины и определения. — М., ИПКИР, 1992.

10. Ярочкин В. И. Безопасность информационных систем. — М., Ось-89, 1996.

 

 

Глава 12 АРХИВНОЕ ХРАНЕНИЕ

ДОКУМЕНТОВ И ДЕЛ