36
Рисунок 2. Аппаратная схема предприятия.
37
Рисунок 3. Программная схема предприятия ООО “ОЛДИ-К”
2.1, Нормативно-методические основы конфиденциального
документооборота.
В повседневной деятельности любой организации составляются
документы, основное назначение которых - зафиксировать и передать
информацию, необходимую для осуществления управленческих функций.
Именно документы обеспечивают реализацию управленческих функций, в них
определяются планы деятельности учреждения, фиксируются учетные и
отчетные показатели и другая информация. С помощью документов происходят
38
процессы систематизации управленческой информации и контроля за
выполнением управленческих решений, определяются формы и сроки хранения
документированной информации, что значительно влияет на эффективность
управления в целом. Итак, документ является средством управленческой
деятельности.
Оперативность и качество принимаемых решений, эффективность их
выполнения и деятельности организации в целом зависят от того, как налажена
работа с документами. Традиционно такая сфера деятельности, связанной с
организацией работы с документами в управлении, называется
делопроизводством. «Делопроизводство» является давно известным термином и
используется сегодня в значении совокупности процессов, которые
обеспечивают документирование управленческой информации и организация
работы со служебными документами.
Правовые вопросы, связанные с накоплением, хранением, обработкой и
передачей конфиденциальной информации, регулируются соответствующими
законодательными актами.
К основным законам относится, в первую очередь, Конституция РФ.
Конституция РФ стоит на защите гражданских прав и регламентирует доступ к
частной жизни каждого гражданина. В статье 23 говорится что: “Каждый имеет
право на неприкосновенность частной жизни, личную и семейную тайну, защиту
своей чести и доброго имени. Каждый имеет право на тайну переписки,
телефонных переговоров, почтовых, телеграфных и иных сообщений.
Ограничение этого права допускается только на основании судебного решения.”.
В статье 24 п.1 указано что: “Сбор, хранение, использование и распространение
информации о частной жизни лица без его согласия не допускаются.” [1]. В
первую очередь, этот закон затрагивает гарантийный отдел. Поскольку, при
сдаче в ремонт неисправной техники, как правило, клиенты не утруждают себя
удалением или защитой личной информации на ПК.
К основным законам, связанным с защитой конфиденциальной
информации также следует отнести: Федеральный закон "Об информации,
информационных технологиях и о защите информации" от 27.07.2006 N 149-ФЗ.
Уточняет понятие информации, регулирует право на поиск, получение,
39
обработку и распространение информации. Применении информационных
технологий и защиту информации [2].
Федеральный закон "О персональных данных" от 27.07.2006 N 152-ФЗ.
Регулирует вопрос, связанный с получением, хранением, распространением и
защитой информации относящийся к персональным данным. На крупных
предприятиях, подобных ООО “ОЛДИ-К”, данным законом руководствуются
сразу несколько подразделений. Это и отделы приема заказов, включая
сотрудников, обслуживающих интернет-магазин, которые должны защищать
данные о своих клиентах, и кадровая служба, которая обязана хранить
информацию о сотрудниках предприятия и исключить утечку или
распространение этих данных, и гарантийный отдел, который принимает в
ремонт технику от клиентов и несет ответственность за сохранность
информации, хранящейся на ПК. [3].
Федеральный закон "Об электронной подписи" от 06.04.2011 N 63-ФЗ.
Регулирует вопросы, связанные с использованием цифровой подписи.
Определение цифровой подписи, области применения, использования
технологий и правомерность [4].
Федеральный Закон "О государственной тайне" от 21.07.1993 N 5485-1
(ред. от 08.03.2015). Регулирует вопросы связанные с отнесением информации к
государственной тайне, засекречиванием и рассекречиванием информации,
защитой и распространением в области обеспечения защиты Российской
Федерации [5]. Этим законодательным актом руководствуются компании,
которые регулярно выполняют госзаказы, например, в области оборонной
промышленности, космоса и других сферах, где циркулируют сведения,
составляющие государственную тайну.
Федеральный закон "О коммерческой тайне" от 29.07.2004 N 98-ФЗ.
Регулирует вопросы связанные с определением информации к категории
коммерческой тайны, какие сведения могут или не могут быть отнесены к
коммерческой тайне. А также правовые вопросы случаев предоставления
информации относящийся к коммерческой тайне [6]. [41].
40
Ряд вопросов и нормы урегулирования, связанные с конфиденциальной
информацией, регулируются Уголовно-процессуальным кодексом РФ [19] и
Гражданским кодексом РФ [17].
На основе государственных правовых актов о конфиденциальном
документообороте, каждое предприятие разрабатывает собственные
распорядительные документы, в которых описывается работа с закрытой
информацией.
Руководители всех уровней и все исполнители организации (учреждения)
осуществляют работу со служебными документами в строгом соответствии с
требованиями Инструкции по делопроизводству данной организации.
Должностные лица:
— осуществляют рассмотрение документов и обеспечивают доведение их
до исполнителей в установленные сроки (при рассмотрении документов
выделяют документы, требующие срочного исполнения; документы,
присланные для согласования, рассматривают в первую очередь);
— выносят по итогам рассмотрения документов конкретные резолюции,
точно определяющие исполнителей, поручения и сроки их исполнения;
— осуществляют контроль за качественным исполнением документов по
существу вопросов;
— принимают меры к сокращению затрат на получение и обработку
информации (в том числе за счет четкой регламентации работы, унификации
форм документов, рациональной организации работы подчиненных,
использования средств оргтехники и т. д.);
— обеспечивают сохранность создаваемых и поступающих документов
для их использования в последующей деятельности, организуют текущее
хранение документов, позволяющее систематизировать исполненные документы
и формировать их в дела на основе номенклатуры дел.
Работники, ответственные за делопроизводство:
— осуществляют регистрацию и учет документов, обеспечивают
прохождение документов в установленные сроки;
— информируют руководство о состоянии их исполнения;
41
— осуществляют ознакомление работников с нормативными и
методическими документами по делопроизводству;
— выполняют иные необходимые делопроизводственные функции.
Все работники организации должны своевременно и правильно
осуществлять документирование всех видов работ, из которых складывается
выполнение возложенных на них функций (в строгом соответствии с
установленными принципами, правилами, процедурами и стандартами), и
работу с документами (с соблюдением соответствующих требований,
установленных локальными нормативными документами); обеспечивать
сохранность находящихся у них служебных документов; своевременно сдавать
исполненные документы ответственным за делопроизводство для формирования
их в дела (либо помещать их в дела самостоятельно).
Компетенция всех работников организации в области документирования и
организации работы с документами устанавливается соответствующими
правовыми актами данной организации.
Должностные обязанности и права всех работников организации по
созданию документов и работе с ними фиксируются в должностных
инструкциях.
Информация, содержащаяся в служебных документах, может
использоваться только в служебных целях и в соответствии с полномочиями
лиц, работающих или знакомящихся с соответствующими документами.
Передача служебных документов и их копий сторонним организациям,
средствам массовой информации, а также публикация их в печати (в средствах
массовой информации) допускается только с разрешения уполномоченных
должностных лиц и осуществляется в порядке, установленном
соответствующими правовыми актами организации.
Документы по вопросам, относящимся к компетенции данной
организации (администрации, органа государственной власти и т. д.), не должны
пересылаться для исполнения в другие организации.
Документы, содержащие вопросы, решение которых не входит в
компетенцию организации (администрации, органа государственной власти и т.
д.), возвращаются их авторам или в течение семи дней пересылаются для
42
исполнения в другие организации с сопроводительным письмом и с
уведомлением автора документа (письмом) о переадресации присланного им
документа.
На документах, направляемых для исполнения в муниципальные
учреждения и предприятия и подлежащих возврату, в правом верхнем углу
первой страницы ставится штамп «Подлежит возврату».
Запрещается направлять в подведомственные организации подлинники
документов, поступивших из вышестоящих органов государственной власти и
подлежащих возврату в эти органы.
Ведение переписки с организациями, учреждениями и предприятиями по
вопросам, связанным с исполнением возложенных на отраслевые
(функциональные) и территориальные органы обязанностей, осуществляют
руководители органов.
Движение документов в организации с момента их создания или
получения до завершения исполнения или отправления образует
документооборот организации.
Документооборот всегда представлен тремя основными
документопотоками, образуемыми:
— поступающими (входящими) документами, движущимися от момента
поступления в организацию до исполнения и направления в дело;
— отправляемыми (исходящими) документами, движущимися от момента
их создания до отправки;
— внутренними документами, движущимися внутри организации от
момента создания до исполнения и направления в дело.
Документооборот включает в себя всю совокупность перемещений
документов в процессе выработки, принятия и исполнения управленческих
решений, все операции по приему, передаче, рассмотрению, оформлению,
исполнению и отправке документов.
43
2.2, Организационные методы защиты информации. Разграничение
доступа и порядок работы персонала с конфиденциальной информацией.
Даже самые современные технические системы защиты информации не
способны компенсировать человеческий фактор. Сотрудники компании, как
непосредственно работающие с информацией ограниченного доступа, так и
остальные, остаются самым вероятным каналом утечки данных.
Но грамотно организованная работа с персоналом, по мнению многих
специалистов информационной безопасности, позволяет на 80% обеспечить
защиту данных, без применения дополнительных методов и средств защиты.
Поэтому, так важна организационная часть защиты информации.
На этом этапе очень важна работа кадрового аппарата. Умение подбирать
надежных сотрудников, грамотно разъяснять им их обязанности при работе с
конфиденциальной информацией, регулярно проводить инструктаж и
контролировать соблюдение прописанных в трудовых договорах и должностных
инструкциях правил и регламентов. Иногда, на уровне инструктажа и контроля,
а также проверки благонадежности потенциального работника, кадровым
службам приходит на помощь служба безопасности [36].
Основным методом сохранения данных от распространения и утечки
является разграничение доступа к таким данным.
Доступ – это разрешение владельца информации (Директора компании
или уполномоченного лица) на разрешение получения защищаемой информации
тому или иному сотруднику.
Регламентация доступа – установление регламента (правил),
определяющих порядок доступа к защищаемой информации.
Контроль доступа – ограничение и регистрация доступа. Обеспечение
соблюдения регламента доступа.
Действительно, каждому отдельному сотруднику не нужен весь объем
конфиденциальной информации, циркулирующей на предприятии. Ему
достаточно небольшого куска, согласно его роду деятельности.
Организационные меры защиты призваны в первую очередь определить,
кому и какая информация требуется для выполнения своих служебных
обязанностей, разделить все имеющиеся конфиденциальные данные на части, и
44
обеспечить доступ каждого сотрудника к нужной ему части, закрыв при этом все
остальные.
Здесь действует так называемая разрешительная система. Разрешительная
(разграничительная) система доступа в сфере коммерческой тайны представляет
собой совокупность правовых норм и требований, устанавливаемых первым
руководителем или коллективным органом руководства фирмой с целью
обеспечения правомерного ознакомления и использования сотрудниками фирмы
конфиденциальных сведений, необходимых им для выполнения служебных
обязанностей.
Разрешительная система включает в себя две составные части: допуск
сотрудника к конфиденциальной информации и непосредственный доступ этого
сотрудника к конкретным сведениям.
Под допуском понимается процедура оформления права сотрудника
фирмы или иного лица на доступ к сведениям (информации) ограниченного
распространения и одновременно правовой акт согласия (разрешения)
собственника (владельца) информации на передачу ее для работы конкретному
лицу.
Оформление допуска, т.е. согласия лица на определенные ограничения в
использовании информации, всегда носит добровольный характер. Наличие
допуска предоставляет сотруднику формальное право работать со строго
определенным кругом конфиденциальных документов, баз данных и отдельных
сведений.
Под доступом, в данном контексте, понимается наличие физической
возможности ознакомления с информацией, к которой у сотрудника есть допуск
– это и возможность прохода в выделенные помещения, и учетные записи в
базах данных с определенными правами, и наличие сотрудника в
разрешительных списках бумажных архивов и многое другое [25].
Контроль доступа начинается с физического уровня. Как правило — это
организация разграничения доступа и уровня защиты от физического
проникновения на защищенную территорию. Так придя в магазин, покупатель
имеет право на перемещение по торговому залу, но не имеет права на
проникновение на закрытую территорию складских помещений.
45
Обособленное подразделение «Дзержинский» производства ООО “ОЛДИ-
К” занимает небольшой участок большой территории, соседствуя с
Центральным складом и офисами других компаний. Внешний периметр
защищен забором, системой видео наблюдения и контрольно-пропускным
пунктом (КПП). КПП оборудован системой контроля доступа по электронным
пропускам и имеет постоянную смену охраны. Так на территорию могут попасть
сотрудники компании и грузовые авто, но не могут попасть посторонние люди.
Все проходящие через систему контроля люди фиксируются в электронном
журнале автоматически (что не мешает сотрудникам обменятся пропусками),
автомобили регистрируются в бумажном журнале и, затем, заносятся в
электронный.
Здание, находящееся на территории, имеет несколько подъездов, каждый
подъезд имеет такую же систему контроля доступа и дополнительно оборудован
метало-детектором для защиты от вноса или выноса запрещенных предметов.
Грузовые порталы при стыковке грузовых машин исключают
несанкционированное проникновение на территорию склада.
Центральный склад, помещения производства и офисные помещения,
разделены дверьми с электронными замками с пропускной системой по ключ-
картам. Внутри каждого подразделения, также имеются помещения,
защищенные электронными замками. Также организованно разграничение
доступа между сотрудниками разных подразделений. Так сотрудник склада не
может попасть на производство, рядовой сотрудник производства не может
попасть на склад или в кабинет руководителя.
Таким образом обеспечивается разграничение перемещения сотрудников
по территории, невозможность посторонним проникнуть на охраняемый объект.
Злоумышленнику затрудняется физический доступ к носителям информации,
как бумажным, так и электронным.
Для конфиденциальной информации на бумажных носителях также
имеются свои правила обработки, хранения и доступа. Как правило, такие
носители имеют пометку «К» (конфиденциально) или «ДСП» (для служебного
пользования). Они хранятся отдельно от носителей с информацией общего
доступа, зачастую – в выделенных помещениях. Доступ к таким носителям