15
информации нужны усиленные меры защиты, так как некоторые риски проще и
дешевле принять, чем исключить.
Итак, для того чтобы классифицировать всю информацию, имеющую
коммерческую ценность для предприятия, следует разбить её на 5 групп,
согласно степени конфиденциальности сведений, формирующих каждую
группу:
1. Информация, имеющая высшую степень конфиденциальности.
К данной информации относятся сведения, являющиеся ключевыми в
деятельности предприятия, на них основывается его нормальное
функционирование. Получение данной информации заинтересованными
третьими лицами, может нанести непоправимый ущерб компании, вплоть до
того, что предприятие вообще прекратит своё существование.
2. Информация, являющаяся строго конфиденциальной.
Получение данной информации заинтересованными третьими лицами
может привести к тяжелым экономическим последствиям, в виде серьезных
убытков для предприятия. К данной информации, к примеру, относятся
перспективные соглашения и контракты с другими компаниями, стратегические
планы предприятия.
3. Информация, являющаяся конфиденциальной.
Получение данной информации заинтересованными третьими лицами
может нанести ущерб предприятию, соизмеримый с текущими затратами фирмы.
Последствия реализации данной угрозы будут преодолены в короткие сроки.
4. Информация, к которой установлен ограниченный доступ.
Получение данной информации заинтересованными третьими лицами
может привести к незначительному негативному воздействию на экономическое
положение компании. К последствиям реализации данной угрозы можно
отнести, например, получение конкурентами информации о структуре
управления предприятием.
5. Информация, являющаяся открытой.
16
Данная информация находится в свободном доступе, но при этом для неё
следует принять меры по сохранению её достоверности и целостности, так как
её незаконное изменение может негативно повлиять на экономическое
положение предприятия. К данной информации можно отнести рекламу
продукции.
1.3 Порядок введения режима коммерческой тайны на предприятии
Центральное место в организации обеспечения защиты коммерческой
тайны предприятия занимает создание Службы безопасности (СБ) предприятия,
а также выбор структуры СБ, для эффективного решения вопросов обеспечения
информационной безопасности предприятия.
Наиболее оптимально структура СБ может быть определена при анализе
всех функций обеспечения экономической безопасности и выделении из всего
комплекса, тех, которые наиболее адекватно соответствуют производственно-
коммерческой деятельности предприятия.
На предприятиях с незначительным объемом сведений, составляющих
коммерческую тайну, а также малым оборотом товарных и денежных средств,
управление обеспечением режима безопасности может осуществить сам
руководитель предприятия или по совместительству назначенный его приказом
сотрудник (ответственный за информационную безопасность), имеющий
соответствующий опыт работы. Служба безопасности предприятия, как правило,
подчиняется непосредственно руководителю предприятия и создается его
приказом. Она является структурной единицей предприятия, непосредственно
участвующей в производственно-коммерческой деятельности. В своей
деятельности СБ осуществляет взаимодействие со структурными
подразделениями предприятия.
Структура и штат СБ зависит от объема работ и обязанностей,
возложенных на СБ, а также от особенностей производственно-коммерческой
деятельности. Структура и штат СБ определяются руководителем предприятия.
Для большей эффективности работы штат службы должен комплектоваться
17
инженерно-техническими работниками, специалистами основного профиля
работы данного предприятия, а также специалистами, имеющими практический
опыт защиты информации или работы с различными группами людей.
Назначение на должность начальника (заместителя начальника) СБ
предприятия, а также его освобождение от занимаемой должности, производится
только руководителем предприятия. Вышеназванные и другие требования
вносят в Положение о службе безопасности, которое разрабатывается по
указанию руководителя предприятия.
Первым шагом к введению на предприятии режима коммерческой тайны,
осуществляемым сформированной Службой безопасности, является
определение сотрудниками СБ перечня информации, составляющей
коммерческую тайну. В данный перечень будут входить коммерчески ценные
сведения, обозначенные выше.
После определения перечня информации, составляющей коммерческую
тайну предприятия, необходимо ограничить доступ к информации из данного
перечня. Для этого СБ вводятся специальные правила маркировки и хранения
материальных носителей информации, содержащих информацию,
составляющую коммерческую тайну. На все такие носители наносится гриф
«Коммерческая тайна». Гриф «Коммерческая тайна» может быть нанесён как на
печатные документы, так и на электронные носители на которых хранится
информация, составляющая коммерческую тайну. Кроме того, следует
определить круг лиц, допущенных к работе с конфиденциальной информацией,
а также установить полномочия для каждого допущенного сотрудника, так как
далеко не каждому допущенному к работе с конфиденциальной информацией
следует давать право вносить изменения в документы, содержащие
коммерческую тайну. Поэтому большинство сотрудников предприятия должно
обладать полномочиями только на ознакомление с информацией, вносить же
изменения в документы следует разрешить только ограниченному кругу
допущенных лиц.
18
На этом же этапе введения режима коммерческой тайны на предприятии
необходимо ввести правила учёта сотрудников, которым вверяется данная
информация, а также назначить конкретных служащих, которые будут отвечать
за ведение списков учета лиц, ознакамливающихся с конфиденциальной
информацией.
Обязанности сотрудников по соблюдению действующего на предприятии
режима коммерческой тайны, необходимо внести в трудовые договоры,
заключаемые с работниками во время приёма на работу. Для сотрудников, уже
работающих в организации, данные обязанности подписываются в виде
дополнительного соглашения к трудовому договору. Также возможно ввести
дополнительное обязательство о неразглашении информации, содержащей
коммерческую тайну, этот документ не вносит новых положений в обязанности
по неразглашению, прописанные в трудовом договоре или дополнительном
соглашении к нему, а лишь конкретизирует некоторые из них.
После подписания обязательств о неразглашении следует провести
обучение сотрудников, в ходе которого нужно разъяснить необходимость
введения режима коммерческой тайны на предприятии, объяснить суть этого
режима и рассказать о мерах по сохранению конфиденциальности информации,
которые должен предпринимать каждый сотрудник по отношению к сведениям,
составляющим коммерческую тайну,
На следующем этапе режим коммерческой тайны, все правила обращения
с информацией, составляющей коммерческую тайну, а также порядок получения
доступа к ней, закрепляются в разработанном внутреннем нормативном акте -
Положении о коммерческой тайне. Данное положение утверждает своим
приказом руководитель предприятия.
После проведения всех вышеперечисленных мероприятий и утверждения
Положения о коммерческой тайне - режим коммерческой тайны считается
установленным, и предприятие получает возможность защищать свою
конфиденциальную информацию.
19
Обеспечение защиты коммерчески ценных сведений осуществляется
различными методами, имеющими различную эффективность и соответственно
и различный объем затрат на их осуществление. Ниже разобраны основные из
них.
1.4 Основные методы и принципы защиты информации,
составляющей коммерческую тайну предприятия.
Для обеспечения защиты коммерческой тайны (КТ) на предприятиях
вводится определенный порядок работы с информацией и доступа к ней,
включающий в себя комплекс административных, правовых, организационных,
инженерно-технических, финансовых, социально-психологических и режимных
мер, основывающихся на действующих правовых нормах или на
организационно-распорядительных положениях руководителя предприятия
(фирмы).
Эффективная защита коммерческой тайны возможна при обязательном
выполнении ряда условий:
обеспечение единства в решении производственных, коммерческих,
финансовых и режимных вопросов;
осуществление координации мер по обеспечению безопасности
между всеми заинтересованными подразделениями предприятия;
проведение научной оценки информации и объектов, подлежащих
защите, разработка режимных мер до начала проведения режимных работ;
несение каждым сотрудником персональной ответственности (в том
числе и материальной) за обеспечение сохранности коммерческой тайны и
поддержание на должном уровне режима охраны проводимых работ;
включение основных обязанностей рабочих, специалистов и
администрации по соблюдению конкретных требований режима в коллективный
договор, контракт, трудовое соглашение, правила трудового распорядка;
организация специального делопроизводства, порядка хранения,
перевозки носителей коммерческой тайны, ведение соответствующей
маркировки документов и других носителей закрытых сведений;
20
формирование списка лиц, уполномоченных руководителем
предприятия классифицировать информацию и объекты, содержащие сведения,
составляющие коммерческую тайну предприятия;
осуществление оптимального ограничения числа лиц, допускаемых к
сведениям, составляющим коммерческую тайну;
наличие единого порядка доступа и оформления пропусков на
предприятие;
обеспечение выполнения требований по сохранению коммерческой
тайны при проектировании и размещении специальных помещений, в процессе
научно-исследовательских и опытно-конструкторских разработок (НИОКР),
испытаний и производства изделий, сбыта, рекламы, подписания контрактов,
при проведении особо важных совещаний, в ходе использования технических
средств обработки, хранения и передачи информации;
организация взаимодействия с государственными органами власти,
имеющими полномочия по контролю определенных видов деятельности
предприятий и фирм;
наличие служб, осуществляющих охрану, а также наличие
пропускного и внутриобъектового режимов;
планирование разработки и осуществления мер по защите
коммерческой тайны, систематический контроль за эффективностью
принимаемых мер;
создание системы обучения исполнителей правилам обеспечения
сохранности коммерческой тайны.
При организации защиты коммерческой тайны, имущественных и
финансовых ценностей руководитель предприятия руководствуется, прежде
всего, экономической целесообразностью. Здесь обязательно надо учитывать два
момента:[5]
1) Затраты на обеспечение защиты коммерческой тайны должны быть,
как правило, меньшими в сравнении с возможным экономическим ущербом;
21
2) Планируемые меры безопасности должны, как правило, содействовать
повышению экономической эффективности предпринимательства.
Как уже говорилось выше, главную роль в обеспечении экономической
безопасности предприятия играет правильно подобранная служба безопасности.
Для обеспечения экономической безопасности предприятия, СБ вместе с
привлеченными специалистами компании выполняет следующий набор
функций.
Функции по защите коммерческой тайны:[6]
- выработка критериев выделения ценной информации, подлежащей
защите;
- определение объектов интеллектуальной собственности, подлежащих
охране;
- выбор методов защиты (патентование, авторское право, коммерческая
тайна);
- разработка для последующего утверждения перечня (дополнений к
перечню) сведений, составляющих КТ;
- установление правил допуска и разработка разрешительной системы
доступа к сведениям, составляющим КТ;
- оформление списков лиц (перечней должностей), имеющих право
работать с конкретными составляющими коммерческой тайны;
- определение списка должностей (лиц), уполномоченных
классифицировать информацию;
- установление правил и процедур классификации, маркировки
документов и других носителей информации, а также порядок их
рассекречивания;
- разработка и ввод в действие единого порядка обращения с носителями
информации (технологии создания, учет, правила работы, хранение, пересылка,
транспортировка, размножение, уничтожение);
22
- составление плана размещения и учет помещений, в которых после
соответствующей аттестации разрешено постоянное или временное хранение
носителей КТ, работа с ними;
- составление плана размещения и учет помещений, в которых после
проведения аттестации разрешено проведение закрытых совещаний,
установление порядка доступа в данные помещения;
- при непосредственном участии руководителей структурных
подразделений и специалистов, имеющих доступ к КТ, планирование,
осуществление и контроль за реализацией мероприятий по защите информации
при проведении всех видов работ в которых используется закрытая информация
или классифицированные носители;
- оказание методической помощи руководителям подразделений
предприятия в разработке и осуществлении мероприятий по защите сведений в
процессе научной, конструкторской, производственной и иной деятельности
(описание того, какие технологические меры безопасности необходимо
использовать, какие изменения в технологию надо внести, какие требования
целесообразно включить в условия контракта, какую информацию надо
защищать даже при выходе товара на рынок и прочее);
- разработка и осуществление совместно со специалистами, мер по
недопущению разглашения КТ на стадиях:
1. Оформления материалов, предназначенных для опубликования в
открытой печати, для использования на конференциях, выставках, в рекламной
деятельности (аналогичные меры осуществляются в отношении образцов
изделий, содержащих КТ);
2. Оформления документов (образцов) для передачи заказчику
(соисполнителю).
- организация, с участием исполнителей и специалистов предприятия,
защитных мероприятий при испытаниях, хранении, транспортировке,
уничтожении продукции, содержащей КТ;
23
- разработка порядка проведения и контроль за проведением закрытых
совещаний;
- определение режимных мер приема представителей других фирм,
командированных лиц, представителей контрольных органов власти;
- участие совместно со специалистами предприятия в разработке мер по
обеспечению безопасности в процессе использования технических средств
передачи информации, а также разработка системы противодействия
техническим средствам промышленного шпионажа;
- организация охраны предприятия, спецпомещений, хранилищ, введение
пропускного и внутриобъектового режимов (разграничение доступа в
помещения по средством СКУД);
- формирование предложений на установку технических средств охраны
(ТСО), организация работ по их монтажу, эксплуатации ремонту;
- участие в подборке и расстановке сотрудников, допускаемых к КТ,
выработке мер по снижению текучести кадров;
- разработка положений, инструкций, правил, методик и т.п. по
обеспечению режима работы исполнителей закрытых работ, специалистов СБ;
- организация и участие в обучении лиц, допущенных к КТ (составление
программы обучения, прием зачетов по знанию соответствующих требований
режима);
- формирование у сотрудников сознательного отношения к обеспечению
защиты информации, с учетом конкретной обстановки совместно с
руководителями подразделений в процессе организационной и
профилактической работы;
- разработка мер по предупреждению несанкционированного
уничтожения носителей информации, в том числе в автоматизированных
системах хранения, обработки и передачи информации;
- контроль исполнения режимных требований: проведение аналитических
исследований по оценке надежности принимаемых мер защиты КТ и выработка
предложений по повышению эффективности охраны;
24
- проведение служебных расследований по фактам нарушения режима
обращения с КТ.
Функции по обеспечению защиты имущественной собственности
предприятия (с учетом его особенностей и уязвимостей):[6]
определение системы охраны предприятия, дислокации постов,
средств ТСО, противопожарной автоматики, связи;
выделение помещений (участков), где хранятся товарно-
материальные ценности (деньги), и осуществление через руководителей
соответствующих подразделений мер по повышению надежности их физической
защиты;
определение участков, уязвимых во взрывопожарном отношении,
выход из строя которых может нанести серьезный ущерб предприятию и
выработка мер по нейтрализации выявленных для них угроз;
определение технологического оборудования, выход их строя
которого может привести к большим экономическим потерям, и разработка мер
по нейтрализации выявленных угроз;
определение уязвимых мест в технологии производственного цикла,
несанкционированное изменение в которых может привести к утрате качества
выпускаемой продукции и нанести материальный ущерб, принятие
соответствующих мер по нейтрализации выявленных угроз;
разработка, ввод в действие и поддержание на охраняемой территории
пропускного и внутриобъектового режима (порядок, время пропуска рабочих,
посетителей на территорию предприятия, в том числе и в праздничные дни,
порядок ввоза (ввоза) или выноса (вноса) материальных ценностей, готовой
продукции, материалов и т.п., местоположение и количество контрольных
проходов и проездов, помещения и подразделения, доступ куда ограничен,
система пропусков и документации);
разработка документов, регламентирующих административно-
правовую основу деятельности по охране имущественных ценностей
предприятия (положение об охране, инструкция о порядке обеспечения