Система организационной защиты конфиденциальной информации

Система организационной защиты конфиденциальной информации

Оглавление

1. Организация допуска и доступа персонала к конфиденциальной информации

. Организация внутриобъектового режима на предприятии

. Требования к помещениям, в которых проводятся работы с конфиденциальной информацией или хранятся носители информации

Список используемой литературы

1. Организация допуска и доступа персонала к конфиденциальной информации

В соответствии со ст. 6 Федерального закона "Об информации, информационных технологиях и защите информации" вопросы ограничения доступа к информации, определения порядка и условий такого доступа относятся к исключительной компетенции обладателя информации. Последний при осуществлении своих прав обязан ограничивать доступ к информации и принимать меры по ее защите, если такая обязанность установлена федеральными законами.

Под допуском к конфиденциальной информации понимается выполнение обладателем информации или другими уполномоченными должностными лицами определенных процедур, связанных с оформлением права лица на доступ к конкретному виду конфиденциальной информации.

В настоящее время в России законодательно определены и урегулированы вопросы допуска персонала предприятия к сведениям, составляющим государственную или коммерческую тайну. Порядок допуска лиц к иным видам информации с ограниченным доступом с учетом положений Федерального закона "Об информации, информационных технологиях и защите информации" находится в компетенции соответствующих должностных лиц (руководителей предприятий), являющихся обладателями такой информации.

Доступ лица к конфиденциальной информации - санкционированное полномочным должностным лицом ознакомление персонала предприятия и иных лиц с конфиденциальной информацией и ее носителями.

Доступ граждан к информации, содержащей сведения, в установленном порядке отнесенные к коммерческой тайне, осуществляется в соответствии со ст. 7 и 10 Федерального закона "О коммерческой тайне". С момента установления режима коммерческой тайны в отношении какой-либо информации полномочия по принятию решения о доступе к ней в полном объеме переходят к обладателю информации. Необходимо отметить, что определение порядка доступа лиц к коммерческой тайне и учет лиц, получивших такой допуск, в соответствии с Федеральным законом "О коммерческой тайне" являются обязательными для обладателя информации, составляющей коммерческую тайну.

Меры по охране конфиденциальности информации признаются разумно достаточными, если исключается доступ к информации, составляющей коммерческую тайну любых лиц без согласия ее обладателя. Иные не противоречащие законодательству России меры по ограничению доступа к коммерческой тайне могут быть дополнительно приняты ее обладателем.

Разрешительная система персонала к конфиденциальной информации лежит в основе организационно-правового регулирования вопросов допуска и непосредственного доступа персонала к конфиденциальной информации и ее носителям независимо от степени ее важности и конфиденциальности. Понятие, сущность и основные положения разрешительной системы доступа персонала предприятия к информации, подлежащей защите, представлены на примере информации, в установленном порядке отнесенной к коммерческой тайне.

В соответствии с Федеральным законом "О коммерческой тайне" под доступом к информации, составляющей коммерческую тайну, понимается ознакомление определенных лиц с этой информацией с согласия ее обладателя или на ином законном основании при условии сохранения конфиденциальности этой информации. В целях сохранения конфиденциальности информации ее обладатель в порядке, определенном указанным федеральным законом, устанавливает режим коммерческой тайны. Режим коммерческой тайны - правовые, организационные, технические и иные меры по охране конфиденциальности информации, составляющей коммерческую тайну, принимаемые ее обладателем.

К обязательным мерам по защите охраняемой информации в соответствии с положениями ст. 10 Федерального закона "О коммерческой тайне" относятся:

• ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;
• учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана.
• Перечисленные меры реализуются в рамках разрешительной системы доступа персонала предприятия к информации, составляющей коммерческую тайну.
• Разрешительная система доступа персонала предприятия предусматривает установление на предприятии единого порядка обращения с носителями сведений, составляющих коммерческую тайну, определение ограничений на доступ к ним различных категорий персонала (управленческого, административного и исполнительского уровней) и степени ответственности за сохранность указанных носителей сведений.
• Создание и реализация разрешительной системы доступа персонала к информации, составляющей коммерческую тайну, - важная часть общей системы организационных мер по защите информации на предприятии. Актуальность использования разрешительной системы доступа к информации обусловлена особым значением информационной составляющей любого производственного процесса на современном предприятии, включающего создание новых документов (материалов), товаров и услуг, неправомерный доступ к которым может привести к утечке конфиденциальной информации и, тем самым, нанесению ущерба предприятию.
• Создание и функционирование разрешительной системы доступа персонала предприятия к информации направлены, в первую очередь, на решение стоящих перед предприятием задач и достижение основных целей его деятельности.
• Основополагающим принципом нормативно-правового регулирования процесса ознакомления конкретного работника предприятия со сведениями, составляющими коммерческую тайну, является правомерность доступа этого работника к конкретным сведениям или их носителям.
• Основные условия правомерного доступа персонала к коммерческой информации включают:
• -подписание работником обязательства о неразглашении сведений, составляющих коммерческую тайну, а также трудового договора, который в соответствии со ст. 57 Трудового кодекса Российской Федерации может содержать эти обязательства;
• наличие у работника оформленного в установленном порядке допуска к сведениям, составляющим коммерческую тайну;
• наличие утвержденных руководителем предприятия должностных (функциональных) обязанностей работника, определяющих круг его задач и объем необходимой для их решения информации;
• оформление разрешения руководителя предприятия на ознакомление работника с конкретной информацией, являющейся коммерческой тайной, и ее носителями.
• Процесс регулирования доступа работников к коммерческой тайне направлен на исключение необоснованного расширения круга лиц, допускаемых на предприятии к информации различной степени конфиденциальности, и утечки этой информации, а также доступа к ней граждан, не имеющих на то разрешения полномочных должностных лиц.
• Основная цель разрешительной системы доступа персонала к коммерческой тайне - исключение нанесения ущерба предприятию посредством несанкционированного распространения сведений, составляющих коммерческую тайну.
• Чтобы понять роль разрешительной системы доступа к информации всех категорий сотрудников, в том числе командированных лиц, в совокупности с другими организационными, правовыми и иными мерами, направленными на установление режима коммерческой тайны, необходимо рассмотреть порядок правовой регламентации данной системы. Она должна быть простой, но достаточно эффективной, гибкой и способной адекватно реагировать на изменения, происходящие в хозяйственной, производственной и других сферах деятельности предприятия.
• В структуре управления процессом доступа особое место занимают руководитель предприятия и его заместители. Однако наиболее важная роль в этой структуре отводится руководителям структурных подразделений предприятия, сотрудники которых непосредственно допускаются к коммерческой тайне (работают с носителями сведений, составляющих коммерческую тайну). Эти руководители наделяются правом определять степень доступа непосредственно подчиненных им сотрудников к конкретным сведениям (носителям). В зависимости от категорий сотрудников предприятия или командированных лиц, необходимости ознакомления их с теми или иными сведениями (в пределах должностных обязанностей или в объеме предписания на выполнение задания) соответствующие руководители определяют права этих лиц на доступ к информации.
• Права сотрудников на доступ к коммерческой тайне и работу с ее носителями регулируются разрешениями полномочных должностных лиц, оформленными в письменном (документальном) виде. Оформление таких разрешений осуществляется руководителем предприятия, его заместителями и руководителями структурных подразделений в отношении непосредственно подчиненных им сотрудников. На практике наиболее распространены следующие способы документального оформления разрешений (формы разрешительных документов):
• составление именных (должностных) списков сотрудников, допускаемых к той или иной информации, составляющей коммерческую тайну предприятия, в обязательном порядке содержащих должности и фамилии сотрудников и категории сведений (документов), к которым они допускаются;
• оформление разрешения непосредственно на документе (носителе информации) в виде резолюции (поручения), адресованного конкретному сотруднику;
• указание (перечисление) в организационно-плановых и иных документах предприятия сотрудников (их фамилий), которые при решении конкретных производственных и иных задач должны быть допущены к определенной информации, составляющей коммерческую тайну предприятия.
• Основным внутренним организационно-распорядительным документом предприятия, регулирующим вопросы доступа всех категорий работников и иных лиц к коммерческой тайне, является положение о разрешительной системе доступа к информации, составляющей коммерческую тайну.
• Разработку данного положения осуществляет, как правило, специально создаваемая комиссия предприятия, которая состоит из представителей его структурных подразделений, осуществляющих производственную, хозяйственную и иные виды деятельности. Члены комиссии должны знать специфику работы предприятия, порядок организации и обеспечения защиты конфиденциальной информации. В состав комиссии в обязательном порядке входят сотрудники службы безопасности предприятия. В целях более точного определения ограничений для конкретных лиц на доступ к различным категориям информации (с учетом ее тематики) комиссия может включать несколько подкомиссий. Методическое руководство деятельностью комиссии (подкомиссий) осуществляет служба безопасности предприятия.
• Разработке положения предшествует всесторонний анализ различных документов (материалов), проводимый в целях выявления и классификации всех информационных потоков, существующих на предприятии. В ходе анализа изучаются все направления и стороны деятельности предприятия, в том числе его взаимодействие с организациями-соисполнителями и заказчиками, работа диссертационных советов, образовательная деятельность и т.п. После получения результатов анализа формируется структура положения (готовится его проект). Основными разделами положения являются:
• общие требования по доступу работников к коммерческой тайне;
• порядок доступа к носителям информации, имеющим различные категории (степени) конфиденциальности;
• порядок доступа к делам и документам архивного хранения;
• порядок копирования (размножения) документов и рассылки их нескольким адресатам;
• порядок доступа к носителям информации командированных лиц, представителей органов местного самоуправления, различных территориальных и надзорных органов;
• порядок доступа к информации (ее носителям) в ходе проведения совещаний, конференций, семинаров и других мероприятий.
• После разработки положение утверждается руководителем предприятия и доводится до сведения непосредственных исполнителей указанных в нем мероприятий (работ), а также до сведения каждого сотрудника предприятия в части, касающейся данного сотрудника (в необходимых случаях - под расписку).
• В вопросах разработки положения, реализации его требований и контроля за выполнением предусмотренных мероприятий особая роль отводится службе безопасности, в задачи которой входит:
• проведение мероприятий, направленных на ограничение круга лиц, допускаемых к конкретной информации (ее носителям);
• выявление фактов неправомерного доступа лиц к коммерческой тайне;
• оценка эффективности принимаемых руководителями структурных подразделений предприятия мер по исключению утечки информации;
• подготовка предложений о внесении изменений в должностные инструкции и иные документы, определяющие задачи и функции подразделений (отдельных должностных лиц) предприятия;
• разработка и представление на утверждение руководителю предприятия проектов внутренних организационно-распорядительных документов по вопросам защиты коммерческой тайны, в том числе определяющих порядок функционирования разрешительной системы доступа;
• методическое руководство деятельностью должностных лиц и структурных подразделений по реализации положения о разрешительной системе доступа к коммерческой тайне предприятия.
• Наиболее важная функция службы безопасности предприятия - контроль за соблюдением его сотрудниками положений организационно-плановых и распорядительных документов, регламентирующих вопросы создания и функционирования разрешительной системы доступа, в целях исключения случаев неправомерного доступа сотрудников предприятия, а также командированных лиц к коммерческой тайне.
• Служба безопасности контролирует:
• - наличие оформленного в установленном порядке допуска сотрудников к коммерческой тайне;
• - соответствие выданного руководителем структурного подразделения предприятия разрешения требованиям разрешительной системы;
• правомерность передачи носителей сведений, содержащих коммерческую тайну, на другие предприятия;
• соблюдение работниками предприятия установленных требований по работе с носителями сведений, составляющих коммерческую тайну, на рабочих местах;
• правомочность и целесообразность использования материалов, содержащих коммерческую тайну, на конференциях, совещаниях и других мероприятиях, проводимых с привлечением представителей других организаций.
• Результаты контроля используются при анализе состояния дел в сфере защиты коммерческой тайны на предприятии и служат основой для доработки (уточнения) отдельных положений организационно-распорядительных документов, регулирующих вопросы функционирования разрешительной системы на предприятии.
• конфиденциальный информация коммерческий тайна
• 2. Организация внутриобъектового режима на предприятии
• Оганизационные средства защиты информации - комплекс мероприятий, планируемых и осуществляемых в целях организации внутриобъектового режима.
• Внутриобъектовый режим - порядок, обеспечиваемый совокупностью мероприятий и правил, выполняемых лицами, находящимися на охраняемых объектах, в соответствии с требованиями внутреннего трудового распорядка и пожарной безопасности.
• Оганизационные средства защиты информации являются, по сути, связующим звеном между персоналом предприятия и различными техническими и иными средствами, используемыми в целях организации и обеспечения режима секретности.
• Наиболее эффективны следующие меры по защите информации, относящиеся к организационным средствам защиты информации:
• организация разработки, внедрения и использования различных средств и систем защиты информации;
• организация разработки, размножения, учета и уничтожения носителей конфиденциальной информации с использованием технических средств;
• контроль за соблюдением персоналом предприятия установленных требований при использовании объектов информатизации;
• анализ эффективности функционирования технических систем и средств защиты информации;
• разработка и внедрение в практику инструкций и иных документов, регламентирующих порядок и правила обращения с конфиденциальной информацией.
• Порядок организации внутриобъектового режима, а также задачи, решаемые должностными лицами и структурными подразделениями предприятия, отражаются в разрабатываемых на предприятии внутренних организационно-распорядительных документах, утверждаемых руководителем предприятия.
• Сотрудники, в установленном порядке допущенные к информации с ограниченным доступом и осуществляющие непосредственную работу с этой информацией, несут ответственность за соблюдение требований нормативных актов по порядку обращения с носителями конфиденциальной информации и за сохранность этих носителей.
• Сотрудники, допущенные к конфиденциальной информации, обязаны:
• знать порядок отнесения информации к категории конфиденциальной, порядок засекречивания сведений, составляющих государственную тайну, а также положения действующего на предприятии развернутого перечня сведений, подлежащих засекречиванию;
• соблюдать установленный порядок работы со сведениями конфиденциального характера и их носителями;
• строго хранить ставшие известными им в силу выполнения должностных (функциональных) обязанностей сведения конфиденциального характера;
• принимать меры по недопущению разглашения другими сотрудниками предприятия конфиденциальной информации, об имевших место таких фактах и предпосылках к ним информировать службу безопасности (режимно-секретное подразделение);
• знакомиться (работать) только с той конфиденциальной ин формацией (ее носителями), к которой они имеют оформленный в установленном порядке допуск;
• знать степень секретности (конфиденциальности) проводимых работ (мероприятий), разрабатываемых документов (материалов), соблюдать установленные правила работы и обращения с этими документами (материалами);
• соблюдать установленный порядок приема-передачи, хранения носителей конфиденциальной информации, не допускать обезличенного пользования ими;
• - обеспечивать на своем рабочем месте такое расположение носителей конфиденциальной информации, которое позволяет исключить несанкционированное ознакомление с ними (их содержанием) посторонних лиц, а также сотрудников предприятия, не имеющих к ним непосредственного отношения;
• - в порядке, определенном нормативными актами, обеспечивать учет носителей конфиденциальной информации, а также на несение на указанные носители необходимых реквизитов;
• в определенном руководителем предприятия (структурного подразделения) объеме ознакомлять сотрудников своего предприятия и командированных лиц с содержанием носителей конфиденциальной информации, а также с тематикой и содержанием проводимых работ;
• информировать руководителя предприятия и его заместителя о предпринимавшихся посторонними лицами, представителями других предприятий, иностранными гражданами попытках получения конфиденциальной информации;
• вопросы выезда за границу в служебные командировки, по частным делам и с другими целями решать в соответствии с нормативными актами и указаниями органа государственной власти и руководителя предприятия.
• Сотрудникам, допущенным к конфиденциальной информации, запрещается:
• нарушать установленный порядок обращения с носителями конфиденциальной информации;
• выполнять работы с носителями конфиденциальной информации вне служебных помещений и рабочих мест;
• сообщать сведения конфиденциального характера сотрудникам предприятия, не имеющим к ним непосредственного отношения, и посторонним лицам;
• выполнять записи конфиденциального характера на неучтенных в установленном порядке носителях, в том числе магнитных;
• сообщать конфиденциальные сведения кому бы то ни было по открытым средствам связи (телефон, факс, мобильная связь, электронная почта и т.п.);
• допускать обезличенное пользование носителями конфиденциальной информации, принимать и передавать указанные носители без соответствующих расписок;
• хранить носители конфиденциальной информации на столах, открытых стеллажах, в незапертых хранилищах, шкафах, сейфах, оставлять не запертыми служебные кабинеты, в которых хранятся носители конфиденциальной информации;
• накапливать сведения конфиденциального характера на своем рабочем месте, в открытых носителях (в том числе в электронном виде), в открытых материалах.

Перечисленные обязанности доводятся до сведения всех сотрудников предприятия, работающих с конфиденциальной информацией (ее носителями), под расписку в журнале, хранящемся в режимно-секретном подразделении (службе безопасности). Эти обязанности доводятся также до сведения лиц, вновь назначенных на соответствующие должности (прибывших на предприятие).

3. Требования к помещениям, в которых проводятся работы с конфиденциальной информацией или хранятся носители информации

Организация внутриобъектового и пропускного режимов имеет целью исключение проникновения посторонних лиц в режимные помещения предприятия, а также несанкционированного посещения таких помещений сотрудниками предприятия и командированными лицами, не имеющими прямого отношения к проводимым в них работам.

К помещениям, предназначенным для ведения работ с использованием сведений, составляющих государственную тайну, или для хранения их носителей, предъявляется ряд требований. На практике данные требования, как правило, распространяются на служебные помещения и хранилища предприятия, в которых используются в работе или хранятся не только названные сведения, но и другие виды конфиденциальной информации (или ее носители). Это позволяет обеспечить сохранение конфиденциальности проводимых в указанных помещениях работ, а также надежную сохранность носителей конфиденциальной информации.