Глава 13

Кадровое обеспечение функционирования комплексной системы защиты информации

13.1. Специфика персонала предприятия как объекта защиты

Персонал предприятия считается одним из наиболее важных объектов защиты, так как является не только носителем инфор­мации с ограниченным доступом, но и источником создания та­кой информации. Сложность персонала как объекта защиты за­ключается не только в отсутствии возможности постоянного кон­троля за его действиями, особенно в неслужебное (нерабочее) вре­мя, но и в его уязвимости, обусловленной, например, возможно­стью подкупа, преследования им корыстных целей, воздействия на сотрудников и членов их семей с целью шантажа, возможно­стью похищения и т.п. Сложность реализации мер защиты в от­ношении персонала предприятия обусловливает необходимость постоянного внимания этой задаче.

Рассмотрим основные направления работы с персоналом в плане защиты информации с ограниченным доступом.

Подбор и расстановка кадров осуществляются из двух источ­ников — внутренних перестановок и за счет найма на рынке труда.

Основные методы изучения и отбора персонала:

• тестирование;

• изучение личных документов, документов об образовании, трудовой деятельности на предыдущих местах работы, рекомен­даций, характеристик; проверка подлинности личных документов и документов об образовании; изучение и подтверждение полно­ты и точности сведений, изложенных в анкетных материалах и автобиографии;

• проведение конкурсов на замещение вакансий;

• аттестование сотрудников предприятия в целях подтвержде­ния профессиональной квалификации, возможного выдвижения на более высокие должности, для создания резерва кандидатов на продвижение по службе;

• проверка с использованием баз учета органов внутренних дел (наличие судимости, нахождение под следствием, в розыске и т.д.

• проверка финансового состояния и кредитной истории.

К основным группам качеств для сравнения кандидатов отно­сятся: профессиональные, образовательные, организационные и личные. Основным требованием при отборе является тщательное изучение деловых, моральных и этических данных каждого кан­дидата путем глубокого изучения его трудового прошлого.

Юридическое обеспечение — заключение контракта и получе­ние сотрудника добровольного согласия на соблюдение требований, регламентирующих режим безопасности и сохранения ком­мерческой и других тайн, в том числе:

• обязанности сохранять в тайне информацию ограниченного доступа, полученную в ходе трудовой деятельности и после пре­кращения трудовых отношений;

• права собственности предприятия на результаты интеллекту­альной деятельности работника, созданные в рамках выполнения трудового договора;

• обязанности работника возвратить полученные в ходе трудо­вой деятельности носители информации ограниченного доступа;

• обязанность не использовать сведения, составляющие ком­мерческую тайну предприятия, после смены места работы в ходе трудовой деятельности на других предприятиях;

• обязанности выполнять требования по защите информации ограниченного доступа, установленные как законодательством, так внутренними правилами и инструкциями предприятия;

• обязанности использовать технические средства обработки информации и средства связи (телекоммуникации), принадлежа­щие предприятию, только в служебных целях.

Договорные (контрактные) обязательства по вопросам защи­ты государственной тайны определяются в соответствии с «Ин­струкцией о порядке допуска должностных лиц и граждан Рос­сийской Федерации к государственной тайне», утвержденной по­становлением Правительства Российской Федерации 1995 г. № 1050.

Изучение персонала службой безопасности осуществляется в рамках Закона Российской Федерации от 11 марта 1992 г. № 2487-1 «О частной детективной и охранной деятельности в Рос­сийской Федерации»*, а также с учетом конституционных прав и свобод граждан.

Обучение осуществляется по двум направлениям — обучение персонала, обеспечивающего защиту информации с ограничен­ным доступом, и обучение персонала, использующего в своей ра­боте такую информацию. Основные формы обучения персонала первой группы — вечерняя и заочная, в учебных заведениях выс­шего и среднего профессионального образования, на курсах под­готовки, переподготовки и повышения квалификации, на рабочем месте под руководством более опытного работника, при ста­жировке в однопрофильных организациях, инструктажи, конфе­ренции и т.п. Основная форма обучения персонала второй груп­пы — проведение занятий и инструктажи — вводный, на рабочем месте, по отдельным вопросам, при выявлении нарушений.

Стимулирование труда применяется для поощрения добро­совестности и бдительности персонала при выполнении обязан­ностей по защите информации ограниченного доступа. Основные формы поощрения: материальное, финансовое, моральное, про­движение по службе.

Применение мер дисциплинарной, административной и ма­териальной ответственности в виде дисциплинарных взыска­ний, административных штрафов, возмещения материального ущерба, увольнения.

Контроль действий персонала по подчиненности; периоди­ческий и внезапный контроль подразделением защиты информа­ции, в том числе через доверенных лиц, контроль переговоров по служебным средствам связи, с использованием средств контроля доступа, администрирования, видеонаблюдения. Проводится так­же контроль обученности персонала вопросам защиты информа­ции.

Оценка деятельности тесно связана с контролем, стимулиро­ванием труда и применением дисциплинарных, административ­ных и других мер воздействия.

Организационно-правовое обеспечение — разработка внутрен­них нормативных актов по защите информации ограниченного доступа и изучение ее с персоналом; анализ и оценка эффектив­ности и достаточности принимаемых мер защиты информации.

Обмен информацией о кадрах с близкими по профилю орга­низациями и контрагентами осуществляется службой безопас­ности предприятия с санкции его руководителя и с учетом зако­нодательства о персональных данных. Сотрудники должны быть убеждены, что при наличии нарушений информация о них может быть направлена по новому месту работы.

Материально-техническое обеспечение персонала по вопро­сам защиты информации заключается в обеспеченности персо­нала техническими средствами обработки и хранения информа­ции, соответствующими установленным требованиям, наличии не­обходимого оборудования, расходных материалов, защищенных средств связи и т.п.

Ротация кадров является необходимым условием уменьше­ния рисков, связанных со сговорами и круговой порукой, могу­щими привести к хищению информации ограниченного доступа или сокрытию фактов ее утраты.

Безопасность персонала включает принятие мер по защите наиболее привлекательных с точки зрения противоправных акиий сотрудников предприятия (руководителей и их заместителей, лиц с широкими правами доступа на объекты защиты и к инфор­мации, осуществляющих хранение информации и т.п.). Может осуществляться как службой безопасности предприятия (в рамках Закона Российской Федерации от 11 марта 1992 г. № 2487-1 «О частной детективной и охранной деятельности в Российской Федерации»), так и специализированными охранными фирмами.