5. Порядок проведения закрытых совещаний и переговоров

Разрешение на проведение совещаний и переговоров по воп­росам, составляющим коммерческую тайну, имеют право давать руководители фирмы и лица, уполномоченные ими.

Руководитель, давший разрешение на проведение такого совещания (переговоров), назначает ответственного. Последний составляет список его участников с указанием фамилии, имени и отчества, должности и предприятия.

На совещание пропускаются только те лица, фамилии которых указаны в списке.

Проводящий совещание (переговоры) обязан напомнить участникам встречи о необходимости сохранения коммерческой тайны и уточнить конкретно, какие сведения являются охраняемыми. Это напоминание фиксируется в протоколе совещания (переговоров).

Совещания проводятся в специально отведенных для этого помещениях, исключающих возможность применения визуально-оптических, акустических и других технических средств, которые могут быть использованы злоумышленниками как в самом помещении, так и за его пределами.

На каждом совещании, связанном с вопросами, составляющими коммерческую тайну, ведется протокол (письменный или магнитная запись), в котором фиксируются доклад, информация, выступления, вопросы, решения пофамильно.

Отдельные переговоры по вопросам коммерческих секретов оформляются в виде записи бесед.

Все материалы в копии передаются в группу обеспечения безопасности внешней деятельности СБ.

6. Организация архивного хранения конфиденциальных документов

Документы текущего делопроизводства по истечении года могут быть переданы на хранение в архив предприятия.

Оформление и передача дел с документами с грифом «КТ» осуществляются в соответствии с требованиями инструкции по организации хранения дел, содержащих конфиденциальную информацию, в архиве.

Инструкция по организации хранения дел отражает основные технические операции, в том числе:

— прием дел, содержащих конфиденциальную информацию, в архив;

— составление и оформление сводной описи дел, содержащих

конфиденциальную информацию;

— составление и оформление сводной описи по личному составу;

— учет документов, содержащих конфиденциальную информацию.

ЛЕКЦИЯ 6

Организация и управление отделом (службой) защиты информации

1. Цели и основные принципы системы защиты информации предприятии

Целями системы защиты информации предприятия являются:

предотвращение утечки, хищения, утраты, искажения, подделки информации;

• предотвращение утечки, хищения, утраты, искажения, подделки информации;

• предотвращение угроз безопасности личности, предприятия, общества, государства;

• предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокировании информации;

• предотвращение других форм незаконного вмешательства в информационные ресурсы и системы, обеспечение правового режима документированной информации как объекта собственности;

• защита конституционных прав граждан на сохранение лично тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

• сохранение, конфиденциальности документированной информации в соответствии с законодательство.

Для грамотного построения и эксплуатации системы защиты необходимо соблюсти следующие принципы ее применения:

• простота защиты;

• приемлемость защиты для пользователей;

• подконтрольность системы защиты;

• постоянный контроль за наиболее важной информацией;

• дробление конфиденциальной информации на составляющие элементы, доступ к которым имеют разные пользователи;

• минимизация привилегий по доступу к информации;

• установка ловушек для провоцирования несанкционированны действий;

• независимость системы управления для пользователей;

• устойчивость защиты во времени и при неблагоприятных обстоятельствах;

• глубина защиты, дублирование и перекрытие защиты;

• особая личная ответственность лиц, обеспечивающих безопасность информации;

• минимизация общих механизмов защиты.

2.Алгоритм создания системы защиты информации

Создание системы защиты информации проводят по следующему алгоритму:

• Определение объектов защиты.

• Выявление угроз и оценка их вероятности.

• Оценка возможного ущерба.

• Обзор применяемых мер защиты, определение степени их достаточности.

• Определение адекватных мер защиты (организационных, финансовыхи юридических.

• Внедрение мер защиты.

• Контроль.

• Мониторинг и корректировка внедренных мер.

Детально алгоритм создания системы защиты информации выглядит следующим образом: 1. Начальник службы защиты информации, приказом руководителя предприятия назначается во главе группы компетентных сотрудников, которые высказывают свои предложения по объему, уровню и способам обеспечения сохранности конфиденциальной информации. 2. Руководитель группы, обладая соответствующей квалификацией в этой области, с привлечением отдельных специалистов формирует предварительный список сведений, которые в дальнейшем войдут в «Перечень сведений, составляющих конфиденциальную информацию предприятия». 3. Руководитель группы на основе этого списка определяет и представляет на согласование необходимые к защите объекты (оборудование для обработки и обращения информации, программно обеспечение, коммуникации для передачи конфиденциальны данных, носители информации, персонал, допущенный к работе с использованием коммерческой и иной тайны). 4. Анализируются существующие меры защиты соответствующих объектов, определяется степень их недостаточности, неэффективностью, физического и морального износа. 5. Изучаются зафиксированные случаи попыток несанкционированного доступа к охраняемым информационным ресурсам и разглашения информации. 6. На основе опыта предприятия, а также используя метод моделирования ситуаций, группа специалистов выявляет возможные пути несанкционированных действий по уничтожению информации, ее копированию, модификации, искажению, использованию и т. п. Угрозы ранжируются по степени значимости и классифицируются по видам воздействия. 7. На основе собранных данных оценивается возможный ущерб предприятия от каждого вида угроз, который становится определяющим фактором для категорирования сведений в «Перечень» по степени важности, например — для служебного пользования, конфиденциально, строго конфиденциально. 8. Определяются сферы обращения каждого вида конфиденциально информации: по носителям, по территории распространения, по допущенным пользователям. Для решения этой задач группа привлекает руководителей структурных подразделений и изучает их пожелания. 9. Группа подготавливает введение указанных мер защиты. Для обеспечения работоспособности разработанной системы защиты информации необходимо создать специальный отдел в составе организации, занимающийся данными вопросами – Службу защиты информации (СлЗИ).

3. Задачи и состав службы защиты информации К задачам СлЗИ относятся:

• Своевременное выявление угроз защищаемой информации компании, причин и условий их возникновения и реализации.

• Выявление и максимальное перекрытие потенциально возможных каналов и методов несанкционированного доступа к информации.

• Отработка механизмов оперативного реагирования на угрозы, использование юридических, экономических, организационных, социально-психологических, инженерно-технических средств и методов выявления и нейтрализации источников угроз безопасности компании.

• Организация специального делопроизводства, исключающего несанкционированное получение конфиденциальной информации.