4.3 Консультации и обмен информацией

Организация должна иметь процедуры, обеспечивающие доведение до сведения персонала информации, относящейся к промышленной безопасности и здоровью и процедуры получения информации от персонала и заинтересованных сторон.

Участие служащих и организацию консультаций следует документировать и сообщать об этом заинтересованным сторонам. Работники организации должны бытьпроинформированы о том, кто является их представителем по вопросам безопасности и здоровья, и кто является специально назначенным представителем высшего руководства (п. 4.4.1).

4.4 Документация

Организация должна разработать и поддерживать в рабочем состоянии, в бумажном или электронном виде, информацию, которая:

a) описывает основные элементы системы управления и их взаимодействие;

b) направляет к смежной документации.

Примечание: важно, чтобы эта документация была сведена к минимуму, требуемому для эффективности и продуктивности.

4.5 Управление документацией и данными

Организация должна разработать и поддерживать в рабочем состоянии процедуры проверки всех документов и данных, требуемых спецификацией OHSAS с тем, чтобы их можно было их найти и они подвергались периодическому анализу, по необходимости исправлениям, а их адекватность подтверждалась уполномоченным лицом.

4.6 Управление операциями

Организация должна определить те операции и виды деятельности, которые связаны с определенными рисками, для которых нужно применить меры контроля. Организация должна планировать эти виды деятельности, включая поддержание в рабочем состоянии, чтобы они проводились в установленных условиях.

4.7 Аварийная готовность и ответная реакция

Организация должна разработать и поддерживать в рабочем состоянии планы и процедуры для идентификации возможности и ответной реакции на инциденты, несчастные случаи, аварийные ситуации, а также для предотвращения и сокращения возможных заболеваний и травм, которые могут быть с этим связаны.

Организация также должна периодически тестировать такие процедуры там, где это осуществимо.

5.1 Проведение измерения и мониторинг

Организация должна разработать и поддерживать в рабочем состоянии на регулярной основе процедуры мониторинга и измерений функционирования системы. Эти процедуры должны обеспечить как качественные, так и количественные измерения, соответствующие нуждам организации.

5.2 Инциденты, несчастные случаи, несоответствия, корректирующая и предотвращающая деятельность

Все предложенные корректирующие и предупреждающие действия перед их внедрением необходимо анализировать с точки зрения процесса оценки их рисков.

5.3 Регистрация данных и управление записями

Организация должна разработать и поддерживать в рабочем состоянии процедуры идентификации, поддержки и хранения OH&S записей, также как и результатов аудитов и обзоров (анализа).

5.4 Аудит

Организация должна разработать и поддерживать в рабочем состоянии программу независимого аудита и процедуры периодических проверок системы управления. Программа аудитов, включая любой график, должна базироваться на результатах оценивания риска в процессе работы организации и результатах предыдущих аудитов.

6. Анализ со стороны руководства

Высшее руководство организации должно через запланированные интервалы проводить анализ системы управления в области профессиональной безопасности и здоровья в те промежутки времени, которые оно установит, с целью обеспечить ее постоянную пригодность, адекватность и эффективность.

Работа высшего руководства заключается в анализе входных данных с целью определения того, насколько Система дала определенные результаты в следующих областях:

– готовность организации к аварийным ситуациям;

– СМБОТ соответствует требованиям законодательства, а значит, нет угрозы закрытия;

– СМБОТ соответствует Политике и целям в области безопасности и охраны труда;

– системный подход внедрен и получены результаты аудита, по которым можно судить о выполнении требований высшего руководства, что, в свою очередь говорит об исполнительской дисциплине;

– выявлены проблемы, но разработанные корректирующие действия дали определенные результаты, анализ которых показал правильность идентификации причин и возможность полного устранения недостатков;

– персонал «включился в систему» и предлагает реальные мероприятия по улучшению, реализовав которые можно достигнуть определенных улучшений в СМБОТ.

Сравнение директив безопасности

Йоханнес Зауэр

Управление безопасностью в соответствии с ITIL, ISO и BSI.

Современным предприятиям адекватный уровень безопасности нужен сегодня больше, чем когда-либо. Деловые и ИТ-процессы переплетаются все теснее: качество первых сильно зависит от готовности служб ИТ, а недоступность последних часто отрицательно сказывается на конкурентоспособности. В связи с этим вот уже в течение многих лет прослеживается тенденция к стандартизации методов и мероприятий в области безопасности информационных технологий.

В последние годы в области безопасности ИТ появилось множество стандартов. Все они нацелены на реализацию адекватной защиты информационных технологий. Соответствующие своды правил и эталонные модели описывают британская ITIL, британский стандарт BS 7799, опирающийся на него стандарт ISO/IEC 17799 и руководство по базовой защите, изданное германским ведомством по безопасности информационной техники (BSI).

Эталонная модель ITIL

Библиотека инфраструктуры ИТ (Information Technologies Infrastructure Library, ITIL) своим появлением обязана стремлению британских властей разработать стандартизированный метод для улучшения качества, безопасности и экономичности процессов ИТ. Для этого Управление государственной торговли Великобритании вместе с предприятиями и организациями выработало эталонную модель, в рамках которой возможна универсальная реализация процессов ИТ.

Содержащаяся в своде правил ITIL библиотека процессов предлагает практическую методологическую модель для внедрения стандартизированных процессов в управлении службами ИТ (IT Service Management, ITSM). Главные задачи — улучшение качества услуг ИТ для непрерывных процессов и обеспечение их экономической эффективности. Библиотека процессов делится на несколько разделов. Важнейшие базовые процессы описываются в разделах Service Delivery (доставка услуг) и Service Support (поддержка услуг). Теме безопасности ИТ отводится раздел Security Management (управление безопасностью).

Управление безопасностью в соответствии с ITIL преследует две крайне важные цели:

выполнение требований по безопасности, содержащихся в соглашениях об уровне сервиса (Service Level Agreement, SLA), и других внешних требований, следующих из договоров, законов и правил корпоративной безопасности (политики);

создание определенной (не специфицированной более подробно) базовой защиты.

ITIL, как и BS 7799, уходит корнями в 1980-е гг. С тех пор она утвердилась в качестве стандарта де-факто для моделирования, реализации и управления деловыми процессами ИТ. Возможности сертификации предприятия на соответствие требованиям ITIL в данный момент не существует, вместо этого

ответственные лица могут подтвердить свое знание ITIL и стать обладателями сертификата ITIL Foundation Certificate. Его наличие является необходимым условием для получения базирующегося на нем и значительно более всеобъемлющего сертификата ITIL Service Manager Certificate.

BS 7799 И ISO 17799

British Standard 7799, как и ITIL, содержит практический опыт, которым предприятия и организации могут воспользоваться при реализации мер но обеспечению безопасности ИТ. Уже в конце 80-х гг. у британских властей возникла идея введения стандарта в области безопасности информации. Это привело к разработке «Системы правил управления безопасностью информации» под руководством Министерства торговли и промышленности. Первая часть BS 7799 была опубликована в качестве стандарта в 1995 г. Всего же в BS 7799 Две части:

BS 7799, часть 1 (ISO/IEC 17799) - руководство по управлению информационной безопасностью;

BS 7799- часть 2 - спецификация систем управления информационной безопасностью.

Если в первой части предлагаются лишь рекомендации по принятию необходимых мер, то во второй — определяются методы и требования к системе управления информационной безопасностью (Information Security Management System, ISMS). Поскольку BS 7799 привлек к себе внимание специалистов других стран, в январе 2000 г. первая часть была преобразована в стандарт Международной организации по стандартизации (International Organization for Standardization, ISO). ISO/IEC 17799:2000 в данный момент находится на доработке и предположительно летом текущего года будет опубликована в версии 17799:2005э Главные цели ISO/IEC 17799 включают в себя следующее:

определение практически полезных минимальных требований в области безопасности ИТ;

создание общей базы для предприятий, заинтересованных в разработке, реализации и измерении эффективной системы безопасности;

предоставление контрольного стандарта для управления безопасностью ИТ в пределах организации.

ISO/IEC 17799:2000 состоит из десяти тематических разделов, где содержится 127 рекомендаций, которые не представляют собой обязательных норм. Потому сертификация возможна лишь в рамках BS 7799-2.

Руководство BSI

Еще один возможный подход опирается на руководство по базовой защите информационных технологий BSI. Каждые полгода но мере накопления и приобретения новых знаний об информационных опасностях и технологиях BSI обновляет руководство. Оно содержит описание стандартных мер по безопасности, указания по реализации, вспомогательные средства для многочисленных наиболее часто используемых конфигураций ИТ и нацелено на решение регулярно возникающих проблем, поддержание повышенного уровня безопасности и упрощение разработки концепции безопасности ИТ. Предлагаемые здесь стандартные меры ориентируются на среднюю потребность в защите, типичную для большинства систем ИТ.

Исходным пунктом для выбора адекватных мер безопасности является так называемая концепция безопасности, которая вырабатывается на основе имеющихся процессов. Для того же сначала на предприятии проводится анализ структуры с целью определения фактического состояния систем ИТ и приложений, а затем устанавливается степень потребности в защите (планируемое состояние). Базирующееся на этих результатах сравнение желательных показателей с фактическими отражает дефицит безопасности, на основе чего определяются необходимые мероприятия (см. Рисунок 1). Весьма полезным оказывается построение руководства в виде блок-схемы, благодаря которому становится возможным простое применение комплексных мер.

Метод эффективен во многом благодаря тому, что цель создания измеряемой базовой защиты ИТ достигается без дорогостоящего анализа рисков. Дополнительный анализ (к примеру, анализ рисков и угроз) необходим лишь в том случае, если система нуждается в более высоком уровне безопасности. BSI предлагает предприятиям сертификацию: сертификат базовой защиты информационных технологий. Кроме того, существует возможность «самопознания», включающая две ступени: «начальный уровень базовой защиты ИТ» и «стандартный уровень базовой защиты ИТ».

Сравнение подходов

Все три подхода преследуют цель долгосрочного обеспечения безопасности ИТ и отличаются лишь лежащими в их основе принципами.

Руководство BSI по базовой защите ИТ предлагает структурированный метод создания концепции безопасности и реализации управления безопасностью ИТ. В нем четко описываются необходимые шаги по разработке концепции безопасности. Во многом благодаря такой процессной структуре его использование оказывается очень эффективным. Комплекс мер очень конкретен, и в некоторых случаях даже приводятся значения параметров, которые непосредственно могут быть реализованы в соответствующей системе ИТ. Это очевидная сильная сторона модели BSI. Степень детализации рекомендаций но предлагаемым мерам позволяет быстро внедрить адекватный уровень безопасности информационных технологий. Однако такая техническая глубина не всегда оправдана при интеграции в области деловых процессов, где требуется более высокая степень абстракции. Так, к примеру, руководство BSI не описывает, как предприятие может интегрировать ISMS в уже существующие процессы.

В противовес этому TSO/TEC 17799 описывает требования к мерам по безопасности ИТ скорее с информационной точки зрения и ориентируется на некий типовой уровень. 127 общепризнанных рекомендаций ISO/IEC 17799 чосят все же примерный характер: они служат в качестве ориентира и не обязательны к исполнению. Так, пользователь не найдет советов по поводу длины пароля и прочих деталей конфигурации систем ИТ, как это свойственно для руководства по базовой безопасности систем ИТ. Такой описательный подход позволяет провести общее определение целей безопасности, не вникая во все технические детали.

Оба названных стандарта концентрируются исключительно на безопасности ИТ, между тем как ITIL появилась вследствие совершенно иной мотивации. Хотя безопасность ИТ — очень важная часть самых разных базовых процессов ITIL, к примеру управления непрерывностью, первичной мотивацией внедрения ITIL являются цели бизнеса: ITIL в первую очередь нацелена на то, чтобы адаптировать ландшафт ИТ к требованиям пользователей и клиентов. В этот иерархический процессный подход включается и управление безопасностью. Поэтому внедрение системы управления безопасностью в соответствии с 1TIL имеет смысл лишь тогда, когда организация ИТ уже отвечает требованиям ITIL или ее планируется привести в соответствие с ними. Тогда станет возможным обращаться к имеющимся процессам ITIL и дополнять их функциями и процессам и безопасности.

Внедрение управления безопасностью в соответствии с ITIL оказывает значительное влияние на организацию служб ИТ: свод правил предусматривает дополнение всех базовых процессов значительным — относящимся к безопасности — содержимым (Service Desk, например, в качестве единой точки обращения за помощью). При этом могут использоваться имеющиеся структуры процессов и инструменты отчетности. ITIL предлагает возможность определения ключевого индикатора производительности (Key Performance Indicator, KPI) для измерения эффективности на основе количественных характеристик. Так, об эффективности принятых мер можно судить по количеству инцидентов в области безопасности за определенный промежуток времени.

Кроме того, база данных управления конфигурацией (Configuration Management Database, CMDB) предоставляет централизованную структуру данных. Она очень хорошо расширяется в соответствии с требованиями трех целей защиты: готовности, надежность и целостность. Таким образом оказывается доступен всеобъемлющий инструмент с широким набором интерфейсов. Что касается ISMS, то IT1L в этом случае ссылается на BS 7799 как на эталон в управлении безопасностью, а в приложении А дастся сравнение ITIL и BS 7799.

В случае всех трех подходов речь идет о признанных на международном уровне стандартах безопасности информационных технологий, причем ITIL, в силу исторических причин, занимает особое место. Каждый отличается своими особенностями. Одним из возможных критериев выбора может быть стремление или потребность сертификации: ITIL предлагает лишь возможность персональной сертификации; сертификация в рамках BS 7799 проводится только для второй части (7799-2), а сертификат базовой защиты ИТ, напротив, включает в себя проверку определенного в нем управления безопасностью ИТ, а также реализацию соответствующих мер. На практике часто предлагается своего рода комбинация в целях наилучшего использования особенностей содержания и методов каждого стандарта.

2.4.3. Державне регулювання промисловою безпекою в Україні.

Після великих аварій, що сталися протягом останніх років на видобувних підприємствах України, підвищення рівня промислової безпеки проголошено одним із основних пріоритетів її державної політики. Рішення цієї проблеми — стратегічне завдання як центрального органу виконавчої влади - Міністерства України з питань надзвичайних ситуацій та у справах захисту населення від наслідків Чорнобильської катастрофи, так і урядового органу державного управління – Державного департаменту промислової безпеки, охорони праці та гірничого нагляду.

У програмі Кабінету Міністрів України „Назустріч людям” відображені як пріоритети діяльності, так і стратегічна мета - захист прав і свобод людей та запровадження соціальних, економічних і демократичних європейських стандартів життєдіяльності людей.

Органи Держпромгірнагляду впродовж останніх років, керуючись основними пріоритетними напрямами державної політики в галузі промислової безпеки, проводили роботу щодо забезпечення реалізації конституційного права працівників на безпечні умови праці, недопущення аварій та аварійних ситуацій, запобігання нещасним випадкам та професійним захворюванням. Але сучасні економічні відносини, розвиток нових форм власності, інтенсивність нарощування обсягів виробництва, курс України на вступ до Європейського Союзу - все це потребує принципово нового підходу до питань промислової безпеки й охорони праці в країні, а також змін в ідеології власника щодо відповідальності за життя і здоров’я найманих працівників

Початком створення спеціальних організаційних форм, що будуть забезпечувати управління безпекою в галузі промисловості в Україні можна вважати виданий у 1719 році Петром І Указ про створення Берг-колегії (гірничої колегії). Після скасування кріпосного права в Російській імперії у 1861 році, було започатковано нову організаційну форму управління промисловою безпекою - орган спеціального нагляду за безпекою робіт у гірничій промисловості, який мав назву “гірнича поліція”. Згодом, з розширенням державного нагляду за безпечним веденням робіт в інших галузях промисловості, цей орган трансформувалася у сучасний Державний комітет України з нагляду за охороною праці.

На сьогодні структура управління промисловою безпекою в Україні має наступний вигляд (рис. 2.8).

Рис.2.8 – Державне управління промисловою безпекою в Україні

Територіальні управління – найбільш наближений до підприємств орган. Він сприяє виконанню комплексу заходів, надаватиме методичну, правову допомогу підприємствам, роботодавцям; сприятиме проведенню семінарів, навчань, перевірці знань, поширенню досвіду роботи з питань охорони праці, інформаційному забезпеченню населення про стан, причини травматизму та заходи щодо їх попередження тощо.

На низовому рівні функцію управління промисловою безпекою покладено на керівників підприємств та відповідні служби.