1. Установление четких целен и задач. Первым условием эффективной мотивации является знание работниками их целей и целей организации. Какими бы эффективными ни были формы мотивации, они не принесут ожидаемых плодов, если человек не знает, каких результатов он должен достичь и какие задачи выполнить. Поэтому необходимо устанавливать своим сотрудникам конкретные ясные и реальные (выполнимые) цели и задания. Работник должен четко представлять себе и понимать, чего от него ждут. Желательно, чтобы подчиненные сами участвовали в постановке целей и задач, тогда они лучше будут понимать необходимость и целесообразность выполняемой работы.

2. Увязка целей и вознаграждения, определение критериев оценки. Работники должны знать, какое вознаграждение они получат при определенных результатах работы. Следует принимать во внимание теорию ожиданий.

3. Гласность. Наличие обратной связи. Оглашение результатов работы само по себе является мотивирующим фактором. Сообщение о результатах работы каждого сотрудника может стимулировать трудовую деятельность, создавая настрой состязательности.

4. Сообщение же о результатах работы всего коллектива (при условии здорового климата в коллективе) создает у работников чувства причастности и ответственности. Информирование о вознаграждениях по результатам работы и объяснение объективной разницы в их размерах помогает избежать чувства обиды и несправедливости у некоторых работников.

5. Создание благоприятных условий для эффективной работы.

6. Необходимо постараться создать здоровый климат в коллективе, условия привлекательности труда, эстетичности трудового места. Нельзя забывать и о том, что производительность труда не всегда зависит только от самого работника, применяемые технологии и организация производства часто бывают решающими факторами.

7. Единство моральных и материальных методов стимулирования.Внастоящее время большое внимание уделяется материальному стимулированию, и это не случайно, ведь деньги и материальные блага обеспечивают существование людей. Однако не стоит недооценивать роль морального стимулирования. Часто признание заслуг работника, доверие ответственного задания или даже простая похвала могут принести большие результаты, чем премии. Поэтому важно сочетать моральное и материальное стимулирование, дополнять одно другим.

8. Учет личныхкачеств работников. Характер восприятия, способности, системы ценностей и другие характеристики конкретного человека определяют факторы мотивации, способные оказывать на него наибольшее воздействие.

9. Использование преимущественно положительных стимулов. Преобладание штрафов, нареканий со стороны начальства и другие стимулы отрицательного воздействия могут привести к напряженной обстановке в коллективе, боязни сотрудников брать на себя ответственность за какие-либо решения или действия, к сокрытию информации, а иногда и потере ценных сотрудников.

Вопрос 2.4. Контроль деятельности подразделения по защите информации

Понятиеисостав функцииконтроля деятельности подразделения по защите информации

Контроль деятельности подразделения по защите информации является продолжением планирования деятельности данного подразделения и сопровождает процесс реализации планов по защите информации в организации. Он предполагает определение и документирование фактических показателей (результатов реализации решений) и сравнение их с плановыми показателями для установления результатов деятельности подразделения по защите информации. Контроль включает также анализ отклонений от запланированных показателей. Сравнение и анализ стимулируют новые процессы принятия решения на защиту информации, которые в свою очередь инициируют проведение корректирующих мероприятий по защите информации. Контроль становится действенным лишь тогда, когда по его итогам или в его ходе принимаются меры по устранению недостатков и причин, порождающих нарушения в области защиты информации.

Контроль деятельности по защите информации – это постоянный процесс, обеспечивающий достижение целей по защите информации путем своевременного обнаружения возникающих в ходе деятельности организации проблем и изменений в области защиты информации.

Благодаря контролю подразделение по защите информации имеет возможность устранять помехи на пути выполнения плановых заданий, поэтому контроль можно определить как процесс, при помощи которого подразделение обеспечивает достижение целей защиты информации. Вместе с тем контроль позволяет определить, какая деятельность по защите информации на пути достижения цели была наиболее эффективна.

Контроль также способствует укреплению дисциплины в организации и соблюдению законности в области защиты информации. Благодаря ему обеспечивается единство решений и их исполнение, достижение поставленных задач защиты информации, а также предупреждаются ошибки и недоработки в области защиты информации.

Главный смыслконтроля заключается в создании гарантий выполнения планов и в повышении эффективности управленческого процесса по защите информации. При этом контроль защиты информации не должен ограничиваться только рамками деятельности подразделения по защите информации. Он должен входить в обязанности руководителя любого структурного подразделения организации.

Главные инструменты выполнения функции контроля – наблюдение, проверка всех сторон деятельности в области защиты информации, учет и анализ такой деятельности.

Учет – это сбор, регистрация и обобщение всей информации, необходимой для принятия управленческих решений в области защиты информации. Учет является информационной базой контроля.

Важную роль в подготовке информации, необходимой для принятия и обоснования управленческих решений в области защиты информации, играет анализ,в процессе которого осуществляется всесторонняя оценка функционирования объекта защиты, анализируются причины отклонений от запланированного уровня защищенности, определяются возможные альтернативы управленческих решений в области защиты информации.

Контроль защиты информации – это критически важная функция управления защитой информации, так как только она обеспечивает обратную связьв системе управления подразделением по защите информации. Остальные функции (планирование, организация, мотивация) обеспечивают прямую связь с объектом защиты. Контроль можно считать элементом обратной связи, так как по его данным производится корректировка ранее принятых решений по защите информации. Другими словами, система контроля обеспечивает обратную связь между ожиданиями, определенными первоначальными планами, и реальными показателями деятельности подразделения по защите информации.

Система контроля деятельности по защите информации характеризуется определенной целенаправленностью.Это свойство системы проявляется в том, что все элементы и звенья контроля служат общей цели – обеспечению эффективного управления защитой информации в организации.

Важно выделить еще одну характерную черту контроля как системы. Контроль является информационной системой,включающей сбор, обработку, хранение и передачу контрольной информации. Посредством информации контроль связан с другими системами и подсистемами. Эта связь характеризуется информацией, создаваемой внутри системы контроля, которую он получает от других систем и которую он посылает в окружающую среду.

Сотрудники подразделения по защите информации, сотрудники структурных подразделений организацииявляются неотъемлемым элементом контроля. Следовательно, при разработке контроля выполнения требований в области защиты информации необходимо учитывать их поведение.

Понятие «контроль» можно рассматривать в трех основных аспектах:

как функцию управления или элемент управления подразделением защиты информации;

как целенаправленную деятельность в области защиты информации;

как систему органов, осуществляющих контроль деятельности в области защиты информации.

При этом необходимо учитывать, что эти три стороны контроля представляют единое целое. В то же время контроль является сложной системой и нуждается в управлении.

В целом процесс контроля деятельности по защите информации можно разбить на следующие последовательные этапы: формулирование цели защиты информации формирование стандартов по защите информации разработка критериев оценки защиты информации  разработка систем показателей защиты информации  проведение процедуры сравнительного анализа  обобщение полученной информации и корректировка деятельности по защите информации.

Основные требования к контролю:

стандартизация;

простота;

доступность;

гибкость;

комплексность;

своевременность;

базирование на реальных целях и объективной информации;

экономичность.

Общие цели контроля:

уменьшение отклонений от норм и стандартов;

уменьшение неопределенной деятельности;

предотвращение кризисных ситуаций.

Современные виды контроля:

мониторинг – непрерывное поступление информации;

контроллинг – оценка экономичности;

бенчмаркинг (управленческая процедура, которая состоит в том, чтобы в практику работы организации внедрять технологии, стандарты и методы деятельности лучших организаций – аналогов).

Виды контроля деятельности подразделения по защите информации

Контроль деятельности подразделения по защите информации можно разделить на два основных вида – внешний и внутренний.

Внешний контроль осуществляется различного рода государственными органами, а также может осуществляться аудиторскими организациями.

Внутренний контроль осуществляется службой безопасности организации и подразделением по защите информации организации.

Внешний контроль:

1. За обеспечением защиты государственной тайны - межведомственный и ведомственный. Осуществляется в органах государственной власти, на предприятиях, в учреждениях и организациях федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области обороны, федеральным органом исполнительной власти, уполномоченным в области внешней разведки, федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, и их территориальными органами, на которые эта функция возложена законодательством Российской Федерации.

Органы государственной власти, наделенные полномочиями по распоряжению сведениями, составляющими государственную тайну, обязаны контролировать эффективность защиты этих сведений во всех подчиненных и подведомственных их органах государственной власти, на предприятиях, в учреждениях и организациях, осуществляющих работу с ними.

2. За обеспечением защиты персональных данных - осуществляется федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.

Контроль и надзор за соответствием обработки персональных данных требованиям закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.

Внутренний контроль

Осуществляется в отношении защиты всех видов информации с ограниченным доступом. Проводится руководством организации, внутренними проверочными комиссиями, службой безопасности и подразделением по защите информации и подразделяется на текущий (постоянный), периодический (плановый) и внезапный.

Основные понятия в области контроля

Целью контроля является установление степени соответствия принимаемых мер по защите информации требованиям законодательных и иных нормативных правовых актов, стандартов, норм, правил и инструкций, выявление возможных каналов утечки и несанкционированного (неправомерного, противоправного) доступа к информации, выработка рекомендаций по закрытию этих каналов.

Основные задачи контроля:

оценка деятельности органов управления по методическому руководству и координации работ в области защиты информации в подчиненных подразделениях;

выявление каналов утечки информации об объектах защиты и несанкционированного доступа к информации (воздействия на информацию), анализ и оценка возможностей злоумышленников по ее получению;

выявление работ с защищаемой информацией, выполняемых с нарушением установленных норм и требований по защите информации, и пресечение выявленных нарушений;

анализ причин нарушений и недостатков в организации и обеспечении защиты информации, выработка рекомендаций по их устранению;

анализ состояния защиты информации в подразделениях предприятия, информирование руководства предприятия, подготовка предложений по совершенствованию защиты информации;

предупреждение нарушений по защите информации при проведении работ с защищаемой информацией и ее носителями.

Направлениями контроля состояния защиты информации являются:

контроль деятельности и состояния работ по противодействию ИТР и технической защите;

контроль с применением технических средств эффективности мер защиты объектов, информационных систем, средств и систем связи и управления на всех стадиях их жизненного цикла;

контроль эффективности защиты автоматизированных систем обработки информации от несанкционированного доступа, от специальных воздействий на информацию и средства ее обработки с целью разрушения, уничтожения, искажения и блокирования информации;

контроль эффективности мероприятий по защите информации в системах связи, автоматизированного управления;

контроль за соблюдением установленного порядка передачи служебных сообщений должностными лицами предприятия, выполняющими работы, связанные со сведениями, составляющими государственную или служебную тайну.

Основные принципы контроля

наделение органов контроля необходимыми полномочиями, позволяющими им должным образом влиять на контролируемые объекты и обеспечивающими эффективность и действенность контроля;

независимость органов контроля от должностных лиц контролируемых объектов при осуществлении своих полномочий;

соблюдение законности в работе органов контроля и их должностных лиц;

системность и регулярность в проведении контроля;

профессионализм сотрудников органов контроля, применение ими методов и средств проведения проверок в соответствии с действующими нормативно-методическими документами, единая информационная база органов контроля по нормам, методикам и средствам контроля;

объективность анализа обстоятельств и причин нарушений в состоянии защиты информации;

наличие обратной связи с контролируемыми объектами, обеспечивающей объективность сведений о состоянии защиты информации и о ходе устранения вскрываемых нарушений и недостатков;

экономическая целесообразность функционирования контрольных органов - оптимальное сочетание результативности их деятельности с затратами на их содержание.

Функции органа контроля:

организация и осуществление контроля выполнения требований по защите информации силами подразделений ЗИ и специализированных организаций;

сбор, анализ и обобщение материалов о состоянии защиты информации по результатам проверок;

информирование об эффективности мер и состоянии работ по защите информации руководства организации.

Основные методы контроля:

проверки выполнения требований по защите информации;

изучение состояния защиты информации;

испытание системы защиты информации;

наблюдение за выполнением требований по защите информации;

зачетов, экзаменов, тестирования;

провокация в области защиты информации;

атаки на систему защиты информации;

отзыв и изучение документов, регламентирующих деятельность в области защиты информации.

Периодичность проведения проверок состояния дел по защите информации определяется исходя из высшего грифа конфиденциальности обрабатываемой (циркулирующей) в ней информации или установленной категории по требованиям обеспечения защиты объекта.

Нарушения в области защиты информации – несоответствие мер защиты информации установленным требованиям или нормам по защите информации.

Нарушения по степени опасности можноразделить на три категории:

первая категория - невыполнение требований или норм по технической защите информации, составляющей государственную тайну, подтвержденное протоколом технического контроля, в результате которого имелась или имеется реальная возможность утечки информации по техническим каналам, несанкционированного доступа к информации или воздействия на информацию;

вторая категория - невыполнение требований по технической защите информации, в результате чего создаются предпосылки к утечке информации по техническим каналам или несанкционированного доступа к ней;

третьякатегория - недостатки в оформлении документов по организации технической защиты информации, которые непосредственно не ведут к возникновению предпосылок к утечке информации по техническим каналам или несанкционированному доступу к ней.

При обнаружении нарушений второй и третьей категорий руководитель проверяемой организации обязан принять необходимые меры по их устранению в сроки, согласованные с органом, проводившим проверку. Контроль за устранением этих нарушений осуществляется подразделением контроля проверенной организации.

Содержание контроля состояния защиты информации.

Содержание контроля состояния защиты информации составляют контроль деятельности (состояния работ) по защите информации и контроль эффективности мер (мероприятий) защиты объектов. Выделяют:

Контроль деятельности по защите информации - заключается в проверке организации работ по защите информации, наличия органов (подразделений) по защите информации, включения задач защиты информации в положения о подразделениях и функциональные обязанности должностных лиц, наличия и содержания внутренних организационно-распорядительных документов (приказов, руководств, положений, инструкций) на соответствие требованиям правовых и нормативных документов в области защиты информации, порядка и своевременности их доведения до исполнителей и подведомственных организаций, наличия и полноты планов работ по защите информации и контролю ее эффективности, а также состояния их выполнения.

Контроль эффективности защиты - это проверка соответствия качественных и количественных показателей эффективности мер (мероприятий) по защите объектов, информационных систем, средств и систем связи и управления требованиям или нормам эффективности защиты информации.

Виды контроля эффективности защиты:

Организационный контроль - проверка соответствия полноты и обоснованности мероприятий по защите требованиям руководящих документов в области технической защиты информации;

Технический контроль - контроль эффективности защиты, проводимый с использованием средств контроля. Целью технического контроля является получение объективной и достоверной информации о состоянии защиты объектов контроля. При проведении технического контроля оценивается соответствие объективных показателей состояния защиты объекта предельно допустимым значениям (нормам).

Для проведения технического контроля эффективности защиты информации могут использоваться космические, воздушные, наземные, морские, а также встроенные средства технического контроля.

По объему проведения технический контроль эффективности технической защиты информации может быть:

комплексным, когда проверка проводится по всем каналам возможной утечки информации (несанкционированного доступа к информации или воздействия на нее), характерным для контролируемого технического средства (образца, объекта информатизации), причем оценка эффективности технической защиты информации осуществляется во взаимной увязке результатов обследования по всем указанным каналам;

целевым, когда проверка проводиться по одному из каналов возможной утечки информации, характерных для контролируемого технического средства, в котором циркулирует защищаемая информация;

выборочным, когда из всего состава технических средств на объекте для проверки выбираются те из них, которые по результатам предварительной оценки с наибольшей вероятностью имеют технические каналы утечки защищаемой информации.

В зависимости от имеющихся условий его проведения технический контроль эффективности технической защиты информации может осуществляться тремя методами:

инструментальным, когда в ходе технического контроля используется техническое измерительное средство и моделируются реальные условия работы технического средства разведки;

инструментально-расчетным, когда измерения проводятся в непосредственной близости от объекта контроля, а затем результаты измерений пересчитываются к месту (условиям) предполагаемого места нахождения технического средства разведки;

расчетным, когда эффективность защиты оценивается путем расчета, исходя из реальных условий размещения и возможностей технического средства разведки и известных характеристик объекта контроля.

Этапыфункцииконтроля

В процедуре контроля выделяют следующие этапы: выработка стандартов; сопоставление с ними реальных результатов; принятие необходимых корректирующих действий.

Первый этап. Стандарты – это конкретные цели, степень достижения которых поддается измерению. Стандарты должны иметь временные рамки, в которых должна быть выполнена работа, и конкретный критерий, по которому оценивается работа.

Достаточно легко установить стандарты для величин, поддающихся количественному измерению: по прибыли, объему продаж. Но некоторые важные цели не поддаются количественному выражению напрямую. В таком случае проводятся различные обследования и опросы, происходит косвенное выражение их через другие показатели.

Второй этап процесса контроля состоит в сопоставлении реально достигнутых результатов с установленными стандартами. На этом этапе необходимо предпринять следующие действия:

определить масштаб допустимых отклонений;

измерить результаты;

оценить полученную информацию о достигнутых результатах;

сравнить результаты работы с установленными стандартами.

Контроль должен быть экономически эффективным, т.е. преимущества системы контроля должны перевешивать затраты на ее функционирование. Это достигается использованием метода управления по принципу исключения. Суть его заключается в том,что система контроля должна срабатывать только при наличии заметных отклонений от стандартов. Для этого руководство устанавливает масштаб допустимых отклонений. Если обнаруживаются отклонения, не выходящие за рамки этого масштаба, то такие отклонения не вызывают тревоги.

Самый трудный и дорогостоящий элемент контроля – измерение результатов, позволяющее установить, насколько удалось соблюсти установленные стандарты. Здесь важно правильно выбрать единицу измерения, определить частоту измерений. Все это определяется спецификой вида деятельности, подлежащей контролю. Любая система сбора информации и ее обработки довольно дорога, поэтому менеджер должен избегать искушения измерить все и как можно точнее.

В обеспечении эффективности контроля важно довести до сведения соответствующих работников организации как установленные стандарты, так и достигнутые результаты. Информация должна быть точной, поступать вовремя. Поэтому менеджерам необходимо оценить полученные данные о результатах работы и определить, насколько они нужны и достоверны. Только после этого можно сопоставлять достигнутые результаты с установленными стандартами.

На третьем этапе проверяющий определяет, какие действия следует предпринимать.Такими действиями могут быть:

невмешательство в работу;

устранение отклонений;

изменение стандартов.

Невмешательство в работу. Если фактические результаты совпадают с установленными стандартами или имеющиеся отклонения невелики (не превышают масштаб допустимых отклонений), то лучше ничего не предпринимать.

Устранение отклонений. В случае обнаружения значительных отклонений от стандартов (превышающих масштаб допустимых отклонений) следует установить причины отклонений и добиться возвращения к правильным действиям. Это происходит через изменение некоторых внутренних переменных. Например, причиной низкой производительности труда может быть отсутствие заинтересованности работников в конечных результатах, в этом случае необходимо изменить систему оплаты труда и другие переменные, оказывающие влияние на мотивацию.

Изменение стандартов. Стандарты могут оказаться нереальными. Бывает так, что в процессе реализации плана становится ясно, что планы составлены слишком оптимистично и требования стандартов выполнить практически невозможно. Это сводит на нет мотивацию. В таких случаях стандарты пересматриваются в сторону понижения.

Бывают ситуации, когда в процессе контроля выявляется необходимость пересмотра стандартов в сторону повышения.