3.2. Угрозы конфиденциальной информации

Под угрозами конфиденциальной информации принято пони­мать потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овла­дению охраняемыми сведениями.

Такими действиями являются:

- ознакомление с конфиденциальной информацией различными путями и способами без нарушения ее целостности:

- модификация информации в криминальных целях как частич­ное или значительное изменение состава и содержания све­дений;

- разрушение (уничтожение) информации как акт вандализма с целью прямого нанесения материального ущерба.

В конечном итоге противоправные действия с информацией при­водят к нарушению ее конфиденциальности, полноты, достоверности и доступности, что, в свою очередь, приводит к нарушению как режи­ма управления, так и его качества в условиях ложной или неполной информации.

Каждая угроза влечет за собой определенный ущерб — мораль­ный или материальный, а защита и противодействие угрозе призваны снизить его величину, в идеале — полностью, реально — значительно или хотя бы частично. Но и это удается далеко не всегда.

Направления обеспечения информационной безопасности — это нор­мативно-правовые категории, ориентированные на обеспечение ком­плексной защиты информации от внутренних и внешних угроз.

Постулаты безопасности:

1) если не уверен в безопасности, считай, что опасность сущест­вует реально;

2) безопасности бесплатной не бывает;

3) безопасности не бывает много;

4) безопасность должна быть только комплексной;

5) комплексная безопасность может быть обеспечена только сис­темой безопасности;

6) никакая система безопасности не обеспечивает требуемого уровня без надлежащей подготовки руководителей, сотрудников и клиентов;

7) в безопасности должен быть заинтересован каждый.

С учетом сложившейся практики обеспечения информационной безопасности выделяют следующие направления защиты информации:

- правовая защита — это специальные законы, другие норматив­ные акты, правила, процедуры и мероприятия, обеспечиваю­щие защиту информации на правовой основе;

- организационная защита — это регламентация производствен­ной деятельности и взаимоотношений исполнителей на норма­тивно-правовой основе, исключающая или ослабляющая нане­сение какого-либо ущерба исполнителям;

- инженерно-техническая защита — это использование различ­ных технических средств, препятствующих нанесению ущерба коммерческой деятельности.

Кроме этого, защитные действия, ориентированные на обеспече­ние информационной безопасности, могут быть охарактеризованы целым рядом параметров, отражающих, помимо направлений, ориен­тацию на объекты защиты, характер угроз, способы действий, их рас­пространенность, охват и масштабность.

Так, по характеру угроз защитные действия ориентированы на за­щиту информации от разглашения, утечки и несанкционированного доступа. По способам действий их можно подразделить на предупреж­дение, выявление, обнаружение, пресечение и восстановление ущерба или иных убытков. По охвату защитные действия могут быть ориенти­рованы на территорию, здание, помещение, аппаратуру или отдель­ные элементы аппаратуры. Масштабность защитных мероприятий ха­рактеризуется как объектовая, групповая или индивидуальная защита. Например, защи+а автономной персональной ЭВМ в режиме индивидуального пользования.

Действия по защите информации от утечки по техническим кана­лам регламентируются следующими правовыми документами:

1. Закон України Про захист інформації в інформаційно-телекомунікаційних системах. Закон введено в дію з дня опублікування - 2 серпня 1994 року (згідно з Постановою Верховної Ради України  від 5 липня 1994 року N 81/94-ВР).

(и еще 72 документа – см. Приложение)

Опираясь на государственные правовые акты и учитывая интере­сы конкретной организации, разрабатываются собственные норма­тивно-правовые документы, ориентированные на обеспечение ин­формационной безопасности. К таким документам относятся:

- положение о сохранении конфиденциальной информации;

- перечень сведений, составляющих конфиденциальную инфор­мацию;

- инструкция о порядке допуска сотрудников к сведениям, со­ставляющим конфиденциальную информацию;

- положение о специальном делопроизводстве и документообо­роте;

- перечень сведений, разрешенных к опубликованию в открытой печати;

- положение о работе с иностранными фирмами и их представи­телями;

- обязательство сотрудника о сохранении конфиденциальной ин­формации;

- памятка сотруднику о сохранении коммерческой тайны.

Указанные нормативные акты направлены на предупреждение случаев неправомерного оглашения (разглашения) секретов на право­вой основе, и в случае их нарушения должны приниматься соответст­вующие меры воздействия.

В зависимости от характера информации, ее доступности для за­интересованных потребителей, а также экономической целесообраз­ности конкретных защитных мер могут быть избраны следующие формы защиты информации:

- патентование;

- авторское право;

- признание сведений конфиденциальными;

- товарные знаки;

- применение норм обязательственного права.

К коммерческой тайне не относятся:

- охраняемые государством сведения;

- общеизвестные на законных основаниях сведения;

- общедоступные сведения, патенты, товарные знаки;

- сведения о негативной стороне деятельности (нарушении тру­дового законодательства, противоправные действия и их по­следствия, загрязнение окружающей среды и т. д.);

- учредительные документы и сведения о хозяйственной деятель­ности (о платежеспособности, уплате налогов и обязательных платежей).

Создавая систему информационной безопасности, необходимо четко понимать, что без правового обеспечения зашиты информации любые последующие претензии с вашей стороны к недобросовестно­му сотруднику, клиенту, конкуренту и должностному лицу окажутся просто беспочвенными.

Если перечень сведений конфиденциального характера не доведен своевременно до каждого сотрудника (естественно, если он допущен по должностным обязанностям) в письменном виде, то сотрудник, ук­равший важную информацию в нарушение установленного порядка работы с ней, скорее всего разведет руками: мол, откуда мне это знать! В этом случае никакие инстанции, вплоть до судебных, не смогут вам помочь.

Правовые нормы обеспечения безопасности и зашиты информа­ции на конкретном предприятии (фирме, организации) отражаются в совокупности учредительных, организационных и функциональных документов.

Требования обеспечения безопасности и защиты информации от­ражаются в уставе (учредительном договоре) в виде следующих поло­жений:

- предприятие имеет право определять состав, объем и порядок зашиты сведений конфиденциального характера, требовать от своих сотрудников обеспечения их сохранности и защиты от внутренних и внешних угроз;

- предприятие обязано обеспечить сохранность конфиденциаль­ной информации.

Такие требования дают право администрации предприятия:

- создавать организационные структуры по защите конфиденци­альной информации;

- издавать нормативные и распорядительные документы, опреде­ляющие порядок выделения сведений конфиденциального ха­рактера и механизмы их защиты;

- включать требования по защите информации в договоры по всем видам хозяйственной деятельности;

- ребовать зашиты интересов предприятия со стороны государ­ственных и судебных инстанций;

- распоряжаться информацией, являющейся собственностью предприятия, в целях извлечения выгоды и недопущения эко­номического ущерба коллективу предприятия и собственнику средств производства;

- разработать «Перечень сведений конфиденциальной инфор­мации».

Требования правовой обеспеченности зашиты информации пре­дусматриваются в коллективном договоре. Коллективный договор должен содержать ряд требования касательно сохранения конфиден­циальной информации.

Обязательства конкретного сотрудника, рабочего или служащего в части защиты информации обязательно должны быть оговорены в трудовом договоре (контракте). При заключении трудового договора трудящийся обязуется выполнять оп­ределенные требования, действующие на данном предприятии. Неза­висимо от формы заключения договора (устной или письменной) подпись трудящегося на приказе о приеме на работу подтверждает его согласие с условиями договора.

Требования по защите конфиденциальной информации могут быть оговорены в тексте договора, если договор заключается в пись­менной форме. Если же договор заключается в устной форме, то дей­ствуют требования по защите информации, вытекающие из норма- тивно-правовых документов предприятия. При заключении трудового договора и оформлении приказа о приеме на работу нового сотрудни­ка делается отметка об осведомленности его с порядком защиты ин­формации предприятия. Это создает необходимый элемент включе­ния данного лица в механизм обеспечения информационной безопас­ности.

Использование договоров о неразглашении тайны — вовсе не са­мостоятельная мера по ее защите. Не следует думать, что после под­писания такого соглашения с новым сотрудником тайна будет сохра­нена. Это только предупреждение сотруднику, что в дело вступает система мероприятий по защите информации, и правовая основа к тому, чтобы пресечь его неверные или противоправные действия. Дальше задача — не допустить утраты коммерческих секретов.

Реализация правовых норм и актов, ориентированных на защиту информации на организационном уровне, опирается на те или иные организационно-правовые формы, к числу которых относятся соблю­дение конфиденциальности работ и действий, договоры (соглаше­ния) и различные формы обязательственного права.

Конфиденциальность — это форма обращения со сведениями, составляющими коммерческую тайну, на основе организационных мероприятий, исключающих неправомерное овладение такими све­дениями.

Правовое регулирование необходимо для совершенствования ме­ханизма предупреждения противоправных действий по отношению к информационным ресурсам для уточнения и закрепления задач и правомочий отдельных субъектов в сфере предупредительной дея­тельности, охраны прав и законных интересов граждан и органи­заций.

Анализ законодательства, регулирующего деятельность субъектов в сфере информационной безопасности, показывает наличие опреде­ленных недостатков. Существующие правовые нормы разбросаны по различным нормативным актам, издававшимся в разное время, в раз­ных условиях и на разных уровнях. Действующее законодательство не систематизировано, что создает большие трудности в его использова­нии на практике.

Правовые меры обеспечения безопасности и защиты информа­ции являются основой порядка деятельности и поведения сотрудни­ков предприятия и определяют меры их ответственности за наруше­ние установленных норм.

Приведенные ниже предложения служат цели предотвращения нанесения экономического, финансового и материального ущерба предприятию (организации), вызванного неправомерными или неос­торожными действиями, а также неквалифицированным обращением или разглашением коммерческой тайны. Важными источниками кон­фиденциальной информации являются люди, документы и публика­ции. От того, как организована работа с людьми и документами, по­рой зависит финансовая безопасность гостиничного предприятия.

Под коммерческой тайной понимаются не являющиеся государст­венными секретами сведения, связанные с производственно-техни­ческой, научно-исследовательской, опытно-конструкторской и дру­гой деятельностью предприятия, а также с их технологической ин­формацией, управлением, финансами и т. п., разглашение (передача, утечка) которых может нанести ущерб его интересам.

К сведениям, составляющим коммерческую тайну, относятся не­секретные сведения, предусмотренные «Перечнем сведений, состав­ляющих коммерческую тайну», утвержденным и введенным в дейст­вие приказом генерального директора гостиничного предприятия.

Информация, составляющая коммерческую тайну, является соб­ственностью туристского предприятия. Если такая информация явля­ется результатом совместной деятельности с другими предприятиями (туроператорами, агентствами, гостиницами), основанной на дого­ворных началах, то она может быть собственностью двух сторон. Это обстоятельство должно найти отражение в договоре.

Все документы, содержащие сведения коммерческой тайны, следу­ет помечать грифом «конфиденциально». Причем следует понимать, что единой установки на обозначение грифа ограничения доступа к до­кументу, содержащему коммерческую тайну, нет. Таким грифом может быть пометка «коммерческая тайна». На других предприятиях могут быть грифы: «коммерческая информация», «секрет предприятия», «тайна предприятия» и др. Такой ограничительный гриф не является грифом секретности, а лишь показывает, что право собственности на данную информацию охраняется законодательством.

Под разглашением коммерческой тайны имеются в виду противо­правные, умышленные или неосторожные действия должностных или иных лиц приведшие к преждевременному, не вызванному слу­жебной необходимостью, оглашению охраняемых сведений, подпа­дающих под эту категорию, а также передача таких сведений по от­крытым техническим каналам или обработка их на несанкциониро­ванных компьютерах.

Под открытым опубликованием вышеуказанных сведений имеет­ся в виду публикация материалов в открытой печати, передача ин­формации по радио и телевидению, оглашение на международных, зарубежных и открытых внутрироссийских съездах, конференциях, совещаниях, симпозиумах, при публичной защите диссертаций и дру­гих публичных выступлениях, свободная рассылка, вывоз материалов за границу или передача их в любой форме иностранным фирмам, ор­ганизациям или отдельным лицам вне сферы прямых служебных обя­занностей.

Необходимость и возможность открытого опубликования этих сведений, а также их объемы, формы и время опубликования опреде­ляются генеральным директором или его заместителем.

Меры по ограничению открытых публикаций коммерческой ин­формации не могут быть использованы во вред принципу гласности и для сокрытия от контролирующих органов фактов бесхозяйственно­сти; нарушения законодательства; расточительства, недобросовест­ной конкуренции и других негативных явлений.

Использование для открытого опубликования сведений, полу­ченных на договорной или доверительной основе или являющихся результатом совместной производственной деятельности, допускает­ся лишь с общего согласия партнеров.

Передача информации сторонним организациям, не связанным прямыми служебными контактами, должна регулироваться, как пра­вило, договорными отношениями, предусматривающими обязатель­ства и ответственность пользователей, включая возмещение матери­альных затрат на предоставление информации и компенсацию за на­рушение договорных обязательств.

Предоставление коммерческой информации представителям слу­жебных, ревизионных, фискальных и следственных органов, органам печати, радио и пр. регулируется соответствующими положениями.

Тиражированные документы и издания с грифом «коммерческая тайна» рассматриваются как материалы, содержащие сведения огра­ниченного распространения.

Ответственность за обеспечение режима при работе с материалами с грифом «коммерческая тайна», за своевременную разработку и осу­ществление необходимых мероприятий по сохранению коммерческой тайны возлагается на генерального директора и руководителей струк­турных подразделений. Ответственность за организацию и осуществ­ление работ по защите коммерческой тайны и проведение постоянно­го контроля ее соблюдения возлагается на службу безопасности.

Служба безопасности принимает меры по сохранению коммерче­ской тайны путем максимального ограничения круга лиц, допускае­мых к данной информации, организации сохранности документов, содержащих такие сведения, обработки информации с грифом «ком­мерческая тайна» на защищенных ЭВМ, внесения требований по конфиденциальности конкретной информации в договоры с партне­рами и принятием других мер по решению руководства.

Защита коммерческой тайны (КТ) предусматривает^-.

- порядок определения информации, содержащей коммерческую тайну, и сроков ее действия;

- систему допуска сотрудников и частных лиц к сведениям, со­ставляющим коммерческую тайну;

- определение порядка работы с документами с грифом «КТ»;

- обеспечение сохранности документов, дел и изданий с грифом «КТ»;

- определение обязанностей лиц, допущенных к сведениям, со­ставляющим коммерческую тайну;

- разработку принципов организации и проведения контроля обеспечения режима при работе со сведениями, составляющи­ми коммерческую тайну;

- определение сферы ответственности за разглашение сведений или утрату документов, содержащих коммерческую тайну.

Контроль осуществления учета, размножения, хранения и ис­пользования документов, дел и изданий с грифом «коммерческая тай­на» возлагается на уполномоченных службы безопасности.

Контроль неразглашения сведений, содержащихся в документах, делах и изданиях с грифом «коммерческая тайна», осуществляется от­делами службы безопасности.