МЕТОДИКА ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В БАНКОВСКИХ учреждениях

Организационные методы защиты банковской информации

Для любого типа бизнеса основными целями защиты предпринимательства являются: обеспечение получения максимальной предпринимательской прибыли и создание условий защищенности фирмы. Для этих же целей служат и создаваемые кредитными организациями собственные службы безопасности. Служба безопасности в кредитной организации — подразделение, специально созданное для защиты его законных прав и интересов от криминальной конкуренции со стороны социальных организаций и физических лиц и функционирующее в соответствии с законом Российской Федерации от 11 марта 1992 года «О частной детективной и охранной деятельности в Российской Федерации».

В процессе обеспечения банковской безопасности решаются следующие задачи:

• * проверка новых контрагентов-партнеров;
• * проверка кандидатов на работу, а также предупреждение возможной противоправной и иной негативной деятельности отдельных сотрудников;
• * определение состава информации, раскрываемой на переговорах, с учетом необходимости защиты банковской тайны;
• * противодействие физическому, техническому несанкционированному проникновению на служебные объекты;
• * физическая защита руководителей и сотрудников банка;
• * предотвращение утечки информации, подпадающей под категорию «банковская тайна»;
• * обеспечение сохранности материальных ценностей и финансовых средств предприятия;
• * противодействие возможным попыткам со стороны конкурентов получить соответствующие рычаги управления путем либо создания искусственной процедуры банкротства, либо овладения значительным, вплоть до контрольного, пакетом акций (долей собственности) данной кредитной организации;
• * взаимодействие и координация деятельности с правоохранительными органами;
• * предотвращение возможного ущерба имиджу предприятия.

В ходе решения задач, стоящих перед службами безопасности кредитных организаций, ими выполняются следующие информационно-аналитические функции:

• * сбор и систематизация информации, характеризующей уровень защищенности кредитной организации;
• * выявление возможных субъектов посягательства на безопасность кредитной организации, каналов утечки информации, предпосылок чрезвычайных происшествий;
• * проверка надежности и иных, имеющих значение для защиты бизнеса, качеств и аспектов деятельности лиц при приеме на работу, а также периодическая проверка сотрудников кредитной организации; проведение частных расследований фактов промышленного шпионажа, хищений на охраняемых объектах;
• * аналитические исследования для выработки стратегических и важных тактических решений по защите деятельности кредитной организации; подготовка предложений по совершенствованию форм и методов работы в сфере безопасности.

В соответствии со статьей 3 закона «О частной детективной и охраной деятельности в Российской Федерации» в целях сыска разрешены:

• 1. Сбор сведений по гражданским дам на договорной основе с участниками процесса.
• 2. Изучение рынка, сбор информации для деловых переговоров, выявление некредитоспособности или ненадежности деловых партнеров.
• 3. Установление обстоятельств неправомерного использования в предпринимательской деятельности фирменных знаков и наименований, криминальной конкуренции, а также оглашения сведений, составляющих коммерческую тайну.
• 4. Выяснение биографических и других характеризующих личность данных об отдельных гражданах (с их письменного согласия) при заключении ими трудовых и иных контрактов; поиск без вести пропавших граждан.
• 5. Поиск утраченного гражданами или предприятиями, учреждениями, организациями имущества; сбор сведений по уголовным делам, а договорной основе с участниками процесса.

Законом запрещается собирать ведения, связанные с личной жизнью, политическими и религиозными убеждениями отдельных лиц, прибегать к действиям, посягающим на права и свободы граждан (например, нарушающим тайну переписки, телефонных переговоров и телеграфных сообщений либо связанным с нарушением гарантий неприкосновенности личности или жилища). Учитывая это, банк также использует методологию и методы бизнес-разведки в рамках одного из своих основных направлений организационно-управленческой и информационно-аналитической деятельности. Методы бизнес-разведки основаны в первую очередь на принципе открытости использующихся источников информации.

Понятие «доступная информация» включает в себя как внешние открытые источники, так и документы, предназначенные для служебного пользования в банке. К доступной информации также относятся и сведения, полученные в ходе взаимодействия с правоохранительными органами. При подготовке материалов, необходимых для принятия решения руководством, используются следующие источники информации.

Во-первых, коммерческие фактографические базы данных, содержащей такие данные, как материалы регистрационной палаты, аналогичные базы по ряду других регионов, сведения по таможенным правонарушениям в процессе внешнеэкономической деятельности организаций, факты об административных и уголовных правонарушениях в регионе и др.

Во-вторых, российское информационное агентство «Интегрум-Техно» — оператор крупнейшей в России интегрированной службы баз данных. Оно включает в себя информацию центральных и региональных СМИ, данные Госкомстата РФ, информационных агентств, а также адресно-справочную информацию, сведения по юридическим лицам Российской Федерации, стран СНГ и др. «Интегрум-Техно» ведет базы под управлением лингвистической полнотекстовой информационно-поисковой системы Артефакт.

В-третьих, открытые ресурсы Интернета, в первую очередь для получения материалов на иностранные фирмы. В настоящее время каждая солидная иностранная фирма имеет собственную домашнюю страничку в Интернете (home-page), где представлены основные установочные и характеризующие данные. Для российских организаций такая форма виртуальной презентации только начинает входить в практику, поэтому при анализе сведений о конкретном российском предприятии представляет интерес сам факт наличия в Сети информации фирмы о себе. Слабыми сторонами получения сведений через Интернет является возможная недостоверность фактов и даже дезинформация от ряда источников.

Естественно, перечень всех доступных коммерческих ресурсов значительно шире представленного в данной статье. Кроме того, необходимо учитывать, что этот перечень постоянно обновляется и изменяется. После расширенного маркетинга российского рынка информационных услуг выбор был сделан в пользу указанных выше коммерческих информационных ресурсов, исходя из критерия оптимальности интегрированного показателя, который складывался из следующих параметров: предметная область данных, актуальность предлагаемых сведений и оперативность их обновления, стоимость услуг, эффективность и удобство используемого в процессе обработки данных программного продукта. Тем не менее хотелось бы подчеркнуть, что упомянутые информационные источники не стоит рассматривать как единственно возможный вариант использования службами безопасности, а только лишь как иллюстрационный пример. Нельзя не остановиться на такой деликатной теме, как легитимность используемых в бизнес-разведке коммерческих информационных ресурсов. На российском рынке представлен широкий спектр различных баз и банков данных, содержащих сведения, составляющие коммерческую тайну и подлежащие защите.

Закон «Об информации, информатизации и защите информации» выделяет три категории информации, подлежащей защите:

• * информация, составляющая государственную тайну;
• * персональные данные;
• * информация, составляющая коммерческую тайну.

Информацией первой категории владеет само государство, и, естественно, именно оно выдвигает требования по ее защите и контролирует их выполнение. Соответствующие положения закреплены в Законе Российской Федерации «О государственной тайне». Нарушение этих требований влечет за собой применение санкций, предусмотренных Уголовным кодексом.

Собственниками второй категории информации являются отдельные граждане, так как эта информация затрагивает их личную жизнь. Однако, понимая степень значимости этой информации и ее роль в обеспечении безопасности каждой отдельно взятой личности, государство взяло ее под свой патронат и рассматривает ее защиту как одну из своих важных задач. К сожалению, правовая сторона этого вопроса на современном этапе проработана недостаточно. Только Закон «Об информации, информатизации и защите информации» относит персональную информацию к категории конфиденциальной и требует ее защиты наравне с информацией, составляющей государственную тайну, однако дальнейшего развития эти положения, в том числе и в плане конкретной ответственности за разглашение персональных данных, их утрату или искажение, пока не получили. Законопроект «О персональных данных», который должен решать эти вопросы, не один год находится на рассмотрении в Правительстве Российской Федерации.

Информацией третьей категории владеют сами учреждения, и поэтому они вправе ею распоряжаться, а следовательно, и выбирать степень ее защиты. Правда, применить какие-либо санкции в случае нарушения конфиденциальности возможно, только если предварительно были выполнены особые формальности, оговоренные Гражданским кодексом Российской Федерации. Суть этих формальностей, изложенных в статье 139 Гражданского кодекса Российской Федерации, заключается в том, что, во-первых, информация должна иметь действительную или потенциальную коммерческую ценность, во-вторых, учреждению необходимо принять определенные меры по охране конфиденциальности, и, в-третьих, все сотрудники, знакомые с этими сведениями, должны быть официально предупреждены об их конфиденциальности. Только при соблюдении всех перечисленных условий нарушение конфиденциальности можно рассматривать в законодательном порядке и требовать возмещения убытков. Все эти вопросы освещены в законопроекте «О коммерческой тайне», который, к сожалению, также не один год рассматривается Государственной Думой Российской Федерации.

Использовать или не использовать сведения, поставляемые «информационными коробейниками», — это нравственный выбор конкретной службы безопасности кредитной организации, в ходе решения конкретных задач, исходя из конкретной ситуации. Признавая эффективность использования подобных баз данных в ходе обеспечения банковской безопасности, дабы не делать дополнительной рекламы, в данной статье сознательно не даются координаты источников информации, предлагающие сведения, которые можно характеризовать как банковская, нотариальная, врачебная или иная тайна. Наличие подобных «серых» информационных баз данных — это реалии сегодняшней российской действительности Как отмечалось выше, часто помимо кредитных организаций объектами деятельности Управления безопасности и защиты информации являются юридические и физические лица, среди которых в первую очередь необходимо отметить учредителей/участников банков, а также руководителей, главных бухгалтеров кредитных организаций (филиалов). Одна из наиболее типовых задач, которые ставятся перед любой службой безопасности, — получение своего рода «портрета» той или иной фирмы, попавшей в сферу деятельности кредитной организации, с целью предупреждения возможных негативных действий со стороны этой сторонней организации. В этом случае для служб безопасности кредитных организаций проверка может осуществляться по следующему алгоритму.

Во-первых, устанавливаются учредители фирмы. Если учредителем является одно физическое лицо, то проверяется его паспорт — не потерянный ли он или похищенный. Кроме того, при необходимости проверяется его финансово-имущественное положение, является ли он владельцем акций каких-либо предприятий. Рекомендуется обращать внимание на возрастной ценз: если это лицо студенческого или пенсионного возраста, то не исключено, что оно может быть подставным. В этом случае целесообразно решить обратную задачу: зарегистрированы ли другие фирмы на это лицо и сколько их. Если предприятие — субъект внешнеэкономической деятельности, то проверяются документы таможенных органов (в случае сделок с импортными товарами) на предмет таможенных нарушений при прохождении грузов через границу.

Во-вторых, по открытым электронным источникам СМИ проверяется дополнительная информация о различного рода деятельности данной фирмы, ее активности на вторичном рынке ценных бумаг, фактах обмана в практике деятельности фирмы, криминальных аспектах, судебных процессов и т. п.

В-третьих, проводится анализ текста, содержащегося в учредительных документах, и деловой переписки (если таковая имеется).

Адрес и дата регистрации уставных документов: фирма, зарегистрированная, скажем, менее трех месяцев назад, не может вызывать полного доверия. Если по указанному адресу зарегистрировано еще несколько десятков других фирм, то это также говорит не в пользу рассматриваемой фирмы.

Решение задач, стоящих перед службами безопасности кредитных организаций, нередко выливается в типовую проблему выявления скрытой, неявной связи между двумя и более хозяйствующими обществами, т. е. есть установление их фактической взаимной зависимости или, иными словами, выявление латентной аффилированности между юридическими лицами. Подобная проблема является одной из наиболее распространенных, с которыми сталкиваются, используя формы и методы бизнес-разведки службы безопасности кредитных организаций.

Рассмотрим, как можно выявить подобную связь, на примере доступных источников информации. Вначале анализируются регистрационные данные. Настораживающими признаками могут быть совпадение фамилии, имени и отчества руководителей предприятий, фактического адреса организаций, если они совпадают с точностью до номера дома и корпуса. Если, кроме того, подобные организации обслуживаются в одном и том же банке, то с большой долей вероятности можно сделать вывод о связи между ними.

Таблица 1.

Следующий шаг — выявление имущественной зависимости предприятий от одних и тех же учредителей. Выстраивая цепочки учредителей и учитывая их доли участия в уставных капиталах предприятий, часто можно выявить общих учредителей для предприятий, которые являются аффилированными лицами по отношению к рассматриваемым фирмам. Эта зависимость может быть обнаружена не только «напрямую», но и на втором, третьем и других уровнях.

Анализ различных фирм позволяет провести примерную классификацию мошеннических (или сомнительных для кредитной организации) фирм с позиции рассмотрения их как потенциального контрагента и определить косвенные признаки выявления подобных организаций. Используется терминология, принятая в литературе, посвященной конкурентной разведке, бизнес-разведке, промышленному шпионажу и иной подобной тематике.

Для любой службы безопасности кредитной организации одной из наиболее типовых задач является создание «портрета» конкретного физического лица. «Портрет» составляется по следующим признакам.

Деловая активность. Выясняется, является ли данное лицо учредителем или руководителем каких-либо фирм. Если оказывается, что человек является учредителем нескольких десятков, а то и сотен предприятий, то скорее всего это лицо подставное: им либо утерян паспорт, либо предоставляется другим лицам за материальное вознаграждение.

Соотношение социального статуса и материального положения лица. Если человек формально числится владельцем или руководителем крупного предприятия или банка, а при этом не владеет ни квартирой, ни машиной, никакими акциями предприятий, то такой человек также может быть подставным лицом для проведения сомнительных сделок.

Дополнительная информация. Электронные СМИ, содержащиеся в коммерческих базах «ИнтегрумТехно», а также в Интернете. В данном случае возникает проблема с идентификацией лица, так как известны, как правило, только фамилия, имя и отчество, а этого недостаточно для полной идентификации. Поэтому собирается дополнительная информация. Из открытых электронных источников можно получить сведения о публичных выступлениях, когда человек говорит о своем деле и личных взглядах, статьи, как о самом человеке, так и о его фирме.

Необходимо добавить, что в ходе создания «портрета» конкретного человека очень ценными являются сведения, полученные непосредственно при контакте. Внешний вид, манера разговора, визитка владельца могут многое рассказать о человеке.

Использование внешних информационных ресурсов требует финансовых затрат, так как информация давно уже стала товаром. Поэтому денежные средства, выделяемые на доступ к коммерческим информационным ресурсам, составляют существенную долю в смете расходов любого банка. Однако стремление экономить там, где этого делать никак нельзя, — причина многих неудач. Поэтому, когда есть результат, есть и понимание необходимости выделения необходимых денежных средств.

Бизнес-разведка, понимаемая как аналитическое обеспечение важных управляющих решений — это один из инструментов обеспечения безопасности и защиты информации банковской деятельности региона. Высокая эффективность бизнес-разведки достигается лишь в условиях высокого доверия к ней со стороны руководства. Такое доверие может быть оправдано только при правильном подборе работников, занимающихся сбором и аналитической обработкой исходных данных. Поэтому, как правило, на этот участок работы привлекаются в основном бывшие сотрудники правоохранительных органов, имеющие не только специализированные навыки информационно-аналитической деятельности, но и богатый жизненный опыт.