В настоящее время большинство руководителей фирм (организаций) уже убедились, что коммерческая тайна их фирмы требует защиты. От этого в значительной степени зависит и экономическое благосостояние фирмы. Поэтому на некоторых фирмах (и в организациях) начали создаваться фрагменты служб, отвечающие за обеспечение безопасности конфиденциальной информации.
Кроме того, появилось множество различных программных продуктов для обеспечения безопасности информации на предприятии. Обо всем этом более подробно я расскажу в своей работе. Кроме того, рассмотрю вопрос правовых аспектов информационной безопасности
1. ОРГАНИЗАЦИЯ СЛУЖБЫ БЕЗОПАСНОСТИ НА ПРЕДПРИЯТИИ
Безусловно, структура и состав служб безопасности зависит от финансового состояния фирмы (организации). Ибо содержание подобных служб требует немалых финансовых затрат. Однако в настоящее время есть фирмы (организации), которые в состоянии содержать такие структуры, обеспечивая тем самым безопасность конфиденциальной информации, а значит, и ее экономическое благополучие. И в дальнейшем количество таких фирм, мы надеемся, будет постоянно расти.
Возглавлять данную службу (рис. 1) должен начальник службы безопасности информации. Для более мелких фирм (организаций) — помощник начальника службы безопасности фирмы по информационной безопасности. Эта должность может быть штатной, либо ее можно занимать по совместительству (зависит от статуса фирмы и ее финансового состояния).
Рис. 1. Структура службы безопасности информации
В службе безопасности должны быть должностные лица, отвечающие первоначально за отдельные направления защиты. Ими могут быть:
главный специалист по обеспечению безопасности информации в выделенных помещениях фирмы;
главный специалист по обеспечению безопасности информации на объектах вычислительной техники фирмы;
главный специалист по обеспечению безопасности связи.
Эти должности могут исполняться по совместительству, но, безусловно, подготовленными сотрудниками в вопросах обеспечения информационной безопасности.
Кроме того, в каждом выделенном помещении должны быть назначены ответственные по обеспечению безопасности информации. Такие же ответственные назначаются и на каждый объект вычислительной техники. Что касается безопасности связи, то здесь должны быть ответственные за обеспечение безопасности каждого вида связи (телефонной, телеграфной, факсимильной, при передаче данных). Эти должности также занимаются по совместительству.
Таким образом, у начальника службы безопасности информации появляется структура, которую можно обучить и организовать ее эффективное функционирование по обеспечению безопасности информации в целом на фирме.
Порядок работы начальника службы безопасности информации (помощника начальника службы безопасности по информационной безопасности) по организации защиты конфиденциальной информации на фирме показан на рис. 2.
Свою деятельность по обеспечению безопасности информации начальник службы безопасности информации (помощник начальника службы безопасности по информационной безопасности) должен начать с создания службы безопасности информации и назначения приказом руководителя фирмы (организации), должностных лиц согласно рис. 1, но с учетом конкретных особенностей фирмы, а также разработать для них функциональные обязанности. Далее необходимо удостовериться, имеется ли перечень сведений, относящихся к коммерческой тайне фирмы. Если такого перечня нет, то разработать его и утвердить приказом руководителя. К разработке данного перечня по необходимости могут привлекаться и другие должностные лица фирмы. После этого проводится инструктивно-методическое занятие с сотрудниками фирмы, где до их внимания доводится утвержденный перечень сведений, относящихся к коммерческой тайне фирмы и юридическая ответственность за неправомерные действия с конфиденциальной информацией (УК РФ 1997 г.) с подписанием договорного обязательства о неразглашении коммерческой тайны.
Рис. 2. Порядок организации защиты информации
В результате будет создана правовая база на фирме, на основании которой можно проводить и разъяснительно-воспитательную работу с сотрудниками фирмы о соблюдении мер по обеспечению безопасности конфиденциальной информации. Это важно, поскольку на сегодняшний день утечка конфиденциальной информации по вине сотрудников занимает первое место и составляет около 43%.
Следующий этап работы службы безопасности информации заключается в том, чтобы разобраться с объектами фирмы, где обрабатывается конфиденциальная информация. Для этого необходимо уточнить, имеется ли утвержденный перечень выделенных помещений и объектов вычислительной техники, где обрабатывается конфиденциальная информация. Если такого перечня нет, то его необходимо разработать. После того как перечень объектов будет разработан и утвержден, уточняется, было ли проведено спецобследование и аттестация выделенных помещений и объектов вычислительной техники. Объекты, прошедшие спецобследование и аттестацию, должны иметь соответственно акты спецобследования и аттестаты соответствия. При этом необходимо учесть, что ПЭВМ на объектах вычислительной техники должны пройти специсследование и спецпроверку и иметь соответственно акты специсследования и протоколы спецпроверки. Также следует иметь в виду, что спецобследование объектов можно проводить своими силами (то есть созданной приказом руководителя комиссией по проведению спецобследования, при наличии подготовленных специалистов), а специсследование и спецпроверку ПЭВМ и аттестацию объектов проводят только фирмы (организации), имеющие лицензии на право деятельности в этой области. Спецобследование и аттестация объектов проводится периодически.
