4. Северин В.А. Комплексная защита информации на предприятии (20xx) (1185610), страница 27

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 27)

При ведении открытой и конфиденциальной переписки су­ществуют различные каналы возможной утечки КЗИ.

Выборочный опрос исполнителей конфиденциальных работ показал, что наиболее характерными каналами утечки КЗИ могут быть следующие:

• публикация материалов, содержащих КЗИ организации в открытой печати, оглашение ее в передачах по радио и на телевидении — 15%;

• отнесение информации к КЗИ и включение ее в открытые документы — 11%;

• переписка с другими организациями и ведение междугородных телефонных переговоров — 9%;

• подготовка и защита диссертационных материалов — 7%;

• осуществление государственной регистрации НИОКР — 6%;

• ведение конфиденциального делопроизводства — 6%;

• внедрение изобретений, открытий и результатов НИОКР — 4% и др.

Ниже дается характеристика нарушений режима конфиден­циальности КЗИ на указанных каналах переписки.

Публикация материалов в открытой печати, оглашение в пе­редачах по радио и на телевидении. Любая публикация требует, с одной стороны, включение в нее максимума полезных данных, а с другой — ограничение информации с учетом коммерческих интересов собственника. Публикации в организациях должны быть оформлены с соблюдением требований режима конфиден­циальности КЗИ и норм авторского и патентного права.

Публикация материалов, раскрывающих деятельность ор­ганизации, может осуществляться на двух уровнях: на уровне одной публикации (микрорегулирование) и на уровне потока тематических публикаций или отдельной выборки направления деятельности (макрорегулирование). В обоих случаях могут до­пускаться нарушения, которые обусловливают существование этого канала утечки КЗИ.

Уровень микрорегулирования включает авторский самоконт­роль и экспертную комиссию организации. Авторский самоконтроль предполагает знание автором документов, в которых изложены режимные ограничения. Так, опрос работников ряда органи­заций показал, что 25% от числа опрошенных не ознакомлены с перечнями сведений, составляющих коммерческую тайну, 46 — ознакомлены в общих чертах и только 29% — ознакомлены в части, их касающейся. Такое положение дел, когда работники слабо представляют, какие сведения составляют КЗИ, может привести к раскрытию в открытых публикациях сведений кон­фиденциального характера.

Анализ работы экспертных комиссий по рассмотрению ими ма­териалов для открытого опубликования показывает, что имеется ряд недостатков, связанных с проведением экспертизы, которые могут привести к утечке сведений конфиденциального харак­тера. Экспертиза материала иногда поручается самому автору, который одновременно является членом экспертной комиссии, либо некомпетентному работнику, плохо знающему специфику организации и требования конфиденциальности КЗИ. Решение экспертной комиссии оформляется актом. Имеются нарушения процедуры оформления акта экспертизы. Отмечается формаль­ный подход к заполнению акта экспертизы. Это проявляется в отсутствие ответов на поставленные вопросы. Комиссия иногда работает без секретаря, что сказывается на качестве организаци­онной работы. Председатель экспертной комиссии, как правило, один из заместителей руководителя организации, в силу занятости не всегда должным образом контролирует работу членов комис­сии. Изучение работы комиссий показывает, что в отдельных случаях автор или редактор рукописи одновременно выступает и экспертом. Представляется, что такой подход недопустим, так как названные лица заинтересованы в публикации рукописи.

Отнесение информации к КЗИ, включение ее в открытые документы порой происходит без учета требований, предъявля­емых к установлению степени конфиденциальности, категорий (разрядов) сведений и определению степени конфиденциальности сведений, содержащихся в работах, документах и изделиях. Опрос исполнителей конфиденциальных работ показывает, что из числа опрошенных не ознакомлены с порядком отнесения информации к КЗИ — 34%; ознакомлены в общих чертах — 31; ознакомлены в части, их касающейся, — 35%.

Большинство опрошенных не знают или плохо знают установ­ленный порядок определения сведений, относимых к КЗИ.

При определении конфиденциальности сведений, содержа­щихся в работах, документах и изделиях, опрошенные работники ряда организаций заявили, что в 41% случаев они руководствуются возможным ущербом, который может быть причинен организации при попадании сведений к конкурентам, в 31% случаев — личным опытом, в 15% случаев — перечнем сведений, составляющих ком­мерческую тайну, в 14% случаев — новизной изделия (работы), в 2% — вредом, который может наступить вследствие излишнего отнесения информации к коммерческой тайне.

Таким образом, критерии (признаки), которыми руководству­ются работники при определении степени конфиденциальности сведений, сформулированы недостаточно четко и в корпоратив­ных актах организации, как правило, не закреплены. Поэтому на практике встречается различное выделение критериев и их тол­кование, что отрицательно сказывается на защите коммерческих секретов и может привести к возможной утечке КЗИ.

Значительная часть работников-исполнителей не полностью удовлетворена имеющейся нормативной базой, регулирующей охрану коммерческой тайны. На вопрос: достаточно ли для оп­ределения степени конфиденциальности сведении, содержащихся в документах, руководствоваться нормами отдельных законов и подзаконных актов; 35% опрошенных ответили положительно; 40 — отрицательно; 25% — только частично согласились с этим. Нужно отметить, что опрос проводился до принятия Закона о коммерческой тайне (2004 г.), хотя с введением названного Закона ситуация в этом плане мало чем изменилась. В Законе отсутствует механизм определения степени конфиденциальности информации, что порождает на практике различные подходы к ре­шению этого вопроса с использованием корпоративных норм.

Что касается знания работниками-исполнителями основопола­гающих положений корпоративных актов, используемых ими для установления степени конфиденциальности сведений, содержащихся в работах, документах и изделиях, то опрошенные ответили сле­дующим образом: с перечнем сведений, составляющих коммер­ческую тайну организации, ознакомлены всесторонне — 29%; не ознакомлены — 22; ознакомлены в общих чертах — 36%; остальные не смогли ответить на вопрос.

Отсюда видно, что почти половина работников-исполнителей конфвденлиальных работ не знают или плохо знают корпора­тивные документы, регламентирующие вопросы определения степени конфиденциальности сведении, составляющих КЗИ.

В целом опрошенные работники ряда организаций заявили, что в 11% случаев нарушения, допускаемые в сфере отнесения информации к сведениям, составляющим коммерческую тайну, могут обусловливать утечку КЗИ.

Выборочный опрос показывает, что в 9% случаев возможным каналом утечки КЗИ может быть переписка с представителями иностранных фирм, ведение с ними международных и междугород­ных телефонных переговоров исполнителями конфиденциальных работ, если они ведутся с нарушением установленных требова­ний режима КЗИ. Не секрет, что на Западе достаточно хорошо развита система ведения промышленного шпионажа. Поэтому отечественным коммерсантам, имеющим контакты с инофирма­ми, следует опасаться за свои секреты, если они действительно имеют коммерческую значимость. В российском законодательстве нет каких-либо запретов относительно обмена информацией с иностранными партнерами. Наоборот, государство поощряет кон­такты с иностранными инвесторами и не запрещает в этой связи обмениваться информацией отечествеиным коммерсантам. По­этому⁷ решение о предоставлении информации, включая и КЗИ, принимает акционер (собственник) и руководитель организации. В данном случае на договорной основе следует позаботиться о том, чтобы КЗИ не стала достоянием третьих лиц.

Одним из возможных каналов утечки конфиденциальности сведений может стать подготовка и защита диссертационных ма­териалов с использованием КЗИ, раскрывающей деятельность ор­ганизации. На это обстоятельство указали около 7% опрошенных лиц. Утечка охраняемой информации может произойти в случаях, когда не выполняются требования нормативных правовых актов, в частности, Положения «О порядке защиты и рассмотрения диссертаций, с грифом «Для служебного пользования», утверж­денного Высшей аттестационной комиссией России. В частности, нарушения могут проявляться при использовании в диссертации результатов НИР и ОКР, которые по условиям договора между сторонами не подлежат открытому опубликованию; в озна­комлении посторонних лиц с результатами диссертационного исследования конфиденциального характера; в приеме специали­зированным советом вуза (НИИ) к защите диссертации с грифом «Для служебного пользования» и рассмотрение ее председателем и членами совета, не имеющих допуска к такого рода документам: направление в ведущую организацию и официальным оппонен­там диссертаций с грифом «Для служебного пользования» и их ознакомление с нарушением требований действующего законо­дательства об охране коммерческой тайны. Указанные и другие нарушения могут привести к ознакомлению посторонних лиц с конфиденциальными сведениями, стать каналом утечки КЗИ.

Опрос исполнителей, выполняющих конфиденциальные работы показывает, что нарушение установленных правил госу­дарственной регистрации НИОКР может стать одной из причин утечки КЗИ. Об этом, в частности, заявили около 6% опрошен­ных лиц. Государственная регистрация и учет НИОКР осущест­вляется в соответствии с требованиями законов и подзаконных актов. Особое значение для регулирования этой работы имеют государственные стандарты и стандарты организаций, которые являются обязательными дня руководителей и ответственных исполнителей НИОКР. Работники отделов научно-технической информации (ОНТИ) организаций являются ответственными лицами, отвечающими за своевременное представление регист­рационных, информационных карт (РК, ИК) и отчетной науч­но-технической документации в федеральные исполнительные органы государственной власти. Нарушения режима КЗИ могут проявляться, во-первых, в подготовке и оформлении РК и ИК отчетной научно-технической документации (ОНТД) на НИОКР, содержащих КЗИ, лицами, не допущенными к этой работе; во-вторых, в неправильном оформлении РК, ИК и ОНТД вследствие незнания исполнителями соответствующих нормативно-техни­ческих документов или недобросовестного отношения к выпол­нению данной работы; в-третьих, во внесении исполнителями конфиденциальных сведений в аннотации, рефераты и другие графы РК и ИК на открытые части работ, выделяемых из НИОКР с грифом «Коммерческая тайна» и охраняемых в режиме сведений «Для служебного пользования».

Ведение конфиденциального делопроизводства с нарушением требований, установленных в организации, может стать одним из серьезных каналов утечки КЗИ. Конфиденциальное дело­производство представляет собой вид деятельности, включающий вопросы обеспечения режима конфиденциальности при докумен­тировании и различных письменных материалов (документов) в процессе производства и управления организацией. Как показы­вает проведенный выборочный опрос работников-исполнителей конфиденциальных работ, около 6% из числа опрошенных лиц отмечают это обстоятельство как возможный канал утечки КЗИ. Нарушения режима КЗИ при ведении конфиденциального де­лопроизводства выражаются в невыполнении или ненадлежащем выполнении работниками специальных отделов служебных обя­занностей, установленных должностной инструкцией. Это может привести к утечке КЗИ в процессе создания и хранения докумен­тов, содержащих такую информацию. Серьезными последствиями для организаций могут быть нарушения, связанные с физической сохранностью документов и дезорганизацией порядка докумен-тационного обеспечения деятельности организаций.

Нужно отметить, что процесс создания документа, в частности, составление черновиков, печатание, проверка отпечатанного тек­ста, визирование, согласование и утверждение документа, а также организации документов (учет, поиск, хранение, обращение, пользование, отправка, уничтожение и другие операции) доста­точно четко регламентированы соответствующими нормативными правовыми актами и корпоративными документами.

Анализ исследования приемов и методов охраны конфиденци­альных сведений, применяемых в конфиденциальном делопроиз­водстве в ряде организаций, которые выборочно были изучены автором, позволяет выделить основные функции конфиденци­ального делопроизводства. Невыполнение или ненадлежащее выполнение работниками своих обязанностей в рамках выде­ленных нами функций (направлений) может привести к утечке охраняемой информации. Допускаемые при этом нарушения обычно составляют:

• отсутствие должного контроля со стороны руководства за созданием, оформлением документов;

• нарушения, допускаемые работниками специальных подраз­делений, которые связаны с надлежащим учетом и хранением

документов;

« нерегулярное проведение проверок наличия документов на рабочих местах исполнителей и в местах их хранения;

• несвоевременное составление номенклатуры дел и неправиль­ное оформление первичных документов;

• нарушение порядка размножения и копирования документов;

Характеристики

Список файлов книги