Файл: Коммерческая информация и её защита.pdf

Финансовый период ООО «Тепловые сети» в 2015 году закрыло с прибылью. Прибыль до налогообложения составила 51433 тыс. рублей, а чистая прибыль 52732 тыс. рублей.

В 2016 году ситуация изменилась в худшую сторону и по итогам года ООО «Тепловые сети» получило прибыль до налогообложения в размере 81475 тыс. рублей, а чистая прибыль составила 32511 тыс. рублей.

В 2017 году рост прибыли ООО «Тепловые сети» продолжился и по итогам года размер чистой прибыли составил 88095 тыс. рублей.

В целом подводя итог можно сделать вывод, что в 2017 году деятельность ООО «Тепловые сети» является прибыльной и рентабельной. Выручка от основной деятельности и чистая прибыль ООО «Тепловые сети» имеет тенденцию к увеличению - что следует рассматривать положительно.

2.2. Характеристика системы защиты коммерческой информации в компании

Система защиты коммерческой информации в ООО «Тепловые сети» построена и описана в документе под названием «Политика информационной безопасности ООО «Тепловые сети».

Политика информационной безопасности ООО «Тепловые сети» разработана в соответствии с нормами законодательства Российской Федерации в области обеспечения информационной безопасности и учитывает требования нормативных документов, федерального органа исполнительной власти, уполномоченного в области безопасности (ФСБ России), федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации (ФСТЭК России).

Цель обеспечения безопасности информации ООО «Тепловые сети»– защита информации компании от возможного их несанкционированного использования, которое может привести к нанесению ущерба, клиентам, сотрудникам и партнерам.

Для достижения поставленной цели в ООО «Тепловые сети» решаются следующие задачи:

• анализ и оценка актуальных угроз и нарушителей информационной безопасности;
• оценка рисков информационной безопасности;
• внедрение организационных, программно-аппаратных и технических мер защиты информации;
• создание условий для оперативного реагирования на угрозы информационной безопасности.

В качестве информации ООО «Тепловые сети» информационную безопасность которых необходимо обеспечивать, рассматриваются следующие типы:

• информационные активы – информация, содержащая сведения, относящиеся к коммерческой тайне, к персональным данным субъектов персональных данных, к платежной информации, в том числе при осуществлении переводов денежных средств, а так же информация, определяющая параметры конфигурирования и эксплуатации средств защиты информации, независимо от формы представления такой информации;
• программные активы – прикладное и системное программное обеспечение, а также среда разработки прикладного программного обеспечения;
• физические активы – автоматизированные рабочие места (персональные компьютеры, серверы), коммуникационное оборудование (маршрутизаторы, коммутаторы, модемы), периферийная техника (принтеры, сканеры), устройства самообслуживания и торговые терминалы.

В качестве возможных угроз нарушения безопасности в ООО «Тепловые сети» рассматриваются три основных класса угроз:

• угрозы нарушения конфиденциальности информации;
• угрозы нарушения целостности информации;
• угрозы нарушения доступности информации.

Каждая угроза информационной безопасности расписывается и анализируется следующим образом: «источник угрозы информационной безопасности» - «способ несанкционированного доступа к активу» - «несанкционированные действия с активом».

Контроль за выполнением требований политики осуществляется:

• подразделением по информационной безопасности - постоянно, в рамках мероприятий по мониторингу и контролю защитных мер, а также в рамках проведения внутренних проверок, оценки соответствия требованиям нормативных документов и стандартов безопасности;
• ответственным сотрудником - постоянно, в рамках мероприятий по соблюдению процедур обеспечения информационной безопасности.

Если рассматривать систему защиты коммерческой информации ООО «Тепловые сети» более подробно можно выделить три элемента системы, рисунок 1.

Рисунок 1 - Система защиты коммерческой информации ООО "Тепловые сети

Первым элементом системы защиты коммерческой информации выступает контроль доступа лиц на территорию и объекты ООО «Тепловые сети». Для реализации данного элемента защиты действует охранное подразделение, которое осуществляет контроль за доступом к объектам и на территорию ООО «Тепловые сети». Любой человек для прохода на территорию проходит через охрану. Сотрудники предъявляют пропуска, а посетители паспорт или другой документ. При этом ведется запись каждого входящего и выходящего сотрудника. Также проверяется и записывается въезжающий транспорт, фиксируется груз, который ввозится или вывозится. При выносе с территории компьютерной техники, аудио видео оборудования требуется дополнительный пропуск или накладная (разрешение на вынос). Такие меры позволяют четко контролировать чтобы посторонние не могли попасть на территорию и похитить носители коммерческой информации или попасть в кабинеты, где храниться документы.

Вторым элементом системы защиты коммерческой информации выступает круглосуточное наблюдение и хранение коммерческой информации в специально защищенных местах. Объекты и территория ООО «Тепловые сети» оборудованы системой видеонаблюдения которая круглосуточно осуществляет запись охраняемых объектов. Это позволяет отслеживать перемещение как сотрудников, так и четко понимать кто входит в тот или иной кабинет, кто выходит, что выносит. Также в рамках системы видеонаблюдения осуществляется контроль доступа к информационным системам ООО «Тепловые сети», сетям и компьютерам. Кроме того, все кабинеты (руководителя, бухгалтерия, сбыт) оборудованы сейфами, где храниться информация, представляющая коммерческую тайну.

Третьим элементом системы защиты коммерческой информации выступает соблюдение процедур соблюдения коммерческой тайны.

Со всеми сотрудниками, имеющими доступ к коммерческой информации заключено «соглашение о неразглашении информации», также действует подписанное с каждым сотрудником «положение о коммерческой тайне». Все действия сотрудников на компьютерах фиксируются в специальном программном продукте «TimeInformer».

Все элементы системы функционируют в совокупности и позволяют осуществлять сохранение коммерческой информации в секрете. За все время работы ООО «Тепловые сети» не было выявлено ни одного случая кражи коммерческой информации.

2.3. Система защиты информации ООО «Тепловые сети» включает в себя

- административно-организационные меры;

- технические меры;

- правовые способы защиты коммерческой тайны.

Административно-организационные меры нацелены на информирование сотрудников о том, какие сведения относятся к коммерческой информации, и какие обязанности по неразглашению возлагаются на персонал ООО «Тепловые сети». Это усиливает позиции в случае возможного судебного процесса против похитителя коммерческой тайны или заказчика похищения, получившего выгоду от преступного деяния.

Административно-организационные меры ООО «Тепловые сети» включают:

1. Издание приказа о введении режима коммерческой тайны. В документе определяются основные параметры системы защиты и лица, ответственные за организацию защитных мероприятий.

2. Определение перечня сведений, относящихся к коммерческой тайне. В случае судебного разбирательства слишком широкий перечень данных может служить основанием для признания всего списка несоответствующим режиму коммерческой тайны. Более целесообразно ограничить перечень действительно ценной информацией. К конфиденциальным нельзя отнести сведения из учредительных документов, большинство данных о штатном расписании, режиме труда, информацию о соблюдении экологических и пожарных требований.

3. Разработка системы локальных нормативных актов, которые обеспечат соблюдение режима конфиденциальности и защиту сведений, составляющих коммерческую тайну. Помимо основного документа – положения «О коммерческой тайне» – разработаны положения о работе со средствами электронно-вычислительной техники, о порядке предоставления информации контрагентам и государственным органам, порядке копирования документации, типовые договоры с контрагентами, приложения к трудовым договорам и другие.

Положение включает разделы, посвященные:

• перечислению сведений, определяемых как коммерческая тайна;
• порядок внесения изменений в перечень или общие критерии, по которым информация признается коммерческой тайной;
• перечень рангов и уровней допусков лиц с правом оперировать конфиденциальной информацией;
• процедуру работы с документами и информационными базами, являющимися носителями информации, составляющей коммерческую тайну;
• права и обязанности рядовых пользователей и лиц, которым доверили функции по обеспечению режима тайны;
• порядок хранения, учета и уничтожения различных носителей.

Кроме того, положение содержит меры ответственности за несоблюдение требований. Остальные документы, разработанные в соответствии с положением, не должны ему противоречить. Сотрудники компании ознакомлены с положением.

Определение круга лиц, у которых есть право работать с материалами, где содержатся сведения, составляющие коммерческую тайну, и уровень допуска. На этом этапе организационные меры взаимодействуют с техническими, так как уровни допуска реализуются в IT-структуре компании.

Для более надежной защиты присваиваются уровни допуска не только по степени ценности информации, но и по отраслевому характеру. Уполномоченные лица, которые определяются на уровне приказа исполнительного органа уведомлены о том, что доверенная им информация составляет коммерческую тайну, и предупреждены о возможности увольнения и других санкций за ее разглашение.

Разработка трудовых договоров и договоров с контрагентами, которые содержат норму о защите коммерческой тайны. В договор с работниками обязательно включает пункт, которые предупреждает об ответственности за разглашение конфиденциальных сведений и о праве компании обязать сотрудника компенсировать материального ущерба. Закон позволяет также указать в трудовом договоре срок, начинающийся после расторжения трудового договора, в течение которого работник не вправе разглашать информацию, ставшую известной в связи с выполнением трудовых обязанностей. Обычно срок составляет три года. С перечнем информации сотрудник ознакомлен под подпись. Наличие личной подписи удостоверяет, что работник полностью осознает ответственность и в случае разглашения сведений готов нести наказание.

Включение в договоры с контрагентами условия о конфиденциальности в случаях, когда информация, доверенная контрагенту или его сотрудникам в связи с выполнением условий договора, составляет коммерческую тайну. Контрагентами подобного рода могут быть аудиторские, консалтинговые, оценочные и другие компании. Пункт в договоре обязывает в полном объеме компенсировать ущерб, причиненный разглашением тайны.

Функционирование грифов «коммерческая тайна» для защиты конфиденциальной информации и средств идентификации копий документов. Это не защищает документы от копирования в целях передачи информации потенциальным заказчикам, но ограничивает распространение среди широкого круга лиц в открытом доступе.

Особые режимы пользования телекоммуникационным оборудованием, копировальными устройствами, внешней электронной почтой, интернетом. Допуск сотрудника к ресурсам осуществляется на основе заявок с обоснованием необходимости использования. Заявки согласовываются на уровне руководства сотрудника и служб безопасности.

Строгий контроль за использованием учетных записей в сетях только владельцами учетных записей с предупреждением о том, что передача пароля может служить основанием для увольнения из-за «разглашения коммерческой тайны».

Технические меры ООО «Тепловые сети» включают меры защиты информации, составляющей коммерческую тайну, в первую очередь программы, позволяющие полностью защитить информационный периметр от утечек, несанкционированного копирования или передачи данных. К таким средствам относятся DLP-системы и SIEM-системы. Системы класса DLP настраивают таким образом, чтобы максимально исключить хищение информации внутренними пользователями. Системы класса SIEM выявляют угрозы и идентифицируют различные инциденты информационной безопасности, позволяя осуществлять полный риск-менеджмент и обеспечивать защиту от проникновений через внешний периметр защиты. К техническим мерам защиты можно отнести все способы кодирования и шифрования данных, установление запрета на копирование, контроль компьютеров сотрудников и мониторинг использования учетных записей.