Файл: Методика инструктирования и обучения персонала правилами защиты секретов фирмы (Виды и свойства информации, задачи ее защиты).pdf

2.1 Организационная работа с персоналом

Организационные мероприятия по работе с персоналом, получающим доступ к конфиденциальной информации, можно разделить на несколько групп:

• проведение усложненных аналитических процедур при приеме и увольнении сотрудников;
• документирование добровольного согласия лица не разглашать конфиденциальные сведения и соблюдать правила обеспечения безопасности информации;
• инструктирование и обучение сотрудников практическим действиям по защите информации.

Сложности в работе с персоналом определяются:

• большой ценой решения о допуске лица к тайне предприятия;
• наличием в фирме, как правило, небольшого контингента сотрудников, служебные обязанности которых связаны с использованием конфиденциальных сведений (руководители, ответственные исполнители, сотрудники службы конфиденциальной документации);
• разбиением тайны на отдельные элементы, каждый из которых известен определенным сотрудникам в соответствии с направлением их деятельности.

Персонал является основным и самым трудно-контролируемым источником ценной и конфиденциальной информации.

Источник, который мы именуем «Персонал и окружающие фирму люди», включает в себя:

• всех сотрудников данной фирмы, ее персонал;
• сотрудников других фирм;
• сотрудников государственных учреждений муниципальных органов, правоохранительных органов и т.д;
• журналистов средств массовой информации, сотрудничающих с фирмой,
• посетителей фирмы, работников коммунальных служб, почтовых служащих, работников служб экстремальной помощи и т.д.;
• посторонних лиц, работающих или проживающих рядом со зданием или помещениями фирмы, уличных прохожих;
• родственников, знакомых и друзей всех указанных выше лиц.

Перечисленные лица в той или иной мере являются или могут стать в силу обстоятельств источниками конфиденциальных сведений. Каждый из источников, особенно ставший им случайно, может стать опасным для фирмы в результате несанкционированного разглашения (оглашения) защищаемых сведений.

Наиболее осведомлены в секретах фирмы первый руководитель, его основной заместитель, их референты и секретари, работники службы конфиденциальной документации. Следовательно, персонал фирмы, владеющий ценной и конфиденциальной информацией, работающий с конфиденциальными делами и базами данных, является наиболее осведомленным и часто достаточно доступным источником для злоумышленника, желающего получить необходимые ему сведения. Причем овладение требуемой информацией происходит в значительном числе в результате безответственности и необученности персонала, его недостаточно высоких личных и моральных качеств.

2.2 Методика инструктирования и обучения персонала правилам защиты секретов фирмы

Обучение и инструктирование персонала, связанные с вопросами защиты конфиденциальной информации, должны носить систематический характер, а методики нуждаются в постоянном обновлении.

Первый этап обучения персонала начинается еще в процессе проведения собеседования при приеме на работу, в рамках которого сотруднику предлагается подписание обязательства о неразглашении секретов фирмы. В Приложении 1 представлены возможные формы документов – Обязательство о неразглашении конфиденциальной информации и Фрагмент трудового договора работника, имеющего доступ к информации, которая составляет коммерческую тайну.

Стоит отметить, что при составлении обязательства необходимо учитывать требования сохранения секретов фирмы и после увольнения сотрудников.

После приема сотрудника на работу и подписания им необходимых документов следует провести первоначальный инструктаж по защите конфиденциальной информации.

В первую очередь инструктирующий должен провести разъясняющую беседу и определить круг информации, относящейся к секретам фирмы, то есть представить перечень информационных ресурсов, не подлежащих распространению.

Возможный перечень сведений конфиденциального характера Компании приведен в таблице 2.

Таблица 2

Перечень сведений конфиденциального характера Компании

Кроме того, первичный инструктаж должен включать ознакомление с правилами обработки конфиденциальной информации – регистрации, хранения, удаления, передачи и т.д.

Особое внимание стоит уделить вопросам определения места сотрудника в так называемой матрице доступа к информационным ресурсам. Например, можно использовать следующую таблицу доступа (см. таблицу 3).

Таблица 3

Разграничение прав пользователей

Дальнейшая работа с сотрудником, связанная с вопросами защиты секретов фирмы, должна быть связана с систематическим проведением учебных занятий.

Выделим задачи обучения:

• определение состава конфиденциальной информации (необходимо регулярно знакомить сотрудников с любыми изменениями структуры информационных ресурсов);
• выявление возможных угроз утечки конфиденциальной информации (на занятии можно, например, построить модель нарушителя конфиденциальных данных или рассмотреть возможные каналы утечки информации);
• анализ структуры системы защиты информации (обязательно следует в контексте рассмотрения структуры системы защиты определить круг требований и правил защиты секретов фирмы самими сотрудниками);
• определение регламента работы сотрудников с информацией, составляющей секреты фирмы (подобные занятия следует сопровождать практическими примерами, например, демонстрацией возможности безопасной передачи данных по сети);
• обучение персонала действиям в экстремальных ситуациях (данное занятие будет целесообразно провести в режиме эмуляции какой-либо конкретной ситуации).

Обучение сотрудников предполагает приобретение и поддержание на высоком уровне производственных навыков работы с конфиденциальными сведениями, психологическое воспитание сотрудников и воспитание глубокой убежденности в необходимости выполнения требований по защите любой конфиденциальной информации. Персонал должен получить знания по оценке важности тех или иных сведений для упрочения престижа фирмы и ее финансовой стабильности, а значит, и для благополучия каждого сотрудника.

Определим состав методики обучения персонала правилам защиты секретов фирмы.

1. Разработка специализированных программ обучения, которые должны включать перечень занятий, проводимых с сотрудниками, и план их проведения.

2. Проведение в соответствии с разработанной программой занятий - лекций, семинаров, бесед и т.д.

3. Тестирование сотрудников.

4. Организация решения сотрудниками ситуационных задач, связанных с защитой секретов фирмы.

5. Практическая ситуационная учеба по действиям персонала в экстремальных ситуациях.

6. Проведение деловых игр, направленных на обучение персонала мерам противодействия злоумышленникам.

В соответствии с приведенным списком составляющих компонентов методики обучения персонала правилам защиты секретов фирмы разработаем практические рекомендации по ее реализации.

На первом этапе необходимо составить программу проведения занятий (см. таблицу 4).

Таблица 4

Программа обучения персонала правилам защиты секретов фирмы

Содержание

Следующим этапом становится разработка материалов учебных занятий. Следует так подобрать информацию и форму ее представления, что бы сделать сам процесс обучения индивидуализированным, ориентированным на сотрудников разного должностного состава. Стоит отметить необходимость получения каждым слушателем только тех знаний, которые ему пригодятся в его профессиональной деятельности (не должно быть избыточности).

В отдельную категорию обучающихся стоит отнести сотрудников, работа которых связана с обработкой особо ценных документов. К ним относятся, например, секретарь-референт, работники отдела безопасности.

Особое внимание слушателей стоит обратить на факт конфиденциальности рассматриваемых материалов, то есть все записи и конспекты делать в специальных тетрадях, хранящихся в соответствии с общим порядком работы с конфиденциальными документами.

При описании методики уже было отмечено, что занятия проходят в различных формах – лекции, семинары, деловые игры, ситуационные задачи, тренинги. В качестве примера можно привести лекционный материал по теме «Правовое обеспечение информационной безопасности» (Приложение 2).

Для обеспечения высокого качества обучения необходимо придерживаться следующих принципов:

• учебный материал для изучения должен быть объективным и соответствовать реальной действительности;
• планирование учебного процесса должно быть последовательным и системным;
• процесс обучения должен включать разнообразные методы;
• необходимо обеспечивать прочное усвоение знаний;
• в процессе обучения следует поддерживать связь между теорией и практикой.

По окончании обучения проводится проверка усвоения сотрудниками полученных знаний. Результаты проверки фиксируются в протоколе комиссии, ведущей проверку. Целесообразно организовывать проверку знаний путем тестирования или решения ситуационной задачи. Сотрудники, не прошедшие проверку знаний, от работы с конфиденциальной информацией отстраняются.

Заключение

Настоящее исследование повещено проблемам организации инструктирования и обучения персонала вопросам защиты секретов фирмы. В ходе работы было определено, что реализация процессов информатизации общества – задача комплексная, включающая несколько уровней, одним из которых является обеспечение информационной безопасности.

Ключевую роль в процессе построения надежной системы защиты конфиденциальной информации играет работы с персоналом, включающая проведение инструктажей и обучение правилам защиты секретов фирмы.