Файл: Особенности работы с персоналом, владеющим конфиденциальной информацией (Понятие и виды информации ограниченного доступа).pdf

2.3 Доступ персонала к конфиденциальным сведениям, документам и базам данных

Доступ персонала к конфиденциальным сведениям, документам, базам данных, а именно регламентация этого доступа на сегодняшний день является наиболее важной проблемой в системе защиты информации.

Под режимом конфиденциальности понимается – совокупность ограничительных правил, норм, обеспечивающих контролируемый доступ на определенную территорию, в помещения, к информации и документам.

Разрешительной (разграничительной) системой доступа в коммерческой тайне является – совокупность правовых норм и требований, устанавливаемых первым руководителем или коллективным органом руководства фирмой с целью обеспечения правомерного ознакомления и использования сотрудниками фирмы конфиденциальных сведений, необходимых им для выполнения служебных обязанностей.

Разграничительная система состоит из двух основных частей: допуска сотрудника к конфиденциальным сведениям и непосредственный доступ данного сотрудника к секретным сведениям.

Допуск – это процедура оформления права сотрудника фирмы или иного лица на доступ к сведениям ограниченного распространения и одновременно правовой акт согласия собственника информации на передачу ее для работы конкретному лицу.

Наличие допуска предоставляет сотруднику формальное право работать со строго определенным кругом конфиденциальных документов, баз данных и отдельных сведений.

На предприятии, допуск дает первый руководитель фирмы. Разрешение на допуск оформляется на основании соответствующего пункта в трудовом договоре (контракте) сотрудника. Допуск к сведениям может носить временный характер, выдаваться сотруднику на период выполнения определенных видов работ и пересматриваться при изменении направленности работы сотрудника фирмы.

Под доступом понимается – практическая реализация каждым сотрудником предоставленного ему допуском права на ознакомление и работу с определенным составом конфиденциальных сведений, документов и баз данных. Доступ определяется полномочным должностным лицом в отношении конкретной информации и конкретного сотрудника.

Право на выдачу разрешения на допуск строго регламентировано.

Для того чтобы получить разрешение на допуск, необходимо выполнение следующих условий:

• 1. Наличие подписанного приказа первого руководителя о приеме на работу или назначении на должность, в обязанности которой входит работа с конфиденциальной информацией;
  2. Наличие трудового договора (контракта) с подписями сторон, включающего в себя пункт о сохранении секретов фирмы и подписанного соглашения о неразглашении конфиденциальной информации и соблюдение правил их защиты;
  3. Соответствие должностных обязанностей сотрудника передаваемым ему документам и информации;
  4. Знание работником нормативно-методических требований по защите информации (в том числе документированной) и сохранении секретов фирмы;
  5. Наличие условий, необходимых для работы с конфиденциальными сведениями и базами данных в офисе;
  6. Наличие систем контроля за сотрудниками организации.

Все конфиденциальные сведения фирмы может знать только ее первый руководитель.

Сведения, составляющие конфиденциальную информацию, отнесенные к определенному виду работы, в полном объеме может получить лишь соответствующий заместитель первого руководителя фирмы, руководители структурных подразделений или направлений деятельности по специальному перечню, утвержденным первым руководителем. Кроме того необходимо добиваться максимального снижения привилегий к доступу к секретной информации для персонала.

Разрешение на доступ к конфиденциальным сведениям дается в письменном виде полномочным руководителем. Разрешение на доступ к секретным сведениям организации представителя другого предприятия или фирмы оформляется резолюцией полномочного должностного лица на предписании (письме обязательстве), представленном заинтересованным лицом. Резолюция должна содержать сведения о конкретных документах или сведениях, к которым разрешен доступ. Кроме того, указывается Фамилия и инициалы сотрудника фирмы, который знакомит представителя другой организации с данными сведениями и несет ответственность за его работу в помещении фирмы.

Необходимо соблюдение правил регистрации лиц, имеющих доступ к конкретным документам, секретам фирмы. Это позволит осуществить информационное обеспечение аналитической работы по выявлению возможных каналов утраты информации на высоком уровне.

При организации доступа сотрудников к конфиденциальным электронным документам организации, можно выделить основные составные части:

1. Доступ к персональному компьютеру;
2. Доступ к машинным носителям информации, находящимся вне ЭВМ;
3. Непосредственный доступ к базам данных и файлам.

Таким образом, процедуры допуска и доступа сотрудников к конфиденциальной информации являются завершающими стадиями процесса включения данного сотрудника в состав лиц, допущенных к конфиденциальной информации организации. С этого момента большое значение приобретает текущая работа с персоналом, в распоряжении которого находятся наиболее ценные и конфиденциальные сведения.

2.4 Текущая работа с персоналом. Порядок проведения контроля качества работы сотрудников. Формы контроля

Говоря о безопасности информационных систем фирмы, большинство специалистов считают, что максимум внимания необходимо уделять персоналу организации, допущенного к работе с конфиденциальными сведениями.

Текущая работа с персоналом, допущенным к конфиденциальным сведениям, обязана включать в себя следующие этапы:

1. Инструктаж и обучение сотрудников фирмы;
2. Организация и проведение воспитательных работ с сотрудниками, допущенными к секретам фирмы;
3. Обеспечение тщательного контроля за выполнением основных требований по защите конфиденциальных сведений фирмы;
4. Регулярно проводить контрольную работу с целью получения сведений о степени осведомленности сотрудников, владеющих секретами фирмы;
5. Обязательное проведение служебных расследований по факту утечки ценной информации фирмы и нарушением требований по обеспечению защиты информации организации.

Обучение сотрудников, допущенных к конфиденциальной информации, основным правилам защиты секретных сведений фирмы должен осуществляться на постоянной основе.

Это связано с тем, что система безопасности конфиденциальной информации регулярно должна обновляться и видоизменяться. Собрания по обучению сотрудников не должны носить формальный характер.

Процесс обучения работников, допущенных к конфиденциальным сведениям фирмы, должен начинаться с момента проведения собеседования при приеме работника на работу и подписания с ним соглашения о неразглашения конфиденциальных сведений и заканчивая увольнением данного сотрудника и подписание им обязательства о недопустимости разглашения секретной информации в чьих-либо целях. Периодичность проведения обучения для работающих сотрудников – один раз в 3-5 лет. Обычно, оно проводится после аттестации или перезаключения контракта.

Методика обучения включает в себя:

1. Проведение специализированных программ обучения, а также проведение лекционных курсов и практических занятий;
2. Тестирование сотрудников, проведение аттестации, для выявления степени осведомленности о системе защиты секретных сведений фирмы;
3. Проведение практического ситуационного обучения по основным действиям сотрудников во время возникновения экстремальных ситуаций;
4. Проведение деловых игр, учебных кейсов, обучающих методам противодействия замыслам злоумышленника;
5. Решение ситуационных задач, связанных с выполнением необходимых требований защиты конфиденциальной информации [16, с.54]. Конспекты, записи сотрудники делают в специальных тетрадях, хранящихся в соответствии с общим порядком работы с конфиденциальными документами. После окончания обучения, проводится проверка полученных знаний сотрудниками фирмы. Результаты проверки фиксируются в протоколе комиссии, проводящей настоящую проверку. Кроме того, необходимо организовывать проверку знаний тестированием или решений ситуационных задач. Сотрудники, не прошедшие проверку знаний, от работы с конфиденциальной информацией отстраняются.

Воспитание – это процесс систематического и целенаправленного воздействия на формирование и развитие личности в целях наиболее полного использования ее профессиональных способностей, деловых, высоких моральных и иных положительных качеств для деятельности фирмы, повышение ее благополучия и конкурентоспособности [16, с.51].

Руководство фирмы осуществляет воздействие на личность сотрудников в процессе их обучения, инструктажа. А воздействие на личность посредством коллектива фирмы происходит в процессе решения производственных задач в неформальной обстановке.

Воспитательный процесс взаимосвязан с изучением мотивации в поведении человека.

Мышление и действия человека в различных ситуациях имеет важное значение в управлении персоналом, в основные обязанности которого входит работа с конфиденциальными сведениями фирмы.

Руководители ведущих фирм понимают под воспитательной работой, прежде всего, обеспечение благоприятного психологического климата в рабочих коллективах, который является определяющим, при решении стоящих перед фирмой задач и преодолении возникающих трудностей посредством усилий персонала.

Наличие благоприятного психологического климата в коллективе организации вызовет определенные трудности у злоумышленников, пытающихся заполучить конфиденциальную информацию.

Для сотрудников организации часто важен не только его основной оклад, получаемый им после выполнения работ, сколько существующая доброжелательная обстановка в коллективе, уверенность в том что его уважают как специалиста, ценят его труд и он может надеяться на продвижение по службе.

При формировании психологического климата в коллективе фирмы решаются следующие задачи:

1. Создание действующей системы стимулирования трудовых успехов персонала;
2. Обеспечение долговременной работы в организации каждого сотрудника;
3. Формирование отношения к сотрудникам как самостоятельным членам коллектива, участие персонала в выработке решений;
4. Справедливое участие персонала в прибыли фирмы;
5. Реализация на практике гибкой системы увольнения;
6. Расстановка кадров в соответствии с их способностями;
7. Главенство в отношениях руководства и сотрудников духа коллективизма [16, с.52].

При благоприятном психологическом климате, сотрудники доброжелательно относятся к любым ограничениям, связанным с функционированием системы защиты информации, добровольно, с пониманием важности выполняют все требования этой системы.

Процесс воспитания сотрудников организации должен завершается контролем работы персонала, с секретными сведениями. Контроль защиты конфиденциальной информации важен для предотвращения несанкционированных попыток завладеть информацией.

Основными формами контроля качества работы, выполняемой сотрудниками организации, повышения ими своих профессиональных знаний и умений, в том числе в отношении конфиденциальной информации, можно назвать следующие:

1. Аттестация работников;
2. Отчеты руководителей подразделений об их работе и состоянии защиты информации;
3. Проведение регулярных проверок руководителем фирмы или службой безопасности организации соблюдения персоналом требований по защите секретных сведений;
4. Самоконтроль сотрудников.

Под аттестацией сотрудников понимается – наиболее эффективная форма контроля их деятельности как в профессиональной сфер, так и в сфере соблюдения информационной безопасности фирмы. Аттестация персонала – это коллективная форма оценки профессиональной пригодности сотрудника, его соответствия занимаемой должности [16, с.54].

Сроки проведения аттестации могут быть ежеквартальными, ежегодными или иметь другие сроки.

При проведении аттестации рассматриваются следующие характеристики сотрудника: трудовая дисциплина, исполнительность, трудолюбие, ответственность, требовательность и принципиальность, организованность в работе, качество и эффективность выполняемой работы, самостоятельность и инициатива, творческая деятельность, прогрессивность профессиональных решений, профессиональный кругозор, умение общаться с людьми, организаторские способности, преданность делу фирмы. После изучения представленных качеств начинает формироваться представление о каждом работнике фирмы, его деловых и человеческих качеств.