Файл: Особенности работы с персоналом, владеющим конфиденциальной информацией (Основные направления обеспечения безопасности информационных ресурсов).pdf

Одним из наиболее мощных средств обеспечения конфиденциальности является шифрование.

Используют два способа шифрования: симметричное и ассиметричное. В первом случае один и тот же ключ используется и для шифрования, и для расшифровки. При этом, разумеется, ключ следует содержать в тайне. Когда два человека имеют в своем распоряжении один и тот же ключ, то возрастает вероятность, что ключ попадет и в третьи руки.

В ассиметричных подходах используются два ключа. Один из них называется открытым (или публичным) и может свободно передаваться третьим лицам. Это ключ может быть предназначен и для шифрования, и для расшифровки. Все зависит от того, для чего используется шифрование. Второй ключ называется закрытым (или секретным), он должен быть известен только одному субъекту. Если ассиметричное шифрование используется для получения сообщений от многих субъектов, закрытым является ключ для расшифровки. В противоположной ситуации, когда один субъект посылает шифрованные сообщения многим субъектам, то закрытым ключом является ключ для шифрования.

Электронная подпись решает проблему идентификации передаваемых данных. Электронная подпись представляет собой некоторую вставку в данные (документ), зашифрованную закрытым ключом. При этом сами данные могут быть как в зашифрованном, так и в открытом виде. В состав электронной подписи обычно входит информация, идентифицирующая как передаваемые данные (например, контрольная сумма, позволяющая проверить целостность данных), так и того, кто передает эти данные (некий личный идентификатор известный получателю). В качестве параметра, определяющего правильность производимой расшифровки, в электронной подписи может содержаться в частности и сам открытый ключ, которым эта подпись расшифровывается.

1.2 Конфиденциальная информация в ПАО «МТС»

Сотрудники, работая в МТС, имеют доступ к различной конфиденциальной информации, которая включает всю внутреннюю (закрытую) информацию и которая может представлять интерес для конкурентов, или, в случае разглашения, может нанести вред МТС или клиентам МТС. Каждый Сотрудник обязан соблюдать тайну всей конфиденциальной информации МТС или третьих сторон, с которыми МТС ведет деловые операции, за исключением случаев, когда разглашение информации санкционировано или необходимо в соответствие с требованиями законодательства. При этом обязательство Сотрудника по сохранению тайны конфиденциальной информации остается в силе и после того, как такой Сотрудник покидает МТС. Несанкционированное разглашение конфиденциальной информации может нанести вред конкурентоспособности МТС или клиентам МТС и явиться основанием для привлечения Сотрудника или МТС к ответственности.

Напоминаем, что в ПАО «МТС» установлен режим безопасности (конфиденциальности) информации. К сожалению, отдельные работники недостаточно внимательны к установленным правилам и допускают их нарушения.

Обращаем ваше внимание, соблюдение требований конфиденциальности, установленных политикой ПТ-002 «Положение о режиме безопасности информации (конфиденциальности) ПАО «МТС», является обязательным для всех работников компании.

Убедительно просим Вас соблюдать режим безопасности информации (конфиденциальности) и требования законодательства РФ по защите коммерческой тайны, персональных данных, тайны связи и иных сведений ограниченного доступа и:

• Не отправлять по открытым каналам связи конфиденциальные сведения без использования установленных стандартами Компании средств криптозащиты;
• Не передавать конфиденциальную информацию с использованием публичных почтовых сервисов, например, Yahoo, Yandex.ru, Mail.ru, Gmail и др.;
• Не использовать корпоративные ресурсы для пересылки сообщений не связанных с выполнением трудовых обязанностей.

Требования по обеспечению безопасности (конфиденциальности) информации изложены в локальных нормативных документах компании:

• ПТ-002 «Положение о режиме безопасности информации (конфиденциальности) ПАО «МТС»,
• ПТ-062 «Требования по обеспечению информационной безопасности в ПАО «МТС»,
• РП-140 «Организация делопроизводства с материальными носителями информации, составляющими коммерческую тайну и иную конфиденциальную информацию ПАО «МТС».

В связи с переездами сотрудников компании на новые рабочие места обращаем ваше внимание на порядок обращения с конфиденциальными документами (далее по тексту КД) с целью предотвращения фактов их утраты и сохранности содержащихся в них сведений.

В соответствии с локальными нормативными актами компании по режиму безопасности (конфиденциальности) ПАО "МТС":

• Сотрудники структурных подразделений несут персональную ответственность за обеспечение конфиденциальности доверенных им сведений, соблюдение требований нормативных документов по работе с КД и базами данных, сохранность используемых ими документов и других материалов, отнесенных перечнями к конфиденциальной информации ПАО «МТС»,
• Сотрудники, увольняемые из компании, должны передавать числящиеся за ними документы, сотруднику, ответственному за ведение конфиденциального делопроизводства подразделения. В случае отсутствия такого сотрудника - другому сотруднику подразделения по указанию его руководителя под роспись в соответствующей учетной форме,
• Руководители структурных подразделений компании несут ответственность за соблюдение сотрудниками подразделения установленных правил и порядка работы с КД, создание необходимых условий для их хранения.

Утрата КД, а также разглашение сведений, составляющих коммерческую тайну или иную конфиденциальную информацию, является дисциплинарным проступком.

Берегите деловую репутацию свою и ПАО «МТС».

С уважением, Блок по корпоративной безопасности и режиму

Глава 2.Особенности работы с персоналом, владеющим конфиденциальной информацией

2.1 Персонал как основная опасность утраты конфиденциальной информации

В основе системы защиты информации лежит человеческий фактор, предполагающий преданность персонала интересам фирмы, и осознанное соблюдение им установленных правил защиты информации. Если отдельный сотрудник не оправдает доверия, то никакая эффективная система защиты не сможет гарантировать безопасность информации и предотвратить ее разглашение.

В решении проблемы информационной безопасности значительное место занимает выбор эффективных методов работы с персоналом, обладающим конфиденциальной информацией. Персонал генерирует новые идеи, новшества, открытия и изобретения, которые ускоряют научно - технический прогресс, повышают благосостояние сотрудников фирмы и являются полезными не только для фирмы в целом, но и для каждого отдельного сотрудника. Поэтому любой сотрудник объективно заинтересован сохранять в тайне те новшества, которые повышают прибыли и престиж фирмы.

Несмотря на это, персонал, к сожалению, является в то же время основным источником утраты ценной и конфиденциальной информации. Объясняется это тем, что с точки зрения психологических особенностей персонал - явление сложное, каждый из сотрудников всегда индивидуален, трудно предсказуем и мотивации его поведения часто противоречивы и не отвечают требованиям сложившейся жизненной ситуации. Это определяет особую значимость решения проблемы тщательного изучения персонала в структурах, связанных с необходимостью заботиться о сохранении в тайне тех или иных сведений, документов и баз данных. Трудности в работе с персоналом и сложности в подборе достойных во всех отношениях людей испытывает любая фирма, которая использует в работе достаточные объемы конфиденциальных сведений.

В современных предпринимательских структурах практически каждый основной сотрудник становится носителем ценных сведений, которые представляют интерес для конкурентов и криминальных структур. В контексте безопасности кадровая политика имеет профилактическую роль по отношению к такому типу угрозы, как неблагонадежность отдельных сотрудников. Вопросы управления персоналом, работа которого связана с обработкой, хранением и использованием конфиденциальных сведений, документов и баз данных, в настоящее время все в большей степени в концептуальном и практическом аспектах включаются в число главных, при решении проблем информационной безопасности.

Информационная безопасность понимается как защищенность информации на любых носителях от случайных и преднамеренных несанкционированных воздействий естественного и искусственного свойства, направленных на уничтожение, разрушение, видоизменение тех или иных данных, изменение степени доступности ценных сведений. Помимо профессиональных способностей сотрудники, связанные с секретами фирмы, должны обладать высокими моральными качествами, порядочностью, исполнительностью и ответственностью. Они добровольно соглашаются на определенные ограничения в использовании информационных ресурсов и вырабатывают в себе самодисциплину, самоконтроль действий, поступков и высказываний.

Зарубежные специалисты считают, что сохранность конфиденциальной информации на 80% зависит от правильного подбора, расстановки и воспитания персонала фирмы. Повышение ответственности персонала за выполняемую работу, сохранность ценных сведений, активное участие в принятии управленческих решений требует нового содержания при оценке таких критериев, как образование, профессионализм, личная культура, моральные качества и этика работников. Люди рассматриваются как самый ценный ресурс фирмы и решают, с одной стороны, производственные и коммерческие задачи, а с другой - получают во владение ценные и конфиденциальные сведения фирмы и обеспечивают их правильное использование и сохранность.

Работа с персоналом подразумевает целенаправленную деятельность руководства фирмы и трудового коллектива, направленную на наиболее полное использование трудовых и творческих способностей каждого члена коллектива, воспитание в нем фирменной гордости, препятствующей возникновению желания нанести вред организации, стать соучастником в недобросовестной конкуренции или криминальных действиях.

Человеческий фактор должен постоянно учитываться в долговременной стратегии фирмы и ее текущей деятельности, являться основным элементом построения действенной и эффективной системы защиты информационных ресурсов.

Организационные мероприятия по работе с персоналом, получающим доступ к конфиденциальной информации, можно разделить на несколько групп:

• проведение усложненных аналитических процедур при приеме и увольнении сотрудников;
• документирование добровольного согласия лица не разглашать конфиденциальные сведения и соблюдать правила обеспечения безопасности информации;
• инструктирование и обучение сотрудников практическим действиям по защите информации.

А контроль за выполнением персоналом требований по защите информации, стимулирование ответственного отношения к сохранению конфиденциальных сведений. Сложности в работе с персоналом определяются:

• большой ценой решения о допуске лица к тайне предприятия;
• наличием в фирме, как правило, небольшого контингента сотрудников, служебные обязанности которых связаны с использованием конфиденциальных сведений (руководители, ответственные исполнители, сотрудники службы конфиденциальной документации);
• разбиением тайны на отдельные элементы, каждый из которых известен определенным сотрудникам в соответствии с направлением их деятельности.

Персонал является основным и самым трудно-контролируемым источником ценной и конфиденциальной информации.

Источник, который мы именуем «Персонал и окружающие фирму люди», включает в себя:

• всех сотрудников данной фирмы, ее персонал;
• сотрудников других фирм; сотрудников государственных учреждений муниципальных органов, правоохранительных органов и т. д.;
• журналистов средств массовой информации, сотрудничающих с фирмой, посетителей фирмы, работников коммунальных служб, почтовых служащих, работников служб экстремальной помощи и т.д.;
• посторонних лиц, работающих или проживающих рядом со зданием или помещениями фирмы, уличных прохожих;
• родственников, знакомых и друзей всех указанных выше лиц.

Перечисленные лица в той или иной мере являются или могут стать в силу обстоятельств источниками конфиденциальных сведений. Каждый из источников, особенно ставший им случайно, может стать опасным для фирмы в результате несанкционированного разглашения (оглашения) защищаемых сведений.

Наиболее осведомлены в секретах фирмы первый руководитель, его основной заместитель, их референты и секретари, работники службы конфиденциальной документации. Следовательно, персонал фирмы, владеющий ценной и конфиденциальной информацией, работающий с конфиденциальными делами и базами данных, является наиболее осведомленным и часто достаточно доступным источником для злоумышленника, желающего получить необходимые ему сведения. Причем овладение требуемой информацией происходит в значительном числе случается в результате безответственности и необученности персонала, его недостаточно высоких личных и моральных качеств.