Файл: Особенности работы с персоналом, владеющим конфиденциальной информацией (Система доступа к конфиденциальным документам).pdf

Окна помещений должны иметь надежные средства защиты, исключающие возможность проникновения в помещения посторонних лиц. Кроме того, на них должны быть защитная секта или жалюзи, предотвращающие возможность выпадения документов, а также визуального просмотра документов и экранов видеомониторов с улицы.

Входные двери помещений должны быть обиты металлом и оборудованы замками, гарантирующими их надежное закрытие. По окончании рабочего дня двери необходимо не только запирать, но и опечатывать печатью Службы делопроизводства. Перед отпиранием двери проверяются сохранность оттиска печати и целостность запоров. При обнаружении попыток проникновения в помещения нужно немедленно поставить в известность Службу безопасности и доложить руководству организации. До принятия решения руководством организации помещения не открываются и обеспечиваются физической охраной.

Конфиденциальные документы и дела в помещениях должны храниться в сейфах, металлических шкафах или на металлических стеллажах, которые по окончании рабочего дня запираются и опечатываются сотрудниками, ответственными за учет и хранение документов и дел.

Входные двери, окна помещений, а также сейфы, шкафы и стеллажи следует оснастить охранной сигнализацией, связанной со Службой безопасности организации или Службой охраны.

Рабочие экземпляры ключей от сейфов, шкафов, стеллажей, решеток в нерабочее время могут храниться в опечатанном пенале (конверте) либо в службе охраны, либо в сейфе сотрудника Службы делопроизводства, ответственного за хранение документов.

Ежегодно должна проводиться проверка фактического наличия ключей от хранилищ и номерных печатей исполнителей.

Для эвакуации конфиденциальных документов и дел при возникновении стихийных бедствий, пожара, аварии, грозящих затоплением, или других формах чрезвычайных ситуаций, грозящих уничтожением документов и дел, в помещениях, предназначенных для хранения конфиденциальных документов, должно находиться необходимое количество тары (мешков, чемоданов, контейнеров и т.д.), в которой можно транспортировать документы.[17]

В итоге, систематизация конфиденциальных документов, их учет и регистрация предназначены для решения не только обеспечения поиска и последующего использования архивных документов, но и задач разграничения доступа персонала к архивным документам организации, контроля за сохранностью и наличием конфиденциальных документов и дел.

1.3 Система доступа к конфиденциальным документам

Конфиденциальные документы являются документами ограниченного доступа. Это означает, что знакомиться и работать с ними могут только лица, получившие на то соответствующие разрешения. Порядок получения и оформления таких разрешений устанавливается на каждом предприятии системой доступа к конфиденциальным документам, которая представляет со- бой совокупность норм и правил, определяющих, кто из руководителей предприятия и структурных подразделений, кому из пользователей и с какими категориями конфиденциальных документов может давать разрешение на ознакомление, а также каким образом оформляются такие разрешения в зависимости от вида учета документов.

При разработке системы доступа к конфиденциальным документам необходимо руководствоваться следующими подходами.

1. Доступ к конфиденциальным документам может предоставляться только лицам, имеющим оформленный в установленном порядке (контрактом, приказом) допуск к соответствующему виду тайны и давшим письменное обязательство (в контракте или специальной подписке) о неразглашении ставших им известными конфиденциальных сведений. Допуск к соответствующему виду тайны является основанием для доступа к конкретным документам в пределах этого вида тайны.
2. Доступ к конфиденциальным документам должен быть обоснованным и правомерным, т.е. базироваться на служебной необходимости ознакомления с конкретным документом именно данного лица.
3. Система доступа должна давать возможность обеспечивать пользователей всеми необходимыми им в силу служебных обязанностей конфиденциальными документами, но только теми, которые действительно необходимы для выполнения конкретных видов работ. К сожалению, этот подход не всегда четко соблюдается. С одной стороны, стремясь максимально сократить количество лиц, допускаемых к конфиденциальным документам, на некоторых предприятиях не знакомят часть пользователей с необходимой им для служебной деятельности информацией и тем самым снижают качество этой деятельности, с другой стороны – знакомят пользователей с конфиденциальными документами, не связанными напрямую с их функциональными обязанностями, но, как выражаются, необходимыми им «для общего развития» или «расширения кругозора», что приводит к разглашению информации, т.е. неправомерному доведению информации до лиц, которые не должны ее знать.
4. Доступ к конфиденциальным документам должен быть санкционированным, т.е. осуществляться только по соответствующему разрешению.
5. Доступ к конфиденциальным документам могут предоставлять только уполномоченные на то должностные лица, при этом соответствующее должностное лицо может давать разрешение на ознакомление с входящими в сферу его деятельности конфиденциальными документами только установленному кругу лиц и только по служебной необходимости.
6. Доступ должен оформляться письменно по каждому конкретному конфиденциальному документу. При необходимости ознакомления пользователя только с частью документа в разрешении на ознакомление должны быть указаны разделы, пункты или страницы, с которыми можно знакомить пользователя. Составители (исполнители) документов и лица, которые визировали, согласовывали, подписывали, утверждали документы, а также лица, указанные в тексте распорядительных документов, допускаются к таким документам без оформления дополнительных разрешений, если они продолжают выполнять те же функциональные обязанности. В первом случае это обусловлено тем, что перечисленные лица как бы автоматически в силу своего служебного положения уже получили доступ к документам на стадии подготовки, во втором – тем, что с поручением, содержащимся в распорядительном документе, исполнитель должен быть ознакомлен обязательно, чтобы знать, что ему поручено, поэтому оформление дополнительного доступа теряет всякий смысл.[37]

Поскольку система доступа к конфиденциальным документам содержит в себе значительное количество правовых положений, а нарушение ее требований, приводящее, как правило, к разглашению конфиденциальной информации, влечет за собой дисциплинарную, гражданско – правовую и в некоторых случаях уголовную ответственность виновных лиц, то ее следует закреплять в специальном нормативном документе, который обычно называется «Положение о системе доступа к конфиденциальным документам».

Положение должно основываться на вышеизложенных подходах и может включать в себя следующие разделы:

• общие положения;
• полномочия должностных лиц по разрешению доступа к конфиденциальным документам;
• порядок оформления разрешений на доступ к конфиденциальным документам.

Положение может разрабатываться подразделением конфиденциального делопроизводства или постоянно действующей экзаменационной комиссией ПДЭК. Оно подписывается разработчиками, визируется всеми лицами, имеющими право давать разрешение на доступ к конфиденциальным документам, и утверждается приказом руководителя предприятия. В приказе определяются и мероприятия по введению Положения в действие (порядок изучения Положения пользователями, технология осуществления контроля за его выполнением и др.). С утвержденным Положением должны быть ознакомлены под расписку все сотрудники предприятия, работающие с конфиденциальными документами.[17]

Обязательно нужен учет персонала, получившего доступ к конфиденциальной документированной информации, и лиц, которым она была передана и предоставлена.

Особенность информационного обслуживания пользователей, потребителей конфиденциальной информации заключается в том, что вопросы определения состава необходимой им информации решаются должностным лицом, дающим разрешение на доступ к информации в зависимости от Перечня конфиденциальной документированной информации организации, а не самими пользователями.

Структурами технологии разграничения доступа должна быть многоуровневой, иерархической. Иерархическая последовательность доступа к информации реализуется по следующим принципам:

• чем выше уровень доступа, тем уже круг допущенных лиц;
• чем выше ценность информации, тем меньшее число персонала может ее знать.

Выдача допуска или санкций (разрешений) на доступ к конфиденциальной информации осуществляется с учетом двух аспектов: во – первых, выдачи разращений в зависимости от категории конфиденциальной информации, в соответствии с Перечнем конфиденциальной документированной информации и Реестром конфиденциальной информации и автоматизированной информационной системы организации; во – вторых, выдачи разрешений в зависимости от занимаемой должности лица, выдающего разрешение.

Задачей технологии разграничения доступа является регламентация минимальных потребностей персонала в конфиденциальной информации. Это дает возможность разделить знание персонала о конфиденциальной информации на элементы знания информации в целом.

В соответствии с иерархической последовательность доступа определяется структура границ защиты информации, которая предусматривает постепенное ужесточение защитных мер по иерархической вертикали, возрастание степени конфиденциальности информации. Этим обеспечивается недоступность информации для случайных людей или злоумышленников и определяется необходимая степень защищенности информации. Поэтому технологии ограничения доступа предполагают создание в организации номенклатуры должностей работников, подлежащих оформлению на допуск к конфиденциальной документированной информации.[48]

Номенклатура составляется Службой безопасности совместно со Службой кадров, согласовывается с Экспертной комиссией по защите конфиденциальной информации и подписывается руководителем организации.

Номенклатура хранится в Службе безопасности, второй экземпляр – в Службе делопроизводства. В номенклатуру включаются должности, по которым допуск персонала к этой информации действительно необходим для выполнения ими должностных обязанностей, а также могут включаться должности работников, допуск которых к информации соответствующей степени конфиденциальности необходим для выполнения ими заданий в других организациях при их командировании.

Изменения и дополнения в номенклатуру вносятся по мере необходимости, согласовываются и утверждаются в установленном порядке. Номенклатура должностей пересматривается не реже одного раза в 5 лет.

Технология доступа к конфиденциальной информации также включает учет должностных лиц других организаций, получивших доступ, и (или) лиц, которым такая информация была предоставлена или передана.

Журнал (картотека) может вестись в автоматизированном режиме. При обнаружении факта утраты конфиденциальной документированной информации или факта разглашения информации должно водиться ограничение на доступ или прекращение доступа к любой информации до окончания служебного расследования, которое оформляется актом.

Таким образом, работа руководителей и исполнителей с конфиденциальными документами должна регламентироваться достаточно жесткими требованиями к соблюдению порядка обеспечения сохранности секретов в организации. Возникающие ограничения в оперировании информацией нельзя рассматривать как следствие недоверия к персоналу. Соблюдение этих требований позволяет правильно организовать достаточно сложную работу с конфиденциальными документами и, что очень важно, дает уверенность сотрудникам в правильности своих действий.

Глава 2 Информационная безопасность и защита конфиденциальной документации

2.1 Угрозы и меры по предупреждению несанкционированного доступа к конфиденциальной информации

Любая угроза безопасности информации предполагает несанкционированный доступ нежелательных лиц к конфиденциальной информации и в результате этого – кражу, уничтожение, подмену документов. Если заинтересованность конкурента к конфиденциальной информации отсутствует, то угроза информации не возникает даже при ситуации, когда создались предпосылки для ознакомления с ней посторонних лиц. Важная информация, которая не интересует конкурента, может не включаться в состав защищаемой, а документы, которые ее содержат, находятся под контролем только с целью обеспечения сохранности носителя.

Как правило, угроза предполагает намерение злоумышленника совершить противоправные действия в отношении к информации для достижения своей цели. Наибольшая угроза сохранности информации и документов может возникнуть, при выходе за пределы конфиденциальной документации, например когда происходит передача документов персоналу на рассмотрение и исполнение, при пересылке или передаче документов адресатам. Но все же, чаще всего потеря конфиденциальной информации происходит не в результате преднамеренных действий конкурента, а из-за невнимательности и непрофессионализма персонала.

Если информация потеряна из за ошибки персонала, используется термин «разглашение информации». При разглашении, информация может перейти или к злоумышленнику и затем, не исключено, что она может перейти к конкуренту, или к третьему лицу. Третье лицо в данном случае это любые лица, получившие информацию в силу сложившихся обстоятельств.

Обычно, переход информации к третьему лицу называют непреднамеренным, стихийным.

Конфиденциальная информация должна защищаться и от утраты, и от утечки.