Файл: Исследование проблем защиты информации (Понятие информационной безопасности).pdf

Форма сотрудника хранится в его личном файле, а также вся информация о персональных данных сотрудника. Личное дело передается в отдел кадров, ответственный за выполнение личных дел, - начальник отдела кадров. Личные файлы хранятся в бумажной форме в папках, сшиты и пронумерованы. Личные дела находятся в отделе персонала в специально разработанном корпусе, который обеспечивает защиту от несанкционированного доступа. По окончании рабочего дня все личные вопросы должны быть переданы в кадровый отдел.

Персональные данные сотрудников также могут храниться в электронном виде в локальной компьютерной сети. Доступ к персональным данным сотрудника обычно является генеральным директором, заместителем генерального директора, главным врачом, главным бухгалтером и данными, необходимыми для выполнения конкретных функций - непосредственным руководителем сотрудника, персоналом и специалистами бухгалтерии. Доступ экспертов из других отделов к персональным данным должен основываться на письменном согласии Генерального директора или его заместителя.

Когда работник переводится в другой отдел, его личный файл может быть передан начальнику отдела, которому передан сотрудник. Копии и выписки из личных данных работника могут быть разрешены только в официальных целях с письменного согласия начальника отдела кадров. Персональные данные работника используются только для целей, связанных с выполнением работником рабочих функций.

Работодатель использует личные данные, в частности, для решения вопросов продвижения работника, порядка выдачи годового отпуска, установления размера заработной платы. На основании личных данных решается вопрос о допуске к информации, составляющей официальную или коммерческую тайну. В случае решений, затрагивающих интересы работника, работодатель не имеет права ссылаться на личные данные работника, которые были получены исключительно на основе их автоматической обработки или электронного получения. Работодатель также не имеет права принимать решения, затрагивающие интересы работника, на основе данных, которые допускают двойную интерпретацию. Если невозможно надежно установить на основе личных данных работника, работодатель предлагает сотруднику представить письменные заявления.

Информация о персональных данных сотрудника может быть предоставлена государственным органам в порядке, установленном законом. Работодатель не имеет права раскрывать личные данные работника третьим лицам без письменного согласия работника, если только не необходимо предотвращать угрозу жизни и здоровью работника, а также случаях, определенных государством.

Личные данные работника могут быть переданы представителям работника в порядке, установленном Трудовым кодексом Российской Федерации, если это необходимо для исполнения полномочий.

У работодателя есть запись о регистрации персональных данных сотрудников, в которых регистрируются заявки, информация о лице, отправившем заявку, дату передачи персональных данных или дате уведомления об отказе в предоставлении персональных данных, а также какая информация была передана. При обработке персональных данных (т.е. приема, хранения, комбинации, передачи или иного использования) работодатель и его представители обязаны соблюдать общие требования Кодекса (статья 86 ТК РФ)^[21].

Обработка персональных данных работника может осуществляться только для конкретных целей в связи с трудовыми отношениями: обеспечение соблюдения законов и правил; личная безопасность работников; Сохранение имущества; Поддержка работников, работающих в области профессиональной подготовки и повышения квалификации; проверьте количество и качество выполненных работ.

При определении объема и содержания персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и другими федеральными законами. Получение персональных данных должно осуществляться в соответствии с юридической процедурой.

В принципе, все личные данные должны быть получены самим сотрудником. Если личные данные могут быть получены только от третьего лица, должны быть выполнены следующие требования:

Информирование работодателя о намерении получить личные данные от третьего лица (с указанием цели, ожидаемых источников и методов получения данных, их характера, последствий отказа работника)

Получение письменного согласия работника на получение его личных данных от третьей стороны

Кодекс устанавливает ряд ограничений на обработку персональных данных определенного типа. Таким образом, работодатель не имеет права получать и обрабатывать личные данные работника о своем членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных законом (статья 86 Трудового кодекса Российской Федерации) Данные работника в коммерческих целях (ст. 88 (2) ТК РФ).

Следует также подчеркнуть, что на основании статьи 88 Трудового додекса работодатель может самостоятельно оценить уровень угрозы жизни и здоровью работника и не допустить такой угрозы от распространения личной информации третьим лицам. Защита личных данных работника от его злоупотребления или потери должна обеспечиваться работодателем за свой счет в порядке, установленном законом.

Работодатели, работники и их представители должны совместно разрабатывать меры по защите персональных данных сотрудников. Статья 87 ТК РФ предоставляет работодателям возможность самостоятельно определять порядок хранения и использования персональных данных. Однако практика HR-услуг показывает, что для хранения, использования и защиты персональных данных работодателем требуется юридически определенная строго регламентированная процедура. Пока что подавляющее большинство работодателей не имеют местных правил передачи персональных данных работодателю.

В целях обеспечения защиты персональных данных, хранящихся работодателем, в соответствии со статьей 89 Трудового кодекса, работник имеет право заполнять информацию о персональных данных и их обработке; свободный доступ к ним, включая право на получение копий записи, содержащей их.

Идентификация их представителей для защиты персональных данных; Доступ к персональным медицинским данным, связанным с ними, с помощью медицинского специалиста по его выбору; при подаче запроса исключить или исправить неправильные или неполные личные данные, а также данные, обработанные в нарушение требований ТК РФ; о требовании уведомить работодателя всех лиц, ранее предоставленных ложными или неполными персональными данными работника обо всех исключениях, исправлениях или дополнениях, внесенных в них; обращаться в суд со всеми незаконными действиями или бездействием работодателя при обработке и защите персональных данных.

Соблюдение всех вышеперечисленных требований должно обеспечиваться совместными усилиями персонала, юридических служб и экспертов по автоматическому персоналу и информационной безопасности.

В соответствии со статьей 90 Трудового кодекса Российской Федерации^[22] лица, нарушающие правила получения, обработки и защиты персональных данных работника, защищены дисциплинарным, административным, гражданским или гражданским законодательством уголовная ответственность по федеральным законам. Персональные данные сотрудника - это информация, необходимая для работодателя в связи с трудовыми отношениями и касающаяся конкретного работника.

Порядок хранения, обработки и использования персональных данных сотрудников в организации определяется работодателем. Сотрудники и их представители должны быть проинформированы о получении документов организации, которые определяют порядок обработки персональных данных сотрудников и их прав и обязанностей в этой области.

Обработка персональных данных сотрудника - получение, хранение, объединение, передача или иное использование персональных данных сотрудника^[23].

При обработке и передаче персональных данных работника необходимо учитывать следующее: хранить все личные данные работника (если они могут быть получены только у третьего лица), сотрудник должен быть уведомлен заранее и письменное соглашение, полученное от него).

Очевидно, что работодатель собирает документы, сертификаты, заявления и другие документы, которые вместе с договором о найме и договор заказа составляют персональный файл работника при подаче заявления на работу и в процесс работы. Материалы, содержащиеся в личном файле, часто являются конфиденциальными. Знакомство с ними может быть разрешено только работнику, руководителю, персоналу службы персонала, но только из-за их официальных полномочий.

Международную декларацию прав человека 1948 года, Конвенцию о защите прав человека и основных свобод 1950 года, Международную, следует упомянуть в первую очередь как международные акты по защите прав и свобод человека, тайну его личной и семейной жизни. Пакт о гражданских и политических Конституция Российской Федерации гласит, что права и свободы людей и граждан признаются и гарантируются на русском языке Нормы международного права и в соответствии с Конституцией (статья 17). Основные права и свободы человека не отчуждаются и принадлежат всем с рождения (часть 2 той же статьи)^[24].

В статье 85 ТК формулируются две основные концепции этой главы:

1) личные данные работника;

2) Обработка персональных данных сотрудника.

TК РФ формулирует концепцию персональных данных сотрудника (часть 1, статья 85) и концепцию обработки этих данных (часть 2 настоящей статьи).

Обработка персональных данных сотрудника включает в себя операции (действия), выполняемые работодателем в лице его уполномоченного представителя (как правило, персонал службы персонала):

а) получение,

б) хранение,

в) комбинация,

г) передача персональных данных работника или другого его использования.

Персональные данные сотрудника - это информация, необходимая для работодателя в связи с трудовыми отношениями и с конкретным сотрудником.

Угрозы безопасности информации - состояния и действия субъектов и материальных объектов, которые могут привести к изменению, уничтожению и краже информации^[25].

Угрозы информационной безопасности включают блокировку доступа к ним. Угроза как потенциальный информационный риск может быть реализована или нет. Но потенциальная опасность всегда существует, изменяется только их уровень. Количество потенциальных информационных угроз огромно: от очевидных до неочевидных косвенных. Например, конфликт между администрацией организации и сотрудником создает угрозу безопасности информации, поскольку недовольный сотрудник может выбрать секретную или конфиденциальную информацию в качестве инструмента для угрозы. Угрозы преднамеренно создаются или происходят случайным образом в качестве обеспечения безопасности работы организации и ее сотрудников.

Необходимо отличать угрозы от результатов их реализации. Изменение, уничтожение, кража и блокирование информации являются результатом реализации угроз.

Большая угроза информации, которая содержит государственную тайну, создается чужой разведкой.

Основной интерес для них - информация в военной области, в области экономики, науки и техники, внешней политики, разведки, контрразведки и оперативной разведки иностранных государств, особенно потенциальных врагов и конкурентов, состоянии и прогнозах развития военного, научного, технического и экономического потенциала государств; достижения науки и техники, содержание исследований, разработок, дизайна и технологий, которые имеют важное оборонное и экономическое значение; тактические и технические характеристики и возможности для борьбы с оружием и военной техникой; расположение, состав, вооружение войск и состояние их боевой поддержки; о количестве запасов, производстве, поставках и потреблении стратегического сырья, материалов и полезных ископаемых; при выполнении положений международных договоров, в частности ограничения вооружений,

Знание конкретных угроз защищенной информации создаст способность определять задачи для определения рациональных мер для защиты информации, предотвращения угроз или снижения вероятности их реализации до приемлемых уровней^[26].

Меры по защите информации с позиции системного подхода рассматриваются как результат функционирования системы защиты. Это могут быть конкретные действия персонала, предложения по приобретению и установке технических и программных инструментов, требования к работникам, как это определено в соответствующих юридических документах. В принципе, предотвратите или, по крайней мере, значительно уменьшите конкретную угрозу безопасности информации, вы можете предложить несколько мер для ее защиты.