Дубровский В.Ж., Чайкин Б.И. (ред.) Экономика и управление предприятием

Подождите немного. Документ загружается.

Экономика и управление предприятием

230

нию, блокированию доступа к информации, а также к утрате, унич-

тожению или сбою функционирования носителя информации.

По месторасположению источника угрозы делятся на:

1) внешние (источник воздействия или злоумышленник рас-

положен вовне системы). Например, попытка считать закрытую

информацию с сервера извне сети предприятия при наличии уяз-

вимостей в программном обеспечении сервера (угроза конфиден-

циальности);

2) внутренние (источник угрозы располагается внутри охра-

няемого периметра). Например, установка подслушивающих уст-

ройств (угроза конфиденциальности);

3) угрозы внешним информационным потокам (источник уг-

розы находится вне охраняемого периметра, но воздействует не на

саму систему, а на потоки данных, направленных к ней или от нее).

Например, прослушивание каналов передачи данных (телефонных,

компьютерных, радиочастоты) (угроза конфиденциальности).

Прежде чем принимать меры по защите информации, необ-

ходимо уточнить следующие вопросы:

1) какие сведения нельзя скрывать, защищать от доступа

к ним (от кого?);

2) какие сведения невыгодно скрывать (почему?);

3) какие сведения подлежат охране (кем и от кого?).

Первая группа сведений составляет коммерческую тайну.

Под коммерческой тайной (конфиденциальными сведения-

ми) понимаются не являющиеся государственными секретами све-

дения, связанные с производственно-технической, научно-исследо-

вательской, опытно-конструкторской и другой деятельностью пред-

приятия, а также технологической информацией, управлением, фи-

нансами и т.п., разглашение (передача, утечка) которых может

нанести ущерб его интересам.

Критериями коммерческой тайны являются:

степень важности информации для достижения прибыли

в конкурентной борьбе;

величина выигрыша во времени по сравнению с конкурен-

тами;

время возможного освоения украденной технологии конку-

рентами.

К коммерческой тайне обычно относят:

Глава 6. Информационные ресурсы предприятия

231

организационные сведения (устав и учредительные доку-

менты предприятия, регистрационные удостоверения, лицензии,

патенты);

финансовые сведения (документы об исчислении и уплате

налогов, других платежей, предусмотренных законом, документы

о состоянии платежеспособности);

сведения о штате и условиях деятельности (число и состав

работающих, их заработная плата, наличие свободных мест, влия-

ние производства на природную среду, реализация продукции,

причиняющей вред здоровью населения, участие должностных лиц

в предпринимательской деятельности, нарушение антимонополь-

ного законодательства);

сведения о собственности (размерах имущества, денежных

средствах, вложениях в ценные бумаги, облигации, займы, в ус-

тавные фонды совместных предприятий).

Конфиденциальные сведения можно разделить на две груп-

пы: деловую и технологическую.

Деловая информация предприятия обычно включает финан-

совые отчеты и прогнозы, банковские счета, кредиты, условия кон-

трактов и договоров, ближайшие и перспективные планы предпри-

ятия, условия продаж, коды и процедуры доступа к информацион-

ным сетям и т.д.

К технологическим секретам могут быть причислены дан-

ные о научно-техническом потенциале предприятия, уровень ме-

тодов организации производства, объем производственных мощ-

ностей и уровень технологии, конкретные ноу-хау, нормы расхода

сырья, информация о незащищенных патентами изобретениях, ис-

пользуемых в производстве и т.д.

Основополагающим документом в области защиты коммер-

ческой тайны является Закон РФ «О коммерческой тайне» от 29 ию-

ля 2004 г. № 98-ФЗ, вобравший в себя многие разрозненные опре-

деления и положения, существовавшие до этого. В Законе дано оп-

ределение коммерческой тайны как законно полученных сведений,

разглашение которых может принести ущерб их владельцу и в от-

ношении которых он (владелец) предпринял меры по защите.

В Законе перечислены:

сведения, которые не могут составлять коммерческую тайну;

порядок предоставления коммерческой тайны органам госу-

дарственной власти;

Экономика и управление предприятием

232

требования по мерам обеспечения защиты коммерческой тай-

ны в рамках трудовых и гражданско-правовых отношений с обеих

сторон.

Закон не ограничивает владельца коммерческой тайны в выбо-

ре средств для ее защиты, но указывает, что они не должны проти-

воречить конституционным нормам, наносить вред здоровью и нрав-

ственности людей, а также нарушать законные права других лиц.

К примеру, со стороны Уголовного кодекса РФ предусмот-

рены следующие санкции за нарушения в области защиты инфор-

мации (табл. 31).

Претендовать на ознакомление с закрытыми сведениями мо-

гут в пределах своей компетенции:

прокурор в порядке надзора и в других случаях, предостав-

ленных ему законом;

правоохранительные органы по возбужденному уголовному

делу;

налоговые службы (управления);

аудиторские фирмы (по просьбе самого владельца);

профсоюзы;

государственные предприятия (учреждения);

санэпидемстанции;

экологические организации;

предпринимательские предприятия и частные лица, всту-

пающие с ним в сделку.

Т а б л и ц а 28

Санкции Уголовного кодекса РФ

за нарушения в области защиты информации

Вид нарушения

Статья

Штраф,

МРОТ

Лишение

свободы

Нарушение неприкосновенности частной жизни

137

200–800

До 6 мес.

Нарушение тайны переписки, телефонных перегово-

ров, почтовых, телеграфных и иных сообщений

138

50–500

До 3 лет*

Незаконное получение и разглашение сведений, со-

ставляющих коммерческую или банковскую тайну

183

100–500

До 3 лет

Неправомерный доступ к компьютерной информации

272

200–800

До 5 лет

Создание, использование и распространение вредо-

носных программ для ЭВМ

273

200–500

До 7 дет**

Нарушение правил эксплуатации

274

–

До 4 лет**

Глава 6. Информационные ресурсы предприятия

233

ЭВМ, системы ЭВМ или их сети

Примечание. Наказание в виде лишения свободы применяется в случаях,

если имело место: * факт производства или сбыта специализированной техники;

** тяжкие последствия, непреднамеренно вызванные выводом из строя ЭВМ или

сети ЭВМ.

Вторая группа сведений характеризуется тем, что ее невы-

годно скрывать самому предпринимателю. Это касается прежде

всего рекламной информации, без которой трудно добиться эффек-

тивного результата, особенно в условиях жесткой конкуренции.

Следует учитывать, что рекламная информация становится

достоянием не только законопослушных граждан (на которых она и

рассчитана), но и преступных элементов. Предпринимательская

информация, рекламируемая, в частности, в газетах, в журналах, по

телевидению, радио, помогает преступникам выйти на объект бу-

дущего посягательства, изучить его слабые (уязвимые, например,

для закона отдельные виды деятельности, различного рода махина-

ции) стороны, а затем принять решение, каким образом получить

от этого для себя выгоду.

К третьей группе относятся сведения, которые представля-

ют хозяйственную ценность для предпринимателя, и на них не

распространяется законный доступ третьих лиц.

Первым вопросом, который необходимо решить при органи-

зации охраны закрытой информации, является определение круга

сведений, составляющих коммерческую тайну, а также возможное

их распределение по категориям важности в зависимости от их

ценности для предприятия, характера и размера ущерба, который

может быть нанесен предприятию при разглашении этих сведений.

Сведения, составляющие коммерческую тайну предприятия,

как правило, отражаются в «Перечне сведений, составляющих

коммерческую тайну предприятия» (далее Перечень), утверждае-

мом руководителем предприятия. Практика показывает, что дан-

ный вопрос следует решать коллегиально. Для разработки Перечня

приказом руководителя предприятия создается комиссия из наибо-

лее квалифицированных и компетентных специалистов основных

подразделений и представителей службы безопасности, знакомых

как с деятельностью предприятия в целом, так и с работой отдель-

ных подразделений. Создается группа в составе 4–5 чел., в которую

желательно включить:

Экономика и управление предприятием

234

специалиста, владеющего финансовыми вопросами, конъюнк-

турой рынка и данными в отношении конкурирующих фирм;

специалиста, знакомого с системой организации работы пред-

приятия, ее особенностями;

специалиста по связям с другими предприятиями, а также по

вопросам заключения контрактов, договоров;

специалиста, обладающего всеми сведениями о выпускаемой

продукции, технологическом цикле ее проектирования и производ-

ства, о прохождении всех видов информации (устной, документи-

рованной, в виде образцов, узлов, блоков, готовой продукции).

Если предприятие достаточно велико или производимая про-

дукция имеет разнородный характер, целесообразно создание не-

скольких групп: главной – в целях координации и обобщения ре-

зультатов работы, остальных – в зависимости от необходимости по

каждому отдельному направлению.

Перед группой экспертов ставится комплекс вопросов в сле-

дующей последовательности:

а) выделение всех видов деятельности предприятия, прино-

сящих прибыль на данный момент;

б) исходя из имеющихся данных о рынке сбыта, оценивается,

превышает ли уровень прибыли соответствующего вида деятельно-

сти аналогичные показатели других предприятий;

в) определение вероятной перспективы рентабельности дан-

ного вида деятельности.

Если с экономической точки зрения полученные результаты

устраивают предприятие как в данный момент, так и в перспективе,

а прибыль выше, чем у конкурирующих фирм, то предприятие рас-

полагает определенной коммерческой тайной и анализ необходимо

продолжить.

Далее эксперты должны определить, что именно в данном

виде деятельности позволяет получать прибыль. Примеры могут

быть самыми разнообразными.

Так, для сведений научного характера – это, как правило:

идеи, изобретения, открытия;

отдельные формулы;

новые технические проекты;

новые методы организации труда и производства;

программное обеспечение ЭВМ;

результаты научных исследований.

Глава 6. Информационные ресурсы предприятия

235

Для сведений технологического характера:

конструкторская документация, чертежи, схемы, записки;

описания технологических испытаний;

ноу-хау;

точные знания конструкционных характеристик создаваемых

изделий и оптимальные параметры разрабатываемых технологиче-

ских процессов (размеры, объемы, конфигурация, процентное со-

держание компонентов, температура, давление, время и др.);

сведения о материалах, из которых изготовлены отдельные

детали, условиях экспериментов и оборудовании, на котором они

проводились и т.д.;

используемые предприятием отдельные новые либо уникаль-

ные измерительные комплексы и приборы, станки, оборудование.

Для сведений делового характера:

сведения о заключенных или планируемых контрактах;

данные о поставщиках и клиентах;

обзоры рынка, маркетинговые исследования;

информация о конфиденциальных переговорах;

калькуляция издержек производства, структура цен, уровень

прибыли, планы развития предприятия и его инвестиций.

Следует учитывать и другие обстоятельства. Например, пред-

приятие может применять широко известные методы организации

производства (технологические приемы, оборудование и т.п.) и при

этом достигать высокой прибыли. Несмотря на общедоступность

таких данных, сам факт их применения может являться коммерче-

ской тайной.

Некоторые предприятия получают прибыль за счет моно-

польного положения на рынке. И в этом случае не следует пренеб-

регать своевременными мерами по защите коммерческой тайны,

так как, используя свободный доступ к необходимым данным, да-

же небольшое предприятие способно быстро организовать анало-

гичное производство и составить конкуренцию.

Результатом работы экспертов должен стать Перечень сведе-

ний, составляющих коммерческую тайну предприятия. При необ-

ходимости Перечень должен пересматриваться, изменяться и до-

полняться. Желательно в нем определить конкретный срок на те

или иные сведения, отнесенные к коммерческой тайне.

Перечень доводится до всех структурных подразделений

предприятия и исполнителей, которых эти сведения касаются. При

Экономика и управление предприятием

236

подготовке соответствующего документа на первом титульном

листе возможно проставление грифа «коммерческая тайна».

В настоящее время к основным формам, способствующим

защите информации, относятся режимные, т.е. специальные меры,

направленные на предотвращение утечки конкретных сведений.

Чем больший интерес проявляется к ним, тем оперативнее должны

быть защитительные меры.

Предприятия, объединения, где имеется не один владелец

информации, а несколько, и работают сотрудники, не допущенные

к производственным (коммерческим) секретам, представляют бо-

лее сложный объект защиты. Прежде всего возникает вопрос о не-

обходимости обеспечения внешней и внутренней безопасности

структурных подразделений. Для его решения возможно использо-

вание частных детективных фирм, частных служб безопасности,

собственных служб безопасности.

К внешним мероприятиям относятся: изучение партнеров,

клиентов, с которыми приходится вести хозяйственную, коммерче-

скую деятельность, собирание информации об их надежности, пла-

тежеспособности и других данных. При необходимости проводится

изучение связей сотрудников. Выясняются лица, проявляющие ин-

терес к предприятию, к его деятельности, к сотрудникам, с целью

определения, не относятся ли они к конкурирующей фирме или

к преступной группе.

Как показывает зарубежная практика, утечка информации за-

частую происходит по инициативе собственных сотрудников.

В мотивационной основе совершаемых поступков лежит корысть

(получение значительной суммы денег) или месть (не исключая за-

одно и материальную выгоду), к примеру, со стороны уволенного

работника, имевшего доступ к предпринимательской информации.

В этой связи следует обращать внимание на лиц, которые в процес-

се хозяйственной или иной деятельности проявляют необоснован-

ный интерес к информационным хранилищам, предполагаемым

сделкам и партнерам. При возникновении серьезных подозрений

о недобросовестности сотрудника по отношению к предприятию

предпочтительнее с ним расстаться.

Предприятия, располагающие ценной информацией, должны

хранить ее в специальных несгораемых шкафах или сейфах, не до-

пускать утери ключей от них или передачи на хранение другим ли-

цам, даже из числа особо доверенных. Зарубежные фирмы, напри-

Глава 6. Информационные ресурсы предприятия

237

мер, используют для хранения секретной информации сейфы

(шкафы), открываемые с помощью специальной магнитной карты

или других сложных сигнальных электронных устройств. Такая

мера значительно затрудняет доступ к сейфам, особенно при нали-

чии комплекса защитных (физических и технических) мер здания,

где расположен сейф или иное хранилище.

На столе служебные документы должны лежать лицевой сто-

роной вниз, чтобы у посетителей не было возможности ознако-

миться с их содержанием. При уходе из служебного помещения все

документы должны быть убраны в сейф.

Информационные документы на бумажных носителях долж-

ны быть пронумерованы и иметь ограниченное количество копий.

Использованные копии документов должны обязательно возвра-

щаться в подразделение, где производится их уничтожение. Даже

обработанную прессу не стоит выбрасывать в мусорное ведро. Ис-

писанные листы, что бы ни было на них написано, нужно склады-

вать в специальную коробку на столе. В конце рабочего дня все ис-

писанные листы должны уничтожаться.

Среди технических средств для пресечения несанкциониро-

ванного доступа к секретной информации достаточно широко

применяются устройства, обеспечивающие защиту от утечки ин-

формации по нескольким каналам одновременно. Они называются

«генераторами шума». Одним из таких изделий является устройст-

во «Порог», осуществляющее защиту служебных помещений от

подслушивания при помощи радиотехнических, лазерных, оптиче-

ских и других средств. Оно защищает информацию от утечки че-

рез стены, окна, трубы отопления и водоснабжения, вентиляцион-

ные колодцы и т.п. Работает в режиме «дежурного приема», т.е.

включается на защиту только в случае необходимости. Имеет аку-

стическую и световую сигнализацию работоспособности. Датчики

приклеиваются, прижимаются хомутами либо прикручиваются.

Аналогичным по назначению является устройство «Каби-

нет». Оно предназначено для предотвращения прослушивания ре-

чевой информации за пределами защищаемого помещения. Прин-

цип действия основан на создании маскирующего вибрационного

шума в ограждающих конструкциях и акустического шума в по-

мещении и вне его.

Для защиты от подслушивания телефонных переговоров ис-

пользуется так называемый «телефонный подавитель устройств

Экономика и управление предприятием

238

подслушивания». При установке устройство подслушивания, вклю-

ченное в телефонную линию, выводится из строя и перестает

функционировать.

Для сохранения в тайне содержания телефонного разговора

предназначены специальные устройства, называемые скремблера-

ми. Это – автоматическое устройство, встраиваемое для засекре-

чивания речевой информации, передаваемой по каналам связи.

В настоящее время на рынке России и СНГ имеются самые раз-

личные модели скремблеров. Они различаются стойкостью засек-

речивания, порядком ввода ключа, качеством восстановительной

речи, способом питания и конструкцией.

В некоторых случаях с целью обнаружения скрытых микро-

фонов, подслушивающих устройств, магнитофонов и радиозакла-

док применяется универсальная аппаратура, типа универсального

PK-855S.

Среди мер, обеспечивающих борьбу с различными видами

использования в преступных целях вычислительной техники и ин-

формации, содержащейся на мощных носителях, первостепенное

значение имеют мероприятия, направленные на защиту как самого

ПК, так и хранящейся в нем информации.

Защита должна обеспечивать предотвращение:

1) уничтожения информации (информационных ресурсов),

причинами которого могут быть либо «доверие» конкурентов, либо

даже недовольство собственных служащих;

2) похищения данных (сведений о сотрудниках фирм с целью

«охоты за головами», данных из страховых, медицинских, право-

охранительных баз с целью шантажа и т.п.);

3) изменения данных – наиболее опасный и распространен-

ных вид нарушения.

Практически любое хищение основано на одном из ниже-

упомянутых видов изменения данных:

изменении денежных сумм;

изменении имен получателей;

стирании записей;

прибавлении записей;

изменении фактической даты записей;

списании небольших сумм и перенесении их на отдельный

счет;

изменении отчетной документации;

Глава 6. Информационные ресурсы предприятия

239

незаконном использовании компьютерных средств (услуги

на сторону, выполнение работ по программированию и т.п.).

С целью решения указанных проблем, как правило, разраба-

тываются и реализуются соответствующие меры организационного

характера.

В области физической (технической) защиты наиболее при-

емлемыми и эффективными являются программные методы защи-

ты информации. Во-первых, это стандартный машинный контроль,

которому подвергаются любые документы, введенные в ПК (на-

пример, размер элементов заголовка и строк; порядок следования

строк; наличие заголовка и строк; комплектность документа и т.д.).

Все сомнительные строки рассматриваются в дефектной ведомо-

сти, на основании которой операторы группы контроля осуществ-

ляют корректировку исходной информации. Во-вторых, в автома-

тическом режиме значительно упрощаются любого рода счетные

проверки (правильность сумм по строкам, по столбцам и т.п.).

Наиболее перспективным методом контроля документа яв-

ляется логическая проверка. Применение данного метода требует

глубокого изучения сущности хозяйственной операции, отражен-

ной в учетном документе, ясного представления о возможных, не-

возможных и сомнительных соотношениях между реквизитами

документа, четкого логического мышления и понимания скрытых

взаимосвязей показателей.

В настоящее время разработан и используется широкий

спектр средств и методов защиты и программного контроля как от-

дельных документов, так и их массивов. Наиболее высоким уров-

нем защиты обладает процедурный метод, обеспечивающий доступ

к данным только тем пользователям, которые имеют соответст-

вующее разрешение. Существует несколько способов идентифика-

ции личности:

1) по предмету, которым владеет человек (например, по кар-

точке, жетону, ключу);

2) по паролю, личному идентификационному коду, который

вводится в ПК при помощи клавиатуры дисплея;

3) по электронной цифровой подписи;

4) по физическим характеристикам личности, индивидуально

присущим только ей.

В последнее время все бóльшую опасность для информаци-

онных систем приобретают различные компьютерные вирусы. Ви-