Игнатьев В.А. Информационная безопасность современного коммерческого предприятия

Подождите немного. Документ загружается.

ботников [20]. В целом, психологическое обеспечение коммер-

ческой тайны в процессе отбора, подготовки, выдвижения и

увольнения кадров эффективнее и дешевле, чем при обычном

засекречивании информации. Весьма эффективны организа-

ционно-психологические меры защиты информации [88]:

- дробление, распределение информации между сотруд-

никами;

- ведение учета ознакомления сотрудников с особо важной

информацией;

- распространение информации только через контролируемые

каналы;

- назначение лиц, ответственных за контроль документации;

- обязательное уничтожение неиспользованных копий до-

кументов и записей;

- четкое определение коммерческой тайны для персонала;

- составление, регулярная оценка и обновление перечня

информации, предс тавляющей коммерческую тайну;

- включение пункта о неразглашении коммерческой тайны в

трудовой договор, правила внутреннего распорядка и должностные

инструкции;

- включение положений о неразглашении тайны в соглашения

и договоры с партнерами.

Особо остановимся на мерах по обеспечению информацион-

ной безопасности при увольнении сотрудника. О намерениях

сотрудника уволиться косвенно свидетельствует посещение со-

ответствующих сайтов в Интернете, рассылка резюме. С этого

момента вся переписка с рабочего адреса и некоторые опера ции

на ПК должны быть взяты под негласный контроль. Как можно

скорее в отсу тствие данного пользователя необходимо сделать

резервную копию всех его файлов. Принимая во внимание, что

сотрудник может изменить свои намерения и ос таться, а, также

допуская, что просмотр вакансий мог осуществляться по просьбе

знакомых, ищущих работу, нет необхо димости принимать сразу

явные меры безопасности.

Если сотрудник объявил о своем увольнении, можно принять

следующие меры:

- проинформировать всех сотрудников о предстоящем

увольнении и запретить передавать ему любую или какую-то

конкретную информацию, имеющую отношение к работе;

- сделать резервную копию файлов пользователя;

- организовать передачу дел;

- постепенно, по мере передачи дeл сокращать права дос тупа

к информации;

- по необходимости организовать сопровождение увольне ния

специалистом по информационной безопасности.

Если сотрудник уличен в промышленном шпионаже необ-

ходимо:

- немедленно лишить его всех прав доступа к ИТ;

- немедленно скорректировать права доступа к общим ин-

формационным ресурсам (базам данных, принтерам, факсам),

перекрыть входы во внешние сети или изменить правила дос тупа к

ним;

- все сотрудники должны сменить личные пароли, при этом до

их сведения доводится следующая информация: «Сотрудник N с

(дата) не работает. При любых попытках контакта с его стороны

немедленно сообщать в службу безопасности»;

- некоторое время контроль ИС осуществляется в усиленном

режиме.

Если сотрудник увольняется не по причине уличения в

промышленном шпионаже, то перечисленные меры не долж ны

быть чрезмерно настойчивы, дабы не оказывать негатив ного

воздействия на психологическое состояние человека. Необходимо

внушить сотруднику, что таков общий порядок, и он лично ни в чем

не подозревается.

Если сотрудники увидят, что увольнение каждого пользова теля

ПК неразрывно связано с моральным ущербом, то постра дает

общий социально-психологический климат: организация будет

ассоциироваться с тюрьмой или сек той. Кроме того, неце-

лесообразно портить отношения со всеми увольняющимися со-

трудниками: кто-то может вернуться, а кто-то - оказать помощь.

Если сотрудника увольняют, уличив в промышленном

шпионаже, то процедура сопровождения остается на усмотрение

службы безопасности. Задача службы управления персоналом:

происходящее не должно нанести ущерб социально-

психологическому климату в коллективе, а по возможности,

напротив, консолидировать остальных сотрудников.

15.3 Профилактика хищения информ ации сотрудниками

организации

Меры по обеспечению информационной безопасности с по-

зиций «человеческого фактора» можно рассматривать в ка честве

щита от воровства информации как специфического ресурса,

имеющего значительную ценность.

Воровство и мошенничество как психологическая проблема

имеют и свою идеологию: «в России воруют все». С неко торыми

вариациями это суждение существует уже столетия. В чем же

конкретно проявляется тяжелая наследственность российской

ментальности [23].

Психологически человек не готов различать свое и чужое

(детская установка: «поделись или ты жадина-говядина»).

В сознании людей закон не воспринимается как объектив ная

реальность: (установка: «закон, что дышло, куда повер нул - туда и

вышло»).

Возможность заработать воспринимается людьми как воз-

можность украсть (установка: «кто смел, тот и съел»).

Наличие отраслей, в которых воровство традиционно не гласно

входит в систему оплаты труда (установка: «работать на кухне и не

воровать?»).

Различают такие формы воровства, как:

- индивидуальное воровств о, в основе генетический код и

ощущение анонимности, самооправдание (все воруют);

- коллективное воровство, в основе идеология восс тановле ния

социальной справедливости (экспроприация экспроприа торов).

Наиболее эффективно противодействовать этому можно,

только учитывая такой фактор, как экономическое поведе ние

работника.

Экономическое поведение - это поведение, связанное с пе-

ребором экономических альтернатив с целью рационального

выбора, то есть выбора, при котором минимизируются из держки и

максимизируется чистая выгода. В основе экономического

поведения лежат ценностные ориентации людей (деньги, статус,

роль, идеалы).

На экономическое поведение оказывают влияние различ ные

факторы: технический уровень производства, организа ция,

нормирование, оплата и условия труда, удовлетворенность трудом,

морально-психологический климат в коллективе, образовательный

и культурный уровень работника, характер общественно-

политической активности в обществе и рабочей группе.

Различают четыре стратегии экономического поведения:

- минимум труда - минимум дохода,

- минимум труда - максимум дохода,

- максимум труда - гарантированный доход,

- максимум труда - максимум дохода.

Поведение человека в рамках одной стратегии регулируется

исключительно его мотивами. Переход от одной стратегии к другой

регулируется системой стимулов. Исключение - стратегия

«максимум труда - максимум дохода», где поведение человека

определяется стимулами. Стратегия «минимум труда - минимум

дохода», возникая, как вынужденная реакция человека на

ситуацию, формирует у работника чувства «внутреннего

увольнения», подавленности, способствует становле нию

терминаторного, то есть разрушительного поведения.

Рекомендации по профилактике воровства в организации.

1. Создать сильную корпоративную культуру организации

(отношения, социальные приоритеты, мораль в организации), Если

сформирована «критическая масса» работников, то но вички

попадают в систему самовоспроизводящегося общественного

сознания.

2. Создать эффективную систему контроля, отвечающую

следующим требованиям: регулярность и систематичность,

персональная ответственность работников. Условие - контроль

рассматривать как помощь людям в борьбе с искушением украсть.

3. В качестве профилактических средств периодически

вызывать у работников синдромы «чувства вины», «чувс тва

благодарности», играя роль строгого начальника или началь ника-

спасителя.

4. Быть разборчивым в производственных связях. Утвер-

ждение «свои не украдут» достаточно спорно.

Могут быть сформулированы и общие правила стимули-

рования, обеспечивающие безопасное поведение персонала:

- доступность (я тоже могу заработать не меньше!);

- ощутимость (премия не менее 20 % к окладу, оклад боль ше

возможного ущерба от воровства);

- минимальный разрыв между результатами и оплатой по

времени (недостаток стимулирования восполняе тся воровством);

- сочетание стимулов и мер наказания;

- сочетание материальных, социальных и психологических

стимулов.

Превентивные действия службы управления персоналом:

- гибкая организационная структура «под задачи» органи-

зации: лишние подразделения следует ликвидировать, пере-

распределив и частично уволив сотрудников;

- определение приоритетов в развитии персонала и реали-

зация функций управления ими;

- ежегодная аттестация персонала предприятия;

- систематический пересмотр «Положений о подразделениях»

и «Должностных инструкций» с целью их совершенствования в

соответствии с изменениями в разделении и организации труда, а

также в связи с изменениями уровня профессионализма самих

работников;

- разработка компенсационных пакетов (размера, струк туры,

соотношения различных форм вознаграждения работникам) с

ориентацией на конечные результаты, значимые для организации

(например, система сквозных показателей), и с учетом индикации;

- разработка системы мер профилактики противоправного

поведения сотрудников, в том числе и на случаи возникновения

объективных причин к снижению уровня преданности фирме,

например, при угрозе увольнения (здесь речь идет о защите

конфиденциальной информации, включая соответс твующие

положения в трудовых соглашениях, и мерах против

мошенничества, включая внутренний аудит);

- постоянное информирование сотрудников о состоянии рынка

товаров и услуг, на котором действует организация, формирование

рыночного мышления, обеспечение причастности к проблемам

организации.

Также могут быть приняты превентивные меры, начиная с

момента поступления работника на работу, на случай сни жения

деловой активности фирмы и необходимости проводить

сокращение работников, хотя эти меры не способствуют

формированию у работника преданности фирме и увязке его

жизненных целей с целями фирмы.

К таким мерам относятся:

- заключения срочного трудового договора, заключение дого -

вора о сохранении коммерческой тайны, конфиденциальной ин-

формации, служебной тайны, о материальной ответственности;

- ознакомление под расписку с должностной инструкцией (для

руководителей подразделений - еще и с Положением о данном

подразделении), Правилами трудового распорядка, Положением об

оплате и стимулировании труда, Коллектив ным договором (если

таковой имеется);

- специальные меры в случае необходимости увольнения.

Первостепенное значение для информационной безопасности

имеет система подбора кадров.

Зачастую на стадии создания в организации трудится не -

большая группа людей - друзья, знакомые, единомышленники, то

есть те, кто поверил в идею, кого удалось найти сразу, кто просто

«подвернулся под руку», кому не надо много платить и т.п. Бывает,

что необходимо пристроить жену или сына «нужного» человека. В

результате возникают крайне неприятные ситуации.

Другой типичной ошибкой в процессе подбора персонала

является стремление работодателя во что бы то ни стало за-

получить сотрудника из конкурирующей организации. Это чаще

всего объясняется желанием приобрести клиентскую базу или

другую конфиденциальную информацию. И здесь организация

может натолкнуться на подводные камни.

Во-первых, следует понимать, что такой сотрудник когда -

нибудь с легкостью «продаст» и вашу компанию, если полу чит

более выгодное предложение.

Во-вторых, такой сотрудник может быть шпионом, «засланным

казачком» от конкурентов. И это случается гораздо чаще, чем

может показаться!

Случается, работодатели сами неосознанно создают ситуа ции,

позволяющие персоналу безответственно относиться к

информационной безопасности. Из-за этого значительное ко-

личество информации утекает из фирмы, причем зачастую

сотрудники даже этого не осознают.

Например, одна известная компания практически отдала свою

дилерскую сеть конкурентам из -за небрежности секретаря.

Направляя письма дилерам и возможным клиентам, секретарь

сделал автоматическую рассылку по электронной почте, не

понимая, что каждый адресат вместе с сообщением получит

электронные адреса всех остальных получателей ин формации.

Но все-таки чаще всего утечка информации происходит по

вине сотрудников, которые понимают, что они делают, так как

получают за это немалое вознаграждение,

Каким же образом можно избежать этих неприятностей?

Начнем с технических мер [62].

Во-первых, важно иметь систему для прослушивания, ко торая

позволяет контролировать как телефонные перегово ры, так и все, о

чем говорится в различных помещениях вашей фирмы.

Во-вторых, в некоторых помещениях необходимо наличие

видеоконтроля.

В-третьих, вся информация, хранящаяся в электронном виде в

компьютерах, также должна быть максимально защищена. Каждый

сотрудник должен иметь свой код доступа к той или иной

информации»

Однако, прежде чем приобретать оборудование, следует

разработать программу по защите информации в вашей ком пании,

И в этой программе не последнюю роль играет работа с

персоналом.

В первую очередь с каждым новым сотрудником необходимо

заключать контракт о неразглашении информации, име ющей для

компании конфиденциальный характер. К сожалению, в настоящее

время фирме, работающей в нашей с тране, нелегко доказать, что

она понесла серьезный материальный ущерб в связи с тем, что

сотрудник способствовал утечке конфиденциальной информации,

хотя во всем мире это обычная судебная практика.

Поэтому контракт будет иметь не столько юридическое, сколь-

ко психологическое воздействие на работника: это своего рода

проверка того, как он реагиру ет на подписание документа,

Кроме того, работники должны знать о наличии видеонаб-

людения и прослушивания. Это играет важную психологичес кую

роль: ведь когда ты знаешь, что тебя могут услышать, ты вряд ли

станешь вести переговоры с фирмой-конкурентом»

Очень важным фактором, влияющим на лояльность со -

трудников по отношению к фирме, является отношение руко-

водства фирмы к персоналу, в целом психологический кли мат в

организации. Поэтому большое внимание следует уде лять

социальным программам, наличие которых снижает вероятность

проявления нелояльности по отношению к рабо тодателю.

При приеме специалиста на работу необходимо навести

справки о его последнем месте работы, выяснить, есть ли у него

судимости, привлекался ли он к уголовной или админис тративной

ответственности и т.п. Особое внимание стоит уделять причинам,

по которым специалист меняет работу. На начальном этапе работы

стоит минимизировать доступ к особо секретной внутренней

документации, провести предварительную стажировку нового

сотрудника, а в ряде случаев создать специальные внештатные

ситуации, в ходе которых можно выявить недобросовестного

сотрудника.

Защита информации невозможна без понимания того, что

именно и от кого следует защищать. А добиться от персонала

такого понимания трудно без четкой организации работы компании

в целом и отдельно каждого сотрудника. Поэтому так важно, чтобы

в фирме строго соблюдались должностные инструкции,

внутрифирменные приказы и распоряжения, свя занные с

организацией труда.

15.4 Пресечение киберслэкинга

В связи с практически безграничным ростом ресурсов Ин-

тернета во многих организациях возникает проблема недело вого

использования Интернета на рабочем месте. На Западе эта

проблема стала настолько распространенной, что полу чила

специальное название - киберслэкинг (CyberSlacking) [105].

Злоупотребление Интернетом прежде всего несет угрозы

информационной безопасности предприятия. Пользователи

разного уровня не всегда могут квалифицированно противо стоять

вирусам, «троянским коням», особенно при использо вании

электронной почты.

На средних и крупных предприятиях, где организованы

корпоративные сети, эта проблема минимизируется работой

системных администраторов, которые устанавливают межсе тевые

экраны, антивирусные программы и используют дру гие

программно-аппаратные средства.

На мелких предприятиях, где корпоративной сети вовсе нет

или она организована «приходящим» администратором или одним

из наиболее «продвинутых» пользователей, это уже большая

проблема. Представьте себе, что компьютер, на котором

формируется бухгалтерская отчетность, деловая переписка,

мероприятия по развитию бизнеса, маркетинговые разработка и др.

без должной защиты от несанкционированного доступа, без

антивирусных программ (или давно не обновляемых) оказался в

сети Интернет. Риторический вопрос, что и через какое время

будет с информацией?

Помимо увеличения угроз информационной безопасности,

злоупотребление Интернетом на рабочем месте снижает про-

изводительность труда служащих, часть рабочего времени которых

уходит на просмотр развлекательных ресурсов, загрузке

музыкальных и видеороликов, общению во всевозмож ных чатах,

конференциях.

Кроме этого, значительно увеличивается Интернет-трафик, что

приводит, с одной стороны, к увеличению расходов орга низации

(ISP берут плату при превышении лимита загруженных данных,

либо помегабайтную оплату), а с другой - к снижению

производительности корпоративной сети.

Выход из такой ситуации - регламентация, регулирование и

контроль над доступом и использованием каждым сотруд ником

сетевых ресурсов: отслеживание трафика каждого пользователя,

создание отчетов об использовании ресурсов Интернета и других

сетей, осуществление управления досту пом»

Конкретная реализация контроля зависит от внутренней

политики организации и от корпоративной культуры, напри мер

[105]:

- руководители организации могут разрешать своим со-

трудникам свободный доступ в Интернет лишь во время пере рыва,

в рабочее время надо работать, поэтому доступ к спортивным,

новостным и развлекательным Web-ресурсам запрещен;

- доступ разрешен лишь к отдельным сайтам и службам;

- разрешен неограниченный доступ, но генерируются отчеты;

- для каждого конкретного пользователя разрешен конк ретный

вид доступа.

Запрет или разрешение, в данном случае, носит не адми -

нистративный, а технический характер и осуществляется бло-

кированием того или иного ресурса, сетевого протокола или

службы.

В случае применения административных мер контроль

осуществляется с использованием отчетов, которые:

- позволяют оценить использование Интернет в количе-

ственном и процентном соотношении, например, сколько процентов

от общего количества загруженных данных прихо дится на того или

иного пользователя;

- предоставляют детальную информацию, например, какой

конкретно HTML-документ был просмотрен, какая информация

была загружена каким пользователем, в какое время.

Глава 16 Подбор и подготовка сотрудников отдела

информационной безопасности

Прорабатывая вопросы совершенствования системы инфор -

мационной безопасности, многие отечественные и зарубежные

специалисты приходят к выводу о том, что существуют более

глубокие, чем думалось ранее, причинно-следственные связи

такой, казалось бы, «частной» проблемы, как безопасность - ИТ с

общими целями и задачами, а главное, с результатами и

эффективностью деятельности организации в целом.

Также парадоксален на первый взгляд и вывод о колоссаль ном

влиянии на уровень информационной безопасности пози ции

высшего менеджмента организации, взаимоотношений в -

коллективе, личного отношения каждого сотрудника к выполнению

мер безопасности, сложившегося в коллективе психологического

климата, правильного финансирования и т.д.

На наличие подобных связей прямо указывают результа ты

международного исследования, проведенного аудиторской

компанией Ernst & Young в 2003 году [44]. В этом отчете, в

частности, говорится об аналогичных российским, проблемах,

возникающих у специалистов по информационной бе зопасности,

когда высший менеджмент организации начинает предпринимать

меры, направленные на уменьшение рас ходов организации, под

которые попадает и система информационной безопасности.

В первую очередь из-за сокращения финансирования стра-

дают такие важнейшие направления работ информационной

безопасности, как обучение персонала, поддержка технологий и

инфраструкту ры. Кому из отечественных специалис тов не знакомы

подобные проблемы! Не есть ли это очеред ное проявление, увы,

слишком распространенной в нашем обществе беды - принятия

менеджером-дилетантом в данной сфере деятельности

неправильных решений, которые строятся на нехитрых посылках:

- если система безопасности работает хорошо, то персонал

безопасности не нужен;

- скрытая работа системы безопасности обычно не видна. При

взгляде «сверху» на хорошо отлаженный механизм у ди летанта

возникает искушение самостоятельно им управлять, ничего в нем

реально не понимая;

- вмешательство в систему безопасности порой ради кально

меняет уровень рисков. Однако риск - категория вероятностная.

Действительно, некоторое время ничего не происходит, но потом

неминуемо наступает расплата. При этом за ошибки отвечают

большие массы людей, доверившихся неквалифицированным