Наталия Гришина - Организация комплексной системы защиты информации
Однако не стоит забывать, что любой закон будет действовать только при наличии механизма его реализации в виде организационных структур, обеспечивающих выполнение положений этого закона на всех уровнях управления.
Серьезное значение для обеспечения безопасности информационных ресурсов приобретают документы предприятия, регулирующие отношения с государством и с коллективом сотрудников на правовой основе.
К таким основополагающим документам можно отнести:
— устав предприятия, закрепляющий условия обеспечения безопасности деятельности и защиты информации;
— трудовые договоры с сотрудниками предприятия, содержащие требования по обеспечению защиты сведений, составляющих коммерческую тайну и др.;
— правила внутреннего трудового распорядка рабочих и служащих;
— должностные обязанности руководителей, специалистов и обслуживающего персонала.
Эти документы играют важную роль в обеспечении безопасности предприятия.
Для предприятия необходимо внести в устав следующие дополнения:
— предприятие имеет право определять состав, объем и порядок защиты сведений, составляющих коммерческую тайну; требовать от своих сотрудников обеспечения ее сохранности;
— обязано обеспечить сохранность коммерческой тайны;
— состав и объем информации, являющейся конфиденциальной и составляющей коммерческую тайну, а также порядок защиты определяются руководителем предприятия;
— имеет право не предоставлять информацию, содержащую коммерческую тайну;
— руководителю предоставляется право возлагать обязанности, связанные с защитой информации, на сотрудников.
Внесение этих дополнений дает право администрации:
— создавать организационные структуры по защите коммерческой тайны;
— издавать нормативные и распорядительные документы, определяющие порядок выделения сведений, составляющих коммерческую тайну, и механизмы их защиты;
— включать требования по защите коммерческой тайны в договора по всем видам деятельности;
— требовать защиты интересов фирмы перед государственными и судебными органами;
— распоряжаться информацией, являющейся собственностью, в целях извлечения выгоды и недопущения экономического ущерба коллективу предприятия и собственнику средств производства.
Кроме этого, предприятию нужно разработать «Перечень сведений, составляющих коммерческую тайну».
Начало работы по защите коммерческой тайны связано с разработкой перечня сведений составляющих коммерческую тайну. Перечень должен разрабатываться специальной комиссией, в которую включаются квалифицированные специалисты по всем направлениям деятельности предприятия. В состав комиссии должны входить руководители службы защиты информации (службы безопасности) и лицо, ответственное за конфиденциальное делопроизводство. Комиссия назначается приказом руководителя предприятия. В этом же приказе устанавливаются общий механизм и сроки разработки перечня. Разработка перечня может быть возложена и на экспертную комиссию предприятия, осуществляющую экспертизу ценности документов, если ее состав отвечает требованиям, предъявляемым к комиссии по составлению перечня.
На первом этапе работы комиссия должна на основе анализа всех направлений деятельности предприятия установить весь состав циркулирующей на предприятии информации, отображенной на любом носителе, любым способом и в любом виде, а также с учетом перспектив развития предприятия и его взаимоотношений с партнерами определить характер дополнительной информации, которая может возникнуть в результате деятельности предприятия. Эта информация классифицируется по тематическому признаку.
На втором этапе определяется, какая из установленной информации должна быть конфиденциальной, и отнесена к коммерческой тайне.
В соответствии со ст. 139 ГК РФ и другими нормами федеральных законов информация может составлять коммерческую тайну, если она отвечает следующим требованиям (критерии правовой охраны):
— имеет действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам;
— не подпадает под перечень сведений, доступ к которым не может быть ограничен, и перечень сведений, отнесенных к государственной тайне;
— к ней нет свободного доступа на законном основании;
— обладатель информации принимает меры к охране ее конфиденциальности.
Также следует заметить, что нецелесообразно относить информацию к коммерческой тайне, если затраты на ее защиту превысят количественные и качественные показатели преимуществ, получаемых при ее защите.
В то же время, наряду с общим перечнем сведений, доступ к которым по закону не может быть ограничен, в действующем законодательстве установлен специальный перечень в отношении сведений, которые не могут составлять коммерческую тайну (ст. 5 закона о КТ).
Режим коммерческой тайны не может быть установлен лицами, осуществляющими предпринимательскую деятельность, в отношении следующих сведений:
1) содержащихся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры;
2) содержащихся в документах, дающих право на осуществление предпринимательской деятельности;
3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;
4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;
5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест;
6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;
7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;
8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности;
9) о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации;
10) о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;
11) обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами.
После установления состава конфиденциальной информации определяются сроки ее конфиденциальности либо указываются обстоятельства и события, при наступлении которых конфиденциальность снимается. Сроки конфиденциальности должны соответствовать срокам действия условий, необходимых и достаточных для признания данной информации конфиденциальной в соответствии с законодательством.
Результаты работы оформляются перечнем сведений, составляющих коммерческую тайну, каждый из которых может иметь следующие графы:
При значительном объеме конфиденциальных сведений они классифицируются в перечнях по разделам, составляющим сферы деятельности предприятия.
Перечни подписываются всеми членами комиссии, утверждаются и вводятся в действие приказами руководителя предприятия. В приказах должны быть определены мероприятия по обеспечению функционирования перечней и контролю их выполнения. С приказами и перечнями необходимо ознакомить под расписку всех сотрудников предприятия, работающих с соответствующей конфиденциальной информацией.
Дополнения и изменения состава включенных в перечни сведений могут вноситься с разрешения руководителя предприятия за подписями руководителя подразделения по принадлежности сведений и руководителя службы защиты информации (службы безопасности). При существенном изменении состава сведений перечни должны составляться заново.
Информацию, подлежащую защите, можно отнести к трем областям: выработка решений, имеющих стратегическое значение и осуществления соответствующих планов; сведения о технологии сбора и обработки конфиденциальной информации; переговоры о заключении сделок.
В трудовой договор предприятия необходимо внести ряд пунктов соответствующего характера:
