Оглавление

Введение                                                                                                             3

Глава 1 Защита конфиденциальных документов от

             несанкционированного доступа                                                          5

1.1. Состав и направления защиты документной информации          5

1.2. Источники конфиденциальной информации и каналы

       ее разглашения                                                                               11

Глава 2 Система защиты документированной  информации

              от несанкционированного доступа                                                  17

          2.1. Защита ценной информации и конфиденциальных

                 документов                                                                                      17

2.2. Защита информации: отечественный и зарубежный опыт        22

          Заключение                                                                                                      28

          Список использованных источников и литературы                                    29                                                             

Введение

В современной российской рыночной экономике обязатель­ным условием успеха предпринимателя в бизнесе, получения при­были и сохранения в целостности созданной им организационной структуры является обеспечение экономической безопасности его деятельности. Одна из главных составных частей экономической безопасности - информационная безопасность, достигаемая за счет использования комплекса систем, методов и средств защиты информации предпринимателя от возможных злоумышленных действий конкурентов и с целью сохранения ее целостности и конфиденциальности.

Изменения, происходящие в экономической жизни России – создание финансово-кредитной системы, предприятий различных форм собственности оказывают существенное влияние на вопросы защиты информации.

В частности, к этой ситуации относится факт хищения технической и деловой информации. Как правило, это хищение связано с потерей стратегически важной информации, способной привести фирму к банкротству. Это хищение можно квалифицировать как преступление, так как ведет к потере материальных и финансовых ценностей.

Ответственность за защиту информации лежит на низшем звене руководства. Но также кто-то должен осуществлять общее руководство этой деятельностью, поэтому в организации должно иметься лицо в верхнем звене руководства, отвечающее за поддержание работоспособности информационных систем.

«Безопасность» необходимо рассматривать как качество развития мер безопасности, которые направлены на предотвращение внутренних и внешних угроз.

В этой связи становится актуальным рассмотреть вопрос, касающийся защиты документированной информации от несанкционированного доступа, выявить основные способы защиты информации, рассмотреть отечественный и зарубежный опыт по данному вопросу.

Объект исследования – документированная информация.

Предмет исследования – основные проблемы и направления защиты документированной информации от несанкционированного доступа.

Цель исследования – изучить основные проблемы и направления защиты документированной информации от несанкционированного доступа.

Для реализации данной цели необходимо решить следующие задачи:

- рассмотреть состав и направления защиты документной информации;

- выявить источники конфиденциальной информации и каналы ее разглашения;

- изучить систему защиты ценной информации и конфиденциальных документов;

- проанализировать отечественный и зарубежный опыт в области защиты информации от несанкционированного доступа.

Разработанность темы в специализированной литературе достаточно велика. По данной проблематике высказывались такие авторы как: В.А.Герасименко [1], Е.А.Степанов [14], В.И.Ярочкин [20].

Глава 1. Защита конфиденциальных документов от несанкционированного доступа

1.1. Состав и направления защиты документной информации

Информация, используемая предпринимателем в бизнесе и уп­равлении предприятием, банком, компанией или другой структурой является его собственной или частной информацией, представляющей значительную ценность для пред­принимателя. Эта информация составляет его интеллектуальную собственность [8].

Обычно выделяется два вида собственной информации [8; 11]:

- техническая, технологическая: методы изготовления продукции., программное обеспечение, основные производственные показатели, химические формулы, рецепты, результаты испытаний опытных об­разцов, данные контроля качества и т.п.;

- деловая: стоимостные показатели, результаты исследования рын­ка, списки клиентов, экономические прогнозы, стратегия действий на рынке и т.п.

Собственная информация предпринимателя в целях ее защиты может быть отнесена к коммерческой тайне и является конфиденци­альной при соблюдении следующих условий:

- информация не должна отражать негативные стороны деятельности фирмы, нарушения законодательства и другие подобные факты;

- информация не должна быть общедоступной или общеизвест­ной;

- возникновение или получение информации должно быть закон­ным и связано с расходованием материального, финансового или интеллектуального потенциала фирмы;

- персонал фирмы должен знать о ценности такой информации и обучен правилам работы с ней;

- предпринимателем должны быть выполнены действия по защи­те этой информации.

Для документирования информации предпринимателя, являю­щейся результатом творческого интеллектуального труда в науке и производстве, наиболее характерны не текстовые, а изобразитель­ные способы. Достаточно часто конфиденциальная информация до­кументируется фотографическими, видеографическими и иными способами.

Ценность информации может быть стоимостной категорией и от­ражать конкретный размер прибыли при ее использовании или размер убытков при ее утере. Информация становится часто ценной ввиду ее правового значения для организации или развития бизнеса, например учредительные документы, программы и планы, договоры с партнера­ми и посредниками и т.д. Ценность может отражать ее перспективное научное, техническое или технологическое значение.

Следовательно, собственная ценная информация предпринима­теля не обязательно является конфиденциальной. Часто обычный правовой документ важно сохранить в целостности и безопасности от похитителя или стихийного бедствия.

Ценную конфиденциальную деловую информацию, как прави­ло, содержат [3]:

- планы развития производства;

- деловые планы;

- планы маркетинга, бизнес-планы;

- списки держателей акций и другие документы.

Наиболее ценны сведения о производстве и продукции, рынке, научных разработках, материально-техническом обеспечении, усло­виях контрактных переговоров, сведения о персонале, принципах уп­равления фирмой, системе безопасности фирмы и др.

Коммерческая ценность информации, как правило, недолговечна и определяется временем, необходимым конкуренту для выработки той же идеи или ее хищения и воспроизводства, опубликования и перехода в число общеизвестных. Степень ценности информации и необходи­мая надежность ее защиты находятся в прямой зависимости.

Зарубежные фирмы в целях повышения своего престижа и конкурентоспособности товаров часто используют различные реклам­ные приемы и, в частности, создают несуществующие секреты. Подобный «секрет» умело разглашается с учетом общеизвестной исти­ны - подслушанному верят больше, чем услышанному.

Выявление и регламентация реального состава информации, представляющей ценность для предпринимателя и подлежащей за­щите, является основополагающей частью системы защиты. Состав ценной информации определяется ее собственником или владель­цем и фиксируется в специальном перечне.

Перечень ценных сведений, составляющих тайну фирмы, явля­ется постоянным рабочим материалом руководства фирмы, служб безопасности и конфиденциальной документации. Он регулярно обновляется, корректируется и представляет собой инвентарный список сведений о конкретных работах, конкретной продукции, кон­кретных исследованиях, конкретных контрактах и. т.п. В перечень включаются действительно ценные сведения («изюминки») о каж­дой работе фирмы, хотя определенная номенклатура типовых сведе­ний в перечне может содержаться.

В каждой позиции перечня рекомендуется указывать гриф конфиденциальности сведений, фамилии сотрудников, имеющих право доступа к ним и несущих ответственность за их сохранность, срок действия грифа или наименование события, снимающего это огра­ничение, виды документов и баз данных, в которых эти сведения фиксируются и хранятся.

Важной задачей перечня является дробление коммерческой тай­ны на отдельные информационные элементы, известные разным лицам. В свою очередь, закрепление конфиденциальных сведений за конкретными документами позволяет исключить возможность нео­боснованного издания документов или включения в них избыточ­ных данных.

Аналогичные перечни в качестве разделов, входящих в общий перечень сведений, составляющих тайну фирмы, могут иметь ее крупные структурные подразделения.

На основе перечня сведений составляется и ведется перечень (список) документов фирмы, подлежащих защите и имеющих соот­ветствующий гриф ограничения доступа.

Под конфиденциальным (защищаемым, закрытым) документом, т.е. документом, к которому ограничен доступ персонала, понимает­ся необходимым образом оформленный носитель ценной докумен­тированной информации, составляющей интеллектуальную собст­венность предпринимателя [5; 12].

Особенность конфиденциального документа в том, что он представляет собой одновременно: массовый носитель ценной, защищаемой информации, основной источник накопления и распространения этой информации, в том числе ее разглашения (утечки), и обя­зательный объект защиты.

Конфиденциальный характер включенной в документ информа­ции обозначается грифом ограничения доступа к документу, кото­рый инициирует выделение его из общего потока и обработку в спе­циальном автономном режиме, а также распространяет на документ защитные и иные меры повышенного внимания и контроля.

Гриф ограничения доступа к документу или гриф конфиденци­альности представляет собой служебную отметку (реквизит), кото­рая проставляется на носителе информации или сопроводительном документе.

Информация и документы, отнесенные к предпринимательской тайне, имеют несколько уровней грифов ограничения доступа, соот­ветствующих различным степеням конфиденциальности информа­ции:

- первый, низший и массовый уровень - грифы «Коммерческая тайна», «Конфиденциально», «Конфиденциальная информация»;

- второй уровень - «Коммерческая тайна. Строго конфиденци­ально», «Строго конфиденциально», «Строго конфиденциальная информация», «Конфиденциально - Особый контроль» [3; 6].

В практической деятельности может использоваться также одноуровневая система грифования (грифов только первого уровня) или иногда - трехуровневая, при которой вводится высший по зна­чимости гриф - «Коммерческая тайна особой важности» [9].

Под обозначением грифа всегда указывается номер экземпля­ра документа, срок действия грифа или иные условия его снятия, а также уточняющие отметки типа - «Лично», «Только адресату» и др.

Документы и информация, отнесенные к профессиональной тайне (например, врачебной тайне, тайне страхования), как прави­ло, грифа ограничения доступа не имеют, потому что в полном объ­еме являются конфиденциальными. В данном случае конфиденци­альны массивы документов в целом, например истории болезни, массивы учетных персональных данных и др.

На ценных, но не конфиденциальных документах может про­ставляться гриф (надпись, штамп), предполагающий особое внима­ние к сохранности такого документа. Например: «Собственная ин­формация фирмы», «Информация особого внимания», «Копии не снимать». «Хранить в сейфе» и т.д. Могут использоваться дополни­тельные цветовые идентификаторы ценных и конфиденциальных документов и дел для их быстрого визуального выделения и контро­ля использования в процессе работы.

Гриф конфиденциальности присваивается документу:

- исполнителем на стадии подготовки проекта документа;

- руководителем структурного подразделения или руководителем фирмы на стадии согласования или подписания документа;

- адресатом (получателем) документа на стадии его первичной обработки в службе конфиденциальной документации.

Изменение грифа конфиденциальности документа производит­ся при изменении степени конфиденциальности содержащихся в нем сведений. Основанием для изменения или снятия грифа конфиден­циальности являются:

- соответствующая корректировка перечней конфиденциальных сведений или конфиденциальных документов фирмы;

- истечение установленного срока действия грифа;

- наличие события, при котором гриф должен быть изменен или снят (например, окончание действия контракта, требование заказ­чика продукции, опубликование описания изделия в печати, патен­тование изобретения и т.п.).

После снятия грифа документ передается в службу открытой документации фирмы. Об изменении или снятии грифа делается отметка на самом документе, удостоверяемая росписью руководите­ля, подписавшего или утвердившего этот документ. О внесении в документ такой отметки сообщается заинтересованным лицам и предприятиям.

В целях своевременного изменения или снятия грифа конфиденциальности с документов рекомендуется регулярно просматривать учетные (инвентарные) картотеки (журналы, списки) конфиденциальных документов и выявлять те документы, которые могут быть удалены из банка контролируемых и защищаемых документов [14; 20].

Следовательно, любая предпринимательская деятельность все­гда связана с созданием, использованием и хранением значительных объемов информации и документов, представляющих определенную ценность для фирмы и подлежащих обязательной защите от различ­ных видов угроз. С этой целью на носителе информации обознача­ется гриф ограничения доступа, который относит этот носитель к категории защищаемых конфиденциальных документов и иниции­рует включение по отношению к нему системы защитных мер.

1.2. Источники конфиденциальной информации

и каналы ее разглашения

Источники (обладатели) ценной, конфиденциальной докумен­тированной информации представляют собой накопители (концентраторы, излучатели) этой информации. К числу основных видов источников конфиденциальной информации    относятся:     персонал    фирмы     и    окружающие фирму люди;

документы; публикации о фир­ме и ее разработках, рекламные издания, выставочные материалы; физические поля, волны, излучения, сопровождающие работу вы­числительной и другой офисной техники, различных приборов и оборудования.

Документация как источник ценной предпринимательской ин­формации включает:

- конфиденциальную документацию, содержащую предпринима­тельскую тайну (ноу-хау);

- ценную правовую, учредительную, организационную и распоря­дительную документацию;

- служебную, обычную деловую и научно-техническую докумен­тацию, содержащую общеизвестные сведения;

- рабочие записи сотрудников, их служебные дневники, личные рабочие планы, переписку по коммерческим и научным вопросам;

- личные архивы сотрудников фирмы.

В каждой из указанных групп могут быть:

- документы на традиционных бумажных носителях (листах бума­ги, ватмане, фотобумаге и т.п.);

- документы на технических носителях (магнитных, фотопленоч­ных и т.п.);

- электронные документы, банк электронных документов, изоб­ражения документов на экране дисплея (видеограммы) [6; 7].

Информация источника всегда распространяется во внешнюю среду. Каналы распространения информации носят объективный характер, отличаются активностью и включают и себя:

- деловые, управленческие, торговые, научные и другие коммуни­кативные регламентированные связи;

- информационные сети;

- естественные технические каналы.

Канал распространения информации представляет собой путь перемещения ценных сведений из одного источника в другой в санкционированном (разрешенном, законном) режиме или в силу объек­тивных закономерностей. Например, обсуждение конфиденциально­го вопроса на закрытом совещании, запись на бумаге содержания изобретения, работа ПЭВМ и т.п. Увеличение числа каналов распро­странения информации порождает расширение состава источников ценной информации.

Источники и каналы распространения информации при опреде­ленных условиях могут стать объектом внимания конкурента, что создает потенциальную угрозу сохранности и целостности информа­ции. Угроза безопасности информации предполагает несанкциони­рованный (незаконный) доступ конкурента или нанятого им злоумы­шленника к конфиденциальной информации и как результат этого - кражу, уничтожение, фальсификацию, модификацию, подмену до­кументов. При отсутствии интереса конкурента угроза информации не возникает даже в том случае, если создались предпосылки для ознакомления с ней посторонних лиц. Ценная информация, к кото­рой не проявляется интерес конкурента, может не включаться в со­став защищаемой, а содержащие ее документы контролируются толь­ко с целью обеспечения сохранности носителя.

Конкурент или другое заинтересованное лицо (далее по тексту злоумышленник) создает угрозу информации путем установления контакта с источником информации или преобразования канала распространения информации в канал ее утечки. Если нет угрозы, то соответственно отсутствует факт утечки информации к злоумышлен­нику.

Угроза предполагает намерение злоумышленника совершить противоправные действия по отношению к информации для дости­жения желаемой цели. Угроза может быть потенциальной и реаль­ной. Реальные угрозы, в свою очередь, делятся на пассивные и ак­тивные.

По месту возникновения и отношению к фирме угрозы подраз­деляются на внутренние и внешние, по времени - постоянные и периодические (эпизодические). Злоумышленник может создать мнимую угрозу, на противодействие которой будут затрачены реаль­ные силы и средства. Угрозы информации реализуются злоумыш­ленником с помощью приемов и методов промышленного или эко­номического шпионажа.

Угроза сохранности информации и документов особенно велика при их выходе за пределы службы конфиденциальной документа­ции, например при передаче документов персоналу на рассмотрение и исполнение, при пересылке или передаче документов адресатам т.п. Однако следует учитывать, что потеря ценной информации про­исходит, как правило, не в результате преднамеренных действий конкурента или злоумышленника, а из-за невнимательности, непрофессионализма и безответственности персонала.

Утрата (утечка, утеря) информации предполагает несанкционированный переход ценных, конфиденциальных сведений к лицу, не имеющему права владения ими и использования их в своих целях для получения прибыли. В том случае, когда речь идет об утрате информации по вине персонала, обычно используется термин «разглашение (огласка) информации». Разглашает информацию всегда человек - устно, письменно, с помощью жестов, мимики, условных сигналов, лично или через посредников. Термин «утечка информации» используется наиболее широко, хотя, на наш взгляд, в большей степени относится к утрате информации за счет ее перехвата с помо­щью технических средств разведки.

При разглашении, утечке информация может переходить или к злоумышленнику и затем, возможно, к конкуренту, или к третьему лицу. Под третьим лицом в данном случае понимаются любые лица, получившие информацию во владение в силу обстоятельств (т.е. став­шие ее источником), но не обладающие правом владения ею и, что очень важно, не заинтересованные в этой информации. Однако сле­дует учитывать, что от третьих лиц информация может перейти к заинтересованному в ней лицу - конкуренту фирмы.

Переход информации к третьему лицу можно назвать непредна­меренным, стихийным. Он возникает в результате:

- утери или случайного уничтожения документа, пакета (конвер­та);

- невыполнения, незнания или игнорирования сотрудником тре­бований по защите информации;

- излишней разговорчивости сотрудников при отсутствии злоумы­шленника;

- работы с конфиденциальными документами при посторонних лицах, несанкционированной передаче конфиденциального документа другому сотруднику;

- использования конфиденциальных сведений в открытой печати, личных записях, неслужебных письмах;

- наличия в документах излишней конфиденциальной информа­ции;

- самовольного копирования сотрудником документов в служеб­ных целях [13; 17; 19].

В отличие от третьего лица злоумышленник преднамеренно и тайно организует, создает канал утечки информации и эксплуатирует ее по возможности более или менее длительное время. Знать воз­можный канал утечки информации означает:

- для злоумышленника - иметь стабильную возможность получать ценную информацию;

- для владельца информации - противодействовать злоумышлен­нику и сохранить тайну, а иногда и дезинформировать конкурента.

Информация должна поступать к конкуренту только по контро­лируемому каналу, в котором отсутствуют конфиденциальные сведе­ния, а циркулирующая информация ранжирована по составу, пользователям и характеризуется общей известностью и доступностью. Примером такого канала является издание и распространение рекламно-информационных материалов.

Каналы утечки, которыми пользуются злоумышленники, отли­чаются большим разнообразием. Основными видами этих каналов могут быть следующие:

- установление злоумышленником взаимоотношений с сотрудни­ками фирмы или посетителями, сотрудниками фирм-партнеров, слу­жащими государственных или муниципальных органов управления и другими лицами;

- анализ опубликованных материалов о фирме, рекламных изда­ний, выставочных проспектов и другой общедоступной информации;

- поступление злоумышленника на работу в фирму;

- работа в информационных сетях;

- криминальный, силовой доступ к информации, т.е. кража доку­ментов, шантаж персонала и другие способы;

- работа злоумышленника в технических каналах распростране­ния информации.

В результате своей деятельности по организации разглашения или утечки ценной, конфиденциальной информации злоумышлен­ник получает:

- подлинник или официальную копию конфиденциального доку­мента (бумажного или машиночитаемого);

- несанкционированно сделанную копию этого документа (руко­писную или изготовленную с помощью технических средств - копи­ровального аппарата, фототехники, компьютера и т.п.);

- диктофонную, магнитофонную кассету со звукозаписью текста документа;

- письменное или устное изложение за пределами фирмы содер­жания документа, ознакомление с которым осуществлялось санкци­онирование или тайно;

- устное изложение текста документа по телефону, переговорному устройству, специальной радиосвязи и т.п.;

- аналог документа, переданного по факсимильной связи или эле­ктронной почте;

- речевую или визуальную запись текста документа, выполненную с помощью технических средств разведки (радиозакладок, встроен­ных микрофонов и видеокамер, микрофотоаппаратов, фотографиро­вания с большого расстояния) [18].

Обнаружение канала разглашения (утечки) информации - слож­ная, длительная и трудоемкая задача. В основе ее решения лежит классификация и постоянное изучение источников и каналов распространения информации, выявление угроз информации и возможныx каналов ее утечки, поиск и обнаружение реальных каналов утеч­ки, оценка степени опасности каждого реального канала, подавле­ние опасных каналов и анализ эффективности защитных мер, пред­принятых для безопасности информации. Каналы разглашения (утеч­ки) информации всегда индивидуальны и зависят от конкретных задач, поставленных перед злоумышленником.

Следовательно, контроль источников и каналов распростране­ния конфиденциальной информации позволяет определить наличие и характеристику угроз информации, выработать структуру системы защиты информации, надежно перекрывающую доступ злоумышлен­нику к ценной информации фирмы.

Глава 2. Система защиты документированной  информации от несанкционированного доступа

2.1. Защита ценной информации и конфиденциальных документов

Система защиты информации (СЗИ) представляет собой ком­плекс организационных, технических и технологических средств, методов и мер, препятствующих несанкционированному (незакон­ному) доступу к информации.

Собственник или владелец информации лично определяет не толь­ко состав ценной информации, подлежащей защите, но и соответству­ющие способы и средства защиты. Одновременно им разрабатываются меры материального и морального стимулирования сотрудников, со­блюдающих порядок защиты ценной информации, и меры ответствен­ности персонала за разглашение тайны фирмы. Система защиты ин­формации должна быть многоуровневой с иерархическим доступом к информации, предельно конкретизированной и привязанной к специ­фике фирмы по структуре используемых методов и средств защиты, открытой для регулярного обновления, надежной как в обычных, так и в экстремальных ситуациях. Она не должна создавать сотрудникам фир­мы серьезные неудобства в работе.

Комплексность системы защиты достигается ее формированием из различных элементов - правовых, организационных, техничес­ких и программно-математических. Соотношение элементов и их со­держание обеспечивают индивидуальность системы защиты инфор­мации фирмы и гарантируют ее неповторимость и трудность преодо­ления. Конкретную систему защиты можно представить в виде кир­пичной стены, состоящей из множества разнообразных элементов (кирпичиков). Соотношение элементов системы, их состав и взаи­мосвязь отражают, определяют не только ее индивидуальность, но и конкретный заданный уровень защиты с учетом ценности информа­ции и стоимости подобной системы.

Элемент правовой защиты информации предполагает:

- наличие в учредительных и организационных документах фир­мы, контрактах, заключаемых с сотрудниками, и в должностных инструкциях положений и обязательств по защите сведений, состав­ляющих тайну фирмы и ее партнеров;

- формулирование и доведение до сведения всех сотрудников фирмы механизма правовой ответственности за разглашение конфи­денциальных сведений.

В правовой элемент системы защиты может также включаться страхование ценной информации от различных рисков.

Элемент организационной защиты информации содержит меры управленческого и ограничительного характера, побуждающие пер­сонал соблюдать правила защиты конфиденциальной информации, и включает в себя:

- формирование и регламентацию деятельности службы безопас­ности фирмы, обеспечение этой службы нормативно-методически­ми документами по организации и технологии защиты информации;

- регламентацию и регулярное обновление перечня (списка) цен­ной, конфиденциальной информации, подлежащей защите, состав­ление и ведение перечня конфиденциальных документов фирмы;

- регламентацию системы (иерархической схемы) разграничения доступа персонала к конфиденциальной информации;

- регламентацию технологии защиты и обработки конфиденциаль­ных документов фирмы;

- построение защищенного традиционного или безбумажного документооборота;

- построение технологии документирования ценной информации, составления, оформления, изготовления и издания конфиденциаль­ных документов;

- построение технологической системы обработки и хранения конфиденциальных документов;

- организацию архивного хранения конфиденциальных докумен­тов;

- регламентацию защиты ценной информации фирмы от несанкционированных действий персонала;

- порядок и правила работы персонала с конфиденциальными документами и информацией, контроль за исполнением всеми сотруд­никами этого порядка и правил;

- отбор персонала для работы с конфиденциальной информаци­ей, обучения и инструктирования сотрудников;

- порядок зашиты информации при ведении переговоров, прове­дении совещаний по конфиденциальным вопросам, приеме посети­телей, осуществлении рекламной, выставочной и другой деятельно­сти;

- регламентацию аналитической работы по выявлению угроз цен­ной информации фирмы и каналов утечки информации;

- оборудование и аттестацию помещений и рабочих зон, выде­ленных для осуществления конфиденциальной деятельности, ли­цензирование технических систем и средств защиты информации и охраны;

- регламентацию пропускного режима на территории, в зданиях и помещениях фирмы, идентификацию персонала и грузов;

- регламентацию системы охраны территории, здания, помеще­ний, оборудования, денежных средств, транспорта и персонала фирмы;

- регламентацию организационных вопросов эксплуатации техни­ческих средств защиты информации и охраны;

- регламентацию действий службы безопасности и персонала в экстремальных ситуациях;

- регламентацию работы по управлению системой защиты инфор­мации фирмы [6].

Элемент организационной защиты является стержнем, который связывает в единую систему все другие элементы.

Центральной проблемой при разработке методов организацион­ной защиты информации является формирование разрешительной (разграничительной) системы доступа персонала к конфиденциаль­ным сведениям, документам и базам данных. Важно четко и однозначно установить: кто, кого, к каким сведениям, когда, на какой период и как допускает.

Разрешительная система доступа решает следующие задачи:

- обеспечение сотрудников всеми необходимыми для работы документами и информацией;

- ограничение круга лиц, допускаемых к конфиденциальным до­кументам;

- исключение несанкционированного ознакомления с документами.

Иерархическая последовательность доступа реализуется по прин­ципу «чем выше ценность конфиденциальных сведений, тем меньшее число сотрудников могут их знать». В соответствии с этой последова­тельностью определяется необходимая степень ужесточения защитных мер, структура рубежей (эшелонов) защиты информации.

Доступ сотрудника к конфиденциальным сведениям, осуществ­ляемый в соответствии с разрешительной системой, называется санкционированным. Разрешение (санкция) на доступ к этим сведениям всегда является строго персонифицированным и дается руководите­лем в письменном виде: приказом, утверждающим схему должност­ного или именного доступа к информации, резолюцией на докумен­те, списком-разрешением в карточке выдачи дела или на обложке дела, списком ознакомления с документом.

Организационные меры защиты отражаются в нормативно-методических документах службы безопасности фирмы. В этой свя­зи часто используется единое название двух рассмотренных выше элементов системы защиты - элемент организационно-правовой за­щиты информации;

Элемент технической защиты включает:

- средства защиты технических каналов утечки информации, возникающих при работе ЭВМ, средств связи, копировальных аппа­ратов, принтеров, факсов и других приборов и оборудования;

- средства защиты помещений от визуальных и акустических спо­собов технической разведки;

- средства охраны зданий и помещений от проникновения посто­ронних лиц (средства наблюдения, оповещения, сигнализации, ин­формирования и идентификации, инженерные сооружения);

- средства противопожарной охраны;

- средства обнаружения приборов и устройств технической раз­ведки (подслушивающих и передающих устройств, звукозаписываю­щей и телевизионной аппаратуры и т.п.) [7; 16].

Элемент программно-математической защиты информации включает:

- регламентацию доступа к электронным документам персональ­ными паролями, идентифицирующими командами и другими про­стейшими методами защиты;

- регламентацию специальных средств и продуктов программной защиты;

- регламентацию криптографических методов защиты информа­ции в ЭВМ и сетях, криптографирования (шифрования) текста до­кументов при передаче их по каналам обычной и факсимильной связи, при пересылке почтой.

В каждом элементе защиты могут быть реализованы на практике только отдельные составные части. Например, в организационной защите можно регламентировать только приемы обработки конфи­денциальных документов и систему доступа к ним персонала. Мето­ды и средства защиты информации в рамках системы зашиты долж­ны регулярно изменяться с целью предотвращения их раскрытия злоумышленником.

Конкретная система зашиты информации фирмы всегда являет­ся строго конфиденциальной. Разработчики этой системы никогда не должны быть ее пользователями.

Следовательно, используемая фирмой система защиты ценной, конфиденциальной информации является индивидуализированной совокупностью необходимых элементов защиты, каждый из которых в отдельности решает свои специфические для данной фирмы зада­чи и обладает конкретизированным относительно этих задач содер­жанием. В комплексе эти элементы формируют многорубежную за­щиту секретов фирмы и дают относительную гарантию безопасности предпринимательской деятельности фирмы.

2.2. Защита информации: отечественный и зарубежный опыт

Формирование российского законодательства [1; 2], регу­лирующего вопросы защиты информации и информа­ции, составляющей коммерческую тайну, в частности, испытывает определенное влияние опыта и практики ведущих государств мира. В связи с этим интересно  рассмотреть некоторые вопросы правового регулирования защиты коммерческой тайны в зарубежных странах.

В литературе и на практике могут встречаться раз­личные применяемые в этой области термины, в частнос­ти, такие, как: производственная тайна, деловая конфи­денциальная информация, промышленная тайна, торго­вый секрет,   секрет   фирмы,   «ноу-хау»  и другие. Обоз­начают они не что иное, как

секреты хозяйствующего субъекта в смысле известного определения (ст. 139 ГК РФ) коммерческой тайны.

Подобное разнообразие употребляемой терминологии объясняется, как правило, от­сутствием в законодательстве ведущих государств спе­циальных актов, регулирующих защиту информации, составляющей коммерческую тайну.

Например, в Австралии законом предусматри­вается уголовно-правовая и гражданско-правовая от­ветственность лиц, виновных в разглашении коммерчес­кой тайны или производственных секретов, включая неправомерное использование документов, полученных от партнеров в доверительном порядке. В Австрии закрытой считается информация, отвечающая определенным критериям: охрана при помощи специальных мер; наличие особых условий хранения; ограничение круга лиц, имеющих право доступа к данной информа­ции; наличие защиты от свободного хождения внутри предприятия; особый коммерческий интерес предприя­тия в сохранении тайны; установление ответственности непосредственных носителей коммерческой тайны - служащих предприятия (фирмы).

Отношения конфи­денциальности в Великобритании строятся на основе отраженных в дого­воре обязательств отношений работодателя с его работниками и др. Соглашения об условиях конфиденциаль­ности могут предшествовать заключению договоров между партнерами, являться их составной частью, а также действовать после их прекращения. Иными сло­вами, подобные вопросы регулируются нормами дого­ворного права, деликтного права, судебными прецеден­тами и отдельными нормативными актами.

К коммерческой и производственной тайне в Германии отнесены: коммерческие замыслы, коммер­ческие цели фирмы, предмет и результаты заседаний ор­ганов управления фирм, размеры и условия банковских кредитов, расчеты цен, балансы и бухгалтерские книги, негласные компаньоны товариществ, компьютерные программы, списки представителей или посредников, картотеки клиентов и т.д.

При этом ответственным за разглашение коммерчес­кой или производственной тайны считается любой сот­рудник фирмы (служащие, рабочие, ученики), которо­му были доверены или стали известны в силу существу­ющих служебных отношений коммерческие и производс­твенные секреты фирмы. Посторонние или третьи лица также несут ответственность за нарушение тайны пред­принимательской деятельности (подстрекатели и пособники разглашения секретов фирмы либо понуждающие к деяниям, направленным на разглашение секретов). По­мимо указанного, законодательство Германии признает виновными и незаконно завладевших секретами с по­мощью технических средств (изготовление или воспро­изведение воплощающего секрет предмета - графика, изображения, видеофильма) или изъятие предмета, в ко­тором воплощен секрет.

Защита коммерческой и производственной тайны в Германии предусмотрена и в отношениях между фирмой и судебным органом при ведении судебного процесса. В частности. Гражданский процессуальный кодекс Герма­нии предусматривает гарантии защиты секретов во вре­мя судебного разбирательства. При этом участник про­цесса имеет право отказаться от дачи показаний.

Подобная норма есть и в российском законодатель­стве, с той лишь разницей, что слушание дела по ходaтaйcтвy участвующего в деле лица может быть проведено в закрытом судебном заседании (п. 1 cт. 9 АПК РФ).

В отдельных случаях за незаконное разглашение ком­мерческой тайны установлены достаточно жесткие сан­кции. Так, в соответствии с § 333, «лишением свободы до одного года наказывается тот, кто неправомерно разгла­шает тайну общества, дочернего предприятия (§ 290 абз. 1, 2), совместно ведущегося предприятия (§ 310) или ас­социированного предприятия (§ 311), в особенности производственную или коммерческую тайну...».

Для сравнения следует указать, что но российскому зако­нодательству, в соответствии со ст. 71 Федерального зако­на «Об акционерных обществах» от 26.12.95 г. 208-ФЗ, не уточняется, какую именно ответственность несут члены совета директоров, здесь в п. 2 cт. 71 отмечается только, что они несут ответственность перед обществом за убыт­ки, причиненные обществу их виновными действиями (без­действием), если иные основания и размер ответственности не установлены федеральными законами [6].

В отличие от германского законодательства, анализ действующего законодательства России, в частности статьи 107 - 112 ГК РФ (производственные кооперативы) и Федерального закона от 08.05.96 г. 41-ФЗ   «О производственных кооперативах», показывает, что какой-либо детальной либо уточняющей регламента­ции, направленной на защиту коммерческой тайны, эти законодательные акты не содержат [15].

Помимо указанных обстоятельств, в Германии боль­шое значение придается практике «последоговорной обязанности молчания» работника. И, как показывает действительность, такие меры предосторожности ока­зываются далеко не лишними.

В Египте нормативное регулирование защиты коммерческой тайны посредством специального законо­дательного акта не осуществляется. В каждой организа­ции функционирует своя система защиты коммерческой информации.

В Индии все вопросы, связанные с передачей, исполь­зованием, охраной коммерческой информации, а также ответс­твенностью за нарушение прав собственника или владельца коммерческих секретов, регулируются, в основном, тремя ста­тутными документами - Законом о патентах, Договорным правом и Уголовным кодексом [6; 15]].

В Италии большое внимание уделяется регулиро­ванию отношений непосредственно между работником и работодателем. Так, например, понятие «долг вернос­ти» по итальянскому праву (ст. 2105 ГК Италии) озна­чает запрет наемному   работнику  развертывать   к  своей или чужой выгоде конкурентную

деятельность в отно­шении работодателя, передавать, разглашать либо использовать каким-либо образом знания относительно организации или продуктивных методов предприятия, если это может принести ущерб предприятию.

Представляется, что такое правило весьма обремени­тельно для работника, так как оно не указывает момен­та окончания «долга верности»; запрет на разглашение коммерческой тайны существует вне зависимости от того, как получил работник соответствующие знания; на­конец, для нарушения «долга верности» не обязатель­но наличие ущерба - достаточно возможности его нас­тупления.

Соединенные Штаты имеют наиболее совер­шенное законодательство в области защиты информации. Еще в 1979 году здесь был принят закон о коммерческой тайне или, по принятой в США терминологии, «фирмен­ных секретах» (секретах производства). Однако следует заметить, что часть штатов данный законодательный акт не восприняла. В соответствии с законом, к коммерческой тайне относится информация, которая:

- имеет самостоятельную экономическую стоимость благодаря тому, что не является общеизвестной или дос­тупной людям, которые могут ее использовать в ком­мерческих целях;

- является объектом разумных усилий по защите. В качестве доказательств, подтверждающих, что та­кая информация действительно является коммерческой тайной, закон рекомендует:

- указать ценность информации;

- назвать, какие меры защиты данного секрета были предприняты.

Рассматривая вопросы ответственности за наруше­ние условий сохранения коммерческой тайны за рубе­жом, следует подчеркнуть, что законодательствами, в основном, предусматриваются такие санкции, как лишение свободы либо штраф, а также увольнение и обяза­тельство по возмещению ущерба. При этом размеры на­казания в разных странах неодинаковы.

По Уголовному кодексу РФ самая жесткая санкция в связи с незаконным разглашением или использовани­ем сведений, составляющих коммерческую тайну или банковскую тайну без согласия их владельцев ... при ус­ловии причинения крупного ущерба (ч. 2 cт. 183 УК РФ) не превышает трех лет лишения свободы.

Что касается штрафных санкций, то за незаконное получение указанных сведений возможно наложение штрафа от ста до двухсот минимальных размеров опла­ты труда или в размере заработной платы или иного до­хода осужденного за период от одного до двух месяцев (ч. 1 cт. 183 УК РФ). При этом, за незаконное разглаше­ние указанных сведений возможно наложение штрафа в размере от двух до пятисот минимальных размеров оп­латы труда или в размере заработной платы иного до­хода осужденного за период от двух до пяти месяцев [6; 15].

И, наконец, в качестве основных направлений, кото­рые выявлены в ходе рассмотрения зарубежного зако­нодательства о защите коммерческой тайны, представ­ляется возможным указать следующие:

1. Зарубежное законодательство практически во всех случаях широко практикует привлечение к ответствен­ности лиц, нанимаемых работодателями и допускаемых к тайне предпринимательства и к коммерческой тайне, в частности.

2. Поскольку государственные служащие в силу сво­их должностных обязанностей могут или должны быть ознакомлены с тайной предпринимательства, во многих странах предусматривается их ответственность за раз­глашение сведений, составляющих коммерческую тайну.

3. В связи с тем, что зарубежное законодательство во многих случаях под недобросовестной конкуренцией понимает и неправомерное получение или разглашение сведений, составляющих коммерческую тайну, представ­ляется возможным отметить и такие черты зарубежно­го законодательства о недобросовестной конкуренции, как его многофункциональность, комплексный подход, активность в области обновления и совершенствования, а также достаточно высокую степень практической действенности.

4. При анализе зарубежного опыта нами было выбраны разные государства с их подходом к обеспечению защиты конфиденциальных документов от несанкционированного доступа. Мы пытались показать специфику подходов (как хороших, так и плохих на наш взгляд) не выбирая только хорошие. Мы хотели представить разные способы решения этой насущной проблемы.

                                                 Заключение

В ходе исследования было выявлено, что информация, используемая предпринимателем в бизнесе и уп­равлении предприятием, банком, компанией составляет его интеллектуальную собственность. При определенных условиях эта информация становится конфиденциальной и относится к коммерческой тайне. В основном различают два вида информации, подлежащих защите: техническая (методы изготовления продукции, производственные показатели и т.д.) и деловая (экономические прогнозы, стратегия действия на рынке и т.д.).

Коммерческая ценность информации определяется временем, необходимым конкуренту для выработки той же идеи или ее хищения и воспроизводства, опубликования и перехода в число общеизвестных. Степень ценности информации и необходи­мая надежность ее защиты находятся в прямой зависимости.

Информация и документы, составляющие коммерческую тайну, имеют  грифы секретности, например, «Коммерческая тайна», «Строго конфиденциально», «Конфиденциально - Особый контроль» и др.

Основными источниками ценной, конфиденциальной докумен­тированной информации являются: персонал фирмы и окружающие фирму люди; документы; публикации о фир­ме и ее разработках, рекламные издания, выставочные материалы и т.д.

Угроза разглашения конфиденциальной информации влечет за собой соблюдение особых мер по защите информации от несанкционированного доступа. Система защиты ин­формации должна быть многоуровневой и привязанной к специ­фике фирмы по структуре используемых методов и средств защиты.

В разных странах мира по-разному подходят к способам защиты информации. Однако всех их объединяет предусмотренная законодательством ответственность за разглашение коммерческой тайны или хищение конфиденциальной информации.

Список использованных источников и литературы

1. Закон Российской Федерации «Об информации, информати­зации и защите информации» от 25 января 1995 г. // Сборник зако­нов Российской Федерации. 1995. № 8.

2. О государственной тайне: Закон РФ от 21.07.93 №5485-1 с изменениями, внесенными Федеральным Законом от 19.09.97 №131-ФЗ // Собрание Законодательства РФ 1997. №41. Ст.4673.

3. Герасименко В. А. Защита информации в автоматизирован­ных системах обработки данных. - М., Энергоатомиздат, 1994. – 346 с.

4. Киселев А. Е., Чаплыгин В. М., Шейкин М. С. Коммерческая безопасность. - М., Инфоарт, 1993. – 345 с.

5. Коломиец А. Защита информации, составляющей коммерческую тайну//Закон.-1998. - №2. - С. 59 - 64.

6. Крысин А. В. Безопасность предпринимательской деятельно­сти. - М., Финансы и статистика, 1996. – 425 с.

7. Курушин В.Д., Минаев В.А. Компьютерные преступления и информационная безопасность: справочник. – М.: Новый юрист,1998. - С. 65.

8. Левин А. А. Секрет фирмы. - М., Машиностроение, 1992. – 348 с.

9. Николас К. Сирополис. Управление малым бизнесом. – М.: Дело,1997. – 425 с.

10. Организация работы с документами / Под ред. В.А.Кудряева. – М.: Инфра-М,1999. – 575 с.

11. Основы предпринимательства. Серия  «Учебники, учебные пособия». – Ростов н/Д: Феникс,2002. – 512 с.

12. Современный словарь иностранных слов. – М.: Рус. яз., 1993. - С. 307.

13. Степанов Е.А. Безопасность информационных ресурсов // Делопроизводство.-1998. - №2. - С. 45-56.

14. Степанов Е.А. Некоторые документоведческие проблемы за­щиты информации // Документ в административных структурах. - М., ВНИИДАД, 1995. – 456 с.

15. Тайна: Обзор нормативных актов // Закон. - 1998. - №2. - С. 83-103.

16. Халяпин Д. Б., Ярочкин В. И. Основы защиты информации: Учебное пособие. - М., ИПКИР, 1994. – 322 с.

17. Халяпин Д. Б., Ярочкин В. И. Основы защиты промышлен­ной и коммерческой информации. Термины и определения. - М., ИПКИР, 1992. – 346 с.

18. Шиверский А.А.Защита информации. – М.,1996. – 356 с.

19. Экономическая безопасность предприятия: Защита коммер­ческой тайны. Практическое пособие для руководителей и специа­листов / Под ред. В.М.Чаплыгина. - М., Аналитик-Пресс, 1991. – 344 с.

20. Ярочкин В. И. Безопасность информационных систем. - М., Ось-89, 1996. – 456 с.