Характеристика организационных и технических мер инженерно-технической защиты информации в государственных структурах

Оглавление Введение 1 ОРГАНИЗАЦИЯ ОФИСНОЙ ДЕЯТЕЛЬНОСТИ 1.1 Офисная деятельность как особый вид управленческой д еятельности 1.2 Структура и функции офисной деятельности 1.3 Проблемы организации офисной деятельности 1.4 Понятие и функции офисных технологий 1.5 Технологии защиты данных Выводы по разделу 2 ОСНОВНЫЕ НАПРАВЛЕНИЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ РЕСУРСОВ 2.1 Информационная б езопасность предпринимательской д еятельности 2.2 Информационные ресурсы, продукты и услуги 2.3 Конфиденциальность как главное условие защиты информации от несанкционированного доступа 2.4 Конфиденциальные документы 2.5 Угрозы конфиденциальной информации 2.6 Каналы утраты информации Выводы по разделу 3 ОРГАНИЗАЦИЯ ИНЖЕНЕРНО-ТЕХНИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ 3.1 Общие положения по инженерно-технической защите информации в организациях 3.2 Организационные и технические меры по инженерно-технической защите информации Выводы по разделу Заключение Список использованной литературы Введение В решении проблемы информационной безопасности значительное место занимает построение эффективной системы организации работы с персоналом, обладающим конфиденциальной информацией. В предпринимательских структурах персонал обычно включает в себя всех сотрудников данной фирмы, в том числе и руководителей. Персонал генерирует новые идеи, новшества, открытия и изобретения, которые продвигают научно-технический прогресс, повышают благосостояние сотрудников фирмы и являются полезными не только для фирмы в целом, но и для каждого отдельного сотрудника. Каждый сотрудник объективно заинтересован в сохранении в тайне тех новшеств, которые повышают прибыли и престиж фирмы. Несмотря на это, персонал, к сожалению, является в то же время основным источником утраты (разглашения, утечки) ценной и конфиденциальной информации. Никакая, даже самая совершенная в организационном плане и великолепно оснащенная технически система защиты информации не может соперничать с изобретательностью и хитростью человека, задумавшего украсть или уничтожить ценную информацию. Обычный секретарь руководителя фирмы имеет возможность нанести фирме такой значительный ущерб, что окажется под вопросом само ее существование. Многие специалисты по защите информации считают, что при правильной организации работы с персоналом защита информации фирмы сразу обеспечивается не менее чем на 80% без применения каких-либо дополнительных методов и средств защиты. Обеспечение безопасности информации в информационных системах от случайных или преднамеренных воздействий персонала, направленных на неправомерное использование, уничтожение, модификацию тех или иных данных, изменение степени доступности ценных сведений в машинной и внемашинной сферах предполагает наличие надежной защиты ценных для предпринимателя документов, прежде всего конфиденциальных. Необходимый уровень защищенности документированной информации достигается в значительной степени за счет использования в обработке традиционных, машиночитаемых и электронных конфиденциальных документов эффективной для конкретной фирмы специализированной традиционной или автоматизированной технологической системы, позволяющей решать задачи не только документационного обеспечения управленческой и производственной деятельности, но и сохранности носителей и конфиденциальности информации. 1 ОРГАНИЗАЦИЯ ОФИСНОЙ ДЕЯТЕЛЬНОСТИ 1.1. Офисная деятельность как особый вид управленческой деятельности Для определения содержания понятия «офисная деятельность» необходимо обратиться к рассмотрению категорий, так или иначе связанных с определяемым понятием. Исходным здесь является «система управления», основными образующими понятиями - «система» и «управление». При всей их важности для современной науки до сих пор они не имеют общепринятых формальных определений. Понятие «система» широко распространено в научной литературе по различным отраслям знаний. Каждый автор, определяя это понятие, подчеркивает ту сторону, те аспекты, которые его интересуют и которые он исследует. Тем не менее можно сформулировать требования, которым должен удовлетворять объект, чтобы он рассматривался в качестве системы. Прежде всего это целостность объекта. Любое образование, любое множество объектов может быть названо системой, если его рассмотрение как целого оправдано с какой-либо точки зрения и может помочь исследователю ответить на поставленный вопрос, решить сформулированную задачу. Естественно, что временем существования такой системы является период, в течение которого ставится и решается задача. Объект, образующий систему, продолжает существовать, но он будет образовывать уже другую систему в соответствии с новыми задачами изучения. Таким образом, всегда необходимо определить цель изучения, критерий, обусловливающий существование данного объекта как целого. Наличие такого критерия является вторым необходимым условием, рассмотрения объекта как системы. Третье условие - рассматриваемый объект должен быть частью, подсистемой некоторой большей системы, что позволяет определить, с какими другими объектами и каким образом он взаимодействует. Последнее, четвертое условие, необходимое для рассмотрения объекта как системы, - возможность разбиения его на части, на подсистемы. Это позволяет выяснить, какие связи и взаимодействия между составляющими объект элементами обеспечивают его единство, существование как целого. Для иллюстрации рассмотренного подхода к определению сущности понятия «система» обратимся к объектам производственного и экономического характера. Все известные нам производственные и экономические объекты в процессе своего функционирования выступают как целостные образования (международные и региональные экономические объединения, национальная экономика, отрасль промышленности, производственное объединение, торговая фирма, промышленное предприятие, цех, производственный участок и т. п.) с четко определенными границами (физическими, юридическими и др.). Существование производственных и экономических объектов как целостных образований определяется прежде всего их назначением, которое заключается в конечном счете в удовлетворении материальных потребностей общества, причем для каждого конкретного объекта определены конкретные виды производимой продукции и оказываемых услуг. Каждый производственный и экономический объект входит в качестве элемента в другую систему экономического и производственного характера, что определяет состав и виды его взаимодействий с окружающей средой, среди которых можно выделить материальные, энергетические, информационные и т. п. В свою очередь, каждый производственный и экономический объект состоит из множества различных элементов, взаимодействие которых и обеспечивает его существование и выполнение им своего назначения в рамках общества. Таким образом, выполняются все перечисленные требования к рассмотрению объекта как системы. Следовательно, все производственные и экономические объекты являются системами. Подобное рассмотрение объектов иного характера (научного, военного, культурного и др.) приводит к таким же результатам. Понятие «управление», так же как и понятие «система», до сих пор не имеет общепринятого определения, но тем не менее в большинстве случаев можно выделить процессы управления. Если проанализировать все случаи, выяснится, что процессы управления связаны с изменениями, происходящими в системе в результате ее взаимодействия с окружающей средой. Поскольку всякая реальная система является открытой, т. е. взаимодействует с внешней средой, постольку в ней происходят изменения, которые могут иметь две крайние и противоположные друг другу формы - это деградация (разрушение системы) и развитие (усложнение системы, накопление ею информации). Вместе с тем возможно и временное равновесие между системой и средой, благодаря которому система в течение известного времени либо остается относительно неизменной, либо испытывает лишь обратимые изменения, не нарушающие ее целостности. Количественной характеристикой организованности системы является ее энтропия, большее значение которой отвечает меньшему уровню сложности и организации системы. Для сохранения целостности системы необходимы процессы, препятствующие увеличению энтропии. Это и есть процессы управления, общим для которых является их антиэнтропийный характер. В связи с этим процесс управления по своей сути является антиподом процессу дезорганизации. Он позволяет в зависимости от особенностей конкретных систем стабилизировать систему, сохранить ее качественную определенность, поддержать ее динамическое равновесие со средой, обеспечить совершенствование системы и достижение того или иного полезного эффекта. Короче говоря, управление - это обеспечение неувеличения энтропии системы. Как уже отмечалось, любая реальная система взаимодействует с внешней средой, в результате чего с ней происходят изменения различного рода, выражающиеся в протекании некоторого процесса. Этот процесс изменения системы и вызывает необходимость управления. Таким образом, в основе любой системы управления лежит процесс, требующий управления. Однако не всякое протекание процесса требует управления, а лишь то, которое ведет к увеличению энтропии. В связи с этим необходимо связать характер изменений, лежащих в основе процесса, с критерием качества системы, т. е. нужно определить цель управления. В этом смысле системы управления обладают целенаправленностью. Далее, поскольку осуществление процессов управления выделяется в обособленную функцию, то на ее выполнении специализируются некоторые элементы системы. В связи с этим системы управления обладают определенной структурой, а именно состоят из управляемого процесса и управляющей части. Данное положение является весьма принципиальным, поскольку существуют объекты, которые в течение определенного интервала времени сохраняют свою качественную определенность и без явно выраженного управляющего компонента. Как правило, это достаточно простые физические объекты (камень, стул и т. п.), которые в дальнейшем нами рассматриваться не будут. Управляющая часть оказывает на управляемый процесс определенные воздействия, чтобы в соответствии с целью управления обеспечить сохранение качественной определенности всей системы. Чтобы управляющая часть могла осуществлять управление, ей нужно сопоставлять фактическое состояние управляемого процесса с целью управления, в связи с чем управляемый процесс воздействует на управляющую часть. Воздействие обеих частей друг на друга осуществляется в виде передачи информации, поэтому в системе управления всегда присутствует замкнутый информационный контур (рис. 1). Рисунок 1 . Структура системы управления Представленная на рисунке 1 схема носит общий характер и справедлива для любой системы управления. Управляющая часть, в свою очередь, включает ряд элементов. В состав элементов входят: измерительные; исполнительные; решающие. Каждый из них выполняет определенную функцию в реализации процесса управления, и между собой они связаны информационными связями. Эти элементы связаны между собой и с внешней средой посредством передачи информации: о целях управления; о состоянии управляемого процесса; об управляющих воздействиях. Рис. 2. Подробная структура системы управления На рис унке 2 представлена схема системы управления с учетом состава элементов управляющей части. Управляемый процесс может иметь довольно сложную структуру, обусловливаемую конкретными особенностями его протекания, и состоять из подпроцессов, относительно автономных и различным образом взаимодействующих друг с другом. Автономность подпроцессов выражается в их определенной локализации во времени и пространстве, наличии собственных критериев качества. Сложная конфигурация управляемого процесса порождает и соответствующее усложнение управляющей части системы управления, приводя к появлению дополнительных координирующих элементов, зачастую нескольких уровней. Можно говорить об относительной самостоятельности управляющей части уже со своими критериями функционирования, сложной структурой, принципами и законами внутреннего существования, т. е. речь идет уже скорее об управляющей системе. А это означает, что функционирование такой системы определяет соответствующий и отличный от других (порождаемых управляемым процессом) специфический вид деятельности - управленческую деятельность. Исходя из рассмотренных положений можно определить управленческую деятельность как определенным образом организованную в пространстве и времени совокупность действий множества людей (персонала), реализация которых в рамках управляющей системы обеспечивает реализацию функций управляемого процесса, а следовательно, и достижение целей системы управления в целом. Данное определение предполагает наличие следующих характеристик управленческой деятельности: управленческая деятельность осуществляется в течение определенного временного интервала (времени существования системы управления); управленческая деятельность осуществляется в определенных пространственных границах, как правило определяемых местом размещения управляющей системы; управленческая деятельность реализуется людьми, для которых она является основным видом деятельности содержание управленческой деятельности определяется задачами, решение которых приводит к негэнтропийному протеканию управляемого процесса. Проблемы организации управленческой деятельности во многом сводятся к проблемам выработки и реализации управленческих решений, связанных с непосредственным воздействием на управляемый процесс, и соответствующие Теоретико-методологические и практические разработки велись и ведутся именно в указанной области. Но, имея в виду сложность самой управляющей системы, ее относительно самостоятельное существование, наличие внутренних, порой противоречивых особенностей реализации различных функций, необходимо указать и н а необходимость управления самой управленческой деятельностью, которое является особой ее разновидностью. Как уже отмечалось, управленческая деятельность в том смысле, в котором мы ее определили, пространственно локализована рамками физического размещения управ ляю ще й системы. Указанное физическое размещение в различное время и в различных местах реализовывалось по-разному: при к а зы в Древней Руси, коллегии в петровской России, министерства и ведомства в современном обществе, заводоуправления на промышленных предприятиях, деканаты на факультетах высших учебных заведений и т. п. Для обозначения указанных объектов в настоящее время существует обобщенное название - офис. В соответствии с изложенными выше представлениями о системах управления под офисом понимается физическая реализация условий выполнения управленческой деятельности в рамках управляющей системы, а обеспечение его функционирования, т. е. управление самой управленческой деятельность ю - офисной деятельностью. 1.2. Структура и функции офисной деятельности Исходя из того, что для достаточно сложных управляемых процессов (а к таковым и относятся социальные и экономические процессы и явления) управляющая часть рассматривается как управляющая система, то ее саму следует принимать за систему управления, в которой управляемым процессом является реализуемая в рамках офиса управленческая деятельность. И тогда, как следует из предыдущего рассмотрения, офисная деятельность - это определенным образом организованная в пространстве и времени совокупность действий множества людей (персонала), реализация которых обеспечивает условия эффективного выполнения управленческой деятельности для конкретной системы, управления. Э то определение предполагает наличие следующих структурных характеристик офисной деятельности: - офисная деятельность осуществляется в определенных пространственных границах, определяемых совокупностью параметров размещения офиса: количеством мест локализации (одно или несколько), их иерархической соподчиненностью (центральный или филиал) и прочими показателями функционирования офиса в пространстве; - офисная деятельность осуществляется в течение определенного временного интервала, т. е. обладает совокупностью временных параметров: моментами начала и окончания осуществления, чередованием периодов с различными интенсивностями своей реализации, прочими показателями функционирования офиса во времени; - офисная деятельность реализуется людьми, для которых она полностью или частично является основным видом деятельности, что характеризуется составом соответствующего персонала, его квалификацией и стажем, распределением прав и обязанностей и т. п.; - содержание офисной деятельности определяется задачами обеспечения условий для эффективной реализации управленческой деятельности - управляемого по отношению к офисной деятельности процесса. Раскрытие перечисленных характеристик офисной деятельности необходимо осуществить прежде всего через содержание управленческой деятельности, которая в существенной своей части сводится к выработке и принятию управленческих решений. Категория «управленческое решение» имеет многоаспектное содержание. В широком смысле термин «управленческое решение» можно понимать как концентрированное выражение процесса управления на его заключительной стадии, как команду, подлежащую выполнению, поступающую от управляющей части системы к управляемому процессу. Отметим три связанных между собой содержательных про явления управленческого решения : во-первых, управленческое решение - это вид деятельности, протекающий в управляющей части системы и связанный с подготовкой, нахождением, выбором и принятием определенных вариантов действий; во-вторых, управленческое решение - это вариант воздействия управляющей части системы на управляемый процесс, формула воздействия, т. е. описание предполагаемых действий управляющей части системы по отношению к объекту управления (управляемому процессу); в-третьих, управленческое решение - это организационно-практическая деятельность по реализации выбранного воздействия. Первое проявление управленческого решения отражает в основном сущность управленческой деятельности, второе - ее результат, а третье - обеспечение эффективной реализации этого результата, т. е. определенным образом обусловливает содержание офисной деятельности. Управленческое решение принимается тогда, когда выявлена та или иная управленческая проблема, проблемная ситуация, т. е. такое положение, когда при наличии данного, существующего состояния управляемого объекта (процесса) возникает необходимость другого, поскольку сохранение данного состояния мешает нормальному его функционированию, совершенствованию и развитию. Выявив проблему, важно всесторонне ее исследовать, т. е.: - определить причины и условия ее возникновения; - ее важность, значимость; - какой характер решения необходим в данной проблемной ситуации; - каковы ее возможные последствия; - каково отношение к проблеме людей; - где может быть принято решение (в данной системе или вне ее); - есть ли ресурсы для решения проблемы; - кто из людей способен к решению; - какая информация необходима и т. д. При подготовке решения необходимо также выявить и учесть ограничения, в рамках которых будет реализовываться цель, решаться задача. Эти ограничения могут быть внутренними (для предприятия, например, это производительность оборудования, наличие и квалификация специалистов и рабочих, наличие информации и т. д.) и внешними (сроки решения задачи, финансы, технические нормы, плановые показатели, отлаженность связей с поставщиками и т. д.). Процесс подготовки и выработки решений сложен и многосторонен, заключает в себе целый ряд этапов и стадий, которые связаны с выполнением различных действий, операций, со специфическими формами управленческой деятельности. Вопрос о том, сколько и каких стадий в процессе подготовки и принятия решений, каково конкретное содержание управленческой деятельности на них, - спорный и неодинаково решаемый различными исследователями и специалистами. Однако ясно одно: сколько бы этапов ни выделялось, основным, исходным в подготовке решений является процесс сбора и переработки информации о состоянии системы и окружающей ее среды. В достаточно общем виде процесс выработки и принятия решений может быть структурирован так, как это представлено на рис. 3. 1 Выявление проблемы 2 Формализация проблемы 3 Формирование множества альтернатив 4 Выбор решения 5 Реализация решения 6 Оценка последствий принятого решения Рис унок 3. Структура процесса выработки и принятия решения В процессе переработки информации, ее анализа и обобщения выявляется сущность данной управленческой ситуации. Ситуация сопоставляется с целью, стоящей перед системой, а расхождение между реальным положением вещей и целью позволяет определить проблему, ради которой принимается решение. В дальнейшем этот процесс предполагает тщательный анализ проблемы, постановку задач и целей, точную формулировку проблемы, разработку и оценку альтернатив, выявление и оценку возможных последствий, разработку плана реализации решения, выбор людей, путей и средств реализации. Рассмотрим содержание отдельных этапов процесса выработки и принятия управленческих решений. На первом этапе (выявление проблемы) на основании сопоставления фактического и желаемого (или заданного) состояний управляемого объекта определяется необходимость оказания на него управляющих воздействий, порождающая соответствующую управленческую проблему. Конкретное содержание деятельности на этом этапе определяется постановкой задачи принятия решений, в которой должны быть сформулированы ответы на следующие вопросы: - какую управленческую проблему нужно решить; - в каких условиях нужно решить; - когда ее нужно решать; - какими силами и средствами будет решаться проблема. Результатом здесь, как правило, является содержательное описание проблемной ситуации. На втором этапе (формализация проблемы) производится анализ проблемной ситуации, в ходе которого конкретизируются: - цели, достигаемые при решении проблемы; - ограничения при реализации действий по устранению проблемной ситуации; - возможные методы и средства решения задачи. Это означает, что содержательно поставленная управленческая задача как некоторая проблемная ситуация на данном этапе приводится к некоторому структурированному виду, позволяющему с некоторой определенностью либо применить для решения задачи уже известные методы, либо осуществить поиск или разработку новых методов. На третьем этапе (формирование множества альтернатив) на основе структурированной задачи принятия решений и применения определенных методов ее анализа и обработки формируют различные варианты решения задачи. Следует отметить, что даже единственный выработанный вариант управленческого решения не является таковым, так как он имеет альтернативу - отсутствие каких-либо воздействий на управляемый объект. На четвертом этапе (выбор решения) на основе определенных правил (предпочтений) из ранее сформированного множества вариантов выбирается один-единственный, который и воплощается в виде управленческого решения. При оценивании различных вариантов решений - необходимой основы выбора - может возникнуть необходимость корректировки как множества альтернатив, так и структуризации (формализации) самой задачи принятия решений, что приведет к возврату на соответствующие этапы процесса выработки и принятия решений. Следует отметить, что описанные этапы осуществляются в рамках решающего элемента управляющей системы. Выполнение принятого управленческого решения (пятый этап) возложено на исполнительный элемент, а оценивание состояния управляемого объекта как результата реализации решения (шестой этап) - на измерительный элемент. Сопоставляя содержание понятия «управленческое решение» и отдельных этапов процесса его выработки и принятия, можно прийти к выводу, что для эффективного управления необходимы соответствующее информационное обеспечение (поиск, сбор, хранение и представление информации на различных этапах) и соответствующим образом организованные процедуры реализации управленческого решения. Именно это и составляет основное содержание офисной деятельности. Теперь перейдем к рассмотрению перечисленных структурных компонентов офисной деятельности (пространственные, временные и кадровые характеристики). Поскольку характеристики управляемого процесса существенным образом определяют свойства управляющей системы, а следовательно, и характер протекания офисной деятельности, имеет смысл рассмотреть его возможные конфигурации. 1. Управляемый процесс характеризуется относительной простотой и целостностью, т. е. не разбивается на такие подпроцессы, которые требуют отдельных управляющих частей (обработка деталей на отдельном производственном участке цеха машиностроительного предприятия, строительство жилого дома, лечебный процесс в стоматологическом кабинете и т. п.), - элементарный управляемый процесс. 2. Управляемый процесс состоит из небольшого количества взаимодействующих однородных подпроцессов, локализованных на относительно ограниченном пространстве и имеющих собственные управляющие части (производственный процесс в цехе машиностроительного предприятия, учебный процесс на факультете высшего учебного заведения, эксплуатация жилых домов на территории одного домоуправления и т. п.), - локализованный управляемый процесс с однородными элементами. 3. Управляемый процесс состоит из взаимодействующих разнородных подпроцессов, локализованных на относительно ограниченном пространстве и имеющих собственные управляющие части (производство разнообразной продукции на промышленном предприятии с различными производственными цехами и обеспечивающими службами, лечебный процесс в клинической больнице, постановочный процесс в театре и т. п.), - локализованный управляемый процесс с разнородными элементами. 4. Управляемый процесс состоит из относительно автономных однородных подпроцессов, распределенных в пространстве и имеющих собственные управляющие части (торговля в сети магазинов, учебный процесс в многофилиальном институте заочного образования и т. п.), - распределенный управляемый процесс с однородными элементами. 5. Управляемый процесс состоит из относительно автономных разнородных подпроцессов, распределенных в пространстве и имеющих собственные управляющие части (производство разнообразной продукции в рамках производственного объединения, производство одного вида продукции в рамках объединения специализированных предприятий, городское хозяйство и т. п.), - распределенный управляемый процесс с разнородными элементами. 6. Управляемый процесс со сложной структурой и имеющий глобальный характер (производственная деятельность межнациональных корпораций, деятельность органов государственного управления и т. п.), - глобальный управляемый процесс. Пространственные характеристики офисной деятельности существенным образом определяются содержанием, масштабами и характером протекания процесса, являющегося управляемым по отношению к той управляющей системе, деятельность которой обеспечивается, и практически совпадают с аналогичными характеристиками управленческой деятельности. Для элементарных управляемых процессов управляющая часть пространственно реализуется в виде относительно изолированного рабочего места непосредственно в рамках управляемого процесса (например, конторка мастера на производственном участке машиностроительного завода или вагончик прораба на строительстве какого-либо объекта). Для локализованных управляемых процессов с однородными элементами управляющая часть имеет по меньшей мере двухуровневую структуру, где на нижнем уровне представлены независимые друг от друга управляющие части - элементарных однородных подпроцессов, а на верхнем - координирующая их работу управляющая подсистема, обеспечивающая целенаправленное функционирование управляемого процесса в целом. Так, управленческая деятельность для цеха машино.строительного завода организована в рамках нескольких функционально ориентированных бюро, размещенных рядом с производственными участками, но изолированных от них. Для локализованных управляемых процессов с разнородными элементами управляющая часть (или, скорее, система) также может иметь двухуровневую структуру, но в отличие от предыдущего случая на нижнем уровне разнородные управляемые подпроцессы имеют уже различные управляющие части, что порождает значительно более сложную по своему строению управляющую систему на верхнем уровне. Пример тому - управляющая система на крупном машиностроительном предприятии, включающая в себя заводоуправление достаточно сложной структуры и службы управления цехами и производствами, которые, в свою очередь, стоят над элементарными управляемыми процессами с их управляющими частями (что позволяет говорить скорее не о двух-, а о трехуровневой системе). Распределенные управляемые процессы с однородными элементами с точки зрения функциональной структуры имеют то же строение управляющей части, что и аналогичные локализованные управляемые процессы, но пространственная распределенность предполагает большую автономию управляющих частей однородных подпроцессов от управляющей системы верхнего уровня, которая существует и функционирует уже практически вне управляемого процесса в целом, как это имеет место, например, в сети продажи автомобильного топлива, где, помимо бензоколонок в различных районах города, имеется центральная контора, осуществляющая общее руководство. Похожую структуру управляющей системы имеют распределенные управляемые процессы с разнородными элементами, но здесь именно разнородность подпроцессов порождает очень высокую степень автономности соответствующих управляющих частей, что ведет к еще более сложной структуре управляющих компонентов верхнего уровня, приводя к появлению в них нескольких подуровней управления, что характерно для крупных региональных (например, городских или областных) служб коммунального хозяйства или войсковых организаций типа военных округов. Предельный уровень сложности имеют глобальные управляемые процессы, порождающие соответствующие управляющие системы с зачастую уникальными структурами, как это имеет место с органами государственного управления в различных странах или с аппаратом управления разных международных организаций. В смысле пространственной организации управленческая и офисная деятельность имеют идентичные характеристики, поскольку в этом отношении они объективно неразделимы. Так же, как и пространственные характеристики, временные параметры офисной деятельности существенно определяются организацией управляемого процесса во времени, при этом в дальнейшем рассмотрении будем опираться на уже приведенную классификацию. управляемых процессов. Элементарные управляемые процессы с точки зрения их организации во времени существенным образом подразделяются на две категории: с непрерывным и дискретным функционированием. Непрерывные управляемые процессы по своему содержанию требуют и непрерывного управления, т. е. управленческая деятельность, связанная с ними, должна осуществляться постоянно, без перерывов. К такого рода процессам относятся производства в химической, металлургической, энергетической и тому подобных отраслях промышленности. В данном случае определить временные характеристики управленческой деятельности можно следующим образом: управленческая деятельность осуществляется с относительно неизменной интенсивностью в течение всего периода функционирования управляемого процесса без перерывов. Дискретные управляемые процессы функционируют в течение четко выделенных временных интервалов с определенными моментами начала и окончания, что позволяет осуществлять управление ими не непрерывно, а в рамках упомянутых интервалов. При этом в различных интервалах интенсивность управленческой деятельности может быть различной, как, например, при работе производственного участка машиностроительного цеха в дневную и ночную смены. Поэтому здесь временные характеристики управленческой деятельности можно определить следующим образом: управленческая деятельность осуществляется в рамках явно выраженных интервалов времени с четко определенными моментами начала и окончания, причем в различных интервалах ее интенсивность различна (включая и нулевую), а вся последовательность этих интервалов укладывается в общую длительность функционирования управляемого процесса. Что касается более сложных видов управляемых процессов, то они представляют собой различные комбинации элементарных процессов, порождая те или иные уже рассмотренные конструкции управляющих систем, что в зависимости от типа подпроцессов (непрерывных или дискретных) создает и соответствующие наборы временных характеристик управленческой деятельности. Следует отметить, что по объективным причинам преобладают характеристики, связанные с дискретными процессами. Временные характеристики офисной деятельности, так же как и ее пространственные параметры, неразрывно связаны с характеристиками управленческой деятельности, но полной идентичности здесь уже не наблюдается, особенно для дискретных процессов. В рамках отдельных интервалов функционирования управленческая и офисная деятельности могут иметь разные интенсивности, что порождает различную их временную структуру при идентичной пространственной организации. Например, в ночное время подавляющее большинство служб управления городского хозяйства не функционирует (а следовательно, имеет практически нулевую интенсивность в смысле офисной деятельности), но их дежурные подразделения осуществляют оперативную работу, определяя ненулевую интенсивность собственно управленческой деятельности, оставляя многие (неоперативные) решения и их оформление на дневное время с ненулевой интенсивностью офисной деятельности. Кадровые характеристики офисной деятельности определяются свойствами персонала, ее осуществляющего. Здесь можно выделить следующие параметры: - количество специалистов; - состав специалистов; - уровень специализации; - уровень квалификации; - стаж работы; - общие параметры, характеризующие работу с кадрами. Количество специалистов, осуществляющих офисную деятельность, полностью определяется объемом и масштабами управленческой деятельности, которая, в свою очередь, зависит от сложности управляемого процесса. По мере перехода от элементарных управляемых процессов к глобальным с повышением уровня сложности управляющих систем число таких специалистов увеличивается, с необходимостью ставя задачи специализации, кооперации и определения необходимой квалификации при осуществлении офисной деятельности. Состав специалистов, выполняющих задачи в рамках офисной деятельности, определяется необходимым ее объемом в конкретных пространственных и временных конфигурациях управленческой деятельности соответствующими нормативными документами (квалификационными справочниками) и может включать в себя как собственно управленческий персонал (лиц, принимающих и готовящих решения), так и персонал, обеспечивающий информационную и организационную поддержку процесса выработки и принятия решения. Определение состава специалистов тесно связано с уровнем их специализации на офисной деятельности. Так, собственно управленческий персонал может полностью осуществлять управленческую и офисную деятельность (как это имеет место для элементарных управляемых процессов, где указанный персонал воплощается в одном человеке, - мастер, бригадир и т. п.), может быть полностью освобожден от офисной деятельности (менеджеры высшего уровня и государственные руководители), может наряду с основной (управленческой) деятельностью выполнять некоторые задачи офисной деятельности. В двух последних вариантах необходимы специалисты, для которых осуществление офисной деятельности является основной работой. Это секретари, помощники, референты, офис-менеджеры, специалисты по информационному обеспечению и т. п. Квалификация офисного персонала определяется, прежде всего , наличием соответствующей профессиональной подготовки. Эта подготовка может иметь различные формы: - получение среднего специального образования (секретари-референты; техники, осуществляющие эксплуатацию различных информационных систем, и т. п.); - получение высшего образования (референты; руководители служб документационного и информационного обеспечения; инженеры, осуществляющие эксплуатацию различных информационных систем, и т. п.); - подготовка и переподготовка на различных краткосрочных курсах (секретари; персонал служб документационного и информационного обеспечения и т. п.). Кроме того, фактическая квалификация помимо уровня профессиональной подготовки существенным образом зависит от стажа офисной работы, что определяет знание конкретной обстановки и практические навыки обеспечения конкретной управленческой деятельности. 1.3. Проблемы организации офисной деятельности Рассмотрение структуры и функций офисной деятельности, произведенное выше, указывает на наличие существенно разнородных и довольно многочисленных, но взаимосвязанных компонентов и процессов. Эффективная реализация офисной деятельности предполагает обеспечение функционирования этих компонентов и процессов как таковых, так и в совокупности, в целом. Такая задача, в общем, является достаточно распространенной (по крайней мере в рамках системного подхода) и содержательно связана с понятием «организация». Отметим, в частности, что понятие «организация» носит такой же многозначный характер, как и понятия «система» и «управление», рассмотренные выше. Определение этого понятия в универсальных словарях различно по объему и качественным характеристикам. Наиболее полным является содержание определения, данного в Советском энциклопедическом словаре (1986): «ОРГАНИЗАЦИЯ (франц узское organisation, от позднелат инского organizo - сообщаю стройный вид, устраиваю) - 1) внутренняя упорядоченность, согласованность, взаимодействие более или менее дифференцированных и автономных частей целого, обусловленные его строением; 2) совокупность процессов или действий, ведущих к образованию и совершенствованию взаимосвязей между частями целого; 3) объединение людей, совместно реализующих программу или цель и действующих на основе определенных правил и процедур. Применяется к биол огическим , социальным и нек ото рым техн ическим объектам, фиксируя динамические закономерности, т. е. относящиеся к функционированию, поведению и взаимодействию частей; обычно соотносится с понятиями структуры, системы, управления». Возникает вопрос, какое из приведенных значений является первичным, определяющим. На наш взгляд, таковым является второе (организация как деятельность), в то время как первое определяет организацию как результат определенного рода деятельности (а именно в смысле второго значения). Что касается третьего значения, то оно лишь подчеркивает первичность второго в том смысле, что определяет форму существования и функционирования группы людей по реализации организации в смысле деятельности. Организация как деятельность предполагает: - определение цели, задачи (или задач); - разработку системы мероприятий для реализации цели и разделения задачи на отдельные виды работ; - интеграцию отдельных работ в соответствующих подразделениях, которые могли бы их координировать различными средствами, включая сюда и формальную иерархическую структуру; - мотивацию, взаимодействие, поведение, взгляды персонала, которые отчасти определяются мероприятиями, направленными на реализацию поставленных целей, а отчасти же носят личный, случайный характер; - принятие решений, коммуникации, информационные -потоки, контроль, поощрение и наказание, имеющие решающее значение для обеспечения выполнения поставленных целей; - единую организационную систему, которая понимается не как особый, дополнительный признак, а как внутренняя согласованность, которая должна быть достигнута между всеми перечисленными элементами. Представленное раскрытие содержания организации как деятельности весьма широко и неявно содержит компоненты организации как результата деятельности. Поэтому необходима определенная конкретизация с точки зрения организации офисной деятельности. Определение цели, задачи (или задач) офисной деятельности определяется ее содержанием как процесса, обеспечивающего эффективную реализацию управленческой деятельности в рамках конкретной системы управления. Как это было показано выше, в основном это информационное обеспечение управленческой деятельности и обеспечение реализации принятых решений. Разработка системы мероприятий для реализации цели и разделения задач на отдельные виды работ применительно к только что определенным целям и задачам офисной деятельности предполагает определение всего состава конкретных функций информационного обслуживания управленческой деятельности в рамках ее конкретных пространственных и временных характеристик, выделения соответствующих задач, работ, процедур и операций с учетом последовательности их выполнения и взаимосвязей. Интеграция отдельных работ в соответствующих подразделениях осуществляется с учетом прежде всего пространственных характеристик управленческой деятельности и предполагает распределение выявленной совокупности задач, работ, процедур и операций по соответствующим пространственным компонентам (структурным подразделениям) с последующей их концентрацией и интеграцией с целью эффективной реализации. Мотивация, взаимодействие, поведение, взгляды персонала определяются в соответствии с кадровыми характеристиками требуемой офисной деятельности и во многом зависят от необходимой квалификационной поддержки выявленного состава задач, работ, процедур и операций информационного обслуживания управленческой деятельности. Принятие решений, коммуникации, информационные потоки, контроль, поощрение и наказание - эта составляющая, на первый взгляд, относится к собственно процессу принятия управленческих решений для воздействия на управляемый процесс, но поскольку мы приняли положение о том, что офисная деятельность есть во многом процесс управления управленческой деятельностью, то перечисленные элементы организации должны иметь место и разрабатываться соответствующим образом. Единая организационная система офисной деятельности предполагает сведение воедино всех перечисленных компонентов ее организации в рамках функционирования офиса во всех его проявлениях. 1.4. Понятие и функции офисных технологий Как мы уже определили выше, офисная деятельность - это определенным образом организованная в пространстве и времени совокупность действий множества людей (персонала), реализация которых обеспечивает условия эффективного выполнения управленческой деятельности для конкретной системы управления. Поскольку во многом ее организация связана с определением и реализацией задач, работ, процедур и операций информационного обслуживания управленческой деятельности, постольку основная часть ее функций реализуется через соответствующие информационные технологии, структура, свойства и возможности которых определяются особенностями функционирования офиса - материально-технической и организационной формы осуществления офисной деятельности. Таким образом, под офисной технологией понимается информационная технология, объект и результат которой определяются потребностями реализации управленческой деятельности в рамках конкретной формы осуществления офисной деятельности (офиса). Объектом офисной технологии является тот или иной вид информационных ресурсов, используемых при реализации задач, работ, процедур и операций информационного обслуживания управленческой деятельности. Результаты преобразования информационных ресурсов в рамках офисных технологий должны рассматриваться как соответствующие компоненты информационных технологий вообще с учетом специфики офисной деятельности как обеспечения эффективности функционирования управляющей системы, сводимого в конечном итоге, как это было показано, к процессу подготовки и принятия управленческих решений. Указанный процесс имеет сложную последовательно-итеративную структуру (рис. 3) и реализуется в рамках замкнутого информационного контура (рис. 2) через совокупность различных процедур и операций работы с данными. Содержание этих процедур и операций определяется информационными потребностями, возникающими в процессе подготовки и принятия решений, которые выражаются в результатах необходимых преобразований тех или иных данных. Отдельная итерация управленческого цикла начинается с оценки состояния управляемого процесса, осуществляемой теми компонентами управляющей системы, которые в обобщенном виде представлены как измерительный элемент (рис. 2). Результат оценки состояния управляемого процесса - • это совокупность данных о значениях тех его параметров, которые являются существенными для выработки решений об управляющих воздействиях, обеспечивающих достижение целей системы управления в целом. Получение такого результата достигается структуризацией всей совокупности данных, поступающих от управляемого процесса, с идентификацией составляющих ее информационных объектов и выделением из полученного таким образом множества тех его компонентов, которые содержат информацию об искомых параметрах. Данные процессы (идентификация информационных объектов и выделение тех из них, которые необходимы управляющей системе) в целом реализуются технологиями сбора данных. Для дискретных управляемых процессов моменты использования собранных данных могут разделяться существенно длительными интервалами, в течение которых возникает необходимость сохранения отобранных информационных объектов при продолжении сбора данных. Результатом реализации этого процесса в конце каждого указанного интервала времени будут аккумулированные данные о значениях существенных параметров управляемого процесса. Достижение этого результата в целом обеспечивается технологиями накопления данных. Итоговым результатом деятельности измерительного элемента управляющей системы должны быть собранные (и накопленные) данные об управляемом процессе, зафиксированные на каком-либо носителе. Достижение этого результата в целом обеспечивается технологиями регистрации данных. Рассмотренные функции офисных технологий по целенаправленному изменению свойств всей совокупности данных, поступающих от управляемого процесса, реализуются, как правило, в месте его протекания (в измерительном элементе), а подготовка и принятие управленческих решений осуществляются решающим элементом, действия которого локализованы в рамках офиса. В подавляющем большинстве случаев измерительный и решающий элементы пространственно разделены (исключение - элементарные управляемые процессы), что приводит к необходимости изменения пространственных координат собранных, накопленных и зарегистрированных данных. Достижение этого результата обеспечивается технологиями передачи данных. Переданные в решающий элемент сведения в зависимости от пространственной сложности и временного характера управляемого процесса предназначены для различных этапов и процедур подготовки и принятия решений, требующих для своей реализации определенного времени, в связи с чем моменты поступления информации и моменты ее реального использования не совпадают, что вызывает необходимость изменения временных координат данных. Достижение такого результата обеспечивается технологиями хранения данных. Хранимые данные могут быть затребованы для использования различными структурными компонентами управляющей системы, действующими в составе решающего элемента, причем зачастую одновременно, что приводит к необходимости дублирования информации, создания соответствующих дубликатов. В данном случае результат достигается за счет технологий копирования данных. При сборе, накоплении, регистрации и хранении данных возникает необходимость приведения получаемых и формируемых множеств информационных объектов к структуре, в рамках которой они (объекты) определенным образом соотносятся друг с другом, что позволяет рационально организовать выполнение тех или иных операций над ними. Такое преобразование обеспечивается технологиями упорядочивания данных. В конкретных ситуациях подготовка и принятие решений на отдельных этапах требуют не всей совокупности имеющейся информации, а лишь вполне определенной ее части, отвечающей некоторым требованиям, критериям, формируемым в виде запроса. Выборка таких сведений из хранимых информационных массивов реализуется технологиями поиска данных. Процесс подготовки и принятия решений не является однозначно определенным и в разных проблемных ситуациях требует для получения итогового результата различных инструментальных средств (типовых процедур, экономико-математических моделей, экспертных систем, систем поддержки решений и т. п.), использование которых реализуется через соответствующие преобразования необходимой (хранимой и найденной) информации. Искомый результат в виде выработанных управленческих решений (должным образом содержательно определенной и формально структурированной информации) достигается технологиями содержательной обработки данных. С точки зрения места реализации этих технологий и непосредственной их сопряженности с уже рассмотренными видами технологий можно было бы отнести их к офисным. Но принципиальным здесь является то обстоятельство, что они реализуют процессы подготовки и принятия решений, т. е. собственно деятельность по управлению определенным процессом или объектом, в то время как офисные технологии эту деятельность обеспечивают. Именно поэтому введенные в рассмотрение в соответствии с логикой реализации управленческого цикла технологии содержательной обработки данных к офисным не относятся. Информация о выработанных управленческих решениях для их реализации исполнительным элементом должна быть соответствующим образом оформлена, что обеспечивается технологиями представления данных. Управленческие решения, оформленные и пр едставленные требуемым образом для выработки соответствующих воздействий на управляемый процесс , должны быть выведены на него исполнительным элементом, что реализуется технологиями выдачи данных. Практически на всех стадиях реализации замкнутого информационного контура управления возникает необходимость поддержания целостности и достоверности информации, а во многих случаях - и обеспечения условий ограниченного доступа к данным. Достижение этих результатов обеспечивается технологиями защиты данных. Рассмотренные преобразования данных (сбор, накопление, регистрация, передача, хранение, копирование, упорядочивание, поиск, представление, выдача, защита) практически полностью исчерпывают перечень функций офисных технологий. Представленный порядок перечисления этих функций является схематичным, хотя в основном и соответствует последовательному прохождению данных по замкнутому информационному контуру системы управления. В действительности те или иные функции и соответствующие офисные технологии реализуются и вне указанного порядка. Так, сбор данных осуществляется не только в связи с оценкой параметров управляемого процесса, но и при изучении общей ситуации для принятия решений стратегического и долгосрочного характера, когда источники информации находятся вне системы управления. Накопление данных может осуществляться и внутри решающего элемента при необходимости подготовки управленческих решений, связанных с плановой и аналитической деятельностью. Регистрация данных реализуется тогда, когда на различных стадиях подготовки и принятия решений происходит изменение формы восприятия информации или смена вида носителя данных. Передача и хранение данных осуществляются всякий раз, когда в процессе движения информации изменяются ее пространственные и временные координаты. Такая же ситуация и с другими функциями офисных технологий. 1.5. Технологии защиты данных Реализация функции защиты данных преследует две цели: - обеспечение целостности данных, т. е. сохранности информации как таковой; - охрана данных от несанкционированного доступа. Обеспечение целостности данных предусматривает прежде всего сохранение неизменными (или в допустимом диапазоне) тех свойств носителя информации, которые обеспечивают ее фиксирование и хранение в одном и том же виде в течение требуемого интервала времени. Это относится к таким материально-вещественным носителям, как бумага, магнитные пленки и диски, различные проекционные материалы (фотопленки, слайды, микрофиши и т. п.), оптические диски. Их сохранность обеспечивается соблюдением надлежащих условий хранения и использования, вытекающих из физико-химических свойств носителей. Иначе обстоит дело в тех случаях, когда носителем является передающая среда систем коммуникаций. Здесь целостность передаваемых данных во многом зависит от надежности используемых средств связи и задействованных при передаче информации технологий. В подавляющем большинстве случаев эти технологии либо реализуются предприятиями связи, находящимися вне офиса, либо выполняются автоматически соответствующей коммуникационной аппаратурой. Охрана данных от несанкционированного доступа предусматривает защиту как носителей, так и самих данных. Защита материально-вещественных носителей обеспечивается определенной системой работы с ними, когда все офисные технологии, связанные с ними, выполняются таким образом, чтобы ограничить или вовсе запретить доступ к ним. Реализация такого режима связана в основном с мерами организационного характера и выступает в форме специальной регламентации уже рассмотренных офисных технологий практически для всех их функций. Что касается охраны от несанкционированного доступа передающей среды систем коммуникаций, то здесь в основном используются методы и технологии защиты каналов связи, реализуемые специальными техническими средствами и службами. Защита от несанкционированного доступа собственно данных достаточно разнообразна и может предусматривать: - криптографические средства как при хранении и использовании данных (программы шифровки и дешифровки), так и при их передаче (например, скремблирование); - условный доступ, когда для использования данных необходимо выполнение определенных требований (задание имени и пароля, соблюдение временных ограничений, выполнение определенных организационных процедур и т. п.). Выводы по разделу Офисная деятельность - это определенным образом организованная в пространстве и времени совокупность действий множества людей (персонала), реализация которых обеспечивает условия эффективного выполнения управленческой деятельности для конкретной системы, управления. Управленческое решение принимается тогда, когда выявлена та или иная управленческая проблема, проблемная ситуация, т. е. такое положение, когда при наличии данного, существующего состояния управляемого объекта (процесса) возникает необходимость другого, поскольку сохранение данного состояния мешает нормальному его функционированию, совершенствованию и развитию Состав специалистов, выполняющих задачи в рамках офисной деятельности, определяется необходимым ее объемом в конкретных пространственных и временных конфигурациях управленческой деятельности соответствующими нормативными документами (квалификационными справочниками) и может включать в себя как собственно управленческий персонал (лиц, принимающих и готовящих решения), так и персонал, обеспечивающий информационную и организационную поддержку процесса выработки и принятия решения. Квалификация офисного персонала определяется, прежде всего, наличием соответствующей профессиональной подготовки. Определение цели, задачи (или задач) офисной деятельности определяется ее содержанием как процесса, обеспечивающего эффективную реализацию управленческой деятельности в рамках конкретной системы управления. Офисная технология - информационная технология, объект и результат которой определяются потребностями реализации управленческой деятельности в рамках конкретной формы осуществления офисной деятельности (офиса). Реализация функции защиты данных преследует две цели: - обеспечение целостности данных, т. е. сохранности информации как таковой; - охрана данных от несанкционированного доступа. Защита от несанкционированного доступа собственно данных достаточно разнообразна и может предусматривать: - криптографические средства как при хранении и использовании данных (программы шифровки и дешифровки), так и при их передаче (например, скремблирование); - условный доступ, когда для использования данных необходимо выполнение определенных требований (задание имени и пароля, соблюдение временных ограничений, выполнение определенных организационных процедур и т. п.). 2 ОСНОВНЫЕ НАПРАВЛЕНИЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ РЕСУРСОВ 2.1. Информационная безопасность предпринимательской деятельности В современной российской рыночной экономике обязательным условием успеха предпринимателя в бизнесе, получения прибыли и сохранения в целостности созданной им организационной структуры является обеспечение экономической безопасности его деятельности. Безопасность в широком смысле определяется как состояние защищенности чего-либо от различных опасностей, состояние, при котором есть реальная гарантия сохранения этого состояния на протяжении определенного времени. По сути это сформированная концепция построения любой системы защиты. Экономическая безопасность предпринимательской деятельности предусматривает защищенность интеллектуальной собственности и интересов предприятия или предпринимателя независимо от масштаба их присутствия в конкретной сфере бизнеса. Экономическая безопасность характеризуется сложной иерархической структурой, включающей в качестве основных частей правовую безопасность, маркетинговую безопасность, информационную безопасность и физическую безопасность предприятия. Все части являются обязательными и формируют модель защищенности производственных и коммерческих интересов предпринимателя. Правовая безопасность требует построения программной схемы решения вопросов, связанных с обеспечением законности деятельности предпринимателя, соблюдения им правовых норм при организации функционирования предприятия, составлении и ведении документации, патентовании технических и технологических новшеств, принятии решений, построении деловых связей, защите информации и в других случаях. Маркетинговая безопасность предполагает формирование программы ведения аналитических исследований рынка, деловых интересов добросовестных конкурентов, анализ направленности интересов недобросовестных конкурентов и криминальной среды, организации разведки в бизнесе, аналитической работы по выявлению экономических угроз предприятию, каналов утраты ценной информации, расчета экономической целесообразности системы защиты информации, ее стоимости и других главных направлений деятельности предприятия. Физическая безопасность предусматривает формирование и совершенствование системы охраны территории, здания, помещений, транспорта, продукции, персонала предприятия, расширения использования технических средств охраны, сигнализации и информирования, регламентацию действий персонала в экстремальных ситуациях и других соответствующих мероприятий. Одной из составных частей экономической безопасности является информационная безопасность, направленная на разработку и актуализацию программы построения аналитической работы по определению состава ценной информации предприятия, угроз информации, по формированию системы защиты информации в традиционном и электронном документооборотах, защиты информации от персонала, защиты информации в технических каналах распространения информации и т. д. Проблемы информационной безопасности становятся все более сложными и практически значимыми в связи с массовым переходом информационных технологий в управлении на безбумажную автоматизированную основу. Раньше главная опасность состояла в краже документов и разглашении информации сотрудниками, что могло быть достаточно легко выявлено. В наши дни широко развито незаконное оперирование электронными документами в компьютерных базах данных, копирование электронной информации без фактической кражи носителя информации. Обнаружить подобную кражу практически крайне сложно. Информационная безопасность носит концептуальный (программный) характер и предполагает регламентацию решения комплекса задач поддержания безопасности информационных ресурсов предприятия (фирмы). Часто информационная безопасность понимается как совокупность задач, требований по сохранению в тайне интеллектуальных секретов фирмы. Следует помнить, что любой материальный объект, любое новшество объективно отражается в нашем сознании в виде совокупности информационных характеристик. Под безопасностью информационных ресурсов (информации) понимается защищенность информации во времени и пространстве от любых объективных и субъективных угроз (опасностей), возникающих в обычных условиях функционирования фирмы и условиях экстремальных ситуаций: стихийных бедствий, других неуправляемых событий, пассивных и активных попыток злоумышленника создать потенциальную или реальную угрозу несанкционированного доступа к документам, делам, базам данных. Безопасность информации на любых носителях трактуется как состояние ее защищенности от случайных и преднамеренных несанкционированных воздействий естественного и искусственного свойства, направленных на уничтожение, разрушение, видоизменение тех или иных данных, изменение степени доступности ценных сведений. Необходимый уровень безопасности информационных ресурсов определяется в процессе различных аналитических исследований, которые предопределяют структуру и требуемую эффективность системы защиты этих ресурсов с учетом финансовых возможностей фирмы. Политика (концепция, программа) информационной безопасности фирмы практически реализуется комплексом направлений и методов защиты информации, обеспечивающим ее безопасность. Защита информации представляет собой жестко регламентированный и динамичный технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности ценных информационных ресурсов и в конечном счете обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности фирмы. Если программа информационной безопасности отражает предполагаемую идеальную защищенность информации, то защита информации - это реальная динамичная модель решения задач, поставленных в программе. Предполагается, что защита информации осуществляется прежде всего от несанкционированного доступа к ней постороннего лица, который в результате этого доступа имеет возможность похитить информацию, уничтожить носитель, фальсифицировать сведения, произвести подмену документов или совершить иные злоумышленные действия. Следовательно, информационная безопасность, безопасность информации и защита информации связаны единой целью, решаемыми задачами и последовательной реализацией их в условиях необходимости обеспечения экономической безопасности предприятия. 2.2. Информационные ресурсы, продукты и услуги В соответствии с Федеральным законом «Об информации, информатизации и защите информации» информационные ресурсы предприятия, организации, учреждения, банка, компании и других государственных и негосударственных, в том числе предпринимательских, структур (далее по тексту - фирмы) включают в себя отдельные документы и отдельные массивы документов (дела), документы и комплексы документов в информационных системах (библиотеках, архивах, фондах, банках данных компьютеров и других информационных системах) на любых носителях, в том числе обеспечивающих работу вычислительной и организационной техники. Информационные ресурсы формируются в процессе создания и распространения исходной и производной информации. Этот процесс сопровождает любую производственную и управленческую деятельность в государственной и негосударственной сферах, а также жизнь гражданина. Для информационных ресурсов характерен ретроспективный аспект, что определяется технологической завершенностью их возникновения. Информационные ресурсы (информация) являются объектами отношений физических и юридических лиц между собой и с государством, составляют в совокупности информационные ресурсы России и охраняются законом наряду с другими видами ресурсов. Информация, которая используется предпринимателем в бизнесе и управлении фирмой, является его собственной или частной информацией. Такая информация составляет интеллектуальную собственность предпринимателя. К интеллектуальной собственности (интеллектуальному продукту) как результату творческого труда относят коммерчески ценную идею, технические, технологические (ноу-хау) и научные (ноу-ноу) новшества, оригинальные методы управления, организации бизнеса и другие достижения. Информация как результат творчества может быть не только предметом интеллектуальной собственности, но и отражать характеристики, свойственные объекту интеллектуальной собственности. Практическая реализация концепции информационных ресурсов связана с распространением информации путем подготовки информационных продуктов и предоставления информационных услуг. Информационные продукты - документированная информация, подготовленная в соответствии с потребностями пользователей и предназначенная или применяемая для удовлетворения потребностей пользователей. Информационные услуги - действия субъектов (собственников и владельцев ресурсов) по обеспечению пользовате лей информационными продуктами. Правовой режим информационных ресурсов определяется нормами, устанавливающими: - порядок документирования информации; - право собственности на отдельные документы и отдельные массивы документов; - категорию информации по уровню доступа к ней; - порядок правовой охраны информации. Документирование информации (создание официального документа) является обязательным условием включения информации в информационные ресурсы. Но следует оговориться, что при формировании системы защиты информации нас интересует также информация, представленная в недокументированном виде - в виде звуковой волны, электромагнитного излучения и в другой форме. Документированная информация является комплексным понятием, основанным на ее двуединстве: с одной стороны, это информация (факты, данные, сведения), а с другой - материальный носитель. В процессе документирования информация (результат творческой работы человека) овеществляется, становится документом. Подобный подход к документированной информации представляется существенным при решении задач обеспечения безопасности информации и сохранности ее носителя. Следует учитывать, что документ может быть не только и даже не столько управленческим (деловым), имеющим в большинстве случаев текстовую, табличную или анкетную форму. Значительно большие объемы наиболее ценных документов представлены в изобразительной форме: конструкторские документы, картографические, научно-технические, документы на фотографических, магнитных и иных носителях. По принадлежности к тому или иному виду собственности информационные ресурсы могут быть государственными или негосударственными и как элемент состава имущества находиться в собственности граждан, органов государственной власти, исполнительных органов, органов местного самоуправления, государственных учреждений, организаций и предприятий, общественных объединений, предпринимательских структур. Защите, охране подлежит любая ценная документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю или иному лицу. Ценность информации может быть стоимостной категорией и характеризовать конкретный размер прибыли при ее использовании или размер убытков при ее утрате. Информация часто становится ценной ввиду ее правового значения для фирмы или развития бизнеса, например учредительные документы, программы и планы, договоры с партнерами и посредниками и т. д. Ценность может проявляться в ее перспективном научном, техническом или технологическом значении. Обычно выделяются два вида информации, интеллектуально ценной для предпринимателя: - техническая, технологическая: методы изготовления продукции, программное обеспечение, производственные показатели, химические формулы, рецептуры, расчеты, результаты испытаний опытных образцов, данные контроля качества и т. п.; - деловая: стоимостные показатели, результаты исследования рынка, списки клиентов, экономические прогнозы, стратегия действий на рынке и т. п. Ценная информация охраняется нормами права (патентного, авторского, смежных прав и др.), товарным знаком или защищается включением ее в категорию информации, составляющей тайну фирмы. Процесс выявления и регламентации реального состава ценной информации, в том числе составляющей секреты фирмы, является основополагающей частью системы защиты информации. Состав этих сведений фиксируется в специальном перечне, закрепляющем факт отнесения их к защищаемой информации и определяющем период (срок) конфиденциальности (т. е. недоступности для всех) этих сведений, уровень (гриф) их конфиденциальности, список сотрудников фирмы, которым дано право использовать эти сведения в работе. В основе перечня лежит типовой состав защищаемых сведений фирм данного профиля. Перечень является постоянным рабочим материалом руководства фирмы, служб безопасности и конфиденциальной документации. Он представляет собой классифицированный список типовой и конкретной ценной информации о проводимых работах, производимой продукции, научных и деловых идеях, технологических новшествах. В перечень включаются действительно ценные сведения («изюминки») о каждой работе фирмы. Следует отметить, что нельзя ограничивать доступ к информации, относящейся к новой продукции, но не имеющей интеллектуальной ценности. Дополнительно может составляться перечень документов, в которых ценная информация отражается (документируется). В перечень включаются документы, представляющие ценность для фирмы и подлежащие охране. Часто обычный открытый правовой акт важно сохранить в целостности и безопасности от похитителя или стихийного бедствия. Перечни формируются индивидуально каждой фирмой в соответствии с рекомендациями специальной комиссии и утверждаются первым руководителем фирмы. Эта комиссия регулярно вносит текущие изменения в перечни в соответствии С динамикой выполнения фирмой конкретных работ. При заключении любого договора (контракта) стороны должны брать на себя взаимные письменные обязательства по защите конфиденциальной информации другой стороны и документов, полученных при переговорах, исполнении условий договора. Производственная или коммерческая ценность информации, как правило, недолговечна и определяется временем, необходимым конкуренту для выработки той же идеи или ее хищения и воспроизводства, а также временем до патентования, опубликования и перехода в число общеизвестных. Следовательно, информационные ресурсы, продукты и услуги, регламентирующие их правовые нормы интеллектуальной и вещной собственности на информацию, находят конкретное отражение в информационной модели каждой фирмы, построенной в соответствии с уровнем ценности циркулирующих сведений, которые обеспечивают управленческие и производственные функции. 2.3. Конфиденциальность как главное условие защиты информации от несанкционированного доступа В соответствии с интересами обеспечения национальной безопасности и степенью ценности для государства, а также правовыми, экономическими и другими интересами предпринимательских структур информационные ресурсы могут быть: а) открытыми, т. е. общедоступными, используемыми в работе без специального разрешения, публикуемыми в средствах массовой информации, оглашаемыми на конференциях, в выступлениях и интервью; б) ограниченного доступа и использования, т. е. содержащими сведения, составляющие тот или иной вид тайны (государственной, служебной, коммерческой, профессиональной и др.) и подлежащие защите, охране, наблюдению и контролю. Запрещается относить к информации ограниченного доступа: - законодательные и другие нормативные акты, устанавливающие правовой статус органов государственной власти, исполнительных органов, органов местного самоуправления, организаций, общественных объединений, а также права, свободы и обязанности граждан, порядок их реализации; - документы, содержащие информацию о чрезвычайных ситуациях, экологическую, метеорологическую, демографическую, санитарно-эпидемиологическую и другую информацию, необходимую для обеспечения безопасного функционирования населенных пунктов, производственных объектов, безопасности граждан и населения в целом; - документы, содержащие информацию о деятельности органов государственной власти, исполнительных органов и органов местного самоуправления, об использовании бюджетных средств и других государственных и местных ресурсов, о состоянии экономики и потребностях населения, за исключением сведений, относящихся к государственной тайне; - документы, накапливаемые в открытых фондах библиотек и архивов, информационных системах органов государственной власти, исполнительных органов, органов местного самоуправления, организаций, общественных объединений, представляющие общественный интерес или необходимые для реализации прав, свобод и обязанностей граждан. Документированная информация ограниченного доступа всегда принадлежит к одному из видов тайны - государственной или негосударственной. В соответствии с этим документы делятся на секретные и несекретные. Обязательным признаком (критерием принадлежности) секретного документа является наличие в нем сведений, составляющих в соответствии с законодательством государственную тайну. Несекретные документы, включающие сведения, относимые к негосударственной тайне (служебной, коммерческой или предпринимательской, банковской, профессиональной, производственной и др.) или содержащие персональные данные граждан, именуются конфиденциальными. Несмотря на то что конфиденциальность является синонимом секретности, термин широко используется исключительно для обозначения информационных ресурсов ограниченного доступа, не отнесенных к государственной тайне. Конфиденциальность отражает ограничение, которое накладывает собственник информации на доступ к ней других лиц, т. е. собственник устанавливает правовой режим этой информации в соответствии с законом. Вместе с тем в соответствии с Федеральным законом Российской Федерации от 29 июля 2004 г. «О коммерческой тайне» к конфиденциальным документам нельзя относить: 1) сведения, содержащиеся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры; 2) сведения, содержащиеся в документах, дающих право на осуществление предпринимательской деятельности; 3) сведения о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов; 4) сведения о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом; 5) сведения о численности, составе работников, системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест; 6) сведения о задолженности работодателей по выплате заработной платы и по иным социальным выплатам; 7) сведения о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений; 8) сведения об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности; 9) сведения о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации; 10) сведения о перечне лиц, имеющих право действовать без доверенности от имени юридического лица; 11) сведения, обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами. Интеллектуально ценная информация не может существовать вне определенных предметных образований. Накопители ценных информационных ресурсов называются источниками (носителями, обладателями) информации. Они представляют собой пассивные концентраторы этой информации и включают в себя: - публикации о фирме и ее разработках; - рекламные издания, выставочные материалы; - документацию; - персонал фирмы и окружающих фирму людей; - физические поля, волны, излучения, сопровождающие работу вычислительной и другой офисной техники, различных приборов и средств связи. Источники содержат информацию как открытого, так и ограниченного доступа. Причем информация того и другого рода находится в едином информационном пространстве и разделить ее без тщательного содержательного анализа часто не представляется возможным. Например, систематизированная совокупность открытой информации в комплексе всегда содержит сведения ограниченного доступа. Документация как источник информации ограниченного доступа включает: - документацию, содержащую интеллектуально ценные, как правило, конфиденциальные сведения; - комплексы обычной деловой и научно-технической документации, содержащей общеизвестные сведения, организационно-правовые и распорядительные документы; - рабочие записи сотрудников, их служебные дневники, личные рабочие планы, переписку по производственным вопросам; - личные архивы сотрудников фирмы. В каждой из указанных групп могут быть: - документы на традиционных бумажных носителях (листах бумаги, ватмане, фотобумаге и т. п.); - документы на технических носителях (магнитных, фотопленочных и т. п.); - электронные документы, банки электронных документов, изображения документов на экране дисплея (видеограммы). При выполнении управленческих и производственных действий любая информация источника (в том числе информация ограниченного доступа) всегда распространяется во внешней среде. Тем самым увеличивается число опасных источников разглашения или утечки информации ограниченного доступа, источников, подлежащих учету и контролю. Каналы распространения информации носят объективный характер, отличаются активностью и включают в себя: - деловые, управленческие, торговые, научные и другие коммуникативные регламентированные связи; - документопотоки; - информационные сети; - естественные технические каналы излучения, создания фона. Канал распространения информации представляет собой путь перемещения сведений из одного источника в другой в санкционированном (разрешенном, законном) режиме или в силу объективных закономерностей. Например: передача документа исполнителю, обсуждение важного вопроса на закрытом совещании, запись на бумаге содержания изобретения, переговоры с потенциальным партнером, работа на ЭВМ и т. д. Следовательно, информационные ресурсы фирмы представляют собой динамичную категорию, что проявляется прежде всего в процессе документирования информации, объективном возникновении и расширении состава источников и каналов ее распространения. 2.4. Конфиденциальные документы Под конфиденциальным (закрытым, защищаемым) документом понимается необходимым образом оформленный носитель документированной информации, содержащий сведения ограниченного доступа или использования, которые составляют интеллектуальную собственность юридического или физического лица. Конфиденциальные документы не следует называть секретными или ставить на них гриф секретности, так как конфиденциальные и секретные документы отражают различные виды тайны. Конфиденциальные документы включают в себя: - в государственных структурах: служебную информацию ограниченного распространения, именуемую в чиновничьем обиходе информацией для служебного пользования, т. е. информацией, отнесенной к служебной тайне, а также документы, имеющие рабочий характер и не подлежащие публикации в открытой печати (проекты документов, сопутствующие материалы и др.); - в предпринимательских структурах и направлениях подобной деятельности: сведения, которые их собственник или владелец в соответствии с законодательством имеет право отнести к коммерческой (предпринимательской) тайне, тайне фирмы, тайне мастерства, другим видам негосударственной тайны; - независимо от принадлежности: любые персональные (личные) данные о гражданах, а также сведения, содержащие профессиональную тайну, технические и технологические новшества (до их патентования), тайну предприятий связи, сферы обслуживания и т. п. Особенностью конфиденциального документа является то, что он представляет собой одновременно: - массовый носитель ценной, защищаемой информации; - основной источник накопления и объективного распространения этой информации, а также ее неправомерного разглашения или утечки; - обязательный объект защиты. Конфиденциальность документов всегда имеет значительный разброс по срокам ограничения свободного доступа к ним персонала фирмы (от нескольких часов до значительного числа лет). Следует учитывать, что основная масса конфиденциальных документов после окончания их исполнения или работы с ними теряет свою ценность и конфиденциальность. Например, переписка до заключения контракта может иметь гриф конфиденциальности, но после его подписания этот гриф с письменного разрешения первог о руководителя фирмы снимается. Исполненные документы, сохранившие конфиденциальный характер и ценность для деятельности фирмы, формируются в дела в соответствии с номенклатурой дел. Период нахождения конфиденциальных документов в делах может быть кратковременным или долговременным в зависимости от ценности информации, содержащейся в документах дела. Период конфиденциальности документов определяется по указанному выше перечню конфиденциальных сведений и зависит от специфики деятельности фирмы. Например, производственные, научно-исследовательские фирмы обладают более ценными документами, чем торговые, посреднические и др. Документы долговременного периода конфиденциальности (программы и планы развития бизнеса, технологическая документация ноу-хау, ноу-ноу, изобретения и др.) имеют усложненный вариант обработки и хранения, обеспечивающий безопасность информации и ее носителя. Документы кратковременного периода конфиденциальности, имеющие оперативное значение для деятельности фирмы,- обрабатываются и хранятся по упрощенной схеме и могут не выделяться из технологической системы обработки открытых документов при наличии в этой системе минимальных защитных, контрольных и аналитических элементов. Следовательно, конфиденциальные документы характеризуются специфическими особенностями, которые отражают их сущность как носителей информации ограниченного доступа и определяют построение системы защиты этой информации. 2.5. Угрозы конфиденциальной информации Все информационные ресурсы фирмы постоянно подвергаются объективным и субъективным угрозам утраты носителя или ценности информации. Под угрозой, или опасностью, утраты информации понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных. Риск угрозы дестабилизирующего воздействия любым (открытым и ограниченного доступа) информационным ресурсам создают стихийные бедствия, экстремальные ситуации, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица. К угрозам, создаваемым этими лицами, относятся: несанкционированное уничтожение документов, ускорение угасания (старения) текста или изображения, подмена или изъятие документов, фальсификация текста или его части и др. Для информационных ресурсов ограниченного доступа диапазон угроз, предполагающих утрату информации (разглашение, утечку) или утерю носителя, значительно шире в результате того, что к этим документам проявляется повышенный интерес со стороны различного рода злоумышленников. Под злоумышленником понимается лицо, действующее в интересах конкурента, противника или в личных корыстных интересах (агентов иностранных спецслужб, промышленного и экономического шпионажа, криминальных структур, отдельных преступных элементов, лиц, сотрудничающих со злоумышленником, психически больных лиц и т. п.). В отличие от объективного распространения утрата информации влечет за собой незаконный переход конфиденциальных сведений, документов к субъекту, не имеющему права владения ими и использования в своих целях. Основной угрозой безопасности информационных ресурсов ограниченного распространения является несанкционированный (незаконный, неразрешенный) доступ злоумышленника или постороннего лица к документированной информации и как результат - овладение информацией и противоправное ее использование или совершение иных дестабилизирующих действий. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности фирмы (работники других организационных структур, работники коммунальных служб, экстремальной помощи, прохожие, посетители фирмы), а также сотрудники данной фирмы, не обладающие правом доступа в определенные помещения, к конкретному документу, информации, базе данных. Каждое из указанных лиц может быть злоумышленником или его сообщником, агентом, но может и не быть им. Целями и результатами несанкционированного доступа может быть не только овладение ценными сведениями и их использование, но и их видоизменение, модификация, уничтожение, фальсификация, подмена и т. п. Обязательным условием успешного осуществления попытки несанкционированного доступа к информационным ресурсам ограничейного доступа является интерес к ним со стороны конкурентов, определенных лиц, служб и организаций. При отсутствии такого интереса угроза информации не возникает даже в том случае, если создались предпосылки для ознакомления с ней постороннего лица. Основным виновником несанкционированного доступа к информационным ресурсам является, как правило, персонал, работающий с документами, информацией и базами данных. При этом надо иметь в виду, что утрата информации происходит в большинстве случаев не в результате преднамеренных действий злоумышленника, а из-за невнимательности и безответственности персонала. Следовательно, утрата информационных ресурсов ограниченного доступа может наступить при: - наличии интереса конкурента, учреждений, фирм или лиц к конкретной информации; - возникновении риска угрозы, организованной злоумышленником, или при случайно сложившихся обстоятельствах; - наличии условий, позволяющих злоумышленнику осуществить необходимые действия и овладеть информацией. Эти условия могут включать: - отсутствие системной аналитической и контрольной работы по выявлению и изучению угроз, каналов и степени риска нарушений безопасности информационных ресурсов; - неэффективную систему защиты информации или отсутствие этой системы, что образует высокую степень уязвимости информации; - непрофессионально организованную технологию обработки и хранения конфиденциальных документов; - неупорядоченный подбор персонала и текучесть кадров, сложный психологический климат в коллективе; - отсутствие системы обучения сотрудников правилам защиты информации ограниченного доступа; - отсутствие контроля со стороны руководства фирмы за соблюдением персоналом требований нормативных документов по работе с информационными ресурсами ограниченного доступа; - бесконтрольное посещение помещений фирмы посторонними лицами. Следует всегда помнить, что факт документирования резко увеличивает риск угрозы информации. Великие мастера прошлого никогда не записывали секреты своего искусства, а передавали их устно сыну, ученику. Поэтому тайна изготовления многих уникальных предметов того времени так и не раскрыта до наших дней. Следовательно, угрозы конфиденциальной информации всегда реальны, отличаются большим разнообразием и создают предпосылки для утраты информации. Источники угрозы информации конкретной фирмы должны быть хорошо известны. В противном случае нельзя профессионально построить систему защиты информации. 2.6. Каналы утраты информации Угрозы сохранности, целостности и конфиденциальности информационных ресурсов ограниченного доступа практически реализуются через риск образования канала несанкционированного получения (добывания) кем-то ценной информации и документов. Этот канал представляет собой совокупность незащищенных или слабо защищенных фирмой направлений возможной утраты конфиденциальной информации, которые злоумышленник использует для получения необходимых сведений, преднамеренного незаконного доступа к защищаемой информации. Каждая конкретная фирма обладает своим набором каналов несанкционированного доступа к информации, что зависит от множества моментов - профиля деятельности, объемов защищаемой информации, профессионального уровня персонала, местоположения здания и т. п. Функционирование канала несанкционированного доступа к информации обязательно влечет за собой утрату информации или исчезновение носителя информации. В том случае, когда речь идет об утрате информации по вине персонала, используется термин «разглашение (огласка) информации». Человек может разглашать информацию устно, письменно, с помощью жестов, мимики, условных сигналов, лично, через посредников, по каналам связи и т. д. Термин «утечка информации», хотя и используется наиболее широко, однако в большей степени относится, по нашему мнению, к утрате информации за счет ее перехвата с помощью технических средств разведки, по техническим каналам. Утрата информации характеризуется двумя условиями, а именно информация переходит: а) непосредственно к заинтересованному лицу - конкуренту, злоумышленнику или б) к случайному, третьему лицу. Под третьим лицом в данном случае понимается любое постороннее лицо, получившее информацию во владение в силу обстоятельств или безответственности персонала, не обладающее правом владения ею и, что очень важно, не заинтересованное в этой информации. Однако от третьего лица информация может легко перейти к злоумышленнику. Переход информации к третьему лицу представляется достаточно частым явлением и его можно назвать непреднамеренным, стихийным, хотя при этом факт разглашения информации, нарушения ее безопасности имеет место. Возникает так называемый случайный, стихийный канал утраты информации. Непреднамеренный переход информации к третьему лицу возникает в результате: - утери или неправильного уничтожения документа, пакета с документами, дела, конфиденциальных записей; - игнорирования или умышленного невыполнения сотрудником требований по защите документированной информации; - излишней разговорчивости сотрудников при отсутствии злоумышленника (с коллегами по работе, родственниками, друзьями, иными лицами в местах общего пользования, транспорте и т. п.); - работы с документами ограниченного доступа при посторонних лицах, несанкционированной передачи их другому сотруднику; - использования сведений ограниченного доступа в открытой документации, публикациях, интервью, личных записях, дневниках и т. п.; - отсутствия маркировки (грифования) информации и документов ограниченного доступа (в том числе документов на технических носителях); - наличия в конфиденциальных документах излишней информации ограниченного доступа; - самовольного копирования сотрудником документов в служебных или коллекционных целях. В отличие от третьего лица злоумышленник или его сообщник целенаправленно стремятся овладеть конкретной информацией и преднамеренно, противоправно устанавливают контакт с источником этой информации или преобразуют канал ее объективного распространения в канал ее разглашения или утечки. Каналы утраты информации в условиях хорошо построенной системы защиты информации формируются злоумышленником. При плохо построенной системе выбираются им из множества возможных каналов. В любом случае такие каналы всегда являются тайной злоумышленника. Каналы несанкционированного доступа, утраты информации могут быть двух типов: организационные и технические. Обеспечиваются они легальными и нелегальными методами. Организационные каналы разглашения информации отличаются большим разнообразием видов и основаны на установлении разнообразных, в том числе законных, взаимоотношений злоумышленника с фирмой или ее сотрудником для последующего несанкционированного доступа к интересующей информации. Основными видами организационных каналов могут быть: - поступление злоумышленника на работу в фирму, как правило, на техническую, второстепенную должность (оператором ЭВМ, секретарем, дворником, слесарем, охранником, шофером и т. п.); - участие в работе фирмы в качестве партнера, посредника, клиента, использование разнообразных обманных способов; - поиск злоумышленником сообщника (инициативного помощника), работающего в интересующей его фирме, который становится его соучастником; - установление злоумышленником доверительных взаимоотношений с сотрудником учреждения, фирмы или посетителем, сотрудником другого учреждения, обладающим интересующими злоумышленника сведениями; - использование коммуникативных связей фирмы - участие в переговорах, совещаниях, переписке с фирмой и др.; - использование ошибочных действий персонала или умышленное провоцирование злоумышленником этих действий; - тайное или по фиктивным документам проникновение в здание фирмы и помещения, криминальный, силовой доступ к информации, т. е. кража документов, дискет, дисков, компьютеров, шантаж и склонение к сотрудничеству отдельных сотрудников, подкуп сотрудников, создание экстремальных ситуаций и т. п.; - получение нужной информации от третьего (случайного) лица. Организационные каналы находятся или формируются злоумышленником индивидуально в соответствии с его профессиональным умением оценивать конкретную ситуацию, сложившуюся в фирме, и прогнозировать их крайне сложно. Обнаружение организационных каналов требует проведения серьезной аналитической работы. Техническое обеспечение офисных технологий создает широкие возможности несанкционированного получения ценных сведений. Любая управленческая деятельность всегда связана с обсуждением ценной информации в кабинетах или по линиям связи, проведением расчетов и анализа ситуаций на ЭВМ, изготовлением, размножением документов и т. п. Технические каналы утечки информации возникают при использовании злоумышленником специальных технических средств промышленного шпионажа, позволяющих получать защищаемую информацию без непосредственного контакта с персоналом фирмы, документами, делами и базами данных. Технический канал представляет собой физический путь утечки информации от источника или канала объективного распространения информации к злоумышленнику. Канал возникает при анализе злоумышленником физических полей и излучений, появляющихся в процессе работы вычислительной и другой офисной техники, при перехвате информации, имеющей звуковую, визуальную или иную форму отображения. Основными техническими каналами являются: акустический, визуально-оптический, электромагнитный и др. Это каналы прогнозируемые, носят стандартный характер и перекрываются стандартными средствами противодействия. При построении системы защиты информации фирмы часто не учитывают опасность этих каналов или пренебрегают ими, так как стоимость средств перекрытия этих каналов требует больших затрат. Акустический канал возникает за счет образования звуковой волны в кабинетах руководителей при ведении переговоров, залах заседаний в процессе совещаний, в рабочих помещениях при диктовке документов и в других подобных случаях. В процессе разговора, даже негромкого, мы «сотрясаем воздух», и это сотрясение передается окружающим нас предметам. Звуковая волна заставляет вибрировать стекла в окнах, стеновые панели, элементы отопительных систем, вентиляционные пространства и другие предметы. Звук распространяется всегда по множеству путей. Возникшие колебания можно сканировать с помощью специальной техники с этих предметов и на достаточно большом расстоянии преобразовывать в слышимый звук. Акустический канал может образовываться также за счет «микрофонного эффекта», свойственного механическому воздействию звуковой волны на электродинамики радио- и телевизионной аппаратуры, динамики радиотрансляции, реле в холодильниках, электрозвонках и других приборах. Например, при подключении к электродинамикам любого типа можно за пределами офиса фирмы (вне контролируемой зоны) прослушивать помещения и вести запись переговоров. Визуальный, или визуально-оптический, канал связан с наблюдением за зданием, помещениями и персоналом фирмы с помощью оптических приборов, позволяющих, например, читать информацию на дисплее, оценивать действия персонала охраны, идентифицировать сотрудников, иногда читать документы на их рабочих столах, знакомиться с системами хранения документов и т. д. Наблюдение за помещениями фирмы всегда сопровождается фото- и видеозаписью. Электромагнитные каналы сопровождают работу средств радиосвязи, радиотелефонов, бытовой и производственной видеотехники, компьютеров, диктофонов и других подобных приборов. Обычным и профессионально грамотным является творческое сочетание в действиях злоумышленника каналов обоих типов, например установление доверительных отношений с сотрудником фирмы или лицом, проживающим рядом со зданием фирмы, и перехват с его помощью информации по техническим каналам. Вариантов и сочетаний каналов может быть множество. Изобретательность грамотного злоумышленника не знает предела, поэтому риск утраты информации всегда достаточно велик. При эффективной системе защиты информации фирмы злоумышленник разрушает отдельные элементы защиты и формирует необходимый ему канал получения информации. В целях практической реализации поставленных задач злоумышленник определяет не только каналы несанкционированного доступа к информации фирмы, но и совокупность методов получения этой информации. Легальные методы входят в содержание понятий «невинного шпионажа» и «разведки в бизнесе», отличаются правовой безопасностью и, как правило, предопределяют возникновение интереса к конкурирующей фирме. В соответствии с этим может появиться необходимость использования каналов несанкционированного доступа к требуемой информации. В основе «невинного шпионажа» лежит кропотливая аналитическая работа специалистов-экспертов над опубликованными и общедоступными материалами конкурирующей фирмы. Одновременно изучаются продукция фирмы, рекламные издания, сведения, полученные в процессе официальных и неофициальных бесед и переговоров с сотрудниками фирмы, материалы пресс-конференций, презентаций фирмы и продукции научных симпозиумов и семинаров, сведения, получаемые из информационных сетей. При комплексном системном анализе этих материалов появляется возможность формирования из разрозненных и в отдельности неконфиденциальных сведений достаточно полной картины, отражающей имеющиеся в фирме секреты. Этот процесс аналогичен принципу мозаики, когда из множества сегментов складывается определенная картинка. Легальные методы дают злоумышленнику основную массу интересующей его информации и позволяют определить состав отсутствующих защищаемых сведений, которые предстоит добыть нелегальными методами. Нелегальные методы получения ценной информации всегда носят незаконный характер и используются в целях доступа к защищаемой информации, которую невозможно получить легальными способами. В основе нелегального получения информации леж и т поиск злоумышленником существующих в фирме и наиболее эффективных в конкретных условиях незащищенных организационных и технических каналов несанкционированного доступа к информации, формирование таких каналов при их отсутствии и реализация плана практического комплексного использования этих каналов. Нелегальные методы предполагают: воровство, продуманный обман, подслушивание разговоров, подделку идентифицирующих документов, взяточничество, инсценирование или организацию экстремальных ситуаций, использование различных криминальных приемов и т. д. В процессе реализации нелегальных методов часто образуется агентурный канал добывания ценной информации, т. е. преступное сотрудничество злоумышленников или злоумышленника и его сообщников. К нелегальным методам относятся также: перехват информации, объективно распространяющейся по техническим каналам (акустическому, электромагнитному и др.), визуальное наблюдение за помещениями фирмы и персоналом, анализ продуктов и объектов, содержащих следы защищаемой информации, анализ архитектурных особенностей объектов защиты, анализ отходов производства, мусора, выносимого из офиса. Незаконный характер перехвата информации по техническим каналам, так же как и изучение общедоступных источников, определяется не процессом, а целью этих действий злоумышленника. В результате эффективного использования каналов несанкционированного доступа к информации ограниченного доступа и разнообразных методов ее добывания злоумышленник получает: - подлинник или официальную копию документа (бумажного, машиночитаемого, электронного), содержащего информацию ограниченного доступа; - несанкционированно, нелегально сделанную копию этого документа (рукописную или изготовленную с помощью копировального аппарата, фототехники, компьютера и т. п.); - диктофонную, магнитофонную или видеокассету с записью текста документа, переговоров, совещания; - письменное или устное изложение за пределами фирмы содержания документа, ознакомление с которым осуществлялось санкционированно или тайно; - устное изложение текста документа по телефону, мобильной связи, переговорному устройству, специальной радиосвязи и т. п.; - аналог документа, переданного по факсимильной связи или электронной почте; - речевую или визуальную запись текста документа, выполненную с помощью технических средств разведки (радиозакладок, встроенных микрофонов и видеокамер, микрофотоаппаратов, фотографирования с большого расстояния). Получение ценных документов или информации ограниченного доступа может быть единичным явлением или регулярным процессом, протекающим на протяжении относительно длительного времени. Длительность этого процесса является наиболее предпочтительной, поэтому каналы несанкционированного доступа всегда носят тайный характер. Следовательно, любые информационные ресурсы фирмы являются весьма уязвимой категорией, и при интересе, возникшем к ним со стороны злоумышленника, опасность их утраты становится достаточно реальной. Безопасность информации в современных условиях компьютеризации информационных процессов имеет принципиальное значение для предотвращения незаконного и часто преступного использования ценных сведений . Выводы поразделу Безопасность информационных ресурсов (информации) - защищенность информации во времени и пространстве от любых объективных и субъективных угроз (опасностей), возникающих в обычных условиях функционирования фирмы и условиях экстремальных ситуаций: стихийных бедствий, других неуправляемых событий, пассивных и активных попыток злоумышленника создать потенциальную или реальную угрозу несанкционированного доступа к документам, делам, базам данных. Политика (концепция, программа) информационной безопасности фирмы практически реализуется комплексом направлений и методов защиты информации, обеспечивающим ее безопасность. Информационная безопасность, безопасность информации и защита информации связаны единой целью, решаемыми задачами и последовательной реализацией их в условиях необходимости обеспечения экономической безопасности предприятия. Информационные ресурсы (информация) являются объектами отношений физических и юридических лиц между собой и с государством, составляют в совокупности информационные ресурсы России и охраняются законом наряду с другими видами ресурсов. Документированная информация является комплексным понятием, основанным на ее двуединстве: с одной стороны, это информация (факты, данные, сведения), а с другой - материальный носитель. В процессе документирования информация (результат творческой работы человека) овеществляется, становится документом. Подобный подход к документированной информации представляется существенным при решении задач обеспечения безопасности информации и сохранности ее носителя. Документ может быть не только и даже не столько управленческим (деловым), имеющим в большинстве случаев текстовую, табличную или анкетную форму. Значительно большие объемы наиболее ценных документов представлены в изобразительной форме: конструкторские документы, картографические, научно-технические, документы на фотографических, магнитных и иных носителях. По принадлежности к тому или иному виду собственности информационные ресурсы могут быть государственными или негосударственными и как элемент состава имущества находиться в собственности граждан, органов государственной власти, исполнительных органов, органов местного самоуправления, государственных учреждений, организаций и предприятий, общественных объединений, предпринимательских структур. Защите, охране подлежит любая ценная документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю или иному лицу. Ценная информация охраняется нормами права (патентного, авторского, смежных прав и др.), товарным знаком или защищается включением ее в категорию информации, составляющей тайну фирмы. Документированная информация ограниченного доступа всегда принадлежит к одному из видов тайны - государственной или негосударственной. В соответствии с этим документы делятся на секретные и несекретные. Обязательным признаком (критерием принадлежности) секретного документа является наличие в нем сведений, составляющих в соответствии с законодательством государственную тайну. Несекретные документы, включающие сведения, относимые к негосударственной тайне (служебной, коммерческой или предпринимательской, банковской, профессиональной, производственной и др.) или содержащие персональные данные граждан, именуются конфиденциальными. Конфиденциальный (закрытый, защищаемый) документ- необходимым образом оформленный носитель документированной информации, содержащий сведения ограниченного доступа или использования, которые составляют интеллектуальную собственность юридического или физического лица. Конфиденциальность документов всегда имеет значительный разброс по срокам ограничения свободного доступа к ним персонала фирмы (от нескольких часов до значительного числа лет). Угроза утраты информации - единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных. Каждая конкретная фирма обладает своим набором каналов несанкционированного доступа к информации, что зависит от множества моментов - профиля деятельности, объемов защищаемой информации, профессионального уровня персонала, местоположения здания и т. п. Утрата информации характеризуется двумя условиями, а именно информация переходит: а) непосредственно к заинтересованному лицу - конкуренту, злоумышленнику или б) к случайному, третьему лицу. 3 ОРГАНИЗАЦИЯ ИНЖЕНЕРНО- ТЕХНИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ 3.1. Общие положения по инженерно-технической защите информации в организациях Рассмотренные ранее вопросы создают теоретическую базу для построения, модификации и эксплуатации системы защиты информации. Любая система создается под заданные требования с учетом существующих ограничений. Факторы, влияющие на структуру и функционирование системы, называются системообразующими. К ним относятся: - перечни защищаемых сведений, составляющих государственную (по тематике государственного заказа, если он выполняется организацией) и коммерческую тайну; - требуемые уровни безопасности информации, обеспечение которых не приведет к превышению ущерба над затратами на защиту информации; - угрозы безопасности информации: - ограничения, которые надо учитывать при создании или модернизации системы защиты информации; - показатели, по которым будет оцениваться эффективность системы защиты. Структура и алгоритм функционирования системы защиты организации определяются в руководящих, нормативных и методических документах. К руководящим документам относятся: - руководство (инструкция) по защите информации в организации; - положение о подразделении организации, на которое возлагаются задачи по обеспечению безопасности информации; - инструкции по работе с грифованными документами; - инструкции по защите информации о конкретных изделиях: В различных организациях эти документы могут иметь разные наименования, отличающиеся от указанных. Но сущность этих документов остается неизменной, так как необходимость в них объективна. Порядок защиты информации в организации определяется соответствующим руководством (инструкцией). Оно может содержать следующие разделы: - общие положения; - перечень охраняемых сведений; - демаскирующие признаки объектов организации; - демаскирующие вещества, создаваемые в организации; - оценки возможностей органов и средств добывания информации, организационные и технические мероприятия по защите информации; - порядок планирования раб от службы безопасности; - порядок взаимодействия с государственными органами, решающими задачи по защите материальной и интеллектуальной собственности, государственной и коммерческой тайны. Но в данном руководстве нельзя учесть всех особенностей защиты информации в конкретных условиях. В любой организации постоянно меняется ситуация с источниками и носителями конфиденциальной информации угрозами ее безопасности. Например, появлению нового товара на рынке предшествует большая работа, включающая различные этапы и стадии: проведение исследований, разработка лабораторных и действующих макетов, создание опытного образца и его доработка по результатам испытаний, подготовка производства (документации, установка дополнительного оборудования, изготовление оснастки - специфических средств производства, необходимых для реализации технологических процессов), изготовление опытной серии для выявления спроса на товар, массовый выпуск продукции. На каждом этапе и стадии к работе подключаются новые люди, разрабатываются новые документы, создаются узлы и блоки с информативными для них демаскирующими признаками. Созданию каждого изделия или самостоятельного документа сопутствует свой набор информационных элементов, их источников и носителей, угроз и каналов утечки информации, проявляющиеся в различные моменты времени. Для защиты информации об изделии на каждом этапе его создания разрабатывается соответствующая инструкция. Инструкция должна содержать необходимые для обеспечения безопасности информации сведения, в том числе: общие сведения о наименовании образца, защищаемые сведения и демаскирующие признаки, потенциальные угрозы безопасности информации, замысел и меры по защите, порядок контроля (задачи, органы контроля, имеющие право на проверку, средства контроля, допустимые значения контролируемых параметров, условия и методики, периодичность и виды контроля), фамилии лиц. ответственных за безопасность информации. Основным нормативным документом является перечень сведений, составляющих государственную, военную, коммерческую или любую другую тайну. Перечень сведений, содержащих государственную тайну, основывается на положениях закона «О государственной тайне» [31]. Перечни подлежащих защите сведений этого закона конкретизируются ведомствами применительно к тематике конкретных организаций. В коммерческих структурах, выполняющих государственные заказы, перечни распространяются на информацию, относящуюся к этому заказу. Перечни сведений, составляющих комическую тайну, составляются руководством фирмы при участии сотрудников службы безопасности. Другие нормативные документы определяют максимально допустимые значения уровней полей с информацией и концентрации демаскирующих веществ на границах контролируемой зоны, которые обеспечивают требуемый уровень безопасности информации. Эти нормы разрабатываются соответствующими ведомствами, а для коммерческих структур, выполняющих негосударственные заказы, - специалистами этих структур. Работа по защите информации в организации проводится всеми сотрудниками, но степень участия различных категорий существенно отличается. Любой сотрудник, подписавший обязательство о неразглашении тайны участвует в защите информации хотя бы путем выполнения руководящих документов о защите информации. Ответственность за состояние защиты информации возлагается на соответствующее подразделение и лиц службы безопасности. Применительно к типовой структуре службы безопасности коммерческой структуры инженерно-техническая защита обеспечивается группой инженерно-технической защиты, которая, как вариант, может состоять из старшего инженера (инженера) - руководителя группы и инженера (техника) по специальным измерениям. Основные задачи группы : - обследование выделенных помещений с целью установления потенциально возможных каналов утечки конфиденциальной информации через технические средства, конструкции зданий и оборудования; - выявление и оценка степени опасности технических каналов утечки информации; - разработка мероприятий по ликвидации (предотвращению утечки) потенциальных каналов утечки информации; - организация контроля (в том числе и инструментального) за эффективностью принятых защитных мероприятий, анализ результатов контроля и разработка предложений по повышению надежности и эффективности мер защиты; - подготовка заявок на приобретение технических средств защиты информации, участие в их установке, эксплуатации и контроле состояния. Кроме того, на группу инженерно-технической защиты информации целесообразно возложить также технические вопросы охраны носителей информации. 3.2 Организационные и технические меры по инженерно- технической защите информации В организациях работа по инженерно-технической защите информации включает два этапа: - построение или модернизация системы защиты; - поддержание защиты информации на требуемом уровне. Построение системы защиты информации проводится во вновь создаваемых организациях, в остальных - модернизация существующей. Построение (модернизация) системы защиты информации и поддержания на требуемом уровне ее защиты в организации предусматривают проведение следующих основных работ: - уточнение перечня защищаемых сведений в организации, определение источников и носителей информации, выявление и оценка угрозы ее безопасности; - определение мер по защите информации, вызванных изменениями целей и задач защиты, перечня защищаемых сведений, угроз безопасности информации; - контроль эффективности мер по инженерно-технической защите информации в организации. Меры по защите информации целесообразно разделить на 2 группы: организационные и технические. В публикациях, в том числе в некоторых руководящих документах, меры по защите делят на организационные, организационно-технические и технические. Учитывая отсутствие достаточно четкой границы между организационно-техническими и организационными, организационно-техническими и техническими мерами, целесообразно ограничиться двумя группами: организационными и техническими. При такой классификации к техническим относятся меры, реализуемые путем установки новых или модернизации используемых инженерных и технических средств защиты информации. Основу организационных мер инженерно-технической зашиты информации составляют меры, определяющие порядок использования этих средств. Организационные меры инженерно-технической защиты информации включают, прежде всего, мероприятия по эффективному использованию технических средств регламентации и управления доступом к защищаемой информации, а также по порядку и режимам работы технических средств защиты информации. Организационные меры инженерно-технической защиты информации являются частью ее организационной защиты, основу которой составляют регламентация и управление доступом. Регламентация - это установление временных, территориальных и режимных ограничений в деятельности сотрудников организации и работе технических средств, направленные на обеспечение безопасности информации. Регламентация предусматривает: - установление границ контролируемых и охраняемых зон; - определение уровней защиты информации в зонах; регламентация деятельности сотрудников и посетителей (разработка распорядка дня, правил поведения сотрудников в организации и вне ее и т. д.); - определение режимов работы технических средств, в том числе сбора, обработки и хранения защищаемой информации на ПЭВМ, передачи документов, порядка складирования продукции и т. д. Управление доступом к информации включает следующие мероприятия: - идентификацию лиц и обращений; - проверку полномочий лип и обращений; - регистрацию обращений к защищаемой информации; - реагирование на обращения к информации. Идентификация пользователей, сотрудников, посетителей, обращений к каналам телекоммуникаций проводится с целью их надежного опознавания. Способы идентификации рассмотрены выше. Проверка полномочий заключается в о пределении прав лиц и обращений по каналам связи на доступ к защищаемой информации. Для доступа к информации уровень полномочий обращения не может быть ниже разрешенного. С целью обеспечения контроля над прохождением носителей с закрытой информацией производится регистрация (протоколирование) обращений к ним путем записи в карточках, журналах, на магнитных носителях. Реагирование на любое обращение к информации заключается либо в разрешении доступа к информации, либо в отказе. Отказ может сопровождаться включением сигнализации, оповещением службы безопасности или правоохранительных органов, задержанием злоумышленника при его попытке несанкционированного доступа к защищаемой информации. Технические меры предусматривают применение способов и средств. рассмотренных в данной книге. Важнейшее и необходимое направление работ по защите информации -контроль эффективности защиты. Этот вид деятельности проводится прежде всего силами службы безопасности, а также руководителями структурных подразделений. Контроль инженерно-технической зашиты является составной частью контроля защиты информации в организации и заключается, прежде всего, в определении (измерении) показателей эффективности защиты техническими средствами и сравнении их с нормативными. Применяют следующие виды контроля: - предварительный; - периодический; - постоянный. Предварительный контроль проводится при любых изменениях состава, структуры и алгоритма функционирования системы защиты информации, в том числе: - после установки нового технического средства защиты или изменении организационных мер; - после проведения профилактических и ремонтных работ средств защиты; - предотвращение использование поддельных документов и документов лицами, которым они не принадлежат. - после устранения выявленных нарушений в системе защиты. Периодический контроль осуществляется с целью обеспечения систематического наблюдения за уровнем зашиты. Он проводится выборочно (применительно к отдельным темам работ, структурным подразделениям или всей организации) по планам, утвержденным руководителем организации, а также вышестоящими органами. Наиболее часто должен проводиться периодический контроль на химических предприятиях, так как незначительные нарушения в технологическом процессе могут привести к утечке демаскирующих веществ. Для определения концентрации демаскирующих веществ регулярно берутся возле предприятия пробы воздуха, воды, почвы, снега, растительности. Периодичность и места взятия проб определяются характером производил с учетом условий возможного распространения демаскирующих веществ, например, розы ветров и скорости воздушных потоков, видов водоемов (искусственный, озеро, болото, река и др.), характера окружающей местности и т. д. Пробы воздуха рекомендуется брать с учетом направлений ветра на высоте примерно 1.5 м в непосредственной близости от границ территории (50-100 м) и в зоне максимальной концентрации демаскирующих веществ, выбрасываемых в атмосферу через трубы. Пробы воды берутся в местах слива в водоемы к поверхностном слое и на глубине 30-50 см с последующим смешиванием. Берутся также пробы почвы и пыли на растительности. С этой целью собирают листья с нескольких деревьев и кустов на уровне 1.5-2 м от поверхности и не ранее недели после дождя. Периодический (ежедневный, еженедельный, ежемесячный) контроль должен проводиться также сотрудниками организации в части источников информации, с которыми они работают. Общий (в рамках всей организации) периодический контроль проводится обычно 2 раза в год. Целью его является тщательная проверка работоспособности всех элементов и системы защиты информации в целом. Постоянный контроль осуществляется выборочно силами службы безопасности и привлекаемых сотрудников организации с целью объективной оценки уровня зашиты информации и. прежде всего, выявления слабых мест в системе защиты организации. Кроме того, такой контроль оказывает психологическое воздействие на сотрудников организации, вынуждая их более тщательно выполнять требования по обеспечению защиты информации. Меры контроля, также как и защиты, представляют совокупность организационных и технических мероприятий, проводимых с целью проверки выполнения установленных требований и норм по защите информации. Организационные меры контроля включают: - проверку выполнения сотрудниками требований руководящих документов по защите информации; - проверку работоспособности средств охраны и защиты информации от наблюдения, подслушивания, перехвата и утечки информации по материально-вещественному каналу (наличие занавесок, штор, жалюзей на окнах, чехлов на разрабатываемых изделиях, состояние звукоизоляции, экранов, средств подавления опасных сигналов и зашумления, емкостей для сбора отходов с демаскирующими веществами и т. д.); - контроль за выполнением инструкций по защите информации о разрабатываемой продукции; - оценка эффективности применяемых способов и средств зашиты информации. Технические меры контроля проводятся с использованием технических средств радио - и электроизмерений, физического и химического анализа и обеспечивают проверку: - напряженности полей с информацией на границах контролируемой зоны; - уровней опасных сигналов и помех в проводах и экранах кабелей, выходящих за пределы контролируемой зоны; - концентрации демаскирующих веществ в отходах производства. - степени зашумления генераторами помех структурных звуков в ограждениях; Для измерения напряженности электрических полей используются селективные вольтметры, анализаторы спектра, панорамные приемники. Следует также отметить, что добросовестное и постоянное выполнение сотрудниками организации требований по защите информации основываете на рациональном сочетании способов принуждения и побуждения. Принуждение - способ, при котором сотрудники организации вынуждены соблюдать правила обращения с источниками и носителями конфиденциальной информации под угрозой материальной, административной или уголовной ответственности. Побуждение предусматривает использование для создания у сотрудников установки на осознанное выполнение требований по защите информации, формирование моральных, этических, психологических и других нравственных мотивов. Воспитание побудительных мотивов у сотрудников организации является одной из задач службы безопасности, но ее усилия найдут благодатную почву у тех сотрудников, которые доброжелательно относятся к руководству организации и рассматривают организацию как долговременное место работы. Создание условий, при которых место работы воспринимается как второй дом, является, по мнению компетентных аналитиков, одним из факторов экономического роста Японии. Поэтому эффективность защиты в значительной степени влияет климат в организации, который формируется ее руководством. Выводы по разделу Любая система создается под заданные требования с учетом существующих ограничений. Факторы, влияющие на структуру и функционирование системы, называются системообразующими. Порядок защиты информации в организации определяется соответствующим руководством (инструкцией). Для защиты информации об изделии на каждом этапе его создания разрабатывается соответствующая инструкция. Инструкция должна содержать необходимые для обеспечения безопасности информации сведения, в том числе: общие сведения о наименовании образца, защищаемые сведения и демаскирующие признаки, потенциальные угрозы безопасности информации, замысел и меры по защите, порядок контроля (задачи, органы контроля, имеющие право на проверку, средства контроля, допустимые значения контролируемых параметров, условия и методики, периодичность и виды контроля), фамилии лиц. ответственных за безопасность информации. Ответственность за состояние защиты информации возлагается на соответствующее подразделение и лиц службы безопасности. Регламентация - это установление временных, территориальных и режимных ограничений в деятельности сотрудников организации и работе технических средств, направленные на обеспечение безопасности информации. Реагирование на любое обращение к информации заключается либо в разрешении доступа к информации, либо в отказе. Отказ может сопровождаться включением сигнализации, оповещением службы безопасности или правоохранительных органов, задержанием злоумышленника при его попытке несанкционированного доступа к защищаемой информации. Периодический (ежедневный, еженедельный, ежемесячный) контроль должен проводиться также сотрудниками организации в части источников информации, с которыми они работают. Заключение Подводя итоги, хотелось бы отметить, что организация защиты информации в организации на данном этапе имеет достаточно сильную нормативно-правовую базу, в которой учитывается возможность пресечения большинства каналов проникновения злоумышленников, регламентируются меры по организации системы защиты на предприятии. В данной курсовой работе показано как осуществляется организация офисной деятельности, что представляет собой организация и из каких элементов она состоит. Основные направления обеспечения безопасности информационных ресурсов, расписанные в данной работе, позволяют увидеть, что следует подразумевать под конфиденциальной информацией, какие организационные и технические меры следует предпринять начальнику службы безопасности, чтобы минимизировать угрозу целостности и конфиденциальности информации, циркулирующей в организации. Ведь как указывалось во введении- никакая, даже самая совершенная в организационном плане и великолепно оснащенная технически система защиты информации не может соперничать с изобретательностью и хитростью человека, задумавшего украсть или уничтожить ценную информацию. Вопросы защиты информации, описанные в данной работе, рассматриваются в широком диапазоне современных проблем и затрагивают организационные и технологические сферы защиты как документированной информации (на бумажных и технических носителях), циркулирующей в традиционном или электронном документообороте, так и недокументированной информации. Список использованной литературы 1) Привес М. Г. Анатомия человека. – С.-П. «МЕДИЦИНА», 1994. 2) Теория управления социалистическим производством: учеб. / под ред. О. В. Козловой. М.: Экономика, 1979. . 3) Афанасьев В. Г. Человек в управлении обществом. М.: Политиздат, 1977. 4) Торокин А.А. Основы инженерно-технической защиты информации. - М.: Издательство «Ось-89».1998