Тема 8. Особенности работы с персоналом, владеющим конфиденциальной информацией

По мнению большинства специалистов по безопасности ин­формационных систем, главное внимание должно быть обращено на персонал, постоянно работающий с конфиденциальными до­кументами и базами данных.

Основными задачами должны быть две:

1) максимально затруднить работу злоумышленнику или его сообщнику по добыванию необходимой информации, противо­действовать им в пассивном или активном режиме на основе ре­зультатов аналогичных выводов

2) не допустить установления определенных взаимоотношений злоумышленника и сотрудника фирмы, владеющего конфиденциальной информацией.

Текущая работа с персоналом, обладающим конфиденциаль­ной информацией, включает в себя:

• обучение и систематическое инструктирование сотрудников;

• проведение регулярной воспитательной работы с персона­лом, работающим с конфиденциальными сведениями и до­кументами;

• постоянный контроль за выполнением персоналом требова­ний по защите конфиденциальной информации;

• контрольную работу по изучению степени осведомленности персонала в области конфиденциальных работ фирмы;

• проведение, служебных расследований по фактам утечки ин­формации и нарушений персоналом требований по защите информации;

• совершенствование методики текущей работы с персоналом.

Процесс обучения сотрудников фирмы правилам защиты инфор­мации должен быть постоянным, так как система защиты требует регулярного обновления и видоизменения. Занятия не должны пре­вращаться в редкие, необязательные и формальные собрания. Обучение сотрудника начинается с момента проведения собе­седования с ним при приеме на работу и подписания им обяза­тельства о неразглашении тайны и кончая моментом увольнения и подписания этим лицом обязательства о недопустимости ис­пользования конфиденциальных сведений в чьих-либо целях.

Обу­чение сотрудников может начинаться также с момента начала ра­боты коллектива над новой идеей, оцененной в качестве фирменного секрета, работы с использованием ноу-хау и т.п. Обычная периодичность обучения для работающих сотрудников один раз в 3—5 лет, как правило, после аттестации или перезаключения контракта.

Задачи обучения включают в себя изучение:

• характера и состава конфиденциальной информации;

возможных угроз конфиденциальным сведениям, каналов их объективного распространения и каналов утраты, мето­дов работы злоумышленников;

• структуры системы защиты, требований и правил защиты конфиденциальной информации;

• порядка работы сотрудников с конфиденциальными сведе­ниями, документами и базами данных;

• действий персонала в конкретных экстремальных ситуациях.

Обучение сотрудников предполагает приобретение и поддержание на высоком уровне производственных навыков работы с конфиден­циальными сведениями, психологическое воспитание сотрудников и воспитание глубокой убежденности в необходимости выполнения требований по защите любой конфиденциальной информации.

Пер­сонал должен получить знания по оценке важности тех или иных сведений для упрочения престижа фирмы и ее финансовой стабиль­ности, а значит, и для благополучия каждого сотрудника. Методика обучения включает в себя:

• специализированные программы обучения для обеспечения лекционных курсов и практических занятий;

• проведение лекций, семинаров и собеседований как общеозна­комительного плана, так и по конкретным направлениям за­щиты; тестирование сотрудников;

• решение ситуационных задач, связанных с выполнением необходимых требований по защите конфиденциальной информации;

• практическую ситуационную учебу по действиям персонала в экстремальных ситуациях;

• проведение деловых игр, обучающих методам противодей­ствия замыслам злоумышленника.

Очень важно сделать процесс обучения индивидуализирован­ным. Он должен быть конкретизирован по должностному составу сотрудников, по типовым рабочим местам и часто — по отдель­ным сотрудникам.

В процессе обучения сотрудник должен полу­чить только те знания, которые ему необходимы для работы. Из­быточности знаний в области состава конфиденциальной инфор­мации и способов ее защиты не должно быть. Отдельно от осталь­ного персонала обучаются сотрудники службы безопасности, сек­ретарь-референт, сотрудники, работающие с особо ценными до­кументами, делами и изделиями.

Информация, сообщаемая в процессе обучения сотрудников, является строго конфиденциальной. Конспекты, записи сотруд­ники делают в специальных тетрадях, хранящихся в соответствии с общим порядком работы с конфиденциальными документами. По окончании обучения проводится проверка усвоения со­трудниками полученных знаний. Результаты проверки фиксиру­ются в протоколе комиссии, ведущей проверку.

Целесообразно организовывать проверку знаний путем тестирования или решения ситуационной задачи. Сотрудники, не прошедшие проверку зна­ний, от работы с конфиденциальной информацией отстраняются. Одновременно с обучением должны проводиться регулярные совещания-инструктажи с сотрудниками.

В процессе инструктажа:

• до сведения сотрудников доводятся изменения и дополне­ния, внесенные в действующие нормативно-методические документы по защите информации, приказы и указания ру­ководства фирмы в области защиты информации и инфор­мационной безопасности;

• сотрудники информируются о конкретных угрозах инфор­мации, о каналах утечки информации, действиях злоумыш­ленников, принятых дополнительных мерах по защите ин­формации;

• анализируются случаи нарушения правил защиты информа­ции сотрудниками, сообщается о фактах утраты секретов по вине сотрудников. Инструктаж, так же как и обучение, проводится индивидуально, информация, сообщаемая на инструктажах, разглашению не подлежит.

Совещания-инструктажи проводятся, как правило, по мере необходимости. Следовательно, обязательной и первостепенной частью теку­щей работы с персоналом должно стать обучение сотрудников правилам работы с конфиденциальной информацией, докумен­тами и базами данных.

Трудно говорить об эффективности рабо­ты с персоналом, если сотрудники не имеют достаточно твердых представлений о системе защиты конфиденциальной информа­ции, методах противодействия злоумышленникам. Обучение и инструктаж находится в тесной связи с процессом воспитания сотрудников, направленным на то, чтобы привить им устойчивые мотивационные стереотипы поведения в той или иной ситуации, связанной с обеспечением недоступности информации посторонним лицам, исключением возможности несанкционирован­ного доступа этих лиц к ценным и конфиденциальным сведениям. Воспитание — это процесс систематического и целенаправлен­ного воздействия на формирование и развитие личности в целях наиболее полного использования ее профессиональных способнос­тей, деловых, высоких моральных и иных положительных качеств для деятельности фирмы, повышения ее благополучия и конкурен­тоспособности.

Воздействие на личность осуществляется руковод­ством фирмы в процессе обучения и инструктажа сотрудников, коллективом фирмы в процессе решения совместных производствен­ных и иных задач и отдельными сотрудниками фирмы в нефор­мальной обстановке. Воспитательный процесс тесно связан с исследованием моти­ваций в поведении человека. Функция мотивации поведения, мыш­ления и действий персонала в различных ситуациях и жизненных обстоятельствах имеет существенное значение в управлении персо­налом, особенно если его деятельность связана с владением цен­ными и конфиденциальными сведениями.

Мотивация деятельности человека понимается как совокупность движущих сил, побуждающих человека к осуществлению определен­ных действий, Эти силы находятся вне или внутри человека и застав­ляют его осознанно или неосознанно совершать определенные по­ступки. В соответствии с этим текущая или профилактическая рабо­та с персоналом является обязательной составной частью предотвра­щения попыток отдельных сотрудников воспользоваться в личных целях ценной для фирмы информацией, нарушить требования обес­печения информационной безопасности фирмы. Каждый из сотруд­ников фирмы, работающий с закрытыми сведениями, документами и базами данных, должен находиться под постоянным наблюдением руководства и коллектива фирмы, оценивающих степень его лояльности по отношению к делам фирмы.

Со своей стороны фирма обязана обеспечить любому сотруднику необходимые условия труда и отдыха, постоянно заботиться о его благополучии, повышении квалификации и поддержании на высоком уровне интереса к выпол­няемым обязанностям и работам. Между руководством и сотрудника­ми не может быть глухой стены непонимания стоящих задач. Все дела фирмы должны быть важны для коллектива в целом и для каждого отдельного сотрудника. Достигается это сложным и длительным про­цессом индивидуального воспитания сотрудников на основах взаим­ного доверия, взаимопонимания и заботы. Руководители всех рангов несут персональную ответственность за качество этой работы.

В основе воспитательной работы с персоналом фирмы должны лежать не пустые словесные увещевания о необходимости хорошо работать и грядущем благополучии для всего персонала. Дально­видные руководители серьезных фирм под воспитательной рабо­той подразумевают прежде всего создание реально здорового пси­хологического климата в коллективе фирмы, позволяющего объе­динить осознанные усилия персонала на решение стоящих перед фирмой задач и преодоление возникающих трудностей. Здоровый психологический климат в коллективе фирмы создает трудно преодолимый барьер на пути любого злоумышленника, который пытается получить конфиденциальные сведения.

Для сотрудника фирмы часто важен не столько оклад, который он получает, сколько та доброжелательная обстановка, которая существует в коллективе, уверенность в том, что его уважают как специалиста, ценят его упорный труд, и он может надеяться на продвижение по службе. При формировании здорового психологического климата реша­ются следующие задачи:

• создание действенной системы стимулирования труда, персо­нала;

• обеспечение долговременной работы в фирме каждого со­трудника;

• формирование отношения к сотрудникам как самостоятель­ным членам коллектива, участие персонала в выработке ре­шений:

• справедливое участие персонала в прибылях фирмы;

• реализация на практике гибкой, не травмируемой системы увольнений; • расстановка кадров в соответствии с их способностями;

• главенство в отношениях руководства и сотрудников духа коллективизма.