Функции конфиденциального
делопроизводства возложить на уже
имеющихся сотрудников, занимающихся
в данное время созданием и
обработкой документов, содержащих конфиденциальную
информацию (секретаря).
Для работы СлЗИ необходимо подготовить ряд нормативных документов:
- Положение о СлЗИ;
- Инструкцию по безопасности конфиденциальной информации.
- Перечень сведений, составляющих конфиденциальную информацию.
- Инструкцию по работе с конфиденциальной информацией.
- Должностные инструкции сотрудников СлЗИ.
- Инструкцию по обеспечению пропускного режима в компании.
- Памятку работнику (служащему) о сохранении конфиденциальной информации.
II. Внести дополнения в Устав предприятия
для документационного обеспечения защиты:
«Предприятие имеет право самостоятельно
устанавливать объем сведений, составляющих
коммерческую и иную охраняемую законом
тайну и порядок ее защиты. Фирма имеет
право в целях защиты экономического суверенитета
требовать от персонала, партнеров, контрагентов
и иных физических и юридических лиц, учреждений
и организаций обеспечения сохранности
конфиденциальных сведений предприятия
на основании договоров, контрактов и
других документов». А также необходимо
проставить грифы конфиденциальности:
- Самый низкий гриф конфиденциальности «ДСП» проставить на телефонные справочники, в которых указываются отдельные данные о кадровом составе или партнерах; журналы регистрации, документы, регламентирующие деятельность, служебную переписку (заявления, распоряжения, приказы, докладные и т.д.).
- Гриф “КОНФИДЕНЦИАЛЬНО” проставить на информации об отдельных аспектах деловых сделок за короткий промежуток времени; развернутые сведения о персонале компании (персональные данные работников); текущие документы, отражающие финансовую деятельность (коммерческая тайна); документы, содержащие данные о клиентах, не предоставляемые третьим лицам (сведения, составляющие адвокатскую тайну).
- Гриф “СТРОГО КОНФИДЕНЦИАЛЬНО” присвоить документам, содержащим данные о деловых сделках с партнерами или клиентами фирмы, об итогах деятельности за продолжительный период времени; документам, содержащим важнейшие аспекты коммерческой деятельности компании, стратегии деятельности, документам, содержащим детальную информацию о финансовом положении.
III. Необходимо дополнить технические средства
защиты информации, а именно установить
средства, защищающие от прослушивания
телефонных переговоров, т.к. бывают случаи,
когда клиенту нужна экстренная юридическая
помощь или он находится в таком нервном
состоянии, что может наговорить по телефону
такие вещи, которые конкуренты могут
использовать против него. К этому адвокатская
фирма «Юстина» не готова. Поэтому некоторые
юридические дела проигрываются из-за
того, что противник имеет более современные
средства перехвата необходимой информации
для принятия соответствующих мер. Особенно
это касается сложных и запутанных уголовных
дел, а также связанных с собственностью
большой стоимости.
IV. Периодически проводить тренинги с
сотрудниками, на которых им объясняется
важность защиты конфиденциальной информации
в адвокатской фирме. А также ознакомить
всех сотрудников с главой 28 Уголовного
кодекса Российской Федерации «Преступления
в сфере компьютерной информации».
V. Зафиксировать предложенные рекомендации,
разработав пакет документов, включающий
в себя:
- Положение о конфиденциальной информации предприятия;
- Инструкцию по защите конфиденциальной информации в информационной системе предприятия;
- Предложения по внесению изменений в Устав предприятия;
- Предложения по внесению изменений в трудовой договор, контракт с руководителем и коллективный договор;
- Соглашение о неразглашении конфиденциальной информации предприятия с сотрудником;
- Обязательство сотрудника о неразглашении конфиденциальной информации предприятия при увольнении;
- Предложения о внесении изменений в Правила внутреннего распорядка предприятия (в части регламентации мер физической защиты информации и вопросов режима);
- Предложения о внесении изменений в должностное (штатное) расписание предприятия (штат Службы защиты информации);
- Предложения о внесении дополнений в должностные инструкции всему персоналу;
- Ведомость ознакомления сотрудников предприятия с Положением о конфиденциальной информации и Инструкцией по защите конфиденциальной информации в ИС предприятия;
- План проведения занятий с персоналом по сохранению и неразглашению конфиденциальной информации;
- Предложения о внесении изменений в структуру интервью при приеме на работу (уточнение обязательств информационного характера с последних мест работы);
- Предложения о внесении дополнений в стандартный договор с контрагентами.
4. Информационно-аналитический обзор
План
4.1. Цели
и задачи защиты информации в адвокатской
конторе
Целями защиты информации
предприятия являются:
- предотвращение утечки, хищения, утраты, искажения, подделки конфиденциальной информации (коммерческой и адвокатской тайны);
- предотвращение угроз безопасности личности и предприятия;
- предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию конфиденциальной информации;
- предотвращение других форм незаконного вмешательства в информационные ресурсы и системы, обеспечение правового режима документированной информации как объекта собственности;
- защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;
- сохранение, конфиденциальности документированной информации в соответствии с законодательством [22].
К задачам защиты информации
на предприятии относятся:
- Обеспечение управленческой, финансовой и маркетинговой деятельности предприятия режимным информационным обслуживанием, то есть снабжением всех служб, подразделений и должностных лиц необходимой информацией, как засекреченной, так и несекретной. При этом деятельность по защите информации по возможности не должна создавать больших помех и неудобств в решении производственных и прочих задач, и в то же время способствовать их эффективному решению, давать предприятию преимущества перед конкурентами и оправдывать затраты средств на защиту информации.
- Гарантия безопасности информации, ее средств, предотвращение утечки защищаемой информации и предупреждение любого несанкционированного доступа к носителям засекреченной информации.
- Отработка механизмов оперативного реагирования на угрозы, использование юридических, экономических, организационных, социально-психологических, инженерно-технических средств и методов выявления и нейтрализации источников угроз безопасности компании.
- Документирование процесса защиты информации, особенно сведений, составляющих коммерческую тайну, с тем, чтобы в случае возникновения необходимости обращения в правоохранительные органы, иметь соответствующие доказательства, что предприятие принимало необходимые меры к защите этих сведений.
- Организация специального делопроизводства, исключающего несанкционированное получение конфиденциальной информации [4, с.313].
4.2. Объекты и предметы защиты в адвокатской
конторе
Основными объектами
защиты в адвокатской конторе
являются:
- персонал (так как эти лица допущены к работе с охраняемой законом информацией (адвокатская и коммерческая тайны, персональные данные) либо имеют доступ в помещения, где эта информация обрабатывается).
- объекты информатизации – средства и системы информатизации, технические средства приема, передачи и обработки информации, помещения, в которых они установлены, а также помещения, предназначенные для проведения служебных совещаний, заседаний и переговоров с клиентами;
- информация ограниченного доступа:
- адвокатская тайна (факт обращения к адвокату, включая имена и названия доверителей; все персональные данные клиентов; все доказательства и документы, собранные адвокатом входе подготовки к делу; сведения, полученные адвокатом от доверителей; информация о доверителе, ставшая известной адвокату в процессе оказания юридической помощи; содержание правовых советов, данных непосредственно доверителю или ему предназначенных; все адвокатское производство по делу; условия соглашения об оказании юридической помощи, включая денежные расчеты между адвокатом и доверителем; любые другие сведения, связанные с оказанием адвокатом юридической помощи) [9, с. 30],
- коммерческая тайна (сведения о применяемых оригинальных методах управления фирмой, сведения о подготовке, принятии и исполнении отдельных решений руководства фирмы по коммерческим, организационным и др. вопросам; сведения о фактах проведения, целях, предмете и результатах совещаний и заседаний органов управления организации (управляющих партнеров); сведения о кругообороте средств организации, финансовых операциях, состоянии банковских счетов организации и проводимых операциях, об уровне доходов организации, о состоянии кредитов организации (пассивы и активы); сведения о рыночной стратегии фирмы, об эффективности коммерческой деятельности фирмы; обобщенные сведения клиентах и других партнерах, состоящих в деловых отношениях с организацией; обобщенные сведения о внутренних и зарубежных фирм как потенциальных конкурентах, оценка качества деловых отношений с конкурирующими предприятиями; сведения об условиях конфиденциальности, из которых можно установить порядок соглашения и другие обязательства организации с клиентами; сведения о методах расчета, структуре, уровне реальных цен на услуги и размеры скидок; сведения о порядке и состоянии организации защиты коммерческой тайны, о порядке и состоянии организации охраны, системы сигнализации, пропускном режиме[19]),
- персональные данные работников (фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное положение, образование, профессия, уровень квалификации, доход, наличие судимостей и некоторая другая информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника[20]).
- защищаемая от утраты общедоступная информация:
- документированная информация, регламентирующая статус предприятия, права, обязанности и ответственность его работников (Устав, журнал регистрации, учредительный договор, положение о деятельности, положения о структурных подразделениях, должностные инструкции работников)
- информация, которая может служить доказательным источником в случае возникновения конфликтных ситуаций (расписки)
- материальные носители охраняемой законом информации (личные дела работников, личные дела клиентов, электронные базы данных работников и клиентов, бумажные носители и электронные варианты приказов, постановлений, планов, договоров, отчетов, составляющих коммерческую тайну)
- средства защиты информации (Интернет-шлюз Advanced, биометрический турникет ТБИ 1.3, уличный комплект UPC-26-220(24), система сигнализации, антижучки и др.)
- технологические отходы (мусор), образовавшиеся в результате обработки охраняемой законом информации (личные дела бывших клиентов)
Предметом защиты
информации в адвокатской конторе являются носители
информации, на которых зафиксированы,
отображены защищаемые сведения [4, с.311]:
- Личные дела клиентов в бумажном и электронном (база данных клиентов) виде;
- Личные дела работников в бумажном и электронном (база данных работников) виде;
- Приказы, постановления, положения, инструкции, соглашения и обязательства о неразглашении, распоряжения, договоры, планы, отчеты, ведомость ознакомления с Положением о конфиденциальной информации и другие документы, составляющие коммерческую тайну, в бумажном и электронном виде.
4.3. Факторы, влияющие на защиту информации
в адвокатской конторе
Внешние факторы:
- деятельность конкурентных юридических фирм, направленная против интересов фирмы «Юстина»;
- деятельность правоохранительных органов власти, направленная на удовлетворение собственных интересов и не учитывающая при этом интересы адвокатской фирмы (обыски адвокатов без предварительного получения решения суда; изъятие в ходе обысков документов, содержащих конфиденциальную информацию; формальный подход судей при вынесении решений о проведении обыска у адвоката; обыск в помещениях занимаемых адвокатом в отсутствие адвоката; незаконный досмотр адвокатского производства адвокатов как один из способов незаконного доступа к адвокатской тайне) [8, 14];
- недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика (например, несостыковка пунктов Уголовно-процессуального кодекса Российской Федерации и закона «Об адвокатской деятельности и адвокатуре в Российской Федерации», закон «О противодействии легализации
(отмыванию) доходов, полученных преступным
путем, и финансированию терроризма»,
предписывающий адвокатам выполнять роль секретных сотрудников
правоохранительных органов) [8, 14, 21].
Внутренние факторы:
- недостаточное внимание к обеспечению защиты информации со стороны руководства (в адвокатской фирме нет отдельной службы защиты информации);
- довольно равнодушное отношение к обеспечению защиты информации со стороны сотрудников фирмы (записывание паролей на бумаге, использование одинаковых паролей и т.д.);
- недостаточное финансирование мероприятий по обеспечению информационной безопасности предприятия;
- недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности в адвокатской фирме (в данный момент в штате фирмы «Юстина» нет ни одного специалиста по защите информации).