Кузнецов И.Н. Делопроизводство

Подождите немного. Документ загружается.

второй группы сравниваются с перечнем сведений, отнесенных к

категории конфиденциальных.

При совпадении содержания или его элементов, темы посту-

пившего документа с одной из позиций перечня сотрудник ставит

на документе гриф ограничения доступа необходимого уровня

конфиденциальности, указывает срок его действия и условия сня-

тия,

приведенные в перечне.

Внесенные сведения заверяются подписями работника служ-

бы КД и руководителя этой службы. Документы, отнесенные к

категории конфиденциальных (в том числе электронные, факси-

мильные и др.), вносятся в журнал (опись) учета пакетов с целью

включения их в первичную систему обеспечения безопасности

информационных ресурсов фирмы.

Документы, не содержащие конфиденциальных сведений,

передаются для дальнейшей обработки сотруднику службы откры-

той документации. Если документ поступил

грифом ограничения

доступа, то этот гриф не может быть снят даже в случае, если доку-

мент не входит в число конфиденциальных для данной фирмы.

Гриф может быть изменен только с целью повышения уровня

конфиденциальности. Фирма обязана защищать не только свои

секреты, но и секреты всех юридических и физических лиц, уста-

новивших с ней деловые контакты.

Следовательно, учет пакетов, конвертов и незаконвертован-

ных документов — важный элемент обеспечения гарантирован-

ной сохранности поступивших документов

начальный этап фор-

мирования их учетной базы.

Учет пакетов и незаконвертованных документов в технологи-

ческом аспекте тесно связан с учетом поступивших (входящих)

конфиденциальных документов. Учету подлежат все зарегистри-

рованные в журнале (описи) учета пакетов конфиденциальные

документы независимо от предполагаемого периода

их

конфиден-

циальности.

Карточка учета входящего документа состоит из следующих

частей:

а) исходные сведения

документе (входящий номер

гриф кон-

фиденциальности; дата поступления; исходящий номер документа

240

и дата; количество листов основного документа и приложении;

откуда поступил; вид документа и его краткое содержание);

б) сведения о месте хранения документа (индекс дела; номера

листов дела; подписи, подтверждающие правильность отметок о

подшивке документа; отметки о проверках наличия документа);

в) сведения о местонахождении (движении) документа (кому

выдан; количество листов основного документа и приложений;

роспись в получении

дата; роспись за возврат и дата; сведения о

движении первого экземпляра карточки; отметка о проверке зак-

рытия всех позиций карточки);

г) сведения об отправке документа (куда направлен документ;

количество листов основного документа и приложений; наиме-

нование и номер сопроводительного документа и его дата; под-

писи лиц, подтверждающих проверку правильности отметок об

отправке; отметка о возврате).

Традиционный или автоматизированный учет поступивших

документов полностью соответствуют рассмотренному типово-

му составу технологических процедур. Номер поступившего до-

кумента проставляется не только во входящем штампе на первом

листе документа, но и на первом листе каждого приложения в

штампе "К вх. № " с указанием года регистрации.

Во входящем штампе документа дополнительно фиксируется

количество листов основного документа и приложений с указа-

нием грифа их конфиденциальности, найример: "Кол-во листов:

1 к + 5 нк". При наличии в полученном конверте нескольких до-

кументов каждый из них в процессе учета получает отдельный

номер.

После завершения традиционного или автоматизированного

учета поступивших конфиденциальных документов они переда-

ются для работы руководителям и сотрудникам организации.

Следует помнить, что при выходе документов за пределы службы

КД угроза потери конфиденциальности документов резко возра-

стает за счет санкционированного включения

работу

ними зна-

чительного числа сотрудников и соответствующего возрастания

количества источников, владеющих конфиденциальными сведе-

ниями.

241

Передача документов предусматривает:

— распределение документов;

— рассмотрение документов руководителями;

— передачу документов исполнителям или на другие участки

службы КД.

Процедура распределения поступивших документов предназ-

начена

для

определения рационального пути (маршрута) дальней-

шего движения документа в соответствии с его функциональной

принадлежностью и местом в разрешительной системе доступа к

конфиденциальным документам.

Разрешительная (разграничительная) система доступа — это

совокупность обязательных норм

требований, устанавливаемых

первым руководителем или коллективным органом руководства

фирмой с целью закрепления за руководителями и сотрудниками

права использования для выполнения служебных обязанностей

специализированных помепдений и рабочих мест, определенного

состава конфиденциальных документов и сведений.

Система решает следующие задачи:

— ограничение и регламентация состава сотрудников, функ-

циональные обязанности которых требуют знания тайны орга-

низации и работы с конфиденциальными документами;

— строго избирательное и обоснованное распределение доку-

ментов и информации между сотрудниками;

—

обеспечение сотрудника всем необходимым для реализации

своих служебных функций (документами, делами, базами данных,

информацией, техническими средствами и т. д.);

— беспрепятственный проход сотрудника в здание организа-

ции, в конкретное рабочее помещение, к вьщеленному ему офис-

ному рабочему оборудованию и компьютеру;

— предотвращение возможности несанкционированного оз-

накомления

конфиденциальной информацией посторонних лиц;

— рациональное размещение рабочих мест сотрудников, ис-

ключающее бесконтрольное использование защищаемой инфор-

мации.

Доступ к конфиденциальной информации представляет собой

практическую реализацию делегированного сотруднику руковод-

242

ством организации права работать с подобной информацией, т. е.

допуска сотрудника к тайне организации.

Доступ санкционируется полномочным должностным лицом

(первым руководителем, его заместителем, руководителем подраз-

деления или направления деятельности) в отношении конкретной

информации и конкретного сотрудника. Такой доступ называет-

ся санкционированным, разрешенным и законным.

Разрешение на доступ к конфиденциальным сведениям (доку-

ментам, делам, базам данных и др.) всегда является строго персо-

нифицированным (индивидуальным) и дается руководителем

только

письменном

виде — в

виде резолюций на документе, при-

каза, утверждающего схему именного или должностного доступа

к конкретным группам информации, утвержденного руководите-

лем списка-разрешения на обложке дела и т. п.

Работник службы

1СД

может иметь утвержденный первым ру-

ководителем именной перечень (схему),

соответствии

которым

конфиденциальные документы типового содержания передаются

непосредственно руководителям отдельных направлений работы

организации (главным специалистам, главным менеджерам) —

например, проекты контрактов, описания результатов испытания

т. п.

Особенность информационного обслуживания потребителей

конфиденциальной информации состоит в том, что не потреби-

тель определяет, какая информация ему нужна и какой информа-

цией он может пользоваться, а полномочный руководитель.

Поэтому тайна организации должна быть разделена на не-

сколько частей, известных разным сотрудникам и соответствую-

щих функциональной структуре организации, причем ценность

информации снижается по

мере

доведения

ее

до отдельных испол-

нителей низшего звена.

этом случае тайну организации в целом

может знать только крайне ограниченный круг должностных лиц,

разглашение отдельной ее части не наносит серьезного ущерба

делам организации.

Иерархическая последовательность доступа к информации

реализуется по принципу "чем выше ценность конфиденциальных

сведений, тем меньшее число сотрудников могут их знать". Суще-

243

ствует твердое правило: сотрудники организации, которым руко-

водитель не адресует документ, не только не имеют права досту-

па к нему, но и не должны знать о существовании такого доку-

мента и исходных данных о нем.

Реализация системы доступа к традиционным и электронным

документам основывается на анализе их содержания, которое яв-

ляется главным критерием однозначного определения, кто из ру-

ководителей, кому из исполнителей (сотрудников), как, когда и с

какими категориями документов разрешит ознакомиться или ра-

ботать.

Любое обращение к конфиденциальному документу, ознаком-

ление с ним в любой форме (в том числе случайное, несанкциони-

рованное) обязательно фиксируется в учетной карточке докумен-

та и на самом документе в виде соответствующей отметки и под-

писи лица, который обращался к документу. Этот факт

указывается также в карточке учета осведомленности сотрудника

в тайне фирмы.

Организуя доступ сотрудников организации

конфиденциаль-

ным массивам электронных документов, базам данных, необхо-

димо помнить о его многоступенчатом характере; главными со-

ставными частями доступа этого вида являются:

— доступ к персональному компьютеру, серверу или рабочей

станции;

— доступ к машинным носителям информации, хранящимся

вне ЭВМ;

— непосредственный доступ к базам данных и файлам.

Доступ к персональному компьютеру, серверу или рабочей

станции, которые используются для обработки конфиденциаль-

ной информации, предусматривает:

—

определение

регламентацию первым руководителем орга-

низации состава сотрудников, имеющих право доступа (входа) в

помещение, в котором находятся соответствующая вычислитель-

ная техника, средства связи;

— регламентацию первым руководителем временного режи-

ма нахождения этих лиц в указанных помещениях, персональное

и временное протоколирование (фиксирование) руководителем

244

подразделения или направления деятельности организации нали-

чия разрешения и периода работы этих лиц в иное время (напри-

мер,

в вечерние часы, выходные дни и др.);

—

организацию охраны этих помещений в рабочее и нерабочее

время, определение правил вскрытия помещений и отключения

охранных технических средств информирования и сигнализирова-

ния, определение правил постановки помещений на охрану, регла-

ментация работы указанных технических средств в рабочее время;

— организацию контролируемого (в необходимых случаях

пропускного) режима входа в указанные помещения;

—

организацию действий охраны и персонала

экстремальных

ситуациях или при авариях техники и оборудования помещений;

— организацию выноса из указанных помещений материаль-

ных ценностей, машинных и бумажных носителей информации,

контроль вносимых в помещение и выносимых персоналом лич-

ных вещей.

Несмотря на то, что по окончании рабочего дня конфиденци-

альные сведения должны быть перенесены на гибкие носители и

стерты с жесткого диска компьютера, помещения, в которых на-

ходится вычислительная техника, подлежат охране. Объясняется

это тем, что, во-первых, в неохраняемый компьютер легко уста-

новить одно из средств промышленного шпионажа и, во-вторых,

злоумышленник может с помощью специальных методов восста-

новить стертую конфиденциальную информацию на жестком

дис-

ке (произвести "уборку мусора").

Доступ к машинным носителям конфиденциальной информа-

ции, хранящимся вне ЭВМ, предполагает:

— организацию учета и вьщачи сотрудникам чистых машин-

ных носителей информации;

— организацию ежедневной фиксируемой вьщачи сотрудни-

кам и приема от сотрудников носителей с записанной информа-

цией (основных и резервных);

— определение и регламентацию первым руководителем со-

става сотрудников, 11меющих право оперировать конфиденциаль-

ной информацией

помощью компьютеров, установленных на их

рабочих местах, и получать в службе

1СД

учтенные машинные но-

сители информации;

245

—

организацию системы закрепления за сотрудниками машин-

ных носителей информации и контроля за сохранностью и целос-

тностью информации, учета динамики изменения состава запи-

санной информации;

— организацию порядка уничтожения информации на носи-

теле,

порядка и условий физического уничтожения носителя;

— организацию хранения машинных носителей в службе КД в

рабочее и нерабочее время, регламентацию порядка эвакуации

носителей в экстремальных ситуациях;

— определение и регламентацию первым руководителем со-

става сотрудников, не сдающих по объективным причинам тех-

нические носители информации на хранение в службу КД в конце

рабочего дня, организацию особой охраны помещений и компь-

ютеров этих сотрудников.

Работа сотрудников службы КД и организации в целом с ма-

шинными носителями информации вне ЭВМ должна быть орга-

низована аналогично работе с бумажными конфиденциальными

документами.

Доступ к

конфиденциальным

базам данных и

файлам

— завер-

шающий этап доступа сотрудника организации к компьютеру.

Если этот сотрудник — злоумышленник, то можно считать, что

самые серьезные рубежи защиты охраняемой электронной инфор-

мации он успешно преодолел. В конечном счете, не "взламывая"

базу данных, он может просто унести компьютер или вынуть из

него и унести жесткий диск.

Обычно доступ к базам данных и файлам подразумевает:

— определение и регламентацию первым руководителем со-

става сотрудников, допускаемых к работе с определенными база-

ми данных и файлами, контроль системы доступа администрато-

ром базы данных; присвоение имен базам данных и файлам, фик-

сирование в машинной памяти имен пользователей и операторов,

имеющих право доступа к ним;

— учет состава базы данных и файлов, регулярная проверка

наличия, целостности и комплектности электронных документов;

— регистрацию (протоколирование) входа в базу данных или

файл, автоматическую регистрацию имени пользователя и време-

ни работы, сохранение первоначальной информации;

246

—

регистрацию (протоколирование) попытки несанкциониро-

ванного входа в базу данных или файл, регистрацию ошибочных

действий пользователя, автоматическую передачу сигнала трево-

ги охране и автоматическое отключение компьютера;

— установление и бессистемное по сроку изменение имен

пользователей, массивов и файлов (паролей, кодов, классифика-

торов, ключевых слов и т. п.);

— отключение ЭВМ при нарушениях в системе регулирова-

ния доступа или сбое системы защиты информации;

— механическое (ключом или иным приспособлением) блоки-

рование отключенной, но загруженной ЭВМ при недолговремен-

ных перерывах в работе пользователя.

Коды, пароли, ключевые слова, ключи, шифры, специальные

программные продукты, аппаратные средства и другие атрибуты

системы защиты информации в ЭВМ разрабатываются, меняют-

ся специализированной организацией и доводятся до сведения

каждого пользователя работником этой организации или адми-

нистратором базы

данных.

Применение пользователями собствен-

ных кодов не допускается.

В соответствии

действующей системой доступа поступившие в

организацию традиционные и электронные документы делятся на:

— подлежащие рассмотрению первым руководителем;

—

подлежащие рассмотрению заместителями первого руково-

дителя (по фамилиям);

— передаваемые руководителям структурных подразделений

или направлений деятельности организации;

— передаваемые непосредственно исполнителям.

При рассмотрении документов руководителем в целях защи-

ты информации должны быть решены следующие задачи:

— принятие правильного решения по составу исполнителей,

допускаемых к документу;

— исключение возможности ознакомления с документом по-

сторонних лиц в процессе работы руководителей с документами;

—

исключение возможности кражи или копирования докумен-

тов посетителями, техническим и обслуживающим персоналом,

секретарем и другими лицами;

247

— исключение возможности утечки информации по техничес-

ким каналам (визуальному, акустическому или другим, например

при безответственном обсуждении содержания конфиденциаль-

ного документа по незащищенным линиям связи);

— фиксирование факта передачи документа руководителю и

возвращения документа от него;

— обеспечение физической сохранности всех частей докумен-

та (приложений, листов и т. п.).

Передача документов руководителям осуществляется работ-

ником службы КД под роспись в традиционном журнале учета

документов, передаваемых руководству, или бумажном экземп-

ляре аналогичного электронного журнала (описи). Роспись за

документ может ставиться в учетной карточке документа. Пере-

давать конфиденциальные документы руководителям через их

секретарей или без росписи в учетной форме не разрешается.

Традиционные и электронные конфиденциальные документы

перемещаются между руководителями или между руководителя-

ми и исполнителями только через службу КД.

Документы, возвращенные руководителем с резолюцией, и

документы, прошедшие разметку

службе КД, передаются испол-

нителям для ознакомления, использования в работе или исполне-

ния (работы с ними). Документы могут также быть переданы по

передаточному журналу на другие участки службы КД — инвен-

тарный, документов предварительного учета, архивный и др.

Работник службы КД, вьщавая документы сотрудникам орга-

низации, обязан:

— не допустить вьщачу документа лицу, не имеющему права

доступа к нему;

— в присутствии сотрудника проверить физическую сохран-

ность документа, наличие всех приложений, листов и других час-

тей документа, зафиксировать факт передачи документа в учет-

ной форме под роспись сотрудника;

—

знакомить сотрудников только

той частью документа, ко-

торая ему адресована, не разрешать сотрудникам при ознакомле-

нии

документом делать выписки из текста на листочки, в запис-

ные книжки и т. п.;

248

— предотвращать любую возможность ознакомления с доку-

ментом постороннего лица;

— обеспечить учет документов, находящихся у сотрудников,

контроль сохранности этих документов в рабочее и нерабочее

время.

Документы выдаются исполнителям для работы под роспись

традиционной учетной карточке или бумажном экземпляре элек-

тронной учетной карточки. Электронные документы передаются

в копии в базу данных компьютера (рабочей станции) исполните-

ля с предварительным внесением исполнителем в электронную

учетную карточку документа, находящуюся в компьютере служ-

бы КД, своей электронной подписи.

Все полученные исполнителем конфиденциальные документы

(бумажные, на машинном носителе и электронные) в обязатель-

ном порядке вносятся им в традиционную внутреннюю опись до-

кументов, находящихся у исполнителя. Опись предназначена для

проверки наличия документов и записи отметок службы 1СД о

возврате документов исполнителем. Опись хранится у исполни-

теля, ее электронный контрольный аналог может включаться в

базу данных службы 1СД.

При возврате исполнителем документа в службу

1СД

проверя-

ются соответствие документа учетной форме

его комплектность,

т. е. сохранность и целостность всех частей документа, листов.

Количество листов обязательно просчитывается и вносится в

учетную форму при любой передаче документа с целью подтвер-

ждения факта сохранности листов и полного их приема исполни-

телем или работником службы КД. Кроме того, при просчитыва-

нии листов путем их перелистывания (перекладывания) выявля-

ется возможная подмена листов или их порча (отрыв части листа,

изменение формата листа и т. п.).

Работник службы КД, принявший возвращенный документ,

проставляет роспись в учетной карточке документа и внутренней

описи-документов, находящихся у исполнителя, и одновременно

делает отметку о новом местонахождении документа в конт-

рольном журнале (или электронной описи учетных карточек).

249