Предупреждение неправомерного доступа к компьютерной информации (статья)

 

Как и для преступности в целом, предупреждение неправомерного доступа к компьютерной информации, должно предусматривать:

1. пресечение преступлений - принятие мер к прекращению действий лиц, готовящих или покушающихся на неправомерный доступ к компьютерной информации;

2. предотвращение преступлений - определение лиц, замышляющих неправомерный доступ к компьютерной информации, и принятие мер, исключающих реализацию этих намерений;

3. профилактику преступлений - выявление и устранение причин и условий совершения неправомерного доступа к компьютерной информации, установление лиц, склонных к его совершению, применение определенных видов воздействия на них.

Каждое из этих направлений включает меры общего и индивидуального характера по отношению к указанным субъектам.

Безусловно, предупреждение неправомерного доступа к компьютерной информации в широком смысле предусматривает необычайно сложный комплекс разнообразных мероприятий, - от принятия новых законов до поиска технических решений по защите сетевых объектов.

Интервьюирование специалистов показывает, что в решении многоаспектной проблемы предупреждения неправомерного доступа к компьютерной информации наибольшая отдача ожидается от технического и правового подходов.

Первый предусматривает главным образом предотвращение преступлений за счет осуществления мероприятий чисто технического характера: создания архитектуры, протоколов, аппаратного и программного обеспечения вычислительных систем, которые препятствуют совершению неправомерного доступа к компьютерной информации.

Второй предполагает совершенствование правовых механизмов: совершенствование правовой базы, четкое определение состава неправомерного доступа к компьютерной информации, обеспечение его эффективного обнаружения, расследования и уголовного преследования.

Предупреждению неправомерного доступа к компьютерной информации необходимо придавать не меньшее значение, чем противодействию совершенному неправомерному доступа к компьютерной информации. Необходимо проводить поисковую деятельность, в том числе и в глобальных компьютерных сетях с последующей аналитической обработкой полученных данных.

Аналитическая работа как средство предотвращения неправомерного доступа к компьютерной информации. Основные усилия специалистов-аналитиков должны быть направлены на выявление субъектов, способных совершить неправомерный доступ к компьютерной информации и определение уязвимых мест, которые могли бы быть использованы такими нарушителями.

Потенциальные угрозы всегда неразрывно связаны с наличием уязвимостей. Важно не только обнаружить уязвимость, но и определить, кто и каким образом способен ее использовать в своих целях.

Компьютерная информация не может быть абсолютно защищена, т.к. зачастую компьютеры имеют подключение к глобальным сетям, уязвимым как по своей изначальной природе, так и в силу необычайного разнообразия и постоянных модификаций применяемых программных и инструментальных средств.

Нарушители постоянно ищут и достаточно часто обнаруживают новые «бреши» в программном обеспечении. При этом они интенсивно обмениваются сведениями о найденных уязвимостях и способах их использования. Сообщение о найденной «дыре» в системе безопасности нередко порождает волну массированных сетевых атак, использующих данную уязвимость. Знание об обнаружении пробелов в системе защиты позволяет незамедлительно принять ответные меры и в значительной мере снизить потенциальный ущерб. Это возможно при сборе информации о потенциальных угрозах из всех возможных источников, аналитической ее обработке, выделении наиболее проблемных вопросов и подготовке рекомендаций для принятия решений.

В зависимости от источников и степени обобщенности поступающей информации, а также решаемых задач по ее обработке можно выделить два уровня анализа: стратегический и тактический.

При этом каждый уровень анализа является по-своему важным, они взаимно дополняют друг друга.

Результатом аналитической деятельности как процесса осмысления разрозненной гласной и негласной информации, полученной в глобальных сетях, становится новое знание.

Повышению эффективности анализа на каждом из уровней способствуют:

1. улучшение сбора, накопления, хранения, обработки и выдачи необходимых для принятия управленческих решений сведений;

2. систематизация данных обо всех выявленных случаях неправомерного доступа к компьютерной информации, особенно имеющих неординарный характер;

3. изучение опыта работы по данному направлению других ведомств, в том числе зарубежных;

4. изучение достижений в области защиты информации, обобщение методов проникновения в компьютерные системы, воздействия на информационную инфраструктуру;

5. анализ правовой базы и правовых проблем, возникающих на практике и связанных с совершением неправомерного доступа к компьютерной информации;

6. моделирование развития преступности в сфере компьютерной информации, в том числе и в виде неправомерного доступа к компьютерной информации;

7. изучение латентной части неправомерного доступа к компьютерной информации.

При этом предлагается придерживаться следующей последовательности действий:

- определение целевой направленности аналитической работы;

- определение источников и организация сбора информации;

- сопоставление и контроль полученных данных;

- непосредственный анализ информации и окончательная ее оценка;

- составление рекомендаций и направление их конечному адресату.

Такой цикл анализа, как правило, остается постоянным - от получения потоков данных до их обобщения, получения на этой основе знания и формирования прогноза.

Стратегический анализ предполагает исследование общих проблем, здесь формулируются требования к политике обеспечения безопасности компьютерной информации в целом. Такая работа не всегда приносит немедленные результаты. Стратегический анализ позволяет получить общую картину состояния безопасности компьютерной информации, обнаружить и осознать негативные тенденции и угрозы, которые иным способом не могли бы быть выявлены, оценить степень их опасности и подготовить адекватные решения.

Можно выделить следующие задачи, решаемые на данном уровне аналитической деятельности.

1. Общая оценка угроз компьютерной информации, которая формируется на основе анализа уязвимостей, типовых сбоев и повреждений, способных существенно повлиять на компьютерную информацию, изучения инструментов, которые могли бы использоваться для организации таких сбоев, и определения вероятности совершения неправомерного доступа к компьютерной информации.

2. Оценка угроз определенным объектам инфраструктуры. Здесь анализу подвергаются специфические угрозы, возникающие в отношении определенных типов объектов.

3. Анализ тенденций изменения угроз и уязвимостей. Для этого первоначально изучаются базовые оценки, позволяющие затем лучше распознать отклонения от основной линии, определить потенциальные угрозы и уязвимости.

4. Оценка потенциального ущерба позволяет определить вероятные негативные последствия от неправомерного доступа к компьютерной информации, степень его опасности, подготовить рекомендации по его нейтрализации.

5. Систематизация неправомерного доступа к компьютерной информации и субъектов, представляющих угрозу. Получение соответствующих классификаций и типологий способствует существенному ускорению идентификации преступников при обнаружении конкретного неправомерного доступа к компьютерной информации, определению наиболее вероятных целей.

Таким образом, стратегический уровень аналитической деятельности обеспечивает основу для обоснованного принятия стратегических решений и эффективного распределения наиболее важных ресурсов в области обеспечения безопасности компьютерной информации. Полученные на этом уровне знания позволяют повысить эффективность систем управления, прогнозировать негативное развитие тех или иных процессов и явлений, адекватно реагировать на изменения обстановки в них.

Результаты, получаемые на уровне тактического анализа, являются необходимой базой для стратегического уровня. Изучение обстоятельств конкретных случаев неправомерного доступа к компьютерной информации обеспечивает реальную основу для широких обобщений, предпринимаемых на макроуровне.

Основными задачами тактического уровня являются:

- групповой и индивидуальный анализ конкретных случаев неправомерного доступа к компьютерной информации, где изучаются специфические методы вторжения, типичные цели, формируются типовые образы преступников;

- анализ зависимости реакции от воздействия. В данном случае пытаются прогнозировать действия, которые могут быть предприняты нарушителями в ответ на те или иные определенные события, инициированные правоохранительными органами;

- совершенствование частных методик анализа неправомерного доступа к компьютерной информации.

Важно еще раз отметить, что граница между стратегическим и тактическим уровнями анализа не может быть жесткой, на практике они теснейшим образом связаны, а результаты анализа, проведенного на каждом из уровней, в значительной степени влияют на методику осуществления анализа на ином уровне.

Стратегический уровень задает направления поиска для получения тактических оценок, а эти оценки, в свою очередь, помогают развивать стратегический анализ.

Кроме того, оперативная аналитическая деятельность, как часть тактического анализа, обычно, связывается с конкретным расследованием и, соответственно, ориентируется на частный случай.

Узловой задачей анализа на данном уровне является определение специфической уязвимости, использованной нарушителем для вторжения, установление типа нарушения и нарушителя.

Пользуясь результатами аналитической деятельности, осуществленной на стратегическом уровне, тактический анализ дает наиболее ощутимые результаты непосредственно после проведения. Полученные выводы в большинстве случаев способствуют идентификации и изобличению преступников, определению их непосредственных целей и мотивов.

Технологическое обеспечение аналитической деятельности. Действенность аналитических выводов в значительной степени связана со скоростью их получения, поэтому особое внимание должно уделяться разработке, совершенствованию и грамотному использованию положительно зарекомендовавших себя аналитических технологий и программно-инструментальных средств обработки данных.Использование результатов аналитической работы. Основными результатами аналитической деятельности являются обоснованные советы по нейтрализации выявленных негативных факторов. Это, как правило, обзоры и рекомендации. В этих документах основное внимание уделяется не столько технической стороне проблемы, сколько обобщению информации о возможных угрозах, уточнению сведений о продолжающихся случаях неправомерного доступа к компьютерной информации и выявленных уязвимых местах в системах компьютерной безопасности, наблюдаемых тенденциях и изученных способах совершения неправомерного доступа к компьютерной информации.

Сегодня сотрудничество научных, государственных и частных организаций в аналитической деятельности затруднено. Как правило, организации практически не заинтересованы в обмене данными об инцидентах. Недостаточно развиты и механизмы распространения консультативных и инструктирующих материалов, предупреждающих о потенциальных угрозах и дающих необходимые рекомендации по их нейтрализации. Все это существенно препятствует успешному внедрению результатов аналитической деятельности.

В процессе анализа неизбежно будут также выявляться причины и условия, способствующие совершению неправомерного доступа к компьютерной информации и повышению криминальной активности определенных контингентов нарушителей. С использованием полученной информации должны планироваться меры по устранению указанных причин и условий, а также по экстренному реагированию на сообщения о совершаемых или совершенных случаев неправомерного доступа к компьютерной информации.

Важно подчеркнуть, что аналитическая деятельность приобретает подлинное значение только при условии, что на основе полученных рекомендаций реализуются конкретные мероприятия, нейтрализующие выявленные опасности. Основные направления профилактики неправомерного доступа к компьютерной информации. Понятие профилактики правонарушений сложилось в основном на базе криминологической теории и практики борьбы с преступностью и означает специфическую область социального управления и контроля, имеющую многоуровневый характер и преследующую цель выявления и устранения причин совершения преступлений и способствующих им условий. В этот комплекс входят разнообразные мероприятия, среди которых можно обозначить три группы мер, направленных на профилактику сетевой преступности: меры, повышающие трудность совершения преступления; меры, повышающие риск при совершении преступления; меры, уменьшающие выгоду от совершения преступления.

Как правило, предупредительная работа осуществляется в рамках общей и индивидуальной профилактики преступной деятельности.

Среди мер общепрофилактического характера в качестве сдерживающего фактора нередко называется ужесточение соответствующего уголовного законодательства. Представляется излишним останавливаться здесь на исключительно сложной проблеме влияния тяжести наказания на эффективность борьбы с определенными видами преступности. Отметим лишь, что в совокупности факторов, способных в настоящее время сыграть роль сдерживающих в рассматриваемой сфере, по нашему мнению, на первый план выходит формирование убежденности в способности правоохранительных органов обеспечивать безопасность компьютерной информации.

В США задача ставилась именно так уже с момента появления первых компьютерных преступлений. Главной целью широкомасштабной операции «Sundevil» по выявлению и пресечению деятельности хакерских сетевых узлов в 1990 г. было заявить обществу о возможности вести эффективную борьбу с компьютерной преступностью.

То есть, потенциальный преступник должен осознавать высокую вероятность быть обнаруженным и понести наказание.

Именно поэтому важным элементом профилактики становится проведение целевых мероприятий и распространение информации об успешной борьбе с преступностью в сфере компьютерной информации. Подобные материалы могут размещаться в средствах массовой информации, а также путем создания специализированных сайтов в сети Интернет, что в последнее время и делается.

Повысить эффективность предупреждения преступлений позволяют и меры виктимологической профилактики, которая в рассматриваемом случае должна распространять свое влияние на потенциальных жертв неправомерного доступа к компьютерной информации. Основной целью такой деятельности должны стать: формирование у населения понимания опасности и противозаконности неправомерного доступа к компьютерной информации; обучение методам защиты и противодействия неправомерному доступу к компьютерной информации; выявление слабых мест в защите компьютерной информации.

При этом, естественно, специальные подразделения должны обращать внимание прежде всего на те криминогенные факторы, нейтрализация или устранение которых находятся в пределах их компетенции. По мнению специалистов, повышение общего уровня грамотности в области информационной безопасности может дать больший результат, чем покупка дорогостоящего защитного оборудования. Персонал защищаемых объектов должен хорошо представлять источники опасности совершения неправомерного доступа к компьютерной информации, какие меры предпринять в случае обнаружения непосредственной угрозы.

На сегодняшний день существует серьезный пробел - это изучение личности несовершеннолетнего компьютерного преступника. Поэтому, внимание должно уделяться профилактике противоправной деятельности среди подростков. Подросток должен осознавать, что его действия причиняют вред конкретным людям, что они вызывают общественное неодобрение и что может последовать наказание. Правоохранительные органы должны прилагать усилия к разобщению выявленных молодежных групп, имеющих противоправные намерения, но еще не ставших на путь совершения преступлений. Умелые профилактические действия способны изменить направленность подобных групп. Но, как отмечает А.В. Шеслер, переориентация «группы возможна только в тех случаях, когда она не стала преступной. Преступная группа является уже совокупным объектом уголовных правоотношений, которые влекут применение мер, направленных на разобщение группы».В первую очередь воздействие должно осуществляться на лидера такой группы. Как правило, профилактические мероприятия способны оказать большой эффект при их проведении в отношении лиц, ранее не привлекавшихся к уголовной ответственности, особенно несовершеннолетних. При этом, безусловно, важно знание и использование основных методов психологического воздействия.

Как отмечает Н.И. Крюкова: «В среде несовершеннолетних все больше распространяются такие виды преступлений, которые ранее были присущи в основном взрослым: торговля оружием и наркотиками, притоносодержательство, изготовление и сбыт фальшивых денег, а также компьютерные преступления».

В нашей стране этот вид криминальной деятельности несовершеннолетних пока не получил широкого распространения, но за границей такие случаи часты, поскольку практически все учебные заведения компьютеризированы. Более того, учебные заведения, например, служат источниками распространения компьютерных вирусов.

С распространением компьютерных сетей несовершеннолетние правонарушители в России получили такие же широкие возможности. Благодаря особой любознательности они начинают знакомство с компьютером в среднем с 5 лет. Несовершеннолетние сейчас развиваются очень быстро.

«Если молодой человек быстро развивается и пытается утвердить себя как личность, то за этим должен следовать вывод, что личность-то должна в таких условиях раньше понимать, «что такое хорошо, а что такое плохо». Однако сложность проблемы заключается в том, что жизненный опыт, социальная воспитанность и сейчас приходят все-таки позднее, чем физическое и умственное развитие, что в то же время не освобождает человека от обязанности отвечать за свои поступки».

Несмотря на высокую степень компьютерной грамотности, несовершеннолетние остаются специфической категорией злоумышленников. Более того, они становятся все более оторванными от реальной жизни и норм поведения, принятых в ней. Поэтому во многих странах популярна идея введения такой меры наказания для несовершеннолетних, как лишение права пользования компьютером на различные сроки.

Меры индивидуальной профилактики позволяют оказывать непосредственное воздействие на конкретного человека с целью вывода его из-под влияния преступной среды. В рассматриваемой сфере наиболее действенными можно считать следующие меры:

- формирование у данного лица понимания неотвратимости наказания;

- осуществление мероприятий, вынуждающих лицо к добровольному отказу от совершения противоправных действий;

- внедрение в группах криминальной направленности взаимного недоверия и страха перед неизбежным разоблачением.

Система мер предупреждения неправомерного доступа к компьютерной информации определяется особенностями этих нарушений, личностью правонарушителей, причинами и условиями, способствующими совершению рассматриваемой категории нарушений. Охватываемые данной системой меры являются достаточно многочисленными, они различаются по целям, уровням применения, масштабам, правовой урегулированностью, характеру осуществления.

Проведенное исследование позволило определить основные меры предупреждения неправомерного доступа к компьютерной информации организационно-управленческого характера. Действие этих мер направлено на наведение должного порядка и дисциплины в сфере сохранности охраняемой законом информации. Нарушения в организации управления производством относятся к числу факторов, оказывающих существенное влияние на механизм совершения неправомерного доступа к компьютерной информации.

Курс на укрепление дисциплины и порядка, в том числе и в сфере информационной безопасности, должен быть неизменным и последовательным в политике государства. Важнейшими направлениями этой работы являются дальнейшее совершенствование структуры управления производством, повышение ответственности руководства различных уровней за решение вопросов, связанных с обеспечением режима секретности, улучшение дисциплины исполнения, совершенствование системы стимулирования, учета и контроля.

1. Совершенствование структуры управления производством. Эта работа является важным звеном перестройки механизма информационной безопасности в новых экономических условиях.

Речь идет о четком распределении компетенции между подразделениями службы безопасности и тематическими подразделениями, что позволит избежать дублирования в работе и улучшить координацию совместных действий по обеспечению режима секретности и противодействию неправомерному доступу к компьютерной информации.

Наибольшее число опрошенных (58%) заявили, что недостатки в организации труда являются основной причиной и условием, способствующими нарушению режима секретности проводимых работ и как следствие - неправомерному доступу к компьютерной информации.

С целью исключения случаев неправомерного доступа к компьютерной информации администрацией предприятий издавались приказы, указания по следующим направлениям:

- усиление воспитательно-профилактической работы (30% случаев);

- устранение недостатков пропускного и внутриобъектового режима (35%);

- улучшение порядка учета, хранения и движения охраняемой законом компьютерной информации (35%).

Важное значение имеет конкретизация служебных обязанностей подразделений службы безопасности и тематических подразделений в сфере сохранности охраняемой законом компьютерной информации. На это обстоятельство как меру предупреждения указали 55% опрошенных. Одновременно они отметили слабую работу по защите охраняемой законом компьютерной информации.

Действительно, нормативное закрепление полномочий в сфере сохранности охраняемой законом компьютерной информации в должностных положениях и инструкциях для каждого руководителя и исполнителя секретных работ способствует устранению дублирования, повышает личную ответственность, положительно влияет на подбор, расстановку и воспитание кадров, устраняет возможность произвольного толкования прав и обязанностей как со стороны вышестоящих руководителей, так и самих работников, что в конечном итоге ведет к качественному выполнению ими своих функций, а значит, и предупреждению неправомерного доступа к компьютерной информации.

В рамках общего совершенствования структуры управления предприятий важное значение, несомненно, приобретает совершенствование структуры подразделений, занимающихся непосредственно обеспечением режима секретности проводимых работ.

2. Повышение ответственности руководителей и исполнителей секретных работ связано, прежде всего, с их качественным подбором, расстановкой и обучением, что имеет важное значение для предупреждения неправомерного доступа к компьютерной информации.

Подбор кадров, как известно, заключается в выявлении, изучении и оценке кандидатур работников, наиболее полно отвечающих общим и специальным требованиям. Особое внимание следует уделять подбору кадров и оценке их деятельности с точки зрения добросовестности, знания дела и профессиональных способностей.

Основополагающими предпосылками выполнения требований, предъявляемых к руководителям и исполнителям секретных работ, выступают развитие их способностей и формирование личности.

Планомерная профессиональная подготовка, непрерывное повышение квалификации кадров создают эти предпосылки и являются гарантией того, что руководители и исполнители секретных работ справятся с возложенными на них служебными обязанностями и обретут уверенность в работе.

Хорошим инструментом для проверки указанных каналов служит аттестация специалистов и руководителей. В рыночных условиях должны быть учтены эффективность труда и компетентность каждого работника, в том числе и его отношение к вопросам сохранения секретной компьютерной информации.

Расстановка кадров - логическое продолжение деятельности по подбору работников. В полной мере следует использовать избрание по конкурсу и выборы руководителей с тем, чтобы лица, халатно относящиеся к служебным обязанностям по сохранению государственной и коммерческой тайны, не принимались на работу на предприятие.

В ходе исследования был проведен опрос в негосударственных организациях «Неправомерный доступ к компьютерной информации» .

3. Улучшение дисциплины исполнения во многом зависит от внедрения научной организации труда в дело обеспечения защиты секретов. Речь идет о создании необходимых условий для работы исполнителей секретных работ.

Регламентация доступа персонала к конфиденциальным сведениям, документам и базам данных является одной из центральных проблем системы защиты информации. Регламентация порядка доступа лежит в основе режима конфиденциальности проводимых организацией работ.

Режим представляет собой совокупность ограничительных правил, мероприятий, норм, обеспечивающих контролируемый доступ на определенную территорию, в помещения, к информации и документам. Любой режим базируется на так называемой разрешительной системе. Разрешительная система в общем виде предусматривает необходимость получения специального разрешения на осуществление соответствующих правовых мероприятий, например на въезд в пограничную зону, на посещение воинской части и т.п.

Разрешительная (разграничительная) система доступа в сфере коммерческой тайны представляет собой совокупность правовых норм и требований, устанавливаемых первым руководителем или коллективным органом руководства фирмой с целью обеспечения правомерного ознакомления и использования сотрудниками фирмы конфиденциальных сведений, необходимых им для выполнения служебных обязанностей.

Особенность информационного обслуживания потребителей конфиденциальной информации заключается в том, что вопросы определения состава необходимой им информации решаются полномочным руководителем, а не самими потребителями.

Структура процедуры разграничения доступа должна быть многоуровневой, иерархической.

Иерархическая последовательность доступа к информации реализуется по принципу «чем выше уровень доступа, тем уже круг допущенных лиц», «чем выше ценность сведений, тем меньшее число сотрудников может их знать».

Создание необходимых условий для работы должностных лиц, как меру предупреждения неправомерного доступа к компьютерной информации, отметили 80% опрошенных исполнителей секретных работ.

4. Совершенствование системы стимулирования, учета и контроля. Служба безопасности в практической деятельности столкнулась с необходимостью повышения уровня материального стимулирования, внедрения внутреннего хозрасчета в деле обеспечения сохранности секретов. Опрос исполнителей секретных работ показал, что большинство из них считают эффективной мерой предупреждения неправомерного доступа к компьютерной информации повышение авторитета сотрудников службы безопасности за счет улучшения материального положения.

Некоторые из опрошенных прямо указали в качестве стимула, повышающего уровень работы по сохранению секретов, установление сотрудникам предприятия «надбавки за секретность».

Главной задачей совершенствования контроля за деятельностью исполнителей секретных работ и руководителей выступает своевременное обнаружение, устранение или преодоление чрезмерной их загрузки, что может оказать благоприятное влияние на результаты труда, и, следовательно, явиться эффективной мерой предупреждения неправомерного доступа к компьютерной информации. Речь идет, прежде всего, об изменении объективных условий деятельности исполнителей секретных работ.

Весьма интересы и заслуживают внимания высказывания опрошенных лиц относительно перестройки отдельных направлений работы по сохранению секретов. Нужен, по их мнению, автоматизированный контроль за выполнением требований режима секретности.

Меры воспитательного характера. Проведение мер воспитательного характера в рамках предупреждения неправомерного доступа к компьютерной информации как части общей программы действий по устранению из жизни общества явлений, препятствующих построению правового государства и лежащих в основе антиобщественного поведения, предусматривает повышение уровня правосознания и культуры исполнителей секретных работ, устранение перенапряжения в их работе.

Важными направлениями в этом плане являются воспитание организованности и ответственности путем улучшения идеологической работы и совершенствования морального стимулирования. Что касается идеологической работы, то после развала СССР и образования Российской Федерации в идеологической сфере наблюдается некий вакуум, и это отрицательно влияет на процесс становления информационной безопасности предприятий.

Воспитательно-профилактическая работа (ВПР) с исполнителями секретных работ должна быть направлена на устранение обстоятельств, которые обусловливают совершение неправомерного доступа а компьютерной информации.

Воспитательно-профилактическая работа включает в себя систему педагогических методов воздействия на сознание, чувства и волю, характер исполнителей секретных работ и документов с целью формирования у них таких качеств, как высокая бдительность, твердое знание и неукоснительное соблюдение установленных правил обращения с секретными документами, сведениями и изделиями, умение хранить доверенные государственные и коммерческие секреты, своевременно выявлять и устранять причины и условия совершения неправомерного доступа к компьютерной информации.

ВПР является важным элементом деятельности по предупреждению неправомерного доступа к компьютерной информации, органической частью общей воспитательной работы, проводимой в трудовых коллективах предприятий.

ВПР проводится руководящим составом предприятия, службой безопасности при активном участии всех работников предприятия.

Конечной целью ВПР является предотвращение неправомерного доступа к компьютерной информации.

Задачи ВПР состоят в том, чтобы:

- воспитывать у работников предприятий бдительность и чувство личной ответственности за сохранение секретов;

- создавать в трудовых коллективах обстановку нетерпимости к фактам нарушения режима секретности и норм, предусматривающих ответственность за неправомерный доступ к компьютерной информации;

- прививать исполнителям секретных работ навыки предупреждения неправомерного доступа к компьютерной информации.

Основными элементами ВПР являются воспитание и обучение исполнителей, а также профилактика неправомерного доступа к компьютерной информации.

Анализ, проведенный на ряде предприятий, показывает, что 25% опрошенных считают эффективной мерой усиление воспитательной работы среди исполнителей секретных работ.

В интересах повышения качества ВПР среди исполнителей необходимо руководствоваться следующим:

к участию в ВПР должны быть привлечены работники службы безопасности и руководители тематических подразделений, хорошо знающие характер и степень секретности проводимых работ, внешние связи;

вооружить воспитателей знаниями, систематически информировать воспитателей об особенностях оперативной обстановки на предприятиях, в местах проведения работ, в подразделениях;

разработать и внедрить систему управления воспитательным процессом (при необходимости ввести институт уполномоченных по ВПР в подразделениях);

установить регламент периодичности ознакомления с нормативными документами по вопросам сохранения секретов исполнителей и руководителей подразделений;

периодически проводить семинары для воспитателей ВПР, обеспечить их методическими пособиями и необходимой литературой по вопросам ВПР.

Основные методы воспитания состоят в следующем: убеждение, требование, поощрение, наказание, критика и самокритика.

Основные принципы обучения выражаются в сознательности обучения, наглядности, систематичности и последовательности, доступности в обучении, прочности в усвоении знаний, индивидуальном подходе в обучении.

Анализ практики работы ряда предприятий показывает, что важными направлениями в обучении исполнителей следует считать:

- изучение в рамках профессиональной учебы по специально разработанным программам законодательных актов, приказов, инструкций, положений, устанавливающих требования режима секретности;

- изучение причин и обстоятельств неправомерного доступа к компьютерной информации с целью привития исполнителям навыков их предупреждения в практической работе;

- первичная подготовка вновь принятых на работу по вопросам защиты информации;

- проверка и оценка знаний исполнителями действующих инструкций и положений по вопросам защиты информации, прием зачетов.

- включение в состав аттестационных комиссий руководителей и работников службы безопасности с целью проверки знаний, навыков у аттестуемого по вопросам защиты секретов.

В числе основных организационных форм воспитания следует назвать следующие: первичный, повторный и дополнительный инструктаж; проведение лекций, бесед, докладов о защите государственных, служебных и коммерческих секретов; оформление наглядной агитации по вопросам защиты информации (бюллетени, различные стенды и т.д.), периодические выступления руководителей подразделений перед подчиненными с докладами о состоянии режима секретности проводимых работ в подразделении; учет состояния режима секретности как одного из важных показателей деятельности подразделения при подведении итогов за год, полугодие, квартал и месяц, влияющего на премирование работников; своевременное доведение приказов руководства о поощрении работников за проявленную инициативу в деле защиты секретов; участие специалистов основной деятельности предприятия совместно с сотрудниками службы безопасности в проведении аналитических исследований по предупреждению неправомерного доступа к компьютерной информации; проведение проверок на рабочих местах исполнителей; заслушивание отчетов руководителей подразделений на совещаниях у руководителя или его заместителя по режиму о состоянии режима секретности в подразделениях; составление и рассылка в подразделения рекомендаций по предупреждению неправомерного доступа к компьютерной информации; индивидуальная воспитательная работе с исполнителями в структурных подразделениях; проведение научно-практических семинаров, совещаний по вопросам укрепления информационной безопасности предприятия.

Опрос показал, что устранение недостатков, способствующих совершению неправомерного доступа к компьютерной информации, возможно силами администрации предприятий в 85% случаев.

Проведение мер воспитательного характера не может отменить воздействия других обстоятельств различного характера, способствующих неправомерному доступу к компьютерной информации.

Особое значение в современных условиях приобретает воспитание у исполнителей секретных работ умения и смелости вести откровенный разговор о действительной или мнимой несправедливости материального и морального стимулирования труда, о недостатках и ошибках вышестоящего руководства.

Совершенствование морального стимулирования предполагает более качественное использование имеющихся стимулов и поиск новых форм, побуждающих работников к высокопроизводительному труду, частью которого является добросовестное отношение к сохранности секретов. Моральные стимулы оказывают определенную поддержку при решении производственных задач.

Представляется, что моральное поощрение должно определяться не занимаемой должностью, а производится на основании учета личного трудового вклада.

Меры правового характера. Они занимают особое место в числе других мер. Изучение обстоятельств, способствующих неправомерному доступу к компьютерной информации, показывает, что многие из них связаны в определенной мере с имеющимися пробелами в законодательстве, несовершенством и противоречивостью отдельных норм, регулирующих отношения в сфере защиты государственных, коммерческих секретов. Это указывает на необходимость их дальнейшего совершенствования.

Совершенствование правового регулирования деятельности по защите секретов связано в определенной мере с реализацией уже принятых законов в этой сфере, наведением должного порядка в ведомственном и корпоративном регулировании вопросов защиты государственных, коммерческих секретов, закреплением определенного порядка в толковании норм, регламентирующих процесс обеспечения режима секретности (конфиденциальности) проводимых работ, секретного делопроизводства, противодействия неправомерному доступу к компьютерной информации и разработки научно обоснованных рекомендаций по их предупреждению.

 

Автор: Ястребов Д.А.