Защита конфиденциальной информации в ОАО СК «РОСНО»

КУРСОВАЯ  РАБОТА

по дисциплине «Теория организации»

на тему:

Защита конфиденциальной информации в ОАО СК «РОСНО»

2010

Оглавление

Введение……………………………………………………………………………...3

ГЛАВА 1. Теоретические аспекты защиты конфиденциальной информации в организации 

1.1.Понятие, сущность и виды конфиденциальной информации………….7

1.2. Коммерческая тайна как вид конфиденциальной информации……...10

1.3. Основные направления, средства и методы защиты информации в организации………………………………………………………………………....15

1.4. Организационные и организационно-технические мероприятия по защите информации………………………………………………………………..18

ГЛАВА 2. Анализ системы защиты конфиденциальной информации в ОАО СК «РОСНО»

2.1. Характеристика производственно-хозяйственной деятельности страховой компании «РОСНО»…………………………………………………...21

2.2. Анализ методов и способов защиты конфиденциальной информации в ОАО СК «РОСНО»……………………………………………………………….24

ГЛАВА 3. Совершенствование системы защиты конфиденциальной информации в ОАО СК «РОСНО»

3.1. Предложения и рекомендации по усовершенствованию системы защиты конфиденциальной информации в ОАО СК «РОСНО»………………..31

Заключение………………………………………………………………………….34

Список использованных источников…………………………………………...…37

Приложения……………………………………………………………………..…..39

Введение

Кто владеет информацией,

тот владеет миром.

Уинстон Черчилль¹

Примечательная  особенность нынешнего периода  — переход от индустриального  общества к информационному, в котором  информация становится более важным ресурсом, чем материальные или энергетические ресурсы.

Мы живем  в мире информации. Владение информацией  во все времена давало преимущества той стороне, которая располагала  более точной и обширной информацией, тем более, если это касалось информации о своих соперниках. Это подтверждается и тем, что государственные и  коммерческие секреты, а, следовательно, и охота за ними, их добывание возникли на заре человеческого общества, когда появились государства, развивалась торговля между ними.

Понятие «информация» сегодня употребляется  весьма широко и разносторонне. Трудно найти такую область знаний, где  бы оно не использовалось. Огромные информационные потоки буквально захлестывают людей.

Проблема  защиты информации от несанкционированного доступа к ней возникла давно, с той поры, когда человеку по каким-либо причинам не хотелось делиться ею ни с кем или не с каждым человеком. С развитием человеческого  общества, появлением частной собственности, государственного строя, борьбой за власть и дальнейшим расширением  масштабов человеческой деятельности информация приобретает цену. Ценной становится та информация, обладание  которой позволит ее существующему  и потенциальному владельцам получить какой-либо выигрыш: материальный, политический, военный и т. д.

В период существования примитивных носителей  информации ее защита осуществлялась организационными методами, которые  включали ограничение и разграничение  доступа, определенные меры наказания  за разглашение тайны. По свидетельству  Геродота, уже в V веке до нашей эры использовалось преобразование информации методом кодирования. Коды появились в глубокой древности в виде криптограмм (по-гречески — тайнопись). Спартанцы имели специальный механический прибор, при помощи которого важные сообщения можно было писать особым способом, обеспечивающим сохранение тайны. Собственная секретная азбука была у Юлия Цезаря. В средние века и эпоху Возрождения над изобретением тайных шифров трудились многие выдающиеся люди, в их числе известный философ Френсис Бэкон, крупные математики — Франсуа Виет, Джероламо Кардано, Джон Валлис.

С переходом  на использование технических средств  связи информация подвергается воздействию  случайных процессов: неисправностям и сбоям оборудования, ошибкам  операторов и т. д., которые могут  привести к ее разрушению, изменениям на ложную, а также создать предпосылки  к доступу к ней посторонних  лиц. С дальнейшим усложнением и  широким распространением технических  средств связи возросли возможности  для преднамеренного доступа  к информации.

Увеличение  объемов информации, необходимость  сосредоточения ее в единые базы данных, автоматизация обмена информацией  на больших расстояниях, расширение круга пользователей и увеличение количества технических средств  и связей в автоматизированных системах управления и обработки данных стало  предпосылкой сложных автоматизированных систем.

Актуальность  темы состоит в том, что угроза похищения конфиденциальной информации возрастает с каждым годом. Информация, хранимая в электронном виде, очень просто копируется, а современные операционные системы и средства обработки данных стали настолько сложны, что ее защита становится нелегкой задачей. Однако ценность любой информации состоит именно в ее использовании в повседневной работе, что повышает опасность ее утечки.

Предметом исследования и  анализа является система защиты конфиденциальной информации, а объектом исследования – филиал страховой компании «РОСНО» в Бурятии.

Цели данной работы:

• разработка предложений и рекомендаций по усовершенствованию действующей системы защиты конфиденциальной информации в ОАО СК «РОСНО»

Для достижения цели данной работы необходимо решить следующие  задачи:

• раскрытие теоретических аспектов защиты конфиденциальной информации в организации;
• изучение основных направлений, методов и способов её защиты;
• исследование и анализ производственно-хозяйственной деятельности компании и анализ системы защиты конфиденциальной информации в ОАО СК «РОСНО»

При написании  данной работы использованы следующие общие методы познания: системного и комплексного исследования, дедукции и индукции, анализа и синтеза, функциональный метод, аналогия и др.

Общетеоретическую и нормативную  основы исследования составили  труды  отечественных и зарубежных ученых, нормативно-правовые акты в сфере регулирования трудовой деятельности организаций, а также, созданные в рамках организации, локальные правовые акты.

Данная курсовая работа состоит  из трех глав. Первая глава называется «Теоретические аспекты защиты конфиденциальной информации в организации». Здесь  будет раскрыто:  понятие, сущность и виды конфиденциальной информации; понятие коммерческой тайны; основные направления, средства и методы защиты конфиденциальной информации, а также организационные и организационно-технические мероприятия по защите информации.

Вторая глава носит  название «Анализ системы защиты конфиденциальной информации в ОАО СК «РОСНО». Здесь будет исследовано и проанализировано следующее: характеристика производственно-хозяйственной деятельности ОАО СК «РОСНО» и существующая система защиты конфиденциальной информации в ОАО СК «РОСНО».

Третья  глава – «Совершенствование системы  защиты конфиденциальной информации в ОАО СК «РОСНО» является заключительной главой курсовой работы, где будут предложены рекомендации по улучшению защиты конфиденциальной информации в ОАО СК «РОСНО».

Теоретические аспекты  защиты конфиденциальной информации в организации

1. Понятие, сущность и виды конфиденциальной информации

Первоначально, информация - это сведения, передаваемые людьми устным, письменным или другим способом (с помощью условных сигналов, технических средств и т.д.); с  середины XX века общенаучное понятие, включающее обмен сведениями между  людьми, человеком и автоматом, автоматом  и автоматом; обмен сигналами  в животном и растительном мире, передача признаков от клетки к клетке, от организма к организму.²

Сформулированные  к настоящему времени строгие  научные определения концентрируют  внимание на одном из основных аспектов этого многозначного понятия  — соотношении информации и материи.

Согласно  традиционной философской точке  зрения, информация существует независимо от человека и является свойством  материи. Она рассматривается, как  отражение объектов материального  мира, в частности, отражение организованности или упорядоченности кибернетических  объектов. Согласно нетрадиционной точке  зрения информация трактуется как первооснова  микро и макромира Вселенной (информация — первична, а материя — вторична). Она существует независимо от нас  и проявляется в триедином  процессе фундаментального взаимодействия энергии, движения и массы в пространстве и во времени.

Определению информации как сведений разного  рода, представленных в любой форме  и являющихся объектами различных  процессов, наиболее соответствует  следующая узкая трактовка понятия  «защита информации».

В этом случае под защитой информации понимается совокупность мероприятий и действий, направленных на обеспечение ее безопасности — конфиденциальности и целостности  — в процессе сбора, передачи, обработки  и хранения. Это определение подразумевает тождественность понятий «защита информации» и «обеспечение безопасности информации».

Безопасность  информации — это свойство (состояние) передаваемой, накапливаемой, обрабатываемой и хранимой информации, характеризующее  ее степень защищенности от дестабилизирующего воздействия внешней среды (человека и природы) и внутренних угроз, то есть ее конфиденциальность (секретность, смысловая или информационная скрытность), сигнальная скрытность (энергетическая и структурная) и целостность  — устойчивость к разрушающим, имитирующим  и искажающим воздействиям и помехам.³

Конфиденциальность  информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам  без согласия ее обладателя (ФЗ 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Конфиденциальная  информация - документированная информация, доступ к которой ограничен в  соответствии с законодательством  Российской Федерации.

Под защитой  информации, в более широком смысле, понимают комплекс организационных, правовых и технических мер по предотвращению угроз информационной безопасности и устранению их последствий.

Сущность  защиты конфиденциальной информации состоит в выявлении, устранении или нейтрализации негативных источников, причин и условий воздействия на информацию. Эти источники составляют угрозу безопасности этой информации.

Виды информации по категориям доступа:

В статье 5, ФЗ «Об информации, информационных технологиях и защите информации» от 27.7.2006 г. № 149-ФЗ, сказано: «Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа)».

Разберем эти понятия.

Общедоступная информация, говоря простым языком, та информация, которую нельзя скрывать от общества. Примером может служить информация о состоянии окружающей среды, о деятельности органов государственной власти и органов местного самоуправления, документы, накапливаемые в открытых фондах библиотек и архивов. Так же в эту категорию можно отнести нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, правовое положение организаций и полномочия государственных органов, органов местного самоуправления.

Информацией ограниченного  доступа является информация представляющая ценность для ее владельца, доступ к которой ограничивается на законном основании. В свою очередь информация ограниченного доступа подразделяется на информацию, составляющую государственную тайну и информацию, соблюдение конфиденциальности которой установлено федеральным законом (конфиденциальная информация).

Перечень сведений, отнесенных к государственной тайне, опубликован в ст. 5 Закона РФ 1993 г. № 5485-1 «О государственной тайне». Существует три степени секретности такой информации:

• Особой важности;
• Совершенно Секретно;
• Секретно.

Порядок отнесения информации к конфиденциальной и виды конфиденциальной информации установлены Указом Президента РФ № 188 от 06.03.1997. «Об утверждении перечня  сведений конфиденциального характера». В соответствии с данным Указом, к конфиденциальной информации относятся:

• Персональные данные - сведения о фактах, событиях и обстоятельствах частой жизни гражданина, позволяющие идентифицировать его личность, за исключением сведений, подлежащих распространению в средствах массовой информации в установленном федеральными законами случаях;
• Тайна следствия и судопроизводства - сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с ФЗ от 20 августа 2004 г. № 119-ФЗ и другими нормативными правовыми актами Российской Федерации;
• Служебная тайна - служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами;
• Профессиональная тайна - сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений и т.д.);
• Коммерческая тайна - сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами;
• Сведения о сущности изобретения - сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
2. Коммерческая тайна как вид конфиденциальной информации

Легальное определение коммерческой тайны даёт статья 3 Федерального закона № 98-ФЗ «О коммерческой тайне»: «коммерческая тайна - режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду». Ранее определение коммерческой тайны было дано в ст. 139 ГК РФ: «коммерческая тайна – это информация, имеющая действительную или потенциальную коммерческую ценность в силу её неизвестности третьим лицам, к которой нет доступа на законном основании и обладатель которой принимает меры по охране её конфиденциальности», но с 1 января 2008 г. она утратила силу.

Таким образом, коммерческая тайна является одним  из видов конфиденциальной информации. Исходя из положений законодательства, к коммерческой тайне может быть отнесена только документированная  информация, т.е. информация, которая  зафиксирована на каких-либо материальных носителях. Такой вывод подтверждается и тем, что проектом закона «О коммерческой тайне» коммерческой тайной также признаются сведения, зафиксированные на каких-либо материальных носителях: документах, материальных объектах, в том числе физических полях, в которых информация составляющая коммерческую тайну, находит своё отображение  в виде символов, образов, сигналов, технических решений и процессов.⁴ Идеи, замыслы, сведения и прочие данные, какую бы ценность для их обладателя они не представляли, если они не зафиксированы в какой-либо материальной форме, по действующему законодательству остаются незащищёнными. Между тем, в отношении информации важно не то, в какой форме она существует, а то, какова ценность сведений, которые она содержит. Следует отметить, что законодательство других стран не связывает предоставление правовой охраны сведениям, составляющим коммерческую тайну, с их фиксацией на каких-либо материальных носителях.⁵

В соответствии со статьей 3 Федерального закона № 98-ФЗ «О коммерческой тайне», информация, чтобы считаться коммерческой тайной, должна соответствовать одновременно следующим трем признакам:

• информация должна иметь действительную или потенциальную коммерческую ценность в силу её неизвестности третьим лицам,
• к ней нет доступа на законном основании,
• обладатель информации принимает меры по охране её конфиденциальности.

Классификация сведений, составляющих коммерческую тайну, наглядно изображена схемой (см. Приложение 1)

Рассмотрим  подробнее вышеперечисленные критерии охраноспособности:

1. Коммерческая ценность информации:

а) под коммерческой ценностью в литературе понимается способность информации быть объектом рыночного оборота;⁶

б) информация, использование которой предоставляет её обладателю определённые экономические преимущества в силу того, что его конкуренты такой информацией не обладают;

в) сведения, представляющие интерес для третьих лиц, которые могли бы получить определённую выгоду, если бы они этой информацией обладали;

г) информация, составляющая коммерческую тайну, может иметь не только действительную, но и потенциальную коммерческую ценность. Поэтому к коммерческой тайне относятся не только знания и сведения, активно используемые в предпринимательской деятельности, но и такие, которые не используются, но могут быть использованы в будущем.

2. Отсутствие доступа к информации на законном основании:

а) информация не должна быть общеизвестна. Общеизвестная информация, даже если она имеет большую коммерческую ценность, в принципе, не может считаться коммерческой тайной;

б) акцент может быть сделан на словах «свободного доступа». Возможность свободного доступа не означает, что как только та или иная информация становится доступной для получения третьими лицами, она теряет статус коммерческой тайны. Классический пример - формула Кока-колы. Все ингредиенты этого напитка известны, он повсеместно продаётся, однако его формула представляет собой коммерческую тайну производящей его компании, поскольку никому ещё не удавалось её раскрыть. Она не может быть «легко получена», хотя доступ на законном основании к ней имеется. Сам факт возможности свободного доступа ещё не означает автоматически потерю информацией статуса коммерческой тайны;

в) В настоящее время в различных действующих нормативно-правовых актах можно встретить нормы, предоставляющие работникам соответствующих органов право истребовать разного рода информацию, в том числе и составляющую коммерческую тайну. Так, например, в соответствии со ст. 31 Налогового кодекса РФ, налоговые органы, в частности, имеют право:

• осматривать (обследовать) любые используемые налогоплательщиком для извлечения дохода либо связанные с содержанием объектов налогообложения производственные, складские, торговые и иные помещения и территории,
• изымать при проведении налоговых проверок у налогоплательщика или иного обязанного лица документы, свидетельствующие о совершении налоговых правонарушений,
• требовать от налогоплательщика или иного обязанного лица документы, подтверждающие правильность исчисления и своевременность уплаты налогов.

3. Меры по охране конфиденциальности информации.

Рассмотренные выше критерии охраноспособности характеризуют  коммерческую тайну с объективной  стороны. Третий критерий, предъявляемый  Федеральным законом № 98-ФЗ «О коммерческой тайне» к информации, составляющей коммерческую тайну - наличие мер по охране её конфиденциальности, характеризует её с субъективной стороны. Так, В. Розенберг ещё в 1910 году писал: «То, что могло бы быть по своим объективным признакам тайною, не есть таковая, если тот, ради интересов которого охраняется тайна, не пожелал сделать из этого тайны».⁷

Закон «О коммерческой тайне» базируется на том, что охрана конфиденциальности осуществляется обладателем информации самостоятельно. При этом закон предусматривает, что меры по охране конфиденциальности в обязательном порядке должны включать в себя:

• определение и утверждение перечня сведений, составляющих коммерческую тайну,
• разработку и доведение до лиц, допущенных к сведениям, составляющим коммерческую тайну, инструкций по соблюдению режима конфиденциальности,
• ограничение доступа к носителям информации, содержащим коммерческую тайну,
• ведение специального делопроизводства, обеспечивающего выделение и сохранность носителей, содержащих коммерческую тайну,
• использование технических и иных средств защиты коммерческой тайны,
• осуществление контроля за режимом конфиденциальности.⁸

Все меры по поддержанию секретности информации можно условно разделить на три  большие группы: технические, организационные  и юридические меры.

1. К техническим  относятся меры, связанные с использованием  различных технических средств,  препятствующих несанкционированному  доступу к информации. Сюда относятся: 

• кодирование сообщений, передаваемых по каналам электронной или факсимильной связи,
• установление различных устройств, препятствующих снятию информации в процессе её прохождения по каналам связи,
• использование аппаратов для уничтожения документов и т.д.

2. К организационным  можно отнести меры по ограничению  доступа к секретной информации  работников организации и третьих  лиц. Сюда входят:

• введение пропускного режима на предприятии,
• ограничение доступа на отдельные участки производства лиц, не участвующих непосредственно в производственных процессах на данных участках,
• установление различных режимов секретности документов и т.д.

3. К юридическим  мерам относятся такие способы  охраны конфиденциальности информации, которые предполагают использование  различных правовых возможностей, имеющихся у обладателя информации.

1.3. Основные направления, средства и методы защиты информации

Среди направлений по защите информации выделяют обеспечение защиты информации от несанкционированного доступа (хищения, утраты, искажения, подделки, блокирования и специальных воздействий) и от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи.

Прежде всего, защите подлежит та информация, в отношении которой угрозы реализуются без применения сложных технических средств перехвата информации. Так же защите подлежит речевая информация; информация, выводимая на экраны видеомониторов; хранящаяся на физических носителях; информация, передающаяся по каналам связи. Не менее значимым является своевременное предупреждение возможных угроз информационной безопасности.

Средства защиты информации подразделяются на: технические, программно-аппаратные и программные. На данный момент существует достаточно широкий выбор средств защиты информации, как от несанкционированного доступа, так и от утечки по техническим каналам.

Для предупреждения и предотвращения утечки информации по техническим каналам, должны быть выполнены следующие  условия:

• Использование сертифицированных серийно выпускаемых в защищенном исполнении технических средств обработки, передачи и хранения информации;
• Использование технических средств, удовлетворяющих требованиям стандартов;
• Использование сертифицированных средств защиты информации;
• Использование сертифицированных систем гарантированного электропитания (источников бесперебойного питания).⁹

От утечки информации за счет несанкционированного доступа применяют следующее:

• Реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к информации и связанным с ее использованием работам, документам;
• Ограничение доступа персонала и посторонних лиц в помещения, где размещены средства информатизации и коммуникационное оборудование, а также хранятся носители информации;
• Разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
• Учет и надежное хранение бумажных и машинных носителей конфиденциальной информации и их обращение, исключающее хищение, подмену и уничтожение;
• Использование сертифицированных по требованиям безопасности информации специальных защитных знаков, создаваемых на основе физико-химических технологий для контроля доступа к объектам защиты и для защиты документов от подделки;
• Организация физической защиты помещений и собственно технических средств обработки информации с использованием технических средств охраны, предотвращающих или существенно затрудняющих проникновение в здания, помещения посторонних лиц, хищение документов и носителей информации, самих средств информатизации

Одним из наиболее эффективных методов обеспечения безопасности конфиденциальной информации являются организационно-технические методы - создание и совершенствование системы обеспечения информационной безопасности, разработка, использование и совершенствование систем защиты информации и методов контроля их эффективности.

Этот этап тесно связан с правовыми методами защиты информации, такими как лицензирование, сертификация средств защиты информации и применение уже сертифицированных, и аттестация объектов информатизации по требованиям безопасности информации.

Защита конфиденциальной информации всегда является комплексным мероприятием. В совокупности, организационные и технические мероприятия позволяют предотвратить утечку информации по техническим каналам, предотвратить несанкционированный доступ к защищаемым ресурсам, что в свою очередь обеспечивает целостность и доступность информации при ее обработке, передаче и хранении. Так же техническими мероприятиями могут быть выявлены специальные электронные устройства перехвата информации, установленные в технические средства и защищаемое помещение.¹⁰

Основные элементы защиты конфиденциальной информации, составляющей коммерческую тайну организации, представлены в таблице 1.

Таблица 1

Если говорить об экономической  стороне защиты информации, всегда важно одно правило – стоимость  системы защиты информации не должна превышать стоимость этой информации. Но это не единственное «но» в этом вопросе.