Внутриофисная безопасность

    СОДЕРЖАНИЕ

    ВВЕДЕНИЕ

     Безопасность  фирмы - одна из важнейших задач, которая стоит перед каждым руководителем.

     В современном понимании безопасность внутриофисной работы рассматривается  во многих аспектах и подразумевает  не только сохранность материальных ценностей, находящихся на территории или в здании фирмы, но и защиту интеллектуальной собственности - в том числе, защиту от недобросовестной конкуренции.

     Безопасность  в фирме в целом - это, в первую очередь, безопасность персонала фирмы, гарантия отсутствия угрозы жизни и  здоровью людей как условие нормального  выполнения профессиональных функций.

     Под обеспечением безопасности фирмы понимается реализация комплекса взаимосвязанных  и взаимообусловленных организационно-управленческих, технических, кадровых, информационных и других мер, которые позволяют  обеспечить стабильное и прибыльное функционирование и развитие предприятия на протяжении длительного периода времени, предотвратить ущерб его деятельности от внутренних и внешних угроз и локализовать негативные последствия в случае их осуществления. 
 
 
 
 
 
 
 
 
 
 

1. Угрозы безопасности внутриофисной работы 

     Угроза  безопасности бизнеса – это событие, действие, процесс или явление, которое  посредством воздействия на людей, материальные ценности или информацию могут привести к нанесению ущерба, оказать воздействие на деятельность предприятия.  При рассмотрении угроз   важно, что бы все они были отражены в концепции безопасности и учитывались при разработке мер противодействия и локализации негативных последствий в случае наступления данного события. Практически невозможно разработать типовую российскую модель угроз бизнесу, так как в каждом конкретном случае они разнообразны и имеет специфическую окраску, содержание которой наиболее полно известно руководителю. Все возможные виды угроз можно классифицировать по нескольким основным показателям. Наиболее существенным из них является степень ущерба, который может быть нанесен фирме в результате действия какой-либо угрозы.

     Действительно, практическая деятельность большинства  фирм и предприятий богата на различные  ЧП, как крупные, приводящие к остановкам, а иногда и к полному уничтожению объекта (стихийные бедствия, крупные аварии и катастрофы), так и мелкие происшествия, которые по своей совокупности наносят достаточно большой ущерб отдельным участкам объекта, а иногда всей фирме в целом. По степени ущерба угрозы можно разделить на три основные группы:

     К первой группе относятся риски, приводящие к остановке предприятия вплоть до его ликвидации. Ко второй группе относятся риски, приводящие к большим  потерям значительно затрудняющие работоспособность предприятия. К третьей группе относят риски, приводящие к восполнимым потерям.

     Мировая статистика показывает, что угроза подслушивания (из группы III), например, в большинстве своем приводит к ущербу не более 15%, редко до 20%, от полной стоимости объекта. И действительно, еще не было такого случая, чтобы подслушивание непосредственно привело к гибели людей и к уничтожению всего объекта.

     Следует, однако, отметить, что в последние  десятилетия, в связи с бурным развитием электронной техники  и появлением самых разнообразных микроминиатюрных устройств, угрозу подслушивания чаще всего преувеличивают, что наблюдается сейчас очень наглядно в России. В большинстве своем это происходит от некомпетентности и субъективизма в теории и практике создания систем комплексной защиты.

     Иногда  угроза подслушивания возводится в  ранг наиглавнейшей сознательно, что  может привести к печальным последствиям, как это дважды и произошло  с московским офисом посольством  крупнейшей страны, дипломаты и пресса которой, постоянно заявляя о подслушивании, сами поверили в приоритет этой угрозы и чуть не поплатились жизнью во время двух пожаров, нанесших посольству и зданию огромные убытки.

     Объективно  оценить степень ущерба от указанных  трех групп угроз позволяет статистика происшествий, их анализ в истории фирм и предприятия, материалы местной и городской уголовной статистике и др.

    По  природе возникновения угрозы можно  разделить на два класса:

    1) естественные или объективные; 

    2) искусственные или субъективные.

    Естественные  угрозы - это угрозы, вызванные стихийными природными явлениями, не зависящими от человека (землетрясения, наводнения, ураганы и т.п.). Искусственные угрозы - это угрозы, вызванные деятельностью человека. К ним относятся:

    · непреднамеренные, неумышленные угрозы, вызванные ошибками в проектировании, монтаже оборудования и в его эксплуатации: носителем (субъектом) таких угроз является нарушитель;

    ·  преднамеренные, умышленные угрозы, связанные с определенными устремлениями людей, такими как терроризм, забастовки, хищения, кражи, подслушивание, несанкционированный доступ в компьютерные сети и т.п.,

    Неумышленные  угрозы могут вызвать на объекте:

    а) травмы и гибель людей;

    б) повреждения оборудования, линий  связи, каналов жизнеобеспечения из-за недостаточной квалификации, нарушения должностных инструкций.

     Эти угрозы могут быть как внутренними, так и внешними по отношению к  защищаемому объекту. В последнем  случае имеется в виду, что они  могут возникать за границей территории, но наносить ущерб защищаемому офису. Так, например, пожар или взрыв на соседнем объекте может вызвать повреждения и в офисе; радиоактивный выброс, химическое заражение, повреждение линий энергоснабжения и т.п. за пределами территории также могут повлечь за собой нарушение безопасности конкретного предприятия. Поскольку источник внешних угроз нельзя устранить собственными силами, их можно отнести к стихийным бедствиям.

    в) неумышленное изменение технологического процесса, внедрение и использование  нерегламентированных технических  средств, документов, компьютерных программ;

    г) неосторожные действия, приводящие к  разглашению информации различных  видов;

    д) некомпетентное использование, настройка  или неправомерное отключение персоналом офиса средств и систем защиты.

    Умышленные  угрозы могут вызвать на охраняемом объекте:

    а) травмы и гибель людей;

    б) физическое разрушение объекта или  отдельных его элементов как  результат терроризма, хулиганства, вандализма;

    в) отключение или вывод из строя  систем жизнеобеспечения банка вследствие тех же причин;

    г) действия по дезорганизации функционирования банка, его отделения забастовки, саботаж, постановка помех);

    д) съем информации путем контроля каналов  связи, негласной установки специальных  технических средств, анализа и  контроля побочных излучений, негласной  видео- и фотосъемки, хищения документов, магнитных носителей и бумажных, информационных отходов (распечаток, копировальной бумаги, и т.п.), несанкционированный доступ в банковскую компьютерную сеть;

    е) хищение ценностей, продукции, ценных бумаг, имущества, оборудования,

     Перечисленные выше виды угроз не равноценны. Так, например, разрушение оборудования предприятия или здания офиса может повлечь за собой и такие угрозы, как гибель и травмы персонала и посетителей.

     При анализе угроз необходимо самое  серьезное внимание обращать полному отражению всего спектра опасностей существующих для Вашего бизнеса и офиса. Нередко перекос возникает по причине прошлой ориентации руководителя службы безопасности, или незнания им реально существующих угроз. Уклон может быть в криминалистическую или экономическую сторону при пренебрежении пожарной или техногенной составляющей безопасности. Подобные перекосы нередко ведут к большим потерям. Один из крупнейших российских банков дважды в феврале и марте 1995 года понес от пожаров в офисах значительные убытки. Вот поэтому уровень защиты от всех видов угроз должен быть адекватным.

   Кроме того угрозы можно подразделить на внешние и внутренние:

К внешним  угрозам безопасности фирмы относятся:

• деятельность государственных органов, которые способны предпринять меры, наносящие ущерб интересам предприятия путем изменений в политике и законодательстве, осложнить или запретить существующие схемы бизнеса, вызвать неоправданный рост финансовых издержек и др. Органы власти могут также использоваться как орудие в руках конкурентов или криминальных структур, запрещая либо существенно осложняя в интересах последних деятельность предприятия.
• осложнения социально-политической обстановки в стране в целом и в районе размещения предприятия (его филиалов), ведущие к забастовкам, массовым проявлениям недовольства и др. событиям, способным прямо или косвенно затруднить его деятельность.
• действия российских и иностранных конкурентов, направленные на ослабление и дискредитацию предприятия, дестабилизацию его работы, вытеснение его с рынков, лишение источников сырья, переманивание партнеров и клиентов, вербовку и переманивание персонала, в особенности наиболее квалифицированных специалистов и др.
• практические действия недобросовестных партнеров, которые ставят своей целью получение личной выгоды за счет интересов предприятия.
• реальные устремления и действия организованных преступных группировок, стремящихся поставить работу предприятия под свой контроль, добиться получения доли в прибыли, акциях, осуществить хищение ценностей в крупных размерах и др.
• действия уголовной преступности, связанные с организацией хищений с предприятия материальных средств, вовлечением его персонала в преступные действия как на самом предприятии, так и за его пределами, а также в качестве инструмента ОПГ, используемого для устрашения руководителей и персонала, реализации преступных планов.
• действия отдельных лиц, не являющихся сотрудниками предприятия, имеющих целью нанести им ущерб по личным мотивам (обида, зависть, жажда обогащения и др.), а также в связи с расстройствами психики.

К внутренним угрозам безопасности предприятия  относятся: 

• низкий  профессионализм и недисциплинированность персонала, халатное отношение к  своим обязанностям, ведущие к  производственным катастрофам, порче  оборудования, росту производственных издержек и т.д.
• недобросовестность персонала, особенно среднего и высшего управленческого звена, в частности его участие в коммерческих схемах, дающих возможность реализовывать часть продукции по собственным каналам с присвоением всей прибыли и др.
• плохой морально-психологический климат на предприятии, негативные процессы в коллективе, ведущие к падению производительности труда, остановкам производства и др.

    В современных условиях персонал предприятия  необходимо рассматривать как самостоятельный  объект защиты от различных угроз. Это определяется рядом факторов, отражающих имущественные и неимущественные интересы работодателя. Так, часть сотрудников предприятия в силу занимаемой должности является носителями конфиденциальной информации, опасность разглашения которой подробно рассматривалась в предыдущем разделе Пособия. Не меньшую угрозу представляет для работодателя утеря ценных для него кадров из числа руководителей и ведущих специалистов.

    Типовой перечень потенциальных угроз персоналу:

    ■    прямое переманивание конкурентами ведущих руководителей и специалистов банка;

    ■    вербовка сотрудников конкурирующими и криминальными структурами, а  в отдельных случаях - правоохранительными  органами;

    ■    шантаж или прямые угрозы в адрес  конкретных сотрудников с целью склонения их к нарушению доверия со стороны работодателя (т.е. к совершению различных должностных нарушений);

    ■    покушения на сотрудников (прежде всего, высших руководителей банка) и членов их семей.

    Перечень  категорий  сотрудников  офиса  как объектов  защиты:

    ■    высшее руководство фирмы (президент и его первые заместители);

    ■    главные специалисты и эксперты по конкретным направлениям деятельности (финансы, маркетинг, компьютерные технологии и т.п.);

    ■    сотрудники, занимающие рабочие места, предполагающие доступ к особо конфиденциальным сведениям (стратегические планы развития, обслуживание элитных клиентов, организация систем безопасности и т.п.);

    ■    прочие сотрудники банка.

    Защита  первых трех категорий сотрудников  осуществляется службой безопасности в постоянном режиме (естественно, с различной степенью интенсивности), последней категории - лишь при возникновении в их адрес реальных угроз.  
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

2. Организация обеспечения безопасности работы офиса 

     В основе обеспечения безопасности фирмы лежит выявление, предупреждение и отражение внешних и внутренних угроз путем разработки и реализации комплекса взаимосвязанных мероприятий, направленных на защиту его жизненно важных интересов.

     Основными задачами обеспечения безопасности фирмы являются:

    1.    Постоянное изучение и отслеживание  изменений в законодательной  базе, экономической и политической  обстановке в Российской федерации  и отдельных регионах.

    2.    Изучение рынка, на котором  действует фирма, анализ его  криминальных аспектов, определение секторов, опасных для функционирования фирмы; минимизация рисков коммерческой и кредитной политики.

    3.    Выявление конкурентов фирмы,  особенно проводящих агрессивную  политику на рынке, выяснение  направленности их устремлений  в отношении фирмы, выработка и реализация адекватных мер по противодействию.

    4.    Работа по партнерам фирмы,  выявление среди них недобросовестных  юридических и физических лиц;  выработка методики строительства  безопасных для предприятия отношений  с ними.

    5.    Содействие выявлению и уточнению финансовых, коммерческих, организационных, технических и технологических позиций, гарантирующих сохранение и укрепление положения фирмы на рынке; систематический анализ потенциальных и реальных угроз этим позициям; разработка механизма, методов и средств их защиты.

    6.    Отслеживание криминогенной обстановки  вокруг фирмы; сбор информации  об устремлениях организованной  преступности и отдельных лиц,  имеющих противоправные намерения,  в отношении предприятия.

    7.    Организация и совершенствование физической и инженерно-технической охраны объектов предприятия, защита жизни и здоровья сотрудников (при обстоятельствах, связанных с производственной деятельностью), обеспечение личной безопасности руководителей фирмы и членов их семей от посягательств со стороны преступных элементов.

    8.    Определение принципов и подходов  в реализации кадровой политики, выявление кризисных ситуаций  в коллективе фирмы, отслеживание  негативных настроений; предупреждение  проникновения агентуры конкурентов,  криминальных организаций и отдельных лиц, вынашивающих противоправные намерения, на фирму.

    9.    Противодействие техническому проникновению  на объекты фирмы конкурентов,  криминальных организаций и отдельных  лиц, с целью съема важной  информации.

    10.Разработка  и внедрение оптимальных режимов обеспечения безопасности на объектах фирмы, осуществление контроля за их соблюдением.

    11.Выявление,  предупреждение и пресечение  противоправной деятельности сотрудников  фирмы.

    12.Обеспечение  бесперебойной работы фирмы в  условиях кризисных ситуаций, составление предложений и участие в принятии конкретных мер по выходу из них.

    13.Информационное  обеспечение управленческой деятельности  руководства фирмы по проблемам  безопасности и иным  жизненно важным по определению руководства фирмы вопросам.

    14.Организация  обучения сотрудников основам  обеспечения безопасности фирмы  в части их касающейся.

    15.Совершенствование   нормативной базы в интересах  обеспечения безопасности фирмы

    16. Контрразведывательные мероприятия.

     Обеспечение безопасности фирмы складывается из своевременного и эффективного проведения соответствующих внешних и внутренних мероприятий.

     В ходе осуществления внутренних мероприятий  по обеспечению безопасности решаются следующие вопросы: подбор, проверка лиц, желающих поступить на работу в частное предприятие. Изучаются их анкетные данные, поведение по месту жительства и прежней работы, личные и деловые качества, положительные и отрицательные стороны изучаемого лица, межличностные отношения, выясняется, имелись ли судимость, административные задержания, связь с преступным миром.

     Дополнительно может проводиться тестирование лица для выяснения моральных  или других качеств. Обращается внимание на возможную работу в конкурирующей  фирме и причины ухода. После этого делается вывод о пригодности кандидата к работе в данной фирме, с учетом его квалификации.

     Как показывает практика расследований  в частных фирмах, утечка информации зачастую происходит по инициативе их же сотрудников. В мотивационной основе совершаемых поступков лежат корысть (получить значительную сумму денег) или месть (не исключая заодно и материальную выгоду), например, со стороны уволенного работника, имевшего доступ к коммерческой информации. В этой связи целесообразно обращать внимание на лица, которые в процессе хозяйственной или иной деятельности проявляют необоснованный интерес к информационным хранилищам, предполагаемым сделкам и партнерам. При возникновении серьезных подозрений о недобросовестности сотрудника по отношению к предприятию фирме предпочтительнее с ним расстаться, в том числе путем предварительного перевода, под надуманным предлогом, на другой участок работы.

     Миграция  специалистов, особенно имеющих дело с конфиденциальной информацией, —  самый основной и трудно контролируемый канал утечки информации. Так, каналом утечки информация может стать получившая у нас в последнее время широкое распространение практика разного рода совместительства работ сотрудников, где они используют свои профессиональные знания и навыки, приобретенные по основному месту работы.

     Таким образом, фактически интеллектуальный продукт организации, не оформленный  должным образом в ее собственность, реализуется одним из наиболее вероятных  каналов утечки служебной информации.

     Вторым  по значимости каналов утечки конфиденциальной информации являются всевозможные публикации в печати, депонированные рукописи, монографии, отчеты по НИОКР.

     Не  следует также упускать из виду «советскую»  привычку сотрудников делиться друг с другом (так называемый традиционный обмен опытом), что также является одним из факторов, способствующих утечке коммерчески значимой для предприятия информации.

     Особым  каналом утраты интеллектуальной собственности (важной информации) или, по крайней  мере, ее коммерческой ценности являются совместные работы с другими предприятиями и организациями, контакты с клиентами и инвесторами, где особое место занимают переговоры.

     Компьютеризация предпринимательских структур, накопление с ее помощью различной информации привлекает как конкурентов, так и преступников. Зачастую лица, желающие воспользоваться этой информацией, находятся среди обслуживающего персонала, а это — проблема уже внутренней безопасности. Задача соответствующих служб — своевременное выявление среди обслуживающего персонала тех сотрудников, которые вынашивают намерения использовать имеющиеся в их распоряжении сведения для продажи другим лицам или использовать в своих личных целях для получения выгоды (обогащения).

     Помимо  действия в интересах конкурента, могут быть совершены и действия, преследуемые по закону: мошенничество, саботаж, повреждение ПК. Если исходить из зарубежного опыта, то с волной такого рода компьютерных преступлений, пока для нас новых и не в полном объеме урегулированных на законодательном уровне, нам придется столкнуться в недалеком будущем.

     Субъектами  этих преступлений, как правило, являются высокообразованные специалисты, имеющие  доступ к секретным программам, шифрам, кодам. В банковских системах, например, совершается мошенничество (снимаются  деньги со счетов клиентов вымышленным лицом, занимаются спекуляцией, используя банковский капитал, на валютных биржах, оплачиваются собственные счета и т.д.). Развитию данного вида преступлений способствует также и то, что фирмы и банки не стремятся оглашать факты компьютерных краж, чтобы не отпугнуть клиентов. Преступники, зная такое положение, шантажируют владельцев банков, угрожают раскрыть секретные коды и шифры, что приводит к колоссальным затратам для их оперативной замены.

     Предприятия, располагающие ценной информацией, должны хранить ее в сейфах, не допускать утери ключей от них или передачи на хранение другим лицам, даже особо доверенным. Зарубежные фирмы, например, используют для хранения секретной информации сейфы (шкафы), открываемые с помощью специальной магнитной карты или других сложных сигнальных электронных устройств. Следует отметить, что эта мера значительно затрудняет к ним доступ, особенно при наличии комплекса защитных (физических и инженерно-технических) мер в помещении, где расположен сейф.

     Осуществление специальных внутренних и внешних мер защиты ценных информационных систем должно возлагаться на специально подготовленных лиц. В этой связи руководителю предприятия целесообразно обращаться за помощью к частным фирмам, специализирующимся на сыске и охране собственности. Могут создаваться и собственные специальные службы. Здесь руководитель предприятия сам решает, что ему выгоднее: мириться с утечкой информации или привлекать частные службы к ее защите. Вопрос состоит в том, какой из убытков меньший: при утечке секретов или их охране.

    Организация защиты персонала от возможных угроз

    а) Защита от переманивания сотрудников конкурентами реально может быть обеспечена лишь путем справедливого отношения к ним со стороны работодателя. Удовлетворенность сотрудника своим работодателем определяется не только уровнем оплаты труда, но и тремя сопутствующими факторами:

    -  удовлетворенностью текущим служебным положением и уверенностью в возможности дальнейшего карьерного роста;

    -      наличием эффективной социальной и психологической поддержки;

    -      корректным отношением со стороны  руководства. 

    б)   Защита от вербовки сотрудников осуществляется службой безопасности по двум направлениям. Первым из них является целевое обучение, организация которого далее специально рассматривается. Второе направление предполагает необходимость решения нескольких прикладных задач.

    Прежде  всего, служба безопасности должна определить перечень рабочих мест, в отношении  которых вербовка наиболее вероятна. В данном случае целесообразно отталкиваться от перечня по тенциальных субъектов данной угрозы. В частности, объектами вербов ки со стороны фискальных и правоохранительных органов государства будут являться сотрудники бухгалтерии, через которых проходят расчеты налоговых платежей и сведения по движению финансовых потоков банка. В отделе расчетно-кассовых операций подобная угроза возникает по рабочим местам, через которые проходит обслуживание клиентов, потенциально интересных для указанных выше государственных органов. Объектами вербовки со стороны конкурентов с высокой степенью вероятности будут являться специалисты отдела маркетинга, отвечаю щие за перспективные программы развития на рынке и внедрение новых технологий обслуживания клиентов, а также помощники первых руководителей (референты, личные секретари). Наконец, объектами вербовки со стороны криминальных структур приоритетно могут выступать сотрудники, имеющие доступ к информации, составляющей банковскую  тайну (финансовое состояние клиентов из числа юридических и физических лиц), а также связанные с транспортировкой, хранением и охраной наличных денежных средств.

    Следующей задачей службы безопасности является организация специальной проверки сотрудников, занимающих указанные  выше рабочие места. Подобная проверка осуществляется силами службы безопасности и службы персонала. В процессе ее специалистами этих служб изучаются индивидуальные досье сотрудников, проводятся личные беседы (в том числе с участием психолога), при необходимости собираются дополнительные сведения. Объектами изучения являются имущественное положение сотрудников, их личностные качества, отношения с руководством и коллегами по работе. По результатам проверки проводится группировка объектов потенциальной угрозы на три условных категории. К первой категории риска относят банковских служащих, которые очевидно уязвимы по отношению к возможной вербовке. Подобную оценку могут определить, например, следующие факторы: