Организация работы с документированной информацией ограниченного доступа

1 ОРГАНИЗАЦИЯ РАБОТЫ  С ДОКУМЕНТАМИ, СОДЕРЖАЩИМИ КОНФИДЕНЦИАЛЬНЫЕ  СВЕДЕНИЯ

1.1 Нормативно-методическая  база конфиденциального делопроизводства

Отношения, возникающие  при создании, накоплении, обработке, хранении и использовании документов, содержащих конфиденциальную информацию регулируются соответствующими законодательными и подзаконными актами.

К числу базовых относится, в первую очередь, Конституция РФ. В ст.23¹ установлено право неприкосновенность личной жизни, личной и семейной тайны, тайны телефонных переговоров, почтовых, и иных сообщений. При этом ограничение этого права допускается только на основании судебного решения. Конституцией РФ не допускается (ст.24) сбор, хранение, использование и распространение информации о частной жизни лица без его согласия.

27 июля 2006 года Президент  РФ В.В. Путин подписал два важнейших для сферы документационного обеспечения управления (делопроизводства) федеральных закона: № 149 - ФЗ "Об информации, информационных технологиях и о защите информации" и № 152-ФЗ "О персональных данных".

10 января 2002 года Президентом  был подписан закон "Об электронной  цифровой подписи", развивающий  и конкретизирующий положения  приведенного выше закона "Об информации, информационных технологиях и о защите информации".

Основными также являются законы РФ: "О государственной тайне" от 22 июля 2004 г.; "О коммерческой тайне" от 29 июля 2004 (он содержит в себе информацию, составляющую коммерческую тайну, режим коммерческой тайны, разглашение информации, составляющую коммерческую тайну); "Об утверждении Перечня сведений конфиденциального характера"; "Об утверждении Перечня сведений, отнесенных к государственной тайне"; "Об утверждении Перечня сведении, которые не могут составлять коммерческую тайну". Ряд подзаконных правовых нормативных актов, регламентируют организацию защиты государственной тайны, ведение секретного делопроизводства, порядок допуска к государственной тайне должностных лиц и граждан РФ: "Об утверждении положения о лицензировании деятельности по технической защите конфиденциальной информации, "Об утверждении правил оказания услуг телеграфной связи" и др.

Ряд вопросов, связанных  с защитой конфиденциальной информации, регулируется Уголовно-процессуальным кодексом РФ, в нем имеются положения, касающиеся тайны переписки, телефонных и иных переговоров, почтовых отправлений, телефонных и иных сообщений.

Нормы регулирования  отношений, возникающих при обращении  конфиденциальной информации, содержатся также в Гражданском кодексе  РФ. При этом конфиденциальная информация относится в Гражданском кодексе РФ к нематериальным благам (ст.150).

Критерии, по которым  сведения относятся к служебной  и коммерческой тайне, содержатся в ст.139 Гражданского кодекса РФ. Она гласит, что информация составляет служебную или коммерческую тайну в случае, когда:

1. Эта информация имеет действительную или потенциальную ценность в силу неизвестности ее третьим лицам;

2. К этой информации  нет свободного доступа на  законном основании и обладатель  информации принимает меры к  охране ее конфиденциальности.

Кроме того, определение конфиденциальности коммерческой информации содержится в ст.727 Гражданского кодекса РФ.

Весьма продвинутым  в плане информационной безопасности является Уголовный кодекс РФ. Он содержит ряд положений, относящихся к  защите информации ограниченного доступа и ответственности за ее неправомерное использование (ст.137, 138, c.310).

Особым видом ответственности  за нарушение коммерческой тайны является лишение соответствующей аттестации, лицензии уполномоченным органом. Но привлечение к данному виду ответственности в целом не получило к настоящему времени широкое распространение.

Правовые нормы, регулирующие использование конфиденциальной информации в судебных разбирательствах - эти  нормы, в частности, установлены  в Гражданско-процессуальном кодексе  РФ.

Основные требования, предъявляемые к порядку обращения с конфиденциальной информацией в государственных и коммерческих структурах, содержатся также в ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма".

Можно сказать, что законодательные  акты РФ не регламентируют в полной мере порядок учета, хранения и использования  документов, содержащих конфиденциальную информацию.

Вместе с тем, в некоторых  законах содержатся отдельные положения, определяющие общие принципы учета, хранения и использования документов, содержащих конфиденциальные сведения.

В целом же, в нашей  стране не имеется нормативного правового  акта, который устанавливал бы единый порядок учета, хранения и использования  документов, содержащих конфиденциальную информацию. Это объясняется тем, что понятие "конфиденциальная информация" включает в себя самые разные категории информации ограниченного доступа. По этой же причине крайне сложной и вряд ли целесообразной представляется разработка какого-либо единого нормативного документа, регламентирующего работу с документами, содержащими все виды конфиденциальной информации.

Подводя итог можно наметить следующие основные направления  деятельности на законодательном уровне:

- Разработка новых  законов с учетом интересов всех категорий субъектов информационных отношений;

- Обеспечение баланса  созидательных и ограничительных  (в первую очередь преследующих  цель наказать виновных) законов;

- Интеграция в мировое  правовое пространство;

- Учет современного  состояния информационных технологий.

1.2 Организация доступа  и порядок работы персонала  с конфиденциальными сведениями, документами и базами данных

В решении проблемы информационной безопасности значительное место занимает построение эффективной системы  организации работы с персоналом, обладающим конфиденциальной информацией. В предпринимательских структурах персонал обычно включает в себя всех сотрудников данной фирмы, в том числе и руководителей.

Персонал генерирует новые идеи, новшества, открытия и  изобретения, которые продвигают научно-технический прогресс, повышают благосостояние сотрудников фирмы и являются полезными не только для фирмы в целом, но и для каждого отдельного сотрудника. Каждый сотрудник объективно заинтересован в сохранении в тайне тех новшеств, которые повышают прибыли и престиж фирмы. Несмотря на это персонал, к сожалению, является в то же время основным источником утраты (разглашения, утечки) ценной и конфиденциальной информации².

Никакая, даже самая совершенная  в организационном плане и  великолепно оснащенная технически система защиты информации не может соперничать с изобретательностью и хитростью человека, задумавшего украсть или уничтожить ценную информацию. Обычный секретарь руководителя фирмы имеет возможность нанести фирме такой значительный ущерб, что окажется под вопросом само ее существование. Многие специалисты по защите информации считают, что при правильной организации работы с персоналом защита информации фирмы сразу обеспечивается не менее чем на 80%, без применения каких-либо дополнительных методов и средств защиты.

Проведение кадровой политики в области защиты коммерческой тайны имеет немаловажное, решающее значение при сохранении секретов. Умение правильно руководить сотрудниками, подбирать квалифицированно кадры, обеспечить защиту информации ценится очень высоко.

Информационная безопасность организации в современных условиях компьютеризации информационных процессов  имеет принципиальное значение для  предотвращения незаконного и преступного  использования информации, составляющей какую-либо конфиденциальную, коммерческую тайну. Задачи обеспечения информационной безопасности реализуются комплексной системой защиты информации, которая предназначена для решения множества проблем, возникающих в процессе работы с информацией, в том числе и финансовой.

Надо, чтобы обязанности  сотрудников по обращению с информацией  различного рода были четко прописаны  в соответствующих инструкциях (которые  сами должны носить гриф "для ограниченного  доступа").

Регламентация доступа  персонала к конфиденциальным сведениям, документам и базам данных является одной из центральных проблем системы защиты информации. Регламентация порядка доступа лежит в основе режима конфиденциальности проводимых фирмой работ. Важно четко и однозначно определить: кто, кого, к каким сведениям, когда и как допускает.

Режим конфиденциальности проводимых фирмой работ представляет собой совокупность ограничительных  правил, мероприятий, норм, обеспечивающих контролируемый доступ на определенную территорию, в помещения, к информации и документам. Любой режим базируется на так называемой разрешительной системе. Разрешительная система в общем, виде предусматривает необходимость получения специального разрешения на осуществление соответствующих правовых мероприятий, например на въезд, в пограничную зону, на посещение воинской части.

Разрешительная (разграничительная) система доступа в сфере коммерческой тайны представляет собой совокупность правовых норм и требований, устанавливаемых  первым руководителем или коллективным органом руководства фирмой с целью обеспечения правомерного ознакомления и использования сотрудниками фирмы конфиденциальных сведений, необходимых им для выполнения служебных обязанностей.

Разрешительная система  включает в себя две составные  части: допуск сотрудника к конфиденциальной информации и непосредственный доступ этого сотрудника к конкретным сведениям.

Под допуском понимается процедура оформления права сотрудника фирмы или иного лица на доступ к сведениям (информации) ограниченного  распространения и одновременно правовой акт согласия (разрешения) собственника (владельца) информации на передачу ее для работы конкретному лицу³.

Оформление допуска, т.е. согласия лица на определенные ограничения  в использовании информации, всегда носит добровольный характер. Наличие  допуска предоставляет сотруднику формальное право работать со строго определенным кругом конфиденциальных документов, баз данных и отдельных сведений.

Как отмечалось выше, к  конфиденциальной информации допускаются, как правило, лица, проработавшие  в фирме определенное время и зарекомендовавшие себя с положительной стороны.

В предпринимательских  структурах разрешение на допуск дает первый руководитель фирмы. Разрешение оформляется соответствующим пунктом  в контракте (трудовом договоре). Допуск может оформляться приказом первого руководителя с указанием типового состава сведений, с которыми разрешается работать данному сотруднику или группе сотрудников.

Допуск может носить временный характер на период выполнения определенной работы и пересматриваться при изменении профиля работы сотрудника.

Доступ - практическая реализация каждым сотрудником предоставленного ему допуском права на ознакомление и работу с определенным составом конфиденциальных сведений, документов и баз данных⁴.

Особенность информационного  обслуживания потребителей конфиденциальной информации заключается в том, что вопросы определения состава необходимой им информации решаются полномочным руководителем, а не самими потребителями. Существует общее, обязательное правило: исполнители, которым документ не адресован руководителем, не только не имеют права доступа к нему, но и не должны знать о существовании такого документа и исходных данных о нем.

Структура процедуры  разграничения доступа должна быть многоуровневой, иерархической. Иерархическая  последовательность доступа к информации реализуется по принципу "чем выше уровень доступа, тем уже круг допущенных лиц", "чем выше ценность сведений, тем меньшее число сотрудников может их знать".

Формы письменной индивидуальной регламентации разрешения на доступ - резолюции, перечни, списки, матрицы и т.п. В фирме может составляться схема выдачи разрешений на доступ к массовой конфиденциальной информации. Такая схема разрабатывается с учетом двух аспектов: а) выдача разрешений в зависимости от категорий документов и б) выдача разрешений в зависимости от занимаемой должности. Графы схемы: категории документов, должностные лица, дающие разрешение, категории исполнителей, кому дается разрешение. В схеме отражаются также категории документов, с которыми знакомятся определенные категории исполнителей без специального разрешения.

Может составляться матрица  полномочий, в которой по горизонтали - наименования категорий документов, по вертикали - фамилии или должности  сотрудников.

Всю конфиденциальную информацию фирмы может знать только первый руководитель фирмы. Конфиденциальная информация по конкретной работе в полном объеме вправе получать лишь соответствующий заместитель первого руководителя, руководители структурных подразделений или направлений деятельности по специальному перечню, утвержденному первым руководителем.

При составлении конфиденциальных документов следует учитывать, что  его содержание не только определяет функциональное назначение документа, но и лежит в основе разрешительной процедуры доступа персонала  к данному документу. Поэтому документ необходимо посвящать только одной тематической группе вопросов, предназначенной, по возможности, одному конкретному исполнителю или структурному подразделению