Организация конфиденциального делопроизводства означает создание необходимых условий для изготовления и получения конфиденциальных документов, организации работы с ними и предотвращения утраты и утечки документированной конфиденциальной информации.
Организация конфиденциального делопроизводства включает:
- создание подразделения, обеспечивающего изготовление, учет, хранение, обработку и использование конфиденциальных документов, установление его статуса, структуры, численного и должностного состава;
- разработку положения о подразделении и должностных инструкций сотрудников;
- выделение для подразделения служебного помещения;
- обеспечение необходимых условий труда;
- разработку или приобретение нормативных документов и методической литературы по организации и ведению конфиденциального делопроизводства;
- создание постоянно действующей экспертной комиссии;
- оформление допуска сотрудников к коммерческой и служебной тайне и обучение их правилам работы с конфиденциальными документами.
В целях обеспечения условий для сохранности и конфиденциальности документов и в силу небольшого по сравнению с открытым делопроизводством объема документов конфиденциальное делопроизводство должно быть централизованным, т.е. сосредоточенным в едином подразделении предприятия.
При незначительном объеме конфиденциального делопроизводства специальное подразделение конфиденциального делопроизводства может не создаваться. В этом случае обязанности по работе с конфиденциальными документами возлагается на работников других подразделений.
Основные задачи и функции подразделения конфиденциального делопроизводства должны быть закреплены в положении о подразделении, а обязанности, права, ответственность сотрудников - в должностных инструкциях.
В соответствии с законодательством сотрудники подразделения конфиденциального делопроизводства несут дисциплинарную, административную либо гражданско-правовую ответственность за утрату конфиденциальных документов или разглашение содержащейся в них информации, поэтому в должностных инструкциях должна быть установлена персональная ответственность сотрудников за сохранность конфиденциальных документов и содержащейся в них информации.
Важной составной частью организации конфиденциального делопроизводства является создание постоянно действующей экспертной комиссии (ПДЭК). Задачами такой комиссии должны быть:
— разработка перечней сведений, составляющих коммерческую и служебную тайну;
— разработка перечней издаваемых предприятием конфиденциальных документов;
— снижение или снятие степени конфиденциальности сведений и грифа конфиденциальности документов;
— разработка Положения о системе доступа к конфиденциальным документам;
— экспертиза ценности конфиденциальных документов с целью установления сроков их хранения и отбора документов на основе этих сроков для архивного хранения и уничтожения;
— проведение аналитической работы по предотвращению утечки и утраты конфиденциальной информации.
Сотрудники, работающие с конфиденциальными документами, должны иметь допуск к соответствующим видам тайны. Допуск сотрудников предприятия к коммерческой и служебной тайне осуществляется с их согласия и предусматривает:
— принятие сотрудниками обязательств по соблюдению установленного на предприятии режима соответствующего вида тайны, которые закрепляются в трудовом договоре или специальном соглашении;
— ознакомление сотрудников с положениями законодательства, предусматривающими ответственность за нарушение конфиденциальности;
— ознакомление сотрудников с перечнями сведений, составляющих коммерческую и служебную тайну предприятия, и к которым сотрудники имеют право доступа.
Порядок изготовления конфиденциальных документов, режим обращения с ними требуют определенных знаний, которые должны быть приобретены до начала работы с документами и постоянно пополняться. С этой целью необходимо организовывать различные формы обучения сотрудников: техническую учебу, семинары, самостоятельную подготовку со сдачей зачетов и др. Для проведения занятий следует привлекать не только сотрудников подразделения конфиденциального делопроизводства, но и руководителей соответствующих подразделений предприятия, а также специалистов по конфиденциальному делопроизводству, работающих в соответствующих научно-исследовательских и учебных заведениях.
Персональные данные
Персональными данными работника признается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника.
При заключении трудового договора работодатель получает от работника необходимую ему информацию, документы, сведения и т.п., которые приобщает к личному делу. Сбор персональных данных осуществляется в формах, предусмотренных законом. Работодателю запрещено требовать документы, которые не предусмотрены законом.
Среди документов и материалов, содержащих информацию, необходимую работодателю в связи с трудовыми отношениями, основное место занимают:
1) документы, предъявляемые при заключении трудового договора (ст. 65 ТК РФ):
- паспорт или иной документ, удостоверяющий личность (справка формы Ф1; загран.паспорт; военный билет, если в связи со службой паспорт изъят);
- трудовая книжка, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства;
- страховое свидетельство государственного пенсионного страхования;
- документы воинского учета - для военнообязанных и лиц, подлежащих призыву на военную службу;
- документ об образовании, о квалификации или наличии специальных знаний - при поступлении на работу, требующую специальных знаний или специальной подготовки.
2) документы о состоянии здоровья работника, если в соответствии с законодательством он должен пройти предварительный и периодические медицинские осмотры (например, работники в возрасте до 18 лет);
3) документы, подтверждающие право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренным законодательством (об инвалидности, донорстве, нахождении в зоне воздействия радиации в связи с аварией на Чернобыльской АЭС и др.);
4) документы о составе семьи работника, необходимые для предоставления ему гарантий, связанных с выполнением семейных обязанностей (документ о беременности работницы и возрасте детей для предоставления матери установленных законом условий труда, гарантий и компенсаций).
Персональные данные работника накапливаются по месту работы и содержатся в кадровой документации, включающей в себя:
- личные дела и трудовые книжки работников;
- документы, возникающие при оформлении трудовых правоотношений (при решении вопросов о приеме на работу, переводе, увольнении, поощрении и т.д.);
- документы по анкетированию, тестированию;
- приказы (распоряжения) по личному составу;
- документация по аттестации сотрудников, служебным расследованиям;
- учетная документация (картотеки, книги, журналы и другие);
- аналитическая и справочная документация, как используемая руководством, так и выдаваемая работникам для представления в заинтересованные органы;
- отчетная документация, передаваемая в государственные органы статистки, налоговые органы и другие учреждения.
Правила получения персональных данных:
- Все персональные данные работника следует получать у него самого;
- Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие на их получение.
Правила передачи персональных данных работника:
- не сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных законодательством;
- не сообщать персональные данные работника в коммерческих целях без его письменного согласия;
- предупредить лиц, получающих персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными работников в порядке, установленном законом;
- осуществлять передачу персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под роспись;
- разрешать доступ к персональным данным работников только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций;
- не запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции;
- передавать персональные данные работника представителям работников в порядке, установленном законом, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций (ст. 88 ТК РФ).
10. Роль HR-менеджеров
Роль менеджеров по персоналу (HR-менеджеров) в обеспечении информационной безопасности организации весьма значима, хотя и не является определяющей. HR-менеджеры должны принимать участие в разработке и внедрении политик безопасности, организации обучения пользователей, контроле осведомленности и расследовании нарушений. HR-менджеры в организации также выполняют функции владельцев персональных данных сотрудников компании и несут административную ответственность за разглашение или незаконное распространение этих данных.
Надлежащая организация процесса внутрифирменной коммуникации, позволяет избежать утечек информации и ненадлежащего ее использования. Она включает в себя определение уровней доступа к информации, механизмов контроля и функциональных ролей.
Практическая реализация всех положений сформированной политики информационной безопасности потребует от предприятия длительных практических усилий. Одним из основных и наиболее сложных направлений работы является работа с персоналом, цели которой:
- отбор и предварительная проверка персонала, принимаемого на работу (на службу);
- обучение сотрудников;
- достижение взаимопонимания руководителей и сотрудников в вопросах обеспечения информационной безопасности;
- психологическая подготовка с целью противостояния методам т.н. "социальной инженерии".
В одной из своих книг известный специалист по проблемам информационной безопасности Брюс Шнайер заметил, что в общей системе мер по защите информации "математический аппарат является безупречным, компьютеры же уязвимы, сети вообще паршивы, а люди просто отвратительны. Я изучил множество вопросов, связанных с обеспечением безопасности компьютеров и сетей, и могу утверждать, что не существует решения проблемы человеческого фактора". Это высказывание наиболее ярко и наглядно демонстрирует важность целенаправленных мероприятий по подбору, расстановке и работе с кадрами предприятия с той целью, чтобы в работе информационных систем не возникло "узких мест" и т.н. человеческий фактор не стал наиболее весомым источником угроз для информационной безопасности. Основной причиной, определяющей значимость человеческого фактора в общей системе защиты информации, является то, что при всей развитости современных средств автоматизации информационные системы по-прежнему представляют собой человеко-машинные комплексы и их (систем) функционирование во многом зависит от работы отдельных людей. Именно по этой причине неадекватное обращение служащих предприятия с компонентами информационной системы может нанести серьезный ущерб информационной безопасности даже при наличии детально проработанных политик безопасности и высокоэффективных программных и аппаратных средств защиты информации.
Начальная стадия работы – подбор и расстановка кадров – может иметь несколько аспектов. При подборе и расстановке кадров могут применяться как формализованные, так и менее формализованные методы. Это могут быть различные методики психологической оценки, включающие в себя:
- анализ мотивационных аспектов личности;
- оценку психологической устойчивости личности;
- оценку уровня познавательных способностей личности (успешность приобретения новых знаний и навыков и способность к их практическому применению);
- оценку активности личности в достижении поставленной цели, умение объективно оценивать ситуацию и людей, умение вырабатывать оптимальную стратегию поведения.
Такого рода анализ может быть необходим как в отношении специалистов и руководителей, которые работают с информацией, подлежащей защите, в связи с выполнением своих должностных обязанностей по основному профилю работы предприятия, так и специалистов и руководителей, чьей основной задачей является обеспечение информационной безопасности предприятия (аудиторов ИБ, проектировщиков и администраторов информационных систем и систем защиты информации и т.п.).
