Защита персональных данных работника

обращались  к документу. Этот факт указывается  также в карточке учета

осведомленности сотрудника в тайне фирмы.

      Организуя доступ сотрудников фирмы к конфиденциальным массивам электронных документов и базам данных, необходимо помнить о его многоступенчатом характере. Можно выделить следующие главные составные части доступа этого вида:

·   доступ к персональному компьютеру, серверу или рабочей станции;

·    доступ к машинным носителям информации, хранящимся вне ПК;

·    непосредственный доступ к базам данных и файлам.

      Доступ  к персональному  компьютеру, серверу или рабочей станции, которые используются для обработки конфиденциальной информации, предусматривает:

·        определение и регламентацию первым руководителем фирмы состава

сотрудников, имеющих право доступа (входа) в  помещение, в котором находится соответствующая вычислительная техника, средства связи;

·        регламентацию первым руководителем  временного режима нахождения этих лиц в указанных помещениях; персональное и временное протоколирование (фиксирование) руководителем подразделения или направления деятельности фирмы наличия разрешения и периода работы этих лиц в иное время (например, в вечерние часы, выходные дни и др.);

·        организацию охраны этих помещений  в рабочее и нерабочее время,

определение правил вскрытия помещений и отключения охранных технических средств информирования и сигнализирования; определение правил постановки помещений на охрану; регламентацию работы указанных технических средств в рабочее время;

·        организацию контролируемого (в  необходимых случаях пропускного)

режима  входа в указанные помещения  и выхода из них;

·        организацию действий охраны и персонала в экстремальных ситуациях

или при  авариях техники и оборудования помещений;

·       организацию выноса из указанных помещений материальных ценностей,

машинных  и бумажных носителей информации; контроль вносимых в помещение и выносимых персоналом личных вещей.

      Безопасность  информации в ПК и локальной сети требует эффективной взаимосвязи машинной и внемашинной защиты конфиденциальных сведений. В связи с этим, важное актуальное значение имеет защита технических носителей конфиденциальной информации (машиночитаемых документов) на внемашинных стадиях их учета, обработки и хранения. Именно на этих стадиях особенно велика вероятность утраты машиночитаемого документа. Подобная проблема несущественна для носителей, содержащих открытую информацию. В основе обеспечения сохранности носителей электронных конфиденциальных документов,

находящихся вне машины, в настоящее время  эффективно используются

зарекомендовавшие себя принципы и методы обеспечения безопасности

документов в традиционной технологической системе.

      Перед началом обработки информации на ПК сотрудник обязан убедиться в отсутствии в помещении посторонних лиц. При подходе такого лица к сотруднику экран дисплея должен быть немедленно погашен.

В конце  рабочего дня исполнители обязаны перенести всю конфиденциальную информацию из компьютера на гибкие носители информации, стереть информацию с жестких дисков, проверить наличие всех конфиденциальных документов (на бумажных, магнитных и иных носителях), убедиться в их комплектности и сдать в службу кадрового делопроизводства. Оставлять конфиденциальные документы на рабочем месте не разрешается. Не допускается также хранение на рабочем месте исполнителя копий

конфиденциальных документов.

      Лицам, имеющим доступ к  работе на ПК, запрещается:

· разглашать сведения о характере автоматизированной обработки

конфиденциальной  информации и содержании используемой для этого документации,

·  знакомиться с изображениями дисплея рядом работающих сотрудников

или пользоваться их магнитными носителями без разрешения руководителя

подразделения,

·  разглашать сведения о личных паролях, используемых при

идентификации и защите массивов информации,

·  оставлять магнитные носители конфиденциальной информации без

контроля, принимать или передавать их без росписи в учетной форме,

оставлять ПК с загруженной памятью бесконтрольно,

·  пользоваться неучтенными магнитными носителями, создавать неучтенные копии документов.

      После изготовления бумажного варианта документа  его электронная копия стирается, если она не прилагается к документу или не сохраняется в

справочных  целях. Отметки об уничтожении электронной  копии вносятся в учетные карточки документа и носителя и заверяются двумя росписями.

      Хранение  магнитных носителей и электронных документов должно осуществляться в условиях, исключающих возможность их хищения, приведения в негодность или уничтожения содержащейся в них информации, а также в соответствии с техническими условиями завода-изготовителя. Носители хранятся в вертикальном положении в специальных ячейках металлического шкафа или сейфа. Номера на ячейках должны соответствовать учетным номерам носителей. Недопустимо воздействие на носители теплового, ультрафиолетового и магнитного излучений. Магнитные носители, содержащие конфиденциальную информацию, утратившую свое

практическое  значение, уничтожаются по акту с последующей  отметкой в учетных формах.

      С целью контроля и  поддержания режима при обработке  информации на ПК необходимо:

·        периодически проводить проверки наличия электронных документов и

состава баз данных,

·        проверять порядок ведения учета, хранения и обращения с магнитными

носителями  и электронными документами,

·        систематически проводить воспитательную работу с персоналом,

осуществляющим  обработку конфиденциальной информации на ПК,

·        реально поддерживать персональную ответственность руководителей и

сотрудников за соблюдение требований работы с  конфиденциальной информацией на ПК,

·        осуществлять действия по максимальному  ограничению круга

сотрудников, допускаемых к обрабатываемой на ПК конфиденциальной

информации  и праву входа в помещения, в которых располагаются компьютеры, для обработки этой информации.

                        
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

1.6 Контроль защиты информации 

      Взаимопонимание между руководством фирмы и работниками не означает полной свободы в организации рабочих процессов и желании выполнять или не выполнять требования по защите конфиденциальной информации. С этой целью руководителям всех рангов и службе безопасности следует организовать регулярное наблюдение за работой персонала в части соблюдения ими требований по защите информации.

      Основными формами контроля могут быть:

·        аттестация работников;

·        отчеты руководителей подразделений  о работе подразделений и

состоянии системы защиты информации;

·        регулярные проверки руководством фирмы  и службой безопасности

соблюдения работниками требований по защите информации;

·        самоконтроль.

      Аттестация  работников представляется одной из наиболее действенных форм контроля их деятельности как в профессиональной сфере (исполнительность, ответственность, качество и эффективность выполняемой работы, профессиональный кругозор, организаторские способности, преданность делу организации и т. д.), так и в сфере соблюдения информационной безопасности фирмы.

      В части соблюдения требований по защите информации проверяется знание работником соответствующих нормативных и инструктивных документов, умение применять требования этих документов в практической деятельности, отсутствие нарушений в работе с конфиденциальными документами, умение общаться с посторонними лицами, не раскрывая секретов фирмы и т.д.

      По  результатам аттестации издается приказ (распоряжение), в котором отражаются решения аттестационной комиссии о поощрении, переаттестации, повышении в должности или увольнении сотрудников. Аттестационная комиссия может также выносить определение об отстранении сотрудника от работы с информацией и документами, составляющими секреты фирмы.

      Другой  формой контроля является заслушивание руководителей структурных подразделений и руководителя службы безопасности на совещании у первого руководителя фирмы о состоянии системы защиты информации и выполнении ее требований работниками подразделений. Одновременно на совещании принимаются решения по фактам нарушения работниками установленных правил защиты секретов фирмы.

      Формой  контроля являются также регулярные проверки выполнения сотрудниками (в том числе хорошо работающими) правил работы с конфиденциальной информацией, документами и базами данных. Проверки проводятся руководителями структурных подразделений и направлений,

заместителями первого руководителя и работниками службы безопасности.

      Проверки  могут быть плановыми и внеплановыми (внезапными). Внезапные проверки проводятся при возникновении малейшего подозрения о разглашении или утечке информации.

      Самоконтроль  состоит в проверке самими руководителями и исполнителями полноты и правильности выполнения ими действующих инструктивных положений, а также в немедленном информировании службы безопасности и непосредственного руководителя о фактах утери документов, утрате по какой-либо причине ценной информации, разглашении лично или другими сотрудниками сведений, составляющих секреты фирмы, нарушении работниками порядка защиты информации.

      При работе с персоналом фирмы следует  сосредоточивать внимание не только на сотрудниках, работающих с конфиденциальной информацией. Под контролем должны находиться также лица, не имеющие доступа к секретам фирмы. Следует учитывать, что эти работники могут быть посредниками в действиях злоумышленника: в проведении электронного шпионажа, создании условий для хищения документов, снятии с них копий и т.п.

      Кроме того, необходимо помнить, что работники, владеющие конфиденциальной информацией, вынуждены действовать в рамках требований, регламентированных инструкцией по обеспечению режима конфиденциальности. Ограничение свободы человека в использовании информации может приводить к стрессам, нервным срывам. Сохранение чего-то в тайне противоречит потребности человека в общении путем обмена информацией. В связи с этим особенно важно, чтобы психологический настрой коллектива и отдельных работников всегда находился в центре внимания руководства фирмы и службы безопасности.

      В случае установления фактов невыполнения любым из руководителей или работников требований по защите информации к ним в обязательном порядке должны применяться меры порицания и наказания в соответствии с правилами внутреннего трудового распорядка. Важно, чтобы наказание было неотвратимым и своевременным, не взирая на должностной уровень работника и его взаимоотношения с руководством фирмы.

      Одновременно  с виновным лицом ответственность за разглашение сведений, составляющих секреты фирмы, несут руководители фирмы и ее структурных подразделений, направлений деятельности, филиалов, т.к. они полностью отвечают за разработку и реализацию мер, обеспечивающих информационную безопасность всех видов деятельности фирмы.