Безопасность компании в повседневной деятельности

- неисполнение обязательств контрагентами;

- возможный произвол контрольных органов в стране пребывания;

- хищение материальных средств, продукции или сырья непосредственно с территории организации;

- мошенничество партнеров;

- внезапное изменение законодательной базы государства пребывания или таможенной политики.

Для информационной безопасности представляют угрозу: <

p> - разглашение информации, составляющей коммерческую тайну;

- несанкционированный доступ к закрытым информационным ресурсам конкурентов либо криминальных структур;

- утечка информации по техническим каналам утечки (побочные электромагнитные излучения, акустические колебания, электромагнитные наводки в проводных сетях);

- намеренное или случайное повреждение данных в электронном или бумажном виде, случайное или намеренное искажение информации;

- недоступность такого рода данных, например в случае выхода из строя или хищения компьютерной техники;

- ведение в отношении организации активных мероприятий в информационном поле (информационно-психологическая война с возможным "вбросом" компрометирующих данных) с целью нанесения ущерба деловой репутации организации, ее руководству, изменения его рыночной стоимости для последующего поглощения или устранения.

Зданиям, сооружениям, имуществу организации могут угрожать:

- стихийные бедствия и их последствия;

- технические аварии;

- пожары;

- поджоги;

- хулиганские действия по отношению к зданию, оборудованию, ограждениям и декоративным элементам;

- пикетирование, блокирование входов и выходов из здания, въездов и выездов с территории;

- поджоги;

- нанесение ущерба транспортным средствам и т.д. и т.п.

Набор "фирменных" источников угроз для каждого предприятия уникален.

Чем защищается организация?

Здесь нужно определить меры обеспечения требуемого уровня безопасности, например:

1. Правовые.

2. Организационные (административные).

3. Инженерно-технические и программно-технические.

Любые действия, в том числе по собственной защите, ведутся в правовом поле. Далее, на административном уровне, определяется, что будет защищаться и каким именно образом. Технические меры принимаются уже на последнем этапе и на основании правовой базы, определения угроз и их источников, объектов защиты, политики безопасности организации.

Бытует мнение, что этим занимается исключительно соответствующая служба. Отчасти, конечно, это так. Но выше мы привели список угроз, в который входит масса явлений, находящихся в компетенции различных специалистов. Кроме того, есть вероятность появления новых угроз, ранее не предусмотренных. Специалист по безопасности не волшебник и во всех вопросах ориентироваться не может, поэтому не стоит ждать от него чуда. Наоборот, необходимо помочь ему силами всего коллектива. Решение целого ряда рутинных вопросов в своих узких областях могут взять на себя сотрудники и начальники отделов. Это целесообразно по следующим причинам:

- некоторые правила будут приниматься с обсуждением или вообще по инициативе рядовых сотрудников, что частично снимет проблему напряженности в отношениях и отторжения указаний службы безопасности;

- у сотрудников службы безопасности будет больше времени для работы "на перспективу", в противном случае погрязшие в рутине работники этой службы сами будут представлять угрозу для организации.

Роль службы безопасности во взаимодействии с персоналом заключается в том, что она обеспечивает общее регулирование деятельности в своем направлении, консультирует и обучает персонал определенной системе работы, а также контролирует выполнение положений и требований внутренней нормативной базы.

Отсюда вытекает необходимость интегрирования правил безопасной работы в описание процедур, регламенты, правила внутреннего распорядка, должностные обязанности и т.д.

Например, инструкции PR-менеджера могут содержать:

- перечень информации, которая не должна публиковаться;

- порядок публикации информации, относящейся к сфере интересов компании;

- инструкцию, описывающую порядок взаимодействия со СМИ и их представителями;

- описание информационной политики организации и т.д.

В пакете документов, определяющих работу отдела автоматизации, могут быть документы, описывающие:

- процедуры резервного копирования данных;

- требования безопасности к программному обеспечению;

- порядок действий при нештатных ситуациях и т.д.

Безусловно, достаточно стабильная работа по защите компании возможна только тогда, когда есть структура, которая эту работу обеспечивает. Практика показывает, что до того момента, пока такая структура или группа ответственных сотрудников не создана, все работы по обеспечению безопасности неизбежно заканчиваются на этапе обследования текущей ситуации.

В том случае, когда нет возможности обеспечить выделение нескольких сотрудников для нужд безопасности, можно создать рабочую группу из наиболее компетентных в своих областях штатных сотрудников других отделов.

Возможно, им потребуется пройти отдельное обучение или хотя бы прослушать краткий курс, чтобы ориентироваться в вопросах безопасности. Каждый из них будет курировать вопросы, относящиеся к его кругу обязанностей, под общим руководством и контролем единственного сотрудника службы безопасности.

Как и любая деятельность, работа по созданию, развитию и поддержке системы безопасности требует планирования и выделения средств. Это условие самое важное. Если оно не соблюдается, об эффективной службе и системе безопасности можно забыть. Все приложенные усилия окажутся простой тратой денег и времени. Что касается человеческого фактора, то при распределении обязанностей между сотрудниками стоит придерживаться определенных правил и "не складывать все яйца в одну корзину". Например, администратор сети не может и не должен выполнять обязанности администратора безопасности. Причины просты, но редко принимаются в расчет руководителями.

Причина первая. У администратора сети и администратора безопасности противоположные задачи. Задача одного - обеспечить комфортную и прозрачную среду для работы и предоставить все необходимые сервисы пользователям. Задача второго - ограничить доступ к сети так, чтобы пользователи не имели доступа к ресурсам, которые им не нужны для выполнения производственных обязанностей.

Причина вторая. Вспомните известное изречение: "Кто будет сторожить сторожей?". В самом деле в организации системный администратор - царь и бог всех электронных ресурсов. Реально он имеет доступ ко всем ресурсам сети и всей информации. Контролировать его действия руководству практически невозможно.

В этом случае на выручку приходит администратор безопасности. Сам он не должен иметь доступа к данным, так же как и не должен иметь возможности что-либо менять в настройках программного, аппаратного обеспечения или в содержимом баз данных. Но у него должен быть доступ на просмотр всех "бюджетов" пользователей, протоколов работы оборудования и программного обеспечения, а также на просмотр файловой структуры.

 Скачать реферат