угроз».
Выделяют следующие элементы СЗИ:
Нормативно-правовой элемент ЗИ
Организационный элемент ЗИ
Инженерно-технический элемент ЗИ
Программно-аппаратный элемент ЗИ
2.1.1 Организационный элемент защиты информации в АКСБ ОАО«Сбербанк России»
«Это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз». Организационный элемент системы защиты информации содержит меры управленческого, ограничительного (режимного) и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Организационная защита выполняет функции по:
организации охраны, режима, работу с кадрами, с документами;
использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз.
Организационный элемент СЗИ включает:
организацию режима и охраны для исключения возможности тайного проникновения на территорию и в помещения посторонних лиц;
организацию работы с сотрудниками по обучению правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации;
организацию работы с документами, включая разработки и использование документов и носителей КИ, их учет, исполнение, возврат, хранение и уничтожение;
организацию использования технических средств сбора, обработки, накопления и хранения КИ;
регламентация разрешительной системы разграничения доступа персонала к защищаемой информации;
организация ведения всех видов аналитической работы;
регламентация действий персонала в экстремальных ситуациях;
регламентация организационных вопросов защиты персональных компьютеров, информационных систем, локальных сетей;
организация защиты информации - создание службы информационной безопасности или назначение ответственных сотрудников за защиту информации.
Таким образом, организационной защиты является основным элементом комплексной СЗИ и во многом от того, каким образом реализован организационный элемент, зависит безопасности организации.
2.1.2 Инженерно-технический элемент защиты информации в АКСБ ОАО «Сбербанк России»
Предназначен для пассивного и активного противодействия средствам технической разведки и формирования рубежей охраны территории, здания, помещений и оборудования с помощью комплексов технических средств. По функциональному назначению средства инженерно-технической защиты можно условно разделить:
физические средства, включающие различные средства и сооружения, препятствующие физическому проникновению (доступу) злоумышленников на объекты защиты (территорию, в здание и помещения) и материальными носителями. Например, заборы, стальные двери, кодовые замки, сейфы и т. д. ;
средства защиты технических каналов утечки информации, возникающих при работе ЭВМ, средств связи, копировальных аппаратов, принтеров, факсов и др. технических средств управления;
средства обеспечения охраны территории, здания и помещений (средства наблюдения, оповещения, сигнализации,
информирования и идентификации) ;
средства обнаружения приборов и устройств технической разведки (подслушивающих и передающих устройств, тайно установленной миниатюрной звукозаписывающей и телевизионной аппаратуры и
т. п.) ;
технические средства контроля, предотвращающие вынос персоналом из помещения специально маркированных предметов, документов, дискет, книг и т. п.
средства противопожарной охраны;
средства защиты помещений от визуальных способов технической разведки.
2.1.3 Программно-аппаратный элемент защиты информации в АКСБ ОАО «Сбербанк России»
Предназначен для защиты конфиденциальной информации, обрабатываемой и хранящейся в компьютерах, серверах и рабочих станциях ЛВС и различных информационных системах. «Аппаратные средства защиты информации представлены техническими устройствами, предназначенными для защиты информации от разглашения, утечки или несанкционированного доступа». Аппаратные средства могут быть:
средствами выявления;
средствами защиты от несанкционированного доступа.
программные средства защиты имеют следующие разновидности специальных программ:
идентификации технических средств, файлов и аутентификации пользователей;
регистрации и контроля работы технических средств и
пользователей;
обслуживания режимов обработки информации ограниченного пользования;
защиты операционных средств ЭВМ и программ пользователей;
уничтожения информации в защитные устройства после
использования;
сигнализирующих нарушения использования ресурсов;
вспомогательных программ защиты различного назначения.
3. Реализация политики безопасности в АКСБ ОАО «Сбербанк России»
3.1 Реализация нормативно-правового элемента защиты информации в АКСБ ОАО «Сбербанк России»
Правовая защита информации призвана обеспечить государственную законодательную базу и нормативное обоснование комплексной системы защиты информации в АКСБ ОАО «Сбербанк России». Кроме законов и других государственных нормативных документов, правовое обеспечение системы защиты конфиденциальной информации включает в себя комплекс внутренней нормативно-организационной документации, в которую входят такие документы организации, как:
Устав;
коллективный трудовой договор;
трудовые договоры с сотрудниками Банка;
правила внутреннего распорядка служащих Банка;
должностные обязанности руководителей, специалистов и служащих Банка.
инструкции пользователей информационно-вычислительных
сетей и баз данных;
инструкции администраторов ИВС и БД;
положение о подразделении по защите информации;
концепция системы защиты информации в АКСБ ОАО
«Сбербанк России»;
инструкции сотрудников, допущенных к защищаемым
сведениям;
инструкции сотрудников, ответственных за защиту информации; ? памятка сотрудника о сохранении коммерческой или иной тайны;
договорные обязательства.
3.2 Реализация организационного элемента защиты информации в АКСБ ОАО «Сбербанк России»
Практика последнего времени свидетельствует о том, что различные по масштабам, последствиям и значимости виды преступлений и правонарушений так или иначе связаны с конкретными действиями сотрудников коммерческих структур
В связи с этим в целях повышения экономической безопасности АКСБ ОАО «Сбербанк России» уделяет большое внимание подбору и изучения кадров, проверке любой информации, указывающей на их сомнительное поведение и компрометирующие связи. При этом в обязательном порядке проводить значительную разъяснительно-воспитательную работу, систематические инструктажи и учения по правилам и мерам безопасности, регулярные, но неожиданные тестирования различных категорий сотрудников по постоянно обновляемым программам.
В контрактах АКСБ ОАО «Сбербанк России» четко очерчивает персональные функциональные обязанности всех категорий сотрудников Банка и на основе существующего российского законодательства во внутренних приказах и распоряжениях определяет их ответственность за любые виды нарушений, связанных с разглашением или утечкой информации, составляющей коммерческую тайну.
Кроме того Банк все шире вводит в своих служебных документах гриф «конфиденциально» и распространяет различного рода надбавки к окладам для соответствующих категорий своего персонала.
При отборе сотрудников важную роль занимают рекомендательные письма, научные методы проверки на профессиональную пригодность и различного рода тестирования, осуществляемые кадровыми подразделениями Банка, сотрудниками службы безопасности и группами психологической поддержки.
В настоящее время АКСБ ОАО «Сбербанк России» имеет строго разработанные и утвержденные руководством организационные структуры и функции управления для каждого подразделения. Составлены
организационные схемы и чертежи, на которых графически изображается каждое рабочее место, прописываются должностные обязанности и определяются информационные потоки для отдельного исполнителя.
При такой схеме управления и контроля предельно ясно, на каком участке (отдел, служба, управление) требуется специалист соответствующей квалификации и какой информацией он должен располагать для выполнения функций на своем рабочем месте. Внутренними распоряжениями также определяются требования к деловым и личным качествам сотрудников и обусловливаются режимы сохранения коммерческой тайны.
Кроме того, для большей конкретизации этих процедур на каждое рабочее место составляется профессиограмма, т. е. перечень личностных качеств, которыми в идеале должен обладать потенциальный сотрудник. Содержательная сторона и глубина проработки профессиограмм могут быть различными. Это зависит в первую очередь от того, на какое рабочее место они составляются.
Обязательными атрибутами подобных документов являются разделы, отражающие профессионально значимые качества (психологические характеристики, свойства личности, без которых невозможно выполнение основных функциональных обязанностей), а также противопоказания (личностные качества, которые делают невозможным зачисление кандидата на конкретную должность). В некоторых случаях необходимо не только указывать профессионально значимые качества, но и оценивать степень их выраженности, т. е. сформированности.
По схемам управления и профессиограммам Банк приступает к собеседованиям и применяет разнообразные процедуры отбора кандидатов на работу. Как правило, проблема отбора кадров встает перед руководителями банков в двух основных случаях: создание новых подразделений, замещение вакантных должностей. Для первого случая характерно изучение значительного числа кандидатур, для которых из набора имеющихся вакансий подбирается соответствующая должность. Во втором случае из ограниченного числа кандидатов отбирается тот, который по своим личным и профессиональным качествам в наибольшей степени соответствует требованиям профессиограммы данного рабочего места.
Проблема состоит в том, что даже весьма опытные работники кадровых подразделений не всегда могут правильно, достоверно и быстро оценить подлинное психическое состояние лиц, пришедших на собеседование. Этому способствуют повышенное волнение, склонность отдельных кандидатов к предвзятым оценкам характера деятельности некоторых коммерческих структур, но особенно широкое и зачастую бесконтрольное самолечение различных психосоматических расстройств с использованием в ряде случаев весьма сильных психотропных препаратов. В этой связи АКСБ ОАО «Сбербанк России» требует от кандидатов предоставления справок о состоянии здоровья либо сами выдает направления в определенные поликлиники с рекомендацией прохождения полной диспансеризации (за счет кандидата).
С точки зрения обеспечения стратегических интересов АКСБ ОАО «Сбербанк России» являются обязательными следующие функции службы безопасности:
определение степени вероятности формирования у кандидата преступных наклонностей в случаях возникновения в его окружении определенных благоприятных обстоятельств (персональное распоряжение кредитно-финансовыми ресурсами, возможность контроля за движением наличных средств и ценных бумаг, доступ к материально-техническим ценностям, работа с конфиденциальной информацией и пр.) ;
выявление имевших место ранее преступных наклонностей, судимостей, связей с криминальной средой (преступное прошлое, наличие конкретных судимостей, случаи афер, махинаций, мошенничества, хищений на предыдущем месте работы кандидата и установление либо обоснованное суждение о его возможной причастности к этим преступным деяниям).
Для добывания подобной информации АКСБ ОАО «Сбербанк России» использует возможности различных подразделений банковских структур, в первую очередь службы безопасности, отдела кадров, юридического отдела, подразделений медицинского обеспечения, а также некоторых сторонних организаций детективных агентств, бюро по занятости населения, диспансеров и пр.
Также представители банковских структур АКСБ ОАО «Сбербанк России» должны быть абсолютно уверены в том, что проводят тесты, собеседования и встречи именно с теми лицами, которые выступают в качестве кандидатов на работу. Это подразумевает тщательную проверку паспортных данных, иных документов, а также получение фотографий кандидатов без очков, контактных линз, парика, макияжа.
АКСБ ОАО «Сбербанк России» настаивает на получении набора цветных фотографий кандидата, которые могут быть использованы в случае необходимости для предъявления жильцам по месту его проживания или коллегам по работе. Использование в кадровой работе цветных фотографий, соответствующих паспортным данным, предпочтительнее также в связи с тем, что они четко и без искажений передают цвет волос, глаз, кожи, возраст и характерные приметы кандидата.