В том случае, если результаты указанных проверок, тестов и психологического изучения не противоречат друг другу и не содержат данных, которые бы препятствовали приему на работу данного кандидата, с ним заключается трудовое соглашение, предусматривающей испытательный срок (1-3 месяца).
Необходимо также подчеркнуть следующее важное обстоятельство - лица, принимаемые на ответственные вакантные должности в АКСБ ОАО «Сбербанк России» (члены правлений, главные бухгалтеры, консультанты, начальники служб безопасности и охраны, руководители компьютерных центров и цехов, помощники и секретари первых лиц) сегодня подвергаются, как правило, следующей стандартной проверке, включающей:
достаточно продолжительные процедуры сбора и верификации установочно-биографических сведений с их последующей
аналитической обработкой;
предоставление рекомендательных писем от известных предпринимательских структур с их последующей проверкой;
проверки по учетам правоохранительных органов; установки по месту жительства и по предыдущим местам работы;
серии собеседований и тестов с последующей психоаналитической обработкой результатов.
По мнению экспертов, даже каждый, взятый в отдельности из упомянутых методов проверки достаточно эффективен. В совокупности же достигается весьма высокая степень достоверности информации о профессиональной пригодности и надежности кандидата, его способностях к творческой работе на конкретном участке.
Серьезное влияние на вопросы безопасности АКСБ ОАО «Сбербанк России» оказывают процедуры увольнения сотрудников. Современные психологические подходы к процессу увольнения, позволили выработать следующую принципиальную рекомендацию: каковы бы ни были причины увольнения сотрудника, он должен покидать АКСБ ОАО «Сбербанк России» без чувства обиды, раздражения и мести.
Только в этом случае можно надеяться на то, что увольняемый сотрудник не предпримет необдуманных шагов и не проинформирует правоохранительные органы, налоговую инспекцию, конкурентов, криминальные структуры об известных ему аспектах работы банка. Кроме того, известны случаи мести бывших сотрудников с использованием компьютерного проникновения.
Таким образом, представители кадровых подразделений и служб безопасности четко ориентированы на выяснение истинных мотивов увольнения всех категорий сотрудников. Зачастую причины, на которые ссылается сотрудник при увольнении, и подлинные мотивы, побудившие его к такому шагу, существенно отличаются друг от друга. Обычно ложный защитный мотив используется потому, что сотрудник в силу прежних привычек и традиций опасается неправильной интерпретации своих действий со стороны руководителей и коллег по работе.
Наряду с этим весьма часто имеют место случаи, когда сотрудник внутренне сам уверен в том, что увольняется по откровенно называемой им причине, хотя его решение сформировано и принято под влиянием совершенно иных, порой скрытых от него обстоятельств. Так, в практике уже известны случаи весьма тонких и тайных комбинаций оказания влияния на высококвалифицированных специалистов с целью их переманивания на другое место работы.
В этой связи принципиальная задача Банка состоит в том, чтобы определить истинную причину увольнения сотрудника, попытаться правильно ее оценить и решить, целесообразно ли в данной ситуации предпринимать попытки к искусственному удержанию данного лица в коллективе либо отработать и реализовать процедуру его спокойного и бесконфликтного увольнения. Решение принимается на основе строго объективных данных в отношении каждого конкретного сотрудника.
При поступлении устного или письменного заявления об увольнении во всех без исключениях случаях проводится с сотрудником беседа с участием представителя кадрового подразделения и кого-либо из руководителей банковской структуры. Однако до беседы предпринимаются меры по сбору следующей информации об увольняющемся сотруднике:
характер его взаимоотношений с коллегами в коллективе; отношение к работе; уровень профессиональной подготовки; наличие конфликтов личного или служебного характера;
ранее имевшие место высказывания или пожелания перейти на другое место работы;
доступ к информации, в том числе составляющей коммерческую тайну;
вероятный период устаревания сведений, составляющих коммерческую тайну для данного предприятия; предполагаемое в будущем место работы увольняющегося (увольняемого)
сотрудника.
Беседа при увольнении проводится лишь только после того, когда собраны все необходимые сведения. Конечно, предварительно руководитель коммерческой структуры отрабатывает принципиальный подход к вопросу о том, целесообразно ли предпринимать попытки склонить сотрудника изменить его первоначальное решение либо санкционировать оформление его увольнения. В любом случае рекомендуется дать собеседнику высказаться и в развернутой форме объяснить мотивы своего решения. При выборе места проведения беседы предпочтение отдается, как правило, служебным помещениям.
Если менеджером банка, отделом кадров и службой безопасности все же принято решение не препятствовать увольнению сотрудника, а по своему служебному положению он располагал доступом к конфиденциальной информации, то в этом случае отрабатывается несколько вариантов сохранения в тайне коммерческих сведений (оформление официальной подписи о неразглашении данных, составляющих коммерческую тайну, либо устная «джентльменская» договоренность о сохранении увольняемым сотрудником лояльности к «своему банку или фирме»).
Персонал оказывает существенное, а в большинстве случаев даже решающее влияние на информационную безопасность банка. В этой связи подбор кадров, их изучение, расстановка и квалифицированная работа при увольнениях в значительной степени повышают устойчивость АКСБ ОАО «Сбербанк России» к возможному стороннему негативному влиянию и агентурному проникновению противоправных элементов.
Регулярное изучение всех категорий персонала, понимание объективных потребностей сотрудников, их ведущих интересов, подлинных мотивов поведения и выбор соответствующих методов объединения отдельных индивидуумов в работоспособный коллектив - все это позволяет руководителям в итоге решать сложные производственные и коммерческофинансовые задачи, в том числе связанные с обеспечением экономической безопасности.
Программа работы с персоналом в АКСБ ОАО «Сбербанк России» сформулирована следующим образом:
добывание в рамках действующего российского законодательства максимального объема сведений о кандидатах на работу, тщательная проверка представленных документов как через официальные, так и оперативные возможности, в том числе службы безопасности банка или частного детективного агентства, системность в анализе информации, собранной на соответствующие кандидатуры;
проведение комплекса проверочных мероприятий в отношении кандидатов на работу, их родственников, бывших сослуживцев, ближайшего окружения в тех случаях, когда рассматривается вопрос об их приеме на руководящие должности или допуске к информации, составляющей коммерческую тайну;
использование современных методов, в частности собеседований и тестирований, для создания психологического портрета кандидатов на работу, который бы позволял уверенно судить об основных чертах характера и прогнозировать их вероятные действия в различных экстремальных ситуациях;
оценка с использованием современных психологических методов разноплановых и разнопорядковых факторов, возможно препятствующих приему кандидатов на работу или их
использованию на конкретных должностях;
определение для кандидатов на работу в структурах банка некоторого испытательного срока с целью дальнейшей проверки и выявления деловых и личных качеств, иных факторов, которые бы могли препятствовать зачислению на должность;
введение в практику регулярных и неожиданных комплексных проверок персонала, в том числе через возможности служб безопасности;
обучение сотрудников кадровых подразделений и служб безопасности современным психологическим подходам к работе с персоналом, социальным, психоаналитическим, этикоморальным методам, навыкам использования современных технических средств для фиксирования результатов интервью и собеседований, приемам проведения целевых бесед «втемную» и процедурам информационно-аналитической работы с документами кандидатов;
выделение из числа первых руководителей коммерческих структур куратора кадровой работы для осуществления контроля за деятельностью кадровых подразделений и служб безопасности при работе с персоналом.
Для реализации программного элемента защиты информации в АКСБ ОАО «Сбербанк России» используется комплексная система защиты информации «Панцирь-К».
Комплексная система защиты информации (КСЗИ) «Панцирь-К» для ОС Windows 2000/XP/2003 - программный комплекс защиты
конфиденциальной информации и персональных данных, предназначенная для защиты, как автономных компьютеров, так и компьютеров в составе сети предприятия.
КСЗИ реализована программно. Одна и та же клиентская часть установлена на различные ОС семейства Windows (2000/XP/2003).
Реализованные подходы к построению обеспечивают высокую надежность функционирования КСЗИ и независимость от установленных обновлений (path-ей) ОС и приложений - основные компоненты КСЗИ - системные драйверы протестированы с использованием соответствующих средств отладки производителя ОС.
Все механизмы защиты реализованы собственными средствами, не использован ни один встроенный в ОС механизм защиты, многие из которых обладают серьезными архитектурными недостатками.
КСЗИ «Панцирь-К» собственными средствами реализует все требования, предъявляемые к защите конфиденциальной информации от
несанкционированного доступа. КСЗИ сертифицирована ФСТЭК по 5 классу СВТ (сертификат №1144, ограничения по использованию в сертификате отсутствуют) и выполняет все требования к классу защищенности 1Г для АС.
К комплексной системе защиты КСЗИ может быть отнесена, ввиду того, что она служит для эффективного противодействия, как известным, так и потенциально возможным атакам на защищаемые ресурсы, что обеспечивается устранением архитектурных недостатков защиты современных ОСWindows, т. е. позволяет решать задачи защиты информации в общем виде (что невозможно при использовании всевозможных средств контроля) ; КСЗИ может применяться для защиты, как от внешних, так и от внутренних ИТ-угроз, обеспечивая эффективное противодействие атакам и со стороны хакеров, и со стороны инсайдеров (санкционированных пользователей, допущенных к обработке информации на защищаемом вычислительном средстве).
В части криптографической защиты конфиденциальности информации в КСЗИ реализована возможность шифрования данных (на жестком диске и на отчуждаемых накопителях, локальных и разделенных в сети), при этом обеспечивается шифрование «на лету» (прозрачно для пользователя) любого заданного администратором файлового объекта (диска, папки, файла).
Реализованная ключевая политика позволяет защитить данные от раскрытия даже при хищении компьютера и при наличии ключа шифрования, позволяет осуществлять коллективный доступ к локальным и разделенным в сети зашифрованным объектам.
Для шифрования данных в КСЗИ интегрированы возможности использования сертифицированных криптопровайдеров «Signal-COM CSP» и «КриптоПро CSP 3. 0 (3. 6 для ОС Vista) « (соответствующих требованиям ФСБ РФ к шифрованию конфиденциальной информации по классам «КС1» и «КС2»).
КСЗИ «Панцирь-К» предоставляет следующие возможности:
Использование аппаратных решений для авторизации
пользователей при входе в систему и при доступе к критичным файловым объектам (смарт-карта, Aladdin eToken, ruToken, iButton) ;
Разграничения и аудит работы пользователей с локальными и сетевыми ресурсами (файловые ресурсы - FAT/NTFS/DFS/любые монтируемые ФС), ресурсы реестра ОС, сменные носители, принтеры, сервисы олицетворения, буфер обмена и т. д.) ;
Разграничения и аудит работы программ (приложений) с локальными и сетевыми ресурсами;
Разграничения и аудит работы пользователей с устройствами с использованием их серийных номеров (Flash-диски, CD/DVD, USB, WiFi, Bluetooth, IrDA, IEEE1394/ FireWire, PCMCIA, COM/LPT и т. д.) (Приложение Д) ;
Разграничения и аудит работы пользователей и приложений с локальными и глобальными сетями (ЛВС, Internet/Intranet) - персональный Firewall;
Шифрование данных «на лету» (3DES, AES, DES, ГОСТ 2814789), включая сетевые ресурсы, скрытие, разграничение доступа, а также гарантированное удаление остаточной информации, реализации коллективного доступа к зашифрованным данным;
Контроль рабочего времени пользователя, в том числе, средствами компьютерного видео наблюдения;
3.3 Оценка эффективной политики безопасности в АКСБ ОАО «Сбербанк России»
Модель комплексной оценки СЗИ банка.
Предлагается следующая методика создания и комплексной оценки системы защиты информации для КСБ.
Модель СЗИ представлена в виде следующих основных блоков показателей:
- Блок показателей «ОСНОВЫ»; - Блок показателей «НАПРАВЛЕНИЯ»; - Блок показателей «ЭТАПЫ».
Блок показателей «ОСНОВЫ» (Oi)
Проведенный анализ основных подходов к созданию СЗИ позволяет выделить следующие основные составные части СЗИ:
Нормативно-правовая и научная база;
Структура и задачи органов;
Организационные меры и методы (политика безопасности) ;
Программно-технические способы и средства.
Каждая из перечисленных составных частей блока «ОСНОВЫ» должна быть детализирована для конкретной КСБ.