виключення несанкціонованого ознайомлення з документу.
Ієрархічна послідовність доступу реалізується по принципу "чим вища цінність конфіденційних відомостей, тим менша чисельність співробітників можуть їх знати". У відповідності з цією послідовністю визначається необхідний ступінь посилення захисних мір, структура рубежів (ешелонів) захисту інформації.
Доступ співробітника до конфіденційних відомостей, який здійснюється у відповідності з дозвільною системою, називається санкціонованим. Доз-віл (санкція) на доступ до цих відомостей завжди є строго персоніфікованим і видається керівником в письмовому вигляді: наказом, що затверджує схему посадового чи іменного доступу до інформації, резолюцією на документі, списком-дозволом в карточці видачі справи або на обложці справи ознайомлення з документом.
Організаційні міри захисту відображаються в нормативно-методичних документах служби безпеки фірми. У зв'язку з цим часто використовується єдина назва двох розглянутих вище елементів системи захисту - організаційно-правового та технічного.
Так, технічний захист включає:
засоби захисту технічних каналів витоку інформації, що виникають під час роботи ЕОМ, засобів зв'язку, копіювальних апаратів, принтерів, факсів та інших приладів і обладнання;
засоби захисту приміщень від візуальних та акустичних способів технічної розвідки;
засоби охорони будівель і приміщень від проникнення сторонніх осіб (засоби спостереження, сповіщення, сигналізації, інформування і ідентифікації, інженерні споруди);
засоби протипожежної охорони;
засоби виявлення приладів і пристроїв технічної розвідки (підслуховуючих та передавальних пристроїв, звукозаписувальної та телевізійної апаратури і т.д.).
Також існує програмно-математичний елемент захисту інформації,який включає регламентацію:
доступу до електронних документів персональними паролями, що ідентифікуються командами та іншими найпростішими методами захисту;
спеціальних засобів і продуктів програмного захисту;
криптографічних методів засобів захисту інформації в ЕОМ та мережах, шифрування тексту під час передачі їх по каналам звичайного та факсимільного зв'язку, під час пересилки поштою.
В кожному елементі захисту можуть бути реалізовані на практиці тільки окремі складові частини. Наприклад, в організаційному захисті можна регламентувати тільки прийоми обробки конфіденційних документів і систему доступу до них персоналу. Методи і засоби захисту інформації в рамках системи захисту повинні регулярно змінюватись з метою попередження їх розкриття зловмисником.
Конкретна система захисту інформації фірмі завжди є строго конфіденційною. Спеціалісти, які розробляли що систему, ніколи не повинні бути її користувачами [13].
Організаційне проектування - це проектування нових організацій, структурне перетворення чи оптимізація діяльності, вже існуючих організацій, і навіть формування організаційних структур. Організаційне проектування дозволяє формувати системи із наперед заданими характеристиками, які у проектної документації. Метою організаційного проектування є формування нових структур чи розвиток вже існуючих, і навіть надання процесу створення нових систем чи розвитку діючих.
Завданнями організаційного проектування є:
виявлення умов, які впливають на діяльність організації та методів вивчення;
визначення якісного і кількісного складу елементів структур управління, формування взаємозв'язку;
визначення структури управління організацією й визначення умов, у яких кожна з яких буде ефективніша;
вивчення принципів, і методів проектування структур управління і особливості їх застосування;
визначення методики розрахунку необхідної кількості персоналу;
розробка заходів із впровадження спроектованих заходів у організацію;
розробляються методи і форм
контролю, і навіть специфіки їх використання [14].
.2 Управління персоналом по
забезпеченню обігу конфіденційних документів
Робота з персоналом на етапі підбору, оформлення та введення в посаду. Основні завдання керівника на даному етапі:
• виключити прийняття на роботу в компанію осіб, потенційно небезпечних з точки зору можливого заподіяння шкоди;
• провести роз'яснювально-профілактичну роботу з кандидатами;
• проконтролювати процес організації стажування, навчання та проходження випробувального терміну нового співробітника на предмет відповідності посади, на яку він приймається.
Можна виділити кілька заходів, обов'язкових у процесі реалізації даного етапу профілактичної роботи.
. Контроль над своєчасною організацією процесу пошуку кандидата на вакантну штатну посаду. Погрози ж невчасної заміни вибулого людини з точки зору виникнення втрат пов'язані з тим, що на його колег лягає додатковий обсяг роботи, а це, в свою чергу, збільшує ймовірність помилок в обліках товароруху, що тягнуть збитки.
. Перевірка кандидата на вакантну посаду до його офіційного працевлаштування. Вона повинна, як мінімум, включати:
• перевірку документів, що засвідчують особу, та наявність постійної місцевої прописки. Особливу увагу слід приділити записів у трудовій книжці. При цьому про минулої професійної діяльності можуть свідчити не тільки причини звільнення з попередніх місць роботи. Наприклад, факт відсутності трудової книжки у кандидата працездатного віку може бути підставою для більш ретельної перевірки. При заміщенні вакантної посади, що вимагає спеціальної освіти, необхідно звернути увагу на документи, що підтверджують наявність потрібної кваліфікації, і їх достовірність;
• перевірку рекомендацій з минулих місць роботи. У керівника чи кадрового працівника повинні викликати підозри кандидати, які відмовляються повідомити контакти організації, в якій вони працювали, і рекомендує. Показала ефективність практика обміну даними про співробітників, звільнених з негативних мотивів, між керівниками навіть "конкуруючих" мереж. У цьому випадку інформація працює "на випередження". У нашій практиці були випадки, коли у керівника, що зустрічається з кандидатом, вже була інформація про те, що з останнього місця роботи він де-факто був звільнений за вчинення розкрадання або по іншому негативному мотиву, а не "за власним бажанням", як свідчила запис у трудовій книжці;
• необхідно з'ясувати чи, принаймні, звернути увагу на прихильність людини до шкідливих звичок: алкоголю, наркотиків, азартних ігор;
• обов'язкова перевірка людини на наявність судимості, особливо за умисні корисливі злочини, а також на вчинення адміністративних правопорушень, - яскравий характеризує момент, який може зіграти вирішальне значення при прийнятті рішення і прийомі претендента на роботу в компанію.
На жаль, саме процедура перевірки кандидата на предмет виявлення фактів притягнення його до адміністративної або кримінальної відповідальності на практиці викликає найбільші труднощі. З кожним роком доступ до баз даних правоохоронних органів ставати все складніше, і процедура перевірки претендентів з легальної ставати все більш схожою на оперативну роботу. Підхід до даної проблеми законодавців видається абсолютно нелогічним.
. Проведення керівником особистої співбесіди з кандидатом. При цьому не повинна грати роль посадова категорія - будь-то лінійний персонал, середній менеджерський або керівний склад. Не можна переоцінити значимість даного заходу з профілактичної точки зору. Інтерв'ю слід проводити з усіма претендентами. У ході співбесіди керівник на основі раніше зібраної інформації і даних, отриманих у процесі особистого спілкування, повинен постаратися виявити специфічні нахили і приховану мотивацію кандидата. Під час бесіди обов'язково необхідно дати здобувачеві зворотний зв'язок, роз'яснивши основні положення правил внутрішнього трудового розпорядку, позицію керівництва торгової компанії до порушників трудової дисципліни і співробітникам, викритим у вчиненні розкрадань. Крім того, керівник повинен налагодити психологічний контакт із співрозмовником, визначити можливість використання його в якості довіреної особи.
. Контроль над організацією стажування кандидата. Звичайно, організацією цього процесу повинні займатися безпосередні керівники. Контроль СБ полягає в оцінці відповідності умов стажування вимогам трудового законодавства. На жаль, на практиці нерідкі випадки, коли на стажування виходять співробітники, ще не уклали трудовий договір. Пропрацювавши деякий час (буває, до декількох днів), їм відмовляють у прийомі на роботу з будь-яких підстав (недостатня кваліфікація, особистісні якості і т. д.). Природно, подібні порушення трудового законодавства автоматично тягнуть ризик виникнення негативних юридичних наслідків для роботодавця. Що пов'язано як з можливістю матеріальних витрат, так і з збитком іміджу компанії, що не менш критично. Завдання керівника - виключити подібні ризики.
. Контроль над належним оформленням документів при укладенні трудового договору. Роль керівника полягає в перевірці правильності оформлення документів для виключення можливих негативних юридичних наслідків. Зокрема, має перевірятися відповідність законодавчим вимогам укладання договорів про матеріальну відповідальність. Своєчасність і повнота ознайомлення знову прийнятого співробітника з діючими регламентами торгового підприємства, які можуть виявитися юридично значимими в подальшому, - з посадовими інструкціями, правилами внутрішнього трудового розпорядку, регламентом здійснення внутрішньо-об'єктного режиму і т. д. Важливий момент стосується оформлення документів, що підтверджують ознайомлення кандидата з перерахованими стандартами: журнал або аркуш ознайомлення повинні вестися так, щоб при розгляді спірних питань не виникало сумнівів у легітимності цих документів і допустимості їх в якості доказів (дата ознайомлення, найменування регламенту, підпис особи з розшифровкою і т. д.).
Слід зазначити, що перелічені заходи хоч і необхідні, але не завжди є можливість виконувати їх своєчасно у належному обсязі. Наприклад, у випадках, коли йде масовий набір персоналу у керівника служби безпеки просто фізично немає можливості цим займатися. У цьому випадку використовуються наступні прийоми: делегування функцій самому підготовленому співробітникові, наприклад, одному з старших змін проведення заходів, які не були виконані в повному обсязі (особисті співбесіди, перевірка оформлення документації і т. д.) відразу після запуску торгового об'єкта.
Профілактична робота з співробітниками в процесі їх діяльності
Основними завданнями керівника на даному етапі є:
• своєчасне виявлення ризиків і загроз для підприємства, які можуть виходити від персоналу;
• своєчасна оцінка та розробка заходів щодо поліпшення морально-психологічного клімату в колективі;
• надання сприяння керівництву підприємства при звільненні співробітників, що представляють загрозу для підприємства.
Профілактична робота з персоналом керівника служби безпеки повинна вестися безперервно. Необхідно практикувати використання різних прийомів, спрямованих на те, щоб лінійний персонал постійно відчував стан "підконтрольності".
На даному етапі рекомендується проведення наступних заходів:
. Участь керівника в зборах з персоналом, спрямоване на постійне інформування про найбільш значущих подіях за зміну, про найбільш проблемних питаннях, пов'язаних як із забезпеченням безпеки і мінімізації втрат, так і з належним забезпеченням бізнес-процесів і підвищенням якості обслуговування клієнтів.
Крім того, якраз факт щоденного звернення до персоналу підкреслює авторитет служби, є стримуючим чинником для співробітників, які планують протиправні дії.
. Регулярна робота по доведенню до персоналу торгового центру фактів виявлених розкрадань персоналом в інших торгових центрах мережі. При цьому інформація повинна подаватися дозовано, з акцентом не на методах виявлення подібних фактів, а на негативних наслідках для провинилися співробітників. Для цього потрібна налагоджена система інформаційного обміну між роздрібними структурними підрозділами мережі і центральним офісом. Небажано, щоб керівник служби безпеки делегував обов'язок доведення подібної інформації іншим посадовим особам.
Обмін інформацією між роздрібними структурними підрозділами організації торгівлі здійснюється у формі розсилки по електронній пошті довідок, що складаються керівниками підрозділів. Довідки направляються на електронні скриньки керівників підрозділів, директорів структурних підрозділів та топ-менеджерів.
. Обов'язково участь керівника служби безпеки в нарадах середньої менеджерської та керівного складу. Керівник не тільки повинен бути в курсі всіх проблем, що мають відношення до підконтрольному об'єкту, але і активним учасником і ініціатором розгляду питань, що стосуються попередження можливих ризиків компанії.
. Участь керівника служби безпеки в атестаціях співробітників усіх посадових категорій в якості члена атестаційної комісії. Атестація дозволяє виявити рівень підготовленості працівника до виконання його обов'язків, і, як наслідок, визначити ризики, пов'язані з потенційними можливостями допущення помилок і порушень в обліках руху документів співробітником.
. Контроль з боку керівника за кадровими переміщеннями людей.
. Участь керівника служби безпеки в преміальному комітеті - контроль адекватності заходів, що застосовуються до працівників, які допустили різні порушення.
. Вплив на психологічний клімат в колективі торгового центру, в основі якого - нетерпимість до злодіїв, яка підкріплюється розумною системою мотивації. Звичайно, неправильно розвивати систему "нашіптування", матеріально стимулюючи кожен факт доносів. Це призведе до такій обстановці, яка унеможливить нормальне здійснення бізнес-процесів. У подібному випадку збитки від порушення нормального функціонування торгового процесу можуть перевищити компенсацію втрат від розвитку системи тотального виказування.
. На основі аналізу статистичних даних обліків виявлених фактів заподіяння збитку торговельному підприємству, керівник повинен ініціювати проведення занять з персоналом по підвищенню професійної майстерності у сфері забезпечення бізнес-процесів і обліків документообігу. Крім того, необхідно надавати допомогу співробітникам кадрових підрозділів в організації та проведенні подібних занять.
. Керівник повинен практикувати регулярні особисті зустрічі з персоналом, щоб бути в курсі психологічної обстановки в колективі.
. Розвиток інституту довірених осіб з числа співробітників лінійного і середнього менеджерського складу. Використання негласних джерел інформації (але тут треба бути максимально обережним). Як показала практика, найбільш ефективно діють в цьому напрямку керівники підрозділів, які раніше працювали в оперативних підрозділах правоохоронних органів.
. Проведення керівником занять з протипожежної безпеки, дій у надзвичайних ситуаціях та інших питань, пов'язаних із забезпеченням безпеки.
Особливої тактики потребує профілактична робота з співробітниками, що звільняються. Основне завдання керівника при роботі з тими, хто звільняється - отримання оперативно-значущої інформації. Тут мова може йти лише про співробітників, які йдуть за власним бажанням. З ініціативи адміністрації працівників звільняють, як правило, з негативних мотивів. При цьому не грає ролі юридичне формулювання обґрунтування, тобто те, що буде записано в трудовій книжці. Мова саме про фактичні причини.
Об'єктом роботи керівника є саме
співробітники, які висловили бажання розірвати трудовий договір з торговельним
підприємством за власним бажанням. Робота з даною категорією персоналу дає
можливість отримання інформації з перших вуст від людей, яким немає сенсу
що-небудь приховувати, тому вони охоче діляться відомими їм відомостями.
Найчастіше в результаті подібної роботи співробітники, цілком лояльні до
організації і вимушені йти з неї через своїх колег, набагато більш
"шкідливих і небезпечних", залишалися [15].