Почему этап собеседования становится всё более важным при выездной проверке на соответствие требованиям по защите конфиденциальной информации? 

При выездной проверке предприятия на соответствие требованиям по защите конфиденциальной информации обычно заранее проверяют нормативные документы, средства защиты информации, информационные системы, содержащие сведения ограниченного доступа, а также записи о повседневном управлении. Однако есть ещё один этап, который легко недооценить, — собеседование с сотрудниками.

Для предприятия, проходящего выездную проверку, собеседование — это не просто формат «вопрос — ответ». От законного представителя, руководителя направления по защите конфиденциальной информации и сотрудников подразделения, отвечающего за защиту информации, до работников, имеющих доступ к сведениям ограниченного доступа, и специалистов, выполняющих функции администраторов и операторов, — представители разных должностей могут стать источником информации о фактическом состоянии работы предприятия в области защиты конфиденциальной информации.

Если сотрудники разных подразделений по-разному понимают внутренние требования по защите конфиденциальной информации, свои должностные обязанности и правила повседневного управления, это может свидетельствовать о недостаточной реализации установленных требований. Поэтому подготовка сотрудников к собеседованию также является важной частью подготовки предприятия к проверке на соответствие установленным требованиям.

Как реализуется принцип руководства работой по защите конфиденциальной информации?

В ходе выездного собеседования одним из основных вопросов обычно становится организационный механизм руководства работой предприятия в области защиты конфиденциальной информации. Предприятие должно быть способно объяснить обязанности партийного комитета или партийной организации в данной сфере и соответствующие рабочие механизмы, включая регулярное рассмотрение докладов о работе по защите конфиденциальной информации, обсуждение важных вопросов в этой области, а также продвижение соответствующей работы посредством таких организационных механизмов, как комитет по защите конфиденциальной информации.

Для предприятия, проходящего проверку, ключевым является не механическое запоминание всеми сотрудниками содержания документов, а способность соответствующих руководителей чётко объяснить с учётом специфики своей организации:

- кто отвечает за работу по защите конфиденциальной информации;

- каким образом рассматриваются и принимаются решения по важным вопросам защиты конфиденциальной информации;

- каким образом соответствующая работа включена в повседневную систему управления предприятием;

- сформирован ли механизм непрерывного функционирования соответствующих процессов.

Только при соответствии между установленными требованиями, распределением ответственности и фактической работой система управления защитой конфиденциальной информации предприятия может действительно эффективно применяться на практике.

Ответственность законного представителя за защиту конфиденциальной информации должна реализовываться на практике

Законный представитель является одним из основных ответственных лиц за работу предприятия в области защиты конфиденциальной информации, поэтому его обязанности также являются одним из ключевых вопросов при собеседовании.

Руководитель предприятия должен понимать свою ответственность в данной сфере, включая общую ответственность за работу по защите конфиденциальной информации, обеспечение необходимых кадровых, материальных и финансовых ресурсов, организацию рассмотрения и решения важных вопросов, а также выполнение предусмотренных требований по представлению соответствующей информации и отчётности.

Для предприятия особенно важно не допускать ситуации, когда «документы разработаны одними сотрудниками, работа выполняется другими, а руководитель организации не знает, как всё это реализуется». Защита конфиденциальной информации не является задачей только одного подразделения. В ней должны совместно участвовать руководство предприятия, функциональные подразделения, технические специалисты и сотрудники, имеющие доступ к сведениям ограниченного доступа.

Укрепление защиты с помощью технологий — это не только установка дополнительного оборудования

По мере повышения уровня информатизации предприятий управление защитой конфиденциальной информации всё больше зависит от технических средств. При подготовке к выездной проверке предприятию необходимо обратить внимание на то, соответствует ли система технической защиты реальным условиям ведения деятельности. Например, необходимо в соответствии с фактическими потребностями внедрять соответствующие меры безопасности, а также выполнять аудит рабочих станций и серверов, обнаружение вторжений, контроль электромагнитных излучений и утечек, применять раздельные источники питания для сетей различного уровня доступа, средства подавления видеосигналов и проводить оценку рисков.

При этом само наличие технического оборудования не может полностью характеризовать уровень защиты конфиденциальной информации.

Гораздо важнее убедиться, что соответствующее оборудование нормально функционирует, организационные требования согласованы с его использованием, ответственные лица назначены, а результаты ежедневных проверок и технического обслуживания надлежащим образом фиксируются.

Управление сотрудниками, имеющими доступ к конфиденциальной информации, также является важной частью собеседования

Сотрудники, имеющие доступ к конфиденциальной информации, являются важной частью системы защиты предприятия. В ходе собеседования необходимо не только оценивать, насколько сотрудники соответствующих должностей понимают требования по защите информации, но и обращать внимание на их регулярное обучение, подготовку, аттестацию, обеспечение предусмотренных прав и льгот, а также управление периодом ограничения доступа после освобождения от соответствующих обязанностей.

В соответствии с фактической системой управления предприятие может применять различные меры контроля для сотрудников с разными уровнями доступа к конфиденциальной информации и совершенствовать механизм управления персоналом посредством обучения требованиям защиты информации, ежегодной аттестации, соответствующих компенсационных выплат и других мер.

В отношении сотрудников, прекращающих работу с конфиденциальной информацией или переводимых на другие должности, необходимо в соответствии с установленными требованиями организовать период ограничения доступа и последующее распределение должностных обязанностей. Основное значение имеет не только наличие соответствующих правил, но и способность предприятия сформировать полный замкнутый цикл управления в повседневной работе.