|
|
@@ -0,0 +1,132 @@
|
|
|
+# Правила работы с конфиденциальными ресурсами.
|
|
|
+
|
|
|
+
|
|
|
+**Введение**
|
|
|
+
|
|
|
+
|
|
|
+Информация является важным ресурсом для организаций, государственных учреждений и отдельных граждан. Многие сведения требуют особой защиты, поскольку их разглашение может привести к финансовым потерям, нарушению прав граждан или нанесению ущерба деятельности организации.
|
|
|
+Для предотвращения подобных ситуаций устанавливаются специальные правила работы с конфиденциальными ресурсами. Они определяют порядок доступа к информации, её хранения, обработки, передачи и уничтожения.Соблюдение этих правил является важной частью информационной безопасности. Каждый пользователь, имеющий доступ к конфиденциальным сведениям, должен понимать свою ответственность за их сохранность.
|
|
|
+
|
|
|
+**Понятие конфиденциальных ресурсов**
|
|
|
+
|
|
|
+Конфиденциальные ресурсы — это информация ограниченного доступа, разглашение которой может нанести ущерб её обладателю: компании, организации, государству или частному лицу. К таким ресурсам относятся персональные данные, коммерческая тайна, служебная тайна, профессиональная тайна (врачебная, адвокатская и т.п.). Главная задача — выстроить систему, которая минимизирует риски утечек и несанкционированного доступа.
|
|
|
+К конфиденциальным ресурсам могут относиться:
|
|
|
+* электронные документы и служебная переписка;
|
|
|
+* базы данных с персональными данными граждан;
|
|
|
+* внутренние информационные системы организаций;
|
|
|
+* финансовые документы и сведения о деятельности предприятий;
|
|
|
+* договоры, отчёты и внутренние документы ограниченного доступа;
|
|
|
+* информационные системы, содержащие коммерческую тайну.
|
|
|
+Не вся информация организации является конфиденциальной. Ограничивать доступ можно только на предусмотренных законом или установленными правомерными правилами основаниях.
|
|
|
+Конфиденциальная информация может включать персональные данные, коммерческую тайну и другие сведения ограниченного доступа. При этом для разных категорий информации действуют различные требования к защите.
|
|
|
+
|
|
|
+**Основные правила работы с конфиденциальными ресурсами**
|
|
|
+
|
|
|
+| № | Правило | Основные требования | Последствия нарушения |
|
|
|
+|:---:|---|---|---|
|
|
|
+| 1 | Ограничение доступа | Доступ только уполномоченным лицам. | Несанкционированный доступ. |
|
|
|
+| 2 | Хранение информации | Защищённое хранение документов и файлов. | Потеря или утечка данных. |
|
|
|
+| 3 | Передача информации | Проверка получателя и защищённые каналы связи. | Разглашение конфиденциальных сведений. |
|
|
|
+| 4 | Использование паролей | Сложные пароли и многофакторная аутентификация. | Взлом учётной записи. |
|
|
|
+| 5 | Работа с устройствами | Использование проверенных и разрешённых устройств. | Кража данных или заражение компьютера. |
|
|
|
+| 6 | Уничтожение информации | Безопасное уничтожение документов и файлов. | Восстановление удалённых сведений. |
|
|
|
+| 7 | Защита персональных данных | Запрет незаконной передачи личных сведений. | Нарушение прав граждан. |
|
|
|
+| 8 | Действия при утечке | Немедленное сообщение ответственному специалисту. | Увеличение ущерба. |
|
|
|
+
|
|
|
+**Правовая основа**
|
|
|
+
|
|
|
+Прежде чем регламентировать работу, нужно опираться на закон.
|
|
|
+В России ключевые нормы закреплены в:
|
|
|
+149-ФЗ «Об информации, информационных технологиях и о защите информации». Он определяет, что такое конфиденциальность (требование не передавать информацию третьим лицам без согласия обладателя) и обязывает обладателей информации принимать меры по её защите.
|
|
|
+152-ФЗ «О персональных данных». Регулирует сбор, обработку и защиту персональных данных, в том числе требует получать согласие субъекта на обработку.
|
|
|
+98-ФЗ «О коммерческой тайне». Устанавливает режим коммерческой тайны: определяет перечень защищаемых сведений, порядок доступа, учёта лиц, которым информация передана.
|
|
|
+
|
|
|
+**Методы защиты конфиденциальной информации**
|
|
|
+
|
|
|
+*Организационные меры*
|
|
|
+
|
|
|
+Организационные меры определяют порядок работы с конфиденциальной информацией и обязанности пользователей.
|
|
|
+К ним относятся:
|
|
|
+* разработка правил и инструкций по информационной безопасности(внутренние документы (политика ИБ, регламенты, инструкции), где чётко прописано, как работать с конфиденциальной информацией);
|
|
|
+* назначение ответственных за защиту информации( должен быть конкретный человек или подразделение (например, служба ИБ), которые отвечают за соблюдение политик, контроль доступа, реагирование на инциденты);
|
|
|
+* разграничение прав доступа(сотрудник получает доступ только к тем данным, которые необходимы для его работы);
|
|
|
+* обучение сотрудников правилам безопасной работы(Регулярные инструктажи и тренинги, включая фишинг-симуляции (рассылка тестовых «опасных» писем).);
|
|
|
+* проведение проверок соблюдения установленных требований(аудиты и контрольные мероприятия);
|
|
|
+* определение порядка действий при обнаружении утечки информации.(чёткий алгоритм: кто и как сообщает об инциденте)
|
|
|
+Организационные меры помогают установить единые требования для всех пользователей и снизить вероятность ошибок.
|
|
|
+
|
|
|
+*Технические меры*
|
|
|
+
|
|
|
+Технические меры направлены на защиту оборудования, помещений и каналов передачи данных.
|
|
|
+К ним могут относиться:
|
|
|
+* контроль физического доступа в помещения(Ограничение входа в зоны, где хранятся и обрабатываются конфиденциальные данные);
|
|
|
+* использование систем контроля и управления доступом(Электронные системы, которые фиксируют, кто, когда и куда вошёл. Доступ предоставляется по картам, биометрии (отпечаток, лицо), кодовым панелям);
|
|
|
+* защита серверов и рабочих станций(комплекс мер: размещение серверов в запираемых серверных, использование стоек с замками, пломбирование корпусов, видеонаблюдение в серверной на рабочих станциях — запрет подключения внешних устройств, контроль портов);
|
|
|
+* применение резервного электропитания и средств сохранения данных(источники бесперебойного питания (ИБП), дизель-генераторы, автоматическое переключение на резервные линии. для данных — регулярное резервное копирование на отдельные носители или в облако,);
|
|
|
+* защита сетевого оборудования от несанкционированного подключения.(Физическое ограничение доступа к коммутаторам, маршрутизаторам, патч-панелям)
|
|
|
+Эти меры помогают предотвратить физическое вмешательство в работу информационных систем и снизить риск утраты данных.
|
|
|
+
|
|
|
+*Программные меры*
|
|
|
+
|
|
|
+Программные средства обеспечивают защиту информации на уровне операционных систем, приложений и сетевых сервисов.
|
|
|
+К основным программным мерам относятся:
|
|
|
+* использование антивирусного программного обеспечения(антивирусы сканируют файлы и оперативную память, блокируют вредоносные программы, проверяют вложения и веб-трафик);
|
|
|
+* применение средств шифрования(шифрование защищает данные при хранении (шифрование дисков, папок, баз данных) и при передаче (SSL/TLS, VPN, S/MIME для почты));
|
|
|
+* настройка разграничения доступа к файлам и папкам(рава доступа назначаются на уровне ОС и файловой системы (NTFS, ext4), а также в прикладных системах (CRM, ERP, SharePoint));
|
|
|
+* использование межсетевых экранов(разрешают только нужные соединения, блокируют подозрительные и запрещённые);
|
|
|
+* регулярное обновление программного обеспечения(установка обновлений и патчей для ОС, прикладного ПО, драйверов, прошивок сетевого оборудования);
|
|
|
+* регистрация и анализ событий безопасности(журналы фиксируют входы пользователей, изменения файлов, попытки доступа, запуск процессов).
|
|
|
+
|
|
|
+*Физическая защита*
|
|
|
+
|
|
|
+Меры физической защиты
|
|
|
+* Установка систем контроля и управления доступом (СКУД) (ограничение входа в помещения по пропускам, биометрии или кодам, фиксация времени входа/выхода).
|
|
|
+* Организация видеонаблюдения (контроль помещений с конфиденциальной информацией, хранение архива для расследования инцидентов).
|
|
|
+* Контроль работы с бумажными носителями (исключение оставления документов без присмотра, выделение специальных зон для работы с ними).
|
|
|
+* Безопасное уничтожение бумажных носителей (использование шредеров нужного уровня секретности, ведение журналов уничтожения, назначение ответственных).
|
|
|
+* Защита помещений хранения (архивы, серверные) (усиленные двери, сейфовые шкафы, опечатывание, датчики вскрытия, отдельные охраняемые комнаты).
|
|
|
+* Контроль выноса материальных носителей (учёт техники и носителей при выносе, досмотр личных вещей в рамках регламентов, запрет выноса без служебной необходимости).
|
|
|
+Комплексное применение организационных, технических и программных мер позволяет повысить уровень защищённости конфиденциальных ресурсов.
|
|
|
+
|
|
|
+**Действия при обнаружении утечки информации**
|
|
|
+
|
|
|
+Если пользователь обнаружил, что конфиденциальные сведения могли попасть к посторонним лицам, необходимо действовать незамедлительно.
|
|
|
+Рекомендуемый порядок действий:
|
|
|
+* прекратить действия, которые могут привести к дальнейшему распространению информации;
|
|
|
+* незамедлительно сообщить ответственному за информационную безопасность или непосредственному руководителю;
|
|
|
+* зафиксировать известные обстоятельства происшествия, не распространяя конфиденциальные сведения дополнительно;
|
|
|
+* следовать инструкциям ответственных специалистов по локализации инцидента;
|
|
|
+* не удалять журналы событий и другие сведения, необходимые для расследования, без соответствующего разрешения.
|
|
|
+* Своевременное сообщение об инциденте помогает ограничить последствия утечки и организовать необходимые меры защиты.
|
|
|
+
|
|
|
+**Ответственность за нарушение правил работы с конфиденциальными ресурсами**
|
|
|
+
|
|
|
+Нарушение правил работы с конфиденциальными ресурсами может привести к серьёзным последствиям для пользователя и организации.
|
|
|
+К основным нарушениям относятся:
|
|
|
+* разглашение охраняемой законом информации;
|
|
|
+* несанкционированный доступ к информационным системам;
|
|
|
+* незаконное копирование конфиденциальных документов;
|
|
|
+* передача персональных данных посторонним лицам;
|
|
|
+* нарушение правил хранения и передачи информации;
|
|
|
+* уничтожение или изменение данных без соответствующих полномочий.
|
|
|
+В зависимости от характера нарушения и обстоятельств может наступить дисциплинарная, гражданско-правовая, административная или уголовная ответственность.
|
|
|
+Например, работник может быть привлечён к дисциплинарной ответственности за нарушение установленных требований организации. Разглашение коммерческой тайны или неправомерное использование персональных данных при наличии предусмотренных законом условий может повлечь иные виды ответственности.
|
|
|
+В Российской Федерации вопросы защиты информации регулируются различными нормативными правовыми актами, в том числе Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Федеральным законом № 152-ФЗ «О персональных данных».
|
|
|
+Для защиты сведений, составляющих коммерческую тайну, применяется также Федеральный закон № 98-ФЗ «О коммерческой тайне».
|
|
|
+Правовой режим коммерческой тайны, персональных данных и других категорий конфиденциальной информации различается. Поэтому конкретные обязанности и последствия нарушений определяются с учётом вида информации и применимых норм законодательства.
|
|
|
+
|
|
|
+**Заключение**
|
|
|
+
|
|
|
+Таким образом правила обращения с конфиденциальными ресурсами — ключевой элемент системы информационной безопасности. Их цель — уберечь данные ограниченного доступа от утечки, потери, несанкционированных изменений и неправомерного применения.Чтобы обеспечить безопасность, важно строго придерживаться регламентов: контролировать уровни доступа, грамотно организовывать хранение документов, передавать информацию только по защищённым каналам, использовать надёжные методы подтверждения личности, а также корректно уничтожать данные по истечении срока их актуальности.
|
|
|
+Не менее значимы регулярное обучение персонала и оперативная фиксация любых подозрительных ситуаций или сбоев в защите информации. Практика показывает, что даже незначительная оплошность сотрудника способна спровоцировать утечку и обернуться серьёзными последствиями — от репутационных потерь до финансовых и юридических рисков.
|
|
|
+В итоге ответственность за сохранность конфиденциальных сведений лежит на каждом, кто с ними работает. Соблюдение правил — не формальность, а необходимая мера. Именно сочетание технических, организационных и человеческих факторов формирует надёжную защиту и позволяет минимизировать угрозы при работе с чувствительной информацией.
|
|
|
+
|
|
|
+**Список литературы**
|
|
|
+
|
|
|
+Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
|
|
|
+Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
|
|
|
+Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне».
|
|
|
+Гражданский кодекс Российской Федерации. Часть четвёртая.
|
|
|
+Официальный интернет-портал правовой информации — Официальный сайт правовой информации.
|
|
|
+Федеральная служба по техническому и экспортному контролю России — Официальный сайт ФСТЭК России.
|
|
|
+
|
