Šaltinio informacija visada platinama išorinė aplinka. Informacijos sklaidos kanalai yra objektyvūs, aktyvūs ir apima: verslo, vadybinę, prekybinę, mokslinę, komunikacinę reguliuojamą komunikaciją; informaciniai tinklai; natūralūs techniniai kanalai.

Informacijos sklaidos kanalas – tai būdas perkelti vertingą informaciją iš vieno šaltinio į kitą autorizuotu režimu (leistina) arba dėl objektyvių įstatymų arba dėl objektyvių įstatymų.

Terminas „konfidencialios informacijos nutekėjimas“ turbūt nėra pats eufoniškiausias, tačiau reiškinio esmę atspindi talpiau nei kiti terminai. Ji jau seniai įsitvirtino mokslinėje literatūroje, norminiuose dokumentuose. Konfidencialios informacijos nutekinimas laikomas neteisėtu, t.y. neleistinas tokios informacijos išleidimas už jos veikimo saugomos zonos ar nustatyto asmenų, turinčių teisę su ja dirbti rato, rato, jeigu dėl šio išėjimo informaciją gavo (susipažino) asmenys, neturintys prieigos prie jos. Konfidencialios informacijos nutekėjimas reiškia ne tik jos gavimą įmonėje nedirbantiems asmenims, bet ir šios įmonės asmenų neteisėtą prieigą prie konfidencialios informacijos.

Konfidencialios dokumentais pagrįstos informacijos praradimas ir nutekėjimas atsiranda dėl informacijos pažeidžiamumo. Informacijos pažeidžiamumą reikėtų suprasti kaip informacijos nesugebėjimą savarankiškai atsispirti destabilizuojamoms įtakoms, t.y. įtakos, pažeidžiančios jos nustatytą statusą. Bet kokios dokumentuotos informacijos būsenos pažeidimas yra jos fizinės saugos (bendrai arba visiškai ar iš dalies su šiuo savininku), loginės struktūros ir turinio, prieinamumo įgaliotiems vartotojams pažeidimas. Konfidencialios dokumentais pagrįstos informacijos statuso pažeidimas papildomai apima ir jos konfidencialumo pažeidimą (artimumą pašaliniams asmenims). Dokumentuotos informacijos pažeidžiamumas yra kolektyvinė sąvoka. Jis visai neegzistuoja, bet pasireiškia įvairiomis formomis. Tai apima: informacijos laikmenos arba joje rodomos informacijos vagystę (vagystę); informacijos nešiklio praradimas (praradimas); neleistinas informacijos laikmenos ar jame rodomos informacijos sunaikinimas (informacijos sunaikinimas, iškraipymas (neleistinas keitimas, neteisėtas pakeitimas, klastojimas, klastojimas); informacijos blokavimas; informacijos atskleidimas (platinimas, atskleidimas).

Terminas „sunaikinimas“ daugiausia vartojamas kalbant apie informaciją apie magnetines laikmenas. Esami pavadinimų variantai: modifikavimas, klastojimas, falsifikavimas nėra visiškai adekvatūs terminui „iškraipymas“, jie turi niuansų, tačiau jų esmė ta pati – neleistinas dalinis ar visiškas pirminės informacijos sudėties pakeitimas.

Informacijos blokavimas čia reiškia teisėtų vartotojų, o ne užpuolikų prieigos prie jos blokavimą.

Informacijos atskleidimas yra tik konfidencialios informacijos pažeidžiamumo pasireiškimo forma.

Tam tikra dokumentuotos informacijos pažeidžiamumo forma gali būti realizuota dėl tyčinio ar atsitiktinio destabilizuojančio poveikio. Skirtingi keliai ant informacijos nešėjo arba ant pačios informacijos iš įtakos šaltinių. Tokiais šaltiniais gali būti žmonės, techninės informacijos apdorojimo ir perdavimo priemonės, ryšio priemonės, stichinės nelaimės ir kt. Informaciją destabilizuojančio poveikio būdai yra kopijavimas (fotografavimas), įrašymas, perdavimas, valgymas, informacijos apdorojimo programų užkrėtimas virusu, pažeidžiant sistemos apdorojimo ir saugojimo technologijos informaciją, išvestį (ar gedimą) ir veikimo režimo pažeidimą techninėmis priemonėmis informacijos apdorojimas ir perdavimas, fizinis poveikis informacijai ir kt.

Dėl dokumentuotos informacijos pažeidžiamumo informacija prarandama arba gali nutekėti.

Informacijos laikmenų vagystės ir praradimas, neteisėtas informacijos laikmenų ar tik jose rodomos informacijos sunaikinimas, informacijos iškraipymas ir blokavimas lemia dokumentuotos informacijos praradimą. Praradimas gali būti visiškas arba dalinis, negrįžtamas arba laikinas (kai informacija užblokuojama), tačiau bet kokiu atveju tai padaro žalą informacijos savininkui.

Dėl konfidencialios dokumentais pagrįstos informacijos nutekėjimo ji atskleidžiama. Kaip pažymi kai kurie autoriai literatūroje ir net norminiuose dokumentuose, terminas „konfidencialios informacijos nutekėjimas“ dažnai pakeičiamas arba tapatinamas su terminais: „konfidencialios informacijos atskleidimas“, „konfidencialios informacijos skleidimas“. Toks požiūris, ekspertų požiūriu, yra neteisėtas. Konfidencialios informacijos atskleidimas arba platinimas – tai neteisėtas jos perdavimas vartotojams, kurie neturi teisės prie jos susipažinti. Tuo pačiu metu tokį atnešimą kažkas turi atlikti, iš kažkieno ateiti. Nutekėjimas įvyksta, kai atskleidžiama konfidenciali informacija (neteisėtas platinimas), tačiau tuo neapsiribojama. Nutekėjimas gali atsirasti ir praradus konfidencialios dokumentais pagrįstos informacijos vežėją, taip pat pavogus informacijos nešiklį ar jame rodomą informaciją, o nešiklį saugo jo savininkas (savininkas). Tai nereiškia, kas bus. Pamesta laikmena gali patekti į svetimas rankas arba būti „pagriebta“ šiukšliavežio ir sunaikinta šiukšlėms nustatyta tvarka. Pastaruoju atveju nėra konfidencialios informacijos nutekėjimo. Konfidencialios dokumentais pagrįstos informacijos vagystė taip pat ne visada siejama su tuo, kad ją gauna asmenys, neturintys prieigos. Yra daug pavyzdžių, kai konfidencialios informacijos nešėjų vagystę iš kolegų darbe vykdė asmenys, patekę į šią informaciją, turėdami tikslą „nulipti“, padarydami žalą kolegai. Tokius vežėjus, kaip taisyklė, sunaikindavo juos pagrobę asmenys. Tačiau bet kokiu atveju konfidencialios informacijos praradimas ir vagystė, jei tai nesukelia jos nutekėjimo, visada sukuria nutekėjimo grėsmę. Todėl galima teigti, kad konfidencialios informacijos atskleidimas lemia jos nutekėjimą, o vagystės ir praradimo priežastį. Sunkumas slypi tame, kad dažnai neįmanoma atskirti, pirma, paties konfidencialios informacijos atskleidimo ar vagystės fakto, kai informacijos laikmeną laiko jos savininkas (savininkas), ir, antra, ar informacija buvo gauta dėl jo vagystė ar praradimas pašaliniams asmenims.

Komercinės paslapties turėtojas yra fizinis ar juridinis asmuo, teisėtai turintis komercinę paslaptį sudarančią informaciją ir visas atitinkamas teises.

Informacija, sudaranti komercinę paslaptį, pati savaime neegzistuoja. Jis rodomas įvairiose laikmenose, kuriose galima jį saugoti, kaupti ir perduoti. Jie taip pat naudoja informaciją.

Informacijos nešėjas - individualus arba materialus objektas, įskaitant fizinį lauką, kuriame informacija atvaizduojama simbolių, vaizdų, signalų, techninių sprendimų ir procesų pavidalu.

Iš šio apibrėžimo, pirma, išplaukia, kad materialūs objektai yra ne tik tai, ką galima pamatyti ar paliesti, bet ir fiziniai laukai, taip pat žmogaus smegenys, antra, žiniasklaidoje informacija atvaizduojama ne tik simboliais, t.y. raidės, skaičiai, ženklai, bet ir vaizdai brėžinių pavidalu, brėžiniai, diagramos, kiti ikoniniai modeliai, signalai fizinėse srityse, techniniai sprendimai gaminiuose, techniniai procesai gaminių gamybos technologijoje.

Materialių objektų, kaip informacijos nešėjų, tipai yra skirtingi. Tai gali būti magnetinės juostos, magnetiniai ir lazeriniai diskai, foto, kino, vaizdo ir garso juostos, įvairių rūšių pramonės gaminiai, technologiniai procesai ir kt. Tačiau labiausiai paplitusi rūšis yra popierinės laikmenos. Juose esanti informacija fiksuojama ranka, mašinėle, elektroniniais, tipografiniais būdais teksto, brėžinio, diagramos, brėžinio, formulės, grafiko, žemėlapio ir kt. Šiose laikmenose informacija rodoma simbolių ir vaizdų pavidalu. Tokia Federalinio įstatymo „Dėl informacijos ...“ informacija yra klasifikuojama kaip dokumentuota informacija ir yra įvairių tipų dokumentai.

Pastaruoju metu buvo gerokai pakoreguotos konfidencialios informacijos gavimo neformaliomis priemonėmis formos ir būdai. Žinoma, tai daugiausia susiję su poveikiu asmeniui, kaip konfidencialios informacijos nešėjui.

Asmuo, kaip įtakos objektas, yra jautresnis neformaliam poveikiui nei techninėms priemonėms ir kitiems konfidencialios informacijos nešėjams dėl tam tikro esamo momento teisinio nesaugumo, individualių žmogiškųjų silpnybių ir gyvenimo aplinkybių.

Tokia neformali įtaka, kaip taisyklė, yra paslėpto, neteisėto pobūdžio ir gali būti vykdoma tiek individualiai, tiek asmenų grupės.

Asmeniui, kuris yra konfidencialios informacijos nešėjas, galimi šie informacijos nutekėjimo kanalų tipai: balso kanalas, fizinis kanalas ir techninis kanalas.

Nutekėjimo kalbos kanalas – informacija iš konfidencialios informacijos savininko žodžiais perduodama asmeniškai objektu, suinteresuotam šios informacijos gavimu.

Fizinis nutekėjimo kanalas – informacija iš konfidencialios informacijos savininko (nešėjo) popieriniu, elektroniniu, magnetiniu (šifruotu ar atviru) ar kitomis priemonėmis perduodama šios informacijos gavimu suinteresuotam objektui.

Techninis nutekėjimo kanalas – informacija perduodama techninėmis priemonėmis.

Poveikio asmeniui, kuris yra saugomos informacijos nešėjas, formos gali būti atviros ir paslėptos.

Atvira įtaka konfidencialios informacijos savininkui (nešėjui), norint gauti suinteresuoto objekto, reiškia tiesioginį kontaktą.

Paslėpta įtaka konfidencialios informacijos savininkui (vežėjui), kad ją gautų suinteresuotas objektas, vykdoma netiesiogiai (netiesiogiai).

Konfidencialios informacijos savininko (nešėjo) neformalios įtakos tam, kad iš jo būtų gauta tam tikra informacija atviro kalbėjimo kanalu priemonės yra asmuo ar žmonių grupė, kurie bendrauja per: kažko pažadus, prašymus, siūlymus.

Dėl to konfidencialios informacijos savininkas (nešėjas) yra priverstas keisti savo elgesį, tarnybines pareigas ir perduoti reikiamą informaciją.

Paslėpta įtaka per kalbos kanalą konfidencialios informacijos savininkui (nešėjui) vykdoma netiesiogine prievarta – šantažu per trečiąją šalį, netyčiniu ar tyčiniu klausymu ir pan.

Minėtos įtakos priemonės galiausiai pripratina konfidencialios informacijos savininką (nešėją) prie jo tolerancijos (tolerancijos) jam daromam poveikiui.

Įtakos konfidencialios informacijos savininkui (nešėjui) fiziniu nutekėjimo kanalu formos taip pat gali būti atviros ir paslėptos.

Atviras smūgis yra vykdomas prievartiniu (fiziniu) bauginimu (mušimu) arba priverstiniu su mirtimi, gavus (mušimas) arba prievartinis su mirtimi, gavus informaciją.

Slaptas veiksmas yra subtilesnis ir platesnis priemonių taikymo požiūriu. Tai gali būti pavaizduota kaip tokia poveikio struktūra. Suinteresuotas objektas – konfidencialios informacijos vežėjo interesai ir poreikiai.

Vadinasi, suinteresuotas objektas slaptai (netiesiogiai) daro įtaką asmens, kuriam priklauso konfidenciali informacija, interesams ir poreikiams.

Tokia paslėpta įtaka gali būti grindžiama: baime, šantažu, manipuliavimu faktais, kyšiu, papirkimu, intymumu, korupcija, įtikinėjimu, paslaugų teikimu, konfidencialią informaciją nešančio asmens ateities užtikrinimu.

Įtakos konfidencialios informacijos savininkui (nešėjui) techniniais kanalais forma taip pat gali būti atvira ir paslėpta.

Atvirosios (tiesioginės) priemonės – faksas, telefonas (įskaitant mobiliąsias sistemas), internetas, radijo ryšiai, telekomunikacijos, žiniasklaida.

Paslėptosios priemonės apima: klausymąsi naudojant technines priemones, žiūrėjimą iš ekrano ir kitas jo rodymo priemones, Nepatvirtintas prisijungimas kompiuteriui ir programinei bei techninei įrangai.

Visos svarstomos įtakos priemonės, nepaisant jų formų, neformaliai veikia asmenį, kuris yra konfidencialios informacijos nešėjas, yra susijusios su neteisėtais ir nusikalstamais konfidencialios informacijos gavimo būdais.

Į galimybę manipuliuoti konfidencialios informacijos savininko (nešėjo) individualiomis savybėmis su jo socialiniais poreikiais, siekiant ją gauti, reikia atsižvelgti skiriant, atrenkant personalą ir vykdant personalo politiką organizuojant darbą su konfidencialia informacija.

Visada reikia atsiminti, kad informacijos dokumentavimo faktas (taikomas bet kokiam medžiagos nešikliui) padidina informacijos nutekėjimo riziką. Medžiagų nešiklį visada lengviau pavogti, kol yra aukštas laipsnis tai, kad reikiama informacija nėra iškraipoma, kaip yra informacijos atskleidimo žodžiu atveju.

Grėsmės ribotos prieigos informacijos saugumui, vientisumui ir konfidencialumo slaptumui praktiškai realizuojamos dėl rizikos, kad užpuolikas gali neteisėtai gauti (išgauti) vertingos informacijos ir dokumentų kanalus. Šie kanalai yra neapsaugotų arba silpnai organizacijos galimų informacijos nutekėjimo krypčių rinkinys, kurį užpuolikas naudoja reikalingos informacijos gavimui, tyčiniam neteisėtam priėjimui prie saugomos ir saugomos informacijos.

Kiekviena konkreti įmonė turi savo kanalų rinkinį neteisėtai prieigai prie informacijos; šiuo atveju idealios firmos neegzistuoja.

Tai priklauso nuo daugelio veiksnių: saugomos ir saugomos informacijos kiekio; saugomos ir saugomos informacijos rūšys (sudarančios valstybės paslaptį ar kitą paslaptį – tarnybinę, komercinę, bankinę ir kt.); personalo profesionalumo lygis, pastatų ir patalpų vieta ir kt.

Neteisėtos prieigos prie informacijos kanalų veikimas būtinai reiškia informacijos nutekėjimą, taip pat jos nešėjo dingimą.

Jei kalbame apie informacijos nutekėjimą dėl personalo kaltės, vartojamas terminas „informacijos atskleidimas“. Asmuo informaciją gali atskleisti žodžiu, raštu, pašalindamas informaciją techninėmis priemonėmis (kopijuokliais, skaitytuvais ir kt.), gestais, mimika, sąlyginiais signalais. Ir perduoti asmeniškai, per tarpininkus, komunikacijos kanalais ir pan.

Informacijos nutekėjimas (atskleidimas) apibūdinamas dviem sąlygomis:

• 1. Informacija patenka tiesiai į ja besidomintį asmenį, užpuoliką;
• 2. Informacija pereina atsitiktinai, trečiajai šaliai.

Trečiasis asmuo šiuo atveju suprantamas kaip bet kuris trečiasis asmuo, gavęs informaciją dėl nuo šio asmens nepriklausančių aplinkybių arba personalo neatsakingumo, neturintis teisės disponuoti informacija, o, svarbiausia, asmens ši informacija nedomina. Tačiau informacija iš trečiosios šalies gali lengvai perduoti užpuolikui. Šiuo atveju trečioji šalis dėl užpuoliko nustatytų aplinkybių veikia kaip „blotter“, perimant reikalingą informaciją.

Atrodo, kad informacijos perdavimas trečiajai šaliai yra gana dažnas reiškinys, kurį galima pavadinti netyčiniu, spontanišku, nors informacijos atskleidimo faktas įvyksta.

Netyčinis informacijos perdavimas trečiajai šaliai įvyksta dėl:

• 1. Bet kurioje laikmenoje esančio dokumento, dokumentų paketo, bylų, konfidencialių įrašų praradimas ar netinkamas sunaikinimas;
• 2. Darbuotojo nepaisymas ar tyčinis dokumentais pagrįstos informacijos apsaugos reikalavimų nesilaikymas;
• 3. Per didelis darbuotojų kalbumas nesant įsibrovėlio - su darbo kolegomis, giminėmis, draugais, kitais asmenimis vietose bendras naudojimas: kavinė, transportas ir kt. (pastaruoju metu tai pastebima plintant mobiliajam ryšiui);
• 4. Darbas su dokumentuota informacija su ribotas priėjimas organizacijos, kuriose yra pašalinių asmenų, neteisėtas jo perdavimas kitam darbuotojui;
• 5. Riboto naudojimo informacijos naudojimas atviruose dokumentuose, publikacijose, interviu, asmeniniuose užrašuose, dienoraščiuose ir kt.;
• 6. Dokumentų slaptumo (konfidencialumo) informacijos nebuvimas, ženklinimas atitinkamais antspaudais techninėse laikmenose;
• 7. Perteklinės informacijos buvimas atvirų dokumentų tekstuose su ribota prieiga;
• 8. Darbuotojo neteisėtas dokumentų, įskaitant elektroninius, kopijavimas (nuskaitymas) tarnybiniais ar rinkimo tikslais.

Skirtingai nei trečioji šalis, užpuolikas ar jo bendrininkas tikslingai gauna konkrečią informaciją ir tyčia, neteisėtai užmezga ryšį su šios informacijos šaltiniu arba paverčia jos objektyvaus platinimo kanalus į jos atskleidimo ar nutekinimo kanalus.

Organizaciniai informacijos nutekėjimo kanalai pasižymi daugybe tipų ir yra pagrįsti įvairių, įskaitant teisinius, santykių tarp užpuoliko ir įmonės ar įmonės darbuotojų užmezgimu, siekiant vėliau neteisėtai prieiti prie dominančios informacijos.

Pagrindiniai organizacinių kanalų tipai gali būti:

• 1. Įsibrovėlį samdo įmonė, dažniausiai eidama technines ar pagalbines pareigas (kompiuterio operatorius, ekspeditorius, kurjeris, valytojas, sargas, apsaugos darbuotojas, vairuotojas ir kt.);
• 2. Dalyvavimas įmonės darbe kaip partneris, tarpininkas, klientas, įvairių nesąžiningų būdų naudojimas;
• 3. Užpuoliko paieška organizacijoje dirbančio bendrininko (iniciatyvos asistento), kuris tampa jo bendrininku;
• 4. Užpuoliko užmegzti pasitikėjimo santykiai su organizacijos darbuotoju (pagal bendrus interesus, iki bendrų gėrimo ir meilės santykių) arba nuolatiniu lankytoju, kitos organizacijos darbuotoju, turinčiu užpuoliką dominančios informacijos;
• 5. Naudojimasis organizacijos komunikaciniais saitais – dalyvavimas derybose, susitikimuose, parodose, prezentacijose, susirašinėjimuose, įskaitant elektroninius, su organizacija ar konkrečiais jos darbuotojais ir kt.;
• 6. Klaidingų personalo veiksmų panaudojimas arba tyčinis užpuoliko provokavimas tokiems veiksmams;
• 7. Slaptų ar fiktyvių dokumentų patekimas į įmonės pastatus ir patalpas, nusikalstamas, prievartinis priėjimas prie informacijos, tai yra dokumentų, diskelių vagystės, kietieji diskai(kietieji diskai) ar patys kompiuteriai, atskirų darbuotojų šantažavimas ir skatinimas bendradarbiauti, darbuotojų papirkimas ir šantažavimas, ekstremalių situacijų kūrimas ir pan.;
• 8. Reikiamos informacijos gavimas iš trečiojo (atsitiktinio) asmens.

Organizacinius kanalus užpuolikas pasirenka arba formuoja individualiai, atsižvelgdamas į savo profesinius įgūdžius, konkrečią situaciją, ir juos numatyti itin sunku. Organizacinių kanalų paieška reikalauja rimtų tyrimų ir analizės.

Plačios galimybės neteisėtai gauti informaciją su ribota prieiga sukuria techninę paramą organizacijos finansinių dokumentų valdymo technologijoms. Bet kokia vadybinė ir finansinė veikla visada yra susijusi su informacijos aptarimu biuruose ar ryšio linijomis ir kanalais (vaizdo ir konferencinių pokalbių vykdymas), skaičiavimų atlikimu ir situacijų analizavimu kompiuteriu, dokumentų rengimu ir dauginimu ir kt.

Techniniai informacijos nutekėjimo kanalai atsiranda naudojant specialias technines pramoninio šnipinėjimo priemones, kurios leidžia gauti apsaugotą informaciją be tiesioginio kontakto su organizacijos personalu, dokumentais, bylomis ir duomenų bazėmis.

Techninis kanalas – tai fizinis informacijos nutekėjimo iš šaltinio arba objektyvios informacijos sklaidos kanalo kelias užpuolikui. Kanalas atsiranda, kai užpuolikas analizuoja fizinius laukus ir spinduliuotę, atsirandančią veikiant kompiuteriui ir kitai biuro įrangai, perima informaciją, kuri turi garso, vaizdo ar kitokią atvaizdavimo formą. Pagrindiniai techniniai kanalai yra akustiniai, vizualiniai-optiniai, elektromagnetiniai ir kt. Šie kanalai yra nuspėjami, yra standartinio pobūdžio ir yra pertraukiami standartinėmis priemonėmis priešprieša. Pavyzdžiui, pagal GOST RV 50600-93. „Įslaptintos informacijos apsauga nuo techninės žvalgybos. Dokumentų sistema. Bendrosios nuostatos".

Įprastas ir profesionaliai raštingas yra kūrybiškas abiejų tipų kanalų derinys užpuoliko veiksmuose, pavyzdžiui, nustatant pasitikintys santykiai su organizacijos darbuotojais ir informacijos perėmimą techniniais kanalais padedant šiam darbuotojui.

Gali būti daug galimybių ir kanalų derinių, todėl rizika prarasti informaciją visada yra gana didelė. At efektyvi sistema Siekdamas apsaugoti informaciją, užpuolikas sunaikina atskirus apsaugos elementus ir suformuoja kanalą, kurio jam reikia informacijai gauti.

Siekdamas įgyvendinti nustatytas užduotis, užpuolikas nustato ne tik neteisėtos prieigos prie organizacijos informacijos kanalus, bet ir šios informacijos gavimo metodų rinkinį.

Norint apsaugoti informaciją tinkamu lygiu, būtina „pažinti priešą“ ir informacijos gavimo būdus.

Teisiniai metodai yra įtraukti į sąvokų „savo intelektas versle“ turinį, išsiskiria teisiniu saugumu ir, kaip taisyklė, lemia susidomėjimo organizacijoje atsiradimą. Atsižvelgiant į tai, gali tekti naudoti neteisėtos prieigos prie reikiamos informacijos kanalus. „Savo žvalgybos“ esmė – kruopštus užpuolikų ir specialistų ekspertų konkurentų analitinis darbas su organizacijos paskelbta ir viešai prieinama medžiaga. Tuo pačiu metu pristatoma organizacijos veikla ir paslaugos, reklaminiai leidiniai, oficialių ir neformalių pokalbių ir derybų su įmonės darbuotojais metu gauta informacija, spaudos konferencijų medžiaga, įmonės ir paslaugų pristatymai, moksliniai simpoziumai ir seminarai. , informacija gauta iš informaciniai tinklai, įskaitant iš interneto. Teisiniai metodai suteikia užpuolikui didžiąją dalį jį dominančios informacijos ir leidžia nustatyti trūkstamos informacijos, kuri bus gauta neteisėtais metodais, sudėtį, o kai kurios jos nebereikia gauti atliekant kruopščią atviros informacijos analizę. .

Neteisėti vertingos informacijos gavimo būdai visada yra neteisėti ir naudojami norint pasiekti apsaugotą informaciją, kurios negalima gauti teisėtais būdais. Neteisėto informacijos gavimo esmė yra užpuoliko paieška konkrečiomis sąlygomis veiksmingiausių organizacinių ir techninių neteisėtos prieigos prie organizacijoje esančios informacijos kanalų. Tokių kanalų, kai jų nėra, formavimas ir praktinio šių kanalų panaudojimo plano įgyvendinimas.

Neteisėtais būdais laikomos: vagystės, tyčinis apgaulė, pasiklausymas, dokumentų klastojimas, kyšininkavimas, papirkimas, šantažas, ekstremalių situacijų inscenizavimas ar organizavimas, įvairių nusikalstamų technikų panaudojimas ir kt. Diegiant nelegalius metodus dažnai susidaro slaptas vertingos finansinės informacijos gavimo kanalas. Neteisėti metodai taip pat apima: objektyviai techniniais kanalais platinamos informacijos perėmimą, banko ir personalo pastatų ir patalpų vizualinį stebėjimą, objektų, kuriuose yra saugomos informacijos pėdsakų, analizę, saugomų objektų architektūrinių ypatybių analizę, paimtų popieriaus atliekų analizę. išvežtas ir išvežtas iš įmonės.

Taigi informacijos nutekėjimas su ribota prieiga gali įvykti:

• 1. Jei yra organizacijų, asmenų, konkurentų susidomėjimas konkrečia informacija;
• 2. Kai yra užpuoliko organizuotos grėsmės pavojus arba atsitiktinėmis aplinkybėmis;
• 3. Jei yra sąlygos, leidžiančios užpuolikui atlikti reikiamus veiksmus ir gauti informaciją.

Šios sąlygos gali apimti:

• 1. Trūksta sistemingo analitinio ir kontrolės darbo, siekiant nustatyti ir tirti grėsmes bei informacijos nutekėjimo kanalus, organizacijos informacijos saugumo pažeidimų rizikos laipsnį;
• 2. Neefektyvi, blogai organizuota įmonės informacijos apsaugos sistema arba šios sistemos nebuvimas;
• 3. Neprofesionaliai organizuota uždaro (konfidencialaus) finansinių dokumentų valdymo technologija, įskaitant elektroninį, ir biuro darbas, pagrįstas dokumentuota informacija su ribota prieiga;
• 4. Neorganizuotas komplektavimas ir darbuotojų kaita, sunkus psichologinis klimatas komandoje;
• 5. Darbuotojų mokymo apie darbo su dokumentuota ribotos prieigos taisyklėmis sistemos nebuvimas;
• 6. Įmonės vadovybės nekontroliavimas, ar personalas laikosi norminių dokumentų reikalavimų dirbant su dokumentuota ribotos prieigos informacija;
• 7. Nekontroliuojami pašalinių asmenų apsilankymai organizacijos patalpose.

Neteisėtos prieigos ir informacijos nutekėjimo kanalai gali būti dviejų tipų: organizaciniai ir techniniai. Jie teikiami legaliais ir nelegaliais būdais.

Taigi ribotos prieigos dokumentų ar informacijos gavimas gali būti vienas įvykis arba įprastas procesas, vykstantis gana ilgą laiką.

Todėl bet koks informaciniai ištekliai organizacijos yra labai pažeidžiama kategorija, ir su susidomėjimu, kuris jomis kilo iš užpuoliko pusės, jų nutekėjimo pavojus tampa gana realus.

Pageidautina, kad preliminarus analitikų vertinimas spausdinimui parengtos medžiagos apie įmonę, parodų brošiūros, reklaminiai leidiniai ir kt., jų dalyvavimas pristatymuose, parodose, akcininkų susirinkimuose, derybose, taip pat pokalbiuose ir kandidatų į pareigas testavimas. Pastaroji yra viena iš pagrindinių ir svarbiausių informacinės ir analitinės tarnybos pareigų, nes būtent šiame etape su tam tikra tikimybe galima užblokuoti vieną iš pagrindinių organizacinių kanalų – įsibrovėlio priėmimą dirbti įmonė.

Šiandien dauguma įmonių naudojasi kelių lygių sistemos informacijos apdorojimas - kompiuteriai, saugykla debesyje, įmonių tinklai Visos šios sistemos ne tik perduoda duomenis, bet ir yra jų galimo nutekėjimo aplinka. Įslaptintos informacijos nutekinimas – tai nekontroliuojamas pagrindinių įmonės duomenų atskleidimo procesas.

Komercinė paslaptis – tai informacija apie įmonės veiklos organizavimą, produktų kūrimo technologijas, pinigų srautų duomenis, intelektinę nuosavybę ir kita informacija, iš kurios įmonė gauna finansinės naudos.

1 priežastis – personalas

Kiekvienas įmonės darbuotojas yra potenciali grėsmė informacijos saugumui. Neretai žmonės nešasi darbus į namus – perkelia darbo failus į savo „flash drives“, perkelia juos nesaugiais ryšio kanalais, aptaria informaciją su konkuruojančių įmonių darbuotojais.

Personalo veiksmai yra tyčiniai ir netyčiniai. Netyčiniai veiksmai yra darbo su komercine informacija taisyklių nežinojimo rezultatas.

Informacijos nutekėjimo iš personalo rizika visada yra ir jos negalima visiškai atmesti. Saugos tarnyba gali imtis priemonių, kurios apribos darbuotojų sąveiką su konfidencialia informacija:

• Prieigos kontrolės taisyklių kūrimas. Taisyklės yra aiškių teisių ir apribojimų, kurių turi laikytis kiekvienas darbuotojas, sąrašas. Pagrindinis jų principas – kiekvienas darbuotojas sąveikauja tik su tais duomenimis, kurie yra būtini jo darbui. Taigi paprastas vadovas negalės sužinoti produkto kūrimo technologijos ir kitų svarbių duomenų, kuriuos nori žinoti užpuolikas.
• Informacijos, kurioje yra komercinė paslaptis, dokumentavimo normų laikymasis.
• Greitas darbuotojų, keliančių duomenų atskleidimo grėsmę, nustatymas.

Rusijos ir užsienio įmonių informacijos saugumo lygio tyrimas, kurisSearchInform saugoma2018 m. parodė, kad paprasti darbuotojai yra kalti dėl 74% kibernetinio saugumo incidentų. .

Kaip atpažinti darbuotoją, kuris atskleidžia duomenis konkurentui?

Darbuotojų su įslaptinta medžiaga darbo kontrolę turėtų atlikti įgaliotas pareigūnas arba apsaugos skyrius. Jų užduotis – visą darbo dieną stebėti darbuotojų veiklą ir operatyviai nustatyti visus informacijos nutekėjimo atvejus.

Praktiškai komercinę paslaptį paviešinusį asmenį galite nustatyti pagal šiuos požymius:

• Darbuotojas be įspėjimo vėluoja po darbo savo darbo vietoje. Tokiu atveju yra tikimybė, kad jis bando prieiti prie įslaptintos informacijos tuo metu, kai šalia nėra kontrolierių.

Reikia atkreipti dėmesį į tokį darbuotoją ir pasižiūrėti, ar jo tikslas – išsiaiškinti slaptą informaciją. Specialios įeigos kontrolės sistemos padeda kontroliuoti personalo laiką, praleistą darbo vietoje. Pradėti tyrimą būtina tik tada, kai paaiškėja konkretūs saugomos informacijos nutekinimo faktai.

• Darbuotojas per daug įmonės elektroninių dokumentų išsaugo asmeniniame kompiuteryje ar išmaniajame telefone.

Tokio tipo nuotėkį galima atsekti įmonėse, kurios naudoja apsaugos sistemas Failų sistema. Jų darbo esmė – sukurti bendrą serverį, kuris veiktų tame pačiame įmonės ar Wi-Fi tinkle. Kiekvieną kartą atidarant, kopijuojant ir perkeliant duomenis į paslaugų kompiuterį, visa informacija apie procesus siunčiama į serverį. Taigi saugos administratorius gali nustatyti, iš kurio kompiuterio ir kiek slaptos informacijos buvo perduota.

• Darbuotojas be reikalo kopijuoja popierinius dokumentus, kuriuose esanti informacija skirta tik tarnybiniam naudojimui.

Pagal dokumentacijos standartus visi fiziniai aplankai ir failai su komercinėmis paslaptimis turi būti saugomi saugomoje archyvo dalyje. Susipažinti su dokumentais gali tik įgalioti darbuotojai. Visi duomenys apie dokumento su paslaptimi gavimą turi būti dokumentuojami (nurodant darbuotojo vardą ir pavardę bei tikslų dokumento išdavimo laiką).

Jei slaptas dokumentas pateko į nesąžiningo darbuotojo rankas, jo neteisėtą kopijavimą galite stebėti skaitytuvu ar kopijavimo aparatu, kuriame saugoma naujausių veiksmų ataskaita. Taip pat yra fakso aparatų, prie kurių prieiti galima tik teisingai įvedus vartotojo ID ir slaptažodžio porą.

• Darbuotojas nuolat pažeidžia Bendrieji reikalavimai saugumas dirbant su komercinėmis paslaptimis.

Jei darbuotojai reguliariai bando apeiti draudimo sistemą žiūrėdami draudžiamus išteklius arba naudoja asmenines technologijas jautriems duomenims apdoroti, būtina papildomos sistemos vartotojo valdymas. Pavyzdžiui, DLP sistemos. Jų užduotis – stebėti visą vartotojų susirašinėjimą iš komercinio pašto ir kitų elektroninių pašto dėžučių, kurios yra registruotos sistemoje. Taip pat apsaugos modulis draudžia diegti trečiųjų šalių programinę įrangą, o visus darbuotojo veiksmus kompiuteryje mato saugos administratorius.

• Nustatyta, kad darbuotojas bendravo su konkuruojančių įmonių darbuotojais.

Didelėse įmonėse darbuotojai dažnai bendrauja ne darbo valandomis. Taip jie gauna daugiau informacijos vieni apie kitus ir gali sužinoti apie kolegos ir konkuruojančios organizacijos darbuotojo ryšius. Galimi ir įprasti draugiški santykiai tarp žmonių, tačiau geriau apie tai pranešti įmonės vadovybei, kad nekiltų bereikalingi įtarinėjimai.

2 priežastis – įdarbinimo problemos

Dažni personalo kaitos, didelio masto pokyčiai įmonės darbo organizavime, mažesni atlyginimai, atleidimai iš darbo – visa tai yra personalo „kaitos“ dalis. Šis reiškinys dažnai sukelia įslaptintos informacijos nutekėjimą.

Krizė, lėšų trūkumas atlyginimams mokėti vadovybę verčia bloginti darbuotojų darbo sąlygas. Dėl to didėja darbuotojų nepasitenkinimas, kurie gali išeiti ar tiesiog pradėti platinti įslaptintus duomenis konkurentams. Personalo kaitos problema ypač aktuali vadovaujančioms pareigoms, nes visi vadovai turi turėti prieigą prie įslaptintų dokumentų.

Paslapčių sklaidos grėsmę gali patirti ne tik jau išėję, bet ir esami darbuotojai, kurių motyvacijos lygis yra nukritęs.

Siekiant užkirsti kelią problemai, būtina sudaryti kuo patogesnes darbuotojų darbo sąlygas. Ištikus rimtai krizei, rekomenduojama suburti darbuotojus aptarti galimus išeitis iš keblios situacijos. Apie visus darbo užmokesčio pasikeitimus darbuotojams svarbu pranešti iš anksto, o ne išmokėjus atlyginimą.

Kartais nepalankią atmosferą kolektyve sukuria vienas darbuotojas.analizuoja darbuotojų susirašinėjimą el.paštu ir momentiniais pasiuntiniais bei sudaro jų psichologinius portretus. Sistema nustato teigiamus ir neigiamus žmogaus charakterio aspektus, o tai leidžia priimti teisingus valdymo sprendimus.

Norint pašalinti „sutraukimą“, svarbu laikytis šių rekomendacijų:

• Sukurti įdarbinimo sistemą. Visos pirmaujančios organizacijos turi specialų skyrių, kuris užsiima darbuotojų samdymu, atleidimu ir parama. Nereikėtų kuo greičiau ieškoti darbuotojo į laisvą darbo vietą. Geras personalo specialistas (įdarbinimo specialistas) privalo išklausyti kelis kandidatus į pareigas, išplatinti informaciją apie laisvą darbo vietą visose populiariose interneto svetainėse ir surengti galutinį konkursą, kurio rezultatais bus nustatytas tinkamiausias kandidatas.
• Atlygio sistemos diegimas. Darbuotojai turėtų būti skatinami siekiant sėkmės darbe, planų perpildymo ir pelningų sutarčių sudarymo. Paskatinimo pavyzdys būtų padidinimas darbo užmokesčio, darbo sąlygų gerinimas, karjeros kilimas.
• Suteikti visiems darbuotojams galimybes tobulėti ir tobulėti. Geros kompanijos visada siunčia savo darbuotojus į kvalifikacijos kėlimo kursus arba įsigykite mokymus internetu, kad mokymai būtų patogesni. Taip pat rekomenduojama organizuoti pirmaujančių pramonės profesionalų mokymus.

3 priežastis – verslo kelionės

Įmonės darbo procesas apima dalykinius susitikimus, išvykas į kitus įmonės padalinius, šalis. Darbuotojai, kurie dažnai keliauja į verslo keliones, gali netyčia tapti pagrindiniu įslaptintos įmonės informacijos nutekėjimo priežastimi.

Kelionėje toks darbuotojas visada su savimi turi asmeninį ar įmonės nešiojamąjį kompiuterį/išmanųjį telefoną, kuriame apdorojami saugomi dokumentai. Įranga gali būti palikta viešoje vietoje, sulaužyta ar pavogta. Jei darbuotojas yra sekamas arba susitinka su konkuruojančios įmonės vadovais, pamestas nešiojamas kompiuteris gali būti pagrindinis viešai neatskleistos informacijos šaltinis.

Norint išvengti tokių atvejų, svarbu naudoti tų kompiuterių kietųjų diskų šifravimo sistemas, kurios išduodamos darbuotojams verslo susitikimų metu. Netgi dėl vagystės ir neteisėtos prieigos informacija bus patikimai apsaugota, o jos nulaužti nežinant rakto bus neįmanoma.

4 priežastis – bendradarbiavimas su kitomis įmonėmis

Dauguma automatizuotų apsaugos sistemų gali apriboti prieigą prie patentuotos informacijos tik viename pastate arba vienoje įmonėje (jei keli filialai naudoja bendrą duomenų saugojimo serverį).

Kelioms firmoms bendrai įgyvendinant projektą saugos tarnybos negali visapusiškai stebėti, kaip įgyvendinama prieiga prie kiekvienos įmonės tarnybos paslapties.

Kaip ir ankstesniu atveju, naudojant kriptografinius konteinerius (kietojo disko šifravimo sistemas), slapta informacija bus apsaugota nuo įsilaužimo.

5 priežastis – sudėtingos IT infrastruktūros naudojimas

Didelės korporacijos naudoja išsamias sistemas, kad apsaugotų patentuotą informaciją. Automatizuotose sistemose dalyvauja keli saugumo skyriai ir daugiau nei penki sistemų administratoriai, kurių vienintelis darbas yra saugoti komercines paslaptis.

Sistemos sudėtingumas taip pat yra nutekėjimo pavojus, nes kelių žmonių darbas vienu metu nėra gerai žinomas. Pavyzdžiui, vienas administratorius gali įdiegti arba panaikinti prieigos kontrolės taisykles, o kitas – pamiršti įvesti duomenis apie prieigos prie serverių teises.

Naudojant sudėtingas informacijos apsaugos sistemas, svarbu teisingai paskirstyti visas pareigas ir kontroliuoti jų savalaikį įgyvendinimą. Priešingu atveju sukurta sistema gali pakenkti įmonei.

Galite apriboti apsaugos darbuotojų prieigą prie tam tikrų ataskaitų ir operacijų sistemoje. Informacijos saugos tarnybos vadovui saugiau patikėti maksimalų įgaliojimų skaičių.

6 priežastis – įrangos gedimai

Klaidos programinėje įrangoje

Visokių programinės įrangos gedimų pasitaiko nuolat. Pažeidžiamumo metu apsaugoti failai gali būti perimti įsilaužėlių. Svarbu laiku nustatyti visas įdiegtos programinės įrangos ir techninės įrangos komponentų veikimo problemas. Apsaugos administratorius yra atsakingas už visų apsaugos modulių funkcionalumą ir sąveiką.

Dėl duomenų bazės gedimo prarandama daug svarbios dokumentacijos. Kietojo disko atkūrimas yra sunki užduotis, kuri negarantuoja prarastos informacijos grąžinimo.

Serverio techninės įrangos gedimai

Saugiau saugoti visą informaciją naudojant debesų kompiuteriją. Debesų platformos padidina informacijos apdorojimo greitį. Jų pagalba kiekvienas darbuotojas galės pasiekti norimą failą iš bet kurio įrenginio. Naudojama šifravimo sistema nuotolinis serveris, todėl nereikia apsaugoti perdavimo kanalų.

Gedimai paslaugų teikėjo serveriuose gali atsirasti dėl stichinių nelaimių arba dėl masinių įsilaužėlių atakų. Paprastai debesų platformos savininkai visada saugo archyvuotas vartotojų paskyrų turinio atsargines kopijas, todėl gedimai greitai pašalinami neprarandant svarbių dokumentų.

Techninių apsaugos priemonių gedimas

Norint išsaugoti komercines paslaptis, rekomenduojama saugoti ne tik Operacinės sistemos ir programėlės, bet ir visas biuro patalpų perimetras bei gatvių komunikacijų valdymo zona. Šiems tikslams naudojami langų kamščiai, architektūriniai sandarikliai (kad būtų išvengta pokalbių pasiklausymo), ekranavimo ir triukšmo įtaisai (kad nebūtų perimtos radijo bangos) ir kitos programėlės.

Sugedus vienam iš šių įrenginių, atsiranda informacijos nutekėjimo kanalas, kuriuo užpuolikas gali perimti slaptus duomenis.

Sugedus kompiuteriams ir kitai duomenų apdorojimo įrangai, jie turi būti suremontuoti paslaugų centras. Programėlės išnešimas už patalpų ribų ir perdavimas pašaliniam asmeniui (net jei jis nėra suinteresuotas gauti tarnybos paslapčių) galima priežastis nesandariai. Įmonės saugos skyrius negali kontroliuoti programėlių, kol jos yra už įmonės ribų.

7 priežastis – nutekėjimas per techninius perdavimo kanalus

Duomenų nutekėjimo kanalas yra fizinė aplinka, kurioje slaptos informacijos platinimas nėra kontroliuojamas. Bet kurioje įmonėje, naudojančioje kompiuterius, serverių stelažus, tinklus, yra nutekėjimo kanalų. Su jų pagalba užpuolikas gali gauti prieigą prie komercinių paslapčių.

Yra šie nuotėkio kanalai:

• Kalba. Konkurentai dažnai naudoja pokalbių pasiklausymus ir kitas žymes, kad pavogtų paslaptis.
• Vibroakustinis. Šis nuotėkio kelias atsiranda, kai garsas susiduria su architektūrinėmis konstrukcijomis (sienomis, grindimis, langais). Vibracijos bangas galima suskaičiuoti ir paversti kalbos tekstu. Kryptinių mikrofonų pagalba iki 200 metrų atstumu nuo patalpų užpuolikas gali perskaityti pokalbį, kuriame yra paslaugų informacijos.
• Elektromagnetinis. Dėl visų techninių priemonių veikimo atsiranda magnetinis laukas. Signalai tarp techninės įrangos elementų, kurie gali būti laikomi specialia įranga, perduodami dideliais atstumais ir priima slaptus duomenis.
• Vizualinis. Vaizdinio vagystės kanalo atsiradimo pavyzdys yra susitikimų ir konferencijų rengimas atvirais langais. Iš gretimo pastato užpuolikas gali lengvai peržiūrėti viską, kas gamina. Taip pat yra galimų vaizdo žymių, kurios perduoda vaizdą apie tai, kas vyksta konkurentams, naudojimo variantai.

• Termovizorius. Naudodami tokį įrenginį galite nuskaityti visas sienas ir interjero dalis, ar nėra įterptųjų įrenginių (klaidų, vaizdo kamerų).
• Įrenginiai, trukdantys signalą į radijo dažnius.
• Architektūrinių konstrukcijų apsaugos priemonės - langų, durų, grindų ir lubų sandarikliai. Jie izoliuoja garsą ir neleidžia nuskaityti vibracijos bangų nuo pastato paviršiaus.
• Ekrano ir triukšmo slopinimo įrenginiai. Jie naudojami elektromagnetinio nuotėkio kanalui apsaugoti.

Taip pat būtina įžeminti visas komunikacijas, kurios išeina už patalpų ir kontroliuojamos zonos ribų (vamzdžiai, kabeliai, ryšių linijos).

Kaip sumažinti nuotėkio riziką?

Yra keli veiksmingi būdai, kuris padės sumažinti informacijos nutekėjimo ir atskleidimo riziką. Įmonė gali naudoti visus apsaugos būdus arba tik kelis iš jų, nes apsaugos sistema turi būti ekonomiška. Nuostoliai dėl įslaptintos informacijos praradimo negali būti mažesni už saugumo sistemos diegimo ir priežiūros išlaidas.

Šifravimas

Šifravimas yra paprastas ir efektyvus būdas apsaugoti komercines paslaptis. Šiuolaikiniai šifravimo algoritmai naudoja pasaulinius standartus kriptografijos srityje (AES šifrai, GOST), dvipusį raktų keitimą (naudojant jį įsilaužėlis negalės nulaužti šifro net ir gavęs prieigą prie perdavimo kanalo), elipsines kreives. sukurti apsaugą. Dėl šio metodo standartiniuose kompiuteriuose neįmanoma nulaužti šifruoto pranešimo.

Šifravimo, siekiant išvengti komercinės informacijos nutekėjimo, pranašumai:

• Naudojimo paprastumas. Šifravimas įgyvendinamas specialia programine įranga. Programa turi būti įdiegta visuose kompiuteriuose ir mobiliuosiuose įrenginiuose, kuriuose cirkuliuoja įslaptinta informacija. Programos veikimą konfigūruoja sistemos administratorius arba saugos administratorius. Šiuo būdu, paprastas vartotojas AC nereikia išmokti naudotis apsaugos sistema. Visi failai yra užšifruojami ir automatiškai iššifruojami įmonės tinkle.
• Jei reikia perkelti svarbius elektroninius dokumentus už komercinio tinklo ribų, jie bus saugomi „flash“ laikmenose, debesies laikmenose arba kliento pašte išskirtinai šifruota forma. Trūkumas yra tas, kad be specialios programinės įrangos darbuotojas negalės peržiūrėti failo turinio.
• Aukštas patikimumo laipsnis. Naudojant galingus kompiuterinės kriptografijos algoritmus, užpuolikui sunku perimti slaptus pranešimus ar įmonės srautą, o iššifruoti nežinant viešųjų ir privačių raktų neįmanoma.

Atminkite, kad šifravimas nėra vienintelis būdas apsaugoti paslaptį nuo visų galimų atakų. Darbuotojai gali lengvai perskaityti elektroninių dokumentų turinį komerciniame tinkle, todėl išlieka neteisėto atskleidimo tretiesiems asmenims rizika. Kriptografijos naudojimas yra neatskiriama kiekvieno iš jų funkcijų dalis integruota sistema saugumo.

Personalo kontrolė

Jei techninės priemonės lengvai valdomos, tai personalas yra vienas pavojingiausių nuotėkio šaltinių. Žmogiškasis faktorius visada yra, ir net apsaugos pareigūnai ne visada gali nustatyti, iš kurio darbuotojo gali kilti grėsmė.

Paprastai įsibrovėlio paieška tarp darbuotojų vykdoma jau tada, kai paaiškėjo pirmieji duomenų perdavimo konkurentams atvejai. Apsaugos administratoriai tikrina galimybę perimti informaciją techniniais nutekėjimo kanalais, o jei visi kanalai yra saugiai apsaugoti, įtarimas krenta darbuotojams.

Organizacijos darbuotojų veikla kontroliuojama naudojant laiko sekimo sistemas. Tai sudėtinga aparatinė įranga ir programinė įranga, kurioje dokumentuojamas tikslus atvykimo į darbą laikas, išvykimo laikas, darbuotojų veikla prie kompiuterio, fiksuojama įmonės pašto korespondencija, vykdomas vaizdo stebėjimas ir visus šiuos duomenis perduodama įmonės vadovybei ar apsaugos viršininkui. skyrius. Toliau analizuojama visa gauta informacija ir atskleidžiamas darbuotojų, galinčių platinti komercines paslaptis, skaičius.

Komercinių paslapčių dokumentavimo ir perdavimo normos

Saugokite ne tik elektroninius dokumentus, bet ir visą spausdintą dokumentaciją, kurioje yra įslaptinta informacija. Pagal Komercinių paslapčių pareiškimų saugojimo ir tvarkymo įstatymą turi būti laikomasi šių reikalavimų:

• Visus dokumentus su komercine paslaptimi laikyti išskirtinai atskirose uždarose patalpose, kurias visą parą saugo vaizdo stebėjimo sistemos arba apsaugos darbuotojai.
• Prie tarnybinių paslapčių gali susipažinti tik darbuotojai, kuriems to reikia darbo metu.
• Registracijos žurnale daromas įrašas apie dokumento išėmimą iš archyvo. Nurodoma tiksli data, dokumento antspaudas ir asmens, gavusio bylos kopiją, inicialai. Panašūs veiksmai atliekami ir grąžinant daiktą.
• Dokumento, kuriame yra komercinė paslaptis, negalima išnešti iš biuro nepranešus apie šį veiksmą apsaugos skyriaus vadovui.
• Slaptų dokumentų perdavimui tarp įmonės filialų naudojamas kurjerių paštas - saugus ypač svarbių dokumentų perdavimas kurjeriu.

Sąvoka „konfidencialios informacijos nutekėjimas“ turbūt nėra pati eufoniškiausia, tačiau talpiau nei kiti terminai atspindi reiškinio esmę, be to, jau seniai įsitvirtino mokslinėje literatūroje ir norminiuose dokumentuose. Konfidencialios informacijos nutekinimas yra neteisėtas, t. y. neteisėtas tokios informacijos išleidimas už saugomos jos veikimo zonos arba nustatyto asmenų, turinčių teisę su ja dirbti rato, rato, jeigu dėl šio išėjimo buvo gauta informacija (susipažinimas su juo) asmenų, kurie neturi prieigos prie jo įgaliotos prieigos. Konfidencialios informacijos nutekėjimas reiškia ne tik jos gavimą įmonėje nedirbantiems asmenims, bet ir šios įmonės asmenų neteisėtą prieigą prie konfidencialios informacijos.

Konfidencialios dokumentais pagrįstos informacijos praradimas ir nutekėjimas atsiranda dėl informacijos pažeidžiamumo. Informacijos pažeidžiamumas turėtų būti suprantamas kaip informacijos nesugebėjimas savarankiškai atsispirti destabilizuojamoms įtakoms, t.y. tokioms įtakoms, kurios pažeidžia jos nustatytą statusą. Bet kokios dokumentuotos informacijos būsenos pažeidimas yra jos fizinės saugos (bendrai arba visiškai ar iš dalies su šiuo savininku), loginės struktūros ir turinio, prieinamumo įgaliotiems vartotojams pažeidimas. Konfidencialios dokumentais pagrįstos informacijos statuso pažeidimas papildomai apima ir jos konfidencialumo pažeidimą (artimumą pašaliniams asmenims).

Dokumentuotos informacijos pažeidžiamumas yra kolektyvinė sąvoka. Jis visai neegzistuoja, bet pasireiškia įvairiomis formomis. Tokios formos, išreiškiančios destabilizuojančio poveikio informacijai rezultatus, apima (esami formų pavadinimų variantai nurodyti skliausteliuose):

informacijos laikmenos ar joje rodomos informacijos vagystė (vagystė);

informacijos nešiklio praradimas (praradimas);

neleistinas informacijos laikmenos ar joje rodomos informacijos sunaikinimas (sunaikinimas);

informacijos iškraipymas (neleistinas keitimas, neteisėtas modifikavimas, klastojimas, klastojimas);

informacijos blokavimas;

informacijos atskleidimas (platinimas, atskleidimas).

Terminas „sunaikinimas“ daugiausia vartojamas kalbant apie informaciją apie magnetines laikmenas.

Esami pavadinimų variantai: modifikavimas, klastojimas, falsifikavimas nėra visiškai adekvatūs terminui „iškraipymas“, jie turi niuansų, tačiau jų esmė ta pati – neleistinas dalinis ar visiškas pirminės informacijos sudėties pakeitimas.

Informacijos blokavimas šiame kontekste reiškia prieigos prie jos blokavimą įgaliotiems vartotojams, o ne užpuolikams.

Informacijos atskleidimas yra tik konfidencialios informacijos pažeidžiamumo pasireiškimo forma.

Vienokios ar kitokios dokumentuotos informacijos pažeidžiamumo formos gali būti realizuojamos dėl tyčinio ar atsitiktinio destabilizuojančio poveikio informacijos nešiklį arba pačią informaciją iš įtakos šaltinių įvairiais būdais. Tokiais šaltiniais gali būti žmonės, techninės informacijos apdorojimo ir perdavimo priemonės, ryšio priemonės, stichinės nelaimės ir kt. Informaciją destabilizuojančio poveikio būdai yra kopijavimas (fotografavimas), įrašymas, perdavimas, valgymas, informacijos apdorojimo programų užkrėtimas virusu, pažeidžiant informacijos apdorojimo ir saugojimo technologiją, sistemos išėmimas (ar gedimas) ir techninių informacijos apdorojimo ir perdavimo priemonių veikimo režimo pažeidimas, fizinis poveikis informacijai ir kt.

Dokumentuotos informacijos pažeidžiamumo pasireiškimo formų įgyvendinimas sukelia arba gali sukelti dviejų tipų pažeidžiamumą – informacijos praradimą arba nutekėjimą.

Informacijos laikmenų vagystės ir praradimas, neteisėtas informacijos laikmenų ar tik jose rodomos informacijos sunaikinimas, informacijos iškraipymas ir blokavimas lemia dokumentuotos informacijos praradimą. Praradimas gali būti visiškas arba dalinis, negrįžtamas arba laikinas (kai informacija užblokuojama), tačiau bet kokiu atveju tai padaro žalą informacijos savininkui.

Dėl konfidencialios dokumentais pagrįstos informacijos nutekėjimo ji atskleidžiama. Literatūroje ir net norminiuose dokumentuose terminas „konfidencialios informacijos nutekėjimas“ dažnai keičiamas arba tapatinamas su terminais: „konfidencialios informacijos atskleidimas“, „konfidencialios informacijos skleidimas“. Toks požiūris nėra teisėtas. Konfidencialios informacijos atskleidimas arba platinimas – tai neteisėtas jos perdavimas vartotojams, kurie neturi teisės prie jos susipažinti. Tuo pačiu metu tokį atnešimą kažkas turi atlikti, iš kažkieno ateiti. Nutekėjimas įvyksta, kai atskleidžiama konfidenciali informacija (neteisėtas platinimas), tačiau tuo neapsiribojama. Nutekėjimas gali atsirasti ir praradus konfidencialios dokumentais pagrįstos informacijos vežėją, taip pat pavogus informacijos nešiklį ar jame rodomą informaciją, o nešiklį saugo jo savininkas (savininkas). „Gali atsitikti“ nereiškia, kad taip nutiks. Pamestos laikmenos gali patekti į netinkamas rankas, o gal „paimtos“ šiukšliavežio ir sunaikintos šiukšlėms nustatyta tvarka. Pastaruoju atveju nėra konfidencialios informacijos nutekėjimo. Konfidencialios dokumentais pagrįstos informacijos vagystė taip pat ne visada siejama su tuo, kad ją gauna asmenys, neturintys prieigos. Buvo ne vienas atvejis, kai konfidencialios informacijos nešėjų vagystes iš kolegų darbe vykdė asmenys, patekę į šią informaciją, turėdami tikslą „gauti“ ir padaryti žalą kolegai. Tokius vežėjus, kaip taisyklė, sunaikindavo juos pagrobę asmenys. Tačiau bet kokiu atveju konfidencialios informacijos praradimas ir vagystė, jei tai nesukelia jos nutekėjimo, visada sukuria nutekėjimo grėsmę. Todėl galima teigti, kad konfidencialios informacijos atskleidimas lemia jos nutekėjimą, o vagystės ir praradimo priežastį. Sunkumas kyla dėl to, kad dažnai neįmanoma nustatyti, pirma, paties konfidencialios informacijos atskleidimo ar vagystės fakto, kai informacijos laikmeną laiko jos savininkas (savininkas), ir, antra, ar informacija buvo gauta dėl jo vagystė ar praradimas pašaliniams asmenims.

Michailas Bašlykovas, CROC informacijos saugumo vadovas

Dabartiniame visuomenės raidos etape informacija yra toks pat įmonės turtas kaip ir jos produktai bei paslaugos, technologijos ir procesai, finansiniai ir darbo ištekliai. Daugelyje įmonių didžioji dalis informacijos saugoma ir apdorojama elektroniniu būdu. Žinoma, tai žymiai padidina darbo patogumą ir sąveikos greitį, taip pat leidžia automatizuoti verslo procesus ir pan. Tačiau rizika, susijusi su nustatytos informacijos statuso (konfidencialumo, vientisumo, prieinamumo) pažeidimu, auga proporcingai naudai.

PREVENCIJA Informacijos nutekėjimas iš esmės yra vienos iš jos sudedamųjų savybių – konfidencialumo – suteikimas. Konfidencialios informacijos atskleidimas lemia tiesioginius materialinius nuostolius, intelektinės nuosavybės praradimą, organizacijos reputacijos ir klientų bei partnerių pasitikėjimo lygio sumažėjimą. Be to, didėja įmonės finansinės atsakomybės rizika už konfidencialių duomenų tvarkymą reglamentuojančių teisinių normų pažeidimus. Daugeliu atvejų neįmanoma išvengti nutekėjimo ir sumažinti konfidencialumo pažeidimų riziką tik techninėmis priemonėmis arba tik organizaciniais metodais – reikia integruoto požiūrio. Kiekvienas informacijos savininkas turėtų turėti galimybę atsakyti į šiuos klausimus: kur saugomi konfidencialūs duomenys, kas turi prieigą prie jų, kas ir kaip juos naudoja, kur jie perkeliami?

Požiūriai į sprendimų ir apsaugos technologijų pasirinkimą

Geriausias techninis būdas išvengti duomenų nutekėjimo yra naudoti DLP (Data Loss/Leakage Prevention) klasės sistemas. Jie kontroliuoja visus labiausiai tikėtinus nuotėkio kanalus ( El. paštas, internetas, keičiamoji laikmena, spausdinimas, momentiniai pranešimai (IM) ir kt.), leidžia atpažinti informaciją labiausiai šiuolaikiniais būdais, kuris suteikia mažiausiai klaidingų teigiamų rezultatų.

Taip pat informacijos konfidencialumui užtikrinti naudojamos IRM (Information Rights Management) klasės sistemos. Šiuo atveju apsauga vykdoma turinio lygmeniu, tai yra, pati informacija yra apsaugota, pavyzdžiui, el. laiške ar dokumente, ir tampa prieinama tik tiems darbuotojams, kuriems leidžiama prieiga pagal saugos politiką.

Be išvardintų, yra taškinių apsaugos nuo nuotėkio sprendimų (pavyzdžiui, tik valdymas nuimama laikmena arba tik mobiliuosius įrenginius). Jie gali pasiteisinti, jei įmonė turi opią problemą dėl vieno ar dviejų konkrečių nuotėkio kanalų. Šie sprendimai, kaip taisyklė, neanalizuoja pačios informacijos, apsauga yra tik prieigos prie tam tikrų įrenginių ir prievadų kontrolės lygyje, o tai nėra taip patogu ir lanksti. O ateityje, iškilus kompleksinei apsaugai nuo nuotėkio, nemaloniai nustebins išlaidos, susijusios su anksčiau įdiegtų atskirų kanalų stebėjimo sprendimų integravimu.

Tačiau nepamirškite ir kitų metodų, kuriuos naudoja viešai neatskleista informacija atskleisdami konfidencialią informaciją, pavyzdžiui, monitoriaus ekrano fotografavimas, kopijavimas į popierių ir tt DLP, IRM ir kitos techninės priemonės čia bejėgės, tačiau į pagalbą ateina organizacinės priemonės – darbuotojų mokymai. , kūryba Firmos kultūra informacijos saugumas ir kt.

DLP klasės sistemos

Pažvelkime į DLP sistemas atidžiau. DLP (Data Loss/Leakage Prevention) koncepcija atsirado seniai ir apibūdina šios klasės sistemas. Iš pradžių tai buvo rinkodaros pavadinimas, kurį sugalvojo tokių sistemų gamintojai. Todėl terminologijoje yra tam tikra painiava: pavyzdžiui, kietojo disko šifravimo sistema užtikrina ir saugomos informacijos konfidencialumą, tai yra neleidžia šiai informacijai nutekėti, tačiau šifravimo sistemų niekas nevadina DLP sistemomis. Arba, pavyzdžiui, jei pašto serveris tiesiog žino, kaip filtruoti siunčiamus pranešimus ir, priklausomai nuo juose esančių raktinių žodžių, nusprendžia išsiųsti laišką išorėje, ar toks sprendimas gali būti vadinamas DLP sistema? Manau, kad ne.

Šiuolaikinė DLP klasės sistema – tai techninis sprendimas, kuris kartu su organizaciniais metodais (reglamentais, gairėmis, politika, ataskaitomis, darbuotojų mokymais) suteikia visapusišką apsaugą nuo informacijos nutekėjimo. Sistema turi šias pagrindines charakteristikas:

• kontroliuoja beveik visus techninius nuotėkio kanalus iš informacinė sistema;
• turi galimybę ieškoti informacijos informacinėje sistemoje (failų saugykloje, duomenų bazėse, dokumentų valdymo sistemose ir kt.);
• turi vieną valdymo sąsają su vaidmenimis pagrįstomis prieigos kontrolės galimybėmis;
• gali reaguoti į kylančius incidentus realiu laiku ir taikyti automatizuotas taisykles (blokuoti, perkelti į karantiną, pranešti informacijos saugos pareigūnui ir pan.);
• turi galingus ir lanksčius įrankius naujiems incidentams kurti ir apie juos pranešti;
• geba atpažinti informaciją keliais būdais (raktiniais žodžiais, pirštų atspaudais, failų tipais ir kt.).

Ant Šis momentas Rusijos rinkoje yra pakankamai daug DLP sistemų gamintojų, rinka gana jauna ir, nepaisant krizės, toliau auga. Kurdami apsaugos nuo informacijos nutekėjimo sprendimą naudojame pirmaujančius produktus – Symantec, Websense, RSA, kurie puikiai pasiteisino ir turi didelę diegimo patirtį visame pasaulyje. Šie gamintojai turi aiškų produkto kūrimo planą, supranta rinkos poreikius ir specifiką. Produkto pasirinkimas projektavimo etape pirmiausia priklauso nuo kliento poreikių ir jo esamos infrastruktūros ypatybių.

DLP sistemos diegimas. CROC patirtis ir požiūris

Nuotėkio prevencijos sistemos sukūrimas – kompleksinis projektas, kuriame gali dalyvauti tiek techniniai specialistai, tiek auditoriai, tiek užsakovo verslo padalinių atstovai. Apskritai projekto etapus galima suskirstyti į du komponentus: organizacinę ir techninę.

Organizacinę dalį sudaro šie pagrindiniai etapai:

• esamos informacinės sistemos būklės auditas ir informacijos srautus, galimi nuotėkio kanalai;
• informacinio turto apibrėžimas ir klasifikavimas;
• išskiriant kritiškiausius iš jų konfidencialumo požiūriu (komercinės paslaptys, asmens duomenys, intelektinė nuosavybė ir kt.), nustatant šio turto vaidmenį ir vietą įmonės veiklos procesuose, taip pat galimas jų atskleidimo pasekmes;
• saugomų informacijos išteklių apdorojimo politikos kūrimas;
• reagavimo į incidentus metodų kūrimas;
• parengti darbuotojų mokymo programą apie darbo su sistema technologijas ir darbo su konfidencialia informacija taisykles.

Pagrindiniai techninės dalies etapai:

• produkto, kurio pagrindu bus įgyvendinamas sprendimas, pasirinkimas;
• sistemos projektavimas, vadovų, instrukcijų ir reglamentų kūrimas;
• sistemos diegimas, integravimas su esama IT infrastruktūra;
• parengtų taisyklių ir politikos įgyvendinimą.

Remdamasis CROC patirtimi diegiant DLP sistemas, galiu pastebėti, kad projekto sėkmė ir efektyvi sistemos diegimo grąža labai priklauso nuo šių veiksnių:

• abiejų šalių suinteresuotumas kokybišku rezultatu, nuolatinė sąveika ir projekto komandos darbo derinimas su užsakovo atstovais;
• laipsniškas sistemos diegimas, pradedant nuo darbo pasyviuoju režimu (tik incidentų auditas), toliau pereinant prie draudžiamų veiksmų blokavimo (toks požiūris neleis drastiškai sutrikdyti esamų įprastų informacijos apdorojimo procesų, net jei jie ir neteisingi);
• projekto komandos patirtis įgyvendinant infrastruktūros sprendimus ( įmonės paštas, interneto prieiga ir kt.), be kurių DLP sistemos integravimas tiesiog neįmanomas;
• informacinės sistemos audito, lydimosios ir ataskaitinės dokumentacijos rengimo patirtis;
• patirtis efektyviai apmokant sistemą valdančius darbuotojus, taip pat mokant vartotojus dirbti su konfidencialia informacija.

Baigdamas noriu pridurti, kad pats DLP sistemos įdiegimas nėra panacėja ir momentinė apsauga nuo visų vidinių grėsmių, susijusių su konfidencialumo pažeidimu. Dabartinė sistema leidžia pašalinti beveik visas atsitiktinio informacijos nutekėjimo galimybes (pavyzdžiui, informacija slypi atvira prieiga ant failų serveris, darbuotoja nežinojo, kad informacija yra konfidenciali ir bandė ją nusiųsti draugui). O kartu su tokiais apsaugos metodais kaip informacijos šifravimas, prieigos kontrolė, informacijos saugumo įvykių auditas ir stebėjimas, organizaciniai ir teisiniai metodai gerokai apsunkins sąmoningą konfidencialios informacijos vagystę.

Šaltinio informacija visada perduodama į išorinę aplinką. Informacijos sklaidos kanalai yra objektyvūs, aktyvūs ir apima: verslo, vadybinę, prekybinę, mokslinę, komunikacinę reguliuojamą komunikaciją; informaciniai tinklai; natūralūs techniniai kanalai.

Informacijos sklaidos kanalas – tai būdas perkelti vertingą informaciją iš vieno šaltinio į kitą autorizuotu režimu (leistina) arba dėl objektyvių įstatymų arba dėl objektyvių įstatymų (83, p. 48).

Terminas „konfidencialios informacijos nutekėjimas“ turbūt nėra pats eufoniškiausias, tačiau reiškinio esmę atspindi talpiau nei kiti terminai. Ji jau seniai įsitvirtino mokslinėje literatūroje, norminiuose dokumentuose (99, p.11). Konfidencialios informacijos nutekinimas laikomas neteisėtu, t.y. neleistinas tokios informacijos išleidimas už jos veikimo saugomos zonos ar nustatyto asmenų, turinčių teisę su ja dirbti rato, rato, jeigu dėl šio išėjimo informaciją gavo (susipažino) asmenys, neturintys prieigos prie jos. Konfidencialios informacijos nutekinimas reiškia ne tik jos gavimą įmonėje nedirbantiems asmenims, bet ir šios įmonės asmenų neteisėtą priėjimą prie konfidencialios informacijos (104, p. 75).

Konfidencialios dokumentais pagrįstos informacijos praradimas ir nutekėjimas atsiranda dėl informacijos pažeidžiamumo. Informacijos pažeidžiamumą reikėtų suprasti kaip informacijos nesugebėjimą savarankiškai atsispirti destabilizuojamoms įtakoms, t.y. tokias įtakas, kurios pažeidžia jos nustatytą statusą (94, p. 89). Bet kokios dokumentuotos informacijos būsenos pažeidimas yra jos fizinės saugos (bendrai arba visiškai ar iš dalies su šiuo savininku), loginės struktūros ir turinio, prieinamumo įgaliotiems vartotojams pažeidimas. Konfidencialios dokumentais pagrįstos informacijos statuso pažeidimas papildomai apima ir jos konfidencialumo pažeidimą (artimumą pašaliniams asmenims). Dokumentuotos informacijos pažeidžiamumas yra kolektyvinė sąvoka. Jis visai neegzistuoja, bet pasireiškia įvairiomis formomis. Tai apima: informacijos laikmenos arba joje rodomos informacijos vagystę (vagystę); informacijos nešiklio praradimas (praradimas); neleistinas informacijos laikmenos ar jame rodomos informacijos sunaikinimas (informacijos sunaikinimas, iškraipymas (neleistinas keitimas, neteisėtas pakeitimas, klastojimas, klastojimas); informacijos blokavimas; informacijos atskleidimas (platinimas, atskleidimas).

Terminas „sunaikinimas“ daugiausia vartojamas kalbant apie informaciją apie magnetines laikmenas. Esami pavadinimų variantai: modifikavimas, klastojimas, falsifikavimas nėra visiškai adekvatūs terminui „iškraipymas“, jie turi niuansų, tačiau jų esmė ta pati – neleistinas dalinis ar visiškas pirminės informacijos sudėties pakeitimas (36, p. . 59).

Informacijos blokavimas čia reiškia teisėtų vartotojų, o ne užpuolikų prieigos prie jos blokavimą.

Informacijos atskleidimas yra tik konfidencialios informacijos pažeidžiamumo pasireiškimo forma.

Vienokios ar kitokios dokumentuotos informacijos pažeidžiamumo formos gali būti realizuojamos dėl tyčinio ar atsitiktinio destabilizuojančio poveikio informacijos nešiklį arba pačią informaciją iš įtakos šaltinių įvairiais būdais. Tokiais šaltiniais gali būti žmonės, techninės informacijos apdorojimo ir perdavimo priemonės, ryšio priemonės, stichinės nelaimės ir kt. Informaciją destabilizuojančio poveikio būdai yra kopijavimas (fotografavimas), įrašymas, perdavimas, valgymas, informacijos apdorojimo programų užkrėtimas virusu, pažeidžiant informacijos apdorojimo ir saugojimo technologiją, sistemos išėmimas (ar gedimas) ir techninių informacijos apdorojimo ir perdavimo priemonių veikimo režimo pažeidimas, fizinis poveikis informacijai ir kt.

Dėl dokumentuotos informacijos pažeidžiamumo informacija prarandama arba gali nutekėti. (97, p.12).

Informacijos laikmenų vagystės ir praradimas, neteisėtas informacijos laikmenų ar tik jose rodomos informacijos sunaikinimas, informacijos iškraipymas ir blokavimas lemia dokumentuotos informacijos praradimą. Praradimas gali būti visiškas arba dalinis, negrįžtamas arba laikinas (kai informacija užblokuojama), tačiau bet kokiu atveju tai padaro žalą informacijos savininkui.

Dėl konfidencialios dokumentais pagrįstos informacijos nutekėjimo ji atskleidžiama. Kaip pastebi kai kurie autoriai (77, p. 94; 94, p. 12), literatūroje ir net norminiuose dokumentuose terminas „konfidencialios informacijos nutekėjimas“ dažnai pakeičiamas arba tapatinamas su terminais: „konfidencialios informacijos atskleidimas“. , „konfidencialios informacijos platinimas“. Toks požiūris, ekspertų požiūriu, yra neteisėtas. Konfidencialios informacijos atskleidimas arba platinimas – tai neteisėtas jos perdavimas vartotojams, kurie neturi teisės prie jos susipažinti. Tuo pačiu metu tokį atnešimą kažkas turi atlikti, iš kažkieno ateiti. Nutekėjimas įvyksta, kai atskleidžiama konfidenciali informacija (neteisėtas platinimas), tačiau tuo neapsiribojama. Nutekėjimas gali atsirasti ir praradus konfidencialios dokumentais pagrįstos informacijos vežėją, taip pat pavogus informacijos nešiklį ar jame rodomą informaciją, o nešiklį saugo jo savininkas (savininkas). Tai nereiškia, kas bus. Pamesta laikmena gali patekti į svetimas rankas, arba ją „pagriebs“ šiukšliavežė ir sunaikins šiukšlėms nustatyta tvarka. Pastaruoju atveju nėra konfidencialios informacijos nutekėjimo. Konfidencialios dokumentais pagrįstos informacijos vagystė taip pat ne visada siejama su tuo, kad ją gauna asmenys, neturintys prieigos. Yra daug pavyzdžių, kai konfidencialios informacijos nešėjų vagystę iš kolegų darbe vykdė asmenys, patekę į šią informaciją, turėdami tikslą „įsilipti“, padarydami žalą kolegai. Tokie vežėjai dažniausiai yra sunaikino juos pagrobę žmonės. Tačiau bet kokiu atveju konfidencialios informacijos praradimas ir vagystė, jei tai nesukelia jos nutekėjimo, visada sukuria nutekėjimo grėsmę. Todėl galima teigti, kad konfidencialios informacijos atskleidimas lemia jos nutekėjimą, o vagystės ir praradimo priežastį. Sunkumas slypi tame, kad dažnai neįmanoma atskirti, pirma, paties konfidencialios informacijos atskleidimo ar vagystės fakto, kai informacijos laikmeną laiko jos savininkas (savininkas), ir, antra, ar informacija buvo gauta dėl jo vagystė ar praradimas pašaliniams asmenims.

Komercinės paslapties savininkas yra fizinis ar juridinis asmuo, teisėtai turintis komercinę paslaptį sudarančią informaciją ir visas atitinkamas teises (91, p. 123).

Informacija, sudaranti komercinę paslaptį, pati savaime neegzistuoja. Jis rodomas įvairiose laikmenose, kuriose galima jį saugoti, kaupti ir perduoti. Jie taip pat naudoja informaciją. (8; 91, p. 123)

Informacijos nešiklis – individas arba materialus objektas, įskaitant fizinį lauką, kuriame informacija atvaizduojama simbolių, vaizdų, signalų, techninių sprendimų ir procesų pavidalu (8; 68, p. 37).

Iš šio apibrėžimo, pirma, išplaukia, kad materialūs objektai yra ne tik tai, ką galima pamatyti ar paliesti, bet ir fiziniai laukai, taip pat žmogaus smegenys, antra, žiniasklaidoje informacija atvaizduojama ne tik simboliais, t.y. raidės, skaičiai, ženklai, bet ir vaizdai brėžinių pavidalu, brėžiniai, diagramos, kiti ikoniniai modeliai, signalai fizikinėse srityse, techniniai sprendimai gaminiuose, techniniai procesai gaminių gamybos technologijoje (39, p. 65).

Materialių objektų, kaip informacijos nešėjų, tipai yra skirtingi. Tai gali būti magnetinės juostos, magnetiniai ir lazeriniai diskai, foto, kino, vaizdo ir garso juostos, įvairių rūšių pramonės gaminiai, technologiniai procesai ir kt. Tačiau labiausiai paplitusi rūšis yra popierinės laikmenos (46, p. 11). Juose esanti informacija fiksuojama ranka, mašinėle, elektroniniais, tipografiniais būdais teksto, brėžinio, diagramos, brėžinio, formulės, grafiko, žemėlapio ir kt. Šiose laikmenose informacija rodoma simbolių ir vaizdų pavidalu. Tokia Federalinio įstatymo „Dėl informacijos...“ (8) informacija yra klasifikuojama kaip dokumentuota informacija ir yra įvairių tipų dokumentai.

Pastaruoju metu buvo gerokai pakoreguotos konfidencialios informacijos gavimo neformaliomis priemonėmis formos ir būdai. Žinoma, tai daugiausia susiję su poveikiu asmeniui, kaip konfidencialios informacijos nešėjui.

Asmuo, kaip įtakos objektas, dėl tam tikro esamo momento teisinio nesaugumo, individualių žmogiškųjų silpnybių ir gyvenimo aplinkybių yra jautresnis neformaliam poveikiui nei techninės priemonės ir kiti konfidencialios informacijos nešėjai (64, p. 82).

Tokia neformali įtaka, kaip taisyklė, yra paslėpto, neteisėto pobūdžio ir gali būti vykdoma tiek individualiai, tiek asmenų grupės.

Asmeniui, kuris yra konfidencialios informacijos nešėjas, galimi šie informacijos nutekėjimo kanalų tipai: balso kanalas, fizinis kanalas ir techninis kanalas.

Nutekėjimo kalbos kanalas – informacija iš konfidencialios informacijos savininko žodžiu perduodama asmeniškai šios informacijos gavimu suinteresuotam objektui (29).

Fizinis nutekėjimo kanalas - informacija iš konfidencialios informacijos savininko (nešėjo) perduodama popieriniu, elektroniniu, magnetiniu (šifruotu ar atviru) ar kitais būdais į šios informacijos gavimu suinteresuotą objektą (36, p. 62).

Techninis nuotėkio kanalas – informacija perduodama techninėmis priemonėmis (29).

Poveikio asmeniui, kuris yra saugomos informacijos nešėjas, formos gali būti atviros ir paslėptos (33).

Atvira įtaka konfidencialios informacijos savininkui (nešėjui), norint gauti suinteresuoto objekto, reiškia tiesioginį kontaktą (101, p. 256).

Paslėpta įtaka konfidencialios informacijos savininkui (nešėjui), kad ją gautų suinteresuotas objektas, vykdoma netiesiogiai (netiesiogiai) (101, p. 256).

Neformalios konfidencialios informacijos savininko (nešėjo) įtakos tam, kad iš jo būtų gauta tam tikra informacija atviro kalbėjimo kanalu, priemonės yra - asmuo ar žmonių grupė, kurie bendrauja per: kažko pažadus, prašymus, pasiūlymus (107, p. 12).

Dėl to konfidencialios informacijos savininkas (nešėjas) yra priverstas keisti savo elgesį, tarnybines pareigas ir perduoti reikiamą informaciją (91, p. 239).

Paslėpta įtaka per kalbos kanalą konfidencialios informacijos savininkui (nešėjui) vykdoma netiesiogine prievarta – šantažu per trečiąją šalį, netyčiniu ar tyčiniu klausymu ir pan.

Minėtos poveikio priemonės galiausiai pripratina konfidencialios informacijos savininką (nešėją) prie jo tolerancijos (tolerancijos) jam daromam poveikiui (85, p. 220).

Įtakos konfidencialios informacijos savininkui (nešėjui) fiziniu nutekėjimo kanalu formos taip pat gali būti atviros ir paslėptos.

Atviras smūgis vykdomas per prievartinį (fizinį) bauginimą (mušimai) arba priverstinę mirtį, gavus (mušimai) arba priverstinę mirtį, gavus informaciją (95, p.78).

Slaptas veiksmas yra subtilesnis ir platesnis priemonių taikymo požiūriu. Tai galima pavaizduoti kaip tokia poveikio struktūra (95, p. 79). Suinteresuotas objektas – konfidencialios informacijos vežėjo interesai ir poreikiai.

Vadinasi, suinteresuotas objektas slaptai (netiesiogiai) daro įtaką asmens, kuriam priklauso konfidenciali informacija, interesams ir poreikiams.

Tokia paslėpta įtaka gali būti grindžiama: baime, šantažu, manipuliavimu faktais, kyšiu, papirkimu, intymumu, korupcija, įtikinėjimu, paslaugų teikimu, konfidencialią informaciją nešančio asmens ateities užtikrinimu. (94, p. 87)

Įtakos konfidencialios informacijos savininkui (nešėjui) techniniais kanalais forma taip pat gali būti atvira ir paslėpta.

Atvirosios (tiesioginės) priemonės – faksas, telefonas (įskaitant mobiliąsias sistemas), internetas, radijo ryšiai, telekomunikacijos, žiniasklaida.

Paslėptosios priemonės yra: klausymasis naudojant technines priemones, žiūrėjimas iš ekrano ir kitos jo rodymo priemonės, neteisėta prieiga prie kompiuterio ir programinės bei techninės įrangos.

Visos svarstomos įtakos priemonės, nepaisant jų formų, neformaliai veikia asmenį, kuris yra konfidencialios informacijos nešėjas, yra susijusios su neteisėtais ir nusikalstamais konfidencialios informacijos gavimo būdais (72).

Į galimybę manipuliuoti konfidencialios informacijos savininko (nešėjo) individualiomis savybėmis su jo socialiniais poreikiais, siekiant ją gauti, reikia atsižvelgti skiriant, atrenkant personalą ir vykdant personalo politiką organizuojant darbą su konfidencialia informacija.

Visada reikia atsiminti, kad informacijos dokumentavimo faktas (taikomas bet kokiam medžiagos nešikliui) padidina informacijos nutekėjimo riziką. Medžiaginį nešiklį pavogti visada lengviau, be to, yra didelis laipsnis, kad reikiama informacija nėra iškraipoma, kaip yra informacijos atskleidimo žodžiu atveju.

Grėsmės ribotos prieigos informacijos saugumui, vientisumui ir konfidencialumo slaptumui praktiškai realizuojamos dėl rizikos, kad užpuolikas gali neteisėtai gauti (išgauti) vertingos informacijos ir dokumentų kanalus. Šie kanalai yra neapsaugotų arba silpnai organizacijos galimų informacijos nutekėjimo krypčių rinkinys, kurį užpuolikas naudoja reikalingos informacijos gavimui, tyčiniam neteisėtam priėjimui prie saugomos ir saugomos informacijos.

Kiekviena konkreti įmonė turi savo kanalų rinkinį neteisėtai prieigai prie informacijos; šiuo atveju idealios firmos neegzistuoja.

Tai priklauso nuo daugelio veiksnių: saugomos ir saugomos informacijos kiekio; saugomos ir saugomos informacijos rūšys (sudarančios valstybės paslaptį ar kitą paslaptį – tarnybinę, komercinę, bankinę ir kt.); personalo profesionalumo lygis, pastatų ir patalpų vieta ir kt.

Neteisėtos prieigos prie informacijos kanalų veikimas būtinai reiškia informacijos nutekėjimą, taip pat jos nešėjo dingimą.

Kalbant apie informacijos nutekėjimą dėl personalo kaltės, vartojamas terminas „informacijos atskleidimas“. Asmuo informaciją gali atskleisti žodžiu, raštu, pašalindamas informaciją techninėmis priemonėmis (kopijuokliais, skaitytuvais ir kt.), gestais, mimika, sąlyginiais signalais. Ir perduoti asmeniškai, per tarpininkus, komunikacijos kanalais ir pan. (56, p. 458).

Informacijos nutekėjimas (atskleidimas) apibūdinamas dviem sąlygomis:

1. Informacija patenka tiesiai į ja besidomintį asmenį, užpuoliką;

2. Informacija pereina atsitiktinai, trečiajai šaliai.

Trečiasis asmuo šiuo atveju suprantamas kaip bet koks trečiasis asmuo, gavęs informaciją dėl nuo šio asmens nepriklausančių aplinkybių arba personalo neatsakingumo, neturintis teisės turėti informacijos, o, svarbiausia, šio asmens ši informacija nedomina (37, p. 5 ). Tačiau informacija iš trečiosios šalies gali lengvai perduoti užpuolikui. Šiuo atveju trečioji šalis dėl užpuoliko nustatytų aplinkybių veikia kaip „blotter“, perimant reikalingą informaciją.

Atrodo, kad informacijos perdavimas trečiajai šaliai yra gana dažnas reiškinys, kurį galima pavadinti netyčiniu, spontanišku, nors informacijos atskleidimo faktas įvyksta.

Netyčinis informacijos perdavimas trečiajai šaliai įvyksta dėl:

1. Bet kurioje laikmenoje esančio dokumento, dokumentų paketo, bylų, konfidencialių įrašų praradimas ar netinkamas sunaikinimas;

2. Darbuotojo nepaisymas ar tyčinis dokumentais pagrįstos informacijos apsaugos reikalavimų nesilaikymas;

3. Per didelis darbuotojų šnekumas nesant įsibrovėlio - su darbo kolegomis, giminėmis, draugais, kitais asmenimis viešose vietose: kavinėse, transporte ir kt. (pastaruoju metu tai pastebima plintant mobiliajam ryšiui);

4. Darbas su dokumentuota informacija su ribota prieiga prie organizacijos su pašaliniais asmenimis, jos neteisėtas perdavimas kitam darbuotojui;

5. Riboto naudojimo informacijos naudojimas atviruose dokumentuose, publikacijose, interviu, asmeniniuose užrašuose, dienoraščiuose ir kt.;

6. Dokumentų slaptumo (konfidencialumo) informacijos nebuvimas, ženklinimas atitinkamais antspaudais techninėse laikmenose;

7. Perteklinės informacijos buvimas atvirų dokumentų tekstuose su ribota prieiga;

8. Darbuotojo neteisėtas dokumentų, įskaitant elektroninius, kopijavimas (nuskaitymas) tarnybiniais ar rinkimo tikslais.

Skirtingai nei trečioji šalis, užpuolikas ar jo bendrininkas tikslingai gauna konkrečią informaciją ir tyčia, neteisėtai užmezga ryšį su šios informacijos šaltiniu arba paverčia jos objektyvaus platinimo kanalus į jos atskleidimo ar nutekinimo kanalus.

Organizaciniai informacijos nutekėjimo kanalai pasižymi daugybe tipų ir yra pagrįsti įvairių, įskaitant teisinius, santykių tarp užpuoliko ir įmonės ar įmonės darbuotojų užmezgimu, siekiant vėliau neteisėtai prieiti prie dominančios informacijos.

Pagrindiniai organizacinių kanalų tipai gali būti:

1. Įsibrovėlį samdo įmonė, dažniausiai eidama technines ar pagalbines pareigas (kompiuterio operatorius, ekspeditorius, kurjeris, valytojas, sargas, apsaugos darbuotojas, vairuotojas ir kt.);

2. Dalyvavimas įmonės darbe kaip partneris, tarpininkas, klientas, įvairių nesąžiningų būdų naudojimas;

3. Užpuoliko paieška organizacijoje dirbančio bendrininko (iniciatyvos asistento), kuris tampa jo bendrininku;

4. Užpuoliko užmegzti pasitikėjimo santykiai su organizacijos darbuotoju (pagal bendrus interesus, iki bendrų gėrimo ir meilės santykių) arba nuolatiniu lankytoju, kitos organizacijos darbuotoju, turinčiu užpuoliką dominančios informacijos;

5. Naudojimasis organizacijos komunikaciniais saitais – dalyvavimas derybose, susitikimuose, parodose, prezentacijose, susirašinėjimuose, įskaitant elektroninius, su organizacija ar konkrečiais jos darbuotojais ir kt.;

6. Klaidingų personalo veiksmų panaudojimas arba tyčinis užpuoliko provokavimas tokiems veiksmams;

7. Slaptas ar fiktyvus patekimas į įmonės patalpas ir patalpas, nusikalstamas, prievartinis priėjimas prie informacijos, t.y. dokumentų, diskelių, standžiųjų diskų (kietųjų diskų) ar pačių kompiuterių vagystės, atskirų darbuotojų šantažavimas ir skatinimas bendradarbiauti, papirkimas ir darbuotojų šantažas, ekstremalių situacijų kūrimas ir pan.;

8. Reikiamos informacijos gavimas iš trečiojo (atsitiktinio) asmens.

Organizacinius kanalus užpuolikas pasirenka arba formuoja individualiai, atsižvelgdamas į savo profesinius įgūdžius, konkrečią situaciją, ir juos numatyti itin sunku. Organizacinių kanalų atradimas reikalauja rimto paieškos ir analitinio darbo (75, p. 32).

Plačios galimybės neteisėtai gauti informaciją su ribota prieiga sukuria techninę paramą organizacijos finansinių dokumentų valdymo technologijoms. Bet kokia vadybinė ir finansinė veikla visada yra susijusi su informacijos aptarimu biuruose ar ryšio linijomis ir kanalais (vaizdo ir konferencinių pokalbių vykdymas), skaičiavimų atlikimu ir situacijų analizavimu kompiuteriu, dokumentų rengimu ir dauginimu ir kt.

Techniniai informacijos nutekėjimo kanalai atsiranda naudojant specialias technines pramoninio šnipinėjimo priemones, kurios leidžia gauti apsaugotą informaciją be tiesioginio kontakto su organizacijos personalu, dokumentais, bylomis ir duomenų bazėmis (59, p. 58).

Techninis kanalas – tai fizinis informacijos nutekėjimo iš šaltinio arba objektyvios informacijos sklaidos kanalo kelias užpuolikui. Kanalas atsiranda, kai užpuolikas analizuoja fizinius laukus ir spinduliuotę, atsirandančią veikiant kompiuteriui ir kitai biuro įrangai, perima informaciją, kuri turi garso, vaizdo ar kitokią atvaizdavimo formą. Pagrindiniai techniniai kanalai yra akustiniai, vizualiniai-optiniai, elektromagnetiniai ir kt. Šie kanalai yra nuspėjami , jie yra standartinio pobūdžio ir juos nutraukia standartinės atsakomosios priemonės. Pavyzdžiui, pagal GOST RV 50600-93. "Įslaptintos informacijos apsauga nuo techninės žvalgybos. Dokumentų sistema. Bendrosios nuostatos" (26).

Kūrybiškas abiejų tipų kanalų derinys užpuoliko veiksmuose yra įprastas ir profesionaliai išprusęs, pavyzdžiui, užmegzti pasitikėjimu grįstus santykius su organizacijos darbuotojais ir su šio darbuotojo pagalba perimti informaciją techniniais kanalais.

Gali būti daug galimybių ir kanalų derinių, todėl rizika prarasti informaciją visada yra gana didelė. Naudodamas efektyvią informacijos apsaugos sistemą, užpuolikas sunaikina atskirus apsaugos elementus ir suformuoja jam reikalingą informacijos gavimo kanalą (64, p. 80).

Siekdamas įgyvendinti nustatytas užduotis, užpuolikas nustato ne tik neteisėtos prieigos prie organizacijos informacijos kanalus, bet ir šios informacijos gavimo metodų rinkinį.

Norint apsaugoti informaciją tinkamu lygiu, būtina „pažinti priešą“ ir informacijos gavimo būdus.

Teisiniai metodai (61, p. 74) įtraukiami į sąvokų turinį ir „savo intelektas versle“, išsiskiria teisiniu saugumu ir, kaip taisyklė, lemia susidomėjimo organizacijoje atsiradimą. Atsižvelgiant į tai, gali tekti naudoti neteisėtos prieigos prie reikiamos informacijos kanalus. „Savo žvalgybos“ esmė – kruopštus užpuolikų ir specialistų ekspertų konkurentų analitinis darbas su organizacijos paskelbta ir viešai prieinama medžiaga. Tuo pačiu metu pristatoma organizacijos veikla ir paslaugos, reklaminiai leidiniai, oficialių ir neformalių pokalbių ir derybų su įmonės darbuotojais metu gauta informacija, spaudos konferencijų medžiaga, įmonės ir paslaugų pristatymai, moksliniai simpoziumai ir seminarai. , informacija, gauta iš informacinių tinklų, įskaitant numerį iš interneto. Teisiniai metodai suteikia užpuolikui didžiąją dalį jį dominančios informacijos ir leidžia nustatyti trūkstamos informacijos, kuri bus gauta neteisėtais metodais, sudėtį, o kai kurios jos nebereikia gauti atliekant kruopščią atviros informacijos analizę. .

Neteisėti vertingos informacijos gavimo būdai visada yra neteisėti ir naudojami norint pasiekti apsaugotą informaciją, kurios negalima gauti teisėtais būdais. Neteisėto informacijos gavimo esmė yra užpuoliko paieška konkrečiomis sąlygomis veiksmingiausių organizacinių ir techninių neteisėtos prieigos prie organizacijoje esančios informacijos kanalų. Tokių kanalų, kai jų nėra, formavimas ir praktinio šių kanalų panaudojimo plano įgyvendinimas.

Neteisėtais būdais laikomos: vagystės, tyčinis apgaulė, pasiklausymas, dokumentų klastojimas, kyšininkavimas, papirkimas, šantažas, ekstremalių situacijų inscenizavimas ar organizavimas, įvairių nusikalstamų technikų panaudojimas ir kt. Diegiant nelegalius metodus dažnai susidaro slaptas vertingos finansinės informacijos gavimo kanalas. Neteisėti metodai taip pat apima: objektyviai techniniais kanalais platinamos informacijos perėmimą, banko ir personalo pastatų ir patalpų vizualinį stebėjimą, objektų, kuriuose yra saugomos informacijos pėdsakų, analizę, saugomų objektų architektūrinių ypatybių analizę, paimtų popieriaus atliekų analizę. išvežtas ir išvežtas iš įmonės (50 , p.32).

Taigi informacijos nutekėjimas su ribota prieiga gali įvykti:

1. Jei yra organizacijų, asmenų, konkurentų susidomėjimas konkrečia informacija;

2. Kai yra užpuoliko organizuotos grėsmės pavojus arba atsitiktinėmis aplinkybėmis;

3. Jei yra sąlygos, leidžiančios užpuolikui atlikti reikiamus veiksmus ir gauti informaciją. (71, p.47).

Šios sąlygos gali apimti:

1. Trūksta sistemingo analitinio ir kontrolės darbo, siekiant nustatyti ir tirti grėsmes bei informacijos nutekėjimo kanalus, organizacijos informacijos saugumo pažeidimų rizikos laipsnį;

2. Neefektyvi, blogai organizuota įmonės informacijos apsaugos sistema arba šios sistemos nebuvimas;

3. Neprofesionaliai organizuota uždaro (konfidencialaus) finansinių dokumentų valdymo technologija, įskaitant elektroninį, ir biuro darbas, pagrįstas dokumentuota informacija su ribota prieiga;

4. Neorganizuotas komplektavimas ir darbuotojų kaita, sunkus psichologinis klimatas komandoje;

5. Darbuotojų mokymo apie darbo su dokumentuota ribotos prieigos taisyklėmis sistemos nebuvimas;

6. Įmonės vadovybės nekontroliavimas, ar personalas laikosi norminių dokumentų reikalavimų dirbant su dokumentuota ribotos prieigos informacija;

7. Nekontroliuojami pašalinių asmenų apsilankymai organizacijos patalpose. (50, p.33).

Neteisėtos prieigos ir informacijos nutekėjimo kanalai gali būti dviejų tipų: organizaciniai ir techniniai. Jos teikiamos legaliais ir neteisėtais būdais (63, p.39).

Taigi ribotos prieigos dokumentų ar informacijos gavimas gali būti vienas įvykis arba įprastas procesas, vykstantis gana ilgą laiką.

Todėl bet kokie organizacijos informaciniai ištekliai yra labai pažeidžiama kategorija, o jei užpuolikas jais susidomi, jų nutekėjimo pavojus tampa gana realus.

Pageidautina, kad preliminarus analitikų vertinimas spausdinimui parengtos medžiagos apie įmonę, parodų brošiūros, reklaminiai leidiniai ir kt., jų dalyvavimas pristatymuose, parodose, akcininkų susirinkimuose, derybose, taip pat pokalbiuose ir kandidatų į pareigas testavimas. Pastaroji yra viena iš pagrindinių ir svarbiausių informacinės ir analitinės tarnybos pareigų, nes būtent šiame etape su tam tikra tikimybe gali būti užblokuotas vienas pagrindinių organizacinių kanalų – įsibrovėlio priėmimas dirbti įmonėje ( 84, p. 35).