Этапы подготовки конфиденциальных документов

Под исполнением конфиденциального документа понимается про­цесс документирования управленческих решений и действий, ре­зультатов выполнения руководителями и сотрудниками фирмы по­ставленных задач и отдельных заданий, поручений, а также реализа­ции функций, закрепленных за ними в должностных инструкциях.

Факторами, инициирующими процесс исполнения, являются:

• получение руководителем, сотрудником (исполнителем) по­ступившего документа;

• письменное или устное указание вышестоящего руководителя;

• устный запрос на информацию или принятие решения от других фирм, учреждений и отдельных лиц;

• задания и поручения, включенные в рабочие планы, графики работы, должностные инструкции и другие организационные и плановые документы;

• полезная информация, полученная из реферативных и ин­формационных сборников, рекламных изданий.

В отличие от исполнения процесс использования документа предполагает включение его в информационно-документационную систему, обеспечивающую исполнение других документов, выполнение управленческих действий и решений. Для использования в работе обычно поступают: законодательные акты, орга­низационно-правовые, нормативные, распорядительные, справочно-информационные документы, разнообразные рекламные издания и научно-техническая информация.

В ходе исполнения конфиденциальные документы подверга­ются максимально возможному спектру угроз, которые реализу­ются за счет:

• документирования конфиденциальной информации на слу­чайном носителе, не входящем в сферу контроля службы КД;

• подготовки к изданию документа, не обоснованного деловой необходимостью или не разрешенного для издания, т.е. доку­ментирования определенной информации;

• включения в документ избыточных конфиденциальных све­дений, что равносильно разглашению тайны фирмы;

• случайного или умышленного занижения грифа конфиден­циальности сведений, включенных в документ;

• изготовления документа в условиях, которые не гарантируют сохранность носителя, конфиденциальность информации;

• утери оригинала, черновика, варианта или редакции доку­мента, его части, приложения к документу, умолчания этого факта и попытки подмены утраченных материалов;

• сообщения содержания проекта конфиденциального или открытого документа постороннему лицу, несанкционированного копирования документа или его части (в том числе на неучтенной дискете);

•утечки информации по техническим каналам;

• ошибочных действий работника службы КД, особенно в части нарушения разрешительной системы доступа к документам.

Передача конфиденциальной информации по деловой необхо­димости партнерам, посредникам, работникам государственных учреждений допускается только в случаях, установленных законодательством или соответствующим пунктом в контракте, и только по их письменному запросу с указанием конкретного состава и назначения требуемых сведений.

Информация передается им всегда в письменном виде за подписью первого руководителя фирмы и с информированием об этом руководителя службы безопасности. Передача конфиденциальных сведений в устной форме не разре­шается. Исполнение конфиденциальных документов, в отличие от ис­полнения открытых документов, представляет собой стадию, на­сыщенную различными технологическими этапами и процедурами.

Выделяются следующие основные этапы:

• установление уровня грифа конфиденциальности сведений, подлежащих включению в будущий документ;

• оформление и учет носителя для документирования выде­ленного комплекса конфиденциальной информации;

• составление вариантов и черновика текста документа;

• учет подготовленного черновика конфиденциального доку­мента;

• изготовление проекта конфиденциального документа;

• издание конфиденциального документа.

Указанные этапы характеризуются не только регламентирован­ной технологией, но и жесткими правилами работы исполнителей с конфиденциальной информацией. Сам факт запечатления цен­ной информации на носителе предполагает наличие защитных мер в отношении информации и носителя от различных рисков. Общеизвестно, что в наибольшей безопасности находится кон­фиденциальная информация, не зафиксированная ни на каком но­сителе.

Угрозы ценной информации появляются немедленно при возникновении мысли о необходимости ее документирования.

В связи с этим система зашиты конфиденциальной информации должна начинать функционировать не после издания (подписания) конфи­денциального документа, а заблаговременно, т.е. до момента нане­сения на чистый лист бумаги первых письменных знаков будущего документа, Перед реализацией мысли о создании документа перво­начально решаются вопросы: а) является ли данная информация конфиденциальной и, если да, то б) какой уровень грифа конфиденциальности ей должен быть присвоен.

Своевременное установление уровня грифа конфиденциальности сведении, подлежащих включению в будущий документ, является первым и основным элементом защиты документированной инфор­мации, позволяющим обеспечить относительно надежную безопас­ность тайны фирмы. В основе присвоения документу грифа конфиденциальности должны лежать перечень конфиденциальных сведений фирмы, требования партнеров, условия контрактов, а также перечень конфиденциальных документов фирмы.

Система грифования (мар­кирования) документов не гарантирует сохранности информа­ции, однако позволяет четко организовать работу с документа­ми и, в частности, сформировать систему доступа к документам персонала. Гриф конфиденциальности или гриф ограничения доступа к традиционному, машиночитаемому или электронному документу представляет собой реквизит (элемент, служебную отметку, помету, пометку) формуляра документа, свидетельствующий о конфиден­циальности содержащихся в документе сведений и проставляемый на самом документе и (или) сопроводительном письме к нему. Информация и документы, отнесенные к коммерческой тайне, имеют несколько уровней грифа ограничения доступа, соответ­ствующих различным степеням конфиденциальности информации.

Первый, массовый, уровень — грифы «Конфиденциально», «Кон­фиденциальная информация». Не следует ставить гриф «Коммер­ческая тайна», так как грифом обозначается не вид тайны, а харак­тер ограничения доступа к документу.

Второй уровень достаточно редкий — грифы «Строго конфи­денциально», «Строго конфиденциальная информация», «Конфи­денциально. Особый контроль».

Этот гриф присваивается доку­менту лично первым руководителем фирмы, им изменяется или отменяется. Исполнение, использование и хранение документов с этим грифом также организуется первым руководителем с возможным привлечением руководителя службы КД.

Исполнителям документы с этим грифом не передаются. На документах, содержащих сведения, отнесенные к служеб­ной тайне, ставится гриф «Для служебного пользования» или «Кон­фиденциально». Гриф ограничения доступа, указываемый на документе, пишет­ся полностью и не сокращается. Под обозначением грифа указывает­ся номер экземпляра документа, срок действия грифа и иные усло­вия его снятия.

Гриф располагается в соответствии с ГОСТ Р 6.30-97 на первом и титульном листах документа, а также на обложке дела (тома) в правом верхнем углу. На электронных документах и доку­ментах, записанных на любых машинных носителях, гриф обозна­чается на всех листах.

Ниже грифа или ниже адресата могут обозна­чаться ограничительные пометы типа: «Лично», «Только в руки», «Только адресату», «Лично в руки» и др. При регистрации конфи­денциальных документов к его номеру добавляется сокращенное обо­значение грифа конфиденциальности, например: № 37к, 89ск, 97дсп. Документы и информация, конфиденциальные в целом (на­пример, документация службы персонала, службы безопасности, документы, отнесенные к профессиональной тайне, и т.д.), как правило, не маркируются, потому что в полном объеме обладают строгим ограничением доступа к ним персонала.

На ценных, но неконфиденциальных документах может про­ставляться помета (отметка, надпись, штамп), привлекающая осо­бое внимание к сохранности таких документов. Например: «Соб­ственная информация фирмы», «Информация особого внимания», «Копии не снимать», «Хранить в сейфе» и др.

Может ставиться штамп, что данная информация без согласия фирмы не может быть использована в каких-либо коммерческих целях и помино­вании надобности должна быть возвращена собственнику. Гриф или штамп обязательно проставляются при направлении конфи­денциальной для фирмы информации в государственные учрежде­ния, которые обязаны держать ее в тайне.

Гриф конфиденциальности присваивается документу:

• исполнителем при подготовке к составлению проекта документа;

• руководителем структурного подразделения (направления дея­тельности) или руководителем фирмы при согласовании или подписании документа;

• работником службы КД при первичной обработке поступа­ющих документов, если конфиденциальный для фирмы до­кумент не имеет грифа ограничения доступа.

Изменение или снятие грифа конфиденциальности документа производится при изменении степени конфиденциальности и ценности содержащихся в нем сведений. Основаниями для этих дей­ствий являются: соответствующая корректировка перечней кон­фиденциальных сведений или документов фирмы; истечение уста­новленного срока действия грифа; наличие события, при котором гриф должен быть изменен или снят (например: опубликование ноу-хау в печати, патентование изобретения и др.); установление факта неправильности присвоения грифа документу.

Руководители всех рангов и исполнители несут персональную ответственность за своевременное и правильное установление, из­менение и снятие грифа конфиденциальности, Фактическое изме­нение или снятие грифа осуществляет должностное лицо, подпи­савшее (утвердившее) документ, а также первый руководитель фирмы. Процедуры изменения и снятия грифа конфиденциальности с документов фирмы должны быть четко регламентированы.

В це­лях своевременного информирования соответствующих должнос­тных лиц о необходимости выполнения этих процедур сотруд­ник службы КД должен регулярно просматривать учетные карточки или инвентарные описи конфиденциальных документов и выяв­лять те документы, по которым могут быть изменены характерис­тики ограничения доступа. При изменении или снятии грифа пол­номочное должностное лицо делает отметку на самом документе и в сопроводительном письме путем зачеркивания грифа или напи­сания нового, указания основания для выполнения этого действия и проставления подписи и даты. В соответствии с этой отметкой делаются необходимые записи в учетной форме документа.

После снятия грифа документ передается в службу открытого делопроиз­водства фирмы. При необходимости об изменении или снятии гри­фа конфиденциальности с документа сообщается заинтересован­ным фирмам и предприятиям. Другим принципиально важным вопросом, решаемым забла­говременно руководством фирмы, службой КД и исполнителями, т.е. до начала составления текста документа, является определение необходимости предварительной регистрации носителя (листов бу­маги, специальных тетрадей и блокнотов с отрывными листами, листов ватмана, фотопленки, магнитных носителей и т.п.), на ко­тором будет формироваться черновик и беловик документа.

Назначение учета носителей конфиденциальной информации состоит в том, чтобы обеспечить безопасность информации, конт­роль за ней не только в подлиннике документа, но и во всех черновых материалах, вариантах и редакциях документа, отдель­ных записях и подготовительных материалах. На чистом носителе информации ставится избранный гриф конфиденциальности бу­дущего документа.

Носителями документированной конфиденциальной информа­ции могут быть:

• для традиционных текстовых документов — специальный блокнот с отрывными листами и корешком, выполняющим функцию учета листов, нанесения отметок о целевом их использовании; рабочая тетрадь для больших по объему документов; отдельные пронумерованные листы бумаги, ти­пографские формы и бланки документов;

• для чертежно-графических документов — пронумерованные листы ватмана, кальки, пленки, координатной бумаги и т.п.;

• для машиночитаемых документов — маркированные и прону­мерованные магнитные ленты, диски, дискеты, карты и т.п.;

• для аудио- и видеодокументов — маркированные и прону­мерованные кассеты с магнитной пленкой, лазерные диски, кассеты с кинопленкой и т.п.;

• для фотодокументов — маркированные и пронумерованные кассеты с фотопленкой, фотобумага, микрофиши, слайды, кассеты с микрофотопленкой.

Основные задачи учета носителей конфиденциальной инфор­мации или, как часто их называют в научной литературе, — доку­ментов предварительного учета:

• закрепление факта присвоения носителю категории конфи­денциальности, ограниченного доступа;

• присвоение носителю учетного номера и включение его в справочно-информационный банк для обеспечения контроля за использованием и проверки наличия;

• документирование фактов перемещения носителя между со­трудниками фирмы, закрепление персональной ответствен­ности за его сохранность;

• контроль работы исполнителя над документом и своевре­менного уничтожения носителя или его частей, потерявших практическое значение.

При учете носителей реализуются следующие требования обес­печения защиты информации:

• формирование основы для последующей персональной от­ветственности сотрудника за сохранность носителя, повышенного внимания к нему; • предупреждение возможности нецелевого использования но­сителя или его неправильного хранения;

• формирование грифа конфиденциальности будущего доку­мента;

• предупреждение возможности тайной подмены носителя, изъятия из него или включения в него отдельных частей (листов, кусков фото- , видео - или магнитной пленки), для чего фиксируются технические характеристики носителя (количество листов, длина ленты, наличие склеек и др.);

• предупреждение технической возможности тайной разборки кассет, пеналов, футляров, конвертов и иных оболочек, со­держащих технические носители информации;

• включение носителя в сферу регулярного контроля сохран­ности и местонахождения. В службах КД коммерческих фирм бумажные носители тексто­вой и технической информации ставятся на инвентарный (переч­невый) учет. Специальный учет носителей текстовой информации не ведется.

Кроме того, в этих структурах учет носителей целесооб­разен только на уровне руководства фирмы, так как именно здесь концентрируется вся действительно ценная информация. На уров­не исполнителей документирование элементов конфиденциальной информации ведется на неучитываемых предварительно носителях.

Однако не следует думать, что неучитываемый носитель ~ это любой кусок бумаги, на котором можно фиксировать конфиден­циальные сведения и который затем можно смять и выбросить в мусорную корзину- Неучитываемый носитель — это блокнот или тетрадь с пронумерованными листами, наличием заверительной надписи и росписью целевого использования каждого листа. Обяза­тельно учитываются типовые формы и бланки документов. На чис­тых листах бумаги ставится штамп службы КД, листы нумеруются. У носителя может отсутствовать учетный номер, но в опись доку­ментов, находящихся у исполнителя, он обязательно вносится. Ис­полнитель в любой момент должен быть готов отчитаться об ис­пользовании каждого листа.

В производственных и исследовательских фирмах, обладающих оригинальными технологиями и производственными секретами типа «ноу-хау», конфиденциальные документы на всех уровнях управ­ления целесообразно составлять только на предварительно учтен­ных носителях информации. Обязательному инвентарному учету и маркировке на всех уров­нях управления подлежат магнитные носители информации, для которых любые угрозы представляют значительно большую опасность, чем для бумажных, а обнаружение реализации этих угроз возможно только на основе сложных аналитических наблюдений.

Маркировка предусматривает нанесение на носитель инвентарного номера, даты регистрации, наименования структурного подразде­ления и фамилии исполнителя. Надписи делаются механически стойким красителем. Одновременно этим же веществом окраши­ваются винты и иные детали, скрепляющие корпус кассеты, дискеты или футляра с целью сигнализации об их несанкциони­рованном вскрытии.

Этапы оформления и учета носителей конфиденциальной ин­формации, выдачи их исполнителям и приема от исполнителей выполняются в службе КД как в традиционном, так и автомати­зированном режимах и включают в себя следующие процедуры:

• первичное оформление носителя, в процессе которого выпол­няются специализированные операции, позволяющие в даль­нейшем контролировать подлинность носителя и сохранность всех его элементов;

• традиционный или автоматизированный учет носителя, при котором документируется факт включения носителя в кате­горию носителей ограниченного доступа с присвоением ему инвентарного номера;

• окончательное оформление носителя, в процессе которого учетные данные переносятся на носитель и его составные части для их идентификации;

• выдача учтенного, укомплектованного носителя информа­ции исполнителю, закрепление за исполнителем персональ­ной ответственности за сохранность носителя, его целост­ность и целевое использование;

• выдача исполнителю при необходимости дополнительных уч­тенных листов, форм и бланков;

• прием от исполнителя носителя информации, в процессе которого проверяются комплектность носителя, наличие оп­равдательных отметок за отсутствующие элементы и доку­ментирование факта передачи носителя в службу КД; • ежедневная проверка правильности учета носителей и их на­личия. При работе с исполнителями работник службы КД педантично решает следующие задачи обеспечения защиты информации:

• предотвращение выдачи носителя лицу, не связанному с со­ставлением конкретного документа или исключенному из со­става лиц, допускаемых к данному носителю (составляемому документу);

• выявление факта утраты носителя или его частей, организация поиска носителя и проведения служебного расследования;

• предотвращение нарушения принципа персональной ответ­ственности за сохранность носителя и фиксируемой в нем информации;

• обнаружение факта подмены носителя другим, фальсифи­кации части носителя;

• обнаружение фактов случайной или умышленной порчи но­сителя, изменения формата, нумерации листов, вырывания листов, их загрязнения, склеивания и т.п.);

•предотвращение несанкционированной и неоправданной де­ловой необходимостью передачи носителя между руководи­телями и исполнителями; предотвращение несанкционированного ознакомления посто­ронних лиц с содержанием информации, зафиксированной на носителе, в процессе его выдачи исполнителю и прием от исполнителя.

Следовательно, до начала составления черновика конфиден­циального документа должен быть выполнен ряд принципиально важных технологических этапов обеспечения сохранности тайны фирмы, которые дают возможность в будущем свести к миниму­му риск утраты ценной информации, чье документирование пока только предполагается. Этап составления текста конфиденциального документа ме­тодически мало отличается от аналогичной творческой, формально­логической и технической работы, проводимой при формирова­нии содержания открытого документа.

Однако исполнителю сле­дует всегда помнить, что конфиденциальная информация доку­ментируется только при наличии серьезных объективных потреб­ностей, а не субъективного желания сотрудника фирмы. Конфи­денциальные документы составляются в строго определенных слу­чаях, например: когда процесс или результат какой-то работы подлежит обязательному отражению в конкретных документах (обязательному документированию) или когда наличие этих до­кументов или переписки диктуется реальной необходимостью, т.е. отсутствием условий для решения конфиденциального вопроса путем личного (но не телефонного) общения между парт­нерами.

Работникам службы КД необходимо знать, что контроль за ра­ботой персонала фирмы с любыми конфиденциальными докумен­тами, особенно в процессе документирования конфиденциальной информации, — это одна из главных их задач. Ответственное отно­шение сотрудников фирмы к своим обязанностям в значительной степени гарантирует сохранность тайны фирмы даже при отсутствии дорогостоящих и современных технических средств защиты конфи­денциальной информации.

Составление текстов особо ценных конфиденциальных доку­ментов обычно централизуется на уровне руководства фирмы. Ме­нее значимые конфиденциальные документы по отдельным функ­циональным вопросам составляются децентрализованно руководи­телями структурных подразделений (направлений деятельности) фирмы и иногда допущенными к этой работе исполнителями (опытными менеджерами, экспертами).

Любые черновики, варианты, редакции конфиденциальных документов (в том числе электрон­ных), относящиеся к ним материалы, записи, записки и т.п., составляются на заблаговременно подготовленных носителях.

При документировании конфиденциальной информации сле­дует учитывать, что:

• объем включаемых в документ конфиденциальных сведений должен быть минимальным и определяться реальной ситуа­цией;

• документ всегда должен касаться только одного вопроса (темы), что важно не столько для быстрого доведения документа до исполнителя, сколько для обеспечения четкого функциони­рования системы доступа персонала к конфиденциальной ин­формации, необходимой только данному сотруднику, и предотвращения несанкционированного ознакомления сотруд­ников фирмы и иных лиц с излишней информацией;

• необходимо заблаговременно предусмотреть, чтобы сводные плановые, организационные, распорядительные (особенно при­казы по основной деятельности), отчетные и другие подобные документы, составляемые в виде сложных многоадресных схем текстовой части заданий и исполнителей, в полном объеме не рассылались по подразделениям и исполнителям; такие

Доку­менты доводятся до исполнителей избирательно, в виде со­ставленных в рамках этих документов функциональных персо­нифицированных приложений-заданий или отдельных доку­ментов; документы, сохраняющие исторически сложившуюся сложную, традиционную многостраничную форму текста, яв­ляются серьезным каналом утраты ценной информации;

• информация, относящаяся к тайне фирмы, должна быть мак­симальным образом локализована в конкретной части доку­мента, его разделе, приложении, отдельной дискете, элект­ронном массиве с усложненной системой доступа (напри­мер, большой по объему неконфиденциальный документ может иметь раздел, выделенный в отдельную часть и со­держащий комплекс информации ограниченного доступа);

• включаемые в документ конфиденциальные фотоиллюстра­ции, графики, схемы и т.п. наклеиваются на учтенные листы. их количество оговаривается в сопроводительном письме или специальной записи;

• не допускается снимать копии и делать выписки из ранее изданных конфиденциальных документов без разрешения со­ответствующего должностного лица или организации-автора;

• конфиденциальные показатели (формулы, выводы, резуль­таты наблюдений, опытов, описания технологических процессов и т.п.) должны фиксироваться в документе только один раз; при необходимости повторного их описания делает­ся ссылка на документ, в котором они были ранее отражены;

• в неконфиденциальных документах не допускаются намеки на наличие конфиденциальных сведений или их описание в произвольной форме;

• сопоставление плановых и отчетных показателей деятельнос­ти фирмы, результаты перспективных маркетинговых иссле­дований, аналитические выводы по производству и продаже продукции, параметры новой технологии, характеристики ноу-хау и т.п. допускается документировать и хранить только на уровне первого руководителя фирмы в документах, делах, базах данных с грифом «Строго конфиденциально»;

• не допускается включение в неконфиденциальные докумен­ты сведений, составляющих интеллектуальную собственность или коммерческую тайну других фирм или лиц (даже при отсутствии соответствующего пункта в договоре о сотрудни­честве);

• для обеспечения высокого уровня конфиденциальности до­кументов, пересылаемых обычной почтой, передаваемых по незащищенным каналам связи и хранящимся в компьютерах, целесообразно решить вопрос о шифровке информации. Документирование конфиденциальной информации это более сложный процесс по сравнению с аналогичной работой по состав­лению открытого документа, что определяется объективной необ­ходимостью создать условия для обеспечения сохранения в тайне сведений, включаемых в документ.

Следовательно, подготовка проекта конфиденциального до­кумента представляет собой трудоемкий процесс из-за необходи­мости выполнения дополнительных вспомогательных этапов, не свойственных аналогичной работе над открытым документом. Эти этапы имеют важное значение для обеспечения защиты инфор­мации при подготовке конфиденциального документа и предус­матривают установление грифа конфиденциальности будущего до­кумента, оформление и учет его носителя.