Работа с персоналом предприятия

Практическая реализация всех положений сформированной политики информационной безопасности потребует от предприятия длительных практических усилий. Одним из основных и наиболее сложных направлений работы является работа с персоналом, цели которой:

• · Отбор и предварительная проверка персонала, принимаемого на работу
• · Обучение сотрудников
• · Психическая подготовка с целью противостояния методам т.н. «специальной инженерии»

В одной из своих книг известный специалист по проблемам информационной безопасности Брюс Шнайер заметил, что в общей системе мер по защите информации «математический аппарат является безупречным, компьютеры же уязвимы, сети вообще паршивы, а люди просто отвратительны». Это высказывание наиболее ярко и наглядно демонстрирует важность целенаправленных мероприятий по подбору, расстановке и работе с кадрами предприятия с той целью, что бы в работе инф систем не возникало «узких мест». Основной причиной, определяющей значимость человеческого фактора в общей системе защиты информации значимость человеческого фактора в общей системе защиты информации, является то, что при всей развитости современных средств автоматизации информационные системы по-прежнему представляют собой человека-машинные комплексы и их систем функционирования во многом зависит от работы отдельных людей. Именно по этой причине неадекватное обращение служащих предприятия с компонентами информационной системы может нанести серьезный ущерб информационной безопасности при наличии детально проработанных политик безопасности и высокоэффективных программных и аппаратных средство защиты информации.

Начальная стадия работы — подбор и расстановка кадров — может иметь насколько аспектов. В первую очередь, основным критерием для назначения на определение должности, связанные с работой со сведениями, которые составляют государственную тайну, являются получение соответственных форм допуска. В соответствии с требованием действующих нормативно-правовых актов перечень должностей, при назначении на которые необходимо оформлять специальный допуск, устанавливается руководителем предприятия, несет ответственность за обеспечение режима секретности, а с другой — с тем, что для выполнения функциональных обязанностей сотрудники предприятия необходимо работать с определенными сведениями и, соответственно, иметь определенный уровень допуска.

Также при подборе и расстановке кадров могут применяться менее форматизированные методы. Это могут быть различные методики психологической оценки, включающей в себя:

• · Анализ мотивационных аспектов личности;
• · Оценку уровня познавательных способностей личности
• · Оценку активности личности в достижении поставленной цели, умение объективно оценивать ситуацию и людей, умение вырабатывать оптимальную стратегию поведения.

Такого рода анализ может быть необходим как в отношении специалистов и руководителей, которые работают с информацией, подлежащей защите.

Помимо тщательного подбора, одной из важных основ работы с персоналом является его обучение способам обеспечения информационной безопасности и безопасной работе с информационными системами. В общем случае сотрудник предприятия не может быть допущен к выполнению своих должностных обязанностей и работе с информационными системами до тех пор, пока он не пройдет обучение, по вопросам информационной безопасности и не будет:

• · Детально ознакомлен со всем действующими на предприятии требованиями и общими правилами;
• · Полностью обучен методам и приемам обеспечения информационной безопасности, необходимым для выполнения его должностных обязанностей;
• · Ознакомлен со всеми возможными мерами ответственности

В завершении всей предварительной работы сотрудник должен дать все необходимые обязательства о неразглашении конфиденциальных данных, а так же письменно засвидетельствовать, что он полностью ознакомлен с основными положениями политики безопасности. Также одним из инструментов обучения персонала предприятия может быть периодическое ознакомление персонала с реальными приемами недавно произошедших инцидентов, связанных с информационной безопасностью. Кроме того, дополнительное обучение персонала предприятия может производиться в случаях:

• · Внедрения новых автоматизированных информационных систем;
• · Изменения бизнес — процессов предприятия;
• · Изменений требования политик безопасности

Также доступ к интегрированным информационным системам потенциально может дать доступ к ранее недоступной информации и предоставить ранее отсутствовавшие возможности влиять на различные информационные потоки.

В процессе обучения определенную значимость может иметь разъяснение рациональных причин, по которым предприятие принимает именно такую политику безопасности. Это может служить как для лучшего понимания и усвоения положений политики безопасности, так и для определенной разрядки психологической напряжённости, неизбежно возникающей при принятии ограниченных мер и возложения дополнительных обязанностей, необходимость которых не всегда очевидна и понята как рядовым сотрудникам, так и специалистам.

Отдельным направлением обучения и повышения квалификации может быть развитие у персонала компании навыков противодействия методам т.н. социальной инженерии (социотехникой). Использование для незаконного проникновения в информационные системы методов социальной инженерии связанно с т. н «человеческим фактором», который представляет собой совокупность определенных психологических склонностей и особенности мышления и поведения, которые свойственны практически всем людям, к числу таких склонностей и особенностей можно отнести:

• · Неспособность адекватно оценить опасность в некоторых ситуациях
• · Специфическое отношение к редко происходящим событиям (притупление внимания)
• · Излишнее доверие и полагание на средства автоматизации
• · Подверженность манипулированию, основная, например, на желание помочь людям и т. д

Именно с использованием некоторых психологических особенностей такого рода осуществляются многие наиболее успешные.

Большую значимость в общей системе мер по преодолению влияния человеческого фактора имеет повседневная работа с персоналом. Помимо обучения персонала и примирения, дисциплинированных мер воздействия, одной из основных задач такой работы являются, постоянное напоминание всем сотрудникам о необходимости соблюдения правил информационной безопасности. Конкретные способы, при помощи которых такие напоминания могут быть сделаны, будут зависеть от предпочтений руководителей предприятия, сложившихся корпоративной культуры, специфики бизнес-процессов и других обстоятельств. Характерными способами такого, как предприятие может постоянно напоминать своим сотрудника о необходимости соблюдать осторожность, являются:

• · Размещение и периодическая смена напоминания о необходимости соблюдать требования политики информационной безопасности на предметах, постоянно находящихся в поле зрения
• · Периодическая рассылка соответствующих брошюр, бюллетеней и буклетов, а также и буклетов, а также сообщений по электронной почте
• · Использование голосовой почти и громкой связи для периодической передачи сообщения о необходимости соблюдения правил информационной безопасности и т. п.

Таким образом, комплекс всех организационных мер по работе с персоналом предприятия, включающий в себя систему обучения персонала, систему привлечения нарушителей к ответственности, и постоянное поддержание атмосферы ответственного отношения к вопросам безопасности, долен в определенной мере, уменьшить негативное влияние человеческого фактора на защищённость информационных систем и состояния информационной безопасности.