Методические указания и порядок проведения работы

5.1.Студенты разбиваются на несколько групп, каждая из которых представляет одно из основных подразделений предприятия. Одна из групп является СЗИ предприятия. Все исполнители работы получают статус членов рабочей группы.

5.2. СЗИ разрабатывает опросной лист №1 для проведения 1-ого тура опроса и направляет по одному экземпляру каждому члену рабочей группы. Пример опросного листа приведен в приложении 4.

5.3. Члены рабочей группы вносят в опросные листы предложения для включения в ПП в пределах своей компетенции, руководствуясь сведениями, приведенными в приложении 2. Далее они анализируют свои предложения по нескольким критериям, приведенным в шапке опросного листа, по упрощенной методике: каждое предложение проверяется на соответствие выбранным критериям. Свое мнение «да» или «нет» они проставляют на пересечении столбцов и строк, в последнем столбце отмечают свое решение по каждому из внесенных в опросной лист предложений. Заполненные опросные листы направляются в СЗИ.

5.4. СЗИ по предложениям членов рабочей группы формирует ПП. В процессе формирования предварительного перечня СЗИ проверяет предложения рабочей группы на наличие ошибок и противоречий.

5.5. СЗИ разрабатывает опросной лист №2 для проведения второго тура опроса и направляет по одному экземпляру каждому члену экспертной комиссии (ЭК). В качестве экспертов во втором туре выступают все студенты, за исключением тех, кто вошел в состав СЗИ. Пример опросного листа приведен в приложении 5. Опросной лист представляет собой ПП и набор других критериев для оценки правильности отнесения сведений к составляющим коммерческую тайну. В качестве одного из основных критериев в опросной лист следует включить величину ущерба от разглашения информации.

5.6. Члены ЭК анализируют ПП по выбранным критериям и высказываю свое мнение также, как в п.4.3 за исключением критерия величины ущерба. Величина ущерба оценивается по 3-балльной шкале ущербов с помощью лингвистических переменных [5]:

-низкий ущерб (индекс «Н») – разглашение информации приводит к негативным последствиям, выражающимся в одном или нескольких условиях: небольшая стоимость прямых финансовых потерь; задержки в работе некоторых служб, дезорганизация деятельности на некоторый период; необходимость восстановления информационных ресурсов.

-средний ущерб (индекс «С») - разглашение информации приводит к заметным негативным последствиям, выражающимся в одном или нескольких условиях: ощутимая стоимость прямых финансовых потерь; задержки в работе некоторых служб, дезорганизация деятельности на значительный период; потеря репутации, что может привести к снижению заказов и негативной реакции деловых партнеров;

Содержание отчета по работе

В качестве отчета по работе разрабатывается Положение о порядке формирования перечня сведений, составляющих коммерческую тайну, для данного предприятия.

Положение должно включать в себя следующие разделы:

1). Вводная часть. Во введении указывается цель и задачи Положения, и приводится перечень основных законодательных и распорядительных документов, используемых при разработке Положения.

2) Термины и определения. Сотрудники предприятия, которые будут привлекаться к работе по составлению предварительного и окончательного перечней, как правило, имеют весьма смутное представление об основах защиты информации и профессиональной терминологии. Поэтому, в этом разделе в сжатой и доступной форме должны быть приведены понятия коммерчески ценной информации, коммерческой тайны, режима коммерческой тайны и т.д. Для удобства последующего изложения материала можно привести и принятые сокращения наиболее часто применяемых терминов.

3). Общие требования к составлению Перечня. В разделе описываются требования и критерии отнесения сведений к составляющим коммерческую тайну, в приложениях к нему необходимо привести примерный перечень сведений, которые могут составить коммерческую тайну и перечень сведений, которые не могут составлять коммерческую тайну на основании Закона о коммерческой тайне.

4) Порядок формирования предварительного Перечня. Четко и однозначно описывается процедура формирования предварительного перечня членами рабочей группы (или первой командой экспертов). Отметим следующее: в простейшем случае можно ограничиться указанием, что члены рабочей группы отбирают сведения в предварительный перечень в пределах своей компетенции, руководствуясь примерным перечнем сведений и здравым смыслом.

Однако, методически более правильным является экспертного подхода, когда экспертам предлагают не просто выбрать какие-то пункты из примерного перечня или предложить свои пункты, но и оценить их по заданным критериям. Анализ предложений рабочей группы и формирование предварительного перечня целесообразно возложить на ответственного исполнителя. Последний направляет предварительный перечень и опросные листы членов рабочей группы председателю экспертной комиссии. Предварительный перечень является исходной заготовкой для аналитической работы, которую проводит экспертная комиссия.

5) Порядок формирования окончательного перечня. Раздел должен содержать описание процедуры работы экспертной комиссии. Эксперты проводят повторный анализ каждого пункта предварительного Перечня на соответствие заданным критериям. Для этого, как и в предыдущем случае, рекомендуется разработать опросной лист для членов экспертной комиссии. Каждый из членов экспертной комиссии независимо от других должен высказать свое мнение по каждому из пунктов предварительного перечня, подтвердить или привести свои оценки, дать предложения по срокам засекречивания. Кроме того, экспертная комиссия должна коллегиально решить вопрос об уровнях конфиденциальности, реквизитах грифов конфиденциальности и форме представления окончательного перечня. Уровень грифа конфиденциальности следует определять на основании оценки ущерба: чем больше ущерб, тем выше должен быть гриф конфиденциальности.

Решения экспертной комиссии оформляются протоколами и вместе с проектом перечня направляются на утверждение руководителю предприятия. Если по каким- либо пунктам мнения экспертов не совпадают, то это также должно быть отражено в протоколе. Руководитель предприятия утверждает Перечень, либо возвращает его экспертной комиссии на доработку.

6) Порядок и сроки пересмотра Перечня. В разделе регламентируются сроки и основания для пересмотра Перечня.

К положению приложить разработанный перечень сведений, составляющих коммерческую тайну предприятия «Альфа». Перечень должен быть конкретным и отражать основную деятельность предприятия.