Структура службы безопасности предприятия схема

Функции и структура службы безопасности предприятия

Для обеспечения эффективной деятельности предприятия служба безопасности осуществляет следующие основные функции:

1. Организационная — изучение структуры и функций подразделений предприятия в целях идентификации рисков, возникающих при их осуществлении и соответствующей расстановки сил и средств безопасности.

2. Хозяйственная — участие службы безопасности в определении «оптимальных» для обеспечения безопасности предприятия сил и средств, а также их финансового обеспечения.

3. Административная — подготовка решений по установлению и поддержанию системы мер безопасности, определению полномочий и ответст венности, распределению обязанностей должностных лиц по вопросу обеспечения безопасности предприятия.

4. Кадровая — выявление негативных тенденций, причин и условий напряженности, предупреждение и локализация конфликтов, инструктаж персонала по вопросам безопасности, формирование чувства ответственности за соблюдение установленного режима.

5. Техническая — внедрение технических средств контроля доступа, визуального контроля, охранной и пожароохранной сигнализации, аппарат ных и программных средств обеспечения сохранности конфиденциальной информации.

6. Учетная — фиксирование и систематизация данных о внутренних и внешних угрозах безопасности предприятия.

7. Контрольная — контроль соблюдения персоналом предприятия режимных требований, выявление их нарушений и принятие мер к нарушителям.

8. Аналитическая — анализ состояния безопасности предприятия, прогнозирование тенденций ее развития и планирование мер по ее совершенствованию.

Целью деятельности службы безопасности является своевременное выявление и нейтрализация причин и условий, препятствующих реализации предприятием его основной задачи, — получению прибыли и поступательному развитию его капитала. Задачи, стоящие перед службой безопасности предприятия, реализация которых обеспечивает достижение цели службы безопасности предприятия, можно сформулировать следующим образом:

а) Обеспечение защиты целостности собственности предприятия. В соответствии с категориями необходимой защиты должна быть разработана система охраны предприятия, предусматривающая:

v «оптимальное» размещении постов охраны, контрольно-пропускных пунктов, технических средств и средств связи;

v разработку, ввод в действие и поддержание на объектах предприятия пропускного и внутриобъектового режимов (порядок и время пропуска работников, посетителей;

v порядок въезда на охраняемую территорию;

v порядок вывоза/выноса материальных ценностей, готовой продукции или комплектующих);

v разработку документов, регламентирующих административно-правовую основу деятельности по охране имущественных ценностей предприятия;

v доведение требований по вопросам охраны, пропускного и внутриобъектового режима до работников предприятия;

v осуществление контроля исполнения и анализ состояния надежности хранения материальных ценностей предприятия, охраны и внутриобъектового режима;

v проведение служебного расследования по фактам нарушения порядка работы с материальными ценностями, нецелевого использования средств труда и производства, вывода из строя или хищения имущества предприятия;

v организацию взаимодействия с органами безопасности и МВД по вопросам обеспечения безопасности предприятия.

б) Обеспечение безопасности персонала:

v правовое обучение персонала;

v обеспечение защиты персональных данных;

v подготовка персонала к действиям в экстремальных ситуациях;

v обучение персонала мет одам выявления признаков подготовки действий, направленных против них;

v установление практических форм взаимодействия службы безопасности с правоохранительными органами по обеспечению безопасности персонала.

в) Обеспечение защиты конфиденциальной информации:

v формирование обоснованного перечня сведений, отнесенных к конфиденциальной информации предприятия, упрощенно называемой «коммерческой тайной»;

v разработка порядка выделения и от несения информации к категории конфиденциальной;

v разработка положения о защите конфиденциальной информации;

v определение круга работников, имеющих доступ к конфиденциальной информации;

v разработка и введение в действие единого порядка обращения с носит елями конфиденциальной информации;

v установка и оформление документальной ответственности каждого работника, имеющего доступ к конфиденциальной информации, за ее утечку;

v осуществление контроля исполнения требований по обеспечению сохранности сведений, отнесенных к категории конфиденциальных;

v проведение служебных расследований по фактам нарушения режима обращения с носителями конфиденциальной информации или по фактам ее утечки;

v применение различных методов мотивации соблюдения работниками, имеющими доступ к конфиденциальной информации, режима обращения с ее носителями.

г) Обеспечение внешней деятельности предприятия. Вероятнее всего, это самое тонкое место в деятельности предприятия. Поскольку речь идет о том, как наиболее убедительно прорекламировать на рынке свою продукцию, не раскрывая при этом суть и Know- How. Как заключить с клиентом договор, наиболее выгодный для себя, и не оттолкнуть его условиями этого договора? Здесь необходимо:

v юридически грамотное и экономически безопасное информационное обслуживание деятельности предприятия;

v обеспечение надежности корпоративных связей, исключающее контракты с недобросовестными контрагентами;

v участие в подготовке и проведении специальных информационных акций, повышающих репутацию предприятия в глазах партнеров, общественности, органов власти и управления;

v получение аналитическим путем информации о конкурентах с целью выявления подготовки акций «недобросовестной» конкуренции и выработка мер по их нейтрализации;

v организация мер по сбору, оценке и анализу информации в интересах обеспечения стабильной и эффективной деятельности предприятия;

v выявление устремлений к конфиденциальной информации предприятия.

Итак, служба безопасности — это инструмент в руках руководителя предприятия, с помощью которого обеспечивается живучесть предприятия, исключается или снижается риск недостижения предприятием основной цели — получения прибыли.

Структура службы экономической безопасности, как уже говорилось, является специфичной для различных субъектов предпринимательской деятельности. Она зависит от размера фирмы, количества заняты на ней, характера деятельности, роли конфиденциальной информации (коммерческой тайны) и т.п.

Служба экономической безопасности является важнейшим элементом комплексной системы экономической безопасности субъекта предпринимательства. Если предприятие (фирма) небольшое – целесообразнее не создавать собственную службу безопасности, а использовать услуги соответствующих охранных и детективных агентств. В том же случае если предприятие крупное и использует в своей деятельности значительные массивы конфиденциальной информации, то объективно необходимо создание своей службы безопасности.

Приведем примерную структуру службы экономической безопасности предприятия (фирмы). Выделенные блоки непосредственно входят в службу экономической безопасности, а остальные – только в пределах вопросов, находящихся в компетенции СЭБ (рис. 5.1).

Рис. 5.1. Примерная структура службы безопасности

Особое положение в структуре СЭБ занимает группа чрезвычайных ситуаций. Предварительно следует сказать, что фирма, а значит и СЭБ, могут работать в двух режимах – обычном и чрезвычайном. При обычном режиме не возникает серьезных угроз экономической безопасности фирмы, идет профилактическая работа по их предупреждению и деятельность всех подразделений проходит в повседневном ритме. Возникающие проблемы и угрозы носят локальный характер и преодолеваются текущей работой подразделений фирмы, в том числе службой безопасности. При чрезвычайном режиме возникают неожиданные угрозы с высокой или значительной тяжестью последствий. В этом случае руководитель службы безопасности или руководитель фирмы собирает группу чрезвычайных ситуаций (кризисную группу), включающую наиболее квалифицированных в данной проблеме специалистов фирмы, для ее решения. Эта группа работает не постоянно, а лишь по мере необходимости.

Данная структура предусматривает организацию подразделений, занимающихся непосредственной защитой основных объектов угроз и, одновременно, взаимодействие с другими структурными подразделениями фирмы, от деятельности которых в той или иной степени зависит обеспечение экономической безопасности.

Конечно, такая структура не является всеобъемлющей, однако, она может быть использована в качестве основы при создании более развернутой системы экономической (и общей) безопасности.

Практическая деятельность службы экономической безопасности должна основываться на использовании типовых схем, процедур и действий. Прежде всего, следует сказать об общем алгоритме действий, на котором основана работа службы безопасности, который включает последовательность операций (рис. 5.2.).

Система предупредительных мер включает деятельность по изучению контрагентов, анализ условий договоров, соблюдение правил работы с конфиденциальной информацией, защита компьютерных систем и т.д. Эта деятельность осуществляется регулярно и непрерывно. Она обеспечивает защиту экономической безопасности на основе постоянно действующей системе организационных мероприятий.

В итоге формирование корпоративной системы экономической безопасности зависит от размеров предприятия, его экономических, финансовых, производственно-технических, информационных, интеллектуальных, профессиональных, организационных и других возможностей. Как показывает мировой опыт, малые предприятия чаще всего пользуются услугами внешних специализированных организаций: разнообразных консалтинговых и маркетинговых центров, фирм по подбору кадров, т.н. кредитных бюро, оказывающих информационные услуги по проверке деловой репутации партнеров, охранных агентства и пр.

Рис. 5.2. Принципиальная схема функционирования системы

Средние предприятия, как правило, используют комбинированную систему безопасности. С одной стороны, в случае необходимости, получают услуги от внешних организаций, с другой – активно опираются на возможности собственных служб и подразделений, например, юридических и финансовых отделов, служб маркетинга, охраны, кадров, экономического анализа, делопроизводства и т.п. Иногда в целях повышения эффективности деятельности этих служб и подразделений по защите экономических интересов на таких предприятиях создают координирующий орган или назначают руководителя, отвечающего за экономическую безопасность предприятия.

Для крупного предприятия целесообразно создание своей собственной службы безопасности. Как правило, всю деятельность по обеспечению безопасности координирует один из руководителей предприятия.

44. Создание концепции защиты коммерческого предприятия. Структура службы безопасности коммерческого предприятия. Функции, задачи и особенности деятельности Службы безопасности.

БИЛЕТ № 29

Концепция безопасности банка:

• определяет на основе анализа современного состояния безопасности банковской системы в России цели, задачи и способы обеспечения банковской безопасности от криминальных посягательств и иных противоправных деяний;

• рассматривает банк, как объект угроз преступных посягательств и иных противоправных деяний, содержит описание видов преступных посягательств и противоправных деяний (угроз) в банковской сфере и их возможных последствий;

• излагает методы и средства выявления, предотвращения, пресечения и минимизации угроз, а также особенности обеспечения безопасности различных видов банковской деятельности;

• излагает основные направления деятельности государственных органов и Банка России, а также акционерных коммерческих банков и межбанковских объединений в целях обеспечения банковской безопасности в России,

• описывает организационную структуру и принципы построения системы банковской безопасности.

Концепция предназначена для использования в качестве методологической основы при разработке комплекса нормативных правовых, организационных и методических документов, регламентирующих деятельность в области банковской безопасности органов

государственной власти России, Банка России, а также акционерных коммерческих банков.

1.Структура службы безопасности.

Организационно служба безопасности предприятия состоит из следующих структурных единиц :

1.отдел режима и охраны;

2отдел защиты информации;

3инженерно-техническая группа;

4группа безопасности внешней деятельности;

5.пожарная охрана;

6.детективная группа;

7.служба личной охраны;

8.группа защиты от НСД;

9. криптографическая группа;

10.аналитическая группа;

11группа противодействия техническим средствам защиты.

Отдел режима и охраны

Отдел режима и охраны является самостоятельным структурным подразделением службы безопасности и подчиняется начальнику службы безопасности. В его задачи входит:

1) определение перечня сведений, составляющих коммерческую тайну, организация и осуществление мер по обеспечению их безопасности;

2) разработка системы предотвращения несанкционированного допуска и доступа к сведениям, составляющим коммерческую тайну, и разработка соответствующих инструкций;

3) организация и поддержание пропускного режима, организация прохода сотрудников и посетителей в различные зоны доступа;

4) организация охраны аттестованных конфиденциальных помещений;

5) организация личной охраны руководителей и ведущих сотрудников, обеспечение безопасности транспортировки документов;

6) наблюдение за обстановкой вокруг и внутри объекта;

7) контролирование работоспособности элементов защиты в повседневных и в особых условиях (стихийные бедствия, поломки, аварии, беспорядки и т. п.).

Отдел защиты информации

Отдел специальной защиты предназначен для организации и обеспечения эффективного функционирования системы защиты информации. Основными задачами отдела являются:

1) организация работ по защите документальных материалов;

2) разработка и организация защиты автоматизированных систем обработки информации и электронного документооборота;

3) распределение между пользователями необходимых реквизитов защиты;

4) обучение пользователей автоматизированных систем правилам безопасной обработки информации;

5) принятие мер реагирования на попытки НДС и нарушения правил функционирования системы защиты;

6) тестирование системы защиты и контроль за ее функционированием;

7) устранение слабостей в системе защиты и совершенствование механизмов обеспечения безопасности.

Инженерно-техническая группа

Основной задачей инженерно-технической группы является обеспечение безопасности деятельности предприятия с помощью технических средств защиты. А именно:

1) определение границ охраняемой (контролируемой) территории (зоны) с учетом возможностей технических средств, наблюдения злоумышленников;

2) определение технических средств, используемых для передачи, приема и обработки конфиденциальной информации в пределах охраняемой (контролируемой) территории (зоны);

3) обследование выделенных помещений с целью установления потенциально возможных каналов утечки конфиденциальной информации через технические средства, конструкции зданий и оборудования;

4) выявление и оценка степени опасности технических каналов утечки информации;

5) разработка мероприятий по ликвидации (локализации) установленных каналов утечки информации организационными, организационно-техническими или техническими мерами, используя для этого физические, аппаратные и программные средства и математические методы защиты.

Группа безопасности внешней деятельности

Сотрудники группы безопасности внешней деятельности разрабатывают и проводят специальные мероприятия по изучению окружения объекта (конкуренты, посетители, клиенты и т. д.):

1) изучают торгово-конъюнктурные ситуации в пространстве деятельности учредителей, партнеров, клиентов и потенциально возможных конкурентов;

2) проводят ситуационный анализ текущего состояния финансово-торговой деятельности с точки зрения прогнозирования возможных последствий, могущих привести к неправомерным действиям со стороны конкурирующих организаций и предприятий;

3) собирают и обрабатывают сведения о деятельности потенциальных и реальных конкурентов для выявления возможных злонамеренных действий по добыванию охраняемых сведений;

4) определяют возможные направления и характер злоумышленных действий со стороны специальных служб промышленного шпионажа против предприятия, его партнеров и клиентов;

5) ведут учет и анализ попыток несанкционированного получения коммерческих секретов конкурентами;

6) определяют платежеспособность юридических и физических лиц, их возможности по своевременному выполнению платежных обязательств.

Для обеспечения эффективной работы службы безопасности необходимо отразить основные организационные вопросы в соответствующих инструкциях и распоряжениях. В них в первую очередь должны быть определены:

-должностные обязанности сотрудников службы безопасности, их права и меру ответственности;

-правила взаимодействия сотрудников службы безопасности с другими подразделениями предприятия;

-правила доступа и разграничения доступа к информации и материальным объектам;

-мероприятия по обеспечению контроля и функционирования системы безопасности объекта;

-меры реагирования на нарушение режима безопасности;

-планирование и организация восстановительных работ.

Создание службы информационной безопасности, организационная структура и основные функции.

На схеме представлена совокупность действий по разработке рациональной структуры и организационной поддержке службы информационной безопасности.

Для того, чтобы разработать рациональную структуру службы информационной безопасности на предприятии, достаточную по составу и оснащению средствами управления безопасностью, необходимо тщательно проанализировать избранную политику безопасности, соотнести вероятные угрозы и потери в случае их реализации с эффективностью системы защиты информации и финансовыми затратами на их реализацию. Только после этого руководство предприятия сможет обоснованно принять решение на создание соответствующей службы информационной безопасности.

К задачам службы безопасности предприятия относятся:

определение перечня сведений, составляющих коммерческую тайну, а также круга лиц, которые в силу занимаемого служебного положения на предприятии имеют к ним доступ;
определение участков сосредоточения сведений, составляющих коммерческую тайну; технологического оборудования, выход из строя которого (в том числе уязвимого в аварийном отношении) может привести к большим экономическим потерям;
формирование требований к системе защиты в процессе создания и участие в проектировании системы защиты, ее испытаниях и приемке в эксплуатацию;
планирование, организация и обеспечение функционирования системы защиты информации;
распределение между пользователями необходимых реквизитов защиты, включая установку (периодическую смену) паролей, управление средствами защиты коммуникаций и криптозащиту предаваемых, хранимых и обрабатываемых данных;
координация действий с аудиторской службой, совместное проведение аудиторских проверок, контроль функционирования системы защиты и ее элементов, тестирование системы защиты;
организация обучения сотрудников СИБ в соответствии с их функциональными обязанностями; обучение пользователей АС правилам безопасной обработки информации;
определение круга предприятий, связанных с данным кооперативными связями, на которых возможен выход из-под контроля сведений, составляющих коммерческую тайну предприятия; выявление лиц на предприятии и предприятий (в том числе иностранных), заинтересованных в овладении коммерческой тайной;.
расследование происшедших нарушений защиты, принятие мер реагирования на попытки НСД к информации и нарушениям правил функционирования системы защиты;
выполнение восстановительных процедур после фактов нарушения безопасности;
изучение, анализ, оценка состояния и разработка предложений по совершенствованию системы обеспечения информационной безопасности предприятия; внедрение в деятельность предприятия новейших достижений науки и техники, передового опыта в области обеспечения информационной безопасности.
совместная работа с представителями других организаций по вопросам безопасности - непосредственный контакт или консультации с партнерами или клиентами;
постоянная проверка соответствия принятых в организации правил безопасной обработки информации существующим правовым нормам, контроль за соблюдением этого соответствия.

Дополнительно в обязанности сотрудников СИБ входит исполнение директив вышестоящего руководства, участие в выработке решений по всем вопросам, связанным с процессом обработки информации с точки зрения обеспечения его защиты. Более того, все их распоряжения, касающиеся этой области, обязательны для исполнения сотрудниками всех уровней и организационных звеньев.

Состав и размер группы безопасности (СИБ) зависят от конкретного предприятия и задач, которые ставятся перед ней.

Существует несколько вариантов штатного расписания такой службы. Один из них может быть таким:

заместитель директора по безопасности и защите информации;
администратор безопасности АС - штатный сотрудник отдела защиты информации;
администратор системы - штатный сотрудник отдела автоматизации;
администраторы групп - штатные сотрудники подразделений, эксплуатирующих АС;
менеджеры безопасности;
операторы

Эта схема используется в большинстве организаций, серьезно заботящихся о безопасности информации. Надежность такой структуры СИБ обусловлена тем, что защитой информации занимается подразделение специалистов, несущих непосредственную ответственность за свою работу.

Несмотря на то, что обязанности и ответственность сотрудников службы информационной безопасности варьируются от организации к организации, можно выделить несколько основных положений, которым должны соответствовать функциональные обязанности во всех учреждениях.

Варианты организации служб информационной безопасности представлены на последующих схемах.

Организационно группы СИБ должны быть обособлены от всех отделов или групп, занимающихся управлением самой системой, программированием и другими относящимися к системе задачами во избежание возможного столкновения интересов.

Для эффективной работы Службы информационной безопасности необходима соответствующая административная поддержка, заключающаяся в отражении основных положений принятой политики безопасности в соответствующих Инструкциях и Распоряжениях. В них в первую очередь должны быть определены:

должностные обязанности групп пользователей;
правила доступа (разграничения доступа) к информации;
мероприятия по обеспечению контроля и функционирования системы защиты информации;
меры реагирования на нарушение режима безопасности;
планирование и организация восстановительных работ.

Для обеспечения успешной работы СИБ необходимо определить права и обязанности Службы, а также правила ее взаимодействия с другими подразделениями по вопросам защиты информации на объекте.

Организационно-правовой статус СИБ определяется следующим образом:

численность службы должна быть достаточной для выполнения всех перечисленных выше функций;
служба должна подчиняться тому лицу, которое в данном учреждении несет персональную ответственность за соблюдение правил обращения с защищаемой информацией;
штатный состав службы не должен иметь других обязанностей, связанных с функционированием АС;
сотрудники службы должны иметь право доступа во все помещения, где установлена аппаратура АС и право прекращать автоматизированную обработку информации при наличии непосредственной угрозы для защищаемой информации;
руководителю службы должно быть предоставлено право запрещать включение в число действующих новые элементы АС, если они не отвечают требованиям защиты информации;
службе информационной безопасности должны быть обеспечены все условия, необходимые для выполнения своих функций.

Существуют различные варианты детально разработанного штатного расписания групп, включающие перечень функциональных обязанностей, необходимых знаний и навыков, распределение времени и усилий. При организации защиты существование детально разработанных обязанностей сотрудников СИБ совершенно необходимы.

Ключевой (а иногда и единственной) фигурой в службе информационной безопасности является администратор безопасности (АБ).

Администратор безопасности - лицо в своем роде исключительное. Он должен быть представительным, коммуникабельным, иметь возможность по взаимодействию с любыми подразделениями и должностными лицами организации для более эффективного выполнения своих обязанностей.

Рассмотрим аспекты его деятельности более подробно.

27. Служба безопасности объекта. Типовая структура службы безопасности.

Задачей службы безопасности является защита объекта от различного рода угроз. Деятельность службы безопасности подразделяется на следующие виды: защита конфиденциальной информации организации, физическая охрана, защита компьютерной информации. Дополнительными задачами службы безопасности могут являться: разведывательная и контрразведывательная деятельность, проверка кадрового состава предприятия.

Исходя из основной деятельности, служба безопасности подразделяется на несколько отделов (обобщенная структура СБ):

отдел физической охраны и режима (отдел обеспечения режима);

информационно-аналитический отдел

инженерно-технический отдел (отдел защиты компьютерной информации)

отделение по работе с персоналом (отдел психологической безопасности)

отделение по работе с правоохранительными органами (на больших предприятиях)

Функциями отдела физической безопасности являются:

- обеспечение физической безопасности сотрудников и материальных ценностей;

- обеспечение пропускного и внутриобъектового режима.

Основной функцией отдела защиты информации является предотвращение утечки конфиденциальной информации организации.

Функцией отдела защиты компьютерной информации является предотвращение утечки конфиденциальной информации со средств вычислительной техники компании.

Функциями отдела психологической безопасности является проверка благонадежности сотрудников и защита от внутренних нарушителей.

28. Организация пропускного и внутри объектового режимов.

Организационные меры ЗИ - комплекс мероприятий по ЗИ, направленный на регламентацию деятельности персонала в процессе обработки информации

Основные цели организационных мер защиты:

Обеспечение правильности функционирования механизмов защиты

Регламентация автоматизированной обработки информации

Основные задачи организационной защиты на объекте:

Защита от НСД (от не санкционированного доступа)

Защита информации от утечки по техническим каналам

Защита информации от незадекларированных возможностей (Например, от вредоносного программного обеспечения)

Защита информации от ИТР (от иностранных технических разведок)

Основные организационные мероприятия по созданию и обеспечению функционирования комплексной системы защиты информации

Разовые мероприятия

Мероприятия, однократно проводимые и повторяемые только при полном пересмотре принятых решений

Эпизодические мероприятия

Мероприятия, проводимые при осуществлении или возникновении определенных изменений в защищаемой системе или внешней среде

Периодически проводимые мероприятия

Постоянно проводимые мероприятия

К разовым мероприятиям относятся:

Мероприятия по созданию научно-технической и методологической основы защиты системы, в том числе концепции и руководящие документы

Мероприятия, осуществляемые при проектировании, строительстве и оборудовании объектом

проведение специальных проверок всех технических средств

разработка и утверждение функциональных обязанностей должностных лиц

мероприятия по разработке правил управления доступом к ресурсам системы

организация пропускного режима на предприятии и в отдельных помещениях

создание подразделений по защите информации

К эпизодическим мероприятиям относятся:

мероприятия, осуществляемые при кадровых изменениях в составе персонала

мероприятия, осуществляемые при ремонте и модификации оборудования, ПО

и т.д.

К периодически проводимым мероприятиям относятся:

распределение / разграничение реквизитов разграничения доступа (раздача паролей)

анализ системных журналов и принятие мер по обнаруженным недостаткам и проблемам

анализ состояния и оценка эффективности мер защиты информации

мероприятия по пересмотру состава и перестроению системы защиты

и т.д.

К постоянно проводимым мероприятиям относятся:

мероприятия по обеспечению достаточного уровня физической защиты всех элементов объекта (охрана, в том числе и противопожарная, сохранность съемных носителей)

явный или скрытый контроль за работой персонала системы

контроль за реализацией выбранных мер защиты

постоянно осуществляемый анализ состояния системы защиты