Оперативная деятельность и вопросы конспирации при обеспечении безопасности предпринимательства. Виды и способы совершения экономических преступлений
Уровень внешнеэкономической безопасности государства характеризуется конкурентоспособностью страны на мировых рынках, устойчивостью ее валюты, финансовым положением государства. Внешнеэкономическая безопасность страны определяется также тем, используется ли в двусторонних отношениях практика применения мер, в соответствии с которыми правительства обеих стран идут на равноценные уступки. В международной практике торговли такой порядок именуется как «общность интересов», «одинаковая польза» либо «услуга за услугу». Экономически безопасным для государства является объем иностранных кредитов, который не превышает 70 % объема годового экспорта. В известной степени на внешнеэкономическую безопасность государства влияет уровень «бартеризации» и уровень контроля за экспортно-импортной сферой. Падение цен на экспортные товары и их повышение на товары импорта, введение торгового эмбарго представляют собой прямые угрозы для внешнеэкономической безопасности любой страны. Среди угроз и высокая зависимость от поставки энергетических или иных ресурсов из одной страны, и высокая степень финансовой зависимости от иностранных кредиторов. Кроме всего прочего опасность для внешнеэкономической безопасности страны представляют попытки инвестиций со стороны предпринимательских структур, положение которых в своих странах по тем или иным причинам ухудшилось.
Между степенью экономической безопасности отдельного гражданина, отрасли, государства в целом и степенью защиты интеллектуальной собственности в стране существует прямая связь. Это обусловлено тем, что интеллектуальная собственность имеет коммерческую ценность. Одним из рубежей защиты интеллектуальной собственности является патентование. Патентная защита дает право изобретателям на выплату им вознаграждения в течение периода, на которые выданы исключительные права. Например, в США охранные документы выдаются «первому, кто изобрел», а не «первому, кто зарегистрировал изобретение». Поддержание на должном уровне системы защиты служит стимулом для развития исследований.
Среди многочисленных научных направлений существует наука об экономической безопасности предприятия — экосесент. Экосесент — это экономическое состояние предприятия, устойчивое в пределах критических ограничений против внешних и внутренних изменений финансово-хозяйственной среды, не отнесенных к форс-мажорным обстоятельствам. Экономическая безопасность предприятий определяется прежде всего их производственным потенциалом. При рассмотрении проблемы экономической безопасности очень важно определить, что же является тем универсальным инструментом, который позволяет предприятию уверенно чувствовать себя в рыночной стихии. Немаловажное значение для обеспечения экономической безопасности предприятия имеет наличие на нем квалифицированных экономистов, финансистов и бухгалтеров.
Внешние угрозы бизнесу заключаются в:
— утечке экономической информации;
— деятельности иностранных организаций и фирм, направленной на оказание влияния, выгодного им в плане использования источников сырья, продукции важнейших отраслей в ущерб национальной безопасности страны; содействии ослаблению или даже свертыванию местных производств с конкурентоспособной продукцией в процессе приватизации и конверсии; стимулировании «утечки умов», вывозе из страны капиталов и стратегически важных сырьевых товаров, попытки поставить страну в зависимость от импортного сырья за счет продажи специфического оборудования;
— проникновении в экономику страны международных организованных преступных формирований и их капитала, различного рода авантюристов и мошенников из числа иностранных граждан;
— введении института экономических санкций против отдельной страны или группы стран.
Внутренние угрозы экономической безопасности заключаются в:
— расширении масштабов коррупции в органах государственной власти;
— развитии негативных тенденций в сферах приватизации внешнеэкономической и финансово-банковской деятельности;
— росте экономической преступности;
— незавершенной системе защиты промышленных секретов и научных разработок, обеспечивающих конкурентноспособность продукции, от промышленного шпионажа или несанкционированного приобретения иностранными фирмами;
— обмане предпринимателей недобросовестными партнерами;
— недобросовестной конкуренции;
— возможности диверсионно-террористических акций на объектах жизнеобеспечения;
— прямом вмешательстве государственных структур в хозяйственно-финансовую деятельность предприятий негосударственного сектора.
Экономическая безопасность предприятия может оказаться под угрозой из-за неправомерных или ошибочных действий его филиалов, использующих для заключения сделок имя своего патрона. Предприятиям следует учитывать опасность осуществления расчетов со своими контрагентами из стран, в отношении которых введены экономические санкции.
Концепция формирования системы обеспечения безопасности предпринимательства предусматривает следующую примерную структуру негосударственной безопасности бизнеса:
— правовой комплекс мер;
— страховой комплекс с максимальным количеством обслуживаемых рисков;
— создание и эффективное функционирование фондов финансовой поддержки правоохранительных мероприятий;
— создание своевременного и современного охранного комплекса с учетом особенностей того или иного предприятия или организации;
— технический комплекс, объединяющий ведущие предприятия индустрии безопасности, включающий также систему сертификации управления качеством технических средств;
— редакционно-издательский, научно-исследовательский и образовательный комплексы.
Среди основных направлений можно выделить:
— совершенствование государственно-правового регулирования предпринимательской деятельности и отношений по ее охране;
— создание четкой системы судебной защиты;
— усиление роли страхования предпринимательских рисков;
— формирование полноценного информационно-аналитического обеспечения предпринимательской деятельности и создание действенной системы управления инвестиционными и коммерческими рисками;
— развитие частной охранно-детективной деятельности, подготовка кадров и разработка программ экономической безопасности;
— повышение координации и совершенствование деятельности государственных правоохранительных органов.
К основным угрозам экономической безопасности государства относятся:
— неэффективность системы государственного регулирования национальной экономики;
— наличие структурных диспропорций, монополизма в сфере производства;
— нерешенность проблемы ресурсной и технологической зависимости национальной экономики от других стран;
— обесценивание национальной валюты;
— усиление тенденций экономической изоляции страны от мирового хозяйства;
— отсутствие национальных приоритетов экономического и научно-технического развития;
— бессистемность конверсионных процессов;
— наличие забастовочного движения;
— отток за пределы страны интеллектуальных и материальных ресурсов.
Одной из форм осуществления разведывательной деятельности с целью сбора экономической информации и хищения промышленных секретов являются предварительные переговоры по сути предстоящего сотрудничества, во время которых разведчики под видом предпринимателей собирают предварительную информацию, заключают ничего не стоящие договоры о намерениях, завязывают личные контакты, которые также являются одним из наиболее эффективных каналов утечки информации.
Корпоративная разведка — это фактически вид шпионажа, осуществляемый с целью хищения торговых и промышленных секретов. Рост конкуренции заставляет создавать программы, которые предусматривают посещение производственных мощностей соперников, переманивание сотрудников конкурентов и проведение различного рода опросов и социологических исследований. Дар обнаружения ценной информации в «мутной воде» — большое преимущество. Эффективность разведки могут тормозить контрмеры конкурентов. Лучшая защита — это хорошо подготовленное нападение службы разведки.
Способы хищения промышленных секретов предусматривают:
— утечку секретных сведений в результате нарушения правил эксплуатации средств вычислительной техники;
— неправильное использование паролей, зарегистрированных в автоматизированной системе пользователей для получения доступа к секретной информации;
— проникновение в базы данных, а также утраты сообщений, передаваемых по факсимильным каналам связи;
— доступ посторонних лиц к конфиденциальной информации объектов жизнеобеспечения;
— повсеместное распространение компьютерных вирусов;
— включение в состав средств вычислительной техники специальных технических устройств, осуществляющих регистрирующие и другие враждебные функции;
— отправку фальшивых авизо;
— кражу и уничтожение банковской информации, программного обеспечения систем электронных платежей.
К числу наиболее уязвимых вычислительных сетей относятся:
— автоматизированные информационные системы органов государственного управления, исполнительных государственных структур различного уровня;
— автоматизированные системы управления объектами жизнеобеспечения;
— автоматизированные системы управления войсками;
— системы правоохранительных органов;
— кредитно-финансовая система;
— системы учета и начисления заработной платы на предприятиях и в учреждениях любой формы собственности.
В последнее время получили распространение специальные пленочные покрытия, устанавливаемые на окна и витрины. Эти покрытия обеспечивают выполнение нескольких основных функций: защиту от проникновения, энергоконтроль, дизайн, защиту от радиоподслушивания и съема конфиденциальной информации. Покрыв окна специальными пленками, вы будете в безопасности. Благодаря особому клеящему составу, такая пленка становится частью стекла, образуя прочный и прозрачный щит; через такое стекло очень трудно проникнуть внутрь. По своей прочности некоторые типы таких покрытий способны заменить решетки на окнах. Некоторые типы пленочных покрытий препятствуют несанкционированному дистанционному радиопрослушиванию с улицы разговоров в помещении, а также съему коммерческих и секретных данных с компьютеров, факсов и других электронных носителей информации.
В деловом мире абсолютной преданности не бывает, как не бывает абсолютной взаимной любви. Там, где ведётся нечестный бизнес, служба безопасности тоже должна быть «замазанной», иначе она становится для руководителя предприятия угрозой, едва ли не большей, чем государственная правоохранительная система.
Одним из современных направлений техники обеспечения безопасности являются периметральные кабельные системы безопасности. Основная идея состоит в том, что по периметру охраняемой территории, по стенам, крышам зданий располагается чувствительный кабель, который представляет собой по сути дела распределенный датчик, сигнализирующий о попытках проникновения. Система построена по зонному принципу — кабель разбивается на куски и устанавливается на отдельных участках ограждения. Этот сенсорный кабель является сердцем системы кабельной охраны. Он представляет собой довольно сложную конструкцию. Кабель обычно разбивают на секции порядка 100–200 м, что позволяет довольно точно локализировать место попытки вторжения. Интересная особенность системы состоит в том, что на каждом участке происходит предварительный анализ сигнала с помощью специального электронного анализатора. Ото необходимо для того, чтобы минимизировать вероятность ложных срабатывании. Существует вариант кабеля, который объединяет в себе два средства защиты: физическую и электронную. Чувствительный сенсорный кабель устанавливается внутри жесткой оболочки, наружная часть которой представляет собой современную колючую проволоку.
Функции охранной фирмы предусматривают:
— охрану объектов;
— перевозку грузов;
— перегон автомобилей с полной страховой гарантией;
— инкассацию денежных средств;
— личную охрану граждан;
— проверку платежеспособности коммерческого партнера;
— фельдегерские услуги;
— охрану различных мероприятий;
— разведывательные и контрразведывательные мероприятия;
— юридический консалтинг.
Выявить агента чужой фирмы ничуть не легче, чем установить иного разведчика.
Экономить можно на чем угодно, только не на собственных службах безопасности.
В состав компьютерных преступлений входят:
— использование или попытка использования компьютера, вычислительной системы или сети компьютеров с целью получения денег, собственности или услуг под фальшивыми предлогами, с использованием ложных обещаний и выдачей себя за другое лицо;
— преднамеренное несанкционированное действие, имеющее целью изменить, повредить, уничтожить или похитить компьютер или содержащиеся в нём системы математического обеспечения, программы или информацию;
— преднамеренное несанкционированное нарушение связи между компьютерами или сетями компьютеров;
— незаконное использование компьютеров в целях анализа или моделирования преступных действий для их осуществления в компьютерных системах;
— несанкционированное проникновение в информационно-вычислительные сети или массивы информации в корыстных целях;
— хищение системного и прикладного программного обеспечения;
— несанкционированное копирование, изменение или уничтожение информации;
— шантаж, информационная блокада и другие методы компьютерного давления;
— компьютерный шпионаж;
— подделка и фальсификация компьютерной информации;
— разработка и распространение компьютерных вирусов;
— несанкционированный просмотр или хищение информации из банков данных и баз знаний;
— халатность при разработке, создании информационно-вычислительных сетей и программного обеспечения, приводящая к тяжелым последствиям и потерям ресурсов;
— механические, электрические, электромагнитные и другие виды воздействия на информационно-вычислительные системы и линии телекоммуникаций, вызывающие их повреждение.
Наиболее типичными целями таких преступлений являются:
— подделка счетов и платежных ведомостей;
— приписка сверхурочных часов работы;
— фальсификация платежных документов;
— хищение из денежных фондов;
— добывание запчастей и редких материалов;
— кража машинного времени;
— вторичное получение уже произведенных выплат;
— фиктивное продвижение по службе;
— получение фальшивых документов;
— внесение изменений в программы;
— перечисление денег на фиктивные счета;
— совершение покупок с фиктивной оплатой и др.
Методы перехвата информации:
— непосредственный перехват;
— электромагнитный перехват;
— установка микрофона в компьютере с целью перехвата разговоров обслуживающего персонала («жучок»);
— откачивание денег;
— «уборка мусора» — поиск данных, оставленных пользователем.
Методы несанкционированного доступа:
— «за дураком»: дождавшись законного пользователя, правонарушитель входит в дверь вместе с ним;
— «за хвост»: подключение к линии связи законного пользователя и, дождавшись и догадавшись, когда последний заканчивает активный режим, осуществляет доступ к системе;
— «компьютерный абордаж»: проникновение в чужие информационные сети.
Вопрос аутентификации, т. е. проверки подлинности подписи и содержания документа, отчасти может быть разрешен при расшифровке документа. Если письмо зашифровано с неправильным паролем, вы его не сумеете расшифровать. Электронная подпись использует метод шифрования, хотя при этом информация, содержащаяся в сообщении, может оставаться открытой. Метод проставления электронной подписи работает следующим образом. Документ преобразуется в последовательность битов с помощью хэш-функции. Простейший способ хэширования, т. е. получения контрольной суммы, заключается в разбиении электронной версии документа на блоки определенной длины и последующем их сложении в двоичном виде, как при операции с простыми числами. Таким образом, во-первых, осуществляется привязка значения функции к тексту документа, и во-вторых, в дальнейшем проверяется целостность информации в документе. Значение хэш-функции шифруется с помощью личного ключа того, кто подписал документ. Полученная электронная подпись присоединяется к документу и посылается вместе с ним. Получатель с помощью открытого ключа расшифровывает значение хэш-функции и сверяет ее значение с тем, которое получается при повторном хэшировании по тому же алгоритму полученного документа. Если значения совпадают, можно быть уверенным, что данный документ подлинный. Для работы с секретной информацией не используйте криптографических программ, полученных с интернетовских серверов или ВВ8. Вы не сможете оценить, качественный ли продукт вы приобрели и нет ли в нем специальных лазеек для подбора ключа или «троянских коней», т. е. программ, подобных вирусам и помогающих взломщику проникнуть в систему.
Термин «крыша» применяется для определения деятельности государственных или теневых структур по своеобразному прикрытию предпринимательской деятельности. «Крыша» нередко навязывается предпринимателю криминальной структурой в качестве наиболее популярного предлога для взимания с коммерческих структур различного рода поборов. Государственная «крыша» условно подразделяется на официальную (узаконенную) и неофициальную (противозаконную). Неофициальной государственной «крышей» является прикрытие и всяческое содействие бизнесу должностных лиц государственной законодательной и исполнительной власти. Узаконенной «крышей» может быть зашита предпринимателя сотрудниками Государственной службы охраны. Теневая «крыша» в отличие от государственного прикрытия отличается тем, что предлагает клиентам полное сервисное обслуживание: техническую, физическую, юридическую охрану; возврат неплатежей, инкассаторские легальные и нелегальные услуги.
Выбор системы защиты от несанкционированного доступа: порядок действий с учетом имеющихся программных средств.
Если вы обнаружили утечку информации из офиса, прежде всего обратите внимание на телефонные каналы и попытайтесь проанализировать ситуацию:
— кто может организовать прослушивание телефонных разговоров в офисе?
— с какой целью?
— за кем из ваших сотрудников может осуществляться телефонный контроль?
— какая информация может интересовать ваших конкурентов?
— какие телефонные аппараты могут находиться под контролем и в какое время?
Непосредственные конкуренты могут контролировать телефоны как на работе, так и дома. Без особого труда можно прослушивать все аппараты вашей фирмы, а также телефоны внутренней связи. Обычно для проведения этой работы нанимается организация, устанавливающая специальные подслушивающие устройства либо в самих телефонных аппаратах, либо в распределительных коробках, либо непосредственно на кабелях или проводах связи.
Для противодействия конкурирующим фирмам и преступным группам необходимо определить порядок ведения деловых бесед по телефону, узаконить круг лиц, допускаемых к внутренним секретам фирмы, запретить сотрудникам вести служебные переговоры с домашних телефонов. Для передачи материалов, содержащих коммерческую тайну, надо использовать только устойчивые каналы связи, компьютерные скрэмблеры, предназначенные для шифровки речевых сигналов.
Если вы почувствовали, что за вами установлен контроль, используйте во время беседы систему условностей и сознательной дезинформации. Не называйте фамилию и имя собеседника, если это возможно. Назначая время и место встречи, переходите на условности. Приучите к определенному порядку ведения телефонных переговоров членов вашей семьи. Они не должны сообщать кому бы то ни было информацию о том, где вы находитесь и когда вернетесь домой. При шантаже со стороны преступных групп не бегите тотчас к своему телефонному аппарату, чтобы сообщить об этом в МВД или СБУ. Целесообразно сначала обдумать все, убедиться, что за вами нет слежки, а потом уже позвонить с телефона-автомата или попросить позвонить вашего коллегу или друга.
Обнаружить подслушивающую аппаратуру достаточно сложно. Необходимо предусмотреть следующее: для защиты телефонных каналов связи телефонная распределительная коробка фирмы должна находиться в помещении офиса и контролироваться службой безопасности. Для ремонта телефонных аппаратов приглашайте проверенных специалистов, попросите у него служебное удостоверение. Позвоните на узел связи и удостоверьтесь, что у них действительно работает такой специалист и именно он получил наряд на работу в вашей фирме. Периодически следует привлекать специалистов для контроля телефонных аппаратов и линий связи.
Методика разработки концепции информационной безопасности банка:
— до руководства банка должна быть в соответствующей форме доведена проблематика информационной безопасности;
— следует показать, что классика проблематики основана на серьезных научных исследованиях и практическом опыте;
— необходимо сформулировать полный перечень классических аспектов безопасности и дать возможность осознать, что политика безопасности состоит в индивидуальной расстановке приоритетов;
— необходимо включить правление банка в «соавторы» разработки политики безопасности;
— необходим коллегиальный механизм управления информационной безопасностью. Следует создать Совет, члены которого должны быть проинформированы об угрозах информационной безопасности, стоимости мероприятий по их ликвидации;
— необходимо обеспечить движение от простого к сложному в процессе создания системы безопасности;
— необходимо научить автоматизаторов оперировать сервисами и механизмами безопасности, убедить их в том, что «самоделки» и рационализация всегда менее эффективны;
— следует определить и утвердить «правила и меры», которые должны всеми строго соблюдаться;
— надо двигаться от общего к частному, разделяя политику и программу.
Признаки мошенника и его действия:.
— мошенник, вступивший с вами в контакт, непременно будет добиваться выполнения следующих пунктов:
а) принципиального одобрения его финансовой системы и участия в операциях клиента в качестве кредитора;
б) направления информационного сообщения лицу, которое укажет аферист;
в) получение от клиента письма, адресованного лично мошеннику, его компании либо третьему лицу;
г) обязательного открытия счета в вашем банке, поскольку жулик будет утверждать, что со дня на день ожидает поступления крупной суммы денег;
— отправки так называемого Tested Теlех другому банку (это самый важный момент).
Сотрудники Бюро коммерческих преступлений рекомендуют с особым подозрением относиться к определенным словосочетаниям, которые мошенники часто используют для придания псевдосолидности своим липовым документам. Если вы обнаружите их в предложенном контракте, можете смело обращаться в органы правопорядка: ROLL PROGRAM; KEY TESTED TELEX; MASTER COLATEROL COMMITMENT; PRIME WORLD’S BANK; CUTTING HOUSE; FRESH CUT PAPER; WINDOWTIME; BANK TO BANK TRANSACTION; CUSIP; DOCUMENTARY CREDIT; BANK HARD COPY; ICC 3032 LONDON SHORT FORD; SEASONED PAPER; ONE YEAR ONE DAY; READY; WILLING AND NON CRIMINAL ORIGIN.
Точкой отсчета является понимание того, что существуют три ключевых компонента сетевой безопасности: аутентификация, авторизация и шифрование. Аутентификация позволяет администраторам сети отделить от своей сети посторонних. Обычно это делается с помощью паролей, хотя такая схема не вполне безопасна. Пароли можно разгадать или украсть, а низовые пользователи настолько простодушны, что пишут пароли на клочках бумаги, которые для удобства приклеивают к мониторам. Более безопасной альтернативой является использование системы аутентификации, в которой применяются так называемые интеллектуальные генераторы ключей, использующие пароли одноразового применения, которые верифицируются сетевым сервером.
Авторизация — это функция, которая дает сетевым администраторам возможность контроля за тем, кто какими сетевыми ресурсами пользуется. Алгоритмы шифрования используют ключи кодирования и декодирования. При кодировании персональными ключами сами ключи хранятся в секрете. При шифровании публичными ключами ключ для шифрования данных доступен каждому в сети, а ключ дешифрования сохраняется в секрете. Шифрование — это конечная инстанция в системе безопасности предприятия. Существуют два основных типа в ее распространении: публичные и персональные ключи. Шифрование с персональным ключом основано на секретном ключе, который известен только отправителю и получателю. При этом один и тот же ключ используется для кодирования и декодирования данных. Схема с публичными шифровальными ключами предоставляет два ключа каждому пользователю: персональный ключ, находящийся в секрете, и публичный ключ, который распространяется свободно. Такие схемы элегантны в своей простоте. Любое сообщение, зашифрованное публичным ключом, может быть расшифровано только при наличии соответствующего персонального ключа. Поэтому нет необходимости передавать секретные ключи по сети. Администраторы сетей должны быть чрезвычайно осторожны при защите персональных ключей при их первичном распределении.
Последовательность действий по созданию системы защиты информационной сети:
— определить информацию, подлежащую защите;
— выявить полное множество потенциально возможных каналов утечки информации;
— произвести оценку уязвимости информации при имеющемся множестве каналов утечки;
— определить требования к системе защиты;
— осуществить выбор средств защиты информации и определить их характеристики;
— внедрить и организовать использование выбранных мер защиты в процессе функционирования информационных систем;
— предусмотреть контроль и управление системой защиты.
В качестве классификационного признака для схем защиты можно выбрать их функциональные свойства. На основе этого признака выделяются следующие системы:
— без схем защиты;
— с полной защитой;
— с единой схемой защиты;
— с программируемой схемой защиты;
— система с засекречиванием.
В системах с полной защитой обеспечивается взаимная изоляция пользователей, нарушаемая только для информации общего пользования.
В системах с единой защитой для каждого файла создается список авторизованных пользователей. Применительно для каждого файла указываются разрешаемые режимы его использования: чтение, запись или выполнение, если этот файл является программой.
В системах с программируемой схемой защиты предусматривается механизм защиты данных с учетом специфических требований пользователя: ограничение календарного времени работы системы, доступ только к средним значениям файла данных, локальная защита отдельных элементов массива данных и т. д. В таких системах пользователь должен иметь возможность выделить защищаемые объекты и подсистемы. Защищаемая подсистема представляет собой совокупность программ и данных, правом доступа к которым наделены лишь входящие в подсистему программы. Программы подсистемы контролируют доступ к защищаемым объектам. Возможно применение программных шифраторов. Учитывая высокую криптостойкость современных шифров, это даст возможность ликвидировать такие каналы утечки, как копирование информации, хищение носителей и несанкционированный доступ к секретным файлам.
Важной областью применения криптографических методов является защита баз данных. К ним предъявляются следующие дополнительные требования:
— из-за возможности чтения и возобновления записей с середины файлов, шифрование и расшифровка каждой записи должны производиться независимо от других записей;
— во избежание перегрузки системы вспомогательными преобразованиями, все операции с файлами нужно проводить, когда содержащиеся в них данные представлены в зашифрованном виде. Безопасность данных может обеспечиваться следующей системой мероприятий:
— объекты данных идентифицируются и снабжаются информацией службы безопасности. Целесообразно эту информацию размещать не в отдельном каталоге, а вместе с информацией, имеющей метки;
— кодовые слова защиты размещаются внутри файлов, что в значительной мере повышает эффективность защиты;
— доступ к данным целесообразен с помощью косвенных ссылок в виде списка пользователей, допущенных владельцем файла к размещенным в нем данным;
— данные и программы могут преобразовываться (кодироваться) внутренним способом для хранения;
— информация по отрицательным запросам не выдается;
— повторные попытки доступа после неудачных обращений должны иметь предел;
— при уменьшении конфигурации системы или при ее тестировании функции защиты сохраняются;
— никакие изменения таблиц безопасности, кроме изменения со специального устройства или пульта управления, не разрешаются.
Необходим поиск некоторых критериев, в качестве которых могут быть использованы надежность обеспечения сохранности информации и стоимость реализации защиты. Принимаемая мера противодействия с экономической точки зрения будет приемлема, если эффективность защиты с ее помощью, выраженная через снижение вероятности экономического ущерба, превышает затраты на ее реализацию.
Комплексная система защиты информации должна отвечать следующим требованиям:
— оперативно реагировать на изменение факторов, определяющих методы и средства защиты информации;
— базироваться на лучших алгоритмах закрытия информации, гарантирующих надежную криптографическую защиту;
— иметь важнейшие элементы идентификации пользователей и контроля подлинности передаваемой и хранимой информации;
— осуществлять защиту от несанкционированного доступа к информации в базах данных, файлах, на носителях информации, а также при ее передаче по линиям связи в локальных и глобальных сетях;
— обеспечивать режим специально защищенной электронной почты для обмена секретной информацией с высокой скоростью и достоверностью передачи информации адресату;
— иметь удобную и надежную ключевую систему, обеспечивающую гарантию безопасности при выработке и распределении ключей между пользователями;
— обеспечивать различные уровни доступа пользователей к защищаемой информации.
Для реализации комплексной системы защиты информации на предприятии или в учреждении должно быть организовано специальное подразделение по охране коммерческой тайны. Состав и функционирование такого подразделения определяются с точки зрения экономической целесообразности и учитывают реальную ценность информации. В уставе предприятия или учреждения должно быть указано, что сведения, составляющие коммерческую тайну этого предприятия или учреждения, являются его собственностью. Должна быть проведена подготовка персонала в плане обучения исполнению своих обязанностей с одновременным выполнением требований по обеспечению защиты сведений, составляющих коммерческую тайну, и предупреждения об ответственности за несоблюдение указанных требований.
Наиболее распространенными правонарушениями в кредитно-финансовой сфере являются:
— выманивание, незаконное получение и нецелевое использование кредитов;
— нарушение налогового законодательства;
— легализация и внедрение преступно нажитых средств в экономику;
— выманивание негосударственными структурами денежных средств населения;
— заключение фиктивных договоров о совместной деятельности, фактически прикрывающих другие сделки;
— фальшивомонетничество и нарушение установленного порядка валютных операций;
— незаконные операций с наличными деньгами.
Выманивание и нецелевое использование кредитов предусматривает:
— выдачу льготных кредитов руководителям предприятий, которые помимо основной производственной деятельности принимают активное участие в совершении коммерческих торгово-посреднических операций;
— создание за границей собственной иностранной фирмы и заключение с ней фиктивных контрактов для получения кредитов в банке;
— нарушение правовых основ отношений банков с клиентами при покупке и продаже ресурсов.
Наиболее распространенными нарушениями в сфере налогообложения являются:
— обналичивание денежных средств через расчетные счета предпринимателей и использование фиктивных договоров;
— занятие безлицензионной деятельностью;
— сокрытие выручки от реализаций продукции путем неотражения ее в бухгалтерских отчетах;
— занижение реальной выручки от реализации продукции;
— невключение в доход выручки от реализации основных средств;
— завышение материальных затрат за счет расходов по льготированной выручке;
— неправильное вычисление удельного веса материальных затрат в выручке от реализации продукции;
— завышение материальных затрат за счет излишнего начисления различных налогов;
— проведение взаиморасчетов без оприходования денежных средств в кассах;
— реализация продукции за наличный расчет без использования кассовых аппаратов;
— занижение НДС по импортным товарам путем его начисления с валового дохода, а не со всего товарооборота;
— приобретение товара у производителя по безналичному расчету, реализация его за наличные и частичное оприходование в кассе.
При участии финансовых органов предприятия для обналичивания применяются:
— фиктивные ссудные договоры между иностранным банком и работником местного банка, в котором расположен корреспондентский счет первого;
— практика наличных форм расчета между партнерами;
— заключение между предприятиями и коммерческими структурами фиктивных договоров, под которые впоследствии коммерсантам перечисляются необходимые для обналичивания денежные средства;
— практика использования «мертвых душ», числящихся работающими, которым выплачивается определенный процент от начисленной зарплаты, а остальные деньги поступают в «черную кассу»;
— снятие наличной валюты со счетов представительства иностранного банка, расположенного на территории страны;
— выдача наличности организациям сверх лимита;
— нарушение кассовой дисциплины.
Состояние счетов банковской клиентуры необходимы для криминальных группировок, чтобы знать сколько можно взять с клиента с учетом платежеспособности последнего.
Система защиты коммерческих секретов должна предусматривать следующие элементы:
— нормы права, направленные на защиту интересов владельцев секретов;
— нормы, устанавливаемые руководством предприятия или организации, владеющего секретами;
— специальные структурные подразделения предприятия или организации, обеспечивающие на практике выполнение этих норм;
— профессионалы, способные в процессе работы решать все необходимые задачи по защите коммерческой тайны.
Первоочередном в организации надежной защиты закрытой информации должна быть работа с кадрами. Эту работу следует начинать с приема человека на работу. Условие сохранения секретов включается в трудовой договор или контракт, заключаемый при приеме на работу. Следующей мерой является ограничение доступа к секретной информации. Работа должна быть организована так, чтобы каждый имел доступ только к той информации, которая необходима ему в ходе выполнения служебных обязанностей. Эта мера не может сама по себе полностью защитить предприятие или организацию от возможной утечки информации.
Для противодействия промышленному шпионажу можно предложить следующие рекомендации:
— использовать любую возможность и ситуацию для пропаганды программ обеспечения режима секретности; применять специальные указатели, обозначения и напоминания, размещаемые в коридорах помещений организации или предприятия;
— не забывать периодически вознаграждать сотрудников предприятия или организации за успехи в защите секретной информации;
— всячески стимулировать заинтересованность и участие сотрудников в выполнении программ секретности.
Обучение сотрудников правилам хранения секретной информации предусматривает:
— четкое знание сотрудниками объемов охраняемой информации, за безопасность которой они несут личную ответственность;
— понимание исполнителем характера секретных работ и ценности данных, с которыми он работает, возможных способов и методов проникновения к этим данным;
— обучение установленным правилам и процедурам хранения и защиты закрытых данных.
Значительная утечка коммерческой информации происходит в ходе ведения различного вида переговоров. Еще до начала переговоров сотрудник должен четко представлять, какую информацию он имеет право передавать. Отдельного разговора заслуживает такой аспект защиты информации, как противодействие техническим средствам ее получения. Утечка конфиденциальной информации может происходить при использовании открытых каналов связи.
Аналитическая работа по защите коммерческой тайны состоит из:
— информации о рынке;
— информации о производстве и качестве продукции;
— информации об организационных особенностях и финансах.
Процесс организации защиты информации происходит поэтапно.
Первый этап — «анализ объекта защиты» — состоит в определении того, что необходимо защищать. На этом этапе проводится анализ:
— какая информация нуждается в защите;
— наиболее важные критические элементы защищаемой информации;
— срок жизни критической информации;
— ключевые элементы информации, отражающие характер охраняемой информации;
— классификация индикаторов по функциональным зонам предприятия.
На втором этапе осуществляется «выявление угроз»:
— определяется, кого может заинтересовать защищаемая информация;
— оцениваются методы, используемые конкурентами для получения этой информации;
— разрабатывается система мероприятий по пресечению действий конкурентов.
На третьем этапе анализируется эффективность принятых и постоянно действующих подсистем обеспечения безопасности информации.
На четвертом этапе на основе проведенных аналитических исследований определяются необходимые дополнительные меры по обеспечению безопасности.
На пятом этапе руководящими лицами предприятия или организации рассматриваются представленные предложения по всем необходимым мерам безопасности и расчет их стоимости и эффективности.
Шестой этап — это этап реализаций принятых дополнительных мер безопасности с учетом установленных приоритетов.
Седьмой этап заключается в осуществлении контроля и доводке реализуемых мер безопасности.
Наряду с современными электронными средствами безопасности широкое распространение получают специальные пленочные покрытия, устанавливаемые на окнах и витринах. Эти покрытия обеспечивают выполнение следующих функций:
— защита от проникновения;
— солнцезащита;
— энергоконтроль;
— дизайн;
— защита от радиопрослушивания и съема информации. Некоторые типы пленочных покрытий препятствуют несанкционированному дистанционному радиопрослушиванию с улицы разговоров в помещении, а также съему коммерческих и секретных данных с компьютеров, факсов и других электронных носителей информации.
В ряду источников конфиденциальной информации особое место занимают люди. Они являются обладателями и носителями информации, представляющей интерес для конкурентов. Каждый из них владеет информацией в рамках своих функциональных обязанностей, если, конечно, он не ставит перед собой цель овладеть всей суммой конфиденциальных знаний о предприятии или организации с расчетом реализовать добытые знания с выгодой для себя. Поэтому очень важно тщательно изучать весь состав сотрудников, особо выделяя при этом основных, обладающих ценной информацией. Следует обращать внимание как на вновь поступивших на работу, так и на тех, кто подлежит увольнению. Эти люди нередко оказываются в ситуациях, благоприятных для злоумышленных действий. Полезно помнить, что секрет предприятия может стать достоянием промышленных шпионов и в том случае, когда теряется контроль за содержанием и использованием документов самого различного характера. Кроме всего, профессионалов промышленного шпионажа привлекают различные съезды, конгрессы, конференции, симпозиумы, научные семинары и другие формы общественного обсуждения научных и практических проблем. Здесь опытный специалист может собрать весьма ценную информацию. Формой информационного обмена служат также интервью, выступления по радио и телевидению.
Преимущества криминального капитала: быстрая оборачиваемость, подвижность, наличность и эффективность в применении. Главный недостаток этого капитала — нелегальность и, как следствие, определенные трудности доступа к наиболее прибыльным сферам легального бизнеса: оборонной промышленности, нефти, энергоресурсам, недвижимости. Процесс идет по двум основным направлениям:
— создание центров, предприятий, организаций, через которые стало возможным превращать денежные средства государственных и общественных организаций в частные;
— создание и функционирование системы фондов, к примеру, образуется некий фонд, который учреждает несколько акционерных компаний, а те в свою очередь — систему предприятий. При этом получаются льготные кредиты, прокручиваются и возвращаются вложенные денежные средства, которые уже легализованы. Затем вся система предприятий «топится», оставляя одно «крайним» во главе с почетным председателем;
— возникновение совместных предприятий, через которые перегоняются за границу любые денежные средства. При этом за границу продается отечественное сырье по наиболее низким ценам и завозятся импортные товары. Размеры и количество получаемых при этом взяток трудно даже предсказать;
— создание олигархии, т. е. группы людей, близко стоящие к власти и эффективно использующие эту близость для получения сверхприбылей, которые утаиваются от государства.
Имеет преимущество всегда тот, кто владеет полной и достоверной информацией. Для лиц, принимающих решение, она зачастую имеет большее значение, чем цена и качество, ибо позволяет выстоять в конкурентной борьбе. Один вид информации может быть похищен, другой — сфотографирован, третий — записан на магнитофон, четвертый — снят кинокамерой. К числу давно уже используемых относят также скрытое вторжение с помощью подслушивающей техники в линии телефонной связи для овладения интересующими сведениями. Необходимо всегда помнить, что потеря 20 % информации, составляющей коммерческую тайну, в 80 % случаев приводит такое предприятие к коммерческому краху. Поэтому работу с телексом, телефоном, телефаксом в обязательном порядке нужно рассматривать с точки зрения обеспечения надежной безопасности в процессе передачи важных сведений по этим основным на сегодняшний день каналам связи.
Деятельность Службы безопасности должна осуществляться по следующим направлениям:
1. Обеспечение экономической безопасности фирмы, предприятия, организации (далее — фирмы). На этом направлении Служба выявляет и пресекает попытки конкурентов к ведению недобросовестной конкуренции. Термин «недобросовестная конкуренция» определяет богатейшую изобретательность конкурентов, ставящих своей целью достижение превосходства над соперником большей частью противозаконными методами; промышленный шпионаж, заимствование товарного знака, фирменного наименования или маркировки товара без разрешения лица, на чье имя они зарегистрированы; нарушение прав патентообладателя; дискредитация репутации фирмы; сговор конкурентов с целью навязывания фирме заведомо невыгодных условий; дезорганизация производства путем подкупа или сманивания рабочих и служащих, особенно тех, кто имеет доступ к секретной информации и т. д. Немаловажное значение имеет деятельность Службы безопасности (далее — СБ), направленная на пресечение попыток государственных органов ограничить самостоятельность фирмы, игнорируя действующее законодательство. СБ содействует подразделениям в работе по сбору информации, необходимой для анализа конъюнктуры рынка, надежности партнеров и возможностей конкурентов.
2. Режимно-секретная деятельность на фирме осуществляется СБ в направлении принятия мер к разделению прав владения и распоряжения секретной информацией, принадлежащей фирме и государству. Для этого используются режимы государственной и фирменной секретности. Государственные секреты определяются заказывающими государственными учреждениями.
3. Деятельность по предупреждению негативных процессов в трудовых коллективах предусматривает организацию работы по своевременному выявлению конфликтных ситуаций в трудовых коллективах, фактов осложнения их взаимоотношений с администрацией, общественными организациями и другими трудовыми коллективами, социальной напряженности в отдельных группах, выражающихся в развитии деструктивных тенденций решения возникающих проблем, экстремистских, антигосударственных и других проявлений, обострения отношений на национальной почве, угроз забастовки, групповых нарушений общественного порядка, создания угроз жизни и здоровью отдельных людей.
4. Обеспечение физической безопасности СБ обеспечивает путем взаимодействия с различными подразделениями фирмы и направляет свою деятельность на обеспечение физической безопасности зданий и сооружений, оборудования и иного материального имущества фирмы, жизни и здоровья ее сотрудников. СБ выявляет факты нарушения технологической и трудовой дисциплины, которые могут привести к выходу из строя дорогостоящего оборудования, поломке и порче готовой продукции, используемого сырья и материалов.
Особое значение придается взаимоотношениям СБ с органами власти и правоохранительными органами. Интересы обеспечения безопасности фирмы не должны находиться в противоречии с интересами по обеспечению безопасности общества и государства. Целесообразно придать этим отношениям договорную форму, определив при этом порядок и объем взаимодействия в процессе борьбы с государственными, административно-хозяйственными, уголовными и иными правонарушениями, имеющими место на фирме. В своей деятельности СБ фирмы подчиняется и отчитывается только перед руководителем фирмы либо его заместителем по вопросам безопасности. Основным документом, регулирующим деятельность СБ фирмы может стать «Положение о Службе безопасности». Определяя цели, задачи, принципы, методы деятельности СБ, ее взаимоотношения с различными подразделениями фирмы и внешними организациями, это положение служит нормативным документом, устанавливающим ее правовой статус.
В бизнесе можно добиться успеха, используя пять основных правил:
— разведка;
— профессионализм в установлении контактов;
— квалификация, которая выражается, прежде всего, в том, чтобы тратить время только с нужными людьми;
— умение преодолевать препятствия;
— умение завершать сделку.
Информация о производстве и продукции включает в себя освещение следующих вопросов:
— оценка качества и эффективности;
— номенклатура изделий;
— технология и оборудование;
— уровень издержек;
— производственные мощности;
— размещение и размер производственных подразделений и складов;.
— способ упаковки;
— доставка;
— возможности проведения НИР.
Информация об организационных особенностях и финансах:
— определение лиц, принимающих ключевые решения;
— философия лиц, принимающих ключевые решения;
— финансовые условия и перспективы;
— программы расширения и приобретений;
— главные проблемы и возможности.
— Программы НИР.
Информация о рынке:
— цены, скидки, условия договоров, спецификации продукта;
— объем, история, тенденции и прогноз для данного продукта;
— доля на рынке и тенденция ее изменения;
— рыночная политика и планы;
— отношения с потребителями и репутация;
— численность и размещение торговых агентов;
— каналы, политика и методы сбыта;
— программа рекламы.
Для эффективной работы информационного подразделения фирмы руководством должны быть четко очерчены его основные цели. Эти цели могут заключаться в следующем:
— обеспечить своевременное поступление надежной и всесторонней информации о способностях и будущих возможностях каждого из основных конкурентов;
— определить, каким образом действия основных конкурентов могут затрагивать текущие интересы фирмы;
— постоянно обеспечивать надежную и всестороннюю информацию о тех событиях в конкурентном окружении и на рынке, которые могут иметь значение для интересов фирмы;
— добиваться эффективности и исключать дублирование в сборах, анализе и распространении информации о конкурентах.
Промышленная разведка против конкурентов необходима для обеспечения успеха в рыночной конкуренции. Для обеспечения функции разведки требуется тотальная система в полном смысле этого слова. Система промышленной разведки должна быть чётко ориентирована на конкретных лиц, даже если ее структура и организация постоянны. Такая система должна быть ориентирована на действия. Она должна обеспечивать руководителей фирмы информацией, указывающей на необходимость действий и помогающей выбрать наиболее предпочтительные из них.
Система разведки против конкурентов должна предусматривать задачи охраны собственных секретов и контрразведки. Необходимо предусматривать, что у конкурентов есть такие же системы и они могут прибегнуть к незаконным или неэтичным средствам для проникновения в вашу собственность.
Сбор информации о конкурентах представляет собой непрерывный процесс с обратной связью. Приступая к созданию информационной системы в фирме, серьезное внимание необходимо обратить на проблему систематизации. Не имеет смысла даже пытаться обращаться к такому средству, как промышленная разведка, не имея законченной систематизации. Бессмысленно ожидать от отдельного специалиста или от группы лиц, чтобы они знали, а более того, могли оценить такой объем данных. Следовательно, всякие действия, предпринятые без такой системы, осуществляются при неполном охвате полезной информации. Систематизация сбора сведений о конкурентах означает, что будут найдены и использованы ответы на вопросы:
— что нужно знать?
— где можно получить данные?
— кто соберет данные?
— как будут собираться данные?
— кто будет анализировать и интерпретировать данные?
— как лучше хранить полученную информацию, чтобы эффективно использовать ее в будущем?
— как распространять полученную информацию, чтобы соответствующие лица рассматривали ее своевременно?
— как предохранить систему от «утечек» и саботажа?
Сбор данных в систему информации о конкурентах осуществляется с учетом тезиса о том, то большая часть разведывательной информации расположена в открытых источниках. Ее только нужно уметь собрать и проанализировать в соответствующем направлении. Следовательно, основное внимание должно концентрироваться на организованном изучении официально доступных источников информации. На первой стадии сбора информации инициатива принадлежит разведывательной службе, которая действует на основе собственного анализа плановых документов организации или же по специальной просьбе «потребителя». Разведывательная служба выбирает направления своей деятельности на основании генеральной цели организации, а также специальных указаний, содержащихся в различных планах организации. Введения о новых направлениях или возможных новых задачах организации имеют кардинальное значение для сбора адекватной и важной деловой информации. Источниками получения такой информации являются:
— торговые представители на местах;
— отдел снабжения;
— финансовый отдел;
— руководители предприятия-конкурента;
— деловые периодические издания;
— правительственные источники;
— профессиональные ассоциации;
— покупатели;
— поставщики;
— сбытовые организации;
— торговые ассоциации;
— местная пресса;
— торговая пресса;
— биржевые маклеры;
— проспекты;
— собрания акционеров;
— местные банки.
Собранные данные не являются информацией до тех пор, пока они не проанализированы и интерпретированы квалифицированным экспертом. Именно обработанные сведения особенно полезны тем, кто принимает решения. Необходим нейтрализованный центр обработки информации. Анализ достоверности и надежности информации осуществляется на основании избранной системы оценки получаемой информации. Эта система может иметь свою оценку источников и содержания информации. Оценка источника может осуществляться по следующим критериям:
а) совершенно надежный;
б) обычно надежный;
в) довольно надежный;
г) не всегда надежный;
д) ненадежный;
е) надежность невозможно оценить;
оценка содержания:
а) подтверждено другими средствами;
б) вероятно соответствует действительности;
в) возможно соответствует действительности;
г) сомнительное;
д) невероятное;
е) достоверность не поддается определению.
Прошедшие оценку разведывательные сведения распространяются затем среди соответствующих лиц и подразделений. Если по своему характеру информация относится к стратегическому планированию, то ее должны получать лица, составляющие планы и несущие ответственность за принятие стратегических решений. «Деликатная» по характеру информация может сообщаться только отдельным лицам. Каждый сотрудник организации должен получать только ту информацию, которая необходима ему для выполнения своих функций и обязанностей. Следует установить правила распространения информации с тем, чтобы обеспечить необходимую осторожность и не отказывать в информации тем, кто в ней действительно нуждается. Организация службы, обеспечивающей выполнение этих задач, осуществляется на основании ответов на вопросы:
— какая требуется информация?
— как следует получать информацию?
— что обеспечивает надежность информации?
— как организовать информацию?
— как анализировать и среди кого распространять разведывательную информацию?
— какой политики и каких направлений следует придерживаться?
Информационная система обеспечения безопасности банков должна предусматривать полную защиту информационной системы, а не отдельных ее фрагментов. Прежде чем приступить к созданию такой системы, нужно на уровне конкретного банка получить ответы на вопросы:
— что защищать?
— от чего и от кого защищать;
— как защищать?
— особенности защиты, которые необходимо учитывать при выработке системы.
Перехват информации на технических каналах связи банка позволяет:
— выявить парольно-ключевую информацию и описания полномочий пользователей;
— получить доступ к информационным базам банка;
— перехватить информацию по выбранным для контроля сеансам связи пользователей.
Можно выделить следующие угрозы информационной безопасности банка:
— несанкционированный доступ на объекты;
— перехват побочных электромагнитных излучений технических средств и систем, обрабатывающих закрытую информацию;
— перехват наведенных или непосредственно передающихся сигналов в линиях связи;
— оптическая разведка помещений;
— перехват акустических сигналов из помещений;
— закладные разведывательные устройства;
— несанкционированный доступ к закрытой информации в системах ее обработки и хранения;
— компьютерные вирусы;
— нечестные или связанные с преступным миром программисты или операторы компьютерных сетей;
— посторонние лица, которые стремятся проникнуть в банковские сети для кражи информации, ее использования или разрушения.
Анализ показывает, что наибольшую опасность для банка представляют:
— служащие самого банка;
— сотрудники банка, связанные напрямую с криминальными структурами;
— сотрудники банка, соблазнившиеся перспективой быстрого и легкого обогащения.
Существуют четыре основных направления обеспечения безопасности банковской информации:
— ограничение доступа (только для санкционированных пользователей);
— защита от потери или искажения сообщений, а также от ошибочных изменений;
— аутентификация сообщений;
— секретность.
Для банков, входящих в систему SWIFT (кооперативное общество для международных межбанковских финансовых телекоммуникаций), должны быть обеспечены следующие меры безопасности:
— каждый банк несет ответственность за обеспечение надлежащего контроля за эксплуатацию своих терминалов, имеющих выход в систему SWIFT;
— все банки обязаны обеспечить достаточное количество терминалов с тем, чтобы в случае выхода из строя рабочего терминала обработка сообщений могла быть продолжена;
— каждый банк несет ответственность за состояние устройств, для передачи данных между его компьютерным терминалом и локальным региональным процессором;
— все банковские сообщения должны быть защищены с помощью аутотефикатора.
