Дорохов В.Э.
аспирант
Рязанский государственный радиотехнический университет
г. Рязань, РФ
АНАЛИЗ ИНЦИДЕНТОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ, ПРИВОДЯЩИХ К ПОТЕРЕ РЕПУТАЦИИ, КАК ФУНКЦИЯ УПРАВЛЕНИЯ ХОЗЯЙСТВУЮЩИМ СУБЪЕКТОМ
С развитием информационных технологий растет их роль в различных отраслях производства. Вместе с тем становиться все более актуальным вопрос правильного обращения с информационными активами. Каждый хозяйствующий субъект по своему подходу к ведению бизнеса уникален и зачастую использует собственные методы для организации деятельности, собственные технологии и разработки, по-своему выстраивает взаимоотношения с сотрудниками, клиентами и т.д. Данные примеры говорят о наличии в каждой организации критичной информации, утечку которой необходимо не допустить.
Инцидентом информационной безопасности, как правило, принято считать нарушение трех основных свойств информации: конфиденциальности, целостности, доступности. Однако основным источником инцидента информационной безопасности принято считать несанкционированный доступ к критичной информации с использованием технологических средств. На практике же крупные компании регулярно несут финансовые убытки вследствие нарушения этики работы с информацией своими же сотрудниками. Речь идет о разглашении заведомо важной информации путем использования общедоступных источников, например, СМИ, а также вследствие общения в тематических социальных средах и т.п. Одним из наиболее вероятных исходов для организации вследствие инцидентов информационной безопасности, которые рассматриваются в данной статье, является потеря репутации хозяйствующего субъекта.
Анализ является важнейшей функцией в управлении хозяйствующего субъекта. Любое эффективное управление начинается с грамотного анализа. Основными этапами проведения анализа инцидентов информационной безопасности приводящих к потере репутации являются:
Категорирование информации о деятельности хозяйствующего субъекта. Выявление сведений, являющихся критически важными.
Для определения сведений, утечка которых может привести к потере репутации, наиболее эффективным подходом является интервьюирование, поскольку при личной беседе становится возможным получить наиболее полную информацию от опрашиваемого субъекта. Для данного анализа необходимо провести опрос сотрудников, задействованных в обработке критической информации или имеющих доступ к критичным процессам деятельности компании, либо осведомленных о стратегических контактах компании. Иными словами, предположительно обладающих информацией, важной для хозяйствующего субъекта. В процессе интервьюирования необходимо собрать следующую информацию:
Структурированный, обобщенный перечень всей информации, в том числе обрабатываемой при помощи средств вычислительной техники, касающейся непосредственно деятельности хозяйствующего субъекта, не подлежащей публикации в общедоступных источниках.
Информация о процессах деятельности, стратегических взаимоотношений, ставшей известной сотруднику по роду службы.
Сведения об известных сотруднику текущих управленческих решениях в области информационной безопасности в организации. Речь, прежде всего, идет о существующих внутренних приказах, правилах, регламентах или иной нормативной документации, касающейся процедур обращения с информацией.
Определение подверженности репутационным рискам отдельных направлений деятельности хозяйствующего субъекта.
Степень подверженности репутационным рискам необходимо определять по взаимосвязи направлений деятельности со следующими видами взаимоотношений:
Взаимоотношения с сотрудниками: направление подразумевает работу с персоналом, различные условия труда, определяемые лично с каждым сотрудником.
Взаимоотношения с государственными структурами: направление подразумевает соблюдение определенных законодательных актов.
Взаимоотношения с инвесторами: направление находиться на контроле у акционеров компании.
Взаимоотношения с общественностью: направление освещается в средствах массовой информации, имеет повышенный интерес среди конечного потребителя.
Выявление внешних и внутренних угроз для информационной безопасности хозяйствующего субъекта, реализация которых влечет за собой репутационные потери.
На данном этапе необходимо рассмотреть возможность реализации следующих угроз информационной безопасности:
Угроза разглашения критичной информации о деятельности хозяйствующего субъекта.
Актуальность данной угрозы зависит от достаточности мер, принятых в организации, по обеспечению информационной безопасности. К таким мерам относится:
Наличие единой политики информационной безопасности в организации.
Наличие инструкций, положений, регламентов и иных внутренних нормативных документов, регламентирующих порядок обращения сотрудников хозяйствующего субъекта с информацией, ставшей известной в процессе выполнения рабочих обязанностей.
Проведение мероприятий, повышающих осведомленность сотрудников принятыми правилами обеспечения информационной безопасности в компании.
Угроза распространения информации о стратегических взаимодействиях хозяйствующего субъекта.
В процессе проведения анализа, необходимо обратить внимание на следующие аспекты деятельности хозяйствующего субъекта, определяющие актуальность данной угрозы:
Наличие у хозяйствующего субъекта бизнес-партнеров (в том числе зарубежных).
Присутствие в компании направлений деятельности, не публикуемых в общедоступных источниках.
Количество сотрудников, которым известны сведения о взаимоотношениях с важными бизнес-партнерами, инвесторами хозяйствующего субъекта.
Наличие организационно-распорядительной документации, а также мероприятий по осведомленности персонала компании в области информационной безопасности.
Угроза распространения ложной информации о деятельности хозяйствующего субъекта.
Реализация данной угрозы напрямую связана с публикациями о деятельности компании в средствах массовой информации. В связи с этим на актуальность данной угрозы будут влиять следующие аспекты:
Наличие направлений деятельности, в которых конечный покупатель, использует СМИ как доверенный источник о качестве предоставляемых услуг.
Наличие сотрудников (в том числе уволенных), обладающих актуальной информацией о процессах деятельности хозяйствующего субъекта, вовлеченных в конфликтные ситуации с руководством компании.
Допускается возможность проведения «черной» PR-компании со стороны компаний – конкурентов по бизнесу.
Обоснование необходимости развития направления информационной безопасности в управлении хозяйствующего субъекта.
Стоит отметить, что актуальными рассмотренные в данной статье угрозы являются только в случае отсутствия адекватных мер по обеспечению информационной безопасности, принятых в компании. Основной целью анализа инцидентов информационной безопасности, влекущих за собой потерю репутации, является выявление «слабых» мест в управленческих решениях хозяйствующего субъекта для направлений деятельности, предусматривающих ознакомление сотрудников с критичной для нее информацией.
Таким образом, вследствие того что репутационные потери влекут за собой различного рода убытки, наносится существенный вред бизнесу (вплоть до полного прекращения деятельности), необходимо использовать приведенный анализ для формирования мероприятий направленных на снижение рисков потери репутации хозяйствующего субъекта.
|
