Как составить инструкцию по безопасности

Брэндон Грэг, эксперт по внутрикорпоративным расследованиям, обращает внимание работодателей на необходимость постоянно напоминать своим работникам о строгом соблюдении принятого в компании свода прав и обязанностей персонала, особенно в той его части, которая имеет непосредственное отношение к безопасности бизнеса.

В статье, опубликованной в журнале Сhief Security Officer (January 8, 2013), он пишет о все более популярной моде приносить на работу собственные компьютеры, мобильные девайсы, что, по его мнению, чревато утечками служебной информации. В обязанностях сотрудников - официально регистрировать личные девайсы, используемые в работе, что не только помогает снизить риски, но и проводить расследование в случае несанкционированных утечек.

Автор излагает рекомендации к составлению инструкции по безопасности, которая может быть частью общей политики компании. Инструкция должна содержать, как минимум, следующие моменты:

Цель инструкции. Во вступлении надо разъяснить, что круглосуточный мониторинг корпоративных сетей предназначен не для слежки за сотрудниками, имеющими доступ в сети, а для защиты информации, бизнеса и самих работников.

Фокус внимания: что следует делать для защиты сетей. Если написать: «все электронные данные подвергаются мониторингу», то это звучит слишком размыто, общо. С другой стороны, излишняя детализация только запутывает. Поэтому важно соблюсти правильный баланс. Не надо перечислять конкретные девайсы с подробным описанием, как они должны использоваться. Лучше сосредоточить внимание на содержании. Например, приемлем такой вариант: «Компания отслеживает весь электронный трафик: почтовую переписку и все файлы, которые хранятся в сети и на мобильных девайсах, могут содержать служебную информацию и персональные данные. Компания имеет право доступа и просмотра всех сообщений и файлов на любом мобильном устройстве в любое время и без уведомления».

Наказание за нарушение инструкции. Следует четко прописать, что любое отклонение от установленных правил преследуется дисциплинарными взысканиями вплоть до расторжения трудового договора. Если замечено, что сотрудник ввел служебную информацию в свой домашний компьютер или персональный мобильник, ему ставится ультиматум: или немедленно приносит и сдает на контроль компьютер (мобильник), либо подлежит увольнению.

Важно упомянуть право компании передать расследование нарушений третьей стороне. Например, «компания оставляет право передавать информацию о нарушениях в правоохранительные структуры и/или другой третьей стороне, не спрашивая согласия сотрудников». Предупреждение, что информация, касающаяся работников, может быть предоставлена полиции, адвокатам или кому-либо еще, хороший аргумент в пользу соблюдения инструкции.

Еще один момент надо учитывать. Иметь в наличии инструкцию, с которой ознакомлен весь персонал, исключительно важно, если дело дойдет до суда.

вернуться назад

© "АМУЛЕТ" 2003 г. Тел/Факс.(495) 614-40-60, 614-41-60, Е-mail:sb@amulet-group.ru