Конспект лекций

Организационно-правовое обеспечение информационной безопасности сетей и систем

Конспект лекций | назад | содержание | вперед

# 18 УПРАВЛЕНИЕ ПЕРСОНАЛОМ НА ПРЕДПРИЯТИЯХ И В ОРГАНИЗАЦИЯХ

## 18.1. Общие положения

Успешная деятельность любого предприятия (организации), в том числе по обеспечению информационной безопасности, зависит от эффективного менеджмента — вида деятельности по руководству людьми (персоналом), по использованию их опыта, квалификации, интеллекта и труда для достижения целей предприятия.

Эффективность менеджмента в области информационной безопасности зависит от таких факторов:

- как организационная структура системы обеспечения информационной безопасности предприятия, характеризуемая гибкостью (оперативностью реагирования на возникающие угрозы безопасности видам информации, имеющим ключевое значение для сохранения конкурентоспособности предприятия, его информационным и коммуникационным системам), комплексностью (учетом внешних и внутренних факторов воздействия на объекты информационной безопасности при формировании структуры системы обеспечения информационной безопасности), качеством управления и исполнения функций управления по обеспечению

информационной безопасности;

- уровень, прогрессивности технических решений по обеспечению безопасности информации, применяемых на предприятии;

- выполнение положений законодательства и корпоративных нормативных актов в области обеспечения безопасности информации;

- качество персонала предприятия, характеризуемого прежде всего его лояльностью и квалификацией.

Эффективный менеджмент в области обеспечения информационной безопасности возможен только при условии успешного решения задач подбора и расстановки кадров, мотивации их труда и постоянного повышения квалификации в целях противодействия угрозам информационной безопасности.

## 18.2. Подбор и расстановка кадров

При подборе и расстановке кадров в области обеспечения информационной безопасности предприятия в первую очередь проводятся специальные мероприятия:

-учет вопросов конфиденциальности в традиционных кадровых методиках и процедурах приема и увольнения;

-подготовка нормативно-правовой базы по документированиюдобровольного согласия работника на определенное ограничение прав, связанное с дополнительным контролем его деятельности в целях обеспечения безопасности предприятия.

Наряду с традиционными кадровыми процедурами, обеспечивающими выполнение требований экономической эффективности бизнес-процессов, должны быть предусмотрены дополнительные меры, соответствующие принятой политике безопасности.

К ним, в частности, относится учет личных и деловых качеств кандидата при решении вопроса о приеме на работу.

В качестве методической основы для подготовки соответствующих оценок могут быть использованы организационные схемы (графы). Узлы графов соответствуют определенным рабочим местам (должностям), на которые предполагается назначить кандидата, а дуги — информационным потокам, необходимым для его работы, с указанием ценности информации и соответствующей категории (грифа) ее защиты.

Существует два общих принципа, которые следует иметь в виду при разработке указанных организационных схем.

Первый принцип состоит в следующем: роль и ответственность исполнителей необходимо разделять таким образом, чтобы был обеспечен взаимоконтроль сотрудников за непрерывностью критически важных бизнес-процессов.

Второй принцип заключается в минимизации привилегий исполнителя, т.е. в предоставлении ему только тех прав доступа к нематериальным активам, которые необходимы для выполнения служебных обязанностей.

Хорошей практикой при подборе и расстановке кадров является разработка на основе организационных графов так называемых профессиограмм, в которых наряду с квалификационными требованиями и должностной инструкцией содержится

перечень необходимых личных и деловых качеств кандидата, в том числе противопоказания, служащие мотивированным отказом от должности. Очевидно, что с точки зрения обеспечения безопасности личные качества кандидата имеют определенный приоритет по сравнению с профессиональными характеристиками.

При составлении профессиограмм следует обратить внимание на то, что в число противопоказаний не могут быть включены признаки расовой или этнической принадлежности кандидата, его религиозных или политических убеждений и взглядов, сексуальной ориентации и его семейного положения.

Профессиограмма является основой для начала взаимодействия с кандидатом, а также для обоснования особых условий его работы, т.е. дополнительных мер контроля и соответствующего стимулирования, которые включают в трудовой контракт при достижении соглашения между кандидатом и работодателем.

В соответствии с трудовым законодательством нормативно-правовой основой для введения дополнительных ограничений по контролю за деятельностью персонала является соответствующая запись в уставе предприятия о необходимости выполнения требований по безопасности, а также пункты коллективного договора и правил внутреннего распорядка, согласованные с требованиями политики безопасности. Это обусловлено тем, что на основании Конституции Российской Федерации: «каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени» и «каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение данного права допускается только на основании судебного решения». Данная норма не дает работодателю прямого основания для ограничения указанных прав даже в случае потенциальной возможности работы со сведениями, составляющими государственную тайну. Проблема решается путем оформления добровольного согласия кандидата в порядке, установленном внутренними нормативными документами предприятия. Отказ можно считать признаком проявления нелояльности кандидата и основанием для отказа ему в зачислении.

Дополнительные процедуры подбора кандидатов должны обеспечить составление достаточно полного психологического портрета кандидата, его морально-волевых качеств и возможных склонностей к противоправным действиям.

Полный объем таких процедур включает проведение следующих мероприятий.

Верификация сведений о кандидате — тщательное изучение и дополнительная документальная проверка биографических и других сведений, представляемых кандидатом в резюме, анкетах, справках, рекомендательных письмах и т.д. С согласия кандидата проводится также внешняя проверка по учетам правоохранительных органов, по месту жительства, местам предыдущей работы при неукоснительном соблюдении законодательства об оперативно-розыскной деятельности и защите персональных данных. Эти меры позволяют в достаточной степени исключить любые случаи предоставления заведомо ложных данных в целях мошенничества и завышения объективной оценки качеств кандидата. Любое выявленное в ходе проверки отклонение данных, представленных кандидатом, может рассматриваться как противопоказание для его зачисления. Оценка показателей возможной лояльности и благонадежности кандидата — важный фактор этой стадии отбора.

Их условно делят на психологическую удовлетворенность, определяемую степенью нематериальной заинтересованности (любимая работа, хорошие семейные отношения и т.д.), и экономическую, зависящую главным образом от размеров денежного вознаграждения. Очевидно, что указанная совокупность психологической и экономической удовлетворенности находится в достаточно жесткой связи и их оценка зависит от конкретной личности, ее ценностной ориентации и внешних обстоятельств. Тем не менее без информации внешнего характера получить достаточно достоверную характеристику возможной лояльности и благонадежности очень затруднительно.

Психологическое тестирование — использование относительно недорогих методов анализа ответов на специально разработанные в соответствии с достижениями психологической науки вопросники (тесты). На основе этих методов оцениваются такие качества личности, как психо-эмоциональная устойчивость, умственные способности, быстрота реакции на нестандартные ситуации и т.д.

Однако, как и всякий подход к оценке человеческих качеств, методы психологического тестирования не дают полного описания личности и в особых случаях (для высшей категории персонала) подкрепляются другими методами исследований.

Графологическая экспертиза — заключение о личных качествах кандидата на основе исследования почерка, являющегося мощным признаком аутентификации личности. Однако данный метод, за исключением подтверждения подлинности собственноручной подписи (кроме мнения эксперта), пока не имеет хорошего обоснования верификации результатов экспертизы.

Психофизиологическое тестирование — исследование личных качеств кандидата путем анализа физиологических изменений (частоты пульса и дыхания, биоритмов, выделения кожных покровов и т.д.) испытуемого при ответах на вопросы, подготовленные и задаваемые экспертом (полиграфологом) по специально разработанным методикам. Физиологические реакции регистрируются датчиками, сигналы которых обрабатываются специальным прибором — полиграфом, более известным как «детектор лжи». Хотя никаких отечественных норм правового регулирования применения полиграфа пока не существует, метод получил достаточно широкое признание в практике антикриминального противодействия как в правоохранительных органах, так и в коммерческих структурах. Считается научно доказанным положение, что опрос

с применением полиграфа в аспекте криминалистической экспертизы дает возможность объективного обнаружения и исследования хранящихся в памяти человека следов событий, имевших место в его жизни ранее, либо установления отсутствия таких следов. Экспериментально доказано, что следы событий, хранящиеся в эмоциональной памяти человека, практически неуничтожимы на протяжении всей жизни, по крайней мере на период удаления более чем в 20 лет.

Тем не менее применение полиграфа не является абсолютным методом доказательства преступлений, это частный метод криминалистической профилактики правонарушений, связанных с исполнением служебных обязанностей. Анализ природы явлений, лежащих в основе применения полиграфа для обнаружения скрываемой информации, показывает, что психофизиологическая экспертиза наиболее эффективна при ориентации на оценку достоверности сведений, представляемых испытуемым кандидатом, а в остальных случаях верификация результатов экспертизы достаточно затруднительна.

Каждый из выделенных методов проверки и исследования личных качеств кандидата в отдельности не достаточно эффективен, но их комплексное использование позволяет достигать относительной достоверности сведений о профессиональной пригодности, потенциальной лояльности и благонадежности кандидата, о его творческих способностях и возможности адекватной реакции в экстремальных условиях. Поэтому окончательное решение принимается лишь после серии неформальных собеседований с кандидатом его непосредственного руководителя как представителя работодателя, а также ответственных работников службы безопасности и кадрового подразделения.

Хорошей практикой является временное зачисление кандидата с испытательным сроком и организацией повседневного наблюдения за его деятельностью при выполнении конкретных обязанностей.

Даже краткий обзор методов и средств проверки личных и профессиональных качеств кандидата показывает, что выполнение полного объема процедур подбора с учетом требований обеспечения безопасности требует привлечения значительных ресурсов.

В целях снижения затрат на специальные дополнительные мероприятия целесообразно провести определенное ранжирование должностей по степени возможных угроз и рисков бизнес-процессов.

В зависимости от оценки критичности должности планируется соответствующая совокупность процедур отбора. Так, к высшей категории персонала, который должен пройти полный объем проверочных мероприятий, можно отнести руководство (топ-менеджеров), сотрудников службы безопасности, системных администраторов и администраторов информационной безопасности. К остальным категориям сотрудников можно применять меньший объем процедур проверки, что позволит снизить затраты на выполнение необходимых требований по безопасности.

Специалистами была проанализирована эффективность различных методов и процедур отбора кандидатов. Эффективность оценТаблица 1. Результаты сравнительного анализа эффективности различных методов и процедур отбора кандидатов ки по каждой процедуре оценивалась по пятибалльной шкале, а интегральная эффективность представляет собой сумму частных оценок (таблица 18.1).

Таблица 18.1 Результаты сравнительного анализа эффективности различных методов и процедур отбора кандидатов

На основании подобных оценок можно произвести выбор совокупности необходимых процедур в зависимости от категории персонала, отбираемого с учетом выполнения требований обеспечения безопасности.

Все приведенные выше процедуры могут быть использованы не только при подборе кандидатов, но и на всем протяжении «жизненного цикла» деятельности сотрудников на данном предприятии. Возможно проведение внеплановых проверок в случае появления признаков аномальной активности, при перемещении на другую должность и т.д. Важным условием их проведения является четкое выполнение норм трудового законодательства.

Серьезное внимание при управлении персоналом в аспекте обеспечения безопасности необходимо обратить на активное участие служб безопасности в процедурах увольнения сотрудников, особенно по инициативе администрации. Очевидно, что любое увольнение независимо от его причины таит в себе явные угрозы, связанные, в частности, с утечкой значимой информации и/или неправомерным использованием интеллектуальной собственности.

Существующее законодательство о труде не дает каких-либо правовых оснований для проведения дополнительных мероприятий специального характера, а мотивация к добровольному сотрудничеству, как правило, отсутствует, за исключением обязательств, принятых на себя работником при приеме на работу или в ходе трудовой деятельности.

До объявления окончательного решения об увольнении по инициативе администрации должна быть проведена дополнительная оценка риска от возможных правонарушений и приняты меры по минимизации возможного ущерба. Лишь с учетом этих сведений может быть принято окончательное решение об увольнении, обязательным элементом которого должно стать собеседование увольняемого с ответственными сотрудниками службы безопасности и кадровых структур. В ходе собеседования в доброжелательной форме работнику напоминают о принятых обязательствах и возможных мерах юридической ответственности. Иногда в качестве одной из дополнительных мер защиты организационного характера рекомендуется оформление в ходе увольнения официальной подписки о неразглашении конфиденциальных сведений. Однако это возможно в случае, если такая процедура была предусмотрена особыми условиями контракта при приеме на работу, но и тогда эффективность ее использования в судебной практике защиты интересов работодателя очень низкая.

При увольнении работника по собственному желанию риск должен оцениваться с учетом истинных причин увольнения, что предполагает дополнительное изучение характера взаимоотношений сотрудника с коллегами, результативности его деятельности, семейного положения, наличия конфликтов личного или служебного характера. Лишь после этого даются рекомендации по удержанию данного работника в коллективе либо по реализации процедуры бесконфликтного увольнения.

## 18.3. Мотивация добросовестной деятельности

Регулярное изучение поведения наиболее ответственных категорий персонала, понимание интересов и потребностей сотрудников, мотивов их поведения и выбор соответствующих методов стимулирования добросовестной деятельности являются одной из неотъемлемых составляющих управления персоналом, именуемой мотивацией сотрудников. Мотивация есть создание внутреннего побуждения к нужным действиям, что особенно актуально для службы безопасности. Данная служба является одним из наиболее важных, но тем не менее вспомогательных подразделений, не имеющих прямого отношения к реализации основных бизнес-процессов предприятия.

Стимулы как внешние побуждения к проявлению тех или иных мотивов деятельности могут быть моральные, духовные, материальные, физические, а оптимальный результат мотивации дает их органичное сочетание. Мотивация деятельности конкретного работника определяется сложной совокупностью его потребностей и интересов, которые постоянно меняются и могут существенно различаться даже внутри одной организации. Для того чтобы эффективно мотивировать своих работников, руководителю следует достаточно точно знать, каковы на самом деле их потребности и интересы в настоящее время, и на этой основе обеспечивать возможность удовлетворения интересов работников при условии эффективного выполнения ими должностных обязанностей. Решению такой задачи может способствовать использование так называемого метода оценки деятельности подчиненных, являющегося основополагающим во всей системе методов стимулирования.

Эта оценка предполагает определение субъектом управления (руководителем) результативности деятельности управляемого объекта (подчиненных) на основе анализа соответствия выполняемой работы заданным требованиям, например установленным политикой безопасности. Как метод мотивации оценка должна обязательно сопровождаться доведением ее результатов до подчиненных сотрудников. Такое условие отражает естественную потребность каждого человека в признании важности и полезности его труда, в желании получить достойную оценку своих действий, поведения, знаний, профессионализма.

Важной формой контроля деятельности сотрудников является их периодическая или даже внеплановая аттестация, которая служит коллективной формой оценки. Для ряда должностей, в частности государственных служащих, такая процедура предусмотрена в действующем законодательстве. Хорошей практикой является применение аналогичных процедур аттестации к категории персонала, имеющей высший показатель критичности в аспекте обеспечения безопасности.

Результативность деятельности и соответствующая оценка может быть как положительной, так и отрицательной. С учетом этого в системе мер мотивации можно выделить меры положительного и отрицательного стимулирования.

Метод положительного стимулированияориентирован на развитие позитивных качеств работника и удовлетворение его внутренних интересов. Его суть состоит в использовании различных форм поощрения: премирования, объявления благодарности, вручения различных наград, присвоения званий, повышения в должности и т. п. В теории и практике управления принято считать, что поощрение — наиболее действенное средство мотивации и стимулирования.

Любая форма поощрения должна быть обоснована, понятна коллективу и самому работнику и, как правило, не должна иметь регулярный характер, а быть привязанной к конкретным достижениям и результатам.

Суть метода отрицательного стимулирования составляет применение различных форм порицания (наказания), включая меры дисциплинарно-административного принуждения. Такой метод наиболее широко используется в практике работы службы безопасности как надзорного органа в общей системе управления предприятием. Порицание осуществляется в виде устного осуждения, неодобрения поведения или результативности действий сотрудника. К дисциплинарным мерам воздействия относится официальное объявление в форме приказа замечания, выговора, предупреждения о неполном служебном соответствии, отмены непредусмотренных законом должностных льгот. Крайней мерой дисциплинарного взыскания является увольнение сотрудника с соблюдением всех норм трудового законодательства, которое, как уже указывалось, отражает интересы наемных работников, а не работодателей, давая исчерпывающий и достаточно краткий перечень оснований для увольнения. Тем не менее в случае правильного оформления внутренних нормативных документов (устав, коллективный договор, правила внутреннего распорядка, должностные инструкции) в аспекте обеспечения безопасности возможно и увольнение за нарушение требований безопасности.

Практика управления персоналом свидетельствует о том, что метод отрицательного стимулирования оказывает более сильное, чем поощрение, эмоциональное воздействие, поэтому его применение эффективно лишь в случае достаточной обоснованности порицания, которое выносится с учетом конкретной ситуации и психического состояния человека, его индивидуальных особенностей и доводится до сведения работника в тактичной и доброжелательной форме. В противном случае возникает вероятность появления

нового внутреннего нарушителя. Поэтому при выборе меры взыскания следует проявлять особую тщательность, взвешивая такие факторы, как размер ущерба, возможность исправления недостатков, результативность деятельности в целом данного работника, его репутация в коллективе и возможное воспитательное воздействие наказания на остальных членов коллектива.

Наиболее часто метод отрицательного стимулирования используется в форме критики, которая дает возможность порицания действий работника в режиме реального времени «по горячим следам» без применения мер дисциплинарного взыскания, которые возможны лишь на уровне первого руководителя предприятия. Степень и направленность критических высказываний могут быть различными — от доброжелательных замечаний и пожеланий до «разноса» в присутствии других подчиненных. Специалисты насчитывают до 25 форм критических высказываний, что свидетельствует о широком диапазоне возможной мотивации. Важным условием получения положительного результата критики является соблюдение принципа равных возможностей, иными словами, критикуемый должен иметь право на изложение своей позиции и на внимательное, объективное отношение к обсуждаемым действиям.

Кроме оценки деятельности конкретного сотрудника к методам коллективной мотивации относится создание так называемых ориентирующих условий. Это предполагает наличие здорового психологического климата или обстановки, которая способствует проявлению разумной инициативы и творческого подхода к выполнению поставленных задач, и в то же время обеспечивает нетерпимость к равнодушию, безынициативности, нарушениям установленных правил служебных взаимодействий и дисциплины.

Создание ориентирующих условий предполагает:

- неукоснительное соблюдение руководителем норм законодательства о труде, положений трудового договора, норм по технике безопасности и охране труда, правил внутреннего распорядка;

- создание реальных и гласных условий стимулирования сотрудников в зависимости от конкретных результатов их деятельности;

- обеспечение неотвратимости и обоснованности применениядисциплинарно-административных форм принуждения за нарушение работником своих должностных обязанностей;

- заинтересованное участие в решении личных затруднений сотрудников, включая бытовые вопросы;

- обеспечение гарантий юридической, а в ряде случаев и физической защиты при наличии угроз криминального характера.

Как и всякий механизм управления персоналом, мотивация обладает высокой степенью неопределенности с точки зрения разработки типовых перечней мероприятий и тем более их содержания. Поэтому чрезвычайно важно обеспечить из существующего многообразия практическое применение максимально возможной совокупности методов и средств стимулирования, поскольку использование одних методов в ущерб другим, как правило, дает отрицательные результаты.

В проблеме мотивации, как, впрочем и во всей проблеме обеспечения информационной безопасности, важную роль играет такой механизм управления персоналом, как постоянное самообучение и периодическое повышение квалификации.

В то же время известно: чтобы обучение было эффективным, ему должны предшествовать процедуры мотивации. Сотрудники из числа критических категорий персонала должны ясно представлять себе необходимость обучения, в том числе в аспекте обеспечения безопасности. Обычно и мотивация и разъяснение необходимости обучения вызывают определенное отторжение у работников, занятых в области основной деятельности предприятия, так как создают определенные трудности и помехи. Поэтому ведущим условием должно стать стремление работников к развитию своих профессиональных знаний, умений и навыков, нацеленное на реализацию интересов в работе на данном предприятии. В этом механизме управления персоналом не существует простых типовых решений, но имеется определенная система оказания образовательных услуг, помогающая решать проблему развития кадрового потенциала предприятия (организации) в области обеспечения информационной безопасности.

наверх

назад | содержание | вперед