19.3. Правовые основы безопасности банковских систем

Правовые средства обеспечения безопасности – совокупность нормативно-правовых (законы, указы Президента, постановления Правительства и др.) и индивидуально-правовых (приказы, распоряжения, договоры и др.) актов, регулирующих общественные отношения в сфере обеспечения (защиты) информационной безопасности.

Правовую основу обеспечения безопасности составляют Конституция РФ, федеральные законы, указы Президента РФ и другие нормативные акты, регулирующие отношения в области обеспечения безопасности.

На Рисунке 4 в графической форме представлен предмет правового регулирования в сфере обеспечения информационной безопасности.

Рис. 4. Предмет правового регулирования в сфере информационной безопасности

Таким образом, предметами правового регулирования в этой сфере являются:

1. Правовой режим информации, средств информатики, индустрии информатизации и систем информационных услуг, средства и формы защиты информации.

2. Правовой статус участников правоотношений в процессах информатизации (определение права на информацию, гарантий и защиты прав и установления ответственности субъектов информатизации).

3. Порядок взаимоотношений субъектов на различных стадиях и уровнях процесса обеспечения информационной безопасности.

Структура законодательства по обеспечению безопасности

Графически все законодательство, регулирующее обеспечение экономической безопасности, можно представить следующим образом (Рисунок 5).

Рис. 5. Система законодательства по регулированию

информационной безопасности

Законодательство по безопасности является частью правовой системы Российской Федерации и включает в себя следующие институты: Конституцию РФ, в которой содержится ряд норм, определяющих основополагающие права и свободы граждан в области информатизации (право на получение достоверной информации о состоянии окружающей среды (ст. 42), право на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений (ст. 23) и др.); федеральные законы РФ.

Исходя из анализа подсистем системы безопасности кредитных организаций представляется возможным определить нормативно-правовые акты по регулированию деятельности конкретных подсистем безопасности.

Следует выделить законы, содержащие отдельные нормы по вопросам безопасности банковских систем: Гражданский Кодекс РФ, Уголовный кодекс РФ, Федеральные законы «О Центральном Банке РФ», «О банках и банковской деятельности», «О коммерческой тайне», «Об оперативно-розыскной деятельности», «О частной детективной и охранной деятельности в РФ», «О милиции» и т.д.

Локальные правовые средства обеспечения безопасности банковских систем. В условиях недостаточно развитого государственного правового механизма обеспечения безопасности серьезное значение приобретают документы организации, регулирующие на правовой основе отношения с государством, с коллективом сотрудников и со сторонними организациями в сфере обеспечения информационной безопасности.

Поэтому для создания и поддержания необходимого уровня безопасности в организации должна разрабатываться система соответствующих правовых норм. С помощью правовых норм возможно решение следующих задач:

– отнесение информации к категории ограниченного доступа;

– определение полномочий по доступу к информации;

– предоставление руководителям прав на установление и изменение полномочий;

– установление способов и процедур доступа;

– введение порядка контроля, документирования и анализа действий персонала;

– установление ответственности за нарушение требований и правил по обеспечению информационной безопасности.

Поскольку одним из основных субъектов обеспечения экономической и информационной безопасности является обособленное подразделение предприятия, учреждения, организации (служба безопасности), то весьма существенное значение придается нормативным документам, регламентирующим деятельность этого подразделения.

Все документы, регулирующие отношения организации в сфере обеспечения информационной безопасности, представляется возможным разделить на две группы:

1. Нормативно-правовые документы:

– устав и/или учредительный договор организации (фирмы, банка);

– коллективный договор;

– правила внутреннего трудового распорядка рабочих и служащих;

– должностные обязанности руководителей, специалистов и обслуживающего персонала.

2. Индивидуально-правовые документы:

– трудовые договоры с сотрудниками организации;

– положения о специализированных подразделениях (например, о службе безопасности);

– договоры о совместной деятельности (и иные договоры со сторонними организациями);

– иные индивидуальные акты.

Для создания правовых основ обеспечения безопасности в перечисленные документы должны быть внесены специальные разделы.

Организационные основы безопасности

Организационной основой обеспечения безопасности являет­ся система безопасности банка.

Служба безопасности банка является самостоятельной орга­низационной единицей, подчиняющейся непосредственно руко­водителю банка.

Возглавляет службу безопасности начальник службы в долж­ности заместителя руководителя банка по безопасности.

Организационно служба безопасности состоит из следующих структурных единиц:

• подразделения режима и охраны;

• подразделения обработки сведений конфиденциального характера (государственной, банковской и коммерческой тайн);

• подразделения по обеспечению работы с кадрами, допу­щенными к конфиденциальной информации;

• подразделения инженерно-технической защиты;

• подразделения информационно-аналитической деятель­ности.

Основными задачами службы безопасности являются:

• обеспечение безопасности кредитно-финансовой деятельности и защиты конфиденциальной информации;

• организация работы по правовой, организационной и инже­нерно-технической защите объектов безопасности;

• организация специального делопроизводства, исключающе­го несанкционированное получение сведений, являющихся бан­ковской и коммерческой тайной;

• предотвращение необоснованного допуска и доступа к све­дениям и работам, составляющим банковские и коммерческие секреты;

• выявление и локализация возможных каналов утечки кон­фиденциальной информации;

• обеспечение режима безопасности при проведении всех видов деятельности, включая различные встречи, переговоры, совещания;

- обеспечение охраны зданий, помещений, оборудования и технических средств различного назначения;

- обеспечение личной безопасности руководства и ведущих сотрудников и специалистов;

- оценка валютно-финансовых ситуаций и неправомерных действий злоумышленников и конкурентов.

В своей деятельности служба безопасности банка руково­дствуется:

• Положением о службе безопасности;

• Инструкцией по организации режима и охраны;

• Инструкцией по защите банковской и коммерческой тайны;

• Перечнем сведений, составляющих банковскую и коммер­ческую тайну;

• Инструкцией по работе с конфиденциальной информацией для руководителя, специалистов и технического персонала;

• Инструкцией по инженерно-технической безопасности и за­щите информации;

• Инструкцией о порядке работы с иностранными представи­телями и представительствами.

Правовой статус службы безопасности предприятия имеет ряд особенностей, которые выделяют ее из других форм частной детективной и охранной деятельности. Знание этих особенностей имеет не только научное, но и практическое значение.

Прежде всего, обращает на себя внимание особый порядок создания и ликвидации службы безопасности.

Под предприятием, которое вправе учреждать собственную службу безопасности, понимается исключительно коммерческая организация (полное товарищество, товарищество на вере, общество с ограниченной ответственностью, общество с дополнительной ответственностью, акционерное общество, производственный кооператив, государственное унитарное предприятие и муниципальное унитарное предприятие).

Предприятие-учредитель представляет в органы внутренних дел (по месту своего нахождения) следующие документы:

– заявление о согласовании Устава службы безопасности;

– Устав службы безопасности;

– лицензии на руководителя и персонал службы безопасности;

– сведения о характере и направлениях деятельности службы безопасности, составе и предполагаемой численности персонала, наличии специальных средств, технических и иных средств, а также потребности в них и оружии.

Следует отметить, что по смыслу Закона РФ «О частной детективной и охранной деятельности в Российской Федерации» (далее по тексту – Закон) лицензии должны быть получены до образования службы безопасности, однако на практике это правило не соблюдается. Как правило, процесс учреждения службы безопасности и получения лицензий на частную сыскную и охранную деятельность происходит параллельно. Структура службы безопасности по видам и направлениям деятельности приведена на рисунке 6.

Учредителями службы безопасности не могут быть физические лица (даже имеющие лицензии на осуществление частной детективной и охранной деятельности) или несколько юридических лиц. В соответствии с Законом учредителем службы безопасности может быть только одно предприятие. Целесообразность такого порядка учреждения службы безопасности вызывает со стороны исследователей и практиков обоснованную критику, считающих его (т. е. этот порядок) бюрократизмом и ненужной преградой. Действительно, какие аргументы «против» могут быть в случае, например, желания руководителей нескольких мелких предприятий (выпускающих однородную продукцию и расположенных компактно на территории) создать единую для всех службу безопасности? Кроме того, существующий порядок учреждения службы безопасности можно легко обойти и физическому лицу, пожелай он создать собственную службу безопасности. Он может, например, вначале создать и зарегистрировать акционерное общество, единоличным собственником которого и станет, после чего учредит при нем службу безопасности.

Следовательно, существующий порядок учреждения службы безопасности следует признать несовершенным, требующим внесения соответствующих корректив в действующий Закон.

При создании службы безопасности предприятие-учредитель может предоставить ей право открывать текущий и расчетный счета в банке (это должно найти отражение в Уставе). Текущий счет предназначен только для операций, связанных с выдачей наличных денег, а по расчетному счету проводятся операции, связанные с безналичными перечислениями. Однако это не позволяет отнести службу безопасности к юридическому лицу, так как его важнейший признак – наличие у него обособленного имущества – отсутствует. Кроме того, применение в Законе термина «охранно-сыскное подразделение на предприятии» (ст. 14 Закона) означает: такое оргструктурное формирование, как служба безопасности, может функционировать только в рамках юридического лица, т. е. предприятия-учредителя.

Ликвидация службы безопасности может произойти при добровольном отказе его персонала от выполнения своих обязанностей, по инициативе предприятия-учредителя, при ликвидации предприятия-учредителя и в случае аннулирования органом внутренних дел лицензий всем охранникам и детективам. Первый и последний варианты носят, скорее, теоретический характер, однако полностью исключать их нельзя.

Важнейшей особенностью любой службы безопасности является обязательное наличие в ее структуре как детективных, так и охранных подразделений.

Несмотря на отсутствие единых правил, можно рекомендовать при определении соотношения детективных и охранных подразделений внутри службы безопасности использовать следующие критерии:

– наличие коммерческой тайны;

– состояние, структура и динамика правонарушений на предприятии;

– наличие значительных материальных ценностей и валюты;

– реальная и потенциальная сумма нанесенного предприятию ущерба;

– имеющиеся факты промышленного шпионажа;

– реальность угроз физической расправы над сотрудниками предприятия со стороны преступных элементов;

– фактические возможности со стороны местных правоохранительных органов в оказании помощи предприятию в пресечении правонарушений;

– взаимоотношения с конкурентами и соблюдение правил функционирования рыночной экономики;

– степень правовой и иной подготовки сотрудников по вопросам обеспечения безопасности предприятия и т. д.

Следует отметить, что в Законе под персоналом службы безопасности понимаются только те лица, которые в установленном порядке получили лицензии детективов и охранников. Их правовой статус определен в нем достаточно полно (существующие недостатки подробно описаны в литературе, поэтому не рассматриваются).

В то же время статус руководителей службы безопасности, выполняющих, прежде всего, организационно-управленческие функции, не определен. Устраняется этот пробел обычно путем разработки должностных инструкций. Помимо детективов и охранников в службе безопасности работают лица, относящиеся к вспомогательному персоналу (водители, программисты, секретари, машинистки и т. д.). Их статус определяется также должностными инструкциями, а количество регламентируется существующими нормативами.

В Законе четко определено, что служба безопасности создается в интересах собственной безопасности учредителя, однако роль службы безопасности в ее обеспечении не определена. Представляется, что служба безопасности предназначена прежде всего для организации защиты от всех видов угроз.

Детализация тех угроз, устранение, пресечение или нейтрализация которых входит в компетенцию службы безопасности, должна найти отражение в ее Уставе применительно к основным видам безопасности.

Далее приведем краткий перечень возможных действий службы безопасности по пресечению, устранению или нейтрализации угроз в рамках основных видов безопасности:

– физическая безопасность – охрана персонала от насильственных преступлений, предупреждение таких преступлений и т. д.;

– информационная безопасность – сохранение коммерческой тайны, борьба с хакерами и т. д.;

– экономическая безопасность – охрана имущества предприятия, борьба с экономическим шпионажем и т. д.;

– экологическая безопасность – документирование экологических правонарушений, выставление экологических постов и т. д.;

– пожарная безопасность – проектирование, монтаж и эксплуатационное обслуживание пожарной сигнализации, выставление постов в местах возможного загорания, пожаров и т. д.;

– техногенная безопасность – охрана наиболее опасных участков предприятия от террористов, участие в расследовании техногенных катастроф и т. д.;

– психологическая безопасность – информирование персонала предприятия об отсутствии реальных угроз, адекватное реагирование на дезинформационные мероприятия и т. д.;

– научно-техническая безопасность – охрана ноу-хау, организация охраны научных лабораторий и т. д.

Саму же службу безопасности, призванную обеспечить безопасность предприятия, можно определить как его структурное формирование, осуществляющее в рамках законодательства и собственного Устава меры по предотвращению и пресечению угроз интересам своего учредителя.

Следует отметить, что Закон содержит ряд положений, которые могут неоднозначно восприниматься. Так, в частности, среди практиков нет единого понимания о сути запрета на оказание услуг, не связанных с обеспечением безопасности своего предприятия.

Существующие правовые условия обеспечения безопасности в основном позволяют государственным и иным правоохрани­тельным и охранным структурам организовывать противодейст­вие противоправным посягательствам на предпринимательскую деятельность в различных ее сферах.

Успешное и эффективное решение задач обеспечения безо­пасности конкретного банка достигается формированием систе­мы внутренних нормативных актов, инструкций, положений, пра­вил, регламентов и функциональных обязанностей сотрудников и службы безопасности. Требования по правовому обеспечению безопасности предусматриваются во всех структурно-функцио­нальных правовых документах, начиная с устава коммерческого банка и кончая функциональными обязанностями каждого со­трудника.

Действующие в настоящее время и разрабатываемые зако­нодательные и иные нормативные акты предусматривают право банка на выработку собственной концепции системы безопасно­сти и создания соответствующей службы как системы исполни­тельных органов, реализующей эту концепцию.

Исходя из представленных в концепции задач, принципов организации и функционирования системы безопасности, ос­новных угроз безопасности, целесообразно выделить следую­щие основные направления деятельности по обеспечению безопасности:

- информационно-аналитических исследований и прогнозных оценок безопасности;

- безопасности персонала;

- сохранности и физической защиты материальных и финан­совых средств и объектов;

- безопасности информационных ресурсов.

Инженерно-технические основы безопасности

К основным направлениям инженерно-технической безопас­ности правомерно отнести использование различных техниче­ских средств и систем, обеспечивающих безопасность банка, в том числе:

• аппаратные средства обеспечения безопасности;

• программные средства защиты информации в технических средствах обработки;

• математические способы защиты информации от различ­ных угроз и несанкционированных действий.

На практике все мероприятия по использованию технических средств подразделяются на три группы: организационные, организационно-технические и технические.