Principios básicos para crear un sistema para minimizar los riesgos de la información en una gran empresa.

Principios básicos para crear un sistema para minimizar información riesgos en una gran empresa.

Introducción

En una economía de mercado, las empresas comerciales operan constantemente bajo condiciones de riesgo.

Esto significa que en un momento dado existen probabilidades distintas de cero de que ocurran eventos indeseables para las empresas comerciales relacionados con sus actividades directas.

Estos eventos pueden ser muy diversos en contenido, por ejemplo, falta de pago de préstamos por parte de los prestatarios, cambios en las tasas de interés, fallas de los sistemas automatizados, etc.

Por lo tanto, minimizar pérdidas imprevistas en caso de eventos indeseables es un problema urgente para cualquier empresa comercial.

Un análisis de literatura nacional y extranjera conocida muestra que es posible reducir los riesgos de una empresa comercial garantizando su seguridad física y de la información.

Al mismo tiempo, la seguridad física de una empresa comercial se entiende como un estado en el que se garantiza el máximo nivel de protección de las instalaciones, recursos y personal de la empresa frente a posibles impactos físicos y falta de seguridad de la información.— un estado en el que se garantiza el máximo nivel de protección de una empresa comercial contra la fuga o destrucción de información vital, el uso de información sesgada en sus actividades diarias, la difusión de información no rentable o peligrosa en el entorno externo, así como la acceso a la gestión de la empresa de información confidencial falsa.

Por lo tanto, la seguridad de la información de una empresa comercial estará garantizada si se garantizan riesgos mínimos de la información, a saber: fuga y destrucción de la información necesaria para el funcionamiento de la empresa, el uso de información sesgada en las actividades diarias, la falta de información por parte de la dirección. de la empresa necesaria para tomar la decisión correcta (incluso confidencial), así como la difusión por parte de alguien en el entorno externo de información que sea desfavorable o peligrosa para las actividades de la empresa.

Esto asegurará la logro de uno de los objetivos más importantes de la empresa — minimización de los riesgos comerciales asociados a las operaciones realizadas por esta empresa.

Para resolver este problema desde el punto de vista de un enfoque sistemático, es aconsejable desarrollar e implementar en una empresa comercial un sistema para minimizar los riesgos de la información, que es un conjunto interconectado de órganos, medios, métodos y medidas que aseguran la minimización de los riesgos de fuga y destrucción de información necesaria para el funcionamiento de la empresa, el uso de información sesgada en las actividades cotidianas, la falta de información (incluida la confidencial ) de la dirección de la empresa necesaria para tomar la decisión correcta, así como la difusión por parte de alguien en el entorno externo de información no rentable o peligrosa para las actividades de la empresa.

Justificación de la estructura del sistema de minimización de riesgos de la información

Como se señaló anteriormente, los principales riesgos de información de cualquier empresa comercial, incluida una gran empresa comercial, son:

• el riesgo de fuga y destrucción de información necesaria para el funcionamiento de la empresa;
• el riesgo de utilizar información sesgada en las actividades de la empresa;
• el riesgo de que la dirección de la empresa no tenga la información necesaria (incluida la confidencial) para tomar decisiones correctas;
• el riesgo de que alguien difunda en el entorno externo información desfavorable o peligrosa para la empresa.

Un análisis de los riesgos anteriores muestra que están asociados a la información confidencial (el riesgo de fuga y destrucción de información, el riesgo de que la dirección de la empresa no disponga de la información necesaria) y, principalmente, a la información ordinaria (el riesgo de utilizar información sesgada en las actividades de la empresa, el riesgo de que alguien distribuya información no rentable o peligrosa).

Al mismo tiempo, el riesgo de fuga y destrucción está asociado con la propia información confidencial de la empresa, y el riesgo de ausencia &#8212 ; con la información confidencial necesaria de otras estructuras comerciales y empresas.

Por tanto, eliminar estos riesgos en las actividades de la empresa requiere resolver determinadas tareas específicas en relación a cada uno de ellos, que no se superponen, porque Tenemos diferentes fuentes de esta información.

Dado que el riesgo de utilizar información sesgada en las actividades diarias de una empresa comercial está asociado principalmente con la calidad del proceso de recopilación y es manejable, el riesgo de que alguien difunda información no rentable o peligrosa para la empresa puede deberse a una un complejo bastante grande de razones externas e internas, por ejemplo, la filtración de cierta información confidencial de una empresa comercial, el establecimiento de objetivos y las tareas que actualmente están resolviendo empresas competidoras, etc.

Obviamente, la mayoría de las razones pueden eliminarse garantizando la protección de la información confidencial en una empresa comercial, así como recopilando y proporcionando a la dirección de una empresa comercial la información confidencial necesaria sobre los planes de las empresas competidoras, las tareas que realizan. actualmente resolviendo, etc.

Otra parte de las razones mal tomadas en cuenta, por ejemplo, la hostilidad personal hacia el director de una empresa comercial, el deterioro de las relaciones comerciales entre empresas, puede llevar a la aparición en los medios de comunicación. de información desfavorable y en algunos casos peligrosa para la empresa.

Por lo tanto, para eliminar o al menos reducir el riesgo de difusión de esta información por parte de empresas competidoras, es necesario difundir de forma proactiva información verdadera y, en algunos casos, información errónea.

Por lo tanto, eliminar los riesgos de información mencionados anteriormente de una empresa comercial requiere la solución de conjuntos de tareas que son diferentes en propósito y contenido.

El sistema de minimización de riesgos de información debe incluir los siguientes subsistemas:

• subsistema de seguridad de la información;
• subsistema de salida de información;
• subsistema de investigación de información;
• subsistema de recopilación de información;
• un subsistema de control diseñado para gestionar subsistemas dentro del sistema.

Las principales tareas que resuelve el subsistema de control son:

• análisis el estado actual de los subsistemas con base en la información recibida de los subsistemas:
• desarrollo, con base en la información disponible y recibida de la dirección de una empresa comercial, de acciones de control encaminadas a resolver los problemas globales y locales que enfrenta el empresa;
• llevar las acciones de control apropiadas a los subsistemas;
• monitorear los cambios en el estado actual de los subsistemas al implementar acciones de control y, si es necesario, emitir acciones de control correctivas.

La Figura 1 muestra la conexión de los riesgos de la información de una empresa comercial con los subsistemas que conforman el sistema de minimización de riesgos de la información.

Fig. 1.

Subsistema de seguridad de la información

Las principales tareas que resuelve el subsistema de seguridad de la información son:

• identificación de la información a ser protegido;
• identificar las fuentes que tienen, poseen o contienen esta información;
• identificar formas de acceso no autorizado a esta información;
• desarrollo e implementación de medidas organizativas y técnicas para proteger la información confidencial.

La información de una empresa comercial puede tener los siguientes cuatro niveles de importancia:

1. vitales decir. información cuya filtración o destrucción amenaza la existencia misma de la empresa;
2. importante, es decir información cuya filtración o destrucción genera grandes costes;
3. útil, es decir. información cuya filtración o destrucción causa algún daño, pero la empresa puede funcionar con bastante eficacia incluso después de eso;
4. insignificante, es decir información, cuya fuga o destrucción no causa daño a la empresa y no afecta el proceso de su funcionamiento.

Es obvio que la información de los primeros tres niveles de importancia debe ser protegida, y el grado de protección debe, en caso general, estar determinado por el nivel de importancia de la información.

Esto se debe principalmente al hecho de que el grado de protección está directamente relacionado con el costo de su implementación, por lo que, en general, no es económicamente viable proteger la información con medios de protección costosos si su fuga o destrucción conduce a daños menores.

La información de los tres primeros niveles, por regla general, se refiere a un secreto comercial y la determina el director de la empresa de conformidad con el Decreto del Gobierno de la Federación de Rusia del 5 de diciembre de 1991 No. 35 «En la lista de información que no puede constituir un secreto comercial».

El procedimiento para identificar información que constituya un secreto comercial, identificar las fuentes que poseen, poseen o contienen esta información debe ser el siguiente.

La orden de una empresa comercial obliga a los jefes de las divisiones estructurales a realizar trabajos para identificar información que constituye un secreto comercial, sus áreas de trabajo, las personas autorizadas para tener acceso a esta información, así como los portadores de esta información.

El resultado de este trabajo debe ser una «Lista de información que constituye un secreto comercial de la empresa» aprobada por el director de la empresa. indicando dicha información para cada una de las divisiones estructurales; personas que sean portadoras de esta información; documentos que contengan esta información, así como otros medios (técnicos) para esta información, si los hubiera.

Al identificar información que constituye un secreto comercial, es necesario tener en cuenta que cada unidad estructural de una empresa comercial se caracteriza por una determinada selección de socios, clientes, etc. y no está interesado en mostrar, por ejemplo, a las empresas competidoras su retrato informativo, ya que esta visualización puede alterar la estabilidad del funcionamiento de la división y debilitar su competitividad.

Por lo tanto, información de esta naturaleza también debe clasificarse como secreto comercial

.Después de identificar la información que constituye un secreto comercial e identificar las fuentes que tienen, poseen o contienen esta información, los métodos de acceso no autorizado a esta información se identifican seleccionando métodos del conjunto de métodos principales de acceso no autorizado a fuentes de información confidencial que se muestra en la Fig. 2.

Fig. 2.

El Apéndice 1 presenta el contenido de los principales métodos de acceso no autorizado a información confidencial, que se tienen en cuenta al crear un subsistema de seguridad de la información, y proporciona datos sobre la proporción de métodos de acceso no autorizado, basándose en materiales de la prensa extranjera.

El conocimiento de los métodos de acceso no autorizado a información confidencial permite llevar a cabo el correcto desarrollo e implementación de medidas organizativas y técnicas para proteger esta información.

De lo discutido se desprende que los principales canales para la fuga de información confidencial son los empleados de una organización comercial, los documentos y los medios técnicos para procesar y transmitir información.

Como lo demuestra la experiencia nacional y extranjera, A pesar de la introducción cada vez más generalizada de nueva información en la práctica de las tecnologías de las empresas comerciales, la principal fuente de filtración de información confidencial son los empleados de estas empresas.

Conviene citar aquí la afirmación de psicólogos italianos de que de todos los empleados de cualquier empresa: 25% — son personas honestas, 25% — esperan una oportunidad para revelar secretos y el 50% actuará dependiendo de las circunstancias.

Obviamente, en nuestro país es poco probable que estas cifras difieran para mejor, porque no hay razones políticas o económicas para esto.

Por lo tanto, en relación con tal situación, es necesario comprender que es prácticamente imposible crear condiciones en una empresa comercial que excluyan por completo el acceso no autorizado a esta fuente de información confidencial, sólo se puede reducir significativamente su papel entre otras fuentes de filtración; de información confidencial.

Para ello, la empresa necesita resolver las siguientes tareas:

• crear una base legal para garantizar la protección de información implementando:
• introducir adiciones a los estatutos empresariales que otorgan el derecho a la gestión de la empresa:
• crear estructuras organizativas para proteger los secretos comerciales;
• emitir documentos regulatorios y administrativos que regulen el procedimiento para determinar la información que constituye un secreto comercial y los mecanismos para su protección;
• incluir requisitos para la protección de secretos comerciales en contratos para todo tipo de actividades comerciales;
• exigir la protección de los intereses de la empresa ante las autoridades gubernamentales y judiciales;
• disponer de información que es propiedad de la empresa con el fin de obtener beneficios y evitar daños económicos a la empresa;
• adiciones al “Convenio Colectivo”, si se desarrolla en la empresa, con disposiciones que establezcan las responsabilidades de la administración y empleados de la empresa relacionadas con el desarrollo e implementación de medidas para identificar y proteger secretos comerciales, el cumplimiento de los requisitos para la protección de secretos comerciales en la empresa, y la participación de los infractores de los requisitos para la protección de secretos comerciales en responsabilidad administrativa o penal de acuerdo con la legislación vigente, instruyendo a las personas contratadas sobre las reglas para el mantenimiento de secretos comerciales con la ejecución de una obligación escrita en su no divulgación, remoción del trabajo relacionado con secretos comerciales de personas que violen los requisitos establecidos para su protección;
• adiciones al «contrato de trabajo» requisitos para la protección de secretos comerciales si el acuerdo se concluye por escrito; al celebrar un acuerdo oralmente, informar a la persona con la que se celebra el contrato de trabajo sobre las normas internas, incluidos los requisitos para la protección de los secretos comerciales;
• informar a cada empleado de la empresa de la «Lista de información que constituye un secreto comercial de la empresa& #187; en lo que respecta;
• crear condiciones internas favorables en la empresa para el mantenimiento de secretos comerciales mediante la implementación de:
• identificar y despedir a personas que esperan una oportunidad para revelar secretos comerciales (según los psicólogos italianos, la proporción de estas personas en casi cualquier empresa es aproximadamente el 25% del número total de empleados de la empresa). Para ello se pueden utilizar datos del cuerpo de personal de la empresa, los resultados del estudio de los empleados, el control abierto y secreto de sus actividades, etc.;
• identificación y seguimiento cuidadoso de las actividades de los empleados insatisfechos con algo o constantemente necesitados de medios de subsistencia, trabajando a tiempo parcial en cualquier empresa o con la intención de ir a trabajar a otra empresa;
• formación de un clima psicológico en la empresa y en sus divisiones estructurales, en el que sería conveniente y rentable para los empleados de la empresa cumplir con los requisitos para la protección de los secretos comerciales. Para ello, se pueden utilizar, por ejemplo, incentivos financieros para los empleados que no violen los requisitos para la protección de secretos comerciales dentro de un período predeterminado;
• organizar e implementar un sistema de capacitación continua de los empleados de la empresa sobre las reglas y procedimientos para trabajar con información confidencial y realizar negociaciones. La formación de los empleados debe implicar no sólo la adquisición y el mantenimiento sistemático de un alto nivel de habilidades para trabajar con información confidencial, sino también su educación en términos de una profunda convicción en la necesidad de cumplir con los requisitos para la protección de los secretos comerciales;
• realizar conversaciones con los despedidos, cuyo objetivo principal es evitar la filtración de información confidencial o su mal uso. Durante las conversaciones, se debe enfatizar especialmente que cada empleado que renuncia está obligado a no revelar secretos comerciales que haya conocido durante su trabajo en la empresa, y esta obligación debe estar respaldada por una firma de no divulgación de información confidencial. información conocida por el empleado;
• realizar controles especiales en los locales de la oficina, cuyo objetivo es identificar los dispositivos electrónicos de escucha incorporados en dichos locales.

Las inspecciones especiales deben realizarse utilizando métodos especiales e incluir los siguientes tipos de trabajo:

• examen e inspección especial mediante medios técnicos de la superficie de paredes, techos, suelos, marcos de puertas y ventanas, así como muebles, elementos de interior, souvenirs, etc. Para su realización se utilizan los siguientes equipos y tecnología: localizador no lineal, complejo portátil de rayos X, detector de metales, detector de vacíos, indicador de campo electromagnético, medidor de radiofrecuencia, así como equipos auxiliares de inspección;
• Inspección visual e inspección mediante medios técnicos de dispositivos electrónicos localizados. En este caso se utiliza lo siguiente: un complejo de rayos X portátil, un indicador de campo electromagnético, un medidor de radiofrecuencia y un juego de lupas;
• Inspección visual y pruebas utilizando medios técnicos de líneas alámbricas (red eléctrica, red telefónica de abonado, sistema de relojería, sistemas de alarma contra incendios y de seguridad, etc.). Para realizar este tipo de trabajos se utilizan equipos de monitoreo de línea alámbrica, un indicador de campo electromagnético y un medidor de radiofrecuencia;
• radiocontrol (radiovigilancia) de locales. Este tipo de trabajos se realiza mediante sistemas de control hardware y software o receptores de escáner convencionales. Los analizadores de espectro se utilizan para analizar la estructura de las señales. Para evitar escuchas durante un evento particularmente importante (reuniones, negociaciones, reuniones, etc.), es recomendable realizar un monitoreo radioeléctrico de las instalaciones asignadas para este propósito antes y durante este evento, así como configurar interferencias específicas y de ruido utilizando medios especiales durante la realización de un evento;
• recopilar y responder correctamente a información sobre intentos de diversos contactos con empleados de la empresa destinados a obtener información confidencial.

La siguiente fuente más importante de filtración de información confidencial hay varios tipos de documentos.

Aquí es necesario tener en cuenta que el desarrollo bastante rápido de la tecnología de la información ha llevado a la aparición de nuevos tipos de soportes de información documental: impresiones informáticas, soportes de almacenamiento magnéticos, etc.

Al mismo tiempo, la importancia en las actividades comerciales de los tipos tradicionales de documentos en papel: contratos, cartas, revisiones analíticas, etc.

La aparición de nuevos soportes de información documental ha llevado no solo a la aparición de nuevas dificultades para resolver el problema de garantizar la protección de la información confidencial contra el acceso no autorizado a su contenido, sino también a nuevas oportunidades para garantizargarantizado protección de esta información.

Aquí estamos hablando principalmente de almacenar información de documentos particularmente importante en soportes magnéticos en una forma convertida mediante transformaciones criptográficas.

Por lo tanto, para excluir el acceso no autorizado a esta fuente de información confidencial, se pueden utilizar métodos tanto tradicionales como no tradicionales, a saber:

• seguridad de locales y oficinas, así como medidas efectivas control de acceso a las entradas en los mismos;
• cuidadosa selección de empleados para trabajar en el sistema de gestión de la oficina;
• implementación de una organización clara del sistema de trabajo de oficina, definiendo las funciones para garantizar la seguridad de la información confidencial cuando se trabaja con documentos y medios técnicos y métodos para realizar funciones al documentar información, registrar documentos, organizar el flujo de documentos, garantizar el almacenamiento confiable de documentos y su destrucción oportuna, así como verificar la disponibilidad de los documentos y monitorear la puntualidad y la corrección de su ejecución;
• desarrollo e implementación de documentos que regulan todas las acciones del usuario cuando trabaja con diversos documentos que contienen información confidencial y medios técnicos;
• almacenamiento de información de documentos confidenciales en medios magnéticos y en la memoria de la PC en una forma convertida mediante transformaciones criptográficas. Para ello se puede utilizar con bastante eficacia el estándar ruso de cifrado de datos GOST 28147 — 89, así como otras transformaciones criptográficas.

Los medios técnicos de procesamiento y transmisión de informaciónson también la principal fuente de fuga de información confidencial.

Esto se debe al hecho de que en las actividades de las empresas comerciales, junto con los medios tradicionalmente utilizados para procesar y transmitir información, por ejemplo, comunicaciones telefónicas por radio y por cable, comunicaciones por télex y telefax, se utilizan cada vez más nuevas tecnologías de la información informática, incluidas las estaciones de trabajo automatizadas. , redes informáticas locales y globales.

Cabe señalar que, independientemente del propósito de los medios de procesamiento y transmisión de información y las tareas resueltas por este medio, el acceso no autorizado a la información es posible como resultado de las siguientes acciones por parte de un atacante:

• escuchar información transmitida a través de líneas telefónicas cableadas, utilizando marcadores telefónicos preinstalados;
• recuperación remota de información confidencial desde medios técnicos de procesamiento y transmisión de información (generalmente desde una PC) utilizando hardware preinstalado marcadores;
• recepción pasiva de señales transmitidas en redes informáticas, radiación electromagnética parásita e interferencias generadas por diversos medios de procesamiento y transmisión de información;
• copia (robo) de información confidencial almacenada en la memoria de la PC.

Para garantizar la protección de la información confidencial bajo estas condiciones, debe hacer lo siguiente:

• introducir en la práctica controles especiales de computadoras personales para identificar y eliminar defectos de hardware, así como realizar controles especiales periódicos de aparatos telefónicos, enchufes telefónicos y líneas telefónicas de una empresa comercial para identificar y eliminar defectos telefónicos;
• garantizar la protección criptográfica de los canales telefónicos a través de los cuales se puede transmitir o transmitir información confidencial, por ejemplo, canales telefónicos entre el director de una empresa comercial y los jefes de divisiones estructurales;
• proporcionar protección criptográfica de los canales de comunicación de la red informática a través de los cuales se intercambia información confidencial;
• proteger los objetos de la red informática del acceso no autorizado a la información confidencial almacenada;
• neutralizar la radiación electromagnética espuria y las interferencias utilizando técnicas especiales soluciones y medios técnicos de protección activa.

El Apéndice 2 analiza los principios básicos de la conversión criptográfica de mensajes telefónicos analógicos y digitales, presenta datos de una evaluación comparativa del estándar federal estadounidense de cifrado DES y el estándar ruso GOST 28147-89, así como las principales características de los medios de provisión criptográfica. protección de mensajes telefónicos disponibles en el mercado ruso.

El Apéndice 3 analiza los principios básicos de protección de redes informáticas contra el acceso no autorizado a información almacenada y transmitida, nuevos algoritmos para la transformación criptográfica de mensajes transmitidos a través de redes informáticas y la generación de un código de firma electrónica para estos mensajes.

Subsistema de entrega de información

Subsistema de entrega de información está diseñado para la entrega dirigida de información al entorno externo que crea condiciones favorables. para el funcionamiento eficaz de una empresa comercial.

Esta información incluye dos componentes: información liberada al entorno externo para aumentar la demanda de los servicios o productos ofrecidos, así como información liberada al entorno externo para crear un cierto nivel de conciencia necesario para una empresa comercial.

Obviamente, aquella información liberada al medio externo con el fin de incrementar la demanda de los servicios y productos ofrecidos debe incluir publicidad de los productos o servicios ofrecidos, relaciones públicas, etc. y su emisión debe ser manejada por el departamento de publicidad o una unidad que realiza tareas similares al departamento de publicidad.

La información liberada al entorno externo para crear un cierto nivel de conciencia necesario para una empresa comercial debe formarse como resultado de un análisis del entorno y la adopción de ciertas decisiones por parte de la dirección de una empresa comercial.

Para ello se deberán realizar las siguientes actividades:

Para ello se deberán realizar las siguientes actividades:

• información identificada sobre una empresa comercial , que, como resultado de su difusión en el entorno externo, contribuiría a la creación de condiciones favorables para la solución de los problemas actuales y futuros que enfrenta la empresa;
• Se llevó a cabo un análisis del grado de correspondencia de esta información con la información sobre una empresa comercial actualmente disponible en el entorno externo;
• se identificó la información necesaria para su emisión al entorno externo y el procedimiento para su emisión se determinó.

Ejemplos de dicha información son información que ayuda a crear la imagen de un servicio de seguridad sólido de una empresa comercial, por ejemplo, información sobre el uso de las últimas herramientas para la protección criptográfica de datos en la memoria de la PC, que brindan durabilidad garantizada, lo que puede evitar intentos de copiar y robar estos datos, e incluso información errónea.

Subsistema de recopilación de información

La tarea del subsistema de recopilación de información es proporcionar a la dirección de una empresa comercial información objetiva en el momento adecuado, permitiéndole tomar las decisiones correctas.

Un análisis de las tareas generales que enfrenta una empresa comercial muestra que la recopilación inicial de información debe llevarse a cabo en las siguientes áreas con la formación de bases de datos apropiadas:

• competidores actuales y potenciales ;
• solicitudes de los clientes, canales de distribución de productos y servicios;
• producción y uso de productos y servicios;
• leyes, nuevas leyes y regulaciones que afectan los intereses de una empresa comercial,
• recursos financieros y materiales necesarios para el funcionamiento normal de la empresa;
• tendencias generales en los campos político, económico, social y demográfico;
• otros factores que influyen en las actividades de la empresa.

Las principales fuentes de información necesarias para la formación de bases de datos son:

• clientes, socios de los clientes, sus principales especialistas y otros empleados;
• proveedores de diversos equipos para una empresa comercial de acuerdo con sus áreas de actividad, por ejemplo, proveedores de sistemas y equipos de automatización, sistemas y equipos de alarma de seguridad, etc.;
• socios;
• agentes publicitarios, representantes de empresas de relaciones públicas, empresas de correo, etc.;
• agentes de ventas de diversas firmas y empresas;
• consultores y expertos contratados por una empresa comercial para resolver diversas tareas ;
• Prensa local, nacional e internacional;
• publicaciones especiales y diversas bases de datos (bancos) de datos;
• exposiciones y conferencias;
• documentos reglamentarios.

Parece posible combine estas fuentes teniendo en cuenta sus características en los siguientes grupos:

• publicaciones generales, publicaciones especiales y bases de datos (bancos) de datos;
• clientes, clientes ' socios (incluidos especialistas líderes y otros empleados), proveedores de equipos, socios y agentes de ventas;
• agentes de publicidad, representantes de empresas de relaciones públicas, empresas de correo, consultores y expertos, documentos reglamentarios;
• exposiciones y conferencias.

Como se muestra en la práctica, estos grupos de fuentes le permiten obtener la información necesaria en la siguiente proporción:

• primer grupo — alrededor del 30-40% de la información necesaria;
• segundo grupo — alrededor del 30-40% de la información necesaria;
• tercer grupo — alrededor del 10-15% de la información necesaria;
• cuarto grupo — alrededor del 4-5% de la información necesaria.

Así, estas fuentes de información permiten obtener del 74 al 100% de la información necesaria para tomar las decisiones correctas.

Tenga en cuenta que el acceso al primer grupo de fuentes es el más fácil y económico. Por lo tanto, la consideración de cualquier número nuevo debe comenzar con un análisis de las publicaciones periódicas que cubren el área de interés, si no existen publicaciones especiales dedicadas a este tema. A menudo, este enfoque es el mejor para obtener información de interés, nombres y direcciones de organizaciones.

Todos los empleados de una empresa comercial que, por sus funciones oficiales, puedan entrar en contacto con representantes de organizaciones de terceros, deben participar en la obtención de información del segundo grupo de fuentes. Como regla general, la información recibida de estas fuentes le permite completar las bases de datos en la siguiente proporción: el 60% de la información se relaciona con las bases de datos «competidores-recursos-del-mercado» «tecnología», 15% — «documentos reglamentarios» (leyes, estatutos y reglamentos); 10% — «tendencias de desarrollo».

La información del tercer grupo de fuentes permite, principalmente, completar bases de datos de documentos regulatorios y tendencias de desarrollo.

La información del cuarto grupo de fuentes es pequeña en comparación con la información recibida de otros grupos de fuentes, pero es la más precisa. Por tanto, extraer el mayor beneficio informativo de la visita a exposiciones y la participación en congresos implica realizar ciertos trabajos preparatorios, por ejemplo, estudiar catálogos, cuestiones relacionadas con el tema de la exposición, etc.

Un análisis de los problemas resueltos por el subsistema de recopilación de información muestra que la mayor parte de estos problemas puede ser resuelto por el departamento de marketing de una empresa comercial con la participación de especialistas relevantes de esta empresa, así como de expertos externos.

Subsistema de investigación de información

El subsistema de investigación de información está diseñado para resolver las siguientes tareas:

• determinar la información necesaria para que la gestión de una empresa comercial tome decisiones cardinales efectivas para expandir (conquistar) mercados para sus bienes y servicios en diversas condiciones de la situación actual;
• recopilación, análisis y suministro de esta información a la dirección de la empresa.

Los objetos de interés de este sistema en general son:

• diversos tipos de actividades empresas y organizaciones:
  • actividades productivas y productivas;
  • actividades científicas;
  • actividades comerciales y financieras;
  • actividades intermediarias;
  • otras actividades;
• productos y servicios:
  • descubrimientos e invenciones;
  • tecnología de fabricación;
  • diseños industriales;
  • proyectos e informes técnicos;
  • know-how, etc.;
• información:
  • sobre finanzas y precios;
  • sobre recursos;
  • sobre proveedores y clientes, etc.

Obtener información sobre diversos tipos de actividades de empresas y organizaciones, sus productos y servicios ofrecidos, finanzas y precios, recursos, proveedores y clientes, etc. se realiza a partir de las fuentes de esta información.

El análisis de los datos disponibles nos permite establecer con cierto grado de generalización que las principales fuentes de dicha información son:

• empleados de empresas y organizaciones;
• documentos recibidos y enviados por una empresa u organización, así como almacenados en una empresa u organización;
• medios técnicos para procesar y transmitir información, así como diversas líneas de comunicación;
• productos de empresas y organizaciones;
• residuos industriales y de producción.

Es obvio que, en función de las tareas que resuelve una determinada empresa u organización, siempre es posible seleccionar las más significativas de este conjunto de fuentes.

Las principales formas de acceder a ellas fuentes de información sobre diversos tipos de actividades de empresas y organizaciones, sus productos y servicios ofrecidos, finanzas y precios, recursos, proveedores y clientes, etc. son los siguientes:

• cooperación por iniciativa;
• inclinación a cooperar;
• olfatear (entrevistar);
• escuchar;
• familiarización secreta con información y documentos;
• robo;
• copiar;
• intercepción;
• observación visual;
• fotografía.

El Apéndice 4 muestra el contenido de estos métodos y el procedimiento para implementando algunos de ellos.

Independientemente de las características específicas de la información confidencial que se obtenga, el acceso a la misma debe realizarse realizando secuencialmente las siguientes acciones:

• una comprensión clara del contenido, volumen, características , etc. información que debe obtenerse como resultado de las actividades en curso;
• identificar fuentes de información de interés y clasificarlas según el grado de integridad de la posesión, posesión o contenido de esta información;
• evaluación de posibles formas de acceder a fuentes de información de interés y selección de las más efectivas en las condiciones económicas, técnicas, etc. restricciones;
• implementación de métodos seleccionados de acceso a fuentes de información de interés con la posibilidad de su posterior corrección.

Cabe señalar que el alto nivel de tecnología El desarrollo en diversos campos de la tecnología ha llevado a que la mayor parte de la información confidencial ahora se pueda obtener utilizando modernos equipos de inteligencia electrónica, así como software especial.

Esto se debe al hecho de que con la ayuda de dichos medios es posible acceder a fuentes de información confidencial como empleados de empresas y organizaciones, documentos almacenados en la memoria de la computadora y mostrados en las pantallas de los monitores, medios técnicos para procesar y transmitir información.

Principal Según los expertos, uno de los medios técnicos más comunes destinados a la adquisición no autorizada de información confidencial es una variedad dedispositivos electrónicos de escuchainformación o los llamados marcadores. El Apéndice 5 muestra algunas características y prestaciones de dichos dispositivos electrónicos.

El procedimiento para utilizar dispositivos electrónicos de escucha en los locales de interés depende significativamente de las posibilidades de acceso a estos locales y del alcance de estos dispositivos disponibles. Por lo tanto, a continuación se analizan los casos más típicos de uso de dispositivos electrónicos de escucha (marcadores) que pueden ocurrir en la práctica.

1. Etapa de construcción y reconstrucción de la instalación.

La etapa de construcción o reconstrucción de la instalación es la más favorable para la instalación de marcadores, ya que existe un acceso prácticamente libre e incontrolado al local, su iluminación, sistemas de alarma, comunicaciones, etc.

Durante este período, se pueden instalar dispositivos bastante complejos, incluidos aquellos con control remoto, que utilizan señales complejas y transformación criptográfica de información para su transmisión. Se trata, por regla general, de marcadores de red, marcadores de radio, alimentados desde una red de corriente alterna o desde una línea telefónica, es decir. marcadores con validez ilimitada. Se instalan en lugares de difícil acceso y quedan bien camuflados.

Durante la construcción, se pueden incorporar radioestetoscopios de larga duración en las paredes del edificio. Los sensores tipo acelerómetro utilizados en el radioestetoscopio perciben las vibraciones que se producen durante las conversaciones en interiores en el rango de frecuencia de 100 Hz a 10 kHz. El alcance de transmisión de información es de unos 500 m y la vida útil es de — 10 años.

2. La etapa de la actividad diaria de una empresa cuando el acceso a las instalaciones no está controlado.

En este caso, se pueden instalar marcadores acústicos en el interior de las instalaciones, artículos cotidianos, equipos de radio, energía enchufes y aparatos eléctricos, comunicaciones técnicas y sus líneas de conexión, etc.

Lo más recomendable es instalar marcadores a la hora de realizar trabajos preventivos en sistemas de suministro de energía, comunicación y alarma, así como en la limpieza de locales. Al mismo tiempo, instalar un enchufe de red en lugar de un tomacorriente normal lleva unos minutos y reemplazar un cable de extensión normal por un dispositivo similar — unos segundos.

Durante este período, las libretas telefónicas también se pueden instalar en el cuerpo del teléfono, en el microteléfono, en la toma del teléfono, así como directamente en el recorrido de la línea telefónica. En este caso, sustituir una cápsula de micrófono convencional por una similar, pero con un marcador telefónico instalado, no lleva más de 10 segundos.

3. Etapa de la actividad diaria de una empresa en la que el acceso a las instalaciones está controlado, pero los visitantes pueden permanecer en ellas por un corto tiempo.

Esto es típico de oficinas, áreas de recepción o salas de descanso para personal de gestión.

En este caso, lo más recomendable es instalar marcapáginas directamente en el interior de la habitación, por ejemplo, debajo de un sillón o mesa, debajo del alféizar de una ventana, detrás de una cortina, o utilizar marcapáginas camuflados como un paquete de cigarrillos arrugado o un Trozo de cartón que se puede tirar a la basura. Además, los marcadores se pueden instalar reemplazando los objetos que se encuentran permanentemente en una habitación determinada por otros similares, pero equipados con marcadores.

4. La etapa de la actividad diaria de la empresa, cuando el acceso al local es imposible, pero no se excluye el acceso a los locales vecinos.

En este caso, para acceder a la información, es recomendable utilizar radioestetoscopios, que permiten obtener la información de interés mediante la recopilación de señales acústicas de las paredes de las habitaciones, los cristales exteriores de las ventanas, las tuberías de los sistemas de calefacción y suministro de agua.

Además, los marcadores telefónicos se pueden instalar en la ruta de la línea telefónica a la caja de distribución, ubicada, por regla general, en el mismo piso que la habitación donde está instalado el teléfono controlado, o en la ruta de la línea telefónica desde la caja de distribución a el panel de distribución del edificio, generalmente ubicado en el primer piso o sótano.

Para acceder a la información procesada en una PC, sin conexión directa a la PC, se pueden utilizar sistemas especiales que permiten restaurar la información mostrada en la pantalla del monitor como resultado del análisis y procesamiento adecuado de la radiación electromagnética lateral interceptada. Dichos sistemas incluyen los sistemas 4625-COM-INT, RK-6630, que tienen dimensiones y peso relativamente pequeños (por ejemplo, el sistema 4625-COM-INT tiene unas dimensiones de 25x53x35 cm y un peso de 18 kg), pero capacidades bastante grandes.

Apéndice 1

Contenido de los métodos principales de acceso no autorizado
a información confidencial tenido en cuenta al crear
un subsistema de seguridad de la información

Colaboración en iniciativasse manifiesta en ciertas acciones de personas que están insatisfechas con algo o que necesitan urgentemente un medio de subsistencia entre aquellos que, por regla general, trabajan en una empresa comercial, trabajan en algún lugar a tiempo parcial o tienen la intención de ir a trabajar para otro. empresa. La posibilidad fundamental de la existencia de tal método de acceso no autorizado a fuentes de información confidencial se evidencia en la conocida afirmación de psicólogos italianos de que de todos los empleados de cualquier empresa, el 25% — son personas honestas, el 25% de las personas esperan una oportunidad para revelar secretos y el 50% de las personas actuarán dependiendo de las circunstancias.

Inclinación a cooperar— Este suele ser un acto violento por parte de los atacantes. La incitación a la cooperación (reclutamiento) puede llevarse a cabo mediante soborno, intimidación y chantaje. Muy cerca de la inclinación a cooperar está atraer a especialistas conocedores de una empresa al lado de una empresa competidora para adquirir sus conocimientos.

Investigación (entrevista) — Este es el deseo de obtener cierta información bajo la apariencia de preguntas ingenuas. La experiencia demuestra que la forma más efectiva y secreta de obtener dicha información es a través del círculo inmediato de los directivos de una empresa comercial (secretarias, asistentes, conductores, amigos cercanos, etc.).

Escuchas furtivas— un método de acceso no autorizado a información confidencial, basado en el uso de agentes especialmente capacitados, informantes y técnicas especiales de escucha. Las escuchas ilegales son una de las formas más comunes de obtener información confidencial, porque… Al escuchar a escondidas, el habla humana se percibe directamente con sus características, color, entonación y una cierta carga emocional, que a menudo no es menos importante que el contenido del discurso en sí, y las conversaciones escuchadas en sí se perciben en tiempo real y, en gran medida, hasta cierto punto, puede permitir que el atacante tome ciertas decisiones de manera oportuna.