Корпоративная безопасность — это система инструментов, при помощи которых компания противостоит внешним и внутренним угрозам. Чтобы создать такую систему на предприятии, нужно знать и использовать принципы организации корпоративной безопасности.
1. Законность
Система безопасности компании должна строиться на основе федеральной нормативной базы в области предпринимательства. В работе вы должны применять разрешенные методы обнаружения и пресечения правонарушений. Локальные нормативные акты предприятия также не должны противоречить законам и подзаконным актам.
Российское законодательство в части корпоративной безопасности несовершенно. Поэтому не всегда понятно, законны ли принятые решения или нет. Основной нормативный акт, который регулирует вопросы корпоративной безопасности, — это закон о частной, охранной и детективной деятельности, принятый в 1992 году как переходной, потому что бизнес тогда только зарождался, а государство было не в состоянии его защитить. Этот документ рассматривает корпоративную безопасность как один из видов бизнеса.
Примеров несовершенства законодательства в сфере корпоративной безопасности много: так, служба безопасности может проводить постоянный мониторинг всех действий сотрудников в том числе вести скрытое или открытое видеонаблюдение, прослушивать и записывать корпоративные телефонные переговоры, мониторить компьютерные сети или рабочие станции сотрудников, только если сотрудники уведомлены об этом и подписали соответствующую бумагу. Для этого на предприятии обязательно должны быть локальные нормативные акты, но лучше всего написать в трудовом договоре примерно так: «В целях повышения производительности труда в компании может проводиться постоянный мониторинг всех действий сотрудников». В любом случае все подписывают договор и соглашаются с действиями службы безопасности. А под мониторингом понимается все что угодно: и просмотр действий на компьютере, и видеонаблюдение.
2. Комплексность
Этот принцип требует обеспечивать безопасность всех направлений работы и участников процесса (материальных, денежных и информационных ресурсов, сотрудников). Для обеспечения безопасности нужно использовать все силы и средства, которые есть в компании. Каждый работник в рамках своих компетенций должен в этом участвовать.
Пример
Директор одного предприятия похвалился суровой защитой на криптосервере и хорошей организацией безопасности в целом. Но в коридорах, даже вечером, при этом не работали лампочки, даже ресепшен был плохо освещен. А в юридическом отделе в это время 30 человек регистрировали фирмы-однодневки: у каждого на столе лежали бумаги и по пять печатей, которые даже не убирали на ночь.
Защита сервера – это хорошо. Но непорядок на предприятии, отсутствие нормативных актов по безопасности, регламентов работы с документами вредит комплексной безопасности.
3. Своевременность
Комплексную систему безопасности компании нужно создавать на основе анализа угроз и экономической обстановки. Задачи по разработке мер противодействия угрозам ставятся уже на ранних этапах создания такой системы.
Все, что происходит по линии корпоративной безопасности, должно идти на упреждение: как минимум на один шаг впереди потенциального правонарушителя. Когда произошел инцидент, заниматься безопасностью уже поздно, остается только принимать меры, чтобы в будущем он не повторился. Часто в компаниях задумываются о безопасности, когда уже произошло серьезное ЧП.
4. Непрерывность
Обеспечение корпоративной безопасности — непрерывный процесс. Меры по защите бизнеса принимаются постоянно, а не от случая к случаю. Непрерывный цикл работы системы безопасности выглядит так:
планирование → реализация → проверка → совершенствование → планирование
Например, телохранители охраняют первое лицо компании в течение рабочего дня, а вечером дома директор идет выбрасывать мусор без охраны. Наблюдается разрыв принципа, это часто связано с человеческим фактором: в присутствии начальника службы безопасности все работает, в его отсутствие система дает сбой.
На принцип непрерывности может влиять временной фактор (днем все функционирует, ночью нет), сезонный (при плюсовой температуре техника хорошо работает, в морозы начинаются сбои).
5. Активность
Принцип требует настойчиво защищать интересы компании, использовать для этого все доступные ресурсы и нестандартные способы обеспечения безопасности. Лучшая защита — это нападение. Все по линии безопасности должно выполняться активно.
6. Системность
Нужно учитывать все факторы, которые влияют на безопасность компании, обязательно подключать всех сотрудников в работу по обеспечению безопасности, использовать все имеющиеся средства для защиты от угроз.
Часто бизнес создает лишь один элемент безопасности (например, защиту компьютерных сетей) и на этом система заканчивается — организация остается без защиты от внешних угроз, мошенничества персонала и других факторов.
7. Плановая основа деятельности
В основе комплексных работ по обеспечению безопасности должно лежать планирование. Разработайте подпрограммы по основным направлениям (экономическое, экологическое, научно-техническое, технологическое) и утвердите планы работы подразделений и сотрудников для их исполнения.
8. Экономическая целесообразность
Траты на обеспечение корпоративной безопасности должны иметь экономический смысл. Деньги, вложенные в систему корпоративной безопасности, не приносят прибыль, они предотвращают потери.
Сколько потратить на безопасность? Нужно исходить из убытков, которые компания может понести: если убытки составляют 100 единиц, нет смысла тратить на обеспечение безопасности 1000 единиц. Например, кражи в магазине можно свести практически к нулю (устранить слепые зоны видеокамер, каждую из которых будет мониторить отдельный человек в реальном времени, поставить контролеров в торговые залы и охранников). Но это очень дорого и экономически нецелесообразно.
9. Специализация
Привлекайте специальные организации к разработке и внедрению мер и средств защиты. Они лучше подготовлены, имеют опыт работы и государственную лицензию на оказание услуг в сфере безопасности. Обслуживать технические средства и реализовывать меры безопасности должны подготовленные сотрудники службы безопасности, функциональных и обслуживающих подразделений компании.
Некоторые обязанности по линии корпоративной безопасности можно делать самим — читайте специальную литературу, посещайте семинары. А какие-то мероприятия доверьте профильным специалистам (проведение спецпроверок, установка системы видеонаблюдения, охранных сигнализаций).
10. Взаимодействие и координация
Залог успеха — налаженное взаимодействие и координация усилий подразделений компании, специализированных организаций, органов государственного управления и правоохранительных ведомств. Организация взаимодействия внутри и вне предприятия должна быть возложена на службу безопасности компании.
11. Совершенствование
Используйте свой и чужой опыт для совершенствования мер и средств защиты. Отслеживайте появление технических новинок, изменение методов и средств разведки и промышленного шпионажа, нормативно-технических требований.
Система корпоративной безопасности нуждается в постоянном совершенствовании, проверке и оценке. Обычно это делают по двум направлениям.- Технические вопросы (установка систем видеонаблюдения, охранной сигнализации, организация ИТ-безопасности) требуют модернизации из-за устаревания. Технические средства нападения быстро развиваются, поэтому систему безопасности нужно совершенствовать, переоснащать объект.
- Защита от угроз подразумевает постоянное обновление системы безопасности в связи с постоянным изменением этих угроз. Например, КПП построен для того, чтобы посторонние не проходили на предприятие. Но он не защитит компанию от КАМАЗа террористов со взрывчаткой. Это не означает, что нужно постоянно усиливать и делать дороже систему безопасности. Иногда ее, напротив, стоит ослабить: если угроза пропала, нет смысла тратить деньги.
12. Дублирование
Принцип предполагает дублирование средств защиты. Система выйдет более дорогой, но в критически важных моментах это себя оправдывает. В корпоративной этот подход безопасности применяется широко:- ИТ-дублирование (создание бэкапов).
- Связь (основной и резервный канал).
- Сигнализация (датчики на огонь, задымление).
- Технические направления в целом.
13. Централизация управления
Система безопасности должна работать по единым правовым, функциональным, организационным, и методологическим принципам. Важно организовать централизованное управление ее деятельностью: служба должна подчиняться только первому лицу компании.
Если собственник или генеральный директор — не одно и то же лицо, кому в таком случае должна подчиняться служба безопасности?
Готовых решений для этой ситуации нет. Обычно начальник службы безопасности подчиняется собственнику и обращается к нему по стратегическим вопросам. По оперативным, текущим ситуациям он взаимодействует с генеральным директором. Такое разделение удобно, потому что собственник может ставить задачи по контролю действий генерального директора — он тоже наемный сотрудник и его действия тоже нужно контролировать.
14. «Золотое сечение» безопасности
Систему безопасности представляют в виде треугольника, на вершине которого находится скорость, а в основании два угла: безопасность и цена. Выстраивая систему, можно выбрать лишь два приоритетных, потому что все три учесть не получится: быстрая и безопасная система будет слишком дорогой, дешевая и безопасная — медленной, быстрая и дешевая — небезопасной. Выбирайте оптимальную комбинацию, «золотое сечение» приоритетных параметров, а чем-то жертвуйте.
15. Персональная ответственность
Сотрудники персонально отвечают за соблюдение режима безопасности в рамках своих полномочий и должностных инструкций. Этот принцип связан с человеческим фактором и важно делать акцент не столько на строгости наказания за нарушение безопасности, сколько на его неотвратимости. Сотрудники компании должны знать: за совершенные противоправные поступки их ждет неминуемая расплата.
Формирование всех систем корпоративной безопасности проходит через стадию наказания сотрудников: поначалу они отторгают принципы, которые ущемляют их полномочия, усложняют жизнь в компании. Сотрудники возмущаются, не выполняют требования безопасности. Часто убеждение ни к чему не приводит и людей наказывают: показательно, используя публичное привлечение к ответственности (в том числе, к уголовной). Когда другие сотрудники видят такие последствия нарушений, они начинают выполнять требования.Важно, чтобы ответственность за нарушение безопасности была персональной и конкретной. При этом корпоративная безопасность должна строиться так, чтобы в случае любого нарушения был понятен круг причастных сотрудников. Это не только облегчит расследование, но и послужит эффективным средством сдерживания потенциальных нарушителей.
16. Минимальное использование человеческого фактора
С точки зрения безопасности, человек — слабое звено. Системы, рассчитанные на использование многочисленного «человеческого фактора», как правило, ненадежны, потому что технику можно просчитать, а человек алогичен и может стать объектом воздействия извне.
17. Ограничение полномочий
Сотрудники должны иметь доступ только к той информации, которая им нужна для работы, и ограниченные полномочия. При этом за ними нужно обеспечить максимальный контроль. Проблема возникает, если полномочия велики, а контроля нет.
Доступ к особо уязвимым зонам и конфиденциальной информации нужно закрыть для всех, кому он не нужен для работы. Вероятность нарушения коммерческой тайны или нормальной работы компании прямо пропорциональна количеству осведомленных лиц.
Также нужно минимизировать любые технические средства, с помощью которых выполняются функциональные обязанности персонала и действия клиентов. Например, при обработке информации на компьютере сотруднику достаточно использовать минимальный набор ПО, иначе появятся дополнительные возможности для несанкционированных действий.
18. Многозональность и многорубежность систем безопасности
Разделите пространство, требующее защиты, на несколько зон. Это обеспечит дифференцированный санкционированный доступ разных сотрудников и посетителей к объектам защиты. На границе зоны создайте один или несколько рубежей защиты.
Любая система безопасности не гарантирует 100% безопасность. Вопрос только во времени и средствах: чем больше рубежей, тем надежнее система.
19. Равнопрочность
Прочность системы безопасности оценивается по прочности наименее защищенного элемента. Например, если в здании большинство окон оборудовано стальными решетками, а одно не защищено, то прочность остальных решеток не имеет смысла.
20. Сочетание гласности с конспирацией
Нужно довести до сведения каждого сотрудника и оповестить (в разумных пределах) о принимаемых мерах безопасности. Это помогает избежать потенциальных и реальных угроз. Но такая гласность должна обязательно дополняться тайными мерами: скрывать все мероприятия по линии безопасности бессмысленно и дорого. Ведь некоторые из них должны быть доведены до сведения сотрудников (в виде локальных нормативных актов), а некоторые должны оставаться тайной для всех. Давать информацию персоналу можно в допустимых пределах.
21. Психологическое воздействие на правонарушителей
Используйте муляжи камер видеонаблюдения, предупредительные надписи: это дешево, но эффективно. Надписи «Объект охраняется полицией», «Улыбнитесь: вас снимает скрытая камера», «Во дворе злая собака» работают.
Это работает также и в части оформления документов. Можно прописать пункт «о неразглашении коммерческой тайны» в трудовом договоре, а можно составить отдельное соглашение, в котором мелькают пункты «вплоть до уголовной ответственности», «до семи лет лишения свободы». Такие документы будут более эффективны.
Обеспечение системы безопасности
Система безопасности предприятия, как и любая другая, должна иметь собственное обеспечение:
-
Правовое обеспечение (нормативные акты, инструкции, пожелания руководства, которые обязательны к исполнению).
-
Организационное обеспечение. Защитные меры обеспечиваются соответствующими структурными подразделениями (служба режима, служба безопасности, служба защиты информации).
-
Техническое обеспечение. Предполагаются средства, обеспечивающие охранные мероприятия.
-
Информационное обеспечение. Включает в себя данные, параметры, показатели, которые лежат в основе функционирования системы обеспечения безопасности. В эту категорию могут входить системы, разрешающие вход в определенные помещения, учета, хранения информации.
-
Программное обеспечение. Автоматизированная система обработки информации, анализирующая наличие угроз.
-
Нормативное обеспечение. Включает нормы, регламенты служб, которые помогают сотрудникам выполнять их служебные обязанности и соответствуют требованиями службы безопасности.
Материал подготовлен на основе практического курса преподавателя Русской Школы Управления Сергея Барбашева, эксперта-консультанта по вопросам безопасности бизнеса, профессионального аналитика.
Подписывайтесь на телеграм-канал Русской Школы Управления @rusuprav