Методика E. D. A (стр. 1 )

МЕТОДИКА E. D.A.

(методика оценки уязвимости персонала, допущенного к работе с конфиденциальной информацией или имеющего доступ в помещения хранения/обработки конфиденциальной информации)

Автор:                                                                                        

Научный руководитель:                                        к. в.н., старший научный сотрудник,

                                                                                доцент

Королев, 2014

Содержание

Цель, принципы и область применения методики…………………………………………….3

Целевая аудитория……………………………………………………………………………….3

Алгоритм оценки уязвимости…………………………………………………………………...3

Использование результатов……………………………………………………………………15

Ссылки……………………………………………………………………………………..……16

Цель, принципы и область применения методики

       Методика E. D.A. представляет собой методику оценки уязвимости субъектов защищенных информационных технологий (т. е. персонала, имеющего доступ к конфиденциальной информации), далее - Методика, названа по инициалам автора Методики () и предназначена для противодействия внутренним угрозам организации, а именно для предотвращения утечек (как преднамеренных, так и случайных) со стороны персонала организации.        

       Методика основывается на склонности оцениваемого лица к тем или иным вредным привычкам, отношении к работе, коллегам и руководителю, отношениях в семье, его морально-деловых и психологических качествах и других важных критериях.

       Оценке подлежит только персонал, имеющий допуск к конфиденциальной информации или доступ в помещения, где данная информация обрабатывается или хранится. Оценка уязвимости других категорий персонала не является целесообразной. При обработке предприятием информации, содержащей Государственную тайну, применять данную методику к персоналу, имеющему допуск к такой информации или доступ в помещения, где такая информация обрабатывается или хранится, не рекомендуется. Оценкой уязвимости данного персонала занимается Федеральная Служба Безопасности (ФСБ) по имеющимся у нее закрытым методикам. 

       Строго рекомендуется организации, внедряющей Методику присвоить ей гриф «Конфиденциально».

Целевая аудитория

       Методика направлена на службу безопасности (далее - СБ) организации в части защиты конфиденциальной информации от утечек. Для внедрения Методики в организацию необходимы следующие роли персонала: психолог, кадровик, специалист по защите информации (далее – специалист по ЗИ).  При отсутствии в организации психолога он может быть заменен специалистом по ЗИ, однако настоятельно рекомендуется привлечь психолога при наличии такой возможности.

Алгоритм оценки уязвимости

       Методика предполагает выполнение 5 шагов. Шаги проведения оценки уязвимости, а также их состав и детальное описание приведены ниже.

       Шаг первый. Получение данных от кадровика. Кадровик в определенную форму (Табл. 1) заносит следующие данные о лице, уязвимость которого необходимо оценить:

- ФИО оцениваемого лица;

- отдел;

- должность;

- причина увольнения с предыдущего места работы;

- наличие/отсутствие наркозависимости;

- информация о наличии/отсутствии задолженностей (штрафы, кредиты и т. п.).

       

Таблица 1

Форма предоставления кадровиком данных об оцениваемом лице с примером заполнения

Наименование сведения	Сведения об оцениваемом лице
ФИО
Отдел	Секретное делопроизводство
Должность	Младший сотрудник
Причина увольнения с предыдущего места работы	Уволили за несоблюдение требований, правил, Политики безопасности организации и т. п.
Уволили из-за сокращения
Уволился по причине неудовлетворенности зарплатой	+
Уволился по причине желания смены деятельности и пр.
Это первая работа оцениваемого лица
Наркозависимость	Не известно
Употребление наркотиков подтверждено, имеется справка
Неупотребление наркотиков подтверждено, имеется справка	+
Наличие/отсутствие задолженностей (http://fssprus. ru/iss/ip/)	Есть задолженность
Нет задолженностей	+

       Курсивом в данном примере помечены сведения, вносимые кадровиком самостоятельно от руки.

       Причина увольнения с предыдущего места работы должна обязательно запрашиваться при приеме на работу в организацию. Если данный вопрос не задавался, отделу кадров необходимо провести опрос целевого персонала и внести данную информацию в личную карточку сотрудника.

       Наличие/отсутствие наркозависимости определяется по соответствующей медицинской справке. Обязанность проходить тестирование на наркотики планово, не реже раза в год, и в случае необходимости (если есть подозрения, опасения, что данное лицо может употреблять наркотики) и предоставлять соответствующую справку в отдел кадров необходимо внести в трудовой договор лиц, на поиск уязвимостей которых направлена Методика.  Лица, не имеющие соответствующую справку, обязаны пройти тестирование на наркотики и предоставить справку в отдел кадров не позднее чем через две недели после выявления данного факта.

       Информацию о наличии/отсутствии задолженностей кадровику необходимо запрашивать с официального сайта Федеральной службы судебных приставов. Подробная инструкция приведена в разделе «Ссылки» Методики.

       Данные новые обязанности должны быть внесены в трудовой договор и должностную инструкцию кадровика.

       Шаг второй. Получение данных от психолога. Психолог (или заменяющий его специалист по ЗИ) заполняет Анкету  (Табл. 2), с целью выявить склонность оцениваемого лица к ряду вредных привычек, его отношение к работе, отношения в семье и морально-деловые и психологические качества. Анкета представляет собой ряд обычных вопросов, варианты ответов для каждого из вопросов, а также вопросы для диагностики самооценки мотивации одобрения (данная методика разработана психологами рауном и арлоу. Перевод и адаптация были осуществлены в 1974 году), что особенно актуально, если опрос проводит не психолог, а специалист по ЗИ без знаний психологии. Анкета создается для каждого оцениваемого лица. Психолог должен просто удобным для него образом выделить нужный ответ в соответствующем столбце («+», «галочка» и т. д.). Также в Анкете присутствует дополнительный столбец для специалистов по ЗИ, его заполнять на данном этапе не нужно.

Таблица 2

Форма Анкеты с примером заполнения

Группа критериев оценки	Критерии оценки	Показатели оценки	Выбранный показатель	Балл (заполнить специалисту по ЗИ)
1	2	3	4	5
1 Вредные привычки	Алкоголь	Не употребляю	+
Только по праздникам
Редко
Употребляю/за компанию
Регулярно
Игромания	Компьютерные игры (1)	Азартные игры (2)	1	2	1	2
Не играю	+
За компанию/редко
Играю	+
Часто
Шопоголизм	Не страдаю
Иногда	+
Часто
Техномания	Не страдаю	+
Иногда
Часто
Интернет-зависимость	Не страдаю
В свободное от работы и дел время
Часто	+
При любой возможности
2 Отношение к работе	Удовлетворенность компанией	Высокая
Выше среднего	+
Средняя
Ниже среднего
Низкая
Удовлетворенность должностью	Высокая
Выше среднего
Средняя	+
Продолжение таблицы 2
1	2	3	4	5
Ниже среднего
Низкая
Удовлетворенность зарплатой	Высокая
Выше среднего
Средняя
Ниже среднего
Низкая	+
Отношение к коллегам	Как к семье/ лучшим друзьям
Уважительное	+
Сдержанное/ нейтральное
Натянутое
Отношение к руководителю	Как к члену семьи/ лучшему другу
Уважительное
Сдержанное/ нейтральное	+
Натянутое
Отношение к службе информационной безопасности	Как к семье/ лучшим друзьям
Уважительное
Сдержанное/ нейтральное	+
Натянутое
Наличие собственного бизнеса/ желание его начать	Нет	+
Да
3 Отношения в семье	Семейное положение	Женат (замужем)/ в отношениях	+
В разводе
В браке  и отношениях не состоит
Дети	Нет	+
Есть
Конфликты	Дома (1)	С родственниками (2)	1	2	1	2
Нет
Мелкие/редко	+	+
Чаще, чем можно было бы терпеть
Часто
Болезнь членов семьи	Нет	+
Несерьезные болезни
Серьезные болезни
Очень серьезные болезни
4 Качества человека	Порядочность	Скорее да, чем нет	+
Скорее нет, чем да
Определенно нет
Продолжение таблицы 2
1	2	3	4	5
Честность	Скорее да, чем нет	+
Скорее нет, чем да
Определенно нет
Исполнительность	Скорее да, чем нет	+
Скорее нет, чем да
Определенно нет
Дисциплинированность	Скорее да, чем нет	+
Скорее нет, чем да
Определенно нет
Хорошая память	Скорее да, чем нет
Скорее нет, чем да	+
Определенно нет
Стрессоустойчивость	Скорее да, чем нет	+
Скорее нет, чем да
Определенно нет
5 Отдельные качества критичной важности	Склонность к рискам	Нет	+
Умеренная
Высокая
Болтливость	Скорее нет, чем да	+
В пределах разумного
Скорее да, чем нет
Легкий контакт с незнакомыми людьми	Скорее нет, чем да	+
В пределах разумного
Скорее да, чем нет
6 Самооценка мотивации одобрения	Я внимательно читаю каждую книгу, прежде чем вернуть ее в библиотеку	Чаще внимательно	+
Чаще невнимательно
Я не испытываю колебаний, когда кому-нибудь нужно помочь в беде	Чаще не испытываю
Чаще испытываю	+
Я всегда внимательно слежу за тем, как я одет	Чаще внимательно	+
Чаще невнимательно
Дома я веду себя за столом так же, как и в столовой	Чаще да
Чаще нет	+
Я никогда ни к кому не испытывал антипатии	Никогда не испытывал
Было, что испытывал	+
Был случай, когда я бросил что-то делать, потому что не был уверен в своих силах	Был	+
Не было
Иногда я люблю позлословить об отсутствующих	Иногда	+
Никогда
Продолжение таблицы 2
1	2	3	4	5
Я всегда внимательно слушаю собеседника, кто бы он ни был	Всегда
Не всегда	+
Был случай, когда я придумал «вескую» причину чтобы оправдаться	Был	+
Не было
Случалось, я пользовался оплошностью человека	Да	+
Никогда
Я всегда охотно признаю свои ошибки	Чаще признаю
Чаще не признаю	+
Иногда, вместо того чтобы простить человека, я стараюсь отплатить ему тем же	Чаще стараюсь отплатить
Чаще стараюсь простить	+
Были случаи, когда я настаивал на том, чтобы делали по-моему	Были	+
Не было
У меня не возникает внутреннего протеста, когда меня просят оказать услугу	Чаще не возникает
Чаще возникает	+
У меня никогда не возникает досады, когда высказывают  мнение, противоположное моему	Чаще не возникает	+
Чаще возникает
Перед длительной поездкой я всегда тщательно подумаю, что с собой взять	Чаще да, чем нет	+
Чаще нет, чем да
Были случаи, когда я завидовал удаче других	Были	+
Не было
Иногда меня раздражают люди, которые обращаются ко мне с просьбой	Иногда раздражают	+
Никогда не раздражают
Когда у людей неприятности, я иногда думаю, что они получили по заслугам	Иногда так думаю
Никогда так не думаю	+
Я никогда с улыбкой не говорил неприятных вещей	Никогда	+
Говорил

       Шаг 3. Выставление баллов в соответствии с выбранными критериями. Комплект бумаг, состоящий из заполненной кадровиком формы (Табл. 1) и заполненной психологом Анкеты (Табл. 2), передается специалисту по ЗИ, который непосредственно будет вычислять оценку уязвимости. Специалист по ЗИ выставляет баллы для каждого из критериев, в соответствии с выбранным показателем, в этом комплекте бумаг. Для удобства создается Памятка (Табл. 3), которая содержит перечень всех необходимых критериев оценки и их показателей, а также соответствующие каждому показателю балльные значения. Памятка создается в единственном экземпляре для каждого специалиста, проводящего оценку, и служит своего рода таблицей-подсказкой при проставлении количественной оценки для каждого показателя. Памятка не подкрепляется к остальным заполненным формам и хранится на рабочем месте упомянутого выше специалиста.