Построение системы корпоративной безопасности

ПОСТРОЕНИЕ СИСТЕМЫ КОРПОРАТИВНОЙ БЕЗОПАСНОСТИ

Объекты обеспечения безопасности:

операционная деятельность; руководство и персонал; активы; финансовые средства; материальные ценности; технологии; информационные ресурсы; репутация компании.

Субъекты обеспечения безопасности:

1 вариант – обеспечением безопасности занимается руководство компании;

2 вариант – обеспечением безопасности занимается сотрудник, у которого есть иные должностные обязанности (работа по совместительству);

3 вариант – обеспечением безопасности занимается сотрудник, у которого эта работа входит в основные должностные обязанности (отдельная должность);

4 вариант – обеспечением безопасности занимается Совет по безопасности (совещательный орган) и сотрудник, у которого эта работа входит в основные должностные обязанности;

5 вариант – обеспечением безопасности занимается внешняя организация (аутсорсинг безопасности);

6 вариант – обеспечением безопасности занимается отдельное подразделение;

7 вариант – смешанный вариант из вышеперечисленных

Виды аутсорсинга безопасности

комплексный; частичный (по времени или по решаемым задачам)

Плюсы аутсорсинга по безопасности:

профессионально; проще для компании; привязка к гражданско-правовому договору; возможность нестандартных решений исходя из опыта работы; нет зависимости от мнения руководства компании; в некоторых случаях дешевле; последствия безопасны для компании.

Минусы аутсорсинга по безопасности:

в некоторых случаях дороже; медленное погружение в тематику; замедленное реагирование на изменение ситуации (допсоглашение к договору); допуск посторонних людей в компанию; конкуренция за квалифицированный персонал внутри аутсорсинговой компании, так как наиболее профессиональные сотрудники обслуживают ключевых клиентов; разные интересы (увеличить прибыль для аутсорсинговой организации и снизить затраты для самой компании).

На аутсорсинг рекомендуется отдать:

создание систем инженерно-технической, технической и ИТ безопасности; проведение независимого аудита корпоративной безопасности или отдельных  направлений; независимое консультирование по вопросам корпоративной безопасности; проведение охранных мероприятий; осуществление детективной деятельности; осуществление пропускного и внутриобъектового режимов; стратегическое направление бизнес-разведки, предполагающее использование информационно-аналитических систем; правовую защиту бизнеса (привлечение адвокатов и юридических организаций); осуществление защиты от аппаратуры промышленного шпионажа, проведение спецпроверок и специсследований помещений и технических средств обработки информации; услуги по взысканию долгов (коллекторские услуги); тестирование на детекторе лжи.

На Службу безопасности рекомендуется возложить следующие задачи:

организация работ по созданию корпоративной безопасности; создание локальной нормативно-правовой базы в области корпоративной безопасности и осуществление контроля за ее выполнением; координацию действий сотрудников и подразделений предприятия по вопросам безопасности; информационно-аналитические задачи в договорной работе; контрольные задачи (комплаенс); антикоррупционные задачи; задачи по созданию режимов  (государственная тайна, коммерческая тайна, пропускной и внутриобъектовый режим, взаимодействие с подразделениями охраны и т. д.);

взаимодействие с государственными контролирующими и правоохранительными органам  (МВД, ФСБ, прокуратура, судебные приставы и т. д. взаимодействие с аутсорсинговыми организациями, представляющими услуги по корпоративной безопасности; задачи по инженерно-техническому оборудованию территории; задачи в сфере кибербезопасности; информационно-аналитические задачи в кадровой политике (проверка персонала, внутренние проверки т. д.); обеспечение безопасности руководства предприятия; организацию защиты конфиденциальной информации;

проведение внутренних проверок и расследований по фактам совершения противоправных действий со стороны персонала предприятия;

Проверка работы Службы безопасности

метод «учебной тревоги». Данный метод хорошо зарекомендовал себя при проверки эффективности охранных мероприятий, разновидности этого метода – попытки несанкционированного проникновения на территорию, прохода по поддельным пропускам, имитация кражи или выноса материальных ценностей; метод соблюдения регламентов. Данный метод основан на контроле за выполнением регламентов по отдельным направлением деятельности (регламент проверки контрагента, регламент проверки кандидата на работу и т. д.); выполнение требований законодательства в области корпоративной безопасности; оценка на основе абсолютных и относительных показателей, которые можно подсчитать (процент краж, сумма предотвращенных хищений, выявленные нарушения в бизнес-процессах, взысканные долги и т. д.); метод оценки по количеству раскрытых нарушений. Данный метод опасен тем, что сотрудники СБ могут начать искусственно создавать нарушения, чтобы показать свою значимость и эффективность; метод оценки выполнения поставленных задач и планов; метод оценки по успехам - неудачам в деятельности компании. Эффективность данного метода тем выше, чем больше успех деятельности компании зависит от деятельности СБ; метод  KPI (коэффициенты участия); экспертные оценки; метод оценки по совокупным показателям. Основу этого способа составляет разработанная в компании система показателей, которая может включать в себя объективные требования, знание теории и практики, общие результаты работы вверенного сектора компании, неплановые проверки и т. д.

Подчинение Службы безопасности:

владельцу бизнеса (учредителю); генеральному директору (руководителю организации); акционерам

Структура Службы безопасности:

начальник; экономист; оперативник; аналитик; технарь; кибербезопасник; режимщик; контролер (аудитор)

Взаимодействие Службы безопасности:

служба персонала; ИТ подразделение; юридическая служба; контрольно-ревизионное подразделение; маркетинговое подразделение; финансовое подразделение; основные бизнес подразделения

При создании и функционировании Службы безопасности следует иметь ввиду:

в законодательстве отсутствует понятие Служба безопасности. Поэтому это подразделение может носить разное название. Также отсутствует профессия безопасник и профессиональные стандарты по работе безопасника (за исключением информационной безопасности); нет четких должностных обязанностей у безопасника, в разных компаниях сотрудники Службы безопасности могут иметь разные должностные обязанности; идет тенденция к сокращению штата Службы безопасности. Многие задачи, решаемые безопасниками в 90-х переданы на аутсорсинг или распределены между подразделениями. Безопасников используют там, где недостаточно текущего профессионализма сотрудника или профессиональные навыки нельзя было получить (например, умение вести визуальное наблюдение, расследовать инциденты и т. д.), а также там, где требуется осуществлять более жесткие контрольные или информационно-аналитические функции; в связи с сокращением штатов Службы безопасности безопасники переквалифицируются в риск-менеджеров или в комплаенс-менеджеров.

Международные организации, представляющие услуги по аутсорсинговому обслуживанию в области корпоративной безопасности (ссылки)

www. www. www. www. www. www. www.

Особенности построения корпоративной безопасности в иностранных компаниях:

слабое понимание иностранцами как защищать бизнес в России; стремление соблюдать законодательство как в бизнесе, так и в мероприятиях по безопасности; угрозы имиджевых потерь оценивать сильнее, чем материальные потери; пытаются построить корпоративную безопасность на основе стандартов и взглядов, применяемых в их странах

Начальник  СБ должен отвечать следующим требованиям:

быть лояльным к компании и его руководителю; уметь видеть и строить корпоративную безопасность как систему; быть специалистом в основной задаче, которая стоит перед безопасностью; понимать, что нужно бизнесу от безопасности

Задачи построения системы корпоративной безопасности:

обеспечение устойчивого функционирования компании; предотвращение угроз безопасности компании; защита законных интересов компании; организация охранных мероприятий; защита информационных ресурсов компании; иные задачи, исходя из объектов безопасности

Законодательство в области корпоративной безопасности

международное законодательство, включая международные стандарты; российское законодательство Конституция РФ Федеральные законы в форме кодексов (УК, КОАП, ГК, ТК, НК); Федеральные законы (о частной детективной и охранной деятельности, об ОРД, о коммерческой тайне, о персональных данных, об информации, информатизации и защите информации, о государственной тайне и т. д.); Указы Президента РФ и постановления Правительства РФ. ведомственные акты и стандарты (банковские стандарты, приказы Минфина, Минтруда, ФНС и т. д.); корпоративные акты и стандарты (например приказы госкорпораций или иностранных компаний); локальные акты предприятия в части обеспечения безопасности

Основные виды угроз для предприятия:

Методика работы с угрозами:

1 этап – определение угрозы;

2 этап – оценка угрозы (ущерб, вероятность, вариант реализации и т. д.);

3 этап – работа с угрозой (принятие, отказ от угрозы, минимизация угрозы)

Угрозы классифицируются:

стратегические/оперативные; постоянные/временные; внешние/внутренние.

В соответствии с общей теорией безопасности выделяют пять групп базовых угроз:

угрозы, связанные с конкурентной борьбой; угрозы, связанные с человеческим фактором; угрозы, связанные с деятельностью государства (коррупция, несовершенство законодательства, административный ресурс, политика и т. д.); угрозы, связанные с организованной преступностью; угрозы, связанные с техногенными и природными факторами.

Типы стратегических угроз

взаимоотношения с государством (отзыв лицензии, приостановка деятельности предприятия, закрытие бизнеса, изменение законодательства, введение санкции и т. д.); взаимоотношения со стратегическими партнерами (разрыв франшизы, дилерского соглашения, расторжение договора с ключевым партнером и т. д.); взаимоотношения между учредителями и акционерами; юридические ошибки (незаконная приватизация и т. д.); имиджевые угрозы; субъективные угрозы.

Типы внешних угроз:

экономические угрозы в стране и мире; политические угрозы в стране и мире; социальные угрозы; терроризм; угрозы со стороны государства (коррупция, несовершенство законодательства, административный ресурс, политика, интересы государства в бизнесе и т. д.); угрозы при осуществлении гражданско-правовых отношений с контрагентами; угрозы со стороны конкурентов; техногенные и природные угрозы; угрозы, связанные с организованной преступностью.

Типы внутренних угроз:

угрозы со стороны персонала компании (наемных работников); угрозы, связанные с организационной незащищенностью бизнеса; угрозы, связанные с неэффективным управлением и организацией бизнес-процессов; угрозы, связанные с эксплуатацией технических средств и средств автоматизации 

При оценке угроз безопасности применяются:

теория надежности для определения угроз, создаваемых техническими средствами (сбои, отказы, ошибки и т. д.); математическая статистика для описания естественных угроз (природные явления, стихийные бедствия и т. д.); теория вероятности для описания угроз, создаваемых людьми по небрежности, халатности и т. д.; экспертные методы для описания умышленных угроз

По степени вероятности угроза оценивается как:

реальная, где вероятность может быть подсчитана, например, исходя из статистики, экспертным методом, методикой группового SWOT анализа и т. д.; потенциальная

По степени развития угроза проходит четыре этапа:

возникновение; экспансия; стабилизация; ликвидация

Отдаленность угрозы во времени определяется как:

непосредственная; близкая (до 1 года); далекая (свыше 1 года)

Отдаленность угрозы в  пространстве определяется как:

территория компании; прилегающая к компании территория; территория региона; территория страны; зарубежная территория

Темпы нарастания угрозы измеряются по месяцам, кварталам, годам.

Угрозы со стороны государства реализуются:

несовершенство и изменчивость законодательства; принятие властных решений со стороны государства; коррупция; интересы государства в бизнесе.

Способы защиты от государства:

не нарушать требования законодательства; юридическая защита (суды, адвокаты и т. д.); прокурорская защита; жалобы в вышестоящие органы; сотрудничество с административным ресурсом; сотрудничество с общественно-политическими организациями (например, с торгово-промышленной палатой); сотрудничество с политическими партиями; ведение социально ориентированного бизнеса; ведение информационной войны с государством; изменение юрисдикции бизнеса (оффшор, иностранные акционеры и т. д.); вывод активов и отъезд из страны.

Угрозы со стороны конкурентов реализуются:

законные способы ведения конкурентной борьбы; незаконные способы ведения конкурентной борьбы; неэтические способы ведения конкурентной борьбы (переманивание персонала, черный пиар, маскировка под известный бренд, использование административного ресурса, использование своего доминирования на рынке, завышение или занижение цен,  и т. д.).

Целью системы безопасности является своевременное выявление и предотвращение опасностей и угроз, обеспечение защищенности деятельности компании и достижения ей целей бизнеса.

Организация и функционирование системы безопасности компании должны осуществляться на основе следующих принципов.

комплексность; своевременность; непрерывность; активность; законность; системность и плановость; целесообразность; дублирования;

специализация; взаимодействие и координация;

совершенствование; «не навредить бизнесу»; централизация управления; золотое сечение безопасности. Существуют три понятия: безопасность, скорость и дешевизна. Строя систему, можно выбрать только два из них. Система может быть безопасной и быстрой, но при этом она окажется очень дорогой. Она может быть безопасной и дешевой, но она будет медленной. Она может быть дешевой и быстрой, но небезопасной. Выбор оптимальной комбинации (золотого сечения) - прерогатива лиц, принимающих решения; персональная ответственность; минимальное использование человеческого фактора. ограничение полномочий; многорубежность систем безопасности; равнопрочность; сочетание гласности с конспирацией; психологическое воздействия на правонарушителя.

Средства обеспечения безопасности

технические средства; организационные средства; информационные средства; финансовые средства; правовые средства; кадровые средства; интеллектуальные средства

Корпоративная безопасность достигается:

созданием организационно защищенной структуры бизнеса; проведением мероприятий по защите компании

Организационно защищенная структура бизнеса:

регистрация компании в оффшоре; разделение бизнеса на владеющие (активы) и операционные компании (договора); создание холдинга; использованием заемного капитала; отсутствием собственности (аренда помещений, лизинг оборудования и т. д.); обременение активов (например, использование залоговых схем); наличие филиалов и представительств; диверсификация бизнеса; установление защищенности принятия решения (распределение акций, выстраивание отношений с инвесторами, и т. д.); защищенная организационно-правовая форма (например, хозяйственное партнерство или непубличное акционерное общество); создание защищенных учредительных документов (в первую очередь Устав); выстраивание отношений с государством (не нарушать законы, выполнение социальных проектов, участие в политической жизни, поставка товаров и услуг для нужд государства, включение интересов государства и конкретных госчиновников в бизнес, финансирование госпроектов,  создание лобби, благотворительность и т. д.); возможностью быстро вывести активы и уехать в другую страну

Система безопасности компании включает в себя подсистемы:

информационная безопасность; кадровая безопасность; экономическая безопасность; физическая безопасность; личная безопасность; инженерно-техническая безопасность; техническая безопасность; кибербезопасность; правовая безопасность; экологическая безопасность; промышленная безопасность.

Информационная безопасность достигается:

режимными мероприятиями; инженерно-техническими мероприятиями; организационными мероприятиями; созданием конфиденциального делопроизводства; правовыми мероприятиями; IT мероприятиями; кадровыми мероприятиями

Кадровая безопасность достигается:

качественным отбором сотрудников; мероприятиями по защите компании от противоправных (некомпетентных) действий со стороны сотрудников, включая как проведение превентивных мероприятий, так и внутренних расследований; мероприятиями при увольнении сотрудников.

Экономическая безопасность достигается:

организацией безопасной договорной работы; управлением экономическими рисками; информационно-аналитической работой; мероприятиями по защите от мошенничества (внутреннего и внешнего); аудита кредитно-финансовой деятельности; мероприятиями по взаимодействию с государственными контролирующими и правоохранительными органами; мероприятиями по защите от враждебного поглощения.

Физическая безопасность достигается:

контрольными мероприятиями силами сотрудников предприятия; проведением охранных мероприятий внешними организациями.

Личная  безопасность достигается:

мероприятиями по физической защите; мероприятиями по юридической защите; мероприятиями по психологической защите.

Инженерно-техническая безопасность достигается:

противопожарными мероприятиями; мероприятиями по контролю и управлению доступом на территорию предприятия; осуществлением видеонаблюдения на территории предприятия; контролем периметров; установкой систем сигнализации.

Техническая безопасность достигается:

мероприятиями по защите акустического канала утечки информации; мероприятиями по защите  визуального канала утечки информации; мероприятиями по защите от побочных электромагнитных излучений и наводок.

Кибербезопасность  достигается:

мероприятиями по защите информации; мероприятиями по защите информационных систем, в которых находится и обрабатывается информация

Правовая безопасность достигается:

соблюдением требований законодательства; созданием защищенных учредительных документов; безопасным ведением договорной работы; привлечением юристов, адвокатов и организаций, специализирующихся на правовой защите.

Экологическая безопасность достигается:

выполнением требований законодательства в сфере экологии; проведением исследований помещений, занимаемых предприятием (радиационный фон, химические вещества и т. д.)

Промышленная безопасность достигается:

выполнением требований законодательства в области промышленной безопасности (безопасность опасных производственных объектов)

Способы функционирования системы безопасности

«одевание брони»; изменение местоположения; устранение угрозы; маскировка истинного положения дел.

При определении уровня финансирования системы безопасности нужно учитывать:

система безопасности является непроизводственной сферой, она не зарабатывает деньги, она способствует их сохранению; полноценная отдача от системы безопасности в целом может быть получена примерно через полгода после начала ее создания, хотя отдельные подсистемы могут начать активно функционировать и выполнять поставленные задачи с первых дней; обеспечение высокого уровня безопасности требует больших финансовых вложений

Особенность построения корпоративной безопасности в условиях экономического кризиса

Период экономического кризиса характеризуется:

снижением финансирования мероприятий, направленных на обеспечение безопасности; снижением количества оборотных денег и сложности с получением кредитов; изменением направлений деятельности и организационной структуры предприятия; снижением заработной платы сотрудников и общего уровня жизни; отсутствием полной загрузки сотрудников работой с предоставлением вынужденных неоплачиваемых отпусков; массовыми увольнениями сотрудников; обострением отношений между акционерами (совладельцами) компании; увеличением случаев невыполнения договорных обязанностей контрагентами и увеличением задолженностей по платежам.

Особенности построение системы безопасности в период экономического кризиса:

изменение направлений деятельности СБ; реорганизация СБ, исходя из снижения объема решаемых задач, в связи с передачей части функций на аутсорсинг; изменение концепции безопасности предприятия; привлечение СБ к проведению антикризисных мероприятий; проведение мероприятий с увольняемыми сотрудниками с целью недопущения нанесения ими ущерба интересам предприятия после увольнения; увеличение количества внутренних расследований и проверок; увеличение количества мероприятий по пресечению противоправных действий со стороны персонала; увеличение количества мероприятий, направленной на вычисление ненадежных контрагентов; увеличение количества мероприятий, направленных на взыскание дебиторской задолженности.

После проведения анализа ситуации переходят к созданию основного документа, регламентирующего деятельность по обеспечению безопасности предприятия. Этот документ обычно называется Концепция безопасности предприятия или Политика безопасности предприятия и утверждается у руководства. Структурно он может состоять из следующих разделов:

Раздел 1 Описание ситуации в области безопасности компании

определение состояния окружающей конкурентной среды; анализ экономического состояния компании, его ресурсного потенциала, степени защищенности объектов безопасности, надежности кадрового потенциала, состояния его функциональных составляющих: финансовой, кадровой и интеллектуальной, правовой, информационной, технико-технологической, экологической, силовой и т. д.; выявление потенциальных и реальных угроз и экономических рисков, их ранжирование по степени значимости или опасности по времени наступления или величине возможно нанесенного ущерба; определение причин и факторов зарождения угроз и экономических рисков; прогнозирование возможных негативных последствий отдельных угроз и экономических рисков, расчет возможного ущерба; формулировка проблемной ситуации

Раздел 2. Определение целевой установки обеспечения безопасности

формулирование политики и стратегии безопасности; определение цели безопасности; постановка задач, способствующих достижению цели и реализации сформулированной политики и выбранного типа стратегии.

Раздел 3 Построение системы безопасности компании

формулирование функций системы безопасности компании и выбор тех принципов, на которых она строится; определение объектов безопасности и анализ состояния их защищенности; создание органов (субъектов) обеспечения безопасности; разработка механизмов обеспечения безопасности; создание организационной структуры управления системой безопасности компании

Раздел 4. Разработка методов оценки состояния безопасности компании

определение основополагающих критериев и показателей состояния безопасности компании; выбор методов оценки состояния безопасности компании; формирование системы методов анализа экономических рисков

Раздел 5. Расчет сил и средств, необходимых для обеспечения безопасности

расчет необходимого количества материально-технических ресурсов, средств защиты и охраны объектов безопасности; определение необходимого количества людских ресурсов и затрат на их содержание и стимулирование труда; определение финансовых затрат, необходимых для обеспечения безопасности компании; сопоставление необходимых затрат с возможным ущербом от воздействия угроз и экономических рисков

Раздел 6. Разработка мер по реализации основных положений концепции безопасности компании

определение условий, необходимых и достаточных для реализации концепции; нахождение источников ресурсного обеспечения концепции; выделение финансовых средств для реализации концепции; разработка стратегического плана (или программы), а также планов работы структурных подразделений службы безопасности по решению задач, определенных концепцией; подготовка профессиональных кадров для службы безопасности, а также обучение сотрудников компании (в части, их касающейся) вопросам соблюдения правил безопасности, действиям в чрезвычайных ситуациях, правилам пропускного режима, работы с документами, соблюдению коммерческой тайны и т. д.; создание определенного типа службы безопасности и организация ее управления; установление технических средств защиты; контроль за выполнением основных положений концепции безопасности; развитие системы безопасности компании, постоянная адаптация ее к изменяющимся условиям, совершенствование форм и методов ее работы

При  построении системы корпоративной безопасности желательно знать:

наиболее эффективная система корпоративной безопасности возникает тогда, когда система создается в виде баррикады, где с одной стороны находятся руководство, персонал компании, СБ, а с другой стороны правонарушитель. К сожалению, часто система представляет собой многоугольник, где руководство находится с одной стороны, персонал с другой стороны, СБ с третьей, а правонарушитель неизвестно где; при построении системы корпоративной безопасности многое зависит от позиции руководства компании - если оно заинтересовано в наведении порядка и поддерживает СБ в их действиях, то состояние безопасности достигается быстрее; одной из главных угроз интересам бизнеса являются угрозы со стороны государства, выраженные в превышениях полномочий (коррумпированности) контролирующих и правоохранительных органов. Необходимо определить стратегию защиты, которая может быть выражена в правовой (судебной) защите, финансовом урегулировании проблемы, нахождении взаимовыгодных вариантов сотрудничества и т. д.;  в последнее время СБ часто приходится защищаться от черных PR-акций, направленных на подрыв авторитета (имиджа) компаний; задачи по безопасности можно распределить по подразделениям, а можно сконцентрировать в СБ. И тот и другой вариант имеют свои положительные и отрицательные стороны. То есть безопасность можно строить как отдельный бизнес-процесс, а можно встраивать в уже существующие бизнес процессы; острые вопросы деятельности СБ – оценка ее деятельности и мотивация сотрудников СБ. Работа профессионально функционирующей СБ не видна, так как действует на упреждение, оценка деятельности сотрудников затруднена тем, что нет эффективных и наглядных методик оценок; любая система безопасности тормозит развитие организации в целом. Единственный выход – следовать за изменениями, меняться вслед за бизнесом. Наиболее эффективно управление безопасностью там, где оно непосредственно включено в бизнес-процессы