Kitobni o'qish: «Управление безопасностью бизнеса»

Рецензент:

кандидат педагогических наук, доцент кафедры «Теория и методика физической культуры и спорта» ФГБОУ ВПО «Орловский государственный университет» Ю. И. Горлова

© А. Н. Кришталюк, 2014

© Академия безопасности и выживания, 2014

* * *

А. Н. Кришталюк, руководитель Национального социального проекта «Здоровая Нация», аспирант кафедры «Туризм, рекреация и спорт» ФГБОУ ВПО «Госуниверситет – УНПК»

Лекция 1
Безопасность и бизнес

Скорее всего, многие согласятся с тем, что совершенно безразлично, будет ли предприятие разорено бандитами, вымогателями, штрафами налоговой инспекции, либо в результате недобросовестных действий деловых партнеров, конкурентов или собственного персонала, – в любом случае оно может прекратить свое существование. Следовательно – речь надо вести об обеспечении безопасности деятельности организации.

Обеспечение безопасности необходимо для любых организаций, независимо от форм их собственности, начиная от государственных организаций и заканчивая маленькой палаткой, занимающейся розничной торговлей. Различие будет состоять лишь в том, какие средства и методы и в каком объеме требуются.

Что же следует понимать под безопасностью предприятия, из чего она собственно состоит и какие вопросы требуют Вашего повышенного внимания?

Конечно, о чем бы мы ни говорили – какие меры безопасности ни рассматривали, так или иначе, все направлено на обеспечение экономической стабильности в деятельности предприятия. Однако, достижение этой стабильности невозможно без анализа всех сторон деятельности предприятия.

1.1. Что такое безопасность

Под безопасностью предприятия обычно понимается защита от угрозы нанесения ему ущерба, т. е. безопасность предприятия – это состояние защищенности его жизненно важных интересов от внутренних и внешних угроз (источников опасности). Подобная защищенность достигается применением комплекса мер правового, экономического, организационного, инженерно-технического и социально-психологического характера.

Существующее мнение о том, что безопасность – это, прежде всего, физическая защищенность, не совсем верно.

Безопасность предпринимательской деятельности сегодня – это не только автомат и бронестекло «шестисотого», а, прежде всего, это вычисление и всесторонний анализ угроз деятельности предприятия; прогноз и создание систем и мер защиты и минимизации коммерческих рисков.

При этом угрозами считаются не только такие очевидные факты, как, например, посягательство на личность: грабеж, рэкет или физическое насилие, то есть те, которые носят явно криминальный характер, но и такие неочевидные как: недобросовестность деловых партнеров и некомпетентность персонала, необоснованные претензии налоговых либо правоохранительных органов и т. д.

Для лучшего понимания того, что же такое система безопасности предприятия (для чего она создается, какие задачи решает, как строится) и для того чтобы в дальнейшем эффективно построить свою систему безопасности, необходимо четко определить следующие моменты:

– Правовые основы

– Цель построения системы безопасности

– Правила построения (см. Законы безопасности п.п. 1.3.)

– Рассмотрим эти вопросы подробнее.

Правовые основы обеспечения безопасности определяют соответствующие положения Конституции Российской Федерации, Закон "О безопасности" (см. Приложение 7.3.), федеральные законы и другие нормативные акты.

Правовая защита персонала, материальных и экономических интересов предприятия от преступных посягательств обеспечивается на основе норм Уголовного и Уголовно-процессуального кодексов, законов Российской Федерации о прокуратуре, о федеральной службе безопасности, о милиции, об оперативно-розыскной деятельности, о частной детективной и охранной деятельности, об оружии и др.

Защиту имущественных и иных материальных интересов, деловой репутации коммерческих предприятий призваны обеспечить, также, гражданское, гражданско-процессуальное, арбитражное и арбитражно-процессуальное законодательство (более подробная информация в Приложении).

Целью создания системы безопасности предприятия является комплексное воздействие на потенциальные и реальные угрозы, позволяющее организации:

– успешно функционировать в нестабильных условиях внешней и внутренней среды,

– предотвращать угрозы собственной безопасности,

– защищать свои законные интересы от противоправных посягательств,

– охранять жизнь и здоровья персонала,

– не допускать хищения финансовых и материально-технических средств, уничтожения имущества и ценностей, разглашения, утраты, утечки, искажения и уничтожения служебной информации, нарушения работы технических средств, обеспечения производственной деятельности, включая и средства информатизации.

Достижение этой цели требует решения следующих задач:

– выявления угроз стабильности работы предприятия и его развитию и выработка мер противодействия;

– обеспечения защиты технологических процессов;

– реализации мер противодействия всем видам шпионажа (промышленного, научно-технического, экономического и т. д.);

– своевременного информирования руководства предприятия о фактах нарушения законодательства со стороны государственных и муниципальных органов, коммерческих и некоммерческих организаций, затрагивающих интересы предприятия;

– предупреждения переманивания сотрудников предприятия, обладающих конфиденциальной информацией;

– всестороннего изучения деловых партнеров;

– своевременного выявления и адекватного реагирования на дезинформационные мероприятия;

– разработки и совершенствования правовых актов предприятия, направленных на обеспечение его безопасности;

– реализации мер по защите коммерческой и иной информации;

– организации мероприятий по противодействию недобросовестной конкуренции;

– обеспечения защиты всех видов ресурсов предприятия;

– реализации мер по защите интеллектуальной собственности;

– организации и проведения мер по предотвращению чрезвычайных ситуаций;

– выявления негативных тенденций среди персонала предприятия, информирования о них руководства предприятия и разработки соответствующих рекомендаций;

– организации взаимодействия с правоохранительными и контрольными органами в целях предупреждения и пресечения правонарушений, направленных против интересов предприятия;

– разработки и реализации мер по предупреждению угроз физической безопасности имуществу предприятия и его персоналу;

– возмещения материального и морального ущерба, нанесенного предприятию в результате неправомерных действий организаций и отдельных физических лиц.

– Результатом деятельности по обеспечению комплексной безопасности предприятия являются: стабильность (надежность) его функционирования и финансово-экономического состояния, личная безопасность персонала.

1.2. Когда надо задумываться о безопасности

Безопасность предпринимательской деятельности, а часто это и Ваша личная безопасность – это тот случай, когда лучше предупредить возможные неприятности, чем решать возникающие проблемы. Многие риски в предпринимательской деятельности можно просчитать заранее.

Лучше всего задуматься о безопасности Вашего бизнеса в тот момент, когда Вам пришла идея создать свое предприятие. Потратить некоторое количество сил и средств на начальном этапе и исправить свои возможные просчеты и ошибки на бумаге, когда Ваше представление о том, что такое Ваш бизнес, как он выглядит, как будет развиваться, еще только формируется, – значительно проще и дешевле чем ломать уже выстроенный и работающий механизм.

Кроме того, задумываться о проблемах безопасности надо всякий раз, как Ваш бизнес претерпевает какие-либо изменения. Постарайтесь ответить на вопрос: кто от Ваших действий (хотя бы косвенно) может пострадать?

Например: Вы решили установить систему автоматизации бухгалтерского учета. В результате двое из четырех работников бухгалтерии становятся не нужны. Одну из работниц Вы переводите на новый участок, другую увольняете, и она направляет к Вам налоговую полицию. Даже если проверка налоговыми органами ничего криминального не выявит, то время и нервы отнимет точно.

Другой вариант: Вы решили внедрить новую технологию, существенно упрощающую и удешевляющую процесс переработки нефти. Можете не сомневаться, что компании занятые в этой отрасли сделают все, чтобы Ваше техническое решение так и осталось нереализованным – для них это потеря дохода (рынок любит стабильность и добровольно начинать ценовые войны, передел зон влияния никто не хочет). Возможно, последний пример кому-то покажется надуманным, но … это случай из практики.

Вы решили распространить через сеть розничной торговли новый вид товара, выгодно отличающийся от того, что сейчас представлено на рынке. И все начинается довольно неплохо – спрос высокий, продажи растут. Но при этом продукция кого-то другого, кто на этом рынке работал до Вас, безнадежно «встала». Скорее всего, этот «кто-то» обязательно поинтересуется, кто Вы такой, насколько Вы сильны и нельзя ли Вас каким-то образом "потеснить"…

1.3. Законы безопасности

Система безопасности предприятия должна быть построена с соблюдением следующих правил:

Профилактика возможных угроз.

Необходимо своевременное выявление возможных угроз безопасности предприятия. Анализ которых позволит разработать соответствующие профилактические меры.

Законность.

Меры по обеспечению безопасности разрабатываются на основе и в рамках действующих правовых актов. Локальные правовые акты предприятия не должны противоречить законам и подзаконным актам.

Комплексное использование сил и средств.

Для обеспечения безопасности используются все имеющиеся в распоряжении предприятия силы и средства. Каждый сотрудник должен, в рамках своей компетенции, участвовать в обеспечении безопасности предприятия. Организационной формой комплексного использования сил и средств является программа (план работ) обеспечения безопасности предприятия.

Координация и взаимодействие внутри и вне предприятия.

Меры противодействия угрозам осуществляются на основе взаимодействия и координации усилий всех подразделений, служб предприятия, а также установления необходимых контактов с внешними организациями, способными оказать необходимое содействие в обеспечении безопасности предприятия. Организовать координацию и взаимодействие внутри и вне предприятия может служба безопасности (СБ) предприятия (либо руководитель предприятия, если СБ в организации нет).

Сочетание гласности с секретностью.

Доведение информации до сведения персонала предприятия и общественности в допустимых пределах мер безопасности выполняет важнейшую роль – предотвращение потенциальных и реальных угроз.

Компетентность.

Сотрудники должны решать вопросы обеспечения безопасности на профессиональном уровне, а в необходимых случаях специализироваться по основным его направлениям.

Экономическая целесообразность.

Стоимость финансовых затрат на обеспечение безопасности не должна превышать тот оптимальный уровень, при котором теряется экономический смысл их применения.

Плановая основа деятельности.

Деятельность по обеспечению безопасности должна строиться на основе комплексной программы обеспечения безопасности предприятия, подпрограмм обеспечения безопасности по основным его видам (экономическая, научно-техническая, экологическая, технологическая и т. д.) и разрабатываемых для их исполнения планов работы подразделений предприятия и отдельных сотрудников.

Системность.

Этот принцип предполагает учет всех факторов, оказывающих влияние на безопасность предприятия, включение в деятельность по его обеспечению всех сотрудников, использование всех сил и средств.

1.4. Оцените Ваш бизнес – постарайтесь понять, для кого и какой он может представлять интерес

Необходимо отметить, что среди возможных проблем чаще всего, отмечаются случаи неправомерного использования материальных (финансовых) ресурсов предприятия. Но, кроме того, существует угроза непосредственного подчинения предпринимателя (или его фирмы) сторонним организациям и тем самым получения экономических выгод от его деятельности.

Рейтинг обращений отечественных бизнесменов за помощью в охранные фирмы выглядит следующим образом (по убывающей):

1) Проблема возврата средств (не поступает плата за отгруженный товар, не поступает оплаченный товар, не возвращается в указанный срок кредит);

2) Проблема личной безопасности бизнесменов и членов их семей в связи с угрозами и вымогательством;

3) Хищение грузов на транспорте;

4) Кражи личного имущества в квартирах, офисах, коттеджах, загородных строениях; ограбления; угоны автомобилей;

5) Похищение коммерческой информации (кража документов, их копирование, съем информации с компьютеров и факсов, прослушивание и запись телефонных сообщений, разговоров в помещениях, подкуп сотрудников);

6) Кражи и ограбления в магазинах, складских и производственных помещениях;

7) Порча имущества и товаров. Поджоги.

Итак, Вы посмотрели статистику обращений отечественных предприятий в охранные фирмы. Теперь попробуем понять, как определить, для кого и какой интерес будет представлять деятельность Вашей фирмы.

В настоящее время в России, деятельностью любого хозяйствующего субъекта в основном интересуются: государство, конкуренты, криминальные структуры и его собственный персонал.

Государство в основном контролирует правовую основу Вашей деятельности – зарегистрировано ли предприятие, есть ли лицензии, соответствующие вашему виду деятельности и исправно ли вы платите налоги. Кроме того, у правоохранительных органов интерес могут вызвать любые ваши действия нарушающие действующее законодательство. Поэтому, для того чтобы определить степень интереса государства к вам, посмотрите, какие ваши действия могут быть расценены различными контролирующими государственными органами как сомнительные или противоправные. Например, налоговой инспекцией.

У остальных «интересующихся» интерес носит, как правило, сугубо материальный характер.

Интерес криминальных структур – необходимо отдавать себе отчет в том, что если ваше предприятие в силу специфики своей деятельности попадает в зону повышенного интереса криминальных структур, то избежать общения с ними вам вряд ли удастся. Так что в этом случае лучше заранее оценить свои силы. Круг этих интересов на данной территории, если вы сами их не очень хорошо представляете, вам помогут определить специалисты (например, сотрудники детективных агентств или информационно-аналитических служб)

Кроме того, необходимо помнить, что Вы рискуете привлечь к себе повышенное внимание преступных группировок, применяя методы, нарушающие требования законодательства или деловой этики.

Но, даже если Вы будете вести бизнес по всем правилам, все равно есть риск встретиться с криминальным давлением.

Такое давление может возникнуть не только в случае проявления непосредственного интереса к Вашей деятельности со стороны криминальных структур, но и как форма недобросовестной конкуренции.

Дело в том, что часто недобросовестная конкуренция не только осуществляется незаконными методами, но и при этом, в качестве средств воздействия используются криминальные структуры.

Кроме того, предприятие, а вернее его финансовые средства, представляют большой интерес и для разного рода мошенников, деятельность которых так же можно отнести к криминальной.

Мошенничество в экономической сфере

Основными способами для достижения цели у мошенников являются обман, введение в заблуждение, злоупотребление доверием.

Один из видов мошенничества – использование фальшивых документов (подделка печатей и штампов) реальных или вымышленных фирм. Данный способ основан на индивидуальных способностях мошенника, использующего доверие сотрудников, внушаемость, некомпетентность, халатность.

Встречаются и более изощренные способы мошенничества. Например, фирмы, созданные только для того, чтобы, набрав заказы, получить деньги по предоплате и исчезнуть. Здесь встречаются и довольно хитроумные комбинации.

Одна из фирм, занимающаяся перепродажей товара из-за рубежа, для того чтобы привлечь клиентов снизила отпускные цены на товары ниже закупочных. От клиентов не было отбоя. Договоры поначалу точно выполнялись, имидж компании сомнений не вызывал, число клиентов росло. Создалась обычная пирамида. Естественно, вскоре руководство фирмы исчезло с деньгами, перечисленными по предоплате.

Изощренные мошенники часто проходят процедуру регистрации вполне легально и некоторое время добросовестно работают. При этом ни учредители, ни непосредственные руководители могут и не быть замеченными в каких-либо махинациях ранее. Выявить таких можно только с помощью системы достаточно сложных проверок руководителей, учредителей, их связей и анализа деятельности. Это под силу только специализированной фирме.

Но обычно, для выявления возможного мошенничества достаточно получить информацию об организации, ее деятельности (прошлой и настоящей) и учредителях. Поэтому, всегда нужно четко знать, где и какую информацию Вы можете получить.

Выбор способа получения информации зависит от Вас. Но нецелесообразно использовать какой-то один: рациональное решение лежит в области их комбинирования в зависимости от ситуации.

Конкуренты всегда проявляют интерес к вашей деятельности, даже если вы об этом и не догадываетесь. Вопрос лишь в том – что является предметом столь пристального внимания, и какие методы используются для его удовлетворения.

Наиболее вероятно, что интерес вызовут используемые вами новые технологии, методы работы, программы расширения и НИОКР и т. д.

Другое направление проявления повышенного интереса – это информация по настоящим и предполагаемым партнерам, клиентам, перехват выгодных контрактов и инвестиционных проектов, поставщиков и каналов сбыта.

Но не стоит забывать и о недобросовестной конкуренции. Основной принцип которой заключается в стремлении любыми, даже незаконными средствами, укрепить свое положение за счет ослабления позиций конкурентов, либо за счет обмана потребителей, или путем сочетания того и другого.

Недобросовестная конкуренция осуществляется в форме:

– экономического шпионажа,

– лживой рекламы,

– компрометации фирмы,

– фальсификации и подделки продукции,

– и, наконец, посредством прямого обмана, нанесения материального ущерба, психологического и физического подавления.

Персонал, как правило, интересует стабильность в деятельности Вашей организации, так как от этого зависит и стабильность заработной платы. Но бывают и исключения – это те, кто о размере своего дохода заботится сам, но… за ваш счет. Основные способы при этом – мошенничество либо воровство.

Внутреннее мошенничество

К таковому относятся любые действия самих сотрудников, либо совершенные при их пособничестве и направленные на использование активов предприятия в личных целях. Формы его бывают различными: это и хищение, и растрата, и присвоение, и приобретение права на чужое имущество.

В соответствии с американской статистикой, в среднем каждая организация в США теряет от мошенничества более $9 в день на каждого работника и приблизительно 6 % годового дохода от мошенничеств всех своих, нечистых на руку сотрудников.

Однако стоимость мошенничества и злоупотреблений в целом трудно поддается количественному измерению. Причин тому несколько: не все мошенничества и злоупотребления раскрываются; не все раскрытые факты предаются огласке; о некоторых случаях мошенничества собрана неполная информация; гражданское или уголовное преследование часто не возбуждается.

Каким бывает внутреннее мошенничество?

Выделяют три категории внутреннего мошенничества, характеризуемые такими образующими признаками, как незаконное присвоение активов, коррупция и мошеннические утверждения.

Незаконное присвоение активов является основной формой внутреннего мошенничества, составляя более четырех пятых известных нарушений, причем нарушения с наличными средствами и чековыми расчетами организаций равны общей доле потерь всех других активов (инвентарь, поставки, оборудование и информация). Это получение “навара” с продажи “неучтенки”, незаконное списание, неприкрытое изъятие и т. д.

Коррупция, в смысле внутреннего мошенничества, обычно заключается в том, что должностное лицо, менеджер или служащий организации вступает в сговор с посторонними. Известны несколько основных типов внутренней коррупции, ведущих к ущербу для интересов предприятия: взяточничество, запрещенные денежные вознаграждения, специальное завышение цены по договоренности и пр. На долю коррупции приходится около 10 % всех случаев внутреннего мошенничества.

Кто сколько ворует?

Статистические данные указывают, что приблизительно 58 % известных случаев мошенничества и злоупотреблений совершаются служащими, 30 % – менеджерами и 12 % – топ-менеджерами и собственниками.

Семейные служащие совершают самое большое количество мошенничеств и злоупотреблений и наносят самый высокий средний ущерб – в 72 % случаев. А потери, вызываемые мужчинами, в 4 раза больше потерь, вызываемых женщинами. Средние потери, вызванные виновными с высшим образованием, более чем в пять раз превышают потери, вызванные выпускниками средней школы.

Доля мошенничества с материальными ценностями непременно увеличивается в процессе роста организации, так как небольшие организации более оперативны при выявлении фактов мошенничества.

Менеджеры среднего звена образуют наиболее многочисленную группу лиц, совершающих мошенничество, хотя, в свою очередь, мошенничества, совершенные топ-менеджерами, имеют более высокую цену потерь.

Если говорить о предварительном сговоре, то он встречается более чем в 50 % случаев от всех совершаемых мошенничеств, которые для предприятия-жертвы обходятся всегда намного дороже, чем другие его виды. Наиболее же чреваты последствия для предприятия, если оно оказалось жертвой сговора внутренних и внешних преступников.

Воровство

Считается, что самое большее, на что способен обычный сотрудник – мелкое воровство: либо кража имущества родной компании, либо личных вещей коллег по работе. Расследовать и предотвращать такие преступления довольно просто. Да и ущерб от них не очень большой. Пока кто-то не украдет бумажник крупного клиента или зарубежного партнера.

Обычно, если на фирме появляется воришка, то об этом становится известно довольно быстро, и персонал сам включаются в динамичную игру "поймай вора", так как сам заинтересован в скорейшей нейтрализации этой угрозы.

А вот с «несунами» бороться труднее. Мелкие «несуны» не исчезли с распадом Советского Союза. Они и сейчас живут во многих организациях. Правда, об этом знают только их коллеги и бухгалтерия, которая регулярно списывает украденное имущество. Ущерб зависит от объема и рыночной стоимости товара, вынесенного ими за территорию организации или той сферы бизнеса, где работает компания.

Кроме того, не стоит забывать и о таком виде воровства, как использование в личных целях предоставляемых предприятием ресурсов: средств связи, оргтехники, машин и т. д. Это так же может нанести существенный урон, особенно малому предприятию.

Примеров подобного поведения может быть множество. Поэтому, никогда не помешает знать имена главных транжиров внутренних ресурсов компании.

Например, иногда таких «негативных» фактов бывает достаточно, чтобы заставить уволиться человека, которого подозревают в связях с конкурентами или криминальными структурами. Особенно если по тем или иным причинам нельзя объявить истинную причину увольнения. Такое в жизни случается значительно чаще, чем можно представить.

1.5. Ваши первые шаги по обеспечению безопасности

Вряд ли стоит лишний раз говорить о том, что для того чтобы свободно ориентироваться в ситуации надо обладать полной информацией о том что, где, когда и почему происходит или может произойти. Вы и сами знаете это, легко ориентируясь в том бизнесе, которым занимаетесь или хотите заняться.

В вопросах безопасности работает тот же самый принцип, и Вашим первым шагом по обеспечению безопасности своего бизнеса, будет установление четкого понимания того что, где и когда может Вам угрожать.

И только тогда, когда вы будете хорошо представлять, в чем состоит потенциальная опасность для вашего бизнеса, вы сможете определить возможные и доступные средства защиты и методы обеспечения безопасности.

Для этого необходимо ответить на следующие вопросы:

– что необходимо охранять (имущество, информацию, ценные бумаги, непосредственно персонал фирмы)?

– кто может представлять угрозу (преступные группы, персонал самого предприятия, спецслужбы)?

– как может быть осуществлена угроза (проникновение в помещение с улицы, использование персонала в корыстных целях и т. д.)?

– сопоставимы ли стоимость охраняемых объектов и стоимость охраны?

Остановимся на данных моментах подробнее:

Прежде всего, попробуйте определить, что надо защищать и надо ли вообще что-то защищать. Определите объекты защиты. Например, Ваше предприятие занимается исключительно торговой деятельностью.

Что может подлежать защите в этом случае?

Конечно же, товар. Причем защита требуется всегда – в торговом зале, на складе, в дороге (при перевозке) т. д.

Но, кроме того, возможно, Вы используете и свои собственные, разработанные лично Вами формы и методы продажи. Либо за время работы, Ваша торговая марка стала широко известной, и сама привлекает покупателей, т. к. является гарантий высокого качества продаваемого товара.

Тогда они также должны являться объектом Вашего внимания и защиты – ведь это Ваше преимущество перед конкурентами.

Не стоит забывать и о работающих у Вас сотрудниках.

Затем, ответьте на вопрос: зачем? То есть, другими словами Вы определите цель построения системы безопасности предприятия и задачи, которые при этом должны решаться.

В рассматриваемом нами примере торгового предприятия ответ будет выглядеть так:

Товар – требуется обеспечение сохранности, необходимо принять меры для предотвращения кражи, порчи товара, в том числе и умышленной.

Методы продажи (и другие секреты фирмы в области работы с клиентом) – требуется защита от навязчивого интереса конкурентов. Ведь именно ваша эксклюзивность обеспечивает предприятию дополнительный доход, способствует привлечению новых клиентов.

Персонал – часто возникает необходимость обеспечения физической или психологической защиты.

Следующий вопрос, на который требуется ответить – от кого? Ответив на этот вопрос, Вы определите источники опасности.

В рассматриваемом нами случае:

Товар требуется защищать: от покупателей-воришек (в торговом зале), от небрежности персонала (продавцов, грузчиков) – неумышленная или умышленная порча товара, от грабителей – в дороге. Кроме того, необходима защита и от природных катаклизмов – если склад, например в результате сильного ливня, будет затоплен, то Вы понесете весьма ощутимые убытки.

Секреты фирмы защищаются в основном от конкурентов, но иногда требуется защита и от не в меру любопытных собственных сотрудников.

Персонал – в основном от разного рода преступных посягательств, таких как, например: вооруженное ограбление, угроза похищения или убийства, психологический террор, шантаж, вымогательство.

И, наконец, последний вопрос – как? Ответив на него, вы определите, методы и средства защиты. Правда иногда, для того чтобы получить ответ на этот вопрос, требуется обратиться к специалистам.

Затем, используя результаты проведенного Вами анализа, Вы можете приступить к планированию работ по обеспечению безопасности Вашего предприятия, определить необходимые организационные и технические меры, рассчитать стоимость затрат и оценить эффективность проводимых мероприятий. При этом важно понимать, какие работы Вы в состоянии выполнить собственными силами, а в каких случаях требуется прибегнуть к помощи профессионалов

Лекция 2
Как анализировать потребности в обеспечении безопасности

Выработка всестороннего плана обеспечения безопасности требует методичного и продуманного анализа. Начав с общего понимания организации и дойдя до множества частных задач, вам придется применить структурный подход, чтобы собрать воедино и проанализировать этот план. Получаемые в результате рекомендации должны дополнять и поддерживать одна другую.

Задача эта не так проста, поскольку сложились уже определенные промышленные образцы таких планов. Лишь некоторые из них являются продуктом всестороннего анализа, остальные же разработаны для конкретных ситуаций применения в порядке реакции на произошедший объекте инцидент. Фактически, многие из действий охраны предназначены для производства расследования по факту события, а не для предотвращения этого события.

Объектом анализа при составлении плана безопасности являются все возможные уязвимости, которые необходимо выявлять методично и всесторонне, чтобы программа безопасности имела в основе обширный анализ, а не опыт действий по устранению последствий последнего из произошедших на объекте инцидентов. Аналитический подход позволяет гарантировать, что средства, затрачиваемые на обеспечение безопасности, расходуются в соответствии с конкретными нуждами, защищая более важные объекты и подвергая большему риску менее критичные.

Цель, однако же, состоит не в том, чтобы разработать план безопасности с высокой степенью "защиты от дурака". Сто́ит помнить о том, что полностью защитить объект возможно, лишь затратив несоразмерные деньги и прекратив его функционирование в целях осуществления бизнеса. Взамен этого цель ставится такая: сделать нарушение режима безопасности максимально затруднительным (но не невозможным!) для злоумышленника. Степень трудности зависит от того, насколько ценен данный объект и насколько организация-заказчик готова к рискам.

Процесс анализа делится на пять фаз – подразделение на объекты, оценка угроз, анализ уязвимости, выбор мер противодействия и их внедрение. Процесс этот рассчитан на тщательный анализ, и приступать к каждой следующей фазе следует, лишь полностью завершив предыдущую.

Подразделение на объекты

Начинается определение объектов с понимания деятельности организации в широком смысле слова, ее задач и функций, а также среды, в которой эта деятельность осуществляется. В начальной стадии анализа следует провести интервью с руководящим составом и специалистами организации, чтобы определить необходимые для осуществления ее деятельности ресурсы. В их число входит производственное оборудование, операционные системы, сырье и материалы, готовая продукция, системы учета и управления, а также инфраструктурные сети – электрические, водяные, природного газа и связи. Зачастую наиболее значимыми являются нематериальные активы, получить представление о которых можно лишь основательно вникнув в деятельность организации. В результате этого шага определяются объекты возможного нападения.

Каждый производственный объект можно разбить на более мелкие составные части. Анализ может показать, что такая детализация объекта необходима вследствие его критической важности. Примером подобного объекта может выступить информационная технология, которая делится на обширный список системных компонентов – аппаратной части, операционных систем, прикладного программного обеспечения, систем управления базами данных, каналов связи и системной документации.

И материальные, и нематериальные активы должны быть категоризированы как жизненно важные (потеря равносильна катастрофе), важные (потеря приведет к серьезным сбоям, но в принципе восполнима) и второстепенные (утрата относительно незначительна.

Оценка угроз

Всесторонний план безопасности требует определения обширного списка угроз – чтобы принять во внимание целый спектр разрушительных воздействий. Путем анализа список угроз редуцируется, чтобы сосредоточить внимание лишь на наиболее вероятных из них.

Оценка начинается со сбора данных о произошедших в прошлом инцидентах, связанных с нарушением режима безопасности, включая происшествия на охраняемом объекте, на всех объектах, принадлежащих компании, а также статистика по всей отрасли. Определите, существуют ли устойчивые образцы криминального поведения, и установите их природу. Изучите информацию о понесенных убытках, нарушениях безопасности и судебные дела, в которых фигурировала организация. Проконсультируйтесь с корпоративными юристами и изучите судебные определения, содержащие факты, имеющие отношение к безопасности.

Проинтервьюируйте руководящий состав компании, страховых поручителей и руководство местных экстренных служб на предмет определения существующих угроз. Проанализируйте статистику преступности и сравните показатели с общенациональными, региональными, районными и муниципальными.

Определите виды угроз, являющихся уникальными для данного региона и данной организации, места сосредоточенного хранения опасных веществ и материалов, а также пути транспортировки, обычно используемые для доставки грузов. Прикиньте угрозы, которые ни разу не были осуществлены, но характер бизнеса и социально-политическая обстановка не исключают попыток их реализации.

Оценка угроз является процедурой качественного анализа, хотя в ней могут применяться и некоторые процедуры количественной оценки. Важно понимать, что такая оценка является валидной лишь на определенный момент времени. Изменение внешней обстановки сказывается и на спектре угроз. Следовательно, оценка должна периодически обновляться, чтобы убедиться в соответствии программы безопасности вызовам момента.

Каждую из угроз следует категоризировать как вероятную (ожидается ее событийное воплощение), возможную (обстоятельства могут привести к событию) и маловероятную (событийное воплощение не ожидается). Степень тяжести последствий вызванных реализацией угрозы событий может также подразделяться на катастрофическую (разрушительное событие), умеренную (последствия принципиально устранимы) и легкую (последствия относительно несущественны).

Анализ уязвимости

Меры противодействия, по сути, являются помехами на пути к осуществлению угрозы. Соответственно, задача этих мер – сделать событие менее вероятным, не давая возможности злоумышленнику осуществить угрозу. Однако прежде чем ставить барьеры на пути осуществления события, необходимо представить себе весь ход его развития. Анализ уязвимости представляет собой механизм создания детальных пошаговых сценариев тревожных событий.

К конструированию сценариев должны привлекаться представители организации, обладающие обширными знаниями о внутренней механике ее рабочих процессов. Рабочей группе следует смоделировать ролевое поведение преступника, осуществляющего нападение на организацию – и это позволит определить ключевые зоны ее уязвимости. Планы безопасности, способные остановить действия хорошо информированного сотрудника организации, смогут помешать пришедшему извне преступнику в равной степени – а точнее, даже в большей. Это упражнение позволит выделить зоны уязвимости и обеспечить исходные данные для следующей фазы работы над планом – выбора мер противодействия. Анализ уязвимости создает пакеты мер защиты – то есть, основываясь на четко сфокусированной проблеме, дает пути ее разрешения путем применения контрмер безопасности. Пакеты эти лучше всего описываются путем составления электронной таблицы, в которой сопоставляются объекты и угрозы и обозначается, каким специфическим угрозам подвержен тот или иной объект.

Каждый сценарий должен сопровождаться таблицей его характеристик – правдоподобности (не слишком ли далеко простирается действие?), последствий события и степенью приемлемого для организации риска.

Выбор мер противодействия

Точно так же, как это происходит в здравоохранении, когда самочувствию пациента может быть нанесен ущерб неправильным лечением, уровень безопасности организации может быть ослаблен либо поставлен под вопрос неверным применением мер противодействия. Выработка таких мер – скорее искусство, чем сухая наука, и потому требует объединения усилий персонала управления и службы охраны; только в этом случае способна появиться на свет программа, соответствующая нуждам организации.

В качестве мер противодействия могут выступать электронные системы безопасности, физические барьеры, охранники, политики и процедуры.

Электронные системы безопасности объединяют системы контроля доступа, обнаружения, наблюдения и сбора свидетельских показаний. В число подсистем могут входить обнаружение вторжения, тревожные кнопки, охранное телевидение, проводные и радиопереговорные устройства, громкоговорящие системы, средства индивидуальной защиты и телефонные системы.

Физические и психологические барьеры применяются для затруднения доступа к объекту. В число физических барьеров входят хранилища, сейфы, шлагбаумы, ограждения и ворота, изделия из пуленепробиваемых материалов, колючая проволока, капканы, ловушки для транспортных средств, бронезащита автомобилей, механические замки, "лежачие полицейские" и бордюры, бомбоубежища, средства освещения, щиты, панели из прочных материалов и специальные элементы ландшафта.

Персонал службы безопасности исполняет различные охранные функции, включая оперирование электронными системами, несение вахты на постах и осуществление патрулирования. Большинство действий охраны предусматривают наблюдение за событиями и – в случае инцидента – постановка в известность правоохранительных органов. В некоторых случаях охранники могут быть вооружены и иметь специальную подготовку и право вмешиваться в ход событий.

Политики устанавливают позицию управляющего звена и общий подход к практике разрешения бизнес-проблем. Процедуры определяют средства осуществления политики. Это наиболее критичная часть программы безопасности. Здесь определяются программы и процессы, необходимые для того, чтоб механизмы обеспечения безопасности работали эффективно.

Внедрение

В этой фазе рекомендации преобразуются в спецификации и инструкции, направленные на действия людей и систем, а также формирование политик. Задача внедрения – перевести план безопасности в запросы и приобретение документов, процедур, организационных программ и процессов.

В СЛУЧАЕ ОПАСНОСТИ

По каждому из элементов реагирования необходимо создать детальное описание предпринимаемых действий на всех четырех фазах происшествия:

ФАЗА ПРЕДУПРЕЖДЕНИЯ: Определите процедуры эвакуации и завершения работы системы, а также расположение укрытий и убежищ.

ФАЗА СОБЫТИЯ: Определите технологии укрепления и обеспечения выживания, а также методы локализации зоны инцидента – такие, как выставление нее кордонов для предотвращения возможности расширения круга участвующих в ситуации лиц.

ПО ГОРЯЧИМ СЛЕДАМ: Определите процедуры оказания первой помощи, уведомления властей и экстренных служб, ограничения доступа к месту преступления, управления движением, эвакуации пострадавших и стратегию сдерживания распространения ситуации.

ПОСЛЕ СОБЫТИЯ: Определите процессы постановки в известность родственников, очистки и ремонта, деятельности на запасной территории и проведения разъяснительной работы.