Менеджмент безопасности

Менеджмент безопасности
Вопрос: «Что является объектами обеспечения безопасности?»
Ответ:
К объектам обеспечения безопасности обычно относят:

бизнес-процессы;

руководство и персонал;

активы;

финансовые средства;

материальные ценности;

технологии;

информационные ресурсы;

репутация компании;

иные объекты
Вопрос: «Кто должен заниматься обеспечением безопасности в компании?»
Ответ:
Возможные варианты субъектов обеспечения безопасности:

1 вариант – обеспечением безопасности занимается руководство компании;

2 вариант – обеспечением безопасности занимается сотрудник, у которого есть иные
должностные обязанности (работа по совместительству);

3 вариант – обеспечением безопасности занимается сотрудник, у которого эта работа
входит в основные должностные обязанности (отдельная должность);

4 вариант – обеспечением безопасности занимается Совет по безопасности
(совещательный орган) и сотрудник, у которого эта работа входит в основные
должностные обязанности;

5 вариант – обеспечением безопасности занимается внешняя организация
(абонентское обслуживание по вопросам безопасности);

6 вариант – обеспечением безопасности занимается Служба безопасности;

7 вариант – смешанный вариант из вышеперечисленных
Вопрос: «Какие задачи стоят перед системой безопасности компании?»
Ответ:
Задачи построения системы корпоративной безопасности:

обеспечение устойчивого функционирования компании;

предотвращение угроз безопасности компании;

защита законных интересов компании;

проведение охранных мероприятий;

защита информационных ресурсов компании;

иные задачи, исходя из объектов безопасности
Вопрос: «Какие основные угрозы интересам компании?»
Ответ:
Под угрозой безопасности компании следует понимать потенциально или реально возможное
событие, действие, процесс или явление, которое способно нарушить её устойчивость и
развитие или привести к остановке её деятельности.
Угрозы классифицируются:

постоянные/временные;

внешние/внутренние.
В соответствии с общей теорией безопасности выделяют пять базовых угроз:

угрозы, связанные с конкурентной борьбой;

угрозы, связанные с человеческим фактором;

угрозы, связанные с деятельностью государства (коррупция, несовершенство
законодательства, административный ресурс, политика и т.д.);

угрозы, связанные с организованной преступностью;

угрозы, связанные с техногенными и природными факторами.
Основные виды угроз предпринимательской деятельности:
1. физические

преднамеренные (кражи, нападения, взломы, проникновения на территорию и т.д.);

непреднамеренные (природные и технические)

информационные

преднамеренные (внутренние и внешние угрозы);

непреднамеренные (некомпетентность пользователя, ошибки при разработке
программного обеспечения, халатность, отказы технических средств и т.д.)
2. экономические

преднамеренные (недобросовестная конкуренция, демпинг, промышленный шпионаж,
шантаж и т.д.);

объективные (инфляция, конкуренция, экономические кризисы и т.д.)

юридические

целенаправленные (заведомо неправильное оформление договоров, документов и
т.д.);

субъективные (юридические ошибки)
Угрозу можно классифицировать по различным основаниям и измерить их в количественных
параметрах. Например, возможный ущерб оценивается числом погибших людей, потерявших
(ухудшивших) здоровье, денежной сумме экономических потерь и т.д.
По степени вероятности угроза оценивается как:

реальная, где вероятность может быть подсчитана, например, исходя из статистики,
экспертным методом, методикой группового SWOT анализа и т.д.;

потенциальная
По степени развития угроза проходит четыре этапа:

возникновение;

экспансия;

стабилизация;

ликвидация
Отдаленность угрозы во времени определяется как:

непосредственная;

близкая (до 1 года);

далекая (свыше 1 года)
Отдаленность угрозы в пространстве определяется как:

территория компании;

прилегающая к компании территория;

территория региона;

территория страны;

зарубежная территория
Темпы нарастания угрозы измеряются по месяцам, кварталам, годам.
Угрозы делятся по природе их возникновения на два класса:

естественные (объективные), т.е. вызванные стихийными природными явлениями, не
зависящими от человека (наводнения, землетрясения, ураганы и т.п.);

искусственные (субъективные), т.е. вызванные деятельностью человека
непреднамеренные (неумышленные) и преднамеренные (умышленные) угрозы
К угрозам безопасности личности относятся:

похищения и угрозы похищения руководства, сотрудников, членов их семей и близких
родственников;

убийства или насилие;

психологический террор, угрозы, запугивание, шантаж, вымогательство;

нападение с целью завладения денежными средствами, ценностями или документами
К угрозам в отношении помещений (в том числе и жилых) относятся:

взрывы;

обстрелы из огнестрельного оружия;

минирование;

поджоги;

нападение, вторжение, захваты, пикетирование, блокирование;

повреждения входных дверей, решеток, ограждений, витрин, мебели, а также
транспортных средств;

технологические аварии, пожары
К угрозам финансовым ресурсам относятся (применительно к инвестиционным компаниям
или банкам):

не возврат кредитов;

мошенничество со счетами и вкладами клиентов, а также с финансовой или
бухгалтерской отчетностью;

подделка платежных документов и пластиковых карт;

хищение финансовых средств из касс и инкассаторских машин
К угрозам информационным ресурсам относятся:

разглашение конфиденциальной информации;

утечка конфиденциальной информации через технические средства;

несанкционированный доступ к охраняемым сведениям со стороны конкурентных
организаций и преступных группировок;

уничтожение или несанкционированное изменение информации;

блокирование или разрушение технических средств приема, передачи, обработки и
хранения информации
По всем выявленным угрозам необходимо определить уровень в материальном (денежном)
выражении. Надо оценить возможные потери от реализации каждой угрозы. В общем случае
таковыми потерями можно считать произведение суммы возможного ущерба и вероятности
его наступления.
Кроме того, по всем выявленным угрозам желательно предвидеть сценарий развития
событий, а также модель потенциального правонарушителя.
Процесс борьбы с угрозами можно разделить на три этапа:

предотвращение угроз (меры профилактического характера, когда угроза еще не
действует, но потенциально существует);

обнаружение угроз (меры, призванные выявить угрозу в момент ее появления);

ликвидация последствий угроз (меры, которые принимаются после прекращения
действия угрозы)
При оценке угроз безопасности применяются:

теория надежности для определения угроз, создаваемых техническими средствами
(сбои, отказы, ошибки и т.д.);

математическая статистика для описания естественных угроз (природные явления,
стихийные бедствия и т.д.);

теория вероятности для описания угроз, создаваемых людьми по небрежности,
халатности и т.д.;

экспертные методы для описания умышленных угроз
Вопрос: «Какие принципы построения корпоративной безопасности?»
Ответ:
Организация и функционирование системы безопасности компании должны осуществляться
на основе следующих принципов:

комплексность. Принцип комплексности предполагает обеспечение безопасности
всех сторон деятельности компании (безопасность персонала, материальных и
финансовых ресурсов, информационных ресурсов и т.д.);

своевременность. Принцип своевременности предполагает упреждающий характер
мер обеспечения безопасности. Своевременность также предполагает постановку
задач по комплексной безопасности на ранних стадиях разработки системы
безопасности на основе анализа и прогнозирования обстановки, угроз безопасности, а
также разработку эффективных мер предупреждения посягательств на интересы
компании;

непрерывность. Принцип непрерывности предполагает постоянное применение
защитных мер. Наиболее эффективным считается непрерывный цикл
«планирование – реализация –проверка – совершенствование - планирование-…»;

активность. Принцип активности предполагает осуществление защиты интересов
компании с необходимой и достаточной степенью настойчивости, широко используя
маневр силами и средствами обеспечения безопасности и нестандартные меры защиты;

законность. Принцип законности предполагает разработку системы безопасности на
основе федерального законодательства в области предпринимательской
деятельности, информатизации и защиты информации, частной охранной
деятельности, а также других нормативных актов по безопасности, утвержденных
органами государственного управления в пределах их компетенции, с применением
всех дозволенных методов обнаружения и пресечения правонарушений;

системность и плановость Системность предполагает учет всех факторов,
оказывающих влияние на безопасность компании, включение в деятельность по ее
обеспечению всех сотрудников подразделений, использование в этой деятельности
всех сил и средств. Деятельность по обеспечению безопасности должна также
строиться на основе комплексной программы обеспечения безопасности компании,
подпрограмм обеспечения безопасности по основным его видам (экономическая,
научно-техническая, экологическая, технологическая и т.д.) и разрабатываемых для их
исполнения планов работы подразделений компании и отдельных сотрудников;

целесообразность. Принцип целесообразности предполагает экономическую
целесообразность и сопоставимость возможного ущерба и затрат на обеспечение
безопасности (критерий "эффективность — стоимость");

дублирования. Данный принцип предполагает дублирование средств защиты;

специализация. Принцип специализации предполагает привлечение к разработке и
внедрению мер и средств защиты специализированных организаций, наиболее
подготовленных к конкретному виду деятельности по o6eспечению безопасности,
имеющих опыт практической работы и государственную лицензию на право оказания
услуг в этой области;

взаимодействие и координация. Принцип взаимодействия и координации
предполагает осуществление мер обеспечения безопасности на основе четкого
взаимодействия всех заинтересованных подразделений и служб, сторонних специализированных организаций в этой области, координацию их усилий для достижения
поставленных целей, а также интеграцию деятельности с органами государственного
управления и правоохранительными органами;

совершенствование. Принцип совершенствования предусматривает
совершенствование мер и средств защиты на основе собственного опыта, появления
новых технических средств с учетом изменений в методах и средствах разведки и
промышленного шпионажа, нормативно-технических требований, накопленного
отечественного и зарубежного опыта;

централизация управления. Принцип централизации управления предполагает
самостоятельное функционирование системы безопасности по единым организационным, функциональным и методологическим принципам с централизованным
управлением деятельностью системы безопасности;

золотое сечение безопасности. Существуют три понятия: безопасность, скорость и
дешевизна. Строя систему, можно выбрать только два из них. Система может быть
безопасной и быстрой, но при этом она окажется очень дорогой. Она может быть
безопасной и дешевой, но она будет медленной. Она может быть дешевой и быстрой,
но небезопасной. Выбор оптимальной комбинации (золотого сечения) - прерогатива
лиц, принимающих решения;

персональная ответственность. В соответствии с этим принципом каждый
сотрудник компании или ее партнер несет персональную ответственность за
соблюдение режима безопасности в рамках своих полномочий или соответствующих
инструкций. Ответственность за нарушение режима безопасности должна быть
заранее конкретизирована и персонифицирована. При этом корпоративная
безопасность должна строиться таким образом, чтобы при любом ее нарушении был
четко известен или минимизирован круг лиц, могущих быть причастными к
совершению правонарушения. Это не только облегчает расследование ЧП, но и
служит эффективным средством добросовестного выполнения служебных
обязанностей и удержания потенциальных нарушителей от противоправных действий;

минимальное использование человеческого фактора. Старая сицилийская пословица
гласит, что «человек, который играет один, никогда не проигрывает», поэтому системы
безопасности, рассчитанные на использование многочисленного «человеческого
фактора», как правило, являются ненадежными;

ограничение полномочий. Данный принцип одновременно относится как к персоналу,
так и средствам защиты и обработки информации. При этом он включает в себя и
проблему доступа. Вероятность нарушения коммерческой тайны или нормального
функционирования компании прямо пропорциональна количеству осведомленных лиц.
Никому не следует знакомиться с конфиденциальной информацией, если это не
требуется для выполнения его должностных обязанностей. Второй составляющей
этого принципа является необходимость запрета физического доступа к особо
уязвимым зонам для лиц, пребывание которых там не требуется по роду
деятельности. Третья составляющая определяет минимизацию любых средств, с
помощью которых выполняются функциональные обязанности персонала и действия
клиентов. Например, при обработке информации в ПЭВМ необходимо иметь
минимальный состав ПО, обеспечивающий функциональную деятельность
сотрудника. В противном случае появляются дополнительные возможности для
несанкционированных действий;

многорубежность систем безопасности;

равнопрочность. Необходимость равнопрочности рубежей защиты можно показать на
примере. Если по периметру здания некоторые окна не будут оборудованы защитными
металлическими решетками, то прочность и надежность остальных решеток не имеет
значения;

сочетание гласности с конспирацией;

психологическое воздействия на правонарушителя.
Вопрос: «Что включает в себя система безопасности компании?»
Ответ:
Система безопасности компании включает в себя подсистемы:

информационная безопасность;

кадровая безопасность;

экономическая безопасность;

личная безопасность;

инженерно-техническая безопасность;

техническая безопасность;

IT – безопасность;

правовая защита бизнеса
Вопрос: «Какие способы функционирования системы безопасности компании?»
Ответ:
Способы функционирования системы безопасности:

«одевание брони»;

изменение местоположения;

устранение угрозы;

маскировка истинного положения дел
Вопрос: «Что такое Служба безопасности компании?»
Ответ:
Служба безопасности (СБ) – подразделение компании, обеспечивающее или организующее
безопасность компании.
СБ, как и любое другое подразделение компании, должно иметь положение о подразделении,
утвержденное руководителем компании. Под положением понимается правовой акт,
определяющий свод правил, регулирующих деятельность СБ, её взаимоотношения с другими
подразделениями компании и сотрудниками, права и обязанности в сфере её
деятельности. В положении о СБ целесообразно включить следующие разделы:

общие положения;

основные задачи;

функции;

права и обязанности;

руководство;

взаимоотношения и связи;

имущество и средства;

контроль, проверка и ревизия деятельности;

реорганизация и ликвидация.
К основным задачам СБ как правило относится:

организация работ по созданию корпоративной безопасности;

создание нормативно-правовой базы компании, регламентирующей безопасность
компании и осуществление контроля за ее выполнением;

координация действий сотрудников и подразделений компании по вопросам
обеспечения безопасности;

взаимодействие с государственными и правоохранительными органам по вопросам,
затрагивающим безопасность компании;

взаимодействие с аутсорсинговыми организациями, представляющими услуги по
корпоративной безопасности;

организация защиты конфиденциальной информации;

информационно-аналитическая работа по обеспечению безопасности компании;

анализ финансовой деятельности компании с целью предотвращения и вычисления
противоправных действий, наносящих ущерб интересам компании (воровство, откаты,
мошенничество, коммерческий подкуп и т.д.);

проведение мероприятий, направленных на обеспечение кадровой безопасности
компании;

проведение внутрикорпоративных расследований по фактам совершения
противоправных действий со стороны персонала компании;

консультирование и предоставление рекомендаций руководству и персоналу компании
по вопросам обеспечения безопасности;

организация работ по охране имущества компании;

организация работ по инженерно-техническому оборудованию компании с целью
обеспечения ее безопасности.
Вопрос: «Как проверять работу сотрудников Службы безопасности компании?»
Ответ:
Методы проверки работы Службы безопасности могут быть следующие:

метод «учебной тревоги». Данный метод хорошо зарекомендовал себя при проверки
эффективности охранных мероприятий, разновидности этого метода – попытки
несанкционированного проникновения на территорию, прохода по поддельным
пропускам, имитация кражи или выноса материальных ценностей;

метод соблюдения регламентов. Данный метод основан на контроле за выполнением
регламентов по отдельным направлением деятельности (регламент проверки
контрагента, регламент проверки кандидата на работу и т.д.);

метод оценки по количеству раскрытых нарушений. Данный метод опасен тем, что
сотрудники СБ могут начать искусственно создавать нарушения, чтобы показать свою
значимость и эффективность;

метод оценки по успехам - неудачам в деятельности компании. Эффективность
данного метода тем выше, чем больше успех деятельности компании зависит от
деятельности СБ;

метод коэффициентов. Для того чтобы оценить эффективность СБ с помощью
коэффициентов, следует определить сами коэффициенты. Необходимо, чтобы они
были ориентированы на конечный результат в конкретном направлении. Например,
коэффициент качества отбора кандидатов (Кк) — отношение количества сотрудников,
уволенных за мошенничество (либо подозреваемых) из числа принятых за
исследуемый период (У), к общему числу принятых на работу за этот же период (П): Кк
= У/П. Очевидно, что идеальное состояние данного коэффициента равно нулю, а чем
ближе его значение к единице, тем больше оснований говорить о полной
некомпетентности СБ.

экспертный метод. Суть этого метода сводится к тому, что в компании выделяют
группу специалистов (обычно топ-менеджеров), так или иначе связанных с работой
СБ. Они становятся экспертами. По окончании отчетного периода каждый из них
оценивает работу СБ по некоторой условной шкале (например, от 0 до 5). Затем
высчитывается средний показатель, который и является оценкой работы СБ за данный
период.

метод оценки о системе «BARS». Для применения этого метода необходимы эксперты
(группа Б) и специалисты для подготовки методики (группа А). Лучше, если это будут
люди, тесно связанные с работой СБ или даже принимающие в ней непосредственное
участие. Эксперты группы А описывают специфические ситуации эффективного и
неэффективного исполнения обязанностей либо каждого сотрудника СБ в
отдельности, либо всей службы в целом. Далее полученные родственные (сходные)
ситуации объединяют в небольшие группы, которые затем кратко характеризуются.
Эти же специалисты ранжируют поведение, описанное в каждом случае, внутри группы
с помощью 7–9-уровневых шкал. Эксперты группы Б с определенной периодичностью
проводят оценку СБ по выведенным шкалам при помощи установленных критериев;

метод оценки по совокупным показателям. Основу этого способа составляет
разработанная в компании система показателей, которая может включать в себя
объективные требования, знание теории и практики, общие результаты работы
вверенного сектора компании, неплановые проверки и т.д.
Вопрос: «Как происходит подготовка к созданию системы безопасности компании?»
Ответ:
Подготовка к созданию системы безопасности компании осуществляется по следующей
схеме:

постановка проблемы;

изучение вопроса (рассмотрение всех возможных угроз, определение вероятного
противника);

анализ существующей ситуации;

прогноз развития событий;

выработка рациональной политики исходя из уровня финансирования;

принятие решений
При анализе существующей ситуации рекомендуется учитывать следующее:

политическую и экономическую ситуацию в стране и регионе;

предсказуемость поведения административных структур и направления проводимой
ими политики;

состояние правовой базы в области деятельности компании;

наличие материально-сырьевых, товарных, трудовых и иных ресурсов в месте
расположения компании;

криминогенная ситуация в регионе;

состояние рыночной среды, инфраструктуры рынка, в том числе рынка сбыта;

конкурентоспособность продукции (услуг), выпускаемой компанией, определение
уровня цен и платежеспособности населения;

анализ возможностей по установлению деловых контактов, наличие реальных и
потенциальных конкурентов;

анализ партнеров по деловым связям, их платежеспособности;

анализ состояния безопасности самой компании, в том числе оценка состояния
обеспечения компании различными ресурсами, степень защищенности объектов
безопасности, надежность кадрового потенциала, состояние финансовой,
информационной, кадровой, технико-технологической, экономической, силовой
составляющей безопасности, возможности компании по созданию, содержанию и
оснащению собственной службы безопасности и т.д.
При определении уровня финансирования системы безопасности нужно учитывать:

система безопасности является непроизводственной сферой, она не зарабатывает
деньги, она способствует их сохранению;

полноценная отдача от системы безопасности в целом может быть получена примерно
через полгода после начала ее создания, хотя отдельные подсистемы могут начать
активно функционировать и выполнять поставленные задачи с первых дней;

обеспечение высокого уровня безопасности требует больших финансовых вложений
При определении уровня угроз компании ее руководитель должен учитывать

насколько руководитель компании доверяет своим сотрудникам и как сильно
они могут его «подвести»;

в каком состоянии находится сектор рынка, в котором работает компания, есть ли в
нем "монстры", как часто происходит передел сфер влияния, насколько остро идет
борьба за клиента, как проявляется конкуренция, какие отношения с конкурентами и
кто за этими конкурентами стоит;

как складываются у руководства компании отношения с государственными органами, в
особенности с правоохранительными и контролирующими;

какие у руководства компании отношения с криминалом
Вопрос: «Какие особенности построения безопасности в условиях экономического
кризиса»
Ответ:
Период экономического кризиса характеризуется:

снижением финансирования мероприятий, направленных на обеспечение
безопасности компании;

снижением количества оборотных денег и сложности с получением кредитов;

изменением направлений деятельности компании и организационной структуры
компании;

снижением заработной платы сотрудников и общего уровня жизни;

отсутствием полной загрузки сотрудников работой с предоставлением вынужденных
неоплачиваемых отпусков;

массовыми увольнениями сотрудников;

изменением законодательства, регламентирующее вопросы корпоративной
безопасности (настоящее время);

обострением отношений между акционерами (совладельцами) компании;

увеличением случаев невыполнения договорных обязанностей контрагентов и
увеличением задолженностей по платежам.
В период экономического кризиса построение системы безопасности имеет следующие
особенности:

определение направлений работы, выполнение которой надо оставить за
сотрудниками СБ и направлений работы, которую можно отдать на аутсорсинг;

реорганизация СБ исходя из снижения объема решаемых задач, в связи с передачей
части функций на аутсорсинг;

внесение изменений в концепцию обеспечения безопасности компании или создание
новой концепции исходя из особенностей обеспечения безопасности компании в
период проведения антикризисных мероприятий;

привлечение СБ к проведению антикризисных мероприятий в компании;

проведение активных мероприятий с увольняемыми сотрудниками с целью
недопущения нанесения ими ущерба интересам компании после увольнения;

увеличение количества мероприятий по проведению внутрикорпоративных
расследований;

увеличение количества проводимых мероприятий по предупреждению и раскрытию
фактов воровства, мошенничества и иных противоправных действий;

усиление информационно-аналитической работы, направленной на вычисление
ненадежных партнеров и контрагентов;

увеличение количества мероприятий, направленных на взыскание дебиторской
задолженности.
Вопрос: «Какой основной документ, регламентирующий построение системы
корпоративной безопасности»
Ответ:
После проведения анализа ситуации переходят к созданию основного документа,
регламентирующего деятельность по обеспечению безопасности компании. Этот документ
обычно называется Концепция обеспечения безопасности компании или Политика
безопасности компании. Он обязательно утверждается у руководства компании. Структурно
он может состоять из следующих разделов:
Раздел 1. Описание ситуации в области безопасности компании

определение состояния окружающей конкурентной среды;

анализ экономического состояния компании, его ресурсного потенциала, степени
защищенности объектов безопасности, надежности кадрового потенциала, состояния
его функциональных составляющих: финансовой, кадровой и интеллектуальной,
правовой, информационной, технико-технологической, экологической, силовой и т. д.;

выявление потенциальных и реальных угроз и экономических рисков, их
ранжирование по степени значимости или опасности по времени наступления или
величине возможно нанесенного ущерба;

определение причин и факторов зарождения угроз и экономических рисков;

прогнозирование возможных негативных последствий отдельных угроз и
экономических рисков, расчет возможного ущерба;

формулировка проблемной ситуации
Раздел 2. Определение целевой установки обеспечения безопасности

формулирование политики и стратегии безопасности;

определение цели безопасности;

постановка задач, способствующих достижению цели и реализации
сформулированной политики и выбранного типа стратегии.
Раздел 3. Построение системы безопасности компании

функций системы безопасности компании и выбор тех принципов, на которых она
строится;

определение объектов безопасности и анализ состояния их защищенности;

создание органов (субъектов) обеспечения безопасности;

разработка механизмов обеспечения безопасности;

создание организационной структуры управления системой безопасности компании
Раздел 4. Разработка методов оценки состояния безопасности компании

определение основополагающих критериев и показателей состояния безопасности
компании;

выбор методов оценки состояния безопасности компании;

формирование системы методов анализа экономических рисков
Раздел 5. Расчет сил и средств, необходимых для обеспечения безопасности

расчет необходимого количества материально-технических ресурсов, средств защиты
и охраны объектов безопасности;

определение необходимого количества людских ресурсов и затрат на их содержание и
стимулирование труда;

определение финансовых затрат, необходимых для обеспечения безопасности
компании;

сопоставление необходимых затрат с возможным ущербом от воздействия угроз и
экономических рисков
Раздел 6. Разработка мер по реализации основных положений концепции безопасности
компании

определение условий, необходимых и достаточных для реализации концепции;

нахождение источников ресурсного обеспечения концепции;

выделение финансовых средств для реализации концепции;

разработка стратегического плана (или программы), а также планов работы
структурных подразделений службы безопасности по решению задач, определенных
концепцией;

подготовка профессиональных кадров для службы безопасности, а также обучение
сотрудников компании (в части, их касающейся) вопросам соблюдения правил
безопасности, действиям в чрезвычайных ситуациях, правилам пропускного режима,
работы с документами, соблюдению коммерческой тайны и т. д.;

создание определенного типа службы безопасности и организация ее управления;

установление технических средств защиты;

контроль за выполнением основных положений концепции безопасности;

развитие системы безопасности компании, постоянная адаптация ее к изменяющимся
условиям, совершенствование форм и методов ее работы