Кәсіпорынның кешенді қауіпсіздігін басқару / CSO (Chief Security Officer)

Бағдарлама

Корпоративтік қауіпсіздік жүйесін құрудың жалпы мәселелері

• Қауіпсіздік саясаты (тұжырымдамасы) деген не. Бизнесті қорғау жүйесін құру алдындағы қойылымдық мәселелер
• Біз нені қорғаймыз (қауіпсіздік объектілерін анықтау)
• Бизнестің қауіпсіздігін кім қамтамасыз етеді (қауіпсіздік субъектілерін анықтау). Кәсіпорынның қауіпсіздік қызметі немесе аутсорсингтік қызмет көрсету. Нені таңдау керек. Екі нұсқаның да артықшылықтары мен кемшіліктері
• Кәсіпорынның Қауіпсіздік қызметі қызметінің құқықтық жағы. Қауіпсіздік қызметінің бағыныстылығы. Акционерлермен, бизнес иелерімен және басшыларымен өзара іс-қимыл. Кәсіпорынның Қауіпсіздік қызметі туралы ереже. Қауіпсіздік қызметінің кәсіпорынның басқа бөлімшелерімен қарым-қатынасын құру
• Бизнесті қандай қатерлерден қорғаймыз (сыртқы/ішкі, тұрақты/уақытша, қатерлерді мониторингілеу, туындау ықтималдығын анықтау, ықтимал зиянды бағалау)
• Бизнестің қауіпсіздік жүйесін қалай құрамыз
• Корпоративтік қауіпсіздікті құру принциптері
• Бизнестің қауіпсіздігін қамтамасыз ету бағыттары
• Ұйымның қауіпсіздік жүйесінің құрылымы
• Ұйымның қауіпсіздікті қамтамасыз ету жүйесі қызметінің тиімділігін бағалау критерийлері
• Қауіпсіздікті қамтамасыз ету жөніндегі шаралардың тиімділігін тексеру тәсілдері
• Қауіпсіздік жүйесін құруға дайындық
• Бизнестің қауіпсіздігін қамтамасыз етудің нормативтік (құқықтық) қамтамасыз етілуін қалыптастыру. Кәсіпорынның қауіпсіздігін қамтамасыз ету тұжырымдамасы (саясаты), нұсқаулықтар, регламенттер мен алгоритмдер
• Дағдарыс жағдайларында корпоративтік қауіпсіздікті басқару. Қауіпсіздік қызметінің дағдарысқа қарсы іс-шараларды өткізуге қатысуы
• Дағдарыс жағдайында, ұйымға шабуыл жасау және лаңкестік акт қаупі туындаған жағдайда жұмыс жасау жағдайында қауіпсіздікті қамтамасыз ету жөніндегі басқарушылық-ұйымдастырушылық шаралар

Кәсіпорынның қауіпсіздік аудитін жүргізу әдістемесі

• Аудиттің негізгі ұғымдары мен түрлері. Аудит критерийлері
• Аудит процесін ұйымдастыру. Ішкі аудиттің бақылау рәсімдері. Аудитордың кәсіби біліктілігі
• Кәсіпорынның қауіпсіздігін қамтамасыз етуді кешенді бағалау әдістемелері

Кәсіпорындағы тәуекелдерді талдау және басқару жүйесі

• Экономикалық тәуекел түрлері
• Экономикалық тәуекелдерді талдау және басқару жүйесін құру. Қауіпсіздік қызметінің экономикалық тәуекелдерді басқаруға қатысуы
• Тәуекел жағдайын болжау. Тәуекелдің себептерін және оның ықтимал түрлерін анықтауға мүмкіндік беретін ақпарат көздерін анықтау. Тәуекел көздерін анықтау. Тәуекелдің негізгі түрлерін болжау. Мына немесе басқа тәуекел түрі әсер ететін объектілерді анықтау
• Тәуекелдерді басқару процесі
• Тәуекелдерді диагностикалау үшін пайдаланылатын әдістер
• Тәуекелдерді сәйкестендіру
• Тәуекелдерді есептеу әдістері. Есептеудің сандық және сапалық әдістерін салыстыру
• Тәуекелдерді диагностикалау кезеңдері
• Тәуекелдерді бағалау. Тәуекелдің рұқсат етілген шектерін анықтау
• Тәуекелдің қолайлылығы. Тәуекелдер картасын қалыптастыру
• Тәуекелдер туралы есеп қалыптастыру
• Тәуекелдерді басқару жөніндегі іс-шаралар бағдарламасын әзірлеу
• Мониторинг
• Шешім қабылдау кезінде тәуекел-менеджментті пайдалану. Тәуекел-менеджментті пайдалану қажеттілігі. Шешім қабылдау кезінде тәуекелдерді қарастыру ерекшеліктері
• Тәуекелдерді басқарудың ұйымдастырушылық аспектілері. Тәуекелдерді басқару жүйесін енгізу бойынша талаптар. Тәуекелдерді басқарудың ықтимал құрылымы. Тәуекел-менеджмент функциясын орындау

Кәсіпорындағы инциденттерді басқару

• Инцидент-менеджмент негіздері
  • Жоспарлау және дайындық
  • Қауіпсіздік оқиғаларын анықтау және хабарлау
  • Қауіпсіздік оқиғалары бойынша бағалау және шешім қабылдау
  • Қауіпсіздік инциденттеріне ден қою
  • Талдау
  • Жақсарту
• Компанияда инцидент-менеджментті ұйымдастыру
  • Инциденттерді басқару кезеңдері
  • Инцидент-менеджмент жүйесін енгізу
• Инцидент-менеджмент пен тәуекел-менеджменттің өзара байланысы
• Инцидент туындаған кезде әрекеттердің жалпы алгоритмі

Ақпараттық қауіпсіздік

• Ақпаратты қорғау ұйымның жалпы қауіпсіздік жүйесінің құрамдас бөлігі ретінде. Ақпараттық қоғам ұғымы. Ақпараттық қауіпсіздік ұғымы. Ең кең тараған қатерлер. Қатерлерді жіктеудің негізгі анықтамалары мен критерийлері. Ақпаратты қорғаудың негізгі бағыттары
• АҚ режимін қалыптастыру деңгейлері. Заңнамалық деңгей
• Әкімшілік деңгей. Ақпараттық қауіпсіздік менеджменті жүйесі ұғымы. Ақпараттық қауіпсіздікті басқару жүйесін құрудың жобалық тәсілінің кемшіліктері. Ақпараттық қауіпсіздікті қамтамасыз етудің процестік тәсілі. Ақпараттық жүйелердің қауіпсіздігінің халықаралық стандарттары. Ақпараттық қауіпсіздікті қамтамасыз етудің процестік тәсіліне негізделген стандарт — ISO 27001. ISO 27001 және АҚ жөніндегі ұлттық нормативтік құжаттар. ISO 27001 талаптары. Ақпараттық қауіпсіздік саясаты АҚ менеджменті жүйесінің негізі ретінде. Ақпараттық қауіпсіздік саясатының мақсаттары мен міндеттері. Ақпараттық қауіпсіздік саясатының жалпы құрылымы. Кәсіпорындағы ақпараттық қауіпсіздік жағдайының аудиті. Ұйымда ақпараттық қауіпсіздік аудитін жүргізу тәртібі
• Бағдарламалық-техникалық деңгей. Пайдаланушыларды авторизациялау, сәйкестендіру және аутентификациялау ұғымы. Қолжетімділікті шектеу. Ақпаратты қорғау технологиялары: криптографиялық қорғау әдістері, электрондық құжат айналымы кезінде құжаттың заңды күшін қамтамасыз етудің негізгі механизмі және электрондық құжаттың авторлығы мен түпнұсқалығын растаудың ең тиімді құралы ретіндегі электрондық цифрлық қолтаңба, желіаралық экрандау, VPN (виртуалды жеке желі), белсенді аудит (DLP жүйелері, зиянды бағдарламалық жасақтама және антивирустық бағдарламалар)
• Интернет қызметтері
• Әлеуметтік инженерия
• Өнеркәсіптік тыңшылыққа қарсы іс-қимыл. Ақпаратты техникалық қорғау. Ақпараттың техникалық ағып кету арналарының жіктелуі. Акустикалық ақпараттың техникалық ағып кету арналары. Акустикалық (сөйлеу) ақпаратты қорғау. Ақпараттың техникалық ағып кету арналарын анықтау құралдары мен әдістері. Ақпараттың техникалық ағып кету арналарын анықтау жөніндегі іс-шаралар. Ақпараттың ТАКҚ арқылы ағып кетуден қорғалуын бағалау
• Коммерциялық құпия режимі. Құпия құжат айналымы. Кәсіпкерлік қызметтегі «коммерциялық құпия» ұғымы. Коммерциялық құпия ұғымын айқындайтын ҚР нормативтік-құқықтық актілері. Ұйымда коммерциялық құпия режимін құру тәртібі. Ұйымның коммерциялық құпиясын құрайтын мәліметтер тізбесін жасау және қолдану, ұйымның коммерциялық құпиясын құруы тиіс ұсынылатын ақпарат. Ұйымның коммерциялық құпиясын құрайтын ақпаратқа қолжетімділікті шектеу рәсімі. Ұйымның коммерциялық құпияны қорғау саласындағы қызметін реттейтін ішкі нормативтік құжаттар. Коммерциялық құпия режимін енгізу кезінде ұйымның нормативтік-құқықтық құжаттарына енгізілетін өзгерістер мен толықтырулар. Қызметкердің ұйымның коммерциялық құпиясын сақтау жөніндегі міндеттемесі. Шарттық жұмыста коммерциялық құпия режимін сақтау. Ұйымның коммерциялық құпиясын құрайтын ақпаратты мемлекеттік органдарға беру рәсімі. Коммерциялық құпияны жария еткені, сондай-ақ ақпаратты заңсыз алғаны үшін жауапкершілік түрлері
• Құпия құжат айналымы — ұйымның қауіпсіздік жүйесінің құрамдас бөлігі. Коммерциялық құпияны қорғау режимінің элементі ретіндегі құпия құжат айналымы. Құпия құжат айналымын құру принциптері. Ашық және құпия құжат айналымының өзара іс-қимыл тәртібі. Құпия құжат айналымын құру кезеңдері, құру тәртібі бойынша практикалық ұсынымдар
• Ақпараттық қауіпсіздік бөлімшесі. Тиімді ақпараттық қауіпсіздік бөлімшесінің құрылымы қандай болуы керек? АҚ бөлімшесінің ұйым құрылымындағы орны. АҚ бөлімшесі мен IT-бөлімшесі арасындағы функциялардың бөлінуі. Ақпараттық қауіпсіздік бөлімшесінің басшылығы мен ұйымның құрылымдық IT-бөлімшелерінің басшыларымен өзара іс-қимылды ұйымдастыру

Кадрлық қауіпсіздік

• «Адами фактор» тарапынан кәсіпорынға төнетін ішкі қатерлер
• Ақпараттың уәжделген және уәжсіз жария етілуі
• Кәсіпорын үшін қауіп төндіретін қызметкерлердің психологиялық ерекшеліктері
• Жұмысқа үміткерлерді (кандидаттарды) тексеру
• Кәсіпорын қызметкерлері тарапынан ақпараттың ағып кетуін болдырмау бойынша компанияның Қауіпсіздік қызметі жүргізетін алдын алу іс-шаралары
• Кәсіпорын қызметкерлерінің адалдығын арттыруға бағытталған ынталандыру мен мотивациялық факторларды құрудың әртүрлі нұсқалары
• Қызметкерлердегі «қауіптің растрлық белгілері». Тексеру іс-шараларында неге назар аудару керек
• Қызметкерлерді бақылаудың техникалық құралдары
• Қызметкерлерді тестілеу (бағалау)
• Қызметкерлер туралы досье. Досьемен жұмыс істеу ережелері
• Персоналды жұмысқа қабылдау. Персоналды қабылдау кезінде қауіпсіздікті қамтамасыз ету әдістері
• Жұмысқа қабылдау кезінде кандидатты тексеру
• Кандидат туралы ақпарат алу тәсілдері
• Жұмыс кезінде (сынақ мерзімінде) қызметкерді тексеру
• Қызметкерлерді қауіпсіз жұмыстан босату. Қызметкерлерді жұмыстан босату кезіндегі қатерлер
• Жұмыстан босатылар алдында қызметкерлердің қанағаттанбау белгілері
• Қызметкерлерді жұмыстан босату кезіндегі ережелер
• Қызметкерлерді жұмыстан босату кезінде Қауіпсіздік қызметі жүргізетін іс-шаралар
• Персонал тарапынан құқыққа қайшы әрекеттер бойынша ұйымішілік тексеру (тергеу) жүргізу рәсімі
• Ұйымішілік тексерулер (тергеулер) жүргізу кезінде полиграфты (өтірікті анықтағышты) пайдалану. Мәселенің құқықтық және ұйымдастырушылық жағы. Полиграфты алдауға бола ма?
• Құқыққа қайшы әрекеттерді тергеу кезінде психозондтау әдістерін қолдану
• Ұйымішілік тексерулердің (тергеулердің) нәтижелерін іс жүргізу тәртібімен рәсімдеу
• Құқыққа қайшы әрекеттерді тергеу кезінде Қауіпсіздік қызметінің құқық қорғау органдарымен өзара іс-қимылы

Экономикалық қауіпсіздік

Корпоративтік алаяқтық. Құқыққа қайшы әрекеттер

• Корпоративтік алаяқтық деген не? Меншікке қарсы қылмыстардың жалпы сипаттамасы мен түрлері. Алаяқтық ұғымы мен белгілері. Алаяқтықтың меншікке қарсы басқа қылмыс түрлерінен айырмашылығы. Алаяқтық үшін қылмыстық жауапкершілік
• Алаяқтық элементтері. Алаяқтар мен олардың мотивациясы, алаяқтар қолданатын психологиялық тәсілдер
• Алаяқтық операцияның құрылымы, бизнестің әртүрлі түрлеріндегі алаяқтықтың нысандары мен сценарийлері
• Корпоративтік алаяқтық кәсіпорынға қалай әсер етеді?
• Тиімсіздікті алаяқтықтан қалай ажыратуға болады?
• Корпоративтік алаяқтық тәуекелін басқару циклі: шолу
• Алаяқтық тәуекелін басқару стратегиялары
• Алдын алу: негізгі іс-шаралар (ішкі бақылау жүйесі, контрагенттер мен әлеуетті қызметкерлерді тексеру)
• Анықтау: негізгі тәсілдер (сенім телефоны, мінез-құлықтағы индикаторларды бақылау, аналитикалық тәсілдер)
• Тергеу: неге назар аудару керек (мәселенің құқықтық жағы)
• Ден қою: нәтижелер бойынша не істеу керек
• Алаяқтыққа тиімді қарсы іс-қимыл жасау үшін қандай дағдылар қажет
• Кәсіпорында алаяқтық операциялардың алдын алу және оларды болдырмау жүйесін құру

Кәсіпорынның шарттық жұмысындағы «откаттарға» және коммерциялық параға қарсы іс-қимыл

• ҚР заңнамасында, сондай-ақ іскерлік айналым дәстүрлерінде «откат» және «коммерциялық пара» ұғымы. Құқық бұзушылықтардың құрамы және откаттың тұрпатты схемалары
• «Откат» және «коммерциялық пара» ретінде жіктелетін әрекеттер үшін заңды жауапкершілік түрлері. Откатқа араласқан қызметкерді жұмыстан босатудың заңдық ерекшеліктері
• Откат тәуекелдері
• Откаттарды анықтау тәсілдері
• Бизнес-процестерді регламенттеу арқылы откаттардың алдын алу тәсілдері
• Қауіпсіз кадр саясаты арқылы откаттардың алдын алу тәсілдері
• Тілекке қайшы қызметкерлерден құтылу схемалары
• «Откаттық» тәуекелі бар қызметкерлер бойынша ақпарат жинау және талдау. Мәмілеге мүдделілікті және контрагентпен бейресми уағдаластықтарды дәлелдеу үшін техникалық құралдарды (бейне, аудио, DLP жүйелерін) пайдалану. Интернеттің ақпараттық ресурстарын пайдалана отырып, қызметкерлер бойынша компромат жинау. «Оперативтік» ақпаратты заңдастыру тәсілдері
• Контрагентті таңдау кезінде қызметкерлердің мүдделілігін және баға саясатының объективтілігін бағалау кезінде жасырын сатып алушы әдістемесі
• Кәсіпорында «кері байланыс» жүйесін құру. Сенім телефондары, жұмыстан босатылатын қызметкерлермен әңгімелесу, өтпей қалған жеткізушілермен байланыс және кері байланыс алудың басқа да тәсілдері
• Кәсіпорында откатқа қарсы саясатты заңдық түрде ресімдеу. Еңбек және азаматтық-құқықтық шарттарға сыбайлас жемқорлыққа қарсы ескертпелерді енгізу. «Адал ұйым» саясатын декларациялау. Откаттар мен коммерциялық параға қарсы іс-қимыл және олардың алдын алу жөніндегі жергілікті нормативтік-құқықтық базаны құру
• Шарттық жұмыста шешім қабылдаудың алқалылық элементтерін енгізу. Контрагенттерді таңдау кезінде келісу рәсімдерін және конкурстық рәсімдерді өткізуді ұйымдастыру

Сыбайлас жемқорлыққа қарсы комплаенс

• Комплаенс деген не. Комплаенс түрлері
• Комплаенс және қауіпсіздік: айырмашылығы неде
• Комплаенс-бақылау — бұл не? Неге комплаенс-бақылау бизнес үшін маңызды. Комплаенс-бақылауға екі тәсіл. Комплаенс-бақылау құралдары
• Комплаенс-тәуекел. Комплаенс-тәуекелдерді жіктеу. Комплаенс-тәуекелдердің түрлері. Комплаенс-тәуекелдерді қалай басқару керек
• Комплаенс-менеджер: функционалы
• Комплаенсті енгізу
• Сыбайлас жемқорлыққа қарсы комплаенс
• Тиімді басқару жүйесі ретіндегі комплаенс
• ISO 37301:2021 «Комплаенс менеджменті жүйелері — Талаптар және қолдану жөніндегі нұсқаулық»
• Комплаенс-бағдарламаны әзірлеу жөніндегі әрекеттер алгоритмі
• Сыбайлас жемқорлық тәуекелдерін бағалау
• Сыбайлас жемқорлыққа қарсы шараларды әзірлеу
• Кәсіпорынның сыбайлас жемқорлыққа қарсы жергілікті құжаттарын әзірлеу
• Сыбайлас жемқорлыққа қарсы шараларды іске асыру

Кәсіпорындағы тәуекелдерді азайту және басқару құралы ретіндегі барлау және контрбарлау

Барлау мен контрбарлаудың базалық принциптері

• Ақпарат алу принциптері. Өнеркәсіптік тыңшылық, барлау және контрбарлау. Адал және адал емес бәсекелестік. Қауіпсіздік органдары ретіндегі барлау мен контрбарлау. Барлау мен контрбарлаудың функциялары мен міндеттері. Барлаудың негізгі міндеттері. Барлау түрлері. Құпия ақпаратқа рұқсатсыз қол жеткізу тәсілдері. Операциялардың мақсаты мен түрлері. Бизнес-барлаудың табысқа жету факторлары. Контрбарлау. Контрбарлаудың негізгі бағыттары. Контрбарлау қызметінің нысанасы. Кәсіпорынның қауіпсіздігіне қатер ретіндегі бәсекелестің іскерлік барлауы (ІБ). Сыртқы контрбарлаудың міндеттері
• Іскерлік барлау кезеңдері. Іскерлік барлау жүргізудің құқықтық және этикалық нормалары. Барлау циклі
• Міндетті қою және операцияны жоспарлау. Жоспар жасау. Іскерлік барлау жүйесін құру. ІБ бөлімшесінің құрылымы мен функциялары. Орындаушылар тобын қалыптастыру
• Ақпарат жинау. Ақпаратқа қойылатын сипаттамалар мен талаптар. Адамның ақпаратты қабылдау ерекшеліктері. Ақпараттың құндылық сипаттамалары. Ақпарат көздері. Ақпарат жинау әдістері. Ақпаратты тексеру (верификациялау) әдістері. Ақпараттық матрица. Іскерлік барлауға арналған ақпараттық ресурстар
• Ақпаратты талдау. Талдау әдістері
• Нәтижелерді ұсыну
• Іскерлік барлау міндеттерін шешу кезіндегі жаңа ақпараттық технологиялар

Контрагенттердің сенімділігі мен коммерциялық ұсыныстардың қауіпсіздігін анықтау әдістемелері

• «Тиісті ыждаһаттылық» ұғымы, Due Diligence рәсімі
• Контрагенттің сенімсіздігін куәландыратын белгілер
• Контрагенттерді зерделеу. Шарттық жұмыстағы қауіпсіздік. Адал емес серіктестікпен байланысты тәуекелдер
• Серіктесті бағалауға арналған негізгі көрсеткіштер (индикаторлар)
• Контрагенттерді зерделеу кезінде пайдаланылатын ақпарат көздері
• Контрагенттерді тексеру рәсімдерін автоматтандыру. Ақпарат көздерімен практикалық жұмыс
• Жеке тұлғалар бойынша ақпарат алу ерекшеліктері

Ақпаратты «оперативтік» әдістермен алу («адами факторды» пайдалана отырып ақпарат алу). Адамды ақпаратты беруге (жария етуге) мотивациялау

• Тұлғаны бағалау. Тұлғаны бағалаудың жалпы схемасы (тұлғаны зерделеу схемасы). Қарым-қатынас процесінде тұлғаны бағалау. Сыртқы белгілері бойынша тұлғаны бағалау. Тұлғаны бағалау әдістері
• Психологиялық байланыстарды орнату және дамыту. Психологиялық байланыстың жалпы схемасы. Танысу орнату (сылтау таңдау; бірінші әсерді қалыптастыру; объектінің перцептивтік ерекшеліктерін ескеру; назар аудару). Қызығушылықты қалыптастыру («симпатияны» ояту; әңгімеге тарту; тыңдай білу). Сенімділікті орнату (сенімді қарым-қатынас ерекшеліктері; сенімділікті қалыптастыру; сенімділік кедергісін жеңу)
• Ақпаратты сұрыптап алу. Сұрыптап алудың психологиялық негіздері. Ақпаратты сұрыптап алу әдістемесі
• Тұлғаға психологиялық ықпал ету. Сендіру — ықпал етудің басты әдісі. Мәжбүрлеу әдісі. Иландыру әдісі