Понятие "конфиденциальная информация" очень часто встречается в юридической практике. Что оно означает, и какие виды существуют? Рассмотрим это далее.
Общее понятие
Прежде чем рассматривать то, какие существуют виды конфиденциальной информации, следует детально разобраться в общих особенностях самого понятия.
Итак, если говорить очень простым языком, то к категории конфиденциальной информации относятся все те задокументированные сведения, которые хранятся на определенном предприятии или в организации любой формы собственности, распространение которых является нежелательным для самого лица. Это связано с тем, что такие сведения, как правило, представляют собой данные относительно определенных особенностей деятельности компании или фирмы, разглашение которых может нанести вред их обладателю.
Если говорить юридическими терминами, то в первых статьях Закона "Об информации" говорится о том, что рассматриваемое понятие подразумевает под собой документированные сведения, доступ к которым охраняется от всестороннего вмешательства законодательством России, действующим в настоящее время.
Законодательное регулирование
Понятие конфиденциальной информации, ее виды и характеристика закреплены в определенных нормативных актах, которые в настоящее время действуют на территории России. Какие относятся к их числу?
Главную роль в определении такого понятия играет Закон "Об информации", который закрепляет само понятие как в общем, так и в узком смыслах. Что касается видов конфиденциальной информации по законам РФ, то их полный перечень детальным образом представлен в положениях, прописанных в Указе Президента №188.
Кроме всего прочего, конфиденциальную информацию могут составлять сведения относительно конкретного лица - такие данные именуются персональными данными. Регулирование данного понятия производится на основании статей Закона "О персональных данных".
Обеспечение сохранности конфиденциальной информации, полученной в результате ведения деятельности определенного характера, в России происходит на основании актов отраслевого законодательства. В частности, к таким относятся законы "О нотариате", Об адвокатской деятельности", "О врачебной тайне" и т. п.
Кроме всего этого, отдельное внимание следует уделять сохранности информации, которая представляет собой тайну деятельности предприятия. Данные положения отлично регулирует Закон "О коммерческой тайне".
Методы регулирования конфиденциальной информации
Для того чтобы обеспечить надлежащую сохранность информации, составляющей конфиденциальные сведения, законодатель предусмотрел определенный перечень мер и методов, которые позволяют делать это.
Так, законодатель отмечает то, что для того, чтобы обеспечить сохранность конфиденциальных сведений, необходимо четко определиться, какие данные подходят к их числу. С такой целью предусматривается установление самого понятия "конфиденциальная информация", виды ее, а также определенный перечень сведений, которые могут составлять ее.
Кроме этого, для обеспечения сохранности сведений, представляющих собой тайну, законодатель предусматривает определенный порядок выдачи фактов, отнесенных к данной категории, а также определенные запреты на действия, наличие которых может привести к нарушению установленного режима безопасности информации, отведенной под группу секретной.
Виды
Что касается основных видов конфиденциальной информации, то на практике можно встретить небольшое их количество. Все они перечислены в содержании Указа Президента №188, который был издан в 1997 году.
Персональные данные
Если говорить кратко, вид конфиденциальной информации, представляющий собой персональные данные, подразумевает под своим понятием определенный спектр данных, которые касаются непосредственно определенного лица, именуемого в юридической практике субъектом персональных данных. Какие сведения относятся к этой группе данных? В первую очередь, под ними подразумеваются личные сведения - фамилия, имя, а также отчество. Кроме этого, в числе сведений, составляющих персональную информацию, законодатель определяет адрес, по которому лицо прописано или совершает свое проживание, место рождения и дату, место фактического пребывания в определенный момент. К списку данных, представляющих собой конфиденциальную информацию, также относят и сведения, имеющиеся в документах, удостоверяющих личность человека (дату и место его выдачи, серию, номер и т. п.)
Кроме всего прочего, к перечню сведений, составляющих персональные данные, законодатель также определяет и ту информацию, которая известна сотрудникам органов ЗАГС в результате совершения ими своих профессиональных обязанностей.
Законодатель определяет особенные принципы произведения обработки данных, которые представляют собой персональную информацию. Безусловно, все они должны быть соблюдены надлежащим образом. Практика показывает, что именно это позволяет точно обеспечить сохранность данных.
Работа с конфиденциальной информации в российском законодательстве предусматривает соблюдение соответствия всех целей, для которых осуществляется обработка предоставленных лицом сведений, тем, что были заявлены в качестве тех, для которых истребовались данные. Кроме этого, их объем должен полностью соответствовать тому, который необходим для реализации заявленной цели.
Законодатель предусматривает то, что все данные, которые были отведены под группу сведений, составляющих персональную информацию, должны быть исключительно достоверными. Что касается органов и специалистов, которые производят их обработку, то они не должны использовать те сведения, которые не нужны для достижения поставленной цели.
Что касается процесса хранения данных, то оно должно осуществляться лишь таким образом, чтобы по предоставленным сведениям можно было определить их владельца. Если говорить о сроках, в течение которых должен производиться процесс хранения данный вид конфиденциальной информации из классификации, рассматриваемой в этой статье, то он не должен превышать то время, которое необходимо для реализации поставленной цели. По истечении отведенного периода все данные должны быть уничтожены в установленном порядке. То же самое следует сделать тогда, когда отсутствует необходимость использования сведений.
Обработка персональных данных
Существуют определенные правила обработки персональных данных, которые обязательно следует учитывать в процессе работы с ними. Так, данный процесс осуществляется исключительно в соответствии со всеми требованиями, которые представлены в статьях ФЗ "Об информации". В соответствии предписанными в нем положениями, обработку данных может осуществлять исключительно оператор и только по согласию самого лица.
В определенных случаях данное согласие не требуется. В частности, это касается того момента, когда обработка персональных данных производится для получения статистических данных или для изучения, подтверждения научных утверждений. В некоторых случаях, это требуется для того, чтобы произвести защиту жизни и здоровья людей, а также некоторых других интересов, отнесенных к группе жизненно важных. В том случае, если журналист занимается осуществлением своей профессиональной деятельности, тогда когда факт заполучения им информации не принесет существенного ущерба лицу, являющемуся владельцем данных, он также может использовать сведения в своей работе.
В юридической практике нередко случаются такие ситуации, когда использование персональных данных лица без его согласия на то, производится в целях обеспечения соблюдения требований, предписанных договором, исполнения его положений. Однако, это возможно лишь в том случае, когда одной из его сторон является субъект, занимающийся предпринимательской деятельностью.
Коммерческая тайна
Это особый вид конфиденциальной информации. Правовой способ ее защиты и хранения также отличается своими определенными особенностями. В чем они состоят?
В первую очередь, следует понимать то, что коммерческая тайна - это информация, которая представляет собой особенности производства товаров, а также ведения бизнеса, при раскрытии которой предприятие или организация попросту перестанет получать доход.
Следует понимать еще и то, что наряду с коммерческой тайной в юридической практике существует и служебная. Данное понятие может быть использовано только в определенных государственных службах. Она представляет собой секретную информацию, охраняемую законом в особенном порядке. Что касается ее содержания, то оно, как правило, касается особенностей несения государственной службы, которые скрыты от всеобщего обозрения и имеют режим закрытого или ограниченного доступа.
Основные положения, которые касаются коммерческой и служебной тайны регулируются нормами, прописанными в статьях Законов "О коммерческой тайне" и "О служебной тайне".
За разглашение лицами, которые являются носителями информации, представляющей собой служебную или коммерческую тайну, вверенных им сведений, они могут быть подвержены ответственности, различных видов: уголовной, гражданско-правовой, административной, а также дисциплинарной, что особенно часто применяется на различных предприятиях.
Документированные информационные ресурсы
Это один из основных видов конфиденциальной информации, который очень часто используется как среди юридических, так и среди физических лиц. Она имеет особенный режим обеспечения сохранности представленных данных, а ее оформление представлено в особой форме.
Так, документированным информационным ресурсом признаются сведения определенного характера, которые зафиксированы на носителе материального типа с указанием отдельных реквизитов, перечень которых для каждого варианта документа представлен в законодательстве отдельно.
Что касается вида носителя конфиденциальной информации, то в качестве него, как правило, используется бумага. Вся фиксация сведений на носителе должна осуществляться в строгом соответствии с указанными в документе требованиями. На эти материальные носители может быть установлено право собственности, что осуществляется в соответствии с нормами гражданского законодательства.
Профессиональная и следственная тайна
В России, как и в других государствах, имеется определенный перечень профессий, которые, в силу своих особенностей, предусматривают обработку лицами определенных данных, которые составляют собой информацию, запрещенную для разглашения. К таким группам лиц, в первую очередь относятся адвокаты, нотариусы, специалисты в области медицины и т. п. Доступ к данным, полученным ими в ходе выполнения трудовых обязанностей, ограничивается на основании положений, представленных в отдельных нормативных актах, а также в Конституции государства. Так, например, в силу особенностей своей деятельности, нотариус знает об особенностях заключения каких-либо сделок, а также об их содержании. Однако лицо, которое занимается осуществлением нотариальной деятельности, не может никоим образом разглашать третьи лицам полученные им сведения.
Какие виды ценной конфиденциальной информации относятся к данной группе? В первую очередь, законодатель определяет таковой сведения, имеющиеся в личной переписке, телефонных переговорах, письмах и в иных отправлениях, которые совершаются через почтовые отделения, телеграфы, а также другие сообщения, взятые из иных источников. В таком случае лишь пользователь почтовых или, например, телеграфных услуг имеет право дать согласие на разглашение данных, составляющих На деле существуют определенные виды конфиденциальной информации в школе, обеспечивать сохранность которой обязаны сотрудники учреждения. К числу таковых могут быть отнесены данные, представленные в медицинских карточках, сведения о факте удочерения или усыновления, о безопасности здания школы, под чем подразумевается ее антитеррористическая защищенность и т. п.
Отдельное внимание следует уделить еще одному существующему в юридической практике понятию - такому, как следственная тайна. Сведения, которые были получены в ходе проведения расследований, а также ведения оперативной деятельности, также не подлежат разглашению, в особенности, лицами, которые имеют к ним прямой или косвенный доступ. Еще один вид охраняемой законом информации - судопроизводства. Обеспечивать надлежащую сохранность сведений, отнесенных к данной группе, обязаны все сотрудники аппарата суда, а, в особенности, те, которые имеют прямое отношение к рассмотрению дела. В том случае, если лицо нарушает установленный режим, в результате чего происходит утечка секретных сведений, оно может понести ответственность - дисциплинарную или уголовную, в зависимости от того, насколько серьезные последствия повлекло за собой деяние и какую форму вины имеет совершенное действие.
Сведения о сущности изобретения
Отдельное внимание законодатель уделяет вопросу, связанному с обеспечением сохранности сведений, которые составляют собой сущность изобретений или каких-либо полезных моделей. Сохранность сведений должна охраняться до того момента, пока оно не будет заявлено в свет официально, а также не будет опубликована информация об объектах.
Каким именно образом обеспечивается защита представленных объектов? Все меры, которые принимает для этого государство, предписаны статьями Гражданского кодекса, в части 4.
Данное понятие и вид конфиденциальной информации предусматривает особенный характер ее защиты. В частности, она может быть представлена в юрисдикционной форме, которая производится с участием специализированных государственных органов, а также созданием патента на это особенное изобретение.
Нередко защита новых изобретений осуществляется в гражданско-правовой форме. Специалисты в области юриспруденции отмечают, что она применяется, как правило, в том случае, когда лицензиат осознанно или случайным образом нарушает прописанные в договоре права и сознательно уклоняется от предусмотренных его содержанием обязанностей. Как правило, по результатам проведения такой формы защиты потерпевшая сторона получает компенсационную выплату, размер которой равен сумме понесенных убытков.
Кроме представленных выше форм защиты этого вида конфиденциальной информации, существует также и административный порядок. Он предусматривает письменное обращение стороны, чьи законные интересы были ущемлены, в специальный орган - Палату патентного ведомства, которая относится к группе апелляционных органов. Законодатель предусматривает довольно длительный процесс рассмотрения поданной заявки, который может длиться до 4 месяцев. По результатам процедуры, как правило, орган принимает свое решение в пользу пострадавшей стороны. На деле такая практика особенно пользуется популярностью среди обладателей патента, который признается недействительным.
Защита засекреченных сведений
Виды конфиденциальной информации и их защита прописаны в положениях различных законов, в числе которых имеется немалое количество отраслевых. Что касается защиты сведений, то она предусматривает комплекс определенных мер, которые создают препятствия к доступу к данным. К ним может быть отнесена необходимость произведения хранения документов-носителей секретных сведений в специальных сейфах, передачу электронных данных по локальной сети, ограничение списка лиц к данным и т. п.
Кроме всего этого, при нарушении установленных требований, виновное лицо обязано понести наказание, соразмерное причиненном им ущербу.
Конфиденциальная информация в трудовых отношениях Иванов Дмитрий Викторович
1.1. Понятие конфиденциальной информации
В условиях рынка и конкуренции возникают проблемы, связанные с обеспечением безопасности не только физических и юридических лиц, их имущественной собственности, но и информации, имеющей коммерческое значение, иных сведений, в частности, о результатах интеллектуальной деятельности: секретах производства, служебных секретах производства и др.
Информация обладает рядом присущих ей свойств.
Полезность информации состоит в том, что она создает субъекту выгодные условия для принятия оперативного решения и получения эффективного результата.
В свою очередь, полезность информации (особенно коммерческой) зависит от своевременного ее доведения до субъекта предпринимательства. Например, из-за несвоевременного поступления полезных по своему содержанию сведений упускается возможность заключить выгодную торговую или иную сделку. Результат – время упущено, информация теряет свою полезность.
Критерии полезности и своевременности тесно взаимосвязаны и взаимозависимы с критерием достоверности оцениваемой информации. Недостоверные сведения сводят к нулевому эффекту своевременность и кажущуюся их полезность для субъекта предпринимательства.
Ценность информации – это комплексный показатель ее качества, мера пригодности для принятия решений в конкретной сфере. Отсюда коммерческая ценность информации – это показатель ее пригодности (полезности) для принятия решений в коммерческой деятельности. Ценность информации складывается из достоверности, актуальности, полноты, полезности и своевременности информации.
Для предпринимательской деятельности, а значит, и для трудовых отношений (т. е. предпринимателя – работодателя), особое значение имеет коммерческая информация. В зарубежной экономической литературе предпринимательская информация рассматривается не в качестве средства достижения положительного результата (прибыли), а, прежде всего, как условие, способствующее или препятствующее его наступлению (например, в законодательстве Великобритании иностранные юристы выделяют такое понятие, как «бизнес-информация»).
По мнению английских правоведов (Ли, Мартина, Хейда), в рыночной экономике информация также является товаром, и ее получение, хранение, передача и использование должны подчиняться законам товарно-денежных отношений. Каждый собственник имеет право охранять свои интересы и защищать необходимую информацию, получая при этом определенную свободу предпринимательства. Право на тайну означает ограничение государственного вмешательства в экономическую жизнь предприятия и защиту его интересов при взаимодействии с другими субъектами рыночных отношений. Главное назначение бизнес-информации – обеспечивать предприятию экономические преимущества в конкурентной борьбе.
Информация как понятие имеет различные аспекты изучения. В переводе с латинского «informatio» – разъяснение, изложение, уведомление, истолкование, представление, иначе говоря, сведения о чем-либо, являющиеся объектом сбора, хранения и переработки. Такое определение дается в экономическом словаре.
В конце 50-х годов один из основоположников кибернетики – Норберт Винер определил информацию как «обозначение содержания, полученного из внешнего мира в процессе нашего приспособления к нему и приспособления к нему наших чувств. Процесс получения и использования информации является процессом нашего приспособления к случайностям внешней среды и нашей жизнедеятельности в этой среде». В данном определении ученый впервые затрагивает проблему неполноты получаемой индивидом информации, с одной стороны, и необходимость защиты сведений от «случайностей внешней среды» – с другой.
Правовое понятие информации дано в п. 1 ст. 2 Федерального закона «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г. № 149-ФЗ (далее – Закон об информации): информация – сведения (сообщения, данные) независимо от формы их представления. В п. 1 ст. 5 указанного Закона говорится о том, что информация может являться объектом публичных, гражданских и иных правовых отношений. Надо сказать, что предполагаются некоторые изменения терминологии, предусмотренные проектом Федерального закона № 404643–5 «О внесении изменений в некоторые законодательные акты Российской Федерации в связи с принятием Федерального закона „Об информации, информационных технологиях и о защите информации“, рассмотренного в первом чтении Государственной Думой РФ 6 октября 2010 г., а именно слова „конфиденциальная информация“ заменить словами „информация, в отношении которой установлено требование об обеспечении ее конфиденциальности,“ либо словами „информация ограниченного доступа“.
Информация может свободно использоваться любым лицом и передаваться одним лицом другому лицу, если федеральными законами не установлены ограничения доступа к информации либо иные требования к порядку ее предоставления или распространения. Таким образом, термин «информация» становится универсальным, он обозначает любые сведения о ком-либо или о чем-либо, получаемые из любого источника в любой форме: письменной, устной, визуальной и т. п. В данном определении сведения понимаются как реальные объекты социальной жизни: лица, предметы, факты, события, явления, процессы. Эти сведения могут служить и объектом познания, и ресурсом пополнения информационной базы: с одной стороны, сведения могут быть получены в результате исследования окружающей действительности и приобщены к уже существующей объективной системе знаний о мире, а с другой – быть объектом поиска, производимого конкретным потребителем для достижения его целей.
Кроме того, при взаимодействии информации и общества происходит изменение социальных регуляторов (морали, права), а также структурное изменение всего общества под воздействием технических и технологических процессов. Повсеместное внедрение информационных технологий и основанных на них информационных телекоммуникационных сетей привело к формированию глобального межгосударственного информационного виртуального пространства, в котором информация вращается в непривычной для традиционного права электронной форме.
Таким образом, усиление информационной зависимости человека от растущего объема потребляемой информации требует упорядочения и системной организации самой информации, в том числе с помощью норм права.
Родоначальником отдельного информационно-правового направления сначала советского, а ныне российского правоведения стал А. Б. Венгеров. Он выделил определенные признаки (свойства) информации, принципиально значимые для правового опосредования отношений по поводу информации (информационных отношений). К ним, в частности, относятся известная самостоятельность информации по отношению к своему носителю; возможность многократного использования одной и той же информации; ее неисчерпаемость при потреблении; сохранение передаваемой информации у передающего субъекта (этим признаком информация принципиально отличается от вещных материальных объектов); способность к сохранению, агрегированию, интегрированию, накоплению, «сжатию»; количественная определенность; системность.
Качество современного уровня правового регулирования отношений по поводу информации во многом определяется степенью учета законодателем этих признаков (свойств).
Первое российское легальное определение понятия «информация» было дано в Федеральном законе «Об информации, информатизации и защите информации» от 20 февраля 1995 г. № 24-ФЗ, в ст. 2 которого говорилось, что информация – это сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их предоставления. В действующем Федеральном законе «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 г. № 152-ФЗ определение информации, как выше говорилось, представлено в более общем виде. Информацией являются любые сведения (сообщения, данные) независимо от формы их предоставления.
Пункт 3 ст. 5 Закона об информации содержит классификацию информации в зависимости от порядка ее предоставления или распространения. Так, по этому основанию информация подразделяется на свободно распространяемую; предоставляемую по соглашению лиц, участвующих в соответствующих отношениях; информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению; информацию, распространение которой в Российской Федерации ограничивается или запрещается, например, информация, составляющая государственную или коммерческую тайну. В п. 2 этой статьи приводится разделение информации в зависимости от категории доступа к ней. По этому основанию информация может быть общедоступной; ограниченного доступа.
Основы правового режима информации ограниченного доступа были установлены в ст. 10 Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации». Часть 2 ст. 10 определяла два базовых типа информации ограниченного доступа: информация, отнесенная к государственной тайне (т. е. секретная), и конфиденциальная информация.
Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (п. 1 ст. 9 Закона об информации). Таким образом, конфиденциальной может быть любая информация, могущая повлечь указанные последствия. Конфиденциальная информация может выражаться не только в секретах производства, сведениях, недоступных для других, но и быть тайной. Российское законодательство устанавливает различные виды тайны: государственную, коммерческую, служебную, профессиональную, иную, а также персональные данные. Регулированию отношений, связанных с персональными данными, посвящен специальный Федеральный закон «О персональных данных», принятый 27 июля 2006 г. № 152-ФЗ (далее – Закон о персональных данных).
Конфиденциальная информация определена в п. 7 ст. 2 Закона об информации через требование не передавать такую информацию третьим лицам без согласия ее обладателя. Надо сказать, что ее режим довольно резко критикуется в литературе как весьма неопределенный. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» использует лишь самые общие нормативные установки, например: «Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение» (ч. 4 ст. 9).
Само слово «конфиденциальность» в переводе с латинского означает «доверие» (т. е. передавая такую информацию, мы надеемся на ее сохранность и нераспространение, так как ее разглашение может нанести сторонам определенный ущерб). Это определение небезупречно. Вряд ли можно согласиться с определением конфиденциальной информации опять-таки через информацию с ограниченным доступом, не содержащую государственную тайну, во-первых, потому, что такое определение оказывается в замкнутом круге: нельзя определять подобное подобным; во-вторых, государственная тайна – это тоже конфиденциальная информация.
Возникает вопрос и о соотношении конфиденциальной информации и информации ограниченного доступа. Понятие информации, находящейся в ограниченном обороте, очень «молодое» даже по меркам российского информационного права, пишет С. В. Комлев. Впервые это понятие было введено в Федеральный закон «О кредитных историях». Несмотря на то что смысловое содержание понятия информации, находящейся в ограниченном обороте, активно использовалось и ранее, законодатель официально ввел его в российскую правовую систему только в начале 2005 г. Согласно ч. 4 ст. 7 указанного законодательного акта совокупность информации, содержащейся в титульной, основной и дополнительной (закрытой) частях кредитных историй, является ограниченно оборотоспособным объектом. Представляется не только достаточно удобным, но и обоснованным и возможным распространить этот термин на весь спектр информации, хоть и не относящейся к государственной тайне, но свободное распространение которой нанесет существенный вред общественным отношениям. Под информацией, находящейся в ограниченном обороте, следует понимать информацию, обладатель которой принимает меры к ее охране и защите и свободное распространение которой может нарушить права и свободы человека или затронуть его законные интересы, а также может нанести вред экономическим интересам организации.
К информации, находящейся в ограниченном обороте, относятся сведения, составляющие:
1) коммерческую тайну; 2) аудиторскую тайну; 3) банковскую тайну; 4) налоговую тайну; 5) тайну страхования; 6) тайну связи; 7) тайну завещания; 8) адвокатскую тайну; 9) врачебную тайну; 10) тайну усыновления ребенка; 11) содержание кредитных историй физических, юридических лиц и индивидуальных предпринимателей.
Из приведенного перечня видно, что информация, находящаяся в ограниченном обороте, встречается во многих сферах общественной жизни. Информация, находящаяся в ограниченном обороте, характеризуется следующими признаками: она не является государственной тайной; в информации содержатся сведения, свободный оборот которых может нанести ущерб обладателю данных сведений или лицу, сведения о котором содержатся в информации. Собственник или законный обладатель принимает меры по охране и защите информации.
Надо сказать, что действующее законодательство, точно не определяя конфиденциальную информацию, тем самым затрудняет и понимание соотношения безусловно близких и взаимозависимых категорий, в том числе конфиденциальной информации и информации ограниченного доступа, коммерческой, служебной, профессиональной, иной тайны, секретов производства, служебных произведений. Этому препятствует разнобой терминологии различных нормативных правовых актов, регулирующих рассматриваемые отношения, а в некоторых случаях и коллизия некоторых норм законов, о чем более подробно ниже, когда речь пойдет о конкретных видах конфиденциальной информации. Анализируя нормативные правовые акты, имеющие прямое отношение к рассматриваемому вопросу, можно констатировать, что информация разделяется на 1) общедоступную; 2) информацию ограниченного доступа (терминология ст. 7 и 9 Закона, которая, как можно судить по тексту, тождественна сведениям конфиденциального характера (терминология Указа Президента РФ от 6 марта 1997 г. в ред. Указа Президента РФ от 23 сентября 2005 г.). В свою очередь, информация ограниченного доступа (сведения конфиденциального характера) подразделяется на персональные данные, коммерческую, служебную, профессиональную и иные тайны. Особняком стоит государственная тайна, хотя она, разумеется, представляет собой конфиденциальные сведения.
Заслуживает внимания мнение Е. К. Волчинской, которая полагает, что можно выделить несколько условий, необходимых и достаточных для установления режимов конфиденциальности:
– заинтересованность субъекта в ограничении доступа к информации, свидетельствующая о том, что конкретная информация представляет для него ценность (в моральном, материальном или ином аспекте);
– наличие интереса (права) других субъектов на получение и/или использование этой информации, т. е. обладатель, реализуя свой интерес, не должен нарушать законные права других субъектов на получение информации;
– право ограничивать доступ к информации может распространяться только на информацию, полученную законным путем, в том числе самостоятельно, по договору, в дар и т. д.;
– информация, доступ к которой ограничивается, не должна быть общеизвестной;
– обладатель информации, к которой он хочет ограничить доступ, должен обеспечить необходимые меры защиты этой информации – установить режим тайны.
Указом Президента Российской Федерации от 6 марта 1997 г. № 188 (в редакции Указа Президента РФ от 23 сентября 2005 г. № 1111 установлен перечень сведений конфиденциального характера:.
1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.
2. Сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с Федеральным законом от 20 августа 2004 г. № 119-ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства» и другими нормативными правовыми актами Российской Федерации.
3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна).
4. Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и т. д.).
5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна).
6. Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
Согласно ст. 5 Закона «О коммерческой тайне» от 29 июля 2004 года к сведениям, которые не могут составлять коммерческую тайну, относятся перечисленные в п. 1–11:
3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;
4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;
5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости и о наличии свободных рабочих мест;
6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;
7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;
8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности;
9) о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации;
10) о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;
11) обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами.
Отнесение информации к конфиденциальной осуществляется в порядке, установленном законодательством Российской Федерации, а именно ст. 9 Закона об информации. В соответствии с ним «Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну служебную тайну и иную тайну обязанность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение» (п. 4). Понятие конфиденциальной информации достаточно широкое, поскольку к этой категории, надо полагать, относятся все виды информации ограниченного доступа, защищаемой законом, – коммерческая, профессиональная и другие тайны, а также некоторые иные сведения, в отношении которых установлен режим конфиденциальности.
Перечень сведений, составляющих конфиденциальную информацию, не подлежит расширенному толкованию. Поэтому произвольное отнесение кем-либо к разряду конфиденциальной другой, не предусмотренной перечнем информации не влечет за собой правовых последствий. Общедоступной информацией являются общеизвестные сведения и иная информация, доступ к которой не ограничен. Установлению правового режима общедоступной информации посвящена ст. 7 Закона об информации. К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен. Общедоступная информация может использоваться любыми лицами по их усмотрению при соблюдении установленных федеральными законами ограничений в отношении распространения такой информации. Обладатель информации, ставшей общедоступной по его решению, вправе требовать от лиц, распространяющих такую информацию, указывать свое имя в качестве источника такой информации.
В п. 1 ст. 6 Закона об информации дано понятие «обладатель информации», под которым понимается физическое, юридическое лицо, Российская Федерация, ее субъект, муниципальное образование, которые либо своими силами создали информацию, либо приобрели на основании закона или договора право предоставлять или ограничивать возможность других лиц получать и использовать определенную информацию. Обращает на себя внимание, однако, что из этого перечисления выпадают организации без образования юридического лица, что отнюдь небезразлично для трудовых отношений, т. к. эти организации могут быть работодателями (ст. 20 ТК РФ).
Предметом обладания являются сведения независимо от формы их предоставления.
В прежнем законодательстве субъект, осуществляющий права собственности в отношении информационных ресурсов, информационных систем, технологий и средств их обеспечения лишь в части владения и пользования ими, а также реализующий полномочия распоряжения в пределах, установленных Законом, именовался владельцем указанных объектов.
С точки зрения трудового права небезынтересно определить, при каких обстоятельствах как та, так и другая сторона трудового договора может обладать конфиденциальной информацией, и какого именно вида.
Исходя из содержания ст. 6 Закона об информации, работодатель – безусловный обладатель как производственной, технической, экономической, организационной и другой конфиденциальной информации, так и информации, касающейся работника, необходимой работодателю в силу исполнения работником своей трудовой функции (ст. 65, 88 ТК РФ). Работник также может быть обладателем производственной и прочей информации, во-первых, потому, что она может быть доверена ему работодателем как необходимая для выполнения трудовой функции, во-вторых, работнику могут принадлежать результаты интеллектуальной деятельности, созданные в процессе трудовой деятельности, как-то: изобретения; полезные модели; промышленные образцы и т. п. (ст. 1225 ГК РФ). Кроме того, в силу главы 14 ТК РФ и Закона «О персональных данных» от 27 июля 2006 г. № 152-ФЗ работник – физическое лицо является субъектом персональных данных (п. 1 ст. 3).
Однако при этом надо иметь в виду следующее.
Согласно главе 70 части четвертой ГК РФ, в отличие от недействующего ныне Закона об авторских правах 1993 г., по-иному решаются вопросы авторских прав на служебные произведения. В свое время в ст. 14 Закона об авторском праве служебные произведения делились на произведения, созданные «в порядке выполнения служебных обязанностей» и «в порядке служебного задания» работодателя. Эти два положения отличаются друг от друга тем, что при выполнении служебного задания работнику дается прямое указание о создании определенного произведения, причем такое указание может не вытекать из его служебных обязанностей и находиться за рамками таких обязанностей. В п. 1 ст. 1295 ГК РФ понятие служебного произведения сужено таким образом, что под него подпадают лишь произведения, созданные в пределах установленных для работника трудовых обязанностей, и взаимоотношения работника и работодателя по поводу служебного задания должны регулироваться дополнительным соглашением.
Любые условия, касающиеся взаимоотношений между работником (автором) и работодателем по поводу служебного произведения, могут быть согласованы как в трудовом, так и в ином договоре (абз. 1 п. 2 ст. 1295 ГК РФ). Хотя служебные произведения создаются в рамках трудовых отношений, следует согласиться с мнением В. А. Дозорцева, что трудовой договор в этом случае является основанием заключения гражданско-правового договора, поскольку субъективные гражданские права, включая право на получение автором вознаграждения от работодателя, могут предоставляться только по гражданско-правовому договору.
Если продолжать рассматривать фигуру обладателя информации, то необходимо сказать, что в Законе об информации появляется особый субъект правоотношений в сфере информации – оператор информационной системы. Определение его понятия впервые дано в Законе «О персональных данных», в п. 2 ст. 3 которого сказано, что оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных. По общему правилу, оператором считается собственник используемых при этом технических средств, хотя в ч. 5 ст. 14 Закона об информации содержится исключение из этого правила, сделанное в отношении государственных информационных систем: при создании такой системы ее оператором может быть и лицо, с которым этот собственник заключил договор об эксплуатации информационной системы. Если информационная система не является государственной или муниципальной, то порядок ее создания и эксплуатации определяется ее оператором (ч. 6 ст. 13 Закона об информации). Поэтому прежде чем привлечь оператора к оказанию услуг по эксплуатации информационной системы и заключить с ним соответствующий договор, важно ознакомиться с его внутренними правилами или положениями (которые обычно включаются в условия договора и поэтому имеют юридическую силу для сторон).
С учетом высказанных соображений можно предложить для обсуждения следующее определение понятия конфиденциальной информации.
Под конфиденциальной информацией следует понимать легально полученную информацию, которая в силу закона или иного акта, имеющего юридическое значение, доступна строго определенному кругу лиц и в отношении которой установлен режим определенного рода секретности.
Из книги Федеральный Закон о саморегулируемых организациях автора Дума ГосударственнаяСтатья 7. Раскрытие саморегулируемой организацией информации и защита саморегулируемой организацией информации от ее неправомерного использования 1. Саморегулируемая организация обязана раскрывать путем ее опубликования в средствах массовой информации и в
Из книги Налоговый кодекс Российской Федерации. Части первая и вторая. Текст с изменениями и дополнениями на 1 октября 2009 г. автора Автор неизвестенСтатья 93.1. Истребование документов (информации) о налогоплательщике, плательщике сборов и налоговом агенте или информации о конкретных сделках 1. Должностное лицо налогового органа, проводящее налоговую проверку, вправе истребовать у контрагента или у иных лиц,
Из книги Кодекс Российской Федерации об административных правонарушениях. Текст с изменениями и дополнениями на 1 ноября 2009 г. автора Автор неизвестенСтатья 15.12. Выпуск или продажа товаров и продукции, в отношении которых установлены требования по маркировке и (или) нанесению информации, необходимой для осуществления налогового контроля, без соответствующей маркировки и (или) информации, а также с нарушением
Из книги Уголовный кодекс Украины в анекдотах автора Кивалов С ВСтатья 361-2. Несанкционированные сбыт или распространение информации с ограниченным доступом, хранящейся в электронно-вычислительных машинах (компьютерах), автоматизированных системах, компьютерных сетях или на носителях такой информации 1. Несанкционированные сбыт
Из книги Шпаргалка по международному праву автора Лукин Е Е70. ПОНЯТИЕ МЕЖДУНАРОДНОГО ПРАВА МАССОВОЙ ИНФОРМАЦИИ К средствам массовой информации относятся радиовещание, телевизионное вещание, распространение тиражированной печатной, звуковой и визуальной продукции (книги, газеты, журналы, грампластинки, компакт-диски,
Из книги Шпаргалка по информационному праву автора Якубенко Нина Олеговна2. ПОНЯТИЕ И ВИДЫ ИНФОРМАЦИИ: ДОКУМЕНТИРОВАННАЯ И НЕДОКУМЕНТИРОВАННАЯ ИНФОРМАЦИЯ Существуют различные подходы к пониманию информации.С точки зрения философии информация – это некое разнообразие, которое отражающий субъект создает об отражаемом; сообщение,
Из книги Правовое регулирование рекламной деятельности автора Богацкая Софья Германовна Из книги Кодекс о Правонарушениях Республики Молдова в силе с 31.05.2009 автора Автор неизвестенСтатья 75. Разглашение конфиденциальной информации о медицинском осмотре по выявлению инфицирования вирусом иммунодефицита человека (ВИЧ), вызывающего заболевание СПИДом Разглашение конфиденциальной информации о медицинском осмотре по выявлению инфицирования
Из книги Журналистское расследование автора Коллектив авторов4.1. Понятие информации и методы ее обработки Что такое информация В свое время знаменитый британский государственный деятель Бенджамин Дизраэли подметил, что, «как правило, наибольшего успеха добивается тот, кто располагает лучшей информацией». Понятно, что эту самую
Из книги Оперативно-розыскная деятельность: совершенствование форм вхождения ее результатов в уголовный процесс автора Царева Нина Павловна§ 1. Понятие доказательств, средств доказывания и отграничение их от оперативно-розыскной информации Развитие правовой теории невозможно без разработки методологии. Это относится к любой отрасли права, в том числе к уголовному процессу и оперативно-розыскному
Из книги Религиозная тайна автора Андреев К. М.Об информации, информационных технологиях и о защите информации Федеральный закон от 27 июля 2006 г. № 149-ФЗ (ред. от 02.07.2013) (Извлечение) ‹…›Статья 2. Основные понятия, используемые в настоящем Федеральном законе‹…›7) конфиденциальность информации – обязательное для
Из книги Конфиденциальная информация в трудовых отношениях автора Иванов Дмитрий ВикторовичГлава 1 Понятие, виды и источники правового регулирования конфиденциальной
Из книги Врачебная тайна. Вопросы и ответы автора Аргунова Юлия Николаевна1.2. Виды и основные источники правового регулирования конфиденциальной
Из книги автора2.3. Ответственность сторон трудового договора за невыполнение обязанностей по сохранению (неразглашению) конфиденциальной информации В современном обществе информация является одним из наиболее значимых элементов бизнеса, да и любой продуктивной деятельности.
Из книги автораКак соотносится право на информацию и право на неразглашение конфиденциальной информации? Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», развивая положения Конституции РФ, к числу принципов правового
Из книги автораК какому виду конфиденциальной информации относится врачебная тайна? Тайна в общем понимании – это «то, что скрывается от других, что известно не всем, секрет». Этические нормы общества предполагают, что каждый человек должен сохранять тайну, доверенную ему другим
Определение понятия
Конфиденциальность - это комплекс мер по предотвращению утечки и разглашения той или иной информации. Сущность данного понятия также можно уяснить, ознакомившись с его переводом с разных языков. Это звучит примерно, как "тайна" или "доверие". С каждым годом эта категория становится все более значимой в разных сферах. Конфиденциальность можно считать необходимым условием для многих видов деятельности, среди которых медицинская, адвокатская, аудиторская и прочие.
Законодательное регулирование
Конфиденциальность - это достаточно серьезная тема, которая затрагивает практически все сферы общественной жизни. Именно поэтому регулирование данного вопроса уже давно происходит на законодательном уровне. Так, в соответствии со специальным Указом президента Российской Федерации конфиденциальными считаются следующие виды информации :
- вся личная информация, идентифицирующая человека, а также факты, касающиеся его частной жизни (исключения составляют сведения, предоставленные в средства массовой информации, а также подписание документов, разрешающих распространение данных);
- данные о ведении расследования и судебные документы, а также информация о лицах, которым обеспечивается защита в рамках государственных программ;
- служебная тайна, к которой относятся данные о работе государственных органов, научных лабораторий, а также предприятий оборонного сектора;
- сведения о таких видах деятельности, как медицинская, адвокатская, аудиторская, судебная, следственная и так далее;
- коммерческая тайна, заключающаяся в подробностях о производственном и технологическом процессе, а также организации работы предприятия в целом;
- сведения о научных разработках до момента получения патентной документации или же до внедрения в эксплуатацию.
Где нужна конфиденциальность информации
Любая сфера деятельности требует сохранения в тайне определенного объема информации. Примером может послужить коммерческое предприятие. Его работники не имеют права разглашать сведения о технологии производства, организационной структуре и прочих моментах, что закрепляется в соответствующих пунктах трудового договора. Нарушение данного правила грозит штрафом или увольнением.
Наверное, все слышали такое словосочетание, как государственная тайна. Это целый ряд сведений, которые находятся под защитой властных институтов и правоохранительных органов. Речь идет о научной, военной, политической, разведывательной и прочих видах деятельности. Предавая данные факты огласке, индивид не только может нанести государству экономический ущерб, но еще и поставить под угрозу его безопасность. За подобные правонарушения предусматривается серьезная ответственность.
В медицинских и прочих заведениях подобного рода также необходимо соблюдать конфиденциальность. Персонал не имеет права разглашать информацию о клиентах. Это же касается и аудиторских фирм. В противном случае потерпевшая сторона может инициировать судебное разбирательство.
Что не может быть конфиденциальной информацией
Рамки политики конфиденциальности не распространяются на следующие виды информации:
- информация, указанная в учредительных документах;
- данные свидетельства о регистрации предприятия;
- сведения об имуществе организации;
- информация о соблюдении правил безопасности и норм экологической ответственности;
- о кадровом составе, а также системе вознаграждения за проделанную работу;
- факты установленного нарушения норм закона;
- сведения о проведении конкурсов, тендеров и прочих мероприятий, в которых решается судьба объектов государственной собственности;
- финансовая отчетность некоммерческих организаций.
Охрана конфиденциальности
Конфиденциальность данных может быть защищена их владельцем следующим образом:
- для начала стоит составить перечень сведений, которые попадают в категорию "коммерческая тайна" в соответствии с законодательством;
- установление внутреннего порядка охраны информации путем ограничения круга лиц, имеющих к ней доступ, а также внедрение ответственности за несоблюдение правил;
- ведение учета лиц, которые допущены к конфиденциальным данным;
- внесение пункта об ответственности за распространение секретной информации в трудовой договор, а также коммерческие контракты с контрагентами;
- четкая фиксация на цифровых и бумажных носителях всей информации с целью доказательства ее подлинности и правообладания;
- незамедлительная регистрация в соответствующих органах тех сведений, которые должны находиться под защитой.
Данный перечень мероприятий может быть дополнен на усмотрение предпринимателя. Главное условие - это соответствие их законодательным нормам.
Выводы
Конфиденциальность - это объективная необходимость в современных условиях. Каждый человек, а также организация имеет право на сохранение в тайне определенной информации. Нарушение данной нормы влечет за собой наступление административной, а в некоторых случаях и уголовной ответственности.
Условия конфиденциальности во многом зависят от того, о какой сфере деятельности идет речь. Данного правила стоит придерживаться во всем, что касается коммерческой или государственной тайны, а также частной жизни индивида, независимо от его социального статуса и рода деятельности.
Библиографическое описание:
Нестеров А.К. Обеспечение информационной безопасности [Электронный ресурс] // Образовательная энциклопедия сайт
Одновременно с развитием информационных технологий и повышением значимости информационных ресурсов для организаций, растет и количество угроз их информационной безопасности, а также возможный ущерб от ее нарушений. Возникает объективная необходимость обеспечения информационной безопасности предприятия. В связи с этим, прогресс возможен только в условиях целенаправленного предупреждения угроз информационной безопасности.
Средства обеспечения информационной безопасности
Обеспечение информационной безопасности осуществляется с помощью двух типов средств:
- программно-аппаратные средства
- защищенные коммуникационные каналы
Программно-аппаратные средства обеспечения информационной безопасности в современных условиях развития информационных технологий наиболее распространены в работе отечественных и зарубежных организаций. Подробно рассмотрим основные программнно-аппаратные средства защиты информации.
Программно-аппаратные средства защиты от несанкционированного доступа включают в себя меры идентификации, аутентификации и управления доступом в информационную систему.
Идентификация – присвоение субъектам доступа уникальных идентификаторов.
Сюда относят радиочастотные метки, биометрические технологии, магнитные карты, универсальные магнитные ключи, логины для входа в систему и т.п.
Аутентификация – проверка принадлежности субъекта доступа предъявленному идентификатору и подтверждение его подлинности.
К процедурам аутентификации относятся пароли, pin-коды, смарт-карты, usb-ключи, цифровые подписи, сеансовые ключи и т.п. Процедурная часть средств идентификации и аутентификации взаимосвязана и, фактически, представляет базовую основу всех программно-аппаратных средств обеспечения информационной безопасности, так как все остальные службы рассчитаны на обслуживание конкретных субъектов, корректно распознанных информационной системой. В общем виде идентификация позволяет субъекту обозначить себя для информационной системы, а с помощью аутентификации информационная система подтверждает, что субъект действительно тот, за кого он выдает. На основе прохождения данной операции производится операция по предоставлению доступа в информационную систему. Процедуры управления доступом позволяют авторизовавшимся субъектам выполнять дозволенные регламентом действия, а информационной системе контролировать эти действия на корректность и правильность полученного результата. Разграничение доступа позволяет системе закрывать от пользователей данные, к которым они не имеют допуска.
Следующим средством программно-аппаратной защиты выступает протоколирование и аудит информации.
Протоколирование включает в себя сбор, накопление и сохранение информации о событиях, действиях, результатах, имевших место во время работы информационной системы, отдельных пользователей, процессов и всех программно-аппаратных средств, входящих в состав информационной системы предприятия.
Поскольку у каждого компонента информационной системы существует заранее заданный набор возможных событий в соответствии с запрограммированными классификаторами, то события, действия и результаты разделяются на:
- внешние, вызванные действиями других компонентов,
- внутренние, вызванные действиями самого компонента,
- клиентские, вызванные действиями пользователей и администраторов.
Аудит информации заключается в проведении оперативного анализа в реальном времени или в заданный период.
По результатам анализа либо формируется отчет об имевших место событиях, либо инициируется автоматическая реакция на внештатную ситуацию.
Реализация протоколирования и аудита решает следующие задачи:
- обеспечение подотчетности пользователей и администраторов;
- обеспечение возможности реконструкции последовательности событий;
- обнаружение попыток нарушений информационной безопасности;
- предоставление информации для выявления и анализа проблем.
Зачастую защита информации невозможна без применения криптографических средств. Они используются для обеспечения работы сервисов шифрования, контроля целостности и аутентификации, когда средства аутентификации хранятся у пользователя в зашифрованном виде. Существует два основных метода шифрования: симметричный и асимметричный.
Контроль целостности позволяет установить подлинность и идентичность объекта, в качестве которого выступает массив данных, отдельные порции данных, источник данных, а также обеспечить невозможность отметить совершенное в системе действие с массивом информации. Основу реализации контроля целостности составляют технологии преобразования данных с использованием шифрования и цифровые сертификаты.
Другим важным аспектом является использование экранирования, технологии, которая позволяет, разграничивая доступ субъектов к информационным ресурсам, контролировать все информационные потоки между информационной системой предприятия и внешними объектами, массивами данных, субъектами и контрсубъектами. Контроль потоков заключается в их фильтрации и, в случае необходимости, преобразования передаваемой информации.
Задача экранирования – защита внутренней информации от потенциально враждебных внешних факторов и субъектов. Основной формой реализации экранирования выступают межсетевые экраны или файрволлы, различных типов и архитектуры.
Поскольку одним из признаков информационной безопасности является доступность информационных ресурсов, то обеспечение высокого уровня доступности является важным направление в реализации программно-аппаратных мер. В частности, разделяется два направления: обеспечение отказоустойчивости, т.е. нейтрализации отказов системы, способность работать при возникновении ошибок, и обеспечение безопасного и быстрого восстановления после отказов, т.е. обслуживаемость системы.
Основное требование к информационным системам заключается в том, чтобы они работали всегда с заданной эффективностью, минимальным временем недоступности и скоростью реагирования.
В соответствии с этим, доступность информационных ресурсов обеспечивается за счет:
- применения структурной архитектуры, которая означает, что отдельные модули могут быть при необходимости отключены или быстро заменены без ущерба другим элементам информационной системы;
- обеспечения отказоустойчивости за счет: использования автономных элементов поддерживающей инфраструктуры, внесения избыточных мощностей в конфигурацию программно-аппаратных средств, резервирования аппаратных средств, тиражирования информационных ресурсов внутри системы, резервного копирования данных и т.п.
- обеспечения обслуживаемости за счет снижения сроков диагностирования и устранения отказов и их последствий.
Другим типом средств обеспечения информационной безопасности выступают защищенные коммуникационные каналы.
Функционирование информационных систем неизбежно связано с передачей данных, поэтому для предприятий необходимо также обеспечить защиту передаваемых информационных ресурсов, используя защищенные коммуникационные каналы. Возможность несанкционированного доступа к данным при передаче трафика по открытым каналам коммуникации обусловлена их общедоступностью. Поскольку "коммуникации на всем их протяжении физически защитить невозможно, поэтому лучше изначально исходить из предположения об их уязвимости и соответственно обеспечивать защиту" . Для этого используются технологии туннелирования, суть которого состоит в том, чтобы инкапсулировать данные, т.е. упаковать или обернуть передаваемые пакеты данных, включая все служебные атрибуты, в собственные конверты. Соответственно, туннель является защищенным соединением через открытые каналы коммуникаций, по которому передаются криптографически защищенные пакеты данных. Туннелирование применяется для обеспечения конфиденциальности трафика за счет сокрытия служебной информации и обеспечения конфиденциальности и целостности передаваемых данных при использовании вместе с криптографическими элементами информационной системы. Комбинирование туннелирования и шифрования позволяет реализовать виртуальную частную сеть. При этом конечными точками туннелей, реализующих виртуальные частные сети, выступают межсетевые экраны, обслуживающие подключение организаций к внешним сетям.
Межсетевые экраны как точки реализации сервиса виртуальных частных сетей
Таким образом, туннелирование и шифрование выступают дополнительными преобразованиями, выполняемыми в процессе фильтрации сетевого трафика наряду с трансляцией адресов. Концами туннелей, помимо корпоративных межсетевых экранов, могут быть персональные и мобильные компьютеры сотрудников, точнее, их персональные межсетевые экраны и файрволлы. Благодаря такому подходу обеспечивается функционирование защищенных коммуникационных каналов.
Процедуры обеспечения информационной безопасности
Процедуры обеспечения информационной безопасности принято разграничивать на административный и организационный уровень.
- К административным процедурам относятся действия общего характера, предпринимаемые руководством организации, для регламентации всех работ, действий, операций в области обеспечения и поддержания информационной безопасности, реализуемых за счет выделения необходимых ресурсов и контроля результативности предпринимаемых мер.
- Организационный уровень представляет собой процедуры по обеспечению информационной безопасности, включая управление персоналом, физическую защиту, поддержание работоспособности программно-аппаратной инфраструктуры, оперативное устранение нарушений режима безопасности и планирование восстановительных работ.
С другой стороны, разграничение административных и организационных процедур бессмысленно, поскольку процедуры одного уровня не могут существовать отдельно от другого уровня, нарушая тем самым взаимосвязь защиты физического уровня, персональной и организационной защиты в концепции информационной безопасности. На практике, обеспечивая информационную безопасность организации, не пренебрегают административными или организационными процедурами, поэтому логичнее рассматривать их как комплексный подход, поскольку оба уровня затрагивают физический, организационный и персональный уровни защиты информации.
Основой комплексных процедур обеспечения информационной безопасности выступает политика безопасности.
Политика информационной безопасности
Политика информационной безопасности в организации – это совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.
В организационно-управленческом плане политика информационной безопасности может являться единым документом или оформлена в виде нескольких самостоятельных документов или приказов, но в любом случае должна охватывать следующие аспекты защиты информационной системы организации:
- защита объектов информационной системы, информационных ресурсов и прямых операций с ними;
- защита всех операций, связанных с обработкой информации в системе, включая программные средства обработки;
- защита коммуникационных каналов, включая проводные, радиоканалы, инфракрасные, аппаратные и т.д.;
- защита аппаратного комплекса от побочных электромагнитных излучений;
- управление системой защиты, включая обслуживание, модернизацию и администраторские действия.
Каждый из аспектов должен быть подробно описан и документально закреплен во внутренних документах организации. Внутренние документы охватывают три уровня процесса защиты: верхний, средний и нижний.
Документы верхнего уровня политики информационной безопасности отражают основной подход организации к защите собственной информации и соответствие государственным и/или международным стандартам. На практике в организации существует только один документ верхнего уровня, озаглавливаемый "Концепция информационной безопасности", "Регламент информационной безопасности" и т.п. Формально данные документы не представляют конфиденциальной ценности, их распространение не ограничивается, но могут выпускать в редакции для внутреннего использования и открытой публикации.
Документы среднего уровня являются строго конфиденциальными и касаются конкретных аспектов информационной безопасности организации: используемых средств защиты информации, безопасности баз данных, коммуникаций, криптографических средств и других информационных и экономических процессов организации. Документальное оформление реализуется в виде внутренних технических и организационных стандартов.
Документы нижнего уровня разделены на два типа: регламенты работ и инструкции по эксплуатации. Регламенты работ являются строго конфиденциальными и предназначены только лиц, по долгу службы осуществляющих работу по администрированию отдельных сервисов информационной безопасности. Инструкции по эксплуатации могут быть, как конфиденциальными, так и публичными; они предназначены для персонала организации и описывают порядок работы с отдельными элементами информационной системы организации.
Мировой опыт свидетельствует, что политика информационной безопасности всегда документально оформляется только в крупных компаниях, имеющих развитую информационную систему, предъявляющих повышенные требования к информационной безопасности, средние предприятия чаще всего имеют только частично документально оформленную политику информационной безопасности, малые организации в подавляющем большинстве вообще не заботятся о документальном оформлении политики безопасности. Вне зависимости от формата документального оформления целостный или распределенный, базовым аспектом выступает режим безопасности.
Существует два разных подхода, которые закладываются в основу политики информационной безопасности :
- "Разрешено все, что не запрещено".
- "Запрещено все, что не разрешено".
Фундаментальным дефектом первого подхода заключается в том, что на практике предусмотреть все опасные случаи и запретить их невозможно. Вне всяких сомнений, следует применять только второй подход.
Организационной уровень информационной безопасности
С точки зрения защиты информации, организационные процедуры обеспечения информационной безопасности представляются как "регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз" .
Меры по управлению персоналом, направленные на организацию работы с кадрами в целях обеспечения информационной безопасности, включают разделение обязанностей и минимизацию привилегий. Разделение обязанностей предписывает такое распределение компетенций и зон ответственности, при котором один человек не в состоянии нарушить критически важный для организации процесс. Это снижает вероятность ошибок и злоупотреблений. Минимизация привилегий предписывает наделение пользователей только тем уровнем доступа, который соответствует необходимости выполнения ими служебных обязанностей. Это уменьшает ущерб от случайных или умышленных некорректных действий.
Физическая защита означает разработку и принятие мер для прямой защиты зданий, в которых размещаются информационные ресурсы организации, прилегающих территорий, элементов инфраструктуры, вычислительной техники, носителей данных и аппаратных каналов коммуникаций. Сюда относят физическое управление доступом, противопожарные меры, защиту поддерживающей инфраструктуры, защиту от перехвата данных и защиту мобильных систем.
Поддержание работоспособности программно-аппаратной инфраструктуры заключается в предупреждении стохастических ошибок, грозящих повреждением аппаратного комплекса, нарушением работы программ и потерей данных. Основные направления в этом аспекте заключаются в обеспечении поддержки пользователей и программного обеспечения, конфигурационного управления, резервного копирования, управления носителями информации, документирование и профилактические работы.
Оперативное устранение нарушений режима безопасности преследует три главные цели:
- Локализация инцидента и уменьшение наносимого вреда;
- Выявление нарушителя;
- Предупреждение повторных нарушений.
Наконец, планирование восстановительных работ позволяет подготовиться к авариям, уменьшить ущерб от них и сохранить способность к функционированию хотя бы в минимальном объеме.
Использование программно-аппаратных средств и защищенных коммуникационных каналов должно быть реализовано в организации на основе комплексного подхода к разработке и утверждению всех административно-организационных регламентных процедур обеспечения информационной безопасности. В противном случае, принятие отдельных мер не гарантирует защиты информации, а зачастую, наоборот, провоцирует утечки конфиденциальной информации, потери критически важных данных, повреждения аппаратной инфраструктуры и нарушения работы программных компонентов информационной системы организации.
Методы обеспечения информационной безопасности
Для современных предприятий характерна распределенная информационная система, которая позволяет учитывать в работе распределенные офисы и склады компании, финансовый учет и управленческий контроль, информацию из клиентской базы, с учетом выборки по показателям и так далее. Таким образом, массив данных весьма значителен, причем в подавляющем большинстве это информация, имеющая приоритетное значение для компании в коммерческом и экономическом плане. Фактически, обеспечение конфиденциальности данных, имеющих коммерческую ценность, составляет одну из основных задач обеспечения информационной безопасности в компании.
Обеспечение информационной безопасности на предприятии должно быть регламентировано следующими документами:
- Регламент обеспечения информационной безопасности. Включает формулировку целей и задач обеспечения информационной безопасности, перечень внутренних регламентов по средствам защиты информации и положение об администрировании распределенной информационной системы компании. Доступ к регламенту ограничен руководством организации и руководителем отдела автоматизации.
- Регламенты технического обеспечения защиты информации. Документы являются конфиденциальными, доступ ограничен сотрудниками отдела автоматизации и вышестоящим руководством.
- Регламент администрирования распределенной системы защиты информации. Доступ к регламенту ограничен сотрудниками отдела автоматизации, отвечающими за администрирование информационной системы, и вышестоящим руководством.
При этом данными документами не следует ограничиваться, а проработать также нижние уровни. В противном случае, если у предприятия иных документов, касающихся обеспечения информационной безопасности, не будет, то это будет свидетельствовать о недостаточной степени административного обеспечения защиты информации, поскольку отсутствуют документы нижнего уровня, в частности инструкции по эксплуатации отдельных элементов информационной системы.
Обязательные организационные процедуры включают в себя:
- основные меры по дифференциации персонала по уровню доступа к информационным ресурсам,
- физическую защиту офисов компании от прямого проникновения и угроз уничтожения, потери или перехвата данных,
- поддержание работоспособности программно-аппаратной инфраструктуры организовано в виде автоматизированного резервного копирования, удаленной проверки носителей информации, поддержка пользователей и программного обеспечения осуществляется по запросу.
Сюда также следует отнести регламентированные меры по реагированию и устранению случаев нарушений информационной безопасности.
На практике часто наблюдается, что предприятия недостаточно внимательно относятся к этому вопросу. Все действия в данном направлении осуществляются исключительно в рабочем порядке, что увеличивает время устранения случаев нарушений и не гарантирует предупреждения повторных нарушений информационной безопасности. Кроме того, полностью отсутствует практика планирования действий по устранению последствий после аварий, утечек информации, потери данных и критических ситуаций. Все это существенно ухудшает информационную безопасность предприятия.
На уровне программно-аппаратных средств должна быть реализована трехуровневая система обеспечения информационной безопасности.
Минимальные критерии обеспечения информационной безопасности:
1. Модуль управления доступом:
- реализован закрытый вход в информационную систему, невозможно зайти в систему вне верифицированных рабочих мест;
- для сотрудников реализован доступ с ограниченным функционалом с мобильных персональных компьютеров;
- авторизация осуществляется по формируемым администраторами логинам и паролям.
2. Модуль шифрования и контроля целостности:
- используется асимметричный метод шифрования передаваемых данных;
- массивы критически важных данных хранятся в базах данных в зашифрованном виде, что не позволяет получить к ним доступ даже при условии взлома информационной системы компании;
- контроль целостности обеспечивается простой цифровой подписью всех информационных ресурсов, хранящихся, обрабатываемых или передаваемых внутри информационной системы.
3. Модуль экранирования:
- реализована система фильтров в межсетевых экранах, позволяющая контролировать все информационные потоки по каналам коммуникации;
- внешние соединения с глобальными информационными ресурсами и публичными каналами связи могут осуществляться только через ограниченный набор верифицированных рабочих станций, имеющих ограниченное соединение с корпоративной информационной системой;
- защищенный доступ с рабочих мест сотрудников для выполнения ими служебных обязанностей реализован через двухуровневую систему прокси-серверов.
Наконец, с помощью технологий туннелирования на предприятии должна быть реализована виртуальная частная сеть в соответствии с типичной моделью построения для обеспечения защищенных коммуникационных каналов между различными отделениями компании, партнерами и клиентами компании.
Несмотря на то, что коммуникации непосредственно осуществляются по сетям с потенциально низким уровнем доверия, технологии туннелирования благодаря использованию средств криптографии позволяют обеспечить надежную защиту всех передаваемых данных.
Выводы
Основная цель всех предпринимаемых мероприятий в области обеспечения информационной безопасности заключается в защите интересов предприятия, так или иначе связанных с информационными ресурсами, которыми оно располагает. Хотя интересы предприятий не ограничены конкретной областью, все они концентрируются вокруг доступности, целостности и конфиденциальности информации.
Проблема обеспечения информационной безопасности объясняется двумя основными причинами.
- Накопленные предприятием информационные ресурсы представляют ценность.
- Критическая зависимость от информационных технологий обуславливает их широкое применение.
Учитывая широкое многообразие существующих угроз для информационной безопасности, таких как разрушение важной информации, несанкционированное использование конфиденциальных данных, перерывы в работе предприятия вследствие нарушений работы информационной системы, можно сделать вывод, что все это объективно приводит к крупным материальным потерям.
В обеспечении информационной безопасности значительную роль играют программно-аппаратные средства, направленные на контроль компьютерных сущностей, т.е. оборудования, программных элементов, данных, образуя последний и наиболее приоритетный рубеж информационной безопасности. Передача данных также должна быть безопасной в контексте сохранения их конфиденциальности, целостности и доступности. Поэтому в современных условиях для обеспечения защищенных коммуникационных каналов применяются технологии туннелирования в комбинации с криптографическими средствами.
Литература
- Галатенко В.А. Стандарты информационной безопасности. – М.: Интернет-университет информационных технологий, 2006.
- Партыка Т.Л., Попов И.И. Информационная безопасность. – М.: Форум, 2012.
"Кадровик.ру", 2012, N 7
В любой компании существует конфиденциальная информация, которая особенно тщательно оберегается от не имеющих к ней доступа сотрудников, а также конкурентов и поставщиков. Вместе с тем определить степень секретности данных достаточно сложно. В итоге все сведения, связанные с деятельностью организации, начинают считать конфиденциальными. В результате возникают судебные споры как с работниками, так и с другими компаниями.
Перечень соответствующих данных приведен в нескольких законодательных актах, однако и компания может самостоятельно ограничить доступ к некоторым сведениям. Вместе с тем основным документом, позволяющим определить, относится ли информация к конфиденциальной, является Федеральный закон от 29.07.2004 N 98-ФЗ "О коммерческой тайне" (далее - Закон N 98-ФЗ). Однако перечень, содержащийся в этом Законе, является неполным, а иные сведения о конфиденциальной информации содержатся в других нормативных правовых актах.
Перечень конфиденциальных данных, определенных законодательством
| Вид конфиденциальной информации | Перечень сведений | Законодательная норма |
| Информация, составляющая коммерческую тайну | Сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно- технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам | Статья 3 Федерального закона от 29.07.2004 N 98-ФЗ "О коммерческой тайне" |
| Банковская тайна | Сведения об операциях, о счетах и вкладах организаций - клиентов банков и корреспондентов | Статья 26 Федерального закона от 02.12.1990 N 395-1 "О банках и банковской деятельности" |
| Адвокатская тайна, нотариальная тайна | Сведения, связанные с оказанием адвокатом юридической помощи своему доверителю; сведения, которые стали известны нотариусу в связи с его профессиональной деятельностью | Основы законодательства Российской Федерации о нотариате (утв. ВС РФ 11.02.1993 N 4462-1); ст. 8 Федерального закона от 31.05.2002 N 63-ФЗ "Об адвокатской деятельности и адвокатуре в Российской Федерации" |
| Сведения, связанные с аудитом организации | Любые сведения и документы, полученные и (или) составленные аудиторской организацией и ее работниками, а также индивидуальным аудитором и работниками, с которыми им заключены трудовые договоры, при оказании услуг, предусмотренных настоящим Федеральным законом, за исключением: 1) сведений, разглашенных самим лицом, которому оказывались услуги, предусмотренные настоящим Федеральным законом, либо с его согласия; 2) сведений о заключении с аудируемым лицом договора о проведении обязательного аудита; 3) сведений о величине оплаты аудиторских услуг | Статья 9 Федерального закона от 30.12.2008 N 307-ФЗ "Об аудиторской деятельности" |
На практике режим конфиденциальности определяется:
- перечнем сведений, составляющих коммерческую тайну; перечнем конфиденциальной информации в организации;
- договорным регулированием отношений с работниками;
- договорным регулированием отношений с контрагентами путем установления соответствующих положений в договоре;
- нанесением на материальные носители конфиденциальной информации ограничительных отметок и грифа конфиденциальности с указанием ее обладателя.
Кроме указанных мер в компании могут при необходимости применяться средства и методы технической защиты конфиденциальной информации, а также другие меры, не противоречащие законодательству Российской Федерации.
Режим коммерческой тайны не может быть установлен в отношении следующих сведений:
- содержащихся в учредительных документах юридического лица и документах, подтверждающих факт внесения записей о юридических лицах в государственные реестры;
- содержащихся в документах, дающих право на осуществление предпринимательской деятельности;
- о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;
- о численности, составе работников, системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, наличии свободных рабочих мест;
- о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;
- о нарушениях законодательства РФ и фактах привлечения к ответственности за их совершение;
- о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации;
- о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;
- сведений, обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена федеральными законами до вступления в силу Закона N 98-ФЗ.
Рассмотрим порядок установления перечня в конкретной компании.
Как поступать с сотрудником, разгласившим конфиденциальную информацию?
Во многих компаниях к сотруднику, разгласившему секретные сведения, применяют следующие меры: налагают дисциплинарное взыскание, взыскивают убытки в суде. Некоторые работодатели просто увольняют провинившихся, считая, что распространение конфиденциальной информации является серьезным проступком. Действительно, такая возможность есть. Согласно пп. "в" п. 6 ч. 1 ст. 81 ТК РФ трудовой договор может быть расторгнут работодателем даже в случае однократного разглашения коммерческой тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей.
При возникновении спора о восстановлении на работе лица, уволенного по рассматриваемому основанию, именно на работодателя возлагается бремя доказывания всех обстоятельств разглашения коммерческой тайны. Необходимо тщательно рассмотреть все обстоятельства конкретного дела, проанализировать, имеются ли законные основания для увольнения работника, заподозренного в разглашении конфиденциальной информации, а также оценить возможные риски в случае оспаривания сотрудником увольнения.
Приведем следующий пример: работник использовал флэш-накопитель для распечатки документа на принтере. Однако работодатель посчитал данные действия разглашением коммерческой тайны, поскольку запрет на использование флэш-накопителя для передачи конфиденциальной информации содержался в локальном акте. Однако в организации не было точного перечня таких секретных данных. В результате работник обратился в трудовую инспекцию, и после проверки ему удалось добиться снятия дисциплинарного взыскания.
Таким образом, налагая дисциплинарное взыскание, работодатель должен:
- доказать, что работник нанес материальный вред организации;
- установить, что работник разгласил конфиденциальные данные, включенные в перечень;
- подтвердить факт разглашения и ознакомления работника со списком конфиденциальных сведений.
Если компания захочет взыскать убытки в суде (допустим, менеджер уволился и продал конфиденциальную базу данных конкурентам), то потребуется оценить материальный ущерб. Ключевым условием, позволяющим сформировать доказательственную базу, является наличие перечня конфиденциальной информации.
Перечень конфиденциальной информации в отдельной организации
В каждой организации составляется свой перечень конфиденциальной информации. Как правило, в него входят:
- сведения о производстве и управлении;
- данные об уровне заработной платы сотрудников;
- персональные данные сотрудников;
- управленческие решения, планы развития производства, инвестиционные программы;
- протоколы совещаний;
- конфиденциальные договоры;
- сведения о переговорах;
- сведения о кадровом составе, штатном расписании;
- стоимость и цены;
- бухгалтерская отчетность, первичная документация;
- сведения об уплаченных налогах и сборах;
- отчеты аудиторов.
Обратите внимание: персональные данные и конфиденциальная информация - не равнозначные понятия. Последнее является более широким и может включать в себя различные бухгалтерскую отчетность, данные о кадровом составе организации и иные сведения, которые охраняются компанией в соответствии с установленным режимом коммерческой тайны.
Информация, составляющая коммерческую тайну (секрет производства), - это сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны. Разглашение информации, составляющей коммерческую тайну, - это действие или бездействие, в результате которых такие сведения в любой возможной форме (устной, письменной, иной, в том числе с использованием технических средств) становятся известны третьим лицам без согласия обладателя либо вопреки трудовому или гражданско-правовому договору (Определение Мосгорсуда от 14.11.2011 по делу N 33-36486).
Понятие персональных данных установлено в Федеральном законе от 27.07.2006 N 152-ФЗ "О персональных данных". Это любые сведения, относящиеся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
То есть, если конфиденциальная информация может относиться и к физическим, и к юридическим лицам, персональные данные - только к физическим. Перечень конфиденциальных данных, отнесенных к таковым на законодательном уровне, приведен в приложении.
Необходимо обратить внимание на тот факт, что информация, признанная в компании конфиденциальной, может и не быть отнесена к таковой. К конфиденциальным могут быть причислены документы бухгалтерской отчетности, предоставляемые участникам общества лишь для ознакомления (Постановление ФАС Поволжского округа от 05.04.2005 N А12-12462/04-С56). Аналогичный вывод сделан и в Постановлении ФАС Дальневосточного округа от 16.05.2007, 08.05.2007 N Ф03-А73/07-1/1090 по делу N А73-9822/2006-9, в котором суд признал, что ни нормами Федерального закона от 21.11.1996 N 129-ФЗ "О бухгалтерском учете", ни ст. 89 Федерального закона от 26.12.1995 N 208-ФЗ "Об акционерных обществах" не предусмотрено обязательное предоставление акционеру копий первичных учетных документов, оборотных ведомостей аналитического учета и электронной базы данных бухгалтерской программы общества. Вместе с тем, например, сведения об исполнении налогоплательщиками своих обязательств по уплате налогов не являются налоговой тайной и могут быть разглашены (Постановление ФАС Западно-Сибирского округа от 27.07.2010 по делу N А27-25441/2009).
Таким образом, работодатель самостоятельно должен составить перечень конфиденциальных сведений и установить их распорядительным документом в зависимости от важности данной информации. Однако признание данных конфиденциальными может быть оспорено в суде. При этом важным моментом также являются не только установление самого перечня конфиденциальной информации, но и порядка ее защиты.
Порядок защиты конфиденциальной информации
В соответствии со ст. 10 Закона N 98-ФЗ меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя:
- определение перечня данных, составляющих коммерческую тайну;
- ограничение доступа к таким сведениям путем установления порядка обращения с ними и контроля за соблюдением этого порядка;
- учет лиц, получивших доступ к конфиденциальной информации, и (или) лиц, которым она была предоставлена или передана;
- регулирование отношений по использованию данных, составляющих коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
- нанесение на материальные носители, содержащие конфиденциальную информацию, или включение в состав реквизитов документов, содержащих такую информацию, грифа "Коммерческая тайна" с указанием обладателя такой информации.
В целях охраны конфиденциальности информации работодатель обязан:
- ознакомить под расписку работника, которому доступ к таким сведениям необходим для выполнения трудовых обязанностей, с перечнем информации, составляющей коммерческую тайну, обладателями которой являются работодатель и его контрагенты;
- ознакомить сотрудника под расписку с установленным работодателем режимом коммерческой тайны и с мерами ответственности за его нарушение;
- создать работнику необходимые условия для соблюдения установленного режима (ст. 11 Закона N 98-ФЗ).
Трудовой договор с руководителем организации должен предусматривать обязательства этого сотрудника по обеспечению охраны конфиденциальности информации, обладателем которой являются организация и ее контрагенты, и ответственность за соответствующие меры.
Признание данных конфиденциальными может быть оспорено в суде
При этом в компании могут быть предприняты следующие действия:
- реализация разрешительной системы допуска исполнителей (пользователей, обслуживающего персонала) к информации и связанным с ее использованием работам, документам;
- ограничение доступа персонала и посторонних лиц в защищаемые помещения и помещения, где размещены средства информатизации и коммуникации, а также хранятся носители информации;
- стенографирование совещаний;
- разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты данных;
- учет и надежное хранение бумажных и машинных носителей информации, ключей (ключевой документации) и их обращение, исключающее их хищение, подмену и уничтожение;
- резервирование технических средств и дублирование массивов и носителей информации;
- защита от копирования информации, применение сертифицированных средств ее защиты;
- использование защищенных каналов связи;
- криптографическое преобразование данных, обрабатываемых и передаваемых средствами вычислительной техники и связи.
Очень важно установить в локальном акте организации не только перечень конфиденциальных сведений, но и порядок их использования.
Во взаимоотношениях с работниками компании используют обычно две тактики: защиту интересов в суде, защиту интересов в досудебном порядке путем расторжения договора с работником. Рассмотрим первый способ. В качестве примера можно привести Определение Мосгорсуда от 22.12.2011 по делу N 4г/8-10945/11. Разрешая заявленные исковые требования, руководствуясь ст. 81 ТК РФ, Федеральным законом "О коммерческой тайне", суд пришел к выводу о том, что увольнение истца является законным и обоснованным, поскольку он разгласил коммерческую тайну. Истец направил в адрес сторонней организации по электронной почте документы, к которым у третьих лиц не было свободного доступа и в отношении которых работодатель ввел режим коммерческой тайны.
В суде компания доказала следующие факты: ознакомление работника с положением "О коммерческой тайне", соблюдение процедуры привлечения к дисциплинарной ответственности, факт отправки документов в адрес заместителя генерального директора сторонней организации - данных о контрагентах, сведений о сроках и способах оказания услуг, размерах вознаграждения.
Но, если конфиденциальная информация не передается третьим лицам, факт копирования сведений без передачи третьим лицам не может расцениваться как разглашение. Так, в Определении от 12.12.2011 по делу N 4г/8-10961/2011 Мосгорсуд пришел к выводу о том, что информация, скопированная истицей на флэш-карту, составляла коммерческую тайну общества, однако доказательств того, что данные сведения были переданы ею третьим лицам, сторона ответчика не представила, а истица совершение подобных действий отрицала. Доказательств пересылки истицей указанных сведений на электронные почтовые ящики третьих лиц, а равно фактов размещения в сети Интернет суд также не получил. При осмотре домашнего компьютера истицы и удалении из него скопированной информации таковых фактов ответчик не зафиксировал. Отметок об этом в акте об удалении информации не было. Действия работника, в результате которых указанная информация становится доступна иным сотрудникам, осуществляющим контроль за соблюдением режима коммерческой тайны в организации, не могут быть квалифицированы по пп. "в" п. 6 ч. 1 ст. 81 ТК РФ. При таких обстоятельствах, когда конфиденциальная информация не была разглашена третьим лицам, физическое лицо может быть восстановлено на работе с выплатой компенсации за время вынужденного прогула.
Распространение несекретной информации не является разглашением конфиденциальных сведений. Такой вывод следует из Определения Мосгорсуда от 14.11.2011 по делу N 33-36486. Суд пришел к выводу о том, что сведения о наличии оборудования, его стоимости, данные о дистрибьюторах не представляют коммерческой тайны, т.к. размещены в прайс-листах, каталогах и буклетах. Таким образом, конфиденциальность не была нарушена. Аналогичный вывод сделал Мосгорсуд в Определении от 18.10.2011 по делу N 33-33741. Разрешая спор и частично удовлетворяя исковые требования, суд обоснованно исходил из того, что обязанность доказать наличие законного основания увольнения и соблюдение установленного порядка увольнения возлагаются на работодателя. Работодатель не представил как доказательств того, что система B2B содержала конфиденциальную информацию, так и доказательств распространения истцом данных, составляющих коммерческую тайну.
Конечно, многие компании в суде не могут доказать свою правоту, поскольку в нормативно-правовой базе отсутствует конкретный перечень документов, которыми можно подтвердить убытки, связанные с незаконным раскрытием конфиденциальной информации. Кроме того, очень сложно оценить именно материальную составляющую, например, утечки информации о контрагентах или финансовых показателях, а также сам факт разглашения. Ведь разглашение может быть осуществлено как в письменной форме, так и в устной. В связи с этим многие компании вынуждены использовать такие методы наказания нерадивых работников, как дисциплинарные взыскания.
Однако иногда компании предпочитают не выносить сор из избы и расстаются с такими работниками по-хорошему. В подобных ситуациях предпочтительнее оформить увольнение по соглашению сторон, предусмотренному ст. 78 ТК РФ. Одно из существенных преимуществ заключается в том, что оспорить такое увольнение практически невозможно, поскольку наличествует взаимная договоренность сторон.
В заключение следует отметить, что от того, насколько четко компания определяет перечень конфиденциальных сведений, а также порядок их охраны, зависят целостность коммерческой тайны, защита интересов организации и возможность восстановления справедливости в суде.
Приложение
Пример перечня конфиденциальных данных Перечень сведений, отнесенных к конфиденциальной (служебной) информации в центральном аппарате Федерального агентства железнодорожного транспорта и подведомственных ему предприятиях и учреждениях, утв. Приказом Федерального агентства железнодорожного транспорта от 24.01.2011 N 18
| N п/п | Сведения, отнесенные к конфиденциальной (служебной) информации |
| I. Сведения об отраслевой управленческой деятельности | |
| 1 | Отдельные материалы заседаний Федерального агентства железнодорожного транспорта (далее - Росжелдора) и сведения, содержащиеся в них, ограничение доступа к которым установлено решением заседания ПДТК Росжелдора |
| 2 | Сведения (информация), подготовленные Росжелдором на поступающие из органов государственной власти, предприятий, учреждений и организаций, независимо от организационно-правовой формы и формы собственности с пометкой "Для служебного пользования", "Коммерческая тайна", "Конфиденциально" и другие в части, не содержащей сведений, составляющих государственную тайну |
| 3 | Сведения, содержащие показатели государственного оборонного заказа в части, не содержащей сведений, составляющих государственную тайну |
| 4 | Сведения, содержащиеся в материалах служебной проверки (расследования), до утверждения акта (заключения) по проверке, а также если сведения, полученные в результате проверки (расследования), могут быть использованы в дальнейшем для противоправного действия (нанесения ущерба) |
| 5 | Сведения об организации работы, о конкретных мерах или проводимых мероприятиях, направленных на обеспечение информационной безопасности при осуществлении международного сотрудничества с участием представителей Росжелдора, а также содержащиеся в подготовительных или отчетных документах (формах) о проведении встречи |
| II. Сведения об административно-хозяйственной деятельности | |
| 6 | Сведения о персональных данных работника Росжелдора, содержащиеся в личном деле работника, кроме случаев, предусмотренных законодательством Российской Федерации |
| 7 | Сведения, получаемые при приеме гражданина на государственную гражданскую службу, необходимые для оформления допуска к государственной тайне |
| 8 | Сведения об осведомленности работника со сведениями, составляющими государственную тайну |
| 9 | Протоколы заседаний конкурсных комиссий по проведению конкурсов на замещение вакантных должностей государственной гражданской службы |
| 10 | Акты проверок деятельности территориальных управлений и подведомственных организаций |
| 11 | Сведения о штатном расписании Росжелдора |
| 12 | Сведения о расположении структурных подразделений в здании |
| 13 | Протоколы заседаний жилищной комиссии |
| 14 | Протоколы заседаний конкурсной комиссии по проведению квалификационного экзамена и аттестации |
| III. Сведения о режиме секретности, мобилизационной подготовке, гражданской обороне, чрезвычайных ситуациях и транспортной безопасности |
|
| 15 | Акты проверок обеспечения пропускного режима в административное здание Росжелдора |
| 16 | Сведения о результатах оценки уязвимости объектов транспортной инфраструктуры и транспортных средств, кроме тех, обеспечение безопасности которых осуществляется исключительно федеральными органами исполнительной власти |
| 17 | Сведения, содержащиеся в планах обеспечения транспортной безопасности объекта транспортной инфраструктуры и транспортного средства |
| 18 | Сведения, являющиеся информационными ресурсами единой государственной информационной системы обеспечения транспортной безопасности, подготовленные Росжелдором, за исключением выписок из реестра категорированных объектов транспортной инфраструктуры и транспортных средств |
| IV. Сведения о защите информации | |
| 19 | Сведения об организации обработки служебной информации на средствах вычислительной техники Росжелдора |
| 20 | Сведения, раскрывающие организацию, состояние защиты информации, или носителей информации, или информационного процесса |
| 21 | Сведения о методах, средствах или эффективности (состоянии защиты) конфиденциальной информации в автоматизированных информационных системах, средствах вычислительной техники, других технических средствах |
| 22 | Обобщенные сведения, содержащиеся в схеме локальной вычислительной сети Росжелдора, с указанием организационно-технологических параметров или технических характеристик и мест расположения ее ответственных составных частей, информационных узлов (определены на схеме) |
| 23 | Сведения о конкретных проводимых и (или) планируемых мероприятиях по информационной безопасности конфиденциальной информации |
| V. Прочие сведения | |
| 24 | Сведения об организации, состоянии или расположении инженерных систем видеонаблюдения, пожарной или охранной сигнализации здания Росжелдора |
| 25 | Сведения, раскрывающие содержание планов и конкретных мероприятий по охране здания Росжелдора, помещений, в которых выполняются работы, хранятся материалы, ведутся переговоры конфиденциального характера |
| 26 | Данные охранного видеонаблюдения, фиксации системы охраны помещений, электронной системы прохода в здание |
