Защита конфиденциальной информации

В результате изучения главы студент должен:

знать

• • существующую в нашей стране систему защиты конфиденциальной информации;
• • взаимные права и обязанности субъектов права в области защиты конфиденциальной информации;

уметь

• распознавать виды конфиденциальной информации (коммерческая, налоговая, банковская, служебная тайна) и особенности их защиты;

владеть

• основными методами защиты информации в зависимости от ее особенностей.

Система защиты конфиденциальной информации в Российской Федерации

В современных условиях развития рыночных отношений все большую значимость приобретают вопросы защиты конфиденциальной информации. Однако существующие нормативные акты правового регулирования в сфере защиты информации требуют дальнейшей разработки, а поэтому создают определенные сложности для компаний, которые стремятся создать собственную систему защиты конфиденциальной информации.

Данные специализированных изданий показывают, что российские государственные и коммерческие компании осознают всю тяжесть отрицательных последствий разглашения конфиденциальной информации. Среди них: прямые финансовые убытки (46%), удар по репутации (42,3%) и потеря клиентов (36,9%). По мнению специалистов, утрата 20% данных, которые составляют коммерческую тайну, в 60% случаев может привести к банкротству компании. В случае же утраты конфиденциальной информации в результате шпионажа конкурентов составляют 30% от ущерба в мировой банковской системе.

В нашей стране конфиденциальной считается информация ограниченного доступа, признанная таковой в соответствии с законодательством, разглашение (утечка) которой может нанести ущерб охраняемым интересам личности, предприятия (организации), общества или государства. К такой информации относятся сведения, являющиеся персональными данными, коммерческой (банковской) и налоговой, служебной и государственной тайной.

Также законодательно определены сведения, которые не могут быть отнесены к конфиденциальным. Как следует из рис. 22.1, только физические лица на правах собственности обладают персональными данными, могут также обладать сведениями, составляющими банковскую и налоговую тайну, в части, их касающейся. Учреждения и организации, вне зависимости от формы собственности и организационной структуры, являются правообладателями сведений, составляющих банковскую, коммерческую, налоговую и служебную тайну.

Рис. 22.1. Виды конфиденциальной информации:

У — учреждения; П — предприятия; Г — государство Такими же правами обладают и предприятия, вне зависимости от формы собственности и организационно-правовой формы. Специальными субъектами, обязанными обеспечивать сохранность налоговой тайны, являются налоговые и правоохранительные органы. Сведения, составляющие государственную тайну, относятся к исключительной компетенции государства.

Действующим законодательством определены полномочия физических и юридических лиц по правилам допуска к сведениям и работы со сведениями, правообладателями которых они не являются. Все эти данные отнесены к информации, защита которой осуществляется на основании и в соответствии с нормами права.

В российском законодательстве определены содержание конфиденциальной информации, нормативные акты, регулирующие работу с ней, а также виды ответственности за ее разглашение. В определенном смысле совокупность вышеперечисленных сведений образует вербальную модель системы защиты конфиденциальной информации в Российской Федерации, которой необходимо руководствоваться при организации системы защиты информации на предприятии. При этом крайне важно использовать принципы системного подхода, максимально учитывая все виды конфиденциальной информации. Создание и внедрение такой системы будет подразумевать реализацию ряда ограничений — так называемых режимных мер, принимаемых владельцем информации.

Вопросы практики Комплекс таких мер должен как минимум включать следующие виды мероприятий:

• • комплексную организацию мероприятий для определения порядка доступа сотрудников компании к защищаемой информации и меры ответственности при ее утере (разглашении);
• • техническую защиту и оборудование помещений для работы с данными, доступ к которым может иметь лишь ограниченный круг лиц;
• • организацию специального делопроизводства;
• • защиту данных, которые обрабатываются техническими средствами, представленными в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, оптико-магнитной и иной основе.

Защита данных, которые обрабатываются техническими средствами, определяется нормативно-методическим документом «Специальные требования и рекомендации по технической защите конфиденциальной информации», который утвержден в установленном порядке. Его требования носят лишь рекомендательный характер при проведении работ по защите негосударственных информационных ресурсов, которые составляют коммерческую, банковскую тайну и т. д. В данном документе рассмотрена система защиты данных только применительно к техническим каналам утечки конфиденциальной информации. При этом подчеркивается необходимость разработки соответствующей разрешительной системы доступа сотрудников к сведениям ограниченного доступа.

Вопросы практики Разработанное в компании положение о защите конфиденциальной информации позволит организовать систему мер по защите информации, не подлежащей разглашению. В положении должны быть определены принципы формирования перечня сведений, которые содержат конфиденциальную информацию компании. Данный перечень составляется специалистами всех подразделений предприятия с привлечением юристов и специалистов по защите информации и режимным мерам.

В положении о защите конфиденциальной информации должны определяться порядок допуска должностных лиц к конфиденциальным данным и их обязанности, порядок проведения совещаний по вопросам, которые содержат конфиденциальную информацию, порядок присвоения грифа конфиденциальности, требования к помещениям, которые предназначены для работы с носителями конфиденциальной информации. Статья 10 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» (далее — Закон о коммерческой тайне) также рекомендует закрепить в данном положении следующие меры по обеспечению конфиденциальности данных: • регулирование отношений по использованию информации, которые составляют коммерческую тайну, сотрудниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;

• нанесение на материальные носители, которые содержат данные, относящиеся к коммерческой тайне, соответствующего грифа с указанием обладателя этих данных (для юридических лиц следует указывать полное наименование и адрес, для индивидуальных предпринимателей — фамилию, имя, отчество гражданина и его место жительства).

Система защиты конфиденциальных данных в компании всегда должна строиться исходя из реальных и потенциальных угроз, так же как и в других областях обеспечения корпоративной безопасности.