43 Определение круга лиц, имеющих доступ к коммерческой тайне

Еще один принцип связан с определением круга лиц, имеющих доступ к информации, составляющей коммерческую тайну. Выделяются две группы работников:

- во-первых, те, кому доступ к коммерческой тайне необходим для выполнения ими своих трудовых обязанностей;

- во-вторых, те, чей доступ к информации, составляющей коммерческую тайну, не предусмотрен их трудовыми обязанностями.

По-видимому, в организации должен существовать перечень должностей работников, имеющих доступ к коммерческой тайне, с учетом:

- их трудовой функции и

- сведений, необходимых для ее осуществления.

Заключая трудовой договор, такой работник принимает на себя добровольное обязательство сохранять коммерческую тайну.

ЗАКОН РЕСПУБЛИКИ БЕЛАРУСЬ О коммерческой тайне

Статья 11. Право доступа к коммерческой тайне

Доступ к коммерческой тайне предоставляется с согласия ее владельца за исключением случаев, названных в части второй настоящей статьи.

В случаях и пределах, предусмотренных настоящим Законом и иными законодательными актами, доступ к коммерческой тайне предоставляется по требованию:

суда – по находящимся в его производстве уголовным и гражданским делам, делам, отнесенным к подведомственности хозяйственного суда, и делам об административных правонарушениях, а также по находящимся у него на исполнении исполнительным документам;

прокурора или его заместителя;

органов внутренних дел Республики Беларусь;

органов дознания и предварительного следствия – по находящимся в их производстве материалам и уголовным делам;

органов Комитета государственного контроля Республики Беларусь;

органов государственной безопасности Республики Беларусь;

налоговых и таможенных органов;

антимонопольных органов;

иных лиц в случаях, определенных законодательными актами.

Предоставление доступа к коммерческой тайне в соответствии с частью второй настоящей статьи осуществляется на безвозмездной основе.

Требование о предоставлении доступа к коммерческой тайне должно быть оформлено в письменной форме, подписано уполномоченным лицом, содержать цель и правовое основание для ознакомления со сведениями, составляющими коммерческую тайну, если иное не установлено законодательными актами.

При требовании предоставления доступа к коммерческой тайне у лица, не являющегося ее владельцем, такое лицо, если иное не предусмотрено законодательными актами, вправе отказать в предоставлении составляющих ее сведений, ограничившись информацией о том, кто является владельцем коммерческой тайны.

Невыполнение требований государственных органов, а также иных лиц, указанных в части второй настоящей статьи, о предоставлении им сведений, составляющих коммерческую тайну, а равно воспрепятствование действиям этих государственных органов и иных лиц по получению доступа к сведениям, составляющим коммерческую тайну, влечет за собой ответственность в соответствии с законодательными актами.

44 Оценка опасности разглашения конфиденциальной информации работниками организации

Оценка рисков информационной безопасности

Требования к информационной безопасности определяются с помощью систематической оценки рисков. Решения о расходах на мероприятия по управлению информационной безопасностью должны приниматься, исходя из возможного ущерба, нанесенного бизнесу в результате нарушений информационной безопасности. Методы оценки риска могут применяться как для всей организации, так и для какой либо ее части, отдельных информационных систем, определенных компонентов систем или услуг, а

именно там, где это практически выполнимо и целесообразно.

Оценка риска — это систематический анализ:

- вероятного ущерба, наносимого бизнесу в результате нарушений информационной безопасности с учетом возможных последствий от потери конфиденциальности, целостности или доступности информации и других активов;

- вероятности наступления такого нарушения с учетом существующих угроз и уязвимостей, а также внедренных мероприятий по управлению информационной безопасностью.

Результаты этой оценки помогут в определении конкретных мер и приоритетов в области управления рисками, связанными с информационной безопасностью, а также внедрению мероприятий по управлению информационной безопасностью с целью минимизации этих рисков.

Может потребоваться неоднократное проведение оценки рисков и выбора мероприятий по управлению информационной безопасностью для того, чтобы охватить различные подразделения организации или отдельные информационные системы.

Важно периодически проводить анализ рисков в области информационной безопасности и внедренных мероприятий по управлению информационной безопасностью для того, чтобы учесть:

- изменения требований и приоритетов бизнеса;

- появление новых угроз и уязвимостей;

- снижение эффективности существующих мероприятий по управлению информационной безопасностью.

Уровень детализации такого анализа следует определять в зависимости от результатов предыдущих проверок и изменяющегося уровня приемлемого риска. Оценка рисков обычно проводится сначала на верхнем уровне, при этом ресурсы направляются в области наибольшего риска, а затем на более детальном уровне, что позволяет рассмотреть специфические риски,