Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Основы планирования информационной безопасности. Оценка активов организации. Ч.1. Учебное пособие
.pdf
51
исключительное право. Первичными, неотчуждаемыми, неимущественными, то есть принадлежащими только автору, являются авторские права,
в частности право авторства, право автора на имя и др. (абз. 2 ч. 2 ст. 1228
ГК РФ) [47].
Таким образом, авторские права в силу своей правовой природы, а
именно их неотчуждаемости, неотделимости схожи с персональными данными, при этом следует учитывать, что не все граждане, задействованные
в создании такого объекта, являются авторами. Авторами не признаются
граждане, не внесшие личного творческого вклада в создание такого результата, в том числе оказавшие его автору только техническое, консультационное, организационное или материальное содействие или помощь либо
только способствовавшие оформлению прав на такой результат или его использованию, а также граждане, осуществлявшие контроль за выполнением соответствующих работ (ч. 1 ст. 1228 ГК РФ) [47]. Вместе с тем, если
названные лица входят в состав документально оформленного авторского
коллектива, – они являются авторами. Оспорить их авторство можно в судебном порядке на основании ч. 1 ст. 1228 ГК РФ [47].
Объектами авторских прав являются произведения науки, литера-
туры и искусства независимо от достоинств и назначения произведения, а
также от способа его выражения (ч. 1 ст. 1259 ГК РФ) [47].
В целях деятельности организации (в рамках реализации исключительного права) сведения о результатах интеллектуальной деятельности,
как правило, обрабатываются и защищаются в режиме коммерческой
тайны, после реализации мер по защите прав авторов.
Персональные данные – любая информация, относящаяся к прямо
или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 № 152-ФЗ) [21].
Информационная система персональных данных – совокупность
содержащихся в базах данных персональных данных и обеспечивающих их
обработку информационных технологий и технических средств (п. 10 ст. 3
№ 152-ФЗ) [21].
В целях выполнения требования о невозможности объединения баз
данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой (ч. 3 ст. 5 № 152-ФЗ) [21], каж-
дая категория персональных данных обрабатывается в соответствующей
ИС, которые приведены в ПП РФ № 1119 (п. 5) [20]:
- информационная система является информационной системой, обра-
батывающей специальные категории персональных данных, если в ней обрабатываются персональные данные, касающиеся расовой, национальной
принадлежности, политических взглядов, религиозных или философских
убеждений, состояния здоровья, интимной жизни субъектов персональных
данных;
1) информационная система является информационной системой, об-
рабатывающей биометрические персональные данные, если в ней
52
обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления
личности субъекта персональных данных, и не обрабатываются сведения,
относящиеся к специальным категориям персональных данных;
2) информационная система является информационной системой, об-
рабатывающей общедоступные персональные данные, если в ней обрабатываются персональные данные субъектов персональных данных, полученные только из общедоступных источников персональных данных, созданных в соответствии со статьей 8 Федерального закона «О персональных
данных»;
3) информационная система является информационной системой, об-
рабатывающей иные категории персональных данных, если в ней не обрабатываются персональные данные, указанные в п.п. 1-2 ПП РФ
№ 1119 [20];
4) информационная система является информационной системой, об-
рабатывающей персональные данные сотрудников оператора, если в ней
обрабатываются персональные данные только указанных сотрудников. В
остальных случаях информационная система персональных данных является информационной системой, обрабатывающей персональные данные
субъектов персональных данных, не являющихся сотрудниками оператора.
Следует отметить, что информационные системы условно разделяются на те группы, которые имеют значение для установления организационных мер ОИБ и в рамках становления технических мер обеспечения информационной безопасности.
Для точности результатов инвентаризации необходимо четко и правильно классифицировать информационные системы. При этом классификация, конечно же, не самоцель. Главное – далее установить нормативноправовые акты или их отдельные положения, которые вносят существенные коррективы в отношении ИБ.
В процессе инвентаризации оцениваемого объекта необходимо установить каждый из элементов независимо от его значимости. Для того
чтобы правильно их оценить, следует в процессе учета разделить элементы ИС на однородные группы.
Основой информационной системы является ее организационная
структура. Так как управление является деятельностью субъекта в отношении управляемого объекта, которым также является субъект, персонал рассматриваться как первичный элемент информационной системы.
Далее рассматривается информация, которая является не только элементом ИС, но и целью и предметом защиты. Именно от вида, категории
информации зависят принципы и подходы правового регулирования, а
также базовый состав организационных и технических мер, применяемых
для ее защиты.
53
4.2 Информация как предмет защиты
Информация – сведения (сообщения, данные) независимо от формы
их представления [16].
Согласно методике оценки угроз безопасности информации возникновение УБИ может привести к нарушению безопасности, обрабатываемой в
системах и сетях информации или средств ее обработки, то есть к нарушению ее следующих свойств [4]:
- конфиденциальности;
- целостности;
- доступности;
- неотказуемости;
- подотчетности;
- аутентичности;
- достоверности.
Свойства информации зависят от ее вида. Ранее, в главе 4.1, рассматривались свойства документированной информации. Основным свойством
информации ограниченного доступа является ее конфиденциальность, общедоступной информации – доступность. Для информации, обрабатываемой в государственных информационных системах, важным свойством является аутентичность. Достоверностью и целостностью должна обладать
любая информация.
Информация является одним из наиболее важных, ценных активов организации. Информация как актив должна быть узнаваемой, что обеспечивается системой ее маркирования, например, уровнем секретности, а также
обладать свойством подотчётности. Учёт информации обеспечивается
наличием необходимых для нее реквизитов.
Информационный актив – это данные с реквизитами, которые позволяют провести идентификацию, имеют ценность для определенной организации и находятся в ее распоряжении, представлены на любом материальном носителе в форме, которая позволяет обрабатывать ее, хранить или
передавать.
Рисунок 15 – Основания общедоступности информации
54
Таким образом, предварительно можем разделить информацию на две
группы:
- общедоступная информация, основания общедоступности информа-
ции представлены на рисунке 15;
- информация ограниченного доступа – информация, доступ к которой
ограничен или законом, или ее обладателем в соответствии с законом.
К общедоступной информации относятся общеизвестные сведения и
иная информация, доступ к которой не ограничен (ч. 1 ст. 7 № 149-ФЗ) [16].
Общедоступной по закону, главным образом, является информация,
которая представляет общественную ценность или имеет непосредственное влияние на реализацию прав и законных интересов граждан, например:
- положения нормативно-правовых актов до вступления в действие;
- порядок определения платы для физических и юридических лиц за
услуги, относящиеся к основным видам деятельности федеральных государственных бюджетных учреждений;
- правила продажи товаров и оказания услуг;
- полная информации о целях, методах оказания медицинской по-
мощи, связанном с ними риске, возможных вариантах медицинского вмешательства, о его последствиях, а также о предполагаемых результатах оказания медицинской помощи (п. 1 ст. 29) [45];
- информация о планах и итогах внешней контрольной деятельности;
- сведения, содержащиеся в учредительных документах юридического
лица, документах, подтверждающих факт внесения записей о юридических
лицах и об индивидуальных предпринимателях в соответствующие государственные реестры [47];
- сведения о состоянии противопожарной безопасности, санитарной
эпидемиологической и радиационной обстановке, безопасности пищевых
продуктов и других факторах, оказывающих негативное воздействие на
обеспечение безопасного функционирования производственных объектов,
безопасности каждого отдельного гражданина и безопасности населения
страны в целом [47];
- сведения о численности, о составе работников, о системе оплаты
труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости и о наличии свободных рабочих мест [72];
- информация о состоянии окружающей среды, здравоохранения, са-
нитарии, демографии, образования, культуры, сельского хозяйства, а также
о состоянии преступности [46];
- сведения об условиях конкурсов или аукционов по приватизации
объектов государственной или муниципальной собственности [41];
- сведения о нарушениях законодательства Российской Федерации и
фактах привлечения к ответственности за совершение установленных нару-
шений [46];
55
- сведения о задолженности работодателей по выплате заработной
платы и социальным выплатам [41];
- сведения о чрезвычайных происшествиях и катастрофах, угрожаю-
щих безопасности и здоровью граждан, и их последствиях, а также о стихийных бедствиях, их официальных прогнозах и последствиях [46];
- сведения о привилегиях, компенсациях и социальных гарантиях,
предоставляемых государством гражданам, должностным лицам, предприятиям, учреждениям и организациям [46];
- сведения о состоянии здоровья высших должностных лиц Российской Федерации [46] и др.
Таким образом, отраслевые законодательные акты должны содержать
положения о видах информации, которая в обязательном порядке должна
быть предоставлена гражданам, и способах ее предоставления, например,
на сайте или на стенде непосредственно в органе власти или др.
Общедоступная информация доводится до граждан посредством рас-
пространения и предоставления.
Предоставление информации – действия, направленные на получе-
ние информации определенным кругом лиц или передачу информации
определенному кругу лиц (ч. 8 п. 2 ст. 2 № 149-ФЗ) [16].
Распространение информации – действия, направленные на получе-
ние информации неопределенным кругом лиц или передачу информации
неопределенному кругу лиц (ч. 9 п. 2 ст. 2 № 149-ФЗ) [16].
Ограничивается доступ к информации федеральными законами в
связи с ее частным характером или особой важностью для безопасности
государства, например:
- персональные данные (№ 152-ФЗ) [21];
- коммерческая тайна (№ 98-ФЗ) [41];
- информация об объектах интеллектуальной собственности (№ 51-
ФЗ) [47];
- служебная тайна (акты, регламентирующие деятельность органов
власти);
- государственная тайна (закон РФ № 5485-1) [46].
Конфиденциальность является свойством информации, которое сопряжено с ограничением доступа. Основанием для ограничения доступа к
информации является федеральный закон. Решение об ограничении доступа к информации частного характера принимает ее владелец или обладатель. Данное решение должно выполняться оператором – лицом, которому такая информация передается для выполнения поставленных задач.
При этом владельцу информации следует учитывать, что, если обязательность ограничения доступа к информации определённого вида не установлена федеральным законом, она непременно должная быть формализирована соответствующим актом (договором, обязательством о неразглашении). Напротив, если федеральным законом установлена конфиденциальность информации, снятие ограничения доступа к ней возможно только в
соответствии с формализованным основанием (согласие субъекта персональных данных на размещение его ПДн в общедоступных источниках).
Конфиденциальность информации – обязательное для выполнения
лицом, получившим доступ к определенной информации, требование не
передавать такую информацию третьим лицам без согласия ее обладателя
(ч. 7 п. 2 ст. 2 № 149-ФЗ) [16].
Конфиденциальные сведения – сведения, для которых установлен
специальный режим сбора, хранения, обработки, распространения и использования, доступ к которым ограничен в соответствии с федеральным
законом [16] (за исключением сведений, составляющих государственную
тайну в соответствии с федеральными законами и указами Президента
РФ) [44]. Локально в публичной сфере доступ к информации ограничивается требованиями, установленными Правительством РФ, а в частноправовой – требованиями, которые на основании закона устанавливает владелец
информации. Рассмотрим разделение информации на виды в зависимости
от сферы ее регулирования, представленные на рисунке 16.
с.
Рисунок 16 – Конфиденциальная информация в сферах права
В контексте представленного рисунка 16 следует отдельно пояснить:
почему профессиональная тайна регулируется в рамках и частного права, и
публичного. Наиболее простым может быть способ разделения по принадлежности к видам деятельности или к правовой сфере: органы государственной власти – служебная тайна, друга деятельность, в том числе и экономическая – профессиональная тайна. Но он не соответствует нормативному подходу, что является обязательным для придания юридической силы
предпринимаемым действиям.
Одним из основных документов, на основании которого на локальном
уровне можно судить о конфиденциальности той или иной информации,
является Перечень сведений конфиденциального характера. Очевидно, что
он не может быть произвольным в силу разнообразия информации. Формировать данный перечень от обратного, исходя из содержания сведений, доступ к которым не может быть ограничен в соответствии с законом, также
довольно непростая задача и чревата ошибками. Поэтому существует акт,
56
57
который позволяет организациям однозначно определиться с потенциальной конфиденциальностью их информационных активов – это Указ Президента РФ от 06.03.1997 № 188 «Об утверждении перечня сведений конфиденциального характера» [43].
В Указе приводится семь групп сведений конфиденциального характера. К третьей группе относятся «служебные сведения, доступ к которым
ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна)» [47]. Вместе с тем, в пункте 2 приводятся сведения, которые
также используются в публичной сфере, но не обозначаются как служебная
тайна: «сведения, составляющие тайну следствия и судопроизводства, сведения о лицах, в отношении которых в соответствии с федеральными законами от 20 апреля 1995 г. N 45-ФЗ «О государственной защите судей,
должностных лиц правоохранительных и контролирующих органов» и от
20.08.2004 № 119-ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства», другими нормативными правовыми актами Российской Федерации принято решение о применении мер государственной защиты, а также сведения о мерах государственной защиты указанных лиц, если законодательством Российской Федерации такие сведения не отнесены к сведениям, составляющим государственную тайну» [43]. Из сказанного выше следует вывод, что основанием
для отнесения сведений к той или иной конфиденциальной информации является Указ Президента РФ. Вспомогательным инструментом являются
установленные законом перечни сведений, доступ к которым не может
ограничиваться. Следует отметить, что вспомогательным не означает не
важным, поскольку, например, при формировании перечня сведений, составляющих коммерческую тайну, очень важно не включить в него потенциально открытую информацию. В данном случае составленный «ошибочно» перечень не будет иметь юридической значимости, а следовательно, и все принятые в рамках режима конфиденциальности меры. Таким
образом, обладатель коммерческой тайны может быть уверен, что ценой
масштабных усилий и солидных вложений, его собственность надежно защищена. Но может оказаться, что вследствие одной «незначительной»
ошибки режим КТ отсутствует, соответственно, надлежащая судебная защита его прав невозможна.
Таким образом, формирование и утверждение перечня сведений конфиденциального характера является первичной мерой по установлению режима конфиденциальности информации в организации. Приведем некоторые аспекты, которые опосредуют разработку перечня конфиденциальной
информации и персональных данных, в частности [51]:
- информация ограниченного доступа (по ее видам) размещается в базах данных, в соответствии с применяемым к ней режимом конфиденциальности по аналогии с требованием к персональным данным по созданию
ИСПДн по категориям обрабатываемых данных;
58
- формирование баз данных, исходя из целей обработки информации
(видов и категорий информации);
- разделение информации по категориям для дальнейшего ее размеще-
ния в ИСПДн;
- субъектный состав пользователей (операторов);
- субъектный состав ПДн;
- правовое основание обработки ПДн;
- взаимодействие с другими системами (ГИС, МИС и др.);
- сроки обработки и хранения ПДн и их носителей;
- порядок уничтожения при достижении целей обработки или при
наступлении иных законных оснований;
- правила работы с обезличенными данными;
- перечень ПДн, обрабатываемых в связи с реализацией трудовых от-
ношений.
В связи с тем, что требования к обеспечению безопасности варьиру-
ются в зависимости от вида информации, соответственно, следует утверждать отдельные Перечни. Негосударственные организации в тех случаях,
когда защита информации не является обязательной по закону, могут использовать различные практики, методики, правила, разработанные для
персональных данных и др.
Далее рассмотрим некоторые аспекты организации защиты отдельных
видов информации.
4.2.1 Объекты авторских прав
Рассмотрим отдельные существенные аспекты защиты информации в
зависимости от ее разновидности – «6. Сведения о сущности изобретения,
полезной модели или промышленного образца до официальной публикации информации о них» [47].
В контексте результатов интеллектуальной деятельности, их создания
и использования в рамках трудовых отношений или экономической деятельности следует уделить внимание защите исключительного права, поскольку авторское право, являясь неотчуждаемым, принадлежит создателю
объекта, как и обязательства по его защите.
Результат интеллектуальной деятельности, осуществляемой в рамках
трудовых отношений, может рассматриваться в качестве служебного произведения (ст. 1295 ГК РФ) [47]. Правовой характер служебного произведения отличается от других объектов авторских прав. Авторские и производное им исключительное право изначально принадлежит автору и отчуждается по воле автора. Напротив, в контексте служебного произведения в
соответствии с частью 2 статьи 1295 ГК РФ исключительное право на служебное произведение принадлежит работодателю. Чтобы изменить обладателя такого информационного актива, необходимо предусмотреть соответствующие условия в трудовом или гражданско-правовом договоре между
59
работодателем и автором [47]. И только в случае, если работодатель в течение трех лет со дня, когда служебное произведение было предоставлено
в его распоряжение, не начнет его использование, не передаст исключительное право на него другому лицу или не сообщит автору о сохранении
произведения в тайне, исключительное право на служебное произведение
вернется автору. При этом время для извлечение автором материальной выгоды будет утрачено.
Если в соответствии с договором исключительное право на служебное
произведение принадлежит его автору, правовым основанием для его использования работодателем является простая (неисключительная) лицензия, а вопросы использования регулируются договором между автором и
работодателем или по суду (ч. 3 ст. 1295 ГК РФ) [47].
Право на обнародование служебного произведения принадлежит ра-
ботодателю. Если автора такое условие не устраивает, он должен его учесть
в договоре. Право на имя в отношении служебного произведения также
принадлежит работодателю, а остальное решается в договорном порядке
(ч. 4 ст. 1295 ГК РФ) [47].
Сложность гражданско-правовых споров в суде указывает на необхо-
димость в полной мере предусмотреть все возможные нюансы на стадии
оформления соответствующих отношений, чтобы не доводить их до суда.
Таким образом, первичной мерой в процессе обеспечение защиты ре-
зультатов интеллектуальной деятельности является оформление передачи
прав обладания и других авторских прав, при необходимости.
Организация обеспечивает защиту результатов интеллектуальной дея-
тельности, как правило, в режиме коммерческой тайны. Так как коммерческая тайна является не информацией, а режимом конфиденциальности, первичной мерой по защите такого актива является ограничения доступа (обеспечение неизвестности третьим лицам).
Доступ к информации, составляющей коммерческую тайну, –
ознакомление определенных лиц с информацией, составляющей коммерческую тайну, с согласия ее обладателя или на ином законном основании при
условии сохранения конфиденциальности этой информации ознакомление
определенных лиц с информацией, составляющей коммерческую тайну, с
согласия ее обладателя или на ином законном основании при условии сохранения конфиденциальности этой информации (п. 3 ст. 3 № 98-ФЗ) [41].
Ограничению подлежит не только доступ к информации, но и любые
другие предусмотренные законом действия.
Передача информации, составляющей коммерческую тайну, – пе-
редача информации, составляющей коммерческую тайну и зафиксированной на материальном носителе, ее обладателем контрагенту на основании
договора в объеме и на условиях, которые предусмотрены договором,
включая условие о принятии контрагентом установленных договором мер
по охране ее конфиденциальности (п. 6 ст. 3 № 98-ФЗ) [41].
60
Предоставление информации, составляющей коммерческую
тайну, – передача информации, составляющей коммерческую тайну и за-
фиксированной на материальном носителе, ее обладателем органам государственной власти, иным государственным органам, органам местного самоуправления в целях выполнения их функций (п. 8 ст. 3 № 98-ФЗ) [41].
Разглашение информации, составляющей коммерческую тайну, –
действие или бездействие, в результате которых информация, составляющая коммерческую тайну, в любой возможной форме (устной, письменной,
иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации
либо вопреки трудовому или гражданско-правовому договору (п. 9 ст. 3
№ 98-ФЗ) [41].
4.2.2 Коммерческая тайна
Далее рассмотрим отдельные условия, необходимые при организации
режима конфиденциальности сведений, обладающих коммерческой ценностью – «5. Сведения, связанные с коммерческой деятельностью, доступ к
которым ограничен в соответствии с Гражданским кодексом Российской
Федерации и федеральными законами (коммерческая тайна)» [47].
Коммерческой тайной является секрет производства (ноу-хау) (ст.1465
ГК РФ).
Секретом производства (ноу-хау) признаются сведения любого ха-
рактера (производственные, технические, экономические, организационные и другие) о результатах интеллектуальной деятельности в научно-технической сфере и о способах осуществления профессиональной деятельности, имеющие действительную или потенциальную коммерческую ценность вследствие неизвестности их третьим лицам, если к таким сведениям
у третьих лиц нет свободного доступа на законном основании и обладатель
таких сведений принимает разумные меры для соблюдения их конфиденциальности, в том числе путем введения режима коммерческой тайны. Секретом производства не могут быть признаны сведения, обязательность раскрытия которых либо недопустимость ограничения доступа к которым
установлена законом или иным правовым актом [47].
Поскольку ноу-хау является результатом интеллектуальной деятель-
ности, его оборот в рамках экономической деятельности следует рассматривать в контексте реализации исключительного права. Такое право принадлежит обладателю информации, а его правовая природа соответствует
режиму КТ, то есть опосредуется неизвестностью и недоступностью такой
информации третьим лицам. Передача исключительного права осуществляется на основании договора. Право использования секрета производства
реализуется посредством лицензионного договора, который включает обязанность правообладателя сохранять конфиденциальность информации
(ст. 1469 ГК РФ) [47]. Если секрет производства создается в процессе
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]