Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Основы планирования информационной безопасности. Оценка активов организации. Ч.1. Учебное пособие
.pdf
61
трудовых отношений – служебный секрет производства, право на его использование принадлежит работодателю. В рамках гражданско-правовых
отношений принадлежность, объем прав и порядок их реализации регулируется договором.
По данным экспертов системы «Гарант», к коммерческой тайне могут
быть отнесены следующие сведения [54]:
- конфиденциальность условий договора инвестиционного товарищества (№ 98-ФЗ, ст. 12 ФЗ РФ от 28.11. 2011 № 335 «Об инвестиционном товариществе»);
- секрет производства (ноу-хау) (ст. 1465 ГК РФ);
- информация о содержании корпоративного договора, заключенного
участниками непубличного общества (п. 4 ст. 67.2 ГК РФ);
- информация о новых решениях и технических знаниях, полученных
сторонами по договору подряда (ст. 727 ГК РФ);
- сведения, касающиеся договоров на выполнение научно-исследова-
тельских работ, опытно-конструкторских и технологических работ (ст.
771 ГК РФ);
- сведения, предоставляемые участниками торгов в соответствии с
правилами организованных торгов (ст. 23 ФЗ РФ от 21.11.2011 № 325-ФЗ
«Об организованных торгах»);
- сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них (п. 6 Указа
Президента РФ от 06.05.1997 № 188 «Об утверждении перечня сведений
конфиденциального характера»);
- информация, содержащаяся в Федеральной государственной информационной системе учета твердых коммунальных отходов (п. 9 ст. 13.5 ФЗ
РФ от 24.06.1998 № 89-ФЗ «Об отходах производства и потребления»).
Отнесение сведений к коммерческой тайне осуществляется обладате-
лем такой информации. В случае если оператор, осуществляющий обработку КТ, и обладатель являются разными лицами, ответственность за принятие решения о введении режима коммерческой тайны и осуществлении
соответствующего контроля возлагается на обладателя информации (ч. 1
ст. 4 № 98-ФЗ) [41. При отнесении сведений к КТ следует учитывать перечень сведений, которые не могут составлять КТ (ст. 5 № 98-ФЗ) [41]. Наличие таких данных в перечне конфиденциальных сведений делает его недействительным (утрачивается способность соответствовать назначению), а
также все далее предпринимаемые меры по установлению режима конфиденциальности.
При установлении, формализации (документальном оформлении) режима коммерческой тайны не существует ничего не важного или очевидного. Пренебрежение кажущейся мелочью может привести к недействительности режима КТ в целом. Поэтому многие положения должны дублироваться в различных документах (не искажаться, не заменяться
62
синонимами), как, например, название сведений, составляющих КТ, полномочия, ответственность и др.
Осуществление учета лиц, получивших доступ к информации, составляющей коммерческую тайну, которым такая информация была предоставлена или передана (п. 3 ч. 1 ст. 10 № 98-ФЗ) [41], а также формализация
взаимодействия в рамках использования КТ (договоры). В процессе учета
лиц могут быть приняты следующие документы:
- перечень структурных подразделений и работников организации, допущенных к обработке КТ, с указанием КТ, доступ к которым разрешен для
выполнения функциональных обязанностей [51];
- перечень работников, получивших доступ к КТ;
- согласие работника (фиксация в трудовом договоре) на работу с ком-
мерческой тайной (ч. 2 ст. 11 № 98-ФЗ) [41];
- «трудовым договором с руководителем организации должны преду-
сматриваться его обязанности по обеспечению охраны конфиденциальности, составляющей коммерческую тайну информации, обладателем которой являются организация и ее контрагенты, и ответственность за обеспечение охраны конфиденциальности этой информации» (ч. 6 ст. 11 № 98-
ФЗ) [41];
- порядок доступа в помещения, где осуществляется обработка
КТ [51];
- инструкция пользователя и администратора информационных систем организации, в том числе содержащая порядок антивирусной защиты,
порядок парольной защиты, а также работы с информацией конфиденциального характера [51];
- ведение журнала ознакомления работника с КТ;
- ведение журнала учета пользования документами, содержание кото-
рых составляет коммерческую тайну (сведениями о выдаваемых документах, даты выдачи и возврата, номер и дата разрешения за подписью руководителя организации или его заместителя по ИБ на выдачу документов
лицам, не поименованным в перечне учета) [54];
- проведение и учет обучения сотрудников;
- документально зафиксированное (расписка (п. 2 ч. 1 ст. 11 № 98-
ФЗ) [41]) извещение работника о том, что информация, ему переданная, является КТ, ознакомление с установленным работодателем режимом коммерческой тайны и мерами ответственности за его нарушения [54].
Учет материальных носителей информации (документальных), составляющей КТ, предполагает применение грифа «Коммерческая тайна»
(п. 5 ч. 1 ст. 10 № 98-ФЗ) [41]. Использование грифа осуществляется в соответствии с ГОСТ Р 7.0.97-2016. Национальный стандарт Российской Федерации. «Система стандартов по информации, библиотечному и издательскому делу. Организационно-распорядительная документация. Требования
к оформлению документов» [55].
63
Таким образом, начало действия режима КТ обуславливается установлением обладателя информации, определением его статуса и установлением им режима конфиденциальности, то есть принятием мер по ограничению доступа. Режим КТ предусматривает:
- утверждение перечня информации, определяемой как коммерческая
тайна;
- установление порядка обращения с информацией и контроля за его
осуществлением;
- учет лиц, получивших доступ к информации, регулирование отноше-
ний по использованию информации, составляющей коммерческую тайну,
работниками на основании трудовых договоров, гражданско-правовых договоров с контрагентами, нанесение на материальные носители конфиденциальной информации, или включение в состав реквизитов документов, содержащих такую информацию, грифа «Коммерческая тайна» с указанием
обладателя такой информации [54].
Защита коммерческой тайны является задачей ее владельца (частного собственника). Статус КТ и эффективность мер по защите во многом обуславливаются должным образом отрегулированными, формализованными отношениями в рамках делегирования, разделения полномочий по
защите коммерческой тайны.
4.2.3 Служебная тайна
Далее рассмотрим особенности режима конфиденциальности, применяемого в отношении служебной информации – «3. Служебные сведения,
доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна)» [47].
Примерный состав сведений, составляющих служебную тайну, разработан экспертами компании «Гарант» и включает следующие виды информации [54]:
- сведения, содержащиеся в личном деле и документах учета сотруд-
ника Федеральной противопожарной службы (ч. 5 ст. 39 ФЗ РФ от
23.05.2016. N 141 «О службе в Федеральной противопожарной службе Государственной противопожарной службы и внесении изменений в отдельные законодательные акты Российской Федерации»;
- сведения, содержащиеся в личных делах осужденных, а также сведе-
ния о принудительном исполнении судебных актов, актов других органов
и должностных лиц (п. 7 Указа Президента РФ от 06.05.1997 № 188 «Об
утверждении перечня сведений конфиденциального характера»);
- сведения о несовершеннолетних, ставшие известными органам и
учреждениям системы профилактики безнадзорности и правонарушений
несовершеннолетних (п. 3 ст. 9 ФЗ РФ от 24.06.1999 № 120 «Об основах
64
системы профилактики безнадзорности и правонарушений несовершеннолетних»);
- информация, полученная антимонопольным органом при осуществлении своих полномочий (Ст. 26 ФЗ РФ от 26.07.2006 № 135-ФЗ «О защите
конкуренции», ст. 35 ФЗ РФ от 13.05.2006 № 38-ФЗ «О рекламе»);
- сведения, ставшие известными арбитражному управляющему (п. 3
ст. 20.3 ФЗ РФ от 26.10.2002 № 127-ФЗ «О несостоятельности (банкротстве)»);
- сведения о результатах проведенной оценки уязвимости объектов
транспортной инфраструктуры и транспортных средств (ч. 4 ст. 5 ФЗ РФ от
09.02.2007 № 16 «О транспортной безопасности»);
- сведения, содержащиеся в планах обеспечения транспортной без-
опасности объектов транспортной инфраструктуры и транспортных
средств (ч. 3 ст. 9 ФЗ РФ от 09.02.2007 № 16 «О транспортной безопасности»);
- информационные ресурсы Единой государственной информационной системы обеспечения транспортной безопасности (ч. 4 ст. 11 ФЗ РФ от
09.02.2007 № 16 «О транспортной безопасности»);
- сведения о мероприятиях в области обороны (ст. 3.1 ФЗ РФ от
31.05.1996 № 61 «Об обороне»).
Единый законодательный акт, регламентирующий обращение сведе-
ний, составляющих служебную тайну, отсутствует, отчасти в силу того, что
информацию, которая к ней относится, образуют сведения, формируемые
в различных областях деятельности (служебной или профессиональной)
органов государственной власти. Тем не менее в 2006 году на рассмотрение
Государственной Думы вносился проект Федерального закона № 124871-4
«О служебной тайне» [47], но принят он не был.
Так как общего нормативного определения термина «служебная
тайна» на сегодня не существует, рассмотрим определения термина «Служебная тайна» в областях, в которых оно нормативно закреплено.
Служебную тайну в области обороны составляют сведения, которые
образуются при осуществлении полномочий органами государственной
власти Российской Федерации, функций органами государственной власти
субъектов Российской Федерации, органами местного самоуправления и
организациями по организации и выполнению мероприятий в области обороны, распространение которых может нанести вред при выполнении указанных мероприятий (ч. 1 ст. 3.1) [57].
К служебной информации ограниченного распространения отно-
сится несекретная информация, касающаяся деятельности организаций,
ограничения на распространение которой диктуются служебной необходимостью, а также поступившая в организации несекретная информация, доступ к которой ограничен в соответствии с ФЗ [58].
Сведения, составляющие служебную тайну (служебная тайна), – кон-
фиденциальные сведения, образующиеся в процессе управленческой
65
деятельности органа или организации, распространение которых препятствует реализации органом или организацией предоставленных ему полномочий либо иным образом отрицательно сказывается на их реализации, а
также конфиденциальные сведения, полученные органом или организацией в соответствии с их компетенцией в установленном законодательством порядке [47].
Носители сведений, составляющих служебную тайну, – материаль-
ные объекты, в том числе физические поля, в которых соответствующие
сведения находят свое отображение в виде символов, образов, сигналов [47].
Отнесение сведений в области обороны к служебной тайне осуществляется структурными субъектами Министерства обороны на основании Перечня сведений Вооруженных Сил Российской Федерации, подлежащих
отнесению к служебной тайне в области обороны [60]. Перечень содержит
689 сведений, распределенных по шестнадцати разделам [60]:
I. Сведения в области прогнозирования и оценки военной опасности и
военной угрозы.
II. Сведения о разработке основных направлений военной политики и
положений военной доктрины Российской Федерации.
III. Сведения о правовом регулировании в области обороны.
IV. Сведения о строительстве, подготовке и поддержании в необходимой готовности Вооруженных Сил Российской Федерации, а также планировании их применения.
V. Сведения о разработке, производстве и совершенствовании систем
управления Вооруженных Сил Российской Федерации, вооружения и военной техники, создание их запасов.
VI. Сведения по взаимодействию в области планирования непосредственной подготовки к переводу и перевод органов государственной власти
Российской Федерации, органов государственной власти субъектов Российской Федерации, органов местного самоуправления и экономики
страны на работу в условиях военного времени.
VII. Сведения о взаимодействии Вооруженных Сил Российской Федерации по мобилизационной подготовке с органами государственной власти
Российской Федерации, органами государственной власти субъектов Российской Федерации, органами местного самоуправления и организациями
независимо от форм собственности, транспорта, коммуникаций и населения страны.
VIII. Сведения в области создания в составе государственного материального резерва запасов материальных ценностей (в том числе запаса мобилизационного резерва и неснижаемого запаса государственного материального резерва), предназначенных для мобилизационных нужд Российской Федерации.
IX. Сведения в области планирования и осуществления мероприятий
по гражданской и территориальной обороне.
66
X. Сведения в области оперативного оборудования территории Российской Федерации в целях обороны.
XI. Сведения в области обеспечения защиты сведений, составляющих
государственную тайну и служебную тайну в области обороны.
XII. Сведения о развитии науки в интересах обороны.
XIII. Сведения о координации деятельности органов государственной
власти Российской Федерации, органов государственной власти субъектов
Российской Федерации и органов местного самоуправления в области обороны.
XIV. Сведения о финансировании расходов на оборону, а также о контроле за расходованием средств, выделенных на оборону, и деятельностью
Вооруженных Сил Российской Федерации, осуществляемых в соответствии с законодательством Российской Федерации.
XVI. Сведения о других мероприятиях в области обороны.
В соответствии с приведенным перечнем подведомственные Министерству обороны структуры формируют свои перечни, которые включают
информацию, обрабатываемую в данной конкретной организации. При
формировании перечней следует учитывать информацию, которая в силу
своей значимости не может засекречиваться.
Порядок обращения со сведениями (содержание режима служебной
тайны), составляющими служебную тайну, определяет Правительство РФ,
в частности, в области обороны – это Постановление Правительства РФ
(ПП РФ) от 26.11.2021 № 2052 «Об утверждении Правил обращения со сведениями, составляющими служебную тайну в области обороны» [59].
Режим служебной тайны – совокупность правовых, организацион-
ных, технических и иных мер, принимаемых уполномоченными должностными лицами органов государственной власти и организаций, обеспечивающих ограничения на распространение сведений, составляющих служебную тайну, и на доступ к этим сведениям [47].
Рассмотрим отдельные положения данного Постановления, направленные на обеспечение информационной безопасности, не дублируя приведенные выше стандартные общеобязательные требования по защите кон-
фиденциальной информации.
Отнесение сведений к служебной тайне осуществляется на основании
ведомственных перечней. Ответственность за обеспечение безопасности
сведений, составляющих служебную тайну, возлагается на руководителя
организации, в частности:
- за принятие и обоснованность решения об отнесении служебной ин-
формации к разряду ограниченного распространения;
- за соблюдение установленного режима конфиденциальности;
-за решение о взаимной передаче сведений, составляющих служебную
тайну, между органами государственной власти, а также между организациями органов государственной власти.
67
На материальные носители информации, составляющей служебную
тайну, наносится гриф «Для служебного пользования», в области обороны
добавляется пометка «ДСП», который включает номер пункта перечня сведений, подлежащих отнесению к служебной тайне (п. 2) [59]. Кроме того,
на обратной стороне последнего листа каждого экземпляра документа указывается количество отпечатанных экземпляров, фамилия исполнителя,
фамилия лица, распечатавшего документ, дата печатания документа, носитель информации, с которого печатался документ (п. 9) [59].
Учету подлежат документы и черновики документов, содержащих
служебную тайну, также регистрируются факты их передачи и уничтожения (п. 9) [59]. В отношении таких документов применяется особый порядок тиражирования, хранения и пересылки (п. 9) [59]. Полученные документы «ДСП» регистрируются. Их упорядочение и хранение осуществляется в соответствии с номенклатурой дел, а передача фиксируется в соответствующих журналах. Тиражирование документов осуществляется с разрешения руководителя организации.
Автоматизированная обработка сведений, содержащих служебную
тайну, осуществляется в соответствии с нормативно-правовыми актами в
области защиты информации. документы, содержащие сведения, составляющие служебную тайну, не должны включаться в электронные информационные системы, имеющие подключение к сети связи общего пользования.
Для защиты сведений, составляющих служебную тайну, используются
технические и программные средства защиты информации, прошедшие
сертификацию в порядке, установленном законодательством Российской
Федерации [59].
Ведение служебного делопроизводства, в том числе и создание документов для служебного пользования, осуществляется в соответствии с ведомственной инструкцией, которая разрабатывается на основании Приказа
Федерального архивного агентства от 11.04.2018 № 44 «Об утверждении
Примерной инструкции по делопроизводству в государственных организациях» [61], которая может содержать отдельные положения по ведению делопроизводства с использованием конфиденциальной информации. Такое
делопроизводство осуществляется с соблюдением стандартных правил
(установленных законодательными актами и актами Правительства РФ),
при этом каждое ведомство может вводить отдельные положение в соответствии с особенностями своей деятельности.
Внутренний электронный документооборот в федеральных органах
исполнительной власти на основании Приказа Министерства связи и массовых коммуникаций РФ от 02.09.2011 № 221 [62] осуществляется посредством системы электронного документооборота федерального органа исполнительной власти (СЭД ФОИВ). Система также обеспечивает управление служебной информации ограниченного распространения, при этом ее
защищенность от несанкционированного доступа не должна быть ниже
68
класса 1Г (п. 3 р. 1) [62]. Также используются сертифицированные в соответствии с требованиями безопасности информации технические и (или)
программные средства защиты информации (п. 21 р. 33) [62].
Система электронного документооборота федерального органа исполнительной власти представляет собой информационную систему,
предназначенную для управления всеми документами ФОИВ, включая
проекты документов (кроме документов, содержащих сведения, составляющие государственную тайну). СЭД ФОИВ взаимодействует с системой
межведомственного электронного документооборота (система МЭДО) в
соответствии с Распоряжением Правительства РФ от 02.10.2009 № 1403р [63] и единой системой межведомственного электронного взаимодействия (СМЭВ) в соответствии с Постановление Правительства РФ
от 08.09.2010 № 697 [64], а также с другими информационными системам
(п.п. 4; 5 р. 2) [62].
СЭД ФОИВ посредством реализации комплекса действий по сохранению документа или сведений о документе обеспечивает доступность документа, установленным пользователям, а также фиксирование контрольной
информации с целью выявления и отслеживания действий, на которые у
пользователя нет разрешений (п.17 р. 3) [62].
Права доступа – набор действий, разрешенных для выполнения пользователю СЭД ФОИВ, назначаются для ролей или групп пользователей.
Помимо открытия доступа к определенным частям классификационной
схемы, права доступа используются для ограничения круга операций, которые пользователь СЭД ФОИВ может выполнить над объектами системы
электронного документооборота, включая просмотр метаданных и содержимого разделов, создание либо просмотр электронных документов (электронных образов документов) определенного типа. Назначение прав доступа пользователям СЭД ФОИВ к ресурсам системы целиком осуществляется программными средствами самой СЭД ФОИВ (п.27 р. 3) [62]. Роль
пользователя системы электронного документооборота может ограничиваться, допуская поиск и чтение электронных документов (электронных образов документов) только в пределах определенных разделов (подразделов)
классификационной схемы (п. 27 р. 3) [62].
Непрерывность деятельности, а также неотказуемость и целостность
информации обеспечивается функцией регулярного резервного копирования и восстановления электронных документов (п. 31 р. 3) [62].
СЭД ФОИВ, а также система электронного документооборота организации должна соответствовать требованиям национального стандарта Российской Федерации ГОСТ Р 51275-2006 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения» и требованиям по технической защите конфиденциальной информации (п. 23 р. 2) [62].
Защита документированной информации реализуется в зависимости
от способа ее обработки. Выше были рассмотрены отдельные аспекты
69
обработки и обеспечение безопасности сведений в автоматизированных
системах, что соответствует целям учебного пособия. Неавтоматизированная обработка и защита данных осуществляется по другим правилам
согласно соответствующим документам.
4.2.4 Персональные данные
Далее рассмотрим отдельные существенные аспекты установления
(формализации) режима конфиденциальности персональных данных – «1.
Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах
массовой информации в установленных федеральными законами случаях» [21].
Так как в определении персональных данных мы ориентируемся на
Указ Президента РФ № 188 [43], следует обратить внимание на то, что в
данном Указе отдельно выделяются персональные данные и виды информации, которые по своему содержанию также являются персональными
данными, например, сведения, содержащиеся в личных делах осужденных.
Поэтому, несмотря на наличие Указа, при отнесении сведений к ПДн
или, например, к служебной тайне, следует руководствоваться целями деятельности организации и Перечнем, сформированным специалистами системы «Гарант», в котором к ПДн относят [54]:
- сведения, содержащиеся в личном деле и документах учета сотруд-
ника органов внутренних дел, в реестре сотрудников органов внутренних
дел, а также сведения о гражданах, поступающих на службу в органы внутренних дел (ст. 39, ч. 2 ст. 40 ФЗ РФ от 30.11.2011 № 342 «О службе в органах внутренних дел Российской Федерации и внесении изменений в отдельные законодательные акты Российской Федерации»);
- сведения о должнике, просроченной задолженности и ее взыскании
и любые другие персональные данные должника (ч. 3 ст. 6 ФЗ РФ от
03.07.2016 № 230 «О защите прав и законных интересов физических лиц
при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях"»;
- данные персонифицированного учета сведений о медицинской помощи, оказанной застрахованным лицам (ч. 4 ст. 47 ФЗ РФ от 29.11.2010
№ 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»);
- сведения, ставшие известными работнику органа записи актов гражданского состояния или работнику многофункционального центра предоставления государственных и муниципальных услуг в связи с государственной регистрацией акта гражданского состояния (п. 8 ст. 6 ФЗ РФ от
15.11.1997 № 143 «Об актах гражданского состояния»);
70
- сведения о защищаемых лицах (ст. 9 ФЗ РФ от 20 .08.2004 № 119 «О
государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства»);
- сведения, составляющие дактилоскопическую информацию (ст. 12
ФЗ РФ от 25.07.1998 №128 «О государственной дактилоскопической регистрации в Российской Федерации»);
- сведения, содержащиеся в индивидуальных лицевых счетах застрахованных лиц в системе обязательного пенсионного страхования (п.8 ст. 6
ФЗ РФ от 01.04.1996 № 27 «Об индивидуальном (персонифицированном)
учете в системе обязательного пенсионного страхования»);
- информация, полученная негосударственным пенсионным фондом
от вкладчиков (*ст. 15 ФЗ РФ от 07.05.1998 № 75 «О негосударственных
пенсионных фондах»);
- сведения о населении, содержащиеся в переписных листах (ст. 8 ФЗ
РФ от 25.01.2002 № 8 «О Всероссийской переписи населения»);
- информация о получателе социальных услуг (ст. 6 ФЗ РФ от
28.12.2013 № 442-ФЗ «Об основах социального обслуживания граждан в
Российской Федерации»);
- информация о членах политической партии, представляемая для сведения в уполномоченные органы (п. 6 ст. 19 ФЗ РФ от 11.07.2001 № 95 «О
политических партиях»);
- сведения, содержащиеся в государственных информационных системах системы образования (ч. 1 ст. 98 ФЗ РФ от 29.12.2012 N 273 «Об образовании в Российской Федерации»);
- сведения об иностранных гражданах (ч. 2 ст. 10ФЗ РФ «О миграционном учете иностранных граждан и лиц без гражданства в Российской Федерации»);
- информация о детях, оставшихся без попечения родителей, гражданах, желающих принять детей на воспитание в свои семьи, гражданах, лишенных родительских прав или ограниченных в родительских правах,
гражданах, отстраненных от обязанностей опекуна (попечителя) за ненадлежащее выполнение возложенных на них законом обязанностей, бывших
усыновителях, если усыновление отменено судом по их вине (ст. 8 ФЗ РФ
от 16.04.2001 № 44 «О государственном банке данных о детях, оставшихся
без попечения родителей»);
- сведения, содержащиеся в личном деле и документах учета сотрудника и гражданина, проходящего службу в уголовно-исполнительной системе, в реестре граждан, проходящих службу в уголовно-исполнительной
системе (ст. 39, ч. 2 ст. 40 ФЗ РФ от 19.07.2018 № 197 «О службе в уголовно-исполнительной системе Российской Федерации и о внесении изменений в Закон Российской Федерации "Об учреждениях и органах, исполняющих уголовные наказания в виде лишения свободы"»);
- сведения, содержащиеся в личном деле и документах учета граждан,
проходящих службу в органах принудительного исполнения, в реестре
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]