Информационная безопасность и защита конфиденциальной информации

3. Деловая  информация:

- о  торговых и деловых партнерах, клиентах, посредниках, поставщиках  и т.д.;

- об  условиях контрактов, соглашений, договоров  и др.;

- о  состоянии кредитно-финансовой системы  предприятия;

- маркетинговая  информация.

Положительным элементом формулировок содержания коммерческой тайны, приведенных В.А. Герасименко, Д.В. Павлов, А. А. Шиверским и Э. Я. Соловьевым, является то, что они попытались выделить основные области предпринимательской деятельности, в которых могут существовать сведения, составляющие коммерческую тайну.

На основании вышеизложенного можно сделать вывод, что действующее законодательство никак не ограничивает предметный характер информации, составляющей коммерческую тайну. К коммерческой тайне относятся конфиденциальные сведения в областях: производственно-хозяйственной; коммерческой; управленческой; научно-технической; финансовой, главное, чтобы данная информация имела бы коммерческую ценность в силу неизвестности ее третьим лицам.

Остальные виды тайн чаще всего обозначены, их объемы пересекаются, одна тайна накладывается на другую. Такое положение крайне отрицательно складывается на правоприменительной практике. Проблемы с определением круга сведений, относящихся к конкретному виду тайн, существуют даже в отношении наиболее "проработанных" законодательно тайн (таких как, государственная тайна и "ноу-хау"), что нередко подтверждает и судебная практика.

Поэтому, при решении вопроса об отнесении конкретной информации к защищаемой нужно руководствоваться определенными критериями, т.е. признаками, при наличии которых информация может быть отнесена к защищаемой.

Общей основой для отнесения информации к защищаемой является ценность информации, поскольку именно ценность информации диктует необходимость ее защиты. Поэтому критерии отнесения информации к защищаемой являются по существу критериями определения ее ценности.

Критерии отнесения открытой информации к защищаемой:

- необходимость  информации для правового обеспечения  деятельности предприятия. Это относится  к документированной информации, регламентирующей статус предприятия, права, обязанности и ответственность  его работников;

- необходимость  информации для производственной  деятельности (это касается информации, относящейся к научно-исследовательской, проектной, конструкторской, технологической, торговой и другим сферам производственной  деятельности);

- необходимость  информации для управленческой  деятельности, сюда относится информация, требующаяся для принятия управленческих  решений, а также для организации  производственной деятельности  и обеспечения ее функционирования;

- необходимость  информации для финансовой деятельности;

- необходимость  информации для обеспечения функционирования  социальной сферы;

- необходимость  информации как доказательного  источника на случай возникновения  конфликтных ситуаций;

- важность  информации как исторического  источника, раскрывающего направления  и особенности деятельности предприятия.

Эти критерии обусловливают необходимость защиты открытой информации от утраты.

Названные выше критерии отнесения открытой информации к защищаемой вызывают потребность в защите от утраты и конфиденциальной информации.

Однако основной, определяющий критерий отнесения информации к конфиденциальной и защиты ее от утечки – возможность получения преимуществ от использования информации за счет неизвестности ее третьим лицам.

Этот критерий имеет две составляющие: Неизвестность информации третьим лицам. Получение преимуществ от использования информации (получение выгоды, предотвращение политического, экономического или морального ущерба). Эти две составляющие взаимосвязаны и взаимообусловлены с одной стороны, неизвестность информации третьим лицам сама по себе ничего не значит, если не обеспечивает преимуществ тому, кто ее защищает, с другой стороны, преимущества можно получить только за счет такой неизвестности.

При отсутствии названных выше критериев нет оснований для перевода информации в категорию защищаемой. Но наличие этих критериев не означает, что информация во всех случаях без исключения должна быть отнесена к охраняемой. Критерии – это лишь объективные показатели возможности отнесения информации к защите.

Для реализации этой возможности в действительности необходимы следующие условия:

1. Если  информация не является общедоступной  на законном основании, т.е. не  содержит сведений, которые запрещено  относить к конфиденциальным. Перечни  таких сведений содержатся в  нормативных актах РФ.

2. Если  имеются технические возможности  для защиты носителей информации. Речь идет об объектах, которые  практически невозможно скрыть  от технических средств обнаружения  и фиксации, особенно спутниковых.

3. Если  затраты на защиту информации  не превысят количественных и  качественных показателей преимуществ, получаемых при ее защите.

Таким образом, правовой и методологической основой для разработки перечней защищаемой информации являются: критерии отнесения информации к защищаемой; условия отнесения информации к защищаемой; понятие соответствующего вида тайны (их характеристики и показатели); специфика предприятия (для коммерческой тайны, что для одних является коммерческой тайной, для других – рекламная информация).

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

1.3 Основные источники  правового регулирования конфиденциальной  информации

В предыдущих разделах были упомянуты некоторые источники, регулирующие правовые режимы конфиденциальной информации. Остановимся на этой теме более подробно.

Обеспечение защиты конфиденциальной информации складывается из следующих составляющих:

1. Нормативные  правовые акты РФ.

2. Нормативно-методические  и методические документы.

3. Стандарты.

В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся:

Акты федерального законодательства;

Международные договоры РФ;

Конституция РФ;

Законы федерального уровня (включая федеральные конституционные законы, кодексы);

Указы Президента РФ;

Постановления правительства РФ;

Нормативные правовые акты федеральных министерств и ведомств;

Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.

Приведем примеры:

Основные направления правового регулирования информационных отношений – конституционное и гражданско-правовое. Как продолжение свободы мысли и слова, которая закреплена в ч. 1 ст. 29 Конституции РФ, ч. 4 ст. 29 Конституции РФ закрепляет право каждого свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Перечень сведений, составляющих государственную тайну, определяется соответствующим федеральным законом. Этому праву корреспондирует общая обязанность органов государственной власти и местного самоуправления, располагающих такого рода информацией, предоставлять ее по соответствующим запросам. Возможные исключения из этого общего правила должны обязательно иметь форму федерального закона (ч. 3 ст. 55 Конституции РФ). Ст. 42 Конституции РФ говорит о праве каждого на достоверную информацию о состоянии окружающей среды. Ст. 19 Основ законодательства РФ "Об основах охраны здоровья граждан Российской Федерации" конкретизирует это установление закреплением определенного механизма реализации прав граждан на информацию о факторах, влияющих на их здоровье (п.5 пп.7 ст. 19).

Закон Российской Федерации от 5 марта 1992 г. № 2446-1 "О безопасности" (ред. от 26.06.2008) - данный закон призван защитить интересы личности, общества и государства от возможных внешних и внутренних угроз, посягающих на права, свободу, материальные и духовные интересы. Информационная безопасность - есть защита любой информации, и, в первую очередь, конфиденциальной.

Федеральный закон от 27 июля 2006 г. № 149-ФЗ "Об информации, информационных технологиях и о защите и информации" - назначение закона обеспечение защиты информации, регулирования отношений при осуществлении права на поиск, получение, передачу, производство и распространение информации, при применении информационных технологий, а также при обеспечении защиты информации, за исключением отношений в области охраны результатов интеллектуальной деятельности и приравненных к ним средств индивидуализации.

Качество современного уровня правового регулирования отношений по поводу информации во многом определяется степенью учета законодателем этих признаков (свойств).

Конфиденциальная информация определена в п. 7 ст. 2 Федерального закона от 27 июля 2006 года № 149-ФЗ через требование не передавать такую информацию третьим лицам без согласия ее обладателя. На мой взгляд, это определение небезупречно. Вряд ли можно согласиться с определением конфиденциальной информации опять-таки через информацию с ограниченным доступом, не содержащую государственную тайну, во-первых, потому, что такое определение оказывается в замкнутом круге: нельзя определять подобное подобным; во-вторых, государственная тайна − это тоже конфиденциальная информация. Поэтому более правильно, на мой взгляд, под конфиденциальной информацией понимать легально полученную информацию, которая в силу закона или иного акта, имеющего юридическое значение, доступна строго определенному кругу лиц, и в отношении которой установлен режим той или иной степени секретности.

Пункт 3 статьи 5 Федерального закона № 149-ФЗ об информации содержит классификацию информации в зависимости от порядка ее предоставления или распространения. Так, по этому основанию информация подразделяется:

1) на  информацию, свободно распространяемую, например, посредством средств массовой  информации;

2) на  информацию, предоставляемую по  соглашению лиц, участвующих в  соответствующих отношениях;

3) на  информацию, которая в соответствии  с федеральными законами подлежит  предоставлению или распространению;

4) на  информацию, распространение которой  в Российской Федерации ограничивается  или запрещается. Например, информация, составляющая коммерческую или  государственную тайну.

В п. 2 этой статьи приводится разделение информации в зависимости от категории доступа к ней. По этому основанию информация может быть общедоступной; ограниченного доступа.

Федеральным законом № 152-ФЗ от 27 июля 2006 "О персональных данных" регулируются отношения, связанные с обработкой персональных данных федеральными органами государственной власти, органами государственной власти субъектов РФ, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими и физическими лицами с использованием средств автоматизации или без их использования, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

ФСТЭК предлагает выделять персональные данные из информационных систем, содержащих информацию ограниченного доступа и защищаемых в режиме тайны, что во многих случаях не реализуемо. Выделение персональных данных из общего массива охраняемой информации создает для оператора проблему соотношения требований по технической защите информации, а также проблему соотношения прав и обязанностей субъектов в отношении защищаемой информации.

С 1 января 2008 года в силу вступила часть четвертая Гражданского кодекса Российской Федерации, регулирующая отношения по поводу результатов интеллектуальной деятельности. Введены понятия "секрет производства" (ст. 1465 ГК РФ: секретом производства (ноу-хау) признаются сведения любого характера (технические, производственные, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа, на законном основании, и в отношении которых обладателем таких сведений введен режим коммерческой тайны) и "служебные секреты производства" (ст. 1470 ГК РФ: исключительное право на секрет производства, созданный работником в связи с выполнением своих трудовых обязанностей или конкретного задания работодателя (служебный секрет производства), принадлежит работодателю. Гражданин, которому в связи с выполнением своих трудовых обязанностей или конкретного задания работодателя стал известен секрет производства, обязан сохранять конфиденциальность полученных сведений до прекращения действия исключительного права на секрет производства).

Что касается служебных секретов производства, то исключительное право на секрет производства, созданный работником в связи с выполнением своих трудовых обязанностей или конкретного задания работодателя, принадлежит работодателю. Но существует и важная особенность: на работника возлагается обязанность сохранять конфиденциальность полученных сведений до прекращения действия исключительного права на секрет производства независимо от того, создал ли такой работник результат интеллектуальной деятельности или соответствующие сведения стали известны работнику лишь в связи с выполнением своих служебных обязанностей.

В контексте рассматриваемого вопроса нельзя обойти Федеральный закон "О коммерческой тайне" № 98-ФЗ, принятый 29 июля 2004 года и приведенный в соответствие с частью четвертой ГК РФ.

Федеральные законы "О коммерческой тайне", "Об информации, информационных технологиях и о защите информации" и часть 4 ГК РФ - ввели, как говорилось выше, и новые понятия, и изменили содержание некоторых прежних понятий, относящихся к данному вопросу. Ст. 139 ГК РФ, определявшая коммерческую тайну, отменена.

В ст. 3 Федерального Закона № 98-ФЗ "О коммерческой тайне" коммерческая тайна определяется как режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду.