Компании ежедневно работают с данными сотрудников и клиентов, договорами, финансовыми документами, внутренними разработками, клиентскими базами и технической информацией. Часть этих сведений должна быть доступна только определенному кругу лиц. Ошибочная отправка письма, скомпрометированная учетная запись или действия инсайдера могут привести к утечке.
Конфиденциальность держится на четырех группах мер: правовых, организационных, технических и физических. Разберем, какую информацию считают конфиденциальной, чем разные режимы отличаются друг от друга и как организовать защиту данных в компании.
Содержание:
- Что такое конфиденциальная информация
- Чем конфиденциальная информация отличается от коммерческой тайны, гостайны и персональных данных
- Виды конфиденциальной информации
- Какие сведения нельзя отнести к конфиденциальным
- Какими законами регулируется
- Угрозы и каналы утечки
- Как защитить конфиденциальную информацию
- Как ввести режим защиты: порядок действий
- Ответственность за разглашение
- Что делать, если утечка уже произошла
- Типичные ошибки: где режим ломается чаще всего
- Частые вопросы
Что такое конфиденциальная информация
В российском законодательстве важно различать сведения ограниченного доступа и конфиденциальность информации как требование к обращению с ними.
Что говорит 149-ФЗ и что это значит на практике
149-ФЗ вводит понятие конфиденциальности информации: тот, кто получил доступ к сведениям, обязан не передавать их третьим лицам без согласия обладателя. Отдельного определения термина «конфиденциальная информация» в законе нет — он опирается на категории из Указа Президента РФ № 188 и на отраслевые законы. Ограничить доступ к информации можно только федеральным законом, этого требует статья 9.
Простыми словами, конфиденциальная информация — это сведения, которые не предназначены для свободного распространения и доступны только тем, кто имеет законное основание с ними работать.
Например, менеджеру необходим доступ к контактам своих клиентов, бухгалтеру — к расчетным документам, системному администратору — к настройкам инфраструктуры. Это не означает, что каждому нужен доступ ко всем ресурсам компании.
Конфиденциальность — одно из трех базовых свойств защищаемой информации наряду с целостностью и доступностью. Данные закрывают от посторонних, защищают от неправомерного изменения и при этом держат доступными для тех, кому они нужны по работе. Усиление одного свойства обычно ограничивает другое: чем жестче доступ, тем выше нагрузка на согласования.
Признаки: когда сведения становятся конфиденциальными
Нельзя считать любой внутренний документ охраняемой законом тайной только потому, что руководство назвало его секретным. Правовой режим зависит от категории информации и оснований ограничения доступа.
Основные признаки:
- доступ ограничен законом, договором или установленным внутренним режимом;
- определен круг лиц, имеющих право работать с информацией;
- установлены правила хранения, использования и передачи;
- организация контролирует доступ;
- сотрудники и контрагенты знают об обязанности сохранять конфиденциальность.
Внутри компании могут применяться уровни: «общедоступная», «для внутреннего использования», «конфиденциальная», «строго конфиденциальная». Это корпоративная классификация, а не единая установленная законом шкала.
Чем конфиденциальная информация отличается от коммерческой тайны, гостайны и персональных данных
Конфиденциальная информация — широкое понятие. Коммерческая тайна, персональные данные и профессиональные тайны имеют отдельные режимы. Государственная тайна регулируется специальным законодательством.
| Категория | Что относится | Кто устанавливает режим | Чем регулируется |
| Конфиденциальная информация | Сведения, доступ к которым ограничен на законном основании | Основание определяется законодательством, правила обращения — обладателем информации | 149-ФЗ, Указ Президента РФ № 188 и специальные законы |
| Коммерческая тайна | Производственные, технические, экономические и другие ценные сведения | Обладатель информации при выполнении требований закона | 98-ФЗ «О коммерческой тайне» |
| Государственная тайна | Защищаемые государством сведения в установленных законом сферах | Государство и уполномоченные органы | Закон РФ № 5485-1 «О государственной тайне» |
| Персональные данные | Информация о прямо или косвенно определенном физическом лице | Требования задает законодательство, оператор организует их выполнение | 152-ФЗ «О персональных данных» |
Коммерческая тайна — это именно режим конфиденциальности. Чтобы бизнес-сведения получили такую охрану, недостаточно назвать их секретными: обладатель должен определить перечень информации, ограничить доступ, учитывать допущенных лиц и урегулировать отношения с сотрудниками и контрагентами.
Виды конфиденциальной информации
Перечень сведений конфиденциального характера закреплен Указом Президента РФ № 188. Он включает персональные данные, тайну следствия и судопроизводства, служебные сведения, профессиональную и коммерческую тайну, сведения о сущности изобретений, полезных моделей и промышленных образцов до публикации и другие категории.
Персональные данные
Персональные данные — сведения, относящиеся к прямо или косвенно определенному физическому лицу. Это могут быть ФИО, контакты, паспортные данные, сведения кадрового учета, выплаты конкретному сотруднику, фотографии и другая информация.
Режим регулирует 152-ФЗ. Оператор должен определить цели и основания обработки, ограничить объем собираемых данных необходимым и обеспечить их защиту.
Коммерческая тайна
К коммерческой тайне могут относиться:
- технологии;
- внутренние методики;
- условия работы с партнерами;
- модели ценообразования;
- планы развития;
- клиентские базы;
- другие сведения, если они имеют коммерческую ценность из-за неизвестности третьим лицам, свободного законного доступа к ним нет и обладатель ввел установленный законом режим.
Например, сама таблица с клиентами коммерческой тайной не станет. Ее нужно определить как защищаемую информацию и организовать соответствующий режим.
Служебная тайна
Указ № 188 относит к служебной тайне служебные сведения, доступ к которым органы государственной власти ограничивают в соответствии с законодательством. Поэтому это понятие нельзя автоматически применять к любому внутреннему документу коммерческой организации.
Профессиональная тайна: банковская, врачебная, адвокатская, нотариальная, аудиторская
Профессиональная тайна возникает, когда сведения становятся известны в связи с выполнением определенной деятельности, а закон требует сохранять их конфиденциальность.
Врачебная тайна охватывает сведения о факте обращения за медицинской помощью, состоянии здоровья, диагнозе и лечении. Адвокатская тайна включает сведения, связанные с оказанием юридической помощи доверителю. Банковская тайна защищает информацию об операциях, счетах и вкладах клиентов и корреспондентов кредитных организаций.
Общий принцип: специалист получает сведения в связи с профессиональной деятельностью, закон ограничивает их разглашение, информация подлежит защите.
Тайна следствия и судопроизводства
Указ № 188 отдельно относит к конфиденциальным сведениям тайну следствия и судопроизводства. Ограничения зависят от конкретной процедуры и процессуального законодательства. В эту категорию могут входить сведения предварительного расследования и данные о защищаемых участниках уголовного судопроизводства.
Сведения о сути изобретения до публикации
До официальной публикации охраняются сведения о сущности изобретения, полезной модели или промышленного образца: описания технического решения, чертежи, характеристики, результаты испытаний и другие материалы, раскрывающие разработку.
Какие сведения нельзя отнести к конфиденциальным
Организация не вправе произвольно ограничивать доступ к информации, которую законодательство требует раскрывать. Статья 8 закона № 149-ФЗ не позволяет ограничивать доступ, в частности, к нормативным актам, затрагивающим права и обязанности граждан и организаций, экологической информации и отдельным сведениям о деятельности органов власти.
Для коммерческой тайны действует дополнительный перечень ограничений. Такой режим нельзя устанавливать, например, в отношении сведений:
- о численности и составе работников;
- о системе оплаты и условиях труда;
- о вакансиях;
- о задолженности по заработной плате;
- о нарушениях законодательства;
- об экологической информации;
- иных сведений, обязательных к раскрытию.
Перед включением документа в перечень коммерческой тайны нужно проверить, разрешено ли ограничивать доступ к содержащимся в нем данным.
Какими законами регулируется
Защиту конфиденциальных сведений регулируют несколько нормативных актов.
- № 149-ФЗ «Об информации, информационных технологиях и о защите информации» — закрепляет базовые понятия, правила ограничения доступа и общие требования к защите информации.
- 152-ФЗ «О персональных данных» — регулирует обработку и защиту персональных данных.
- 98-ФЗ «О коммерческой тайне» — определяет коммерческую тайну и требования к введению режима.
- Указ Президента РФ № 188 от 06.03.1997 — утверждает перечень основных категорий сведений конфиденциального характера.
- Постановление Правительства РФ № 1119 — устанавливает уровни защищенности персональных данных при их обработке в информационных системах. Уровень определяет, какие меры из приказа ФСТЭК обязательны для конкретной системы.
- Приказ ФСТЭК России № 21 — определяет состав организационных и технических мер защиты персональных данных, приказ № 17 — требования для государственных информационных систем.
- Требования ФСБ России — применяются, если для защиты используются средства криптографической защиты информации.
- ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения» — устанавливает терминологию в области защиты информации.
Для отдельных категорий дополнительно применяются нормы о государственной, банковской, врачебной, адвокатской и других видах тайны.
Угрозы и каналы утечки
Утечка происходит, когда информация становится доступна лицам, которые не должны ее получать. Источник может находиться как внутри организации, так и за ее пределами.
Внутренние угрозы: инсайдеры и ошибки сотрудников
Сотрудник может намеренно скопировать клиентскую базу перед увольнением, передать документы конкуренту или использовать сведения в личных интересах. Но нарушение часто бывает и случайным: письмо отправлено не тому адресату, рабочие файлы загружены в личное хранилище, пароль передан коллеге, документ оставлен в общей папке.
Риск повышается, если у сотрудников сохраняются лишние права. Чем больше прав у сотрудника, тем больше данных он может вынести намеренно или по ошибке. Поэтому доступ должен предоставляться по принципу минимально необходимых полномочий.
Внешние угрозы: взлом, фишинг, подрядчики
Злоумышленники получают данные через скомпрометированные учетные записи, вредоносные программы, уязвимости систем и фишинговые сообщения.
Отдельный риск создают подрядчики. Даже хорошо защищенная компания может передать конфиденциальные файлы партнеру со слабым контролем доступа. Поэтому договорные требования должны сочетаться с техническими правилами безопасного обмена.
Чем утечка обходится компании
Последствия зависят от вида и объема информации. Возможны прямые убытки, претензии клиентов, расходы на расследование и восстановление, административные штрафы, судебные споры и потеря конкурентно значимых сведений.
Особенно существенны риски при утечках персональных данных: КоАП предусматривает отдельные штрафы в зависимости от масштаба нарушения, а при повторных крупных инцидентах возможны оборотные штрафы. Штраф для юридического лица по статье 13.11 КоАП РФ зависит от числа субъектов, чьи данные утекли.
Как защитить конфиденциальную информацию
Надежная защита строится слоями. Документы задают правила, управление доступом определяет полномочия, технические средства контролируют действия, а физические меры защищают помещения и носители.
Организационные меры
Организационные меры нужны, чтобы понять, что именно компания защищает и по каким правилам это делается. Компания составляет список своих информационных ресурсов, определяет, кто за них отвечает, и записывает все правила во внутренних документах. Как именно это делается, будет описано дальше, в разделе про введение режима.
Технические меры: аутентификация, разграничение доступа, шифрование, DLP, журналирование
- Аутентификация подтверждает, что учетной записью пользуется ее владелец. Скомпрометированный пароль обесценивает все остальные меры, поэтому для доступа к защищаемым ресурсам и для административных учетных записей применяют второй фактор — одноразовый код, аппаратный ключ или сертификат.
- Разграничение доступа определяет, кто может читать, изменять, копировать или удалять данные. Права привязывают не к человеку, а к роли: при переводе сотрудника меняется роль, а не десяток разрозненных разрешений. Отдельно проверяют несовместимые сочетания — например, когда один человек и заводит учетные записи, и проверяет журналы их действий.
- Шифрование защищает данные при хранении и передаче. При этом необходимо защищать не только информацию, но и криптографические ключи.
- Системы предотвращения утечек данных DLP (Data Loss Prevention) контролируют перемещение защищаемых данных: копирование на съемные носители, отправку во вложениях, загрузку в облачные хранилища. Срабатывание правила либо блокирует передачу, либо создает событие для разбора.
- Журналирование фиксирует входы, изменения конфигурации и действия пользователей. Журналы помогают обнаруживать аномалии и восстанавливать картину инцидента.
Конфиденциальность нарушается и на уровне виртуальной инфраструктуры: администратор гипервизора видит диски всех виртуальных машин, а образ ВМ можно скопировать целиком, минуя средства защиты внутри гостевой ОС.
Российская платформа серверной виртуализации SpaceVM разграничивает такие права ролевой моделью: администратор хранилища не получает доступ к консолям ВМ, а оператор ВМ — к настройкам сети и дисковым пулам. Действия администраторов фиксируются в журнале, интеграция с AD/LDAP позволяет отзывать доступ централизованно при увольнении.
Такое разграничение закрывает сценарий, при котором один администратор с полными правами выносит данные всей инфраструктуры.
Физические меры
Конфиденциальность нарушается не только через сеть. Посторонний может увидеть экран, сфотографировать документ или получить доступ к оставленному носителю.
Поэтому применяют:
- контроль физического доступа;
- разграничение помещений;
- учет посетителей;
- защищенные хранилища;
- правила чистого стола;
- безопасное уничтожение документов;
- контроль съемных носителей;
- защиту серверных помещений.
Работа с сотрудниками и контрагентами: NDA, обучение, порядок при увольнении
Соглашение о неразглашении NDA (non-disclosure agreement) закрепляет договорные обязательства сторон, но не заменяет режим коммерческой тайны. Для него необходимо выполнить требования 98-ФЗ.
Сотрудников знакомят с перечнем защищаемых сведений, правилами обращения с ними и ответственностью. Обучение должно включать практические ситуации: фишинговые письма, работу с вложениями, передачу документов и носителей.
При увольнении необходимо отозвать учетные записи и права, закрыть удаленный доступ, вернуть устройства и носители, проверить передачу рабочих материалов.
Как ввести режим защиты: порядок действий
Единого режима для всех видов конфиденциальной информации нет. Персональные данные, коммерческая тайна и профессиональные тайны регулируются по-разному. Следующий порядок особенно важен для режима коммерческой тайны и внутренней классификации.
Шаг 1. Утвердить перечень сведений
Определите данные, которые действительно требуют ограничения доступа: клиентские базы, технологии, внутренние расчеты, методики, планы, документацию. Не включайте сведения, которые должны оставаться открытыми.
Шаг 2. Разработать положение о конфиденциальной информации
Установите категории данных, порядок доступа, правила хранения и передачи, обязанности сотрудников, действия при инцидентах и ответственность.
При коммерческой тайне документы должны соответствовать 98-ФЗ, а сотрудники — быть ознакомлены с режимом.
Шаг 3. Промаркировать документы и носители
Для коммерческой тайны на материальные носители или в реквизиты документов наносят гриф «Коммерческая тайна» с указанием обладателя информации.
Для других категорий применяют обозначения, предусмотренные соответствующими правилами и локальными актами.
Шаг 4. Ограничить доступ и вести учет допущенных лиц
Определите сотрудников и контрагентов, которым информация действительно необходима, и выдавайте права исходя из рабочих задач.
Для коммерческой тайны учет лиц, получивших доступ или которым сведения были переданы, относится к обязательным мерам защиты.
Шаг 5. Закрепить обязательства в договорах и трудовых документах
В документах следует определить состав защищаемых сведений, цели использования, требования к защите, порядок возврата или уничтожения информации и ответственность сторон.
Шаг 6. Контроль и аудит режима
Доступ со временем устаревает: сотрудники меняют должности, проекты завершаются, подрядчики прекращают работу. Поэтому права нужно регулярно пересматривать.
Аудит отвечает на вопросы:
- кто имеет доступ;
- какая рабочая задача его требует;
- какие операции разрешены: чтение, изменение, выгрузка;
- фиксируются ли эти действия в журнале;
- должен ли доступ сохраниться.
Ответственность за разглашение
Мера ответственности меняется в зависимости от вида информации, обстоятельств нарушения, статуса виновного и последствий.
Дисциплинарная
Работодатель может применить дисциплинарное взыскание при наличии оснований и соблюдении процедуры. ТК РФ допускает увольнение за разглашение охраняемой законом государственной, коммерческой, служебной или иной тайны, ставшей известной работнику в связи с работой, включая персональные данные другого сотрудника.
При этом необходимо доказать наличие охраняемого режима, доступ работника к сведениям, обязанность сохранять их конфиденциальность и факт нарушения.
Материальная и гражданско-правовая
В предусмотренных законом случаях работник может отвечать за причиненный работодателю прямой действительный ущерб.
Для контрагентов последствия определяются гражданским законодательством и договором. Возможны взыскание убытков и договорной неустойки при наличии соответствующих оснований.
Административная
Статья 13.14 КоАП РФ предусматривает ответственность за разглашение информации с ограниченным доступом лицом, которое получило ее в связи с профессиональными или служебными обязанностями, если отсутствует состав преступления.
Отдельная ответственность установлена за нарушения законодательства о персональных данных, включая неуведомление уполномоченного органа об инцидентах и утечки больших массивов данных.
Уголовная
Уголовная ответственность наступает только при наличии конкретного состава преступления.
Статья 183 УК РФ предусматривает ответственность за незаконные получение, разглашение или использование коммерческой, налоговой или банковской тайны. Наказание зависит от обстоятельств, способа нарушения и последствий.
Что делать, если утечка уже произошла
Первое действие — ограничить дальнейшее распространение данных.
1. Локализовать инцидент. Заблокировать скомпрометированную учетную запись, отозвать ключи и сеансы, ограничить доступ к ресурсу.
2. Зафиксировать произошедшее. Сохранить журналы событий, сообщения средств защиты, временные отметки и другие цифровые следы.
3. Определить категорию информации и обязанности по уведомлению. Универсального правила сообщать регулятору о любой утечке конфиденциальной информации нет.
Если произошла неправомерная или случайная передача персональных данных, повлекшая нарушение прав субъектов, оператор уведомляет уполномоченный орган в течение 24 часов с момента выявления инцидента, а в течение 72 часов сообщает результаты внутреннего расследования и сведения о виновных лицах при их наличии.
4. Провести внутреннее расследование. Определить источник, объем раскрытых данных и затронутые системы.
5. Устранить причину. Если инцидент вызвали избыточные права, слабый регламент или ошибка настройки, необходимо исправить именно системный недостаток.
6. Обновить меры защиты. Скорректировать права, настройки, инструкции и обучение сотрудников.
Типичные ошибки: где режим ломается чаще всего
Режим ломается в одних и тех же местах. Шесть проверок ниже опираются на документы, которые в компании уже есть.
- Перечень защищаемых сведений. Найдите утвержденный перечень и посмотрите дату. Если документа нет или он не пересматривался больше двух лет — сотрудники не знают, что именно они обязаны не разглашать, а суд не увидит предмета охраны.
- Отзыв доступа при увольнении. Возьмите три последних увольнения и сверьте дату приказа с датой блокировки учетной записи в домене, почте и целевых системах. Разрыв больше суток означает, что процедура не работает, даже если она описана в положении.
- Учет допущенных лиц. Для коммерческой тайны это обязательная мера по 98-ФЗ. Проверьте, есть ли журнал с датами предоставления и отзыва доступа и подписями ознакомленных. Без него режим не считается введенным, а взыскать ущерб не получится.
- Права подрядчиков. Выберите одного подрядчика с доступом к вашим данным и найдите в договоре три вещи: состав передаваемых сведений, требования к их защите, порядок уничтожения после окончания работ. Отсутствие любого из трех — открытый канал.
- Журналы действий администраторов. Убедитесь, что администраторы систем не могут удалять или править журналы собственных действий. Если могут — журналирование фиксирует только добросовестных.
- Границы режима. Пробегите перечень и вычеркните то, что закрывать нельзя: систему оплаты труда, численность работников, вакансии, нарушения законодательства, экологическую информацию. Попытка закрыть открытые сведения обесценивает режим целиком.
Два и более провала означают, что режим существует на бумаге: документы подписаны, но ни доказать факт нарушения, ни ограничить ущерб они не помогут.
Частые вопросы
Обязательно ли вводить режим конфиденциальной информации?
Единый внутренний режим нужен не всегда. Для персональных данных и других охраняемых законом тайн обязанности возникают из специальных норм. Для защиты сведений именно как коммерческой тайны необходимо установить режим по 98-ФЗ.
Кто в компании отвечает за режим конфиденциальной информации?
Закон не устанавливает конкретную должность. На практике перечень сведений утверждает руководитель, владельцами данных назначают руководителей подразделений, а за технические меры отвечает служба информационной безопасности или ИТ-подразделение. Ответственность за нарушение режима несет сотрудник, ознакомленный с ним под подпись.
Можно ли закрыть информацию о зарплате?
Нужно различать систему оплаты труда и выплаты конкретному человеку. Систему оплаты труда нельзя относить к коммерческой тайне. Сведения о зарплате конкретного сотрудника относятся к информации о физическом лице и требуют соблюдения правил обработки персональных данных.
Распространяется ли режим на данные, которые хранятся в облаке и у подрядчиков?
Передача данных провайдеру или подрядчику не снимает обязанностей с оператора персональных данных. Состав передаваемых сведений, условия их обработки и порядок их уничтожения закрепляют в договоре. Размещение персональных данных граждан РФ должно соответствовать требованию о локализации баз данных на территории России.
Нужно ли защищать данные только от внешних атак?
Нет. Источником утечки может стать сотрудник, бывший работник, подрядчик или человеческая ошибка. Поэтому техническую защиту дополняют разграничением прав, обучением, договорными мерами и аудитом доступа.
Достаточно ли зашифровать данные?
Нет. Шифрование защищает содержание информации, но не заменяет управление доступом. Оно должно работать вместе с аутентификацией, разграничением прав, журналированием, контролем передачи данных и организационными мерами.
