Библиографическое описание:
Нестеров А.К. Обеспечение информационной безопасности [Электронный ресурс] // Энциклопедия сайт
Одновременно с развитием информационных технологий и повышением значимости информационных ресурсов для организаций, растет и количество угроз их информационной безопасности, а также возможный ущерб от ее нарушений. Возникает объективная необходимость обеспечения информационной безопасности предприятия. В связи с этим, прогресс возможен только в условиях целенаправленного предупреждения угроз информационной безопасности.
Обеспечение информационной безопасности осуществляется с помощью двух типов средств:
Программно-аппаратные средства обеспечения информационной безопасности в современных условиях развития информационных технологий наиболее распространены в работе отечественных и зарубежных организаций. Подробно рассмотрим основные программнно-аппаратные средства защиты информации.
Программно-аппаратные средства защиты от несанкционированного доступа включают в себя меры идентификации, аутентификации и управления доступом в информационную систему.
Идентификация – присвоение субъектам доступа уникальных идентификаторов.
Сюда относят радиочастотные метки, биометрические технологии, магнитные карты, универсальные магнитные ключи, логины для входа в систему и т.п.
Аутентификация – проверка принадлежности субъекта доступа предъявленному идентификатору и подтверждение его подлинности.
К процедурам аутентификации относятся пароли, pin-коды, смарт-карты, usb-ключи, цифровые подписи, сеансовые ключи и т.п. Процедурная часть средств идентификации и аутентификации взаимосвязана и, фактически, представляет базовую основу всех программно-аппаратных средств обеспечения информационной безопасности, так как все остальные службы рассчитаны на обслуживание конкретных субъектов, корректно распознанных информационной системой. В общем виде идентификация позволяет субъекту обозначить себя для информационной системы, а с помощью аутентификации информационная система подтверждает, что субъект действительно тот, за кого он выдает. На основе прохождения данной операции производится операция по предоставлению доступа в информационную систему. Процедуры управления доступом позволяют авторизовавшимся субъектам выполнять дозволенные регламентом действия, а информационной системе контролировать эти действия на корректность и правильность полученного результата. Разграничение доступа позволяет системе закрывать от пользователей данные, к которым они не имеют допуска.
Следующим средством программно-аппаратной защиты выступает протоколирование и аудит информации.
Протоколирование включает в себя сбор, накопление и сохранение информации о событиях, действиях, результатах, имевших место во время работы информационной системы, отдельных пользователей, процессов и всех программно-аппаратных средств, входящих в состав информационной системы предприятия.
Поскольку у каждого компонента информационной системы существует заранее заданный набор возможных событий в соответствии с запрограммированными классификаторами, то события, действия и результаты разделяются на:
Аудит информации заключается в проведении оперативного анализа в реальном времени или в заданный период.
По результатам анализа либо формируется отчет об имевших место событиях, либо инициируется автоматическая реакция на внештатную ситуацию.
Реализация протоколирования и аудита решает следующие задачи:
Зачастую защита информации невозможна без применения криптографических средств. Они используются для обеспечения работы сервисов шифрования, контроля целостности и аутентификации, когда средства аутентификации хранятся у пользователя в зашифрованном виде. Существует два основных метода шифрования: симметричный и асимметричный.
Контроль целостности позволяет установить подлинность и идентичность объекта, в качестве которого выступает массив данных, отдельные порции данных, источник данных, а также обеспечить невозможность отметить совершенное в системе действие с массивом информации. Основу реализации контроля целостности составляют технологии преобразования данных с использованием шифрования и цифровые сертификаты.
Другим важным аспектом является использование экранирования, технологии, которая позволяет, разграничивая доступ субъектов к информационным ресурсам, контролировать все информационные потоки между информационной системой предприятия и внешними объектами, массивами данных, субъектами и контрсубъектами. Контроль потоков заключается в их фильтрации и, в случае необходимости, преобразования передаваемой информации.
Задача экранирования – защита внутренней информации от потенциально враждебных внешних факторов и субъектов. Основной формой реализации экранирования выступают межсетевые экраны или файрволлы, различных типов и архитектуры.
Поскольку одним из признаков информационной безопасности является доступность информационных ресурсов, то обеспечение высокого уровня доступности является важным направление в реализации программно-аппаратных мер. В частности, разделяется два направления: обеспечение отказоустойчивости, т.е. нейтрализации отказов системы, способность работать при возникновении ошибок, и обеспечение безопасного и быстрого восстановления после отказов, т.е. обслуживаемость системы.
Основное требование к информационным системам заключается в том, чтобы они работали всегда с заданной эффективностью, минимальным временем недоступности и скоростью реагирования.
В соответствии с этим, доступность информационных ресурсов обеспечивается за счет:
Другим типом средств обеспечения информационной безопасности выступают защищенные коммуникационные каналы.
Функционирование информационных систем неизбежно связано с передачей данных, поэтому для предприятий необходимо также обеспечить защиту передаваемых информационных ресурсов, используя защищенные коммуникационные каналы. Возможность несанкционированного доступа к данным при передаче трафика по открытым каналам коммуникации обусловлена их общедоступностью. Поскольку "коммуникации на всем их протяжении физически защитить невозможно, поэтому лучше изначально исходить из предположения об их уязвимости и соответственно обеспечивать защиту" . Для этого используются технологии туннелирования, суть которого состоит в том, чтобы инкапсулировать данные, т.е. упаковать или обернуть передаваемые пакеты данных, включая все служебные атрибуты, в собственные конверты. Соответственно, туннель является защищенным соединением через открытые каналы коммуникаций, по которому передаются криптографически защищенные пакеты данных. Туннелирование применяется для обеспечения конфиденциальности трафика за счет сокрытия служебной информации и обеспечения конфиденциальности и целостности передаваемых данных при использовании вместе с криптографическими элементами информационной системы. Комбинирование туннелирования и шифрования позволяет реализовать виртуальную частную сеть. При этом конечными точками туннелей, реализующих виртуальные частные сети, выступают межсетевые экраны, обслуживающие подключение организаций к внешним сетям.
Межсетевые экраны как точки реализации сервиса виртуальных частных сетей
Таким образом, туннелирование и шифрование выступают дополнительными преобразованиями, выполняемыми в процессе фильтрации сетевого трафика наряду с трансляцией адресов. Концами туннелей, помимо корпоративных межсетевых экранов, могут быть персональные и мобильные компьютеры сотрудников, точнее, их персональные межсетевые экраны и файрволлы. Благодаря такому подходу обеспечивается функционирование защищенных коммуникационных каналов.
Процедуры обеспечения информационной безопасности принято разграничивать на административный и организационный уровень.
С другой стороны, разграничение административных и организационных процедур бессмысленно, поскольку процедуры одного уровня не могут существовать отдельно от другого уровня, нарушая тем самым взаимосвязь защиты физического уровня, персональной и организационной защиты в концепции информационной безопасности. На практике, обеспечивая информационную безопасность организации, не пренебрегают административными или организационными процедурами, поэтому логичнее рассматривать их как комплексный подход, поскольку оба уровня затрагивают физический, организационный и персональный уровни защиты информации.
Основой комплексных процедур обеспечения информационной безопасности выступает политика безопасности.
Политика информационной безопасности в организации – это совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.
В организационно-управленческом плане политика информационной безопасности может являться единым документом или оформлена в виде нескольких самостоятельных документов или приказов, но в любом случае должна охватывать следующие аспекты защиты информационной системы организации:
Каждый из аспектов должен быть подробно описан и документально закреплен во внутренних документах организации. Внутренние документы охватывают три уровня процесса защиты: верхний, средний и нижний.
Документы верхнего уровня политики информационной безопасности отражают основной подход организации к защите собственной информации и соответствие государственным и/или международным стандартам. На практике в организации существует только один документ верхнего уровня, озаглавливаемый "Концепция информационной безопасности", "Регламент информационной безопасности" и т.п. Формально данные документы не представляют конфиденциальной ценности, их распространение не ограничивается, но могут выпускать в редакции для внутреннего использования и открытой публикации.
Документы среднего уровня являются строго конфиденциальными и касаются конкретных аспектов информационной безопасности организации: используемых средств защиты информации, безопасности баз данных, коммуникаций, криптографических средств и других информационных и экономических процессов организации. Документальное оформление реализуется в виде внутренних технических и организационных стандартов.
Документы нижнего уровня разделены на два типа: регламенты работ и инструкции по эксплуатации. Регламенты работ являются строго конфиденциальными и предназначены только лиц, по долгу службы осуществляющих работу по администрированию отдельных сервисов информационной безопасности. Инструкции по эксплуатации могут быть, как конфиденциальными, так и публичными; они предназначены для персонала организации и описывают порядок работы с отдельными элементами информационной системы организации.
Мировой опыт свидетельствует, что политика информационной безопасности всегда документально оформляется только в крупных компаниях, имеющих развитую информационную систему, предъявляющих повышенные требования к информационной безопасности, средние предприятия чаще всего имеют только частично документально оформленную политику информационной безопасности, малые организации в подавляющем большинстве вообще не заботятся о документальном оформлении политики безопасности. Вне зависимости от формата документального оформления целостный или распределенный, базовым аспектом выступает режим безопасности.
Существует два разных подхода, которые закладываются в основу политики информационной безопасности :
Фундаментальным дефектом первого подхода заключается в том, что на практике предусмотреть все опасные случаи и запретить их невозможно. Вне всяких сомнений, следует применять только второй подход.
С точки зрения защиты информации, организационные процедуры обеспечения информационной безопасности представляются как "регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз" .
Меры по управлению персоналом, направленные на организацию работы с кадрами в целях обеспечения информационной безопасности, включают разделение обязанностей и минимизацию привилегий. Разделение обязанностей предписывает такое распределение компетенций и зон ответственности, при котором один человек не в состоянии нарушить критически важный для организации процесс. Это снижает вероятность ошибок и злоупотреблений. Минимизация привилегий предписывает наделение пользователей только тем уровнем доступа, который соответствует необходимости выполнения ими служебных обязанностей. Это уменьшает ущерб от случайных или умышленных некорректных действий.
Физическая защита означает разработку и принятие мер для прямой защиты зданий, в которых размещаются информационные ресурсы организации, прилегающих территорий, элементов инфраструктуры, вычислительной техники, носителей данных и аппаратных каналов коммуникаций. Сюда относят физическое управление доступом, противопожарные меры, защиту поддерживающей инфраструктуры, защиту от перехвата данных и защиту мобильных систем.
Поддержание работоспособности программно-аппаратной инфраструктуры заключается в предупреждении стохастических ошибок, грозящих повреждением аппаратного комплекса, нарушением работы программ и потерей данных. Основные направления в этом аспекте заключаются в обеспечении поддержки пользователей и программного обеспечения, конфигурационного управления, резервного копирования, управления носителями информации, документирование и профилактические работы.
Оперативное устранение нарушений режима безопасности преследует три главные цели:
Наконец, планирование восстановительных работ позволяет подготовиться к авариям, уменьшить ущерб от них и сохранить способность к функционированию хотя бы в минимальном объеме.
Использование программно-аппаратных средств и защищенных коммуникационных каналов должно быть реализовано в организации на основе комплексного подхода к разработке и утверждению всех административно-организационных регламентных процедур обеспечения информационной безопасности. В противном случае, принятие отдельных мер не гарантирует защиты информации, а зачастую, наоборот, провоцирует утечки конфиденциальной информации, потери критически важных данных, повреждения аппаратной инфраструктуры и нарушения работы программных компонентов информационной системы организации.
Для современных предприятий характерна распределенная информационная система, которая позволяет учитывать в работе распределенные офисы и склады компании, финансовый учет и управленческий контроль, информацию из клиентской базы, с учетом выборки по показателям и так далее. Таким образом, массив данных весьма значителен, причем в подавляющем большинстве это информация, имеющая приоритетное значение для компании в коммерческом и экономическом плане. Фактически, обеспечение конфиденциальности данных, имеющих коммерческую ценность, составляет одну из основных задач обеспечения информационной безопасности в компании.
Обеспечение информационной безопасности на предприятии должно быть регламентировано следующими документами:
При этом данными документами не следует ограничиваться, а проработать также нижние уровни. В противном случае, если у предприятия иных документов, касающихся обеспечения информационной безопасности, не будет, то это будет свидетельствовать о недостаточной степени административного обеспечения защиты информации, поскольку отсутствуют документы нижнего уровня, в частности инструкции по эксплуатации отдельных элементов информационной системы.
Обязательные организационные процедуры включают в себя:
Сюда также следует отнести регламентированные меры по реагированию и устранению случаев нарушений информационной безопасности.
На практике часто наблюдается, что предприятия недостаточно внимательно относятся к этому вопросу. Все действия в данном направлении осуществляются исключительно в рабочем порядке, что увеличивает время устранения случаев нарушений и не гарантирует предупреждения повторных нарушений информационной безопасности. Кроме того, полностью отсутствует практика планирования действий по устранению последствий после аварий, утечек информации, потери данных и критических ситуаций. Все это существенно ухудшает информационную безопасность предприятия.
На уровне программно-аппаратных средств должна быть реализована трехуровневая система обеспечения информационной безопасности.
Минимальные критерии обеспечения информационной безопасности:
1. Модуль управления доступом:
2. Модуль шифрования и контроля целостности:
3. Модуль экранирования:
Наконец, с помощью технологий туннелирования на предприятии должна быть реализована виртуальная частная сеть в соответствии с типичной моделью построения для обеспечения защищенных коммуникационных каналов между различными отделениями компании, партнерами и клиентами компании.
Несмотря на то, что коммуникации непосредственно осуществляются по сетям с потенциально низким уровнем доверия, технологии туннелирования благодаря использованию средств криптографии позволяют обеспечить надежную защиту всех передаваемых данных.
Основная цель всех предпринимаемых мероприятий в области обеспечения информационной безопасности заключается в защите интересов предприятия, так или иначе связанных с информационными ресурсами, которыми оно располагает. Хотя интересы предприятий не ограничены конкретной областью, все они концентрируются вокруг доступности, целостности и конфиденциальности информации.
Проблема обеспечения информационной безопасности объясняется двумя основными причинами.
Учитывая широкое многообразие существующих угроз для информационной безопасности, таких как разрушение важной информации, несанкционированное использование конфиденциальных данных, перерывы в работе предприятия вследствие нарушений работы информационной системы, можно сделать вывод, что все это объективно приводит к крупным материальным потерям.
В обеспечении информационной безопасности значительную роль играют программно-аппаратные средства, направленные на контроль компьютерных сущностей, т.е. оборудования, программных элементов, данных, образуя последний и наиболее приоритетный рубеж информационной безопасности. Передача данных также должна быть безопасной в контексте сохранения их конфиденциальности, целостности и доступности. Поэтому в современных условиях для обеспечения защищенных коммуникационных каналов применяются технологии туннелирования в комбинации с криптографическими средствами.
Литература
Понятие «конфиденциальная информация» стало неотъемлемой частью российской юридической лексики. В настоящий момент оно используется в нескольких сотнях нормативных правовых актов Российской Федерации. Не отстают от законодателя и правоприменители: все чаще в различных договорах можно встретить целые разделы или даже отдельные соглашения о конфиденциальности. Широкое распространение получило включение положений о запрете на распространение сведений конфиденциального характера в трудовых договорах.
Тем не менее, до сих пор в законодательстве не содержится четкого определения понятия «конфиденциальная информация». Ранее такое определение содержалось в ст. 2 утратившего силу ФЗ «Об информации, информатизации и защите информации». Согласно этому закону «конфиденциальная информация -- документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации». Данное определение в несколько измененном виде по - прежнему находит свое применение в актах органов государственной власти Российской Федерации.
Действующий ФЗ «Об информации, информационных технологиях и защите информации» определение понятия «конфиденциальная информация» не содержит. Однако данное определение может быть получено на основании анализа его норм.
Согласно п 1 ст. 2 указанного закона информация -- это сведения (сообщения, данные) независимо от формы их представления.
В п. 7 той же статьи сказано, что конфиденциальность информации -- обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.
Таким образом, конфиденциальная информация -- это сведения, независимо от формы их предоставления, которые не могут быть переданы лицом, получившим доступ к данным сведениям, третьим лицам без согласия их правообладателя.
Перечень сведений конфиденциального характера содержится в Указе Президента Российской Федерации от 06.03.1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера». Согласно данному указу к сведениям конфиденциального характера относятся:
· персональные данные;
· сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с Федеральным законом от 20 августа 2004 г. № 119 - ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства» и другими нормативными правовыми актами Российской Федерации;
· служебная тайна;
· врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений;
· коммерческая тайна;
· сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
Следует обратить внимание на то обстоятельство, что данный перечень не может рассматриваться как закрытый. Действующий ФЗ «Об информации» не требует принятия нормативных актов Президента или правительства для дальнейшего развития понятия «конфиденциальная информация». Более того, закон позволяет обладателю информации самостоятельно решать вопрос о наделении ее статусом конфиденциальной. Поэтому перечень следует рассматривать как примерный.
Данный вывод имеет очень важное практическое значение. Возможность самостоятельного определения статуса информации позволяет ее обладателю вырабатывать способы ее защиты от несанкционированного доступа, использования и распространения, а также предусматривать меры гражданско - правовой ответственности в случае совершения указанных действий. Особое значение вышеназванный вывод имеет для хозяйственных обществ. Как известно, в соответствии с п. 2 ст. 67 Гражданского кодекса РФ участники хозяйственных обществ обязаны не разглашать конфиденциальную информацию.
К сожалению, данная норма не получила своего развития в ФЗ «Об акционерных обществах», который вообще не упоминает о такой обязанности акционеров. Поэтому до сих пор в науке нет единого мнения о том, о какой конфиденциальной информации идет речь. Ряд авторов полагают, что обязанность не разглашать конфиденциальную информацию распространяется только на конфиденциальные сведения, подпадающие под режим коммерческой тайны.
В настоящее время нет четкой и единой классификации видов конфиденциальной информации, хотя действующими нормативными актами установлено свыше 30 ее разновидностей. Определенные попытки такой классификации предприняты учеными. А. И. Алексенцев предлагает следующие основания разделения информации по видам тайны:
§ собственники информации (по отдельным видам они могут частично совпадать);
§ области (сферы) деятельности, в которых может быть информация, составляющая данный вид тайны;
§ на кого возложена защита данного вида тайны (по некоторым видам тайны здесь также возможно совпадение).(11, С.92)
А.А.Фатьянов классифицирует подлежащую защите информацию по трем признакам: по принадлежности, по степени конфиденциальности (степени ограничения доступа) и по содержанию.(22, С.254)
По принадлежности владельцами защищаемой информации могут быть органы государственной власти и образуемый ими структуры (государственная тайна, служебная тайна, в определенных случаях коммерческая и банковская тайны); юридические лица (коммерческая, банковская служебная, адвокатская, врачебная, аудиторская тайны и т. п.); граждане (физические лица) - в отношении личной и семейной тайны, нотариальной, адвокатской, врачебной. Следует отметить, что использование понятий “владелец”, “собственник” в отношении информации содержится в ФЗ “Об информации…”, Законе РФ “О государственной тайне” и ряде других нормативных актов. Это использование, равно как и признание информации в качестве объекта вещных прав и, в том числе права собственности, установленное вышеназванными актами, вызывает большую критику среди ученых и в определенной мере противоречит ГК, так как согласно ст. 128 ГК, информация не относится к вещам. Эта проблема уже освещалась автором, и необходимо признать, что целесообразнее все - таки отказаться от использования вещных прав в отношении информации, а поэтому правильнее говорить об обладателе, как это указано в ст. 139 ГК РФ, а не владельце, пользователе или собственнике информации. В дальнейшем понятия “владелец”, “пользователь” или “собственник” будут применятся только в случае цитирования закона или мнения какого - либо исследователя.
По степени конфиденциальности (степени ограничения доступа) в настоящее время можно классифицировать только информацию, составляющую государственную тайну. Согласно ст. 8 Закона РФ “О государственной тайне”, устанавливаются три степени секретности сведений, составляющих государственную тайну, и соответствующие этим степеням грифы секретности для носителей указанных сведений: “особой важности”, “совершенно секретно” и “секретно”. Интересно, что в США и ряде стран НАТО грифы секретности схожи с установленными отечественным законодательством - “конфиденциально (confidential)”, “секретно (secret)”, “совершенно секретно (top secret)”. Для остальных видов тайн данное основание классификации пока не разработано, при этом согласно ст. 8 Закона РФ “О государственной тайне”, использование названных грифов секретности для засекречивания сведений, не отнесенных к государственной тайне, не допускается.(21, С.148)
Следует отметить, что вышеизложенные классификации не являются исчерпывающими и их разработка еще предстоит науке и законодательству. Отсутствие четкой классификации конфиденциальной информации, неоформленность их правовых режимов в законодательстве приводит к значительному числу противоречий и пробелов. Рассмотрим наиболее существенные из них.
В соответствии со ст. 2 Закона РФ “О государственной тайне”, государственная тайна - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно - розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Как отмечает А. И. Алексенцев, термин “распространение” в данном случае является слишком неопределенным. (11, С.96)
Распространение может быть не только несанкционированным, но и разрешенным, оно может нанести ущерб, а может и не нанести. Этот критерий констатирует возможные последствия распространения сведений, т. е. исходит из обратного, тогда как по логике, скорее следовало бы назвать преимущества, получаемые от того, что сведения находятся в тайне.
Подводя итог всему вышесказанному, можно констатировать, что в настоящее время видами конфиденциальной информации являются государственная, коммерческая, личная и семейная, служебная и профессиональная тайна, которая, в свою очередь, имеет ряд разновидностей. При этом правовой режим большинства из названных тайн полностью не разработан, а между отдельными документами существуют серьезные противоречия, которые необходимо устранить.
"Кадровик.ру", 2012, N 7
В любой компании существует конфиденциальная информация, которая особенно тщательно оберегается от не имеющих к ней доступа сотрудников, а также конкурентов и поставщиков. Вместе с тем определить степень секретности данных достаточно сложно. В итоге все сведения, связанные с деятельностью организации, начинают считать конфиденциальными. В результате возникают судебные споры как с работниками, так и с другими компаниями.
Перечень соответствующих данных приведен в нескольких законодательных актах, однако и компания может самостоятельно ограничить доступ к некоторым сведениям. Вместе с тем основным документом, позволяющим определить, относится ли информация к конфиденциальной, является Федеральный закон от 29.07.2004 N 98-ФЗ "О коммерческой тайне" (далее - Закон N 98-ФЗ). Однако перечень, содержащийся в этом Законе, является неполным, а иные сведения о конфиденциальной информации содержатся в других нормативных правовых актах.
| Вид конфиденциальной информации | Перечень сведений | Законодательная норма |
| Информация, составляющая коммерческую тайну | Сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно- технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам | Статья 3 Федерального закона от 29.07.2004 N 98-ФЗ "О коммерческой тайне" |
| Банковская тайна | Сведения об операциях, о счетах и вкладах организаций - клиентов банков и корреспондентов | Статья 26 Федерального закона от 02.12.1990 N 395-1 "О банках и банковской деятельности" |
| Адвокатская тайна, нотариальная тайна | Сведения, связанные с оказанием адвокатом юридической помощи своему доверителю; сведения, которые стали известны нотариусу в связи с его профессиональной деятельностью | Основы законодательства Российской Федерации о нотариате (утв. ВС РФ 11.02.1993 N 4462-1); ст. 8 Федерального закона от 31.05.2002 N 63-ФЗ "Об адвокатской деятельности и адвокатуре в Российской Федерации" |
| Сведения, связанные с аудитом организации | Любые сведения и документы, полученные и (или) составленные аудиторской организацией и ее работниками, а также индивидуальным аудитором и работниками, с которыми им заключены трудовые договоры, при оказании услуг, предусмотренных настоящим Федеральным законом, за исключением: 1) сведений, разглашенных самим лицом, которому оказывались услуги, предусмотренные настоящим Федеральным законом, либо с его согласия; 2) сведений о заключении с аудируемым лицом договора о проведении обязательного аудита; 3) сведений о величине оплаты аудиторских услуг | Статья 9 Федерального закона от 30.12.2008 N 307-ФЗ "Об аудиторской деятельности" |
На практике режим конфиденциальности определяется:
Кроме указанных мер в компании могут при необходимости применяться средства и методы технической защиты конфиденциальной информации, а также другие меры, не противоречащие законодательству Российской Федерации.
Режим коммерческой тайны не может быть установлен в отношении следующих сведений:
Рассмотрим порядок установления перечня в конкретной компании.
Во многих компаниях к сотруднику, разгласившему секретные сведения, применяют следующие меры: налагают дисциплинарное взыскание, взыскивают убытки в суде. Некоторые работодатели просто увольняют провинившихся, считая, что распространение конфиденциальной информации является серьезным проступком. Действительно, такая возможность есть. Согласно пп. "в" п. 6 ч. 1 ст. 81 ТК РФ трудовой договор может быть расторгнут работодателем даже в случае однократного разглашения коммерческой тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей.
При возникновении спора о восстановлении на работе лица, уволенного по рассматриваемому основанию, именно на работодателя возлагается бремя доказывания всех обстоятельств разглашения коммерческой тайны. Необходимо тщательно рассмотреть все обстоятельства конкретного дела, проанализировать, имеются ли законные основания для увольнения работника, заподозренного в разглашении конфиденциальной информации, а также оценить возможные риски в случае оспаривания сотрудником увольнения.
Приведем следующий пример: работник использовал флэш-накопитель для распечатки документа на принтере. Однако работодатель посчитал данные действия разглашением коммерческой тайны, поскольку запрет на использование флэш-накопителя для передачи конфиденциальной информации содержался в локальном акте. Однако в организации не было точного перечня таких секретных данных. В результате работник обратился в трудовую инспекцию, и после проверки ему удалось добиться снятия дисциплинарного взыскания.
Таким образом, налагая дисциплинарное взыскание, работодатель должен:
Если компания захочет взыскать убытки в суде (допустим, менеджер уволился и продал конфиденциальную базу данных конкурентам), то потребуется оценить материальный ущерб. Ключевым условием, позволяющим сформировать доказательственную базу, является наличие перечня конфиденциальной информации.
В каждой организации составляется свой перечень конфиденциальной информации. Как правило, в него входят:
Обратите внимание: персональные данные и конфиденциальная информация - не равнозначные понятия. Последнее является более широким и может включать в себя различные бухгалтерскую отчетность, данные о кадровом составе организации и иные сведения, которые охраняются компанией в соответствии с установленным режимом коммерческой тайны.
Информация, составляющая коммерческую тайну (секрет производства), - это сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны. Разглашение информации, составляющей коммерческую тайну, - это действие или бездействие, в результате которых такие сведения в любой возможной форме (устной, письменной, иной, в том числе с использованием технических средств) становятся известны третьим лицам без согласия обладателя либо вопреки трудовому или гражданско-правовому договору (Определение Мосгорсуда от 14.11.2011 по делу N 33-36486).
Понятие персональных данных установлено в Федеральном законе от 27.07.2006 N 152-ФЗ "О персональных данных". Это любые сведения, относящиеся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
То есть, если конфиденциальная информация может относиться и к физическим, и к юридическим лицам, персональные данные - только к физическим. Перечень конфиденциальных данных, отнесенных к таковым на законодательном уровне, приведен в приложении.
Необходимо обратить внимание на тот факт, что информация, признанная в компании конфиденциальной, может и не быть отнесена к таковой. К конфиденциальным могут быть причислены документы бухгалтерской отчетности, предоставляемые участникам общества лишь для ознакомления (Постановление ФАС Поволжского округа от 05.04.2005 N А12-12462/04-С56). Аналогичный вывод сделан и в Постановлении ФАС Дальневосточного округа от 16.05.2007, 08.05.2007 N Ф03-А73/07-1/1090 по делу N А73-9822/2006-9, в котором суд признал, что ни нормами Федерального закона от 21.11.1996 N 129-ФЗ "О бухгалтерском учете", ни ст. 89 Федерального закона от 26.12.1995 N 208-ФЗ "Об акционерных обществах" не предусмотрено обязательное предоставление акционеру копий первичных учетных документов, оборотных ведомостей аналитического учета и электронной базы данных бухгалтерской программы общества. Вместе с тем, например, сведения об исполнении налогоплательщиками своих обязательств по уплате налогов не являются налоговой тайной и могут быть разглашены (Постановление ФАС Западно-Сибирского округа от 27.07.2010 по делу N А27-25441/2009).
Таким образом, работодатель самостоятельно должен составить перечень конфиденциальных сведений и установить их распорядительным документом в зависимости от важности данной информации. Однако признание данных конфиденциальными может быть оспорено в суде. При этом важным моментом также являются не только установление самого перечня конфиденциальной информации, но и порядка ее защиты.
В соответствии со ст. 10 Закона N 98-ФЗ меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя:
В целях охраны конфиденциальности информации работодатель обязан:
Трудовой договор с руководителем организации должен предусматривать обязательства этого сотрудника по обеспечению охраны конфиденциальности информации, обладателем которой являются организация и ее контрагенты, и ответственность за соответствующие меры.
При этом в компании могут быть предприняты следующие действия:
Очень важно установить в локальном акте организации не только перечень конфиденциальных сведений, но и порядок их использования.
Во взаимоотношениях с работниками компании используют обычно две тактики: защиту интересов в суде, защиту интересов в досудебном порядке путем расторжения договора с работником. Рассмотрим первый способ. В качестве примера можно привести Определение Мосгорсуда от 22.12.2011 по делу N 4г/8-10945/11. Разрешая заявленные исковые требования, руководствуясь ст. 81 ТК РФ, Федеральным законом "О коммерческой тайне", суд пришел к выводу о том, что увольнение истца является законным и обоснованным, поскольку он разгласил коммерческую тайну. Истец направил в адрес сторонней организации по электронной почте документы, к которым у третьих лиц не было свободного доступа и в отношении которых работодатель ввел режим коммерческой тайны.
В суде компания доказала следующие факты: ознакомление работника с положением "О коммерческой тайне", соблюдение процедуры привлечения к дисциплинарной ответственности, факт отправки документов в адрес заместителя генерального директора сторонней организации - данных о контрагентах, сведений о сроках и способах оказания услуг, размерах вознаграждения.
Но, если конфиденциальная информация не передается третьим лицам, факт копирования сведений без передачи третьим лицам не может расцениваться как разглашение. Так, в Определении от 12.12.2011 по делу N 4г/8-10961/2011 Мосгорсуд пришел к выводу о том, что информация, скопированная истицей на флэш-карту, составляла коммерческую тайну общества, однако доказательств того, что данные сведения были переданы ею третьим лицам, сторона ответчика не представила, а истица совершение подобных действий отрицала. Доказательств пересылки истицей указанных сведений на электронные почтовые ящики третьих лиц, а равно фактов размещения в сети Интернет суд также не получил. При осмотре домашнего компьютера истицы и удалении из него скопированной информации таковых фактов ответчик не зафиксировал. Отметок об этом в акте об удалении информации не было. Действия работника, в результате которых указанная информация становится доступна иным сотрудникам, осуществляющим контроль за соблюдением режима коммерческой тайны в организации, не могут быть квалифицированы по пп. "в" п. 6 ч. 1 ст. 81 ТК РФ. При таких обстоятельствах, когда конфиденциальная информация не была разглашена третьим лицам, физическое лицо может быть восстановлено на работе с выплатой компенсации за время вынужденного прогула.
Распространение несекретной информации не является разглашением конфиденциальных сведений. Такой вывод следует из Определения Мосгорсуда от 14.11.2011 по делу N 33-36486. Суд пришел к выводу о том, что сведения о наличии оборудования, его стоимости, данные о дистрибьюторах не представляют коммерческой тайны, т.к. размещены в прайс-листах, каталогах и буклетах. Таким образом, конфиденциальность не была нарушена. Аналогичный вывод сделал Мосгорсуд в Определении от 18.10.2011 по делу N 33-33741. Разрешая спор и частично удовлетворяя исковые требования, суд обоснованно исходил из того, что обязанность доказать наличие законного основания увольнения и соблюдение установленного порядка увольнения возлагаются на работодателя. Работодатель не представил как доказательств того, что система B2B содержала конфиденциальную информацию, так и доказательств распространения истцом данных, составляющих коммерческую тайну.
Конечно, многие компании в суде не могут доказать свою правоту, поскольку в нормативно-правовой базе отсутствует конкретный перечень документов, которыми можно подтвердить убытки, связанные с незаконным раскрытием конфиденциальной информации. Кроме того, очень сложно оценить именно материальную составляющую, например, утечки информации о контрагентах или финансовых показателях, а также сам факт разглашения. Ведь разглашение может быть осуществлено как в письменной форме, так и в устной. В связи с этим многие компании вынуждены использовать такие методы наказания нерадивых работников, как дисциплинарные взыскания.
Однако иногда компании предпочитают не выносить сор из избы и расстаются с такими работниками по-хорошему. В подобных ситуациях предпочтительнее оформить увольнение по соглашению сторон, предусмотренному ст. 78 ТК РФ. Одно из существенных преимуществ заключается в том, что оспорить такое увольнение практически невозможно, поскольку наличествует взаимная договоренность сторон.
В заключение следует отметить, что от того, насколько четко компания определяет перечень конфиденциальных сведений, а также порядок их охраны, зависят целостность коммерческой тайны, защита интересов организации и возможность восстановления справедливости в суде.
Приложение
| N п/п | Сведения, отнесенные к конфиденциальной (служебной) информации |
| I. Сведения об отраслевой управленческой деятельности | |
| 1 | Отдельные материалы заседаний Федерального агентства железнодорожного транспорта (далее - Росжелдора) и сведения, содержащиеся в них, ограничение доступа к которым установлено решением заседания ПДТК Росжелдора |
| 2 | Сведения (информация), подготовленные Росжелдором на поступающие из органов государственной власти, предприятий, учреждений и организаций, независимо от организационно-правовой формы и формы собственности с пометкой "Для служебного пользования", "Коммерческая тайна", "Конфиденциально" и другие в части, не содержащей сведений, составляющих государственную тайну |
| 3 | Сведения, содержащие показатели государственного оборонного заказа в части, не содержащей сведений, составляющих государственную тайну |
| 4 | Сведения, содержащиеся в материалах служебной проверки (расследования), до утверждения акта (заключения) по проверке, а также если сведения, полученные в результате проверки (расследования), могут быть использованы в дальнейшем для противоправного действия (нанесения ущерба) |
| 5 | Сведения об организации работы, о конкретных мерах или проводимых мероприятиях, направленных на обеспечение информационной безопасности при осуществлении международного сотрудничества с участием представителей Росжелдора, а также содержащиеся в подготовительных или отчетных документах (формах) о проведении встречи |
| II. Сведения об административно-хозяйственной деятельности | |
| 6 | Сведения о персональных данных работника Росжелдора, содержащиеся в личном деле работника, кроме случаев, предусмотренных законодательством Российской Федерации |
| 7 | Сведения, получаемые при приеме гражданина на государственную гражданскую службу, необходимые для оформления допуска к государственной тайне |
| 8 | Сведения об осведомленности работника со сведениями, составляющими государственную тайну |
| 9 | Протоколы заседаний конкурсных комиссий по проведению конкурсов на замещение вакантных должностей государственной гражданской службы |
| 10 | Акты проверок деятельности территориальных управлений и подведомственных организаций |
| 11 | Сведения о штатном расписании Росжелдора |
| 12 | Сведения о расположении структурных подразделений в здании |
| 13 | Протоколы заседаний жилищной комиссии |
| 14 | Протоколы заседаний конкурсной комиссии по проведению квалификационного экзамена и аттестации |
| III. Сведения о режиме секретности, мобилизационной подготовке, гражданской обороне, чрезвычайных ситуациях и транспортной безопасности |
|
| 15 | Акты проверок обеспечения пропускного режима в административное здание Росжелдора |
| 16 | Сведения о результатах оценки уязвимости объектов транспортной инфраструктуры и транспортных средств, кроме тех, обеспечение безопасности которых осуществляется исключительно федеральными органами исполнительной власти |
| 17 | Сведения, содержащиеся в планах обеспечения транспортной безопасности объекта транспортной инфраструктуры и транспортного средства |
| 18 | Сведения, являющиеся информационными ресурсами единой государственной информационной системы обеспечения транспортной безопасности, подготовленные Росжелдором, за исключением выписок из реестра категорированных объектов транспортной инфраструктуры и транспортных средств |
| IV. Сведения о защите информации | |
| 19 | Сведения об организации обработки служебной информации на средствах вычислительной техники Росжелдора |
| 20 | Сведения, раскрывающие организацию, состояние защиты информации, или носителей информации, или информационного процесса |
| 21 | Сведения о методах, средствах или эффективности (состоянии защиты) конфиденциальной информации в автоматизированных информационных системах, средствах вычислительной техники, других технических средствах |
| 22 | Обобщенные сведения, содержащиеся в схеме локальной вычислительной сети Росжелдора, с указанием организационно-технологических параметров или технических характеристик и мест расположения ее ответственных составных частей, информационных узлов (определены на схеме) |
| 23 | Сведения о конкретных проводимых и (или) планируемых мероприятиях по информационной безопасности конфиденциальной информации |
| V. Прочие сведения | |
| 24 | Сведения об организации, состоянии или расположении инженерных систем видеонаблюдения, пожарной или охранной сигнализации здания Росжелдора |
| 25 | Сведения, раскрывающие содержание планов и конкретных мероприятий по охране здания Росжелдора, помещений, в которых выполняются работы, хранятся материалы, ведутся переговоры конфиденциального характера |
| 26 | Данные охранного видеонаблюдения, фиксации системы охраны помещений, электронной системы прохода в здание |
Е.Шестакова
генеральный директор
ООО "Актуальный менеджмент"
Конфиденцильная информация – это документы (приватная информация) в электронном или бумажном виде, содержание которой доступно только определенной группе людей, а ее передача третьим лицам является грубым нарушением законодательства Российской Федерации.
Конфиденциальная информация – это коммерческая, военная, банковская, служебная или государственная тайна. Как правило, конфиденциальная информация может представлять собой особую категорию и относиться к коммерческой тайне.
Сегодня можно выделить несколько основных категорий конфиденциальной информации, каждая из которых относится к своей категории:
1. Научно-техническая
. Здесь идет речь о новых идеях, открытия, патентах, оригинальных ноу-хау, современных методиках организации в производственной сфере, рационализаторских предложениях по внедрению неизвестных ранее и более совершенных технологий, появлению новых типов продукции, уникальных методах анализа конкурентоспособности, кодах и паролях, открывающих доступ к конфиденциальной информации, а также уникальное программное обеспечение.
Производственная. К данной категории можно отнести новые технологии в производственной сфере, секретную конструкторскую информацию, схемы и чертежи, данные о материалах, планируемое время выхода товара на рынок, планы выпуска новой продукции, рецептура изготовления товаров, планы дальнейших вложений в новое производство и так далее.
3. Финансовая . К конфиденциальной информации финансового характера относится реальный размер прибыли компании, себестоимость производства (или продукции), банковские или торговые сделки, механизм формирования ценовой политики, уровень платежеспособности и так далее.
4. Деловая .
Здесь речь идет о следующих данных – условиях заключения договоров с другими участниками рынка, внутренней организационной системы, планирования рекламной компании на ближайшее время, информации о конкурирующих компаниях и поставщиках, данные о работниках компании и переговорном процессе с деловыми партнерами, информации о коммерческой переписке и так далее.
С целью защиты конфиденциальных данных от третьих лиц составляется соглашение, которое, как правило, подписывается двумя сторонами. Суть договора – возможность обмена информацией и знаниями с учетом ограниченного доступа к ним посторонних лиц. Основное назначение соглашения – защита ценных данных от утечки. При этом в договоре могут отовариваться все типы конфиденциальной информации — от коммерческой тайны компании до личных данных о ее работниках.
Сегодня можно выделить два основных типа соглашения, которые заключаются в различных учреждениях:
— односторонний договор. Особенность такого документа – изъявление желания одной стороны передать конфиденциальную информацию другой стороне. При этом основным условием соглашения является полная закрытость информации для третьих лиц. Чаще всего такие соглашения оформляются при приеме на работу и оформляются, как один из видов трудовых отношений между сотрудником компании и работодателем. В большинстве случаев такие документы обязательно включают положения, в которых ограничивается право использования, передачи и распространения информации (чаще всего речь идет о данных компании);
— взаимный договор. Особенность такого соглашения – в обоюдной передаче конфиденциальной информации обоих подписантов соглашения. Такие документы чаще всего подписываются в случае слияния двух крупных компаний, проведения совместных крупных сделок и так далее.
В соглашения о неразглашении конфиденциальной информации может быть включена любая информация, которую те или иные лица считаются секретной. При этом для большинства случаев уже разработаны специальные шаблоны. Они состоят из нескольких основных разделов – предмет соглашения, права и обязательства сторон, срок действия договора, особые условия личные данные подписантов (ФИО, адреса, реквизиты и так далее).
Как правило, по договору о неразглашении лицо берет на себя следующие обязательства :
— не использовать конфиденциальную информацию в своих целях и для получения выгоды;
— не разглашать полученные сведения третьим лицам;
— при первой же попытке посторонних лиц получить доступ к конфиденциальной информаци или выведать ее сообщать об этом непосредственному руководству компании;
— строго выполнять все требования и нормы правовых актов в отношении конфиденциальных данных;
— не передавать в течение какого-то времени (как правило, один год) конфиденциальные сведения после прекращения права допуска к ним.
При этом лицо-подписант дает согласие, что в случае невыполнения взятых на себя обязательств и предоставления информации посторонним, он может нести дисциплинарную или другую ответственность. Наказание для нарушителя может быть прописано в трудовом соглашении и законодательстве РФ.
Наибольшее внимание защите конфиденциальных данных уделяют предприниматели, которые предусматривают следующие способы защиты:
1. Организационная защита . Здесь есть три пути:
— создание специальной структуры, которая берет на себя функции защиты конфиденциальной информации, несет ответственность за предоставления прав доступа и проверку сотрудников, получающих право на допуск к особым данным;
— четкое соблюдение всех установленных в организации правил и контроль их исполнения. Одновременно с этим организовывается строгая система доступа к конфиденциальным данным. Что касается контроля, то он может быть нескольких типов – документальный, визуальный и так далее;
— разделение всех имеющихся в компании данных по типу важности. При этом организовывается ступенчатая система допуска. К примеру, к менее важной информации допускаются рядовые сотрудники, а к конфиденциальным данным особой важности – менеджеры крупного звена и руководители.
2. Законодательная защита . Ее особенность – упор на соблюдение тех прав бизнесмена, которые зафиксированы в законе РФ. Если же права владельца компании (предпринимателя) нарушены, то он может обратиться в соответствующие структуры для защиты своих интересов и возмещения нарушителем убытков компании.
3. Физическая защита – одно из наиболее важных мероприятий, которому уделяется внимание почти на всех предприятиях. Здесь речь идет об организации пропускного режима, создании и выдаче сотрудникам специальных карт (или предоставление таковых посторонним лицам), применение шкафов повышенной надежности, использование закрывающихся сейфов и так далее.
4. Техническая защита . К такому методу можно отнести использование специальных средств защиты и контроля конфиденциальных данных, таких как микрофоны, видеокамеры, сигнализирующие устройства, системы идентификации пользователей и так далее.
5. Работа с персоналом . Одним из самых важных направлений деятельности является выстраивание правильной работы с трудовым коллективом. Здесь подразумевается организация работы по набору персоналу, оптимизация существующих кадровых служб предприятия, дополнительное обучение персонала, его проверка, стимулирование и прочие мероприятия.
Важный момент – регулярное проведение инструктажей о важности соблюдения правил пользования конфиденциальными данными, а также вероятной ответственности за их разглашение. К основным угрозам конфиденциальной информации, которые исходят от персонала, можно отнести:
— вероятное переманивание работника компании конкурирующей организацией;
— обманные предложения о предоставлении новой должности с хорошим заработком исключительно для выведывания конфиденциальной информации;
— постановка вопросов действующим сотрудникам в особой форме, вынуждающей к разглашению секретных данных;
— предложение финансового вознаграждения за предоставление тех или иных данных (подкуп);
— тайное наблюдение за работниками организации;
— направление специальных агентов для работы в структуре с целью дальнейшего «выуживания» интересующей информации.
Для обеспечения максимальной безопасности проверка персонала должна проходить три основных этапа:
1. Предварительный период , когда работник еще не принят на работу. Здесь речь идет о доскональной проверке кандидата и подписания им основных документов – трудового договора и соглашения о неразглашении.
2. Текущий период (деятельность сотрудника). Здесь обязателен испытательный срок, ознакомление с порядком доступа к конфиденциальной информации, обязанностями, существующими ограничениями и так далее.
Заключительный период (увольнение). Во избежание утечки важной информации после увольнения сотрудник предупреждается о возможных последствиях своих потенциальных действий (о предоставлени важной информации третьим лицам) и дает подписку о неразглашении.
Слово конфиденциальность английскими буквами(транслитом) — konfidentsialnost
Слово конфиденциальность состоит из 18 букв: а д е и и к л н н н о о с т ф ц ь ь
Конфиденциальность
Конфиденциа́льность, внегласность (от англ. confidence - доверие) - необходимость предотвращения утечки (разглашения) какой-либо информации. С этимологической точки зрения, слово «конфиденциальный» происходит от латинского confidentia - доверие.
ru.wikipedia.org
Конфиденциальность (от лат. " confidential" — доверительный, секретный) — обобщенная категория понятий и требований, регламентирующих вопросы предотвращения утечки (разглашения) какой-либо информации…
Энциклопедический фонд России
Конфиденциальность – обеспечение неразглашения ИНФОРМАЦИИ о потребителях услуг. Агентства по социальной работе придают большое значение ограничению доступа к сведениям о КЛИЕНТАХ.
Словарь справочник по социальной работе. — 2010
Конфиденциальность (лат. confidentia — доверие) — сохранение в тайне чего-либо, не подлежащего разглашению в соответствии с нормами договора, права, морали, например, врачебной этики или нравственных обязательств психолога.
Конфиденциальность — (лат. confidentia — доверие) — сохранение в тайне, не подлежащее разглашению в соответствии с нормами права или этики, например, врачебной.
Жмуров В.А. Большой толковый словарь терминов по психиатрии
Конфиденциальность Этическое требование, применяющееся как в экспериментальных исследованиях, так и в психотерапии. Согласно этому требованию участники или пациенты имеют право на то, чтобы информация…
Психология от А до Я. — 2000
Конфиденциальность, право на
Конфиденциальность, право на (privacy, right of), право на свободу от вмешательства и слежки, пользующееся особым пиететом в амер.
законодательстве. В индивидуалистических зап. об-вах К. входит в понятие свободы личности…
Народы и культуры. — 2002
Конфиденциальность информации
Конфиденциальность информации
Словарь финансовых терминов
Конфиденциальность информации — принцип аудита, заключающийся в том, что аудиторы обязаны обеспечивать сохранность документов, получаемых или составляемых ими в ходе аудиторской деятельности…
Словарь финансовых терминов
Конфиденциальность информации — принцип аудита, заключающийся в том, что аудиторы обязаны обеспечивать сохранность документов, получаемых или составляемых ими в ходе аудиторской деятельности…
Конфиденциальность информации (Confidentiality information) - запрет передачи определенной информации посторонним лицам без согласия ее обладателя. Например…
slovar-lopatnikov.ru
КОНФИДЕНЦИАЛЬНОСТЬ ИНФОРМАЦИИ В АУДИТЕ
КОНФИДЕНЦИАЛЬНОСТЬ ИНФОРМАЦИИ В АУДИТЕ (англ. confidentiality)– один из принципов аудита, заключающийся в том, что аудиторы (аудиторские фирмы) обязаны обеспечивать сохранность документов…
Финансово-кредитный энциклопедический словарь / Под общ. ред. А.Г. Грязновой. — 2004
Налоговая конфиденциальность
Словарь финансовых терминов
Налоговая конфиденциальность — налагаемое на представителей налоговых органов обязательство нераспространения данных о финансовом положении и налоговом статусе налогоплательщика, кроме случая решения судебных органов.
Налоговая конфиденциальность. — налагаемое на представителей налоговых органов обязательство нераспространения данных о финансовом положении и налоговом статусе налогоплательщика, кроме случая решения судебных органов.
Бизнес-словарь
Принцип конфиденциальности
Принцип конфиденциальности — принцип бухгалтерского учета, предполагающий соблюдение коммерческой тайны предприятия, за разглашение которой предусмотрена законодательно установленная ответственность.
Принцип конфиденциальности. — принцип бухгалтерского учета, предполагающий соблюдение коммерческой тайны предприятия, за разглашение которой предусмотрена законодательно установленная ответственность.
Бизнес-словарь
Русский язык
Конфиденциа́льность, -и.
Орфографический словарь. - 2004
Важными принципами нашей работы являются анонимность и конфиденциальность.
Планирует ли Google сделать конфиденциальность приоритетом для будущих разработчиков приложений для Glass?
Сама же компания Baker Tilly тоже отказалась от данного вида заявления, ссылаясь на конфиденциальность.
Цюрупы, 95, либо на адрес электронной почты: [email protected]. Конфиденциальность гарантируется.
В организациях всегда имеются управленческие документы, утечка содержания которых нежелательна или просто вредна, так как может быть использована прямо или опосредственно во вред ее авторам.
Такая информация и соответственно документы, содержащие ее, считаются конфиденциальными (закрытыми, защищаемыми) .
Документированная информация ограниченного доступа всегда принадлежит к одному из видов тайны — государственной или негосударственной.
В соответствии с этим документы делятся на секретные и несекретные .
Обязательным признаком (критерием принадлежности) секретного документа является наличие в нем сведений, составляющих в соответствии с законодательством государственную тайну.
Несекретные документы , включающие сведения, относимые к негосударственной тайне (служебной, коммерческой, банковской, профессиональной, производственной и др.), или содержащие персональные данные граждан, именуются конфиденциальными.
Законодательством РФ установлено, что документированная информация (документы) является общедоступной, за исключением отнесенной законом к категории ограниченного доступа .
При этом документированная информация с ограниченным доступом подразделяется:
1) на информацию, отнесенную к государственной тайне,
2) конфиденциальную информацию.
Оба указанных вида информации подлежат защите от незаконного распространения (разглашения) и относятся к охраняемой законодательством тайне.
Обязательным признаком конфиденциального документа является наличие в нем информации, подлежащей защите.
То есть, конфиденциальна, прежде всего, информация, а уж затем становятся конфиденциальными и документы, в которых эта информация зафиксирована.
За исключением государственных секретов.
Информация может быть разделена на три категории.
1. Несекретная (или открытая) , которая предназначена для использования как внутри фирмы, так и вне нее.
Для служебного пользования , которая предназначена только для использования внутри фирмы. Она подразделяется, в свою очередь, на две подкатегории:
— доступную для всех сотрудников фирмы;
— доступную для определенных категорий сотрудников, но могущую быть переданной в полном объеме другому сотруднику для производства необходимой работы.
3. Секретная информация (или информация ограниченного доступа), которая предназначена для использования только специально уполномоченными сотрудниками фирмы и не предназначена для передачи иным сотрудникам в полном объеме или по частям.
Информацию второй и третьей категории обычно называют конфиденциальной.
Таким образом, конфиденциальная информация — информация, доступ к которой ограничивается в соответствии с законодательством и уровнем доступа к информационному ресурсу.
Конфиденциальная информация становится доступной или раскрытой только санкционированным лицам, объектам или процессам.
Российское законодательство выделяет несколько видов конфиденциальной информации.
Указом Президента РФ от 06.03.1997 № 188 (ред. от 23.09.2005) утвержден Перечень сведений конфиденциального характера:
1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные).
2. Сведения, составляющие тайну следствия и судопроизводства , а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с Федеральным законом от 20 августа 2004 г. № 119-ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства» и другими нормативными правовыми актами Российской Федерации.
3. Служебные сведения , доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна).
4. Сведения, связанные с профессиональной деятельностью , доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее).
Сведения, связанные с коммерческой деятельностью , доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна).
6. Сведения о сущности изобретения , полезной модели или промышленного образца до официальной публикации информации о них.
Конфиденциальность информации предполагает защиту ее от несанкционированного доступа.
Конфиденциальность обеспечивается следующим требованием законодательства:
Конфиденциа́льность (от - доверие) - необходимость предотвращения утечки какой-либо информации.
С этимологической точки зрения, слово «конфиденциальный» происходит от латинского confidentia - доверие. В современном русском языке это слово означает «доверительный, не подлежащий огласке, секретный». Слово «секрет», заимствовано из французского secret означает - «тайна». В словаре В. Даля также названы аналогичные значения: «конфиденциальная» - «откровенная, по особой доверенности, неоглашаемая, задушевная»; «тайна» - «кто чего не знает, то для него тайна, все сокрытое, неизвестное, неведомое». Исходя из определений понятия конфиденциальная информация, тайна, секрет являются равнозначными.
С развитием информационных технологий проблема конфиденциальности и конфиденциальной информации приобретает большую значимость.
И в различных областях и различных странах конфиденциальность и информация относящаяся к конфиденциальной определяется по разному.
В странах Европейского союза конфиденциальность информации регулируется с помощью ряда соглашений и директив, таких как директива ЕС 95/46/ЕС, 2002/58/ЕС и ETS 108, ETS 181, ETS 185, ETS 189.
Так, конвенция «О преступности в сфере компьютерной информации» (ETS N 185 ) направлена на сдерживание, в том числе, действий направленных против конфиденциальности компьютерных данных и компьютерных сетей, систем. Согласно данной конвенции для противодействия преступлениям против конфиденциальности доступности и целостности компьютерных данных и систем каждая сторона принимает законодательные и иные меры, необходимые для того, чтобы квалифицировать в качестве уголовного преступления согласно её внутригосударственному праву:
Согласно конвенции «О защите физических лиц при автоматизированной обработке персональных данных» (ETS N 108 ) стороны должны соблюдать секретность или конфиденциальность при обработке персональных данных, а также в отношении информации сопровождающей ходатайство о помощи.
Директива «О защите физических лиц при обработке персональных данных и о свободном обращении таких данных» (N 95/46/ЕС ) затрагивает вопрос конфиденциальности в своей области. Согласно данной директиве, «оператор» - физическое или юридическое лицо, государственный орган, агентство или любой другой орган, который самостоятельно или совместно с другими определяет цели и способы обработки персональных данных; когда цели и способы обработки определены законодательством или подзаконными актами на национальном уровне или уровне Сообщества, оператор или конкретные критерии его назначения могут быть установлены национальным законодательством или законодательством Сообщества. А «обработчик» - это физическое или юридическое лицо, государственный орган, агентство или любой другой орган, который обрабатывает персональные данные от имени оператора. Для обеспечения конфиденциальности, любое лицо, действующее под руководством оператора или обработчика, включая самого обработчика, которое имеет доступ к персональным данным, не может их обрабатывать, кроме как по поручению оператора, если оно не обязано это делать по закону.
Согласно дополнению к директиве N 95/46/EC , директива 2002/58/ЕС , конфиденциальность относительно обработки персональных данных и защите частной жизни в электронном коммуникационном секторе заключается в запрете просмотра, записи или хранения, а также других способах вмешательства или наблюдения за сообщениями и относящего к ним данным по трафику, осуществляемые лицами или другими пользователями без согласия самого пользователя.
В англо-американской традиции различают два основных вида конфиденциальности: добровольную (privacy) и принудительную (secrecy).
(См. Эдвард Шилз - The Torment of Secrecy: The Background & Consequences Of American Security Policies (Chicago: Dee 1956) В первом случае имеются в виду прерогативы личности, во втором случае имеется в виду информация для служебного пользования, доступная ограниченному кругу официальных лиц фирмы, корпорации, государственного органа, общественной или политической организации. Хотя privacy и secrecy схожи по значению, на практике они обычно противоречат друг другу: усиление secrecy ведёт к нарушению и уменьшению privacy. В тоталитарных и авторитарных государствах под конфиденциальностью, как правило, имеется в виду только secrecy.
Конфиденциальность является не только практическим, но и юридическим термином. Под конфиденциальностью понимают обязательное выполнение лицом, имеющим какие-то данные, не передавать ее другим лицам без уговора с обладателем. На практике взаимоотношения такого характера означают, что с информацией, которую гражданин добровольно передает другой стороне, будет знакома только она.
Распространять данные запрещено, использовать их можно только в целях, согласованных с обладателем. Например, когда заявитель обращается в банк за кредитом и предоставляет пакет документов, то финансовая организация должна использовать полученную информацию только для проверки платежеспособности претендента на кредит.
Согласно Указу Президента России от 6 марта 1997 года с дополнениями от 23 сентября 2015 года, персональные данные являются конфиденциальной информацией.
В свою очередь, персональными данными считаются факты о событиях или обстоятельствах, которые помогут идентифицировать гражданина как личность посторонним людям. К перечню персональных данных отдельным документом в 1997 году были добавлены сведения об актах гражданского состояния в связи с государственной регистрацией.
Помимо персональных данных, к перечню конфиденциальных относятся и другие виды информации. Они утверждены законом «О перечне сведений конфиденциального характера».
За разглашение информации и распространение документов, содержавших конфиденциальную информацию, гражданин может быть привлечен к дисциплинарной, материальной, административной и уголовной ответственности в зависимости о тяжести проступка.
Распространение данных, доступ к которым был ограничен федеральным законом, влечет за собой административную ответственность (статья 13.14 Кодекса РФ об административным правонарушениях).
Статья 13.14 КоАП РФ. Разглашение информации с ограниченным доступом
Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 настоящего Кодекса , — влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц — от четырех тысяч до пяти тысяч рублей.
Примечание. Адвокаты, совершившие административное правонарушение, предусмотренное настоящей статьей, несут административную ответственность как должностные лица.
Гражданину в Российской Федерации придется заплатить штраф в размере от 500 до 1000 рублей, штраф для должностных лиц, включая адвокатов, возрастает до 5000 рублей.
За разглашение коммерческой, служебной или государственной тайны работнику предприятия будет грозить дисциплинарная ответственность, предусмотренная , , и 193 Трудового Кодекса России . Предусмотрены дисциплинарные взыскания:
Если распространение информации нанесло вред предприятию, наступает материальная ответственность. Статьи 232 и предусматривают возмещение потерь в полном объеме. Если разглашение конфиденциальных данных привело к материальному или материальном ущербу, пострадавшая сторона может потребовать компенсацию в судебном порядке.
Наступление уголовной ответственности связано с выдачей сведений под грифом «государственная тайна» иностранному государству, организации или гражданину.
Согласно , 284 и 275 Уголовного Кодекса Российской Федерации за проступок предусмотрено следующее наказание – лишение свободы сроком от 12 месяцев до двадцати лет в зависимости от обстоятельств.
Статья 284 УК РФ. Утрата документов, содержащих государственную тайну
Нарушение лицом, имеющим допуск к государственной тайне, установленных правил обращения с содержащими государственную тайну документами, а равно с предметами, сведения о которых составляют государственную тайну, если это повлекло по неосторожности их утрату и наступление тяжких последствий, — наказывается ограничением свободы на срок до трех лет, либо арестом на срок от четырех до шести месяцев, либо лишением свободы на срок до трех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.
Дополнительно накладывается штраф в размере до 500 000 рублей или заработной платы в период до 3 лет.
Как видите, законодательство Российской Федерации защищает конфиденциальность информации, а граждане, столкнувшиеся с нарушениями, могут отстоять свои права и получить компенсацию. Пользуйтесь своими возможностями, как известно, информация в современном мире уже стала одним из самых дорогостоящих капиталов, и его необходимо беречь.
