Топология с секретами государственной регистрации: что нужно знать о защите информации

Самый надежный способ защиты конфиденциальной информации для компаний — разработка и внедрение внутренних политик. Организации должны сами решать, какие политики включать в свои системы, с учетом своей отрасли, размера и особенностей. Однако важно знать все основные виды защиты конфиденциальности, чтобы при необходимости быстро и естественно интегрировать защиту конфиденциальности в правовую базу.

1. политика конфиденциальности. Термин «конфиденциальная информация» включает в себя всю информацию, имеющую коммерческую ценность. Компании имеют право самостоятельно решать, какие данные и как защищать. Российское законодательство предоставляет «коммерческую тайну» в качестве готового инструмента для этого. Однако это, как правило, не соответствует глобальной политике конфиденциальности и не удовлетворяет требованиям иностранных агентств или штаб-квартир зарубежных компаний.

Система коммерческой тайны достаточно формализована. На практике, когда нас просили локализовать политику конфиденциальности глобальной компании для России, мы не раз сталкивались с тем, что согласование с системой коммерческой тайны не проходит гладко». Помимо юридического определения, нам необходимо принять политику конфиденциальности, а не систему коммерческой тайны», — говорит Юлия Гурьева, старший юрист международной юридической фирмы и приглашенный профессор Высшей школы экономики Национального исследовательского университета.

2. Защита секретов производства (ноу-хау) Ноу-хау — это любая информация о результатах интеллектуальной деятельности или способах осуществления профессиональной деятельности в области науки и техники, которая не известна третьим лицам и поэтому имеет действительную или потенциальную коммерческую ценность.

Компании могут защищать свои ноу-хау с помощью коммерческой тайны. Однако этот способ не является обязательным. Юлия Гурьева советует: «Вы можете использовать и другие методы, называть их конфиденциальной информацией и создавать свои более широкие и детальные механизмы регулирования вопросов конфиденциальности».

Доказательством тому служит возможность того, что недавно произошел феномен «ледокола». Ситуации, когда сотрудники захватывают компании, происходят довольно часто. Трое сотрудников истца уволились и создали аналогичные компании, где представили разработки, выполненные их бывшими работодателями. Все, что дошло до суда, было расследовано, и в первом и втором случаях истцам удалось отстоять свою экспертизу, несмотря на отсутствие платной схемы конфиденциальности», — говорит Джулия Гриева.

17-й окружной апелляционный суд постановил, что истцы предприняли разумные и достаточные меры для защиты своих коммерческих секретов. Например, сотрудник получил соглашение о конфиденциальности, касающееся элементов оплачиваемых секретов компании. В трудовом соглашении учитывалось обязательство работника защищать информацию, что является элементом обязанности работодателя по соблюдению конфиденциальности. Кроме того, работники были проинформированы о том, что они имеют дело с элементами секрета производства, которые являются результатом умственного труда истца.

В результате первый истец потребовал возмещения ущерба в размере более 5 млн рублей.

3. политический аспект ментальной принадлежности. ‘Этот документ регламентирует отношение к результатам интеллектуального труда, полученным в компании’. В нем прописано, какую позицию должен занять сотрудник, если он создал плоды интеллектуального труда, какие внутренние меры он должен предпринять, к кому обратиться, какое уведомление направить и т. д.», международная юридическая фирма „Гуляа Свелант“, Россия. Глава и управляющий партнер практики интеллектуальной собственности, медиа и технологий, а также практики медицины и здравоохранения в Федерации и странах СНГ.

Гражданской особенностью защиты интеллектуальной собственности является чрезвычайно строгая конфиденциальность. Например, можно ожидать введения специальных мер защиты информации или отказа от передачи результатов по незащищенным каналам связи.

Решение о сохранении информации в тайне или ее защите путем выдачи предписания о ее раскрытии в Российском патентном ведомстве принимается коллегиально небольшой группой директоров.

4. защита персональных данных. Каждая компания сталкивается с персональными данными и часто так или иначе вступает с ними в контакт. Джулия Гриева говорит: «Персональные данные должны быть защищены не только потому, что этого требует закон, но и потому, что это один из ваших активов, потеря которого может привести к огромным убыткам и дальнейшим проблемам».

Существует множество категорий персональных данных. К ним относятся специальные категории персональных данных (например, состояние здоровья), биометрические данные, данные о судимости и отпечатки пальцев. Для каждой категории учитываются основания для обработки (например, роль человека в судебном разбирательстве или выполнение задач, поставленных в международных договорах или законах). В принципе, компаниям нужны только данные о сотрудниках. Самым безобидным и универсальным основанием для обработки данных считается письменное согласие субъекта данных.

Существуют различные виды мер по обеспечению безопасности персональных данных, например, технические, организационные и правовые. Все меры закреплены в законодательстве. Когда Роскомнадзор проводит проверку, сразу можно отличить, что соответствует действительности, а что нет», — предупреждает Светлана Гряева.

К правовым мерам относятся специальные локальные законы (например, положение об обработке персональных данных, страхование при обработке персональных данных, штаты по защите персональных данных), передача неограниченного доступа к лицам, ответственным за обработку персональных данных, разработка типовых документов (согласия, анкеты) на обработку персональных данных, а также индивидуальные договоры обработки данных.

Организационные меры включают в себя выделение серьезных лиц, оценку ущерба, который может быть нанесен отдельным субъектам данных в случае нарушения, надежную идентификацию персональных данных, информирование сотрудников о процедурах обработки, хранение материалов в сейфе, проведение внутренних аудитов, доступ к ИСПДн (информационной системе персональных данных) включает в себя ограничение доступа к ИСПДн (информационной системе персональных данных).

Технические меры включают классификацию ИСПДн, определение рисков безопасности и критичности безопасности индивидуальных данных и обеспечение их соблюдения.

5. ИТ-политика. ИТ-политика — это технический документ, в котором формализованы все меры, принимаемые компанией для защиты своих данных.

Международные компании обычно стремятся к единообразию и прозрачности в применении технических мер защиты информации. В российских компаниях групповые ИТ-политики не распространены, но большинство компаний не сообщает о них в частном порядке. Не всегда необходимо информировать штатных сотрудников о существовании ИТ-политики. Конфиденциальность помогает защитить бизнес от киберрисков.

6. Принеси свое устройство (BYOD) — политическое лицо. Хакерам и преступникам не всегда нужны специальные шифровальные жучки, чтобы проникнуть в данные компании; иногда достаточно номера телефона сотрудника. Использование собственного устройства часто рассматривается как важная задача кибербезопасности», — говорит Светлана Гряева.

Политика BYOD включает в себя регулирование использования мобильных устройств (смартфонов, планшетов и ноутбуков) сотрудниками и компаниями. Для защиты информации и анализа действий, совершаемых с данными компании, может потребоваться доступ к используемым сотрудниками устройствам. Это необходимо для установки дополнительных программ безопасности, доставания личных аксессуаров и проверки файлов, которые считаются опасными для других хранящихся там файлов.

В рамках политики BYOD сотрудники должны быть обучены тому, как пользоваться всеми устройствами и что делать категорически нельзя.

7. конфиденциальность по договору. Во многих случаях компании имеют доступ к гораздо большему объему ценной информации, чем считают политики. Это, например, информация о торговых партнерах и потенциальных торговых партнерах или условно секретная информация (сведения о текущих планах, торговых стратегиях, судебных разбирательствах и предстоящих событиях). Нельзя забывать и о данных, собранных третьими лицами, например, в рамках рекламных исследований, например, при сборе информации о воздействии маркетинговых кампаний.

Вопрос о конфиденциальности предоставляемых категорий информации часто можно решить простым соглашением.

Узнайте больше о правовых последствиях несоблюдения конфиденциальности политиками на вебинаре Натальи Гряевой и Юлии Гряевой.