Информация носит конфиденциальный характер. Перечень конфиденциальных данных, определенных законодательством

Библиографическое описание:

Нестеров А.К. Обеспечение информационной безопасности [Электронный ресурс] // Образовательная энциклопедия сайт

Одновременно с развитием информационных технологий и повышением значимости информационных ресурсов для организаций, растет и количество угроз их информационной безопасности, а также возможный ущерб от ее нарушений. Возникает объективная необходимость обеспечения информационной безопасности предприятия. В связи с этим, прогресс возможен только в условиях целенаправленного предупреждения угроз информационной безопасности.

Средства обеспечения информационной безопасности

Обеспечение информационной безопасности осуществляется с помощью двух типов средств:

• программно-аппаратные средства
• защищенные коммуникационные каналы

Программно-аппаратные средства обеспечения информационной безопасности в современных условиях развития информационных технологий наиболее распространены в работе отечественных и зарубежных организаций. Подробно рассмотрим основные программнно-аппаратные средства защиты информации.

Программно-аппаратные средства защиты от несанкционированного доступа включают в себя меры идентификации, аутентификации и управления доступом в информационную систему.

Идентификация – присвоение субъектам доступа уникальных идентификаторов.

Сюда относят радиочастотные метки, биометрические технологии, магнитные карты, универсальные магнитные ключи, логины для входа в систему и т.п.

Аутентификация – проверка принадлежности субъекта доступа предъявленному идентификатору и подтверждение его подлинности.

К процедурам аутентификации относятся пароли, pin-коды, смарт-карты, usb-ключи, цифровые подписи, сеансовые ключи и т.п. Процедурная часть средств идентификации и аутентификации взаимосвязана и, фактически, представляет базовую основу всех программно-аппаратных средств обеспечения информационной безопасности, так как все остальные службы рассчитаны на обслуживание конкретных субъектов, корректно распознанных информационной системой. В общем виде идентификация позволяет субъекту обозначить себя для информационной системы, а с помощью аутентификации информационная система подтверждает, что субъект действительно тот, за кого он выдает. На основе прохождения данной операции производится операция по предоставлению доступа в информационную систему. Процедуры управления доступом позволяют авторизовавшимся субъектам выполнять дозволенные регламентом действия, а информационной системе контролировать эти действия на корректность и правильность полученного результата. Разграничение доступа позволяет системе закрывать от пользователей данные, к которым они не имеют допуска.

Следующим средством программно-аппаратной защиты выступает протоколирование и аудит информации.

Протоколирование включает в себя сбор, накопление и сохранение информации о событиях, действиях, результатах, имевших место во время работы информационной системы, отдельных пользователей, процессов и всех программно-аппаратных средств, входящих в состав информационной системы предприятия.

Поскольку у каждого компонента информационной системы существует заранее заданный набор возможных событий в соответствии с запрограммированными классификаторами, то события, действия и результаты разделяются на:

• внешние, вызванные действиями других компонентов,
• внутренние, вызванные действиями самого компонента,
• клиентские, вызванные действиями пользователей и администраторов.

Аудит информации заключается в проведении оперативного анализа в реальном времени или в заданный период.

По результатам анализа либо формируется отчет об имевших место событиях, либо инициируется автоматическая реакция на внештатную ситуацию.

Реализация протоколирования и аудита решает следующие задачи:

• обеспечение подотчетности пользователей и администраторов;
• обеспечение возможности реконструкции последовательности событий;
• обнаружение попыток нарушений информационной безопасности;
• предоставление информации для выявления и анализа проблем.

Зачастую защита информации невозможна без применения криптографических средств. Они используются для обеспечения работы сервисов шифрования, контроля целостности и аутентификации, когда средства аутентификации хранятся у пользователя в зашифрованном виде. Существует два основных метода шифрования: симметричный и асимметричный.

Контроль целостности позволяет установить подлинность и идентичность объекта, в качестве которого выступает массив данных, отдельные порции данных, источник данных, а также обеспечить невозможность отметить совершенное в системе действие с массивом информации. Основу реализации контроля целостности составляют технологии преобразования данных с использованием шифрования и цифровые сертификаты.

Другим важным аспектом является использование экранирования, технологии, которая позволяет, разграничивая доступ субъектов к информационным ресурсам, контролировать все информационные потоки между информационной системой предприятия и внешними объектами, массивами данных, субъектами и контрсубъектами. Контроль потоков заключается в их фильтрации и, в случае необходимости, преобразования передаваемой информации.

Задача экранирования – защита внутренней информации от потенциально враждебных внешних факторов и субъектов. Основной формой реализации экранирования выступают межсетевые экраны или файрволлы, различных типов и архитектуры.

Поскольку одним из признаков информационной безопасности является доступность информационных ресурсов, то обеспечение высокого уровня доступности является важным направление в реализации программно-аппаратных мер. В частности, разделяется два направления: обеспечение отказоустойчивости, т.е. нейтрализации отказов системы, способность работать при возникновении ошибок, и обеспечение безопасного и быстрого восстановления после отказов, т.е. обслуживаемость системы.

Основное требование к информационным системам заключается в том, чтобы они работали всегда с заданной эффективностью, минимальным временем недоступности и скоростью реагирования.

В соответствии с этим, доступность информационных ресурсов обеспечивается за счет:

• применения структурной архитектуры, которая означает, что отдельные модули могут быть при необходимости отключены или быстро заменены без ущерба другим элементам информационной системы;
• обеспечения отказоустойчивости за счет: использования автономных элементов поддерживающей инфраструктуры, внесения избыточных мощностей в конфигурацию программно-аппаратных средств, резервирования аппаратных средств, тиражирования информационных ресурсов внутри системы, резервного копирования данных и т.п.
• обеспечения обслуживаемости за счет снижения сроков диагностирования и устранения отказов и их последствий.

Другим типом средств обеспечения информационной безопасности выступают защищенные коммуникационные каналы.

Функционирование информационных систем неизбежно связано с передачей данных, поэтому для предприятий необходимо также обеспечить защиту передаваемых информационных ресурсов, используя защищенные коммуникационные каналы. Возможность несанкционированного доступа к данным при передаче трафика по открытым каналам коммуникации обусловлена их общедоступностью. Поскольку "коммуникации на всем их протяжении физически защитить невозможно, поэтому лучше изначально исходить из предположения об их уязвимости и соответственно обеспечивать защиту" . Для этого используются технологии туннелирования, суть которого состоит в том, чтобы инкапсулировать данные, т.е. упаковать или обернуть передаваемые пакеты данных, включая все служебные атрибуты, в собственные конверты. Соответственно, туннель является защищенным соединением через открытые каналы коммуникаций, по которому передаются криптографически защищенные пакеты данных. Туннелирование применяется для обеспечения конфиденциальности трафика за счет сокрытия служебной информации и обеспечения конфиденциальности и целостности передаваемых данных при использовании вместе с криптографическими элементами информационной системы. Комбинирование туннелирования и шифрования позволяет реализовать виртуальную частную сеть. При этом конечными точками туннелей, реализующих виртуальные частные сети, выступают межсетевые экраны, обслуживающие подключение организаций к внешним сетям.

Межсетевые экраны как точки реализации сервиса виртуальных частных сетей

Таким образом, туннелирование и шифрование выступают дополнительными преобразованиями, выполняемыми в процессе фильтрации сетевого трафика наряду с трансляцией адресов. Концами туннелей, помимо корпоративных межсетевых экранов, могут быть персональные и мобильные компьютеры сотрудников, точнее, их персональные межсетевые экраны и файрволлы. Благодаря такому подходу обеспечивается функционирование защищенных коммуникационных каналов.

Процедуры обеспечения информационной безопасности

Процедуры обеспечения информационной безопасности принято разграничивать на административный и организационный уровень.

• К административным процедурам относятся действия общего характера, предпринимаемые руководством организации, для регламентации всех работ, действий, операций в области обеспечения и поддержания информационной безопасности, реализуемых за счет выделения необходимых ресурсов и контроля результативности предпринимаемых мер.
• Организационный уровень представляет собой процедуры по обеспечению информационной безопасности, включая управление персоналом, физическую защиту, поддержание работоспособности программно-аппаратной инфраструктуры, оперативное устранение нарушений режима безопасности и планирование восстановительных работ.

С другой стороны, разграничение административных и организационных процедур бессмысленно, поскольку процедуры одного уровня не могут существовать отдельно от другого уровня, нарушая тем самым взаимосвязь защиты физического уровня, персональной и организационной защиты в концепции информационной безопасности. На практике, обеспечивая информационную безопасность организации, не пренебрегают административными или организационными процедурами, поэтому логичнее рассматривать их как комплексный подход, поскольку оба уровня затрагивают физический, организационный и персональный уровни защиты информации.

Основой комплексных процедур обеспечения информационной безопасности выступает политика безопасности.

Политика информационной безопасности

Политика информационной безопасности в организации – это совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.

В организационно-управленческом плане политика информационной безопасности может являться единым документом или оформлена в виде нескольких самостоятельных документов или приказов, но в любом случае должна охватывать следующие аспекты защиты информационной системы организации:

• защита объектов информационной системы, информационных ресурсов и прямых операций с ними;
• защита всех операций, связанных с обработкой информации в системе, включая программные средства обработки;
• защита коммуникационных каналов, включая проводные, радиоканалы, инфракрасные, аппаратные и т.д.;
• защита аппаратного комплекса от побочных электромагнитных излучений;
• управление системой защиты, включая обслуживание, модернизацию и администраторские действия.

Каждый из аспектов должен быть подробно описан и документально закреплен во внутренних документах организации. Внутренние документы охватывают три уровня процесса защиты: верхний, средний и нижний.

Документы верхнего уровня политики информационной безопасности отражают основной подход организации к защите собственной информации и соответствие государственным и/или международным стандартам. На практике в организации существует только один документ верхнего уровня, озаглавливаемый "Концепция информационной безопасности", "Регламент информационной безопасности" и т.п. Формально данные документы не представляют конфиденциальной ценности, их распространение не ограничивается, но могут выпускать в редакции для внутреннего использования и открытой публикации.

Документы среднего уровня являются строго конфиденциальными и касаются конкретных аспектов информационной безопасности организации: используемых средств защиты информации, безопасности баз данных, коммуникаций, криптографических средств и других информационных и экономических процессов организации. Документальное оформление реализуется в виде внутренних технических и организационных стандартов.

Документы нижнего уровня разделены на два типа: регламенты работ и инструкции по эксплуатации. Регламенты работ являются строго конфиденциальными и предназначены только лиц, по долгу службы осуществляющих работу по администрированию отдельных сервисов информационной безопасности. Инструкции по эксплуатации могут быть, как конфиденциальными, так и публичными; они предназначены для персонала организации и описывают порядок работы с отдельными элементами информационной системы организации.

Мировой опыт свидетельствует, что политика информационной безопасности всегда документально оформляется только в крупных компаниях, имеющих развитую информационную систему, предъявляющих повышенные требования к информационной безопасности, средние предприятия чаще всего имеют только частично документально оформленную политику информационной безопасности, малые организации в подавляющем большинстве вообще не заботятся о документальном оформлении политики безопасности. Вне зависимости от формата документального оформления целостный или распределенный, базовым аспектом выступает режим безопасности.

Существует два разных подхода, которые закладываются в основу политики информационной безопасности :

1. "Разрешено все, что не запрещено".
2. "Запрещено все, что не разрешено".

Фундаментальным дефектом первого подхода заключается в том, что на практике предусмотреть все опасные случаи и запретить их невозможно. Вне всяких сомнений, следует применять только второй подход.

Организационной уровень информационной безопасности

С точки зрения защиты информации, организационные процедуры обеспечения информационной безопасности представляются как "регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз" .

Меры по управлению персоналом, направленные на организацию работы с кадрами в целях обеспечения информационной безопасности, включают разделение обязанностей и минимизацию привилегий. Разделение обязанностей предписывает такое распределение компетенций и зон ответственности, при котором один человек не в состоянии нарушить критически важный для организации процесс. Это снижает вероятность ошибок и злоупотреблений. Минимизация привилегий предписывает наделение пользователей только тем уровнем доступа, который соответствует необходимости выполнения ими служебных обязанностей. Это уменьшает ущерб от случайных или умышленных некорректных действий.

Физическая защита означает разработку и принятие мер для прямой защиты зданий, в которых размещаются информационные ресурсы организации, прилегающих территорий, элементов инфраструктуры, вычислительной техники, носителей данных и аппаратных каналов коммуникаций. Сюда относят физическое управление доступом, противопожарные меры, защиту поддерживающей инфраструктуры, защиту от перехвата данных и защиту мобильных систем.

Поддержание работоспособности программно-аппаратной инфраструктуры заключается в предупреждении стохастических ошибок, грозящих повреждением аппаратного комплекса, нарушением работы программ и потерей данных. Основные направления в этом аспекте заключаются в обеспечении поддержки пользователей и программного обеспечения, конфигурационного управления, резервного копирования, управления носителями информации, документирование и профилактические работы.

Оперативное устранение нарушений режима безопасности преследует три главные цели:

1. Локализация инцидента и уменьшение наносимого вреда;
2. Выявление нарушителя;
3. Предупреждение повторных нарушений.

Наконец, планирование восстановительных работ позволяет подготовиться к авариям, уменьшить ущерб от них и сохранить способность к функционированию хотя бы в минимальном объеме.

Использование программно-аппаратных средств и защищенных коммуникационных каналов должно быть реализовано в организации на основе комплексного подхода к разработке и утверждению всех административно-организационных регламентных процедур обеспечения информационной безопасности. В противном случае, принятие отдельных мер не гарантирует защиты информации, а зачастую, наоборот, провоцирует утечки конфиденциальной информации, потери критически важных данных, повреждения аппаратной инфраструктуры и нарушения работы программных компонентов информационной системы организации.

Методы обеспечения информационной безопасности

Для современных предприятий характерна распределенная информационная система, которая позволяет учитывать в работе распределенные офисы и склады компании, финансовый учет и управленческий контроль, информацию из клиентской базы, с учетом выборки по показателям и так далее. Таким образом, массив данных весьма значителен, причем в подавляющем большинстве это информация, имеющая приоритетное значение для компании в коммерческом и экономическом плане. Фактически, обеспечение конфиденциальности данных, имеющих коммерческую ценность, составляет одну из основных задач обеспечения информационной безопасности в компании.

Обеспечение информационной безопасности на предприятии должно быть регламентировано следующими документами:

1. Регламент обеспечения информационной безопасности. Включает формулировку целей и задач обеспечения информационной безопасности, перечень внутренних регламентов по средствам защиты информации и положение об администрировании распределенной информационной системы компании. Доступ к регламенту ограничен руководством организации и руководителем отдела автоматизации.
2. Регламенты технического обеспечения защиты информации. Документы являются конфиденциальными, доступ ограничен сотрудниками отдела автоматизации и вышестоящим руководством.
3. Регламент администрирования распределенной системы защиты информации. Доступ к регламенту ограничен сотрудниками отдела автоматизации, отвечающими за администрирование информационной системы, и вышестоящим руководством.

При этом данными документами не следует ограничиваться, а проработать также нижние уровни. В противном случае, если у предприятия иных документов, касающихся обеспечения информационной безопасности, не будет, то это будет свидетельствовать о недостаточной степени административного обеспечения защиты информации, поскольку отсутствуют документы нижнего уровня, в частности инструкции по эксплуатации отдельных элементов информационной системы.

Обязательные организационные процедуры включают в себя:

• основные меры по дифференциации персонала по уровню доступа к информационным ресурсам,
• физическую защиту офисов компании от прямого проникновения и угроз уничтожения, потери или перехвата данных,
• поддержание работоспособности программно-аппаратной инфраструктуры организовано в виде автоматизированного резервного копирования, удаленной проверки носителей информации, поддержка пользователей и программного обеспечения осуществляется по запросу.

Сюда также следует отнести регламентированные меры по реагированию и устранению случаев нарушений информационной безопасности.

На практике часто наблюдается, что предприятия недостаточно внимательно относятся к этому вопросу. Все действия в данном направлении осуществляются исключительно в рабочем порядке, что увеличивает время устранения случаев нарушений и не гарантирует предупреждения повторных нарушений информационной безопасности. Кроме того, полностью отсутствует практика планирования действий по устранению последствий после аварий, утечек информации, потери данных и критических ситуаций. Все это существенно ухудшает информационную безопасность предприятия.

На уровне программно-аппаратных средств должна быть реализована трехуровневая система обеспечения информационной безопасности.

Минимальные критерии обеспечения информационной безопасности:

1. Модуль управления доступом:

• реализован закрытый вход в информационную систему, невозможно зайти в систему вне верифицированных рабочих мест;
• для сотрудников реализован доступ с ограниченным функционалом с мобильных персональных компьютеров;
• авторизация осуществляется по формируемым администраторами логинам и паролям.

2. Модуль шифрования и контроля целостности:

• используется асимметричный метод шифрования передаваемых данных;
• массивы критически важных данных хранятся в базах данных в зашифрованном виде, что не позволяет получить к ним доступ даже при условии взлома информационной системы компании;
• контроль целостности обеспечивается простой цифровой подписью всех информационных ресурсов, хранящихся, обрабатываемых или передаваемых внутри информационной системы.

3. Модуль экранирования:

• реализована система фильтров в межсетевых экранах, позволяющая контролировать все информационные потоки по каналам коммуникации;
• внешние соединения с глобальными информационными ресурсами и публичными каналами связи могут осуществляться только через ограниченный набор верифицированных рабочих станций, имеющих ограниченное соединение с корпоративной информационной системой;
• защищенный доступ с рабочих мест сотрудников для выполнения ими служебных обязанностей реализован через двухуровневую систему прокси-серверов.

Наконец, с помощью технологий туннелирования на предприятии должна быть реализована виртуальная частная сеть в соответствии с типичной моделью построения для обеспечения защищенных коммуникационных каналов между различными отделениями компании, партнерами и клиентами компании.

Несмотря на то, что коммуникации непосредственно осуществляются по сетям с потенциально низким уровнем доверия, технологии туннелирования благодаря использованию средств криптографии позволяют обеспечить надежную защиту всех передаваемых данных.

Выводы

Основная цель всех предпринимаемых мероприятий в области обеспечения информационной безопасности заключается в защите интересов предприятия, так или иначе связанных с информационными ресурсами, которыми оно располагает. Хотя интересы предприятий не ограничены конкретной областью, все они концентрируются вокруг доступности, целостности и конфиденциальности информации.

Проблема обеспечения информационной безопасности объясняется двумя основными причинами.

1. Накопленные предприятием информационные ресурсы представляют ценность.
2. Критическая зависимость от информационных технологий обуславливает их широкое применение.

Учитывая широкое многообразие существующих угроз для информационной безопасности, таких как разрушение важной информации, несанкционированное использование конфиденциальных данных, перерывы в работе предприятия вследствие нарушений работы информационной системы, можно сделать вывод, что все это объективно приводит к крупным материальным потерям.

В обеспечении информационной безопасности значительную роль играют программно-аппаратные средства, направленные на контроль компьютерных сущностей, т.е. оборудования, программных элементов, данных, образуя последний и наиболее приоритетный рубеж информационной безопасности. Передача данных также должна быть безопасной в контексте сохранения их конфиденциальности, целостности и доступности. Поэтому в современных условиях для обеспечения защищенных коммуникационных каналов применяются технологии туннелирования в комбинации с криптографическими средствами.

Литература

1. Галатенко В.А. Стандарты информационной безопасности. – М.: Интернет-университет информационных технологий, 2006.
2. Партыка Т.Л., Попов И.И. Информационная безопасность. – М.: Форум, 2012.

Понятие «конфиденциальная информация» стало неотъемлемой частью российской юридической лексики. В настоящий момент оно используется в нескольких сотнях нормативных правовых актов Российской Федерации. Не отстают от законодателя и правоприменители: все чаще в различных договорах можно встретить целые разделы или даже отдельные соглашения о конфиденциальности. Широкое распространение получило включение положений о запрете на распространение сведений конфиденциального характера в трудовых договорах.

Тем не менее, до сих пор в законодательстве не содержится четкого определения понятия «конфиденциальная информация». Ранее такое определение содержалось в ст. 2 утратившего силу ФЗ «Об информации, информатизации и защите информации». Согласно этому закону «конфиденциальная информация -- документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации». Данное определение в несколько измененном виде по - прежнему находит свое применение в актах органов государственной власти Российской Федерации.

Действующий ФЗ «Об информации, информационных технологиях и защите информации» определение понятия «конфиденциальная информация» не содержит. Однако данное определение может быть получено на основании анализа его норм.

Согласно п 1 ст. 2 указанного закона информация -- это сведения (сообщения, данные) независимо от формы их представления.

В п. 7 той же статьи сказано, что конфиденциальность информации -- обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.

Таким образом, конфиденциальная информация -- это сведения, независимо от формы их предоставления, которые не могут быть переданы лицом, получившим доступ к данным сведениям, третьим лицам без согласия их правообладателя.

Перечень сведений конфиденциального характера содержится в Указе Президента Российской Федерации от 06.03.1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера». Согласно данному указу к сведениям конфиденциального характера относятся:

· персональные данные;

· сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с Федеральным законом от 20 августа 2004 г. № 119 - ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства» и другими нормативными правовыми актами Российской Федерации;

· служебная тайна;

· врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений;

· коммерческая тайна;

· сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.

Следует обратить внимание на то обстоятельство, что данный перечень не может рассматриваться как закрытый. Действующий ФЗ «Об информации» не требует принятия нормативных актов Президента или правительства для дальнейшего развития понятия «конфиденциальная информация». Более того, закон позволяет обладателю информации самостоятельно решать вопрос о наделении ее статусом конфиденциальной. Поэтому перечень следует рассматривать как примерный.

Данный вывод имеет очень важное практическое значение. Возможность самостоятельного определения статуса информации позволяет ее обладателю вырабатывать способы ее защиты от несанкционированного доступа, использования и распространения, а также предусматривать меры гражданско - правовой ответственности в случае совершения указанных действий. Особое значение вышеназванный вывод имеет для хозяйственных обществ. Как известно, в соответствии с п. 2 ст. 67 Гражданского кодекса РФ участники хозяйственных обществ обязаны не разглашать конфиденциальную информацию.

К сожалению, данная норма не получила своего развития в ФЗ «Об акционерных обществах», который вообще не упоминает о такой обязанности акционеров. Поэтому до сих пор в науке нет единого мнения о том, о какой конфиденциальной информации идет речь. Ряд авторов полагают, что обязанность не разглашать конфиденциальную информацию распространяется только на конфиденциальные сведения, подпадающие под режим коммерческой тайны.

В настоящее время нет четкой и единой классификации видов конфиденциальной информации, хотя действующими нормативными актами установлено свыше 30 ее разновидностей. Определенные попытки такой классификации предприняты учеными. А. И. Алексенцев предлагает следующие основания разделения информации по видам тайны:

§ собственники информации (по отдельным видам они могут частично совпадать);

§ области (сферы) деятельности, в которых может быть информация, составляющая данный вид тайны;

§ на кого возложена защита данного вида тайны (по некоторым видам тайны здесь также возможно совпадение).(11, С.92)

А.А.Фатьянов классифицирует подлежащую защите информацию по трем признакам: по принадлежности, по степени конфиденциальности (степени ограничения доступа) и по содержанию.(22, С.254)

По принадлежности владельцами защищаемой информации могут быть органы государственной власти и образуемый ими структуры (государственная тайна, служебная тайна, в определенных случаях коммерческая и банковская тайны); юридические лица (коммерческая, банковская служебная, адвокатская, врачебная, аудиторская тайны и т. п.); граждане (физические лица) - в отношении личной и семейной тайны, нотариальной, адвокатской, врачебной. Следует отметить, что использование понятий “владелец”, “собственник” в отношении информации содержится в ФЗ “Об информации…”, Законе РФ “О государственной тайне” и ряде других нормативных актов. Это использование, равно как и признание информации в качестве объекта вещных прав и, в том числе права собственности, установленное вышеназванными актами, вызывает большую критику среди ученых и в определенной мере противоречит ГК, так как согласно ст. 128 ГК, информация не относится к вещам. Эта проблема уже освещалась автором, и необходимо признать, что целесообразнее все - таки отказаться от использования вещных прав в отношении информации, а поэтому правильнее говорить об обладателе, как это указано в ст. 139 ГК РФ, а не владельце, пользователе или собственнике информации. В дальнейшем понятия “владелец”, “пользователь” или “собственник” будут применятся только в случае цитирования закона или мнения какого - либо исследователя.

По степени конфиденциальности (степени ограничения доступа) в настоящее время можно классифицировать только информацию, составляющую государственную тайну. Согласно ст. 8 Закона РФ “О государственной тайне”, устанавливаются три степени секретности сведений, составляющих государственную тайну, и соответствующие этим степеням грифы секретности для носителей указанных сведений: “особой важности”, “совершенно секретно” и “секретно”. Интересно, что в США и ряде стран НАТО грифы секретности схожи с установленными отечественным законодательством - “конфиденциально (confidential)”, “секретно (secret)”, “совершенно секретно (top secret)”. Для остальных видов тайн данное основание классификации пока не разработано, при этом согласно ст. 8 Закона РФ “О государственной тайне”, использование названных грифов секретности для засекречивания сведений, не отнесенных к государственной тайне, не допускается.(21, С.148)

Следует отметить, что вышеизложенные классификации не являются исчерпывающими и их разработка еще предстоит науке и законодательству. Отсутствие четкой классификации конфиденциальной информации, неоформленность их правовых режимов в законодательстве приводит к значительному числу противоречий и пробелов. Рассмотрим наиболее существенные из них.

В соответствии со ст. 2 Закона РФ “О государственной тайне”, государственная тайна - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно - розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Как отмечает А. И. Алексенцев, термин “распространение” в данном случае является слишком неопределенным. (11, С.96)

Распространение может быть не только несанкционированным, но и разрешенным, оно может нанести ущерб, а может и не нанести. Этот критерий констатирует возможные последствия распространения сведений, т. е. исходит из обратного, тогда как по логике, скорее следовало бы назвать преимущества, получаемые от того, что сведения находятся в тайне.

Подводя итог всему вышесказанному, можно констатировать, что в настоящее время видами конфиденциальной информации являются государственная, коммерческая, личная и семейная, служебная и профессиональная тайна, которая, в свою очередь, имеет ряд разновидностей. При этом правовой режим большинства из названных тайн полностью не разработан, а между отдельными документами существуют серьезные противоречия, которые необходимо устранить.

Каждый человек хоть раз в жизни сталкивался с таким понятием, как "конфиденциальная информация". Она представляет собой совокупность данных, имеющих особую ценность и известных, как правило, очень узкому кругу лиц. Действующим законодательством предусмотрено наказание за разглашение такой информации, то есть человек несет ответственность за несохранение коммерческой тайны.

Может применяться по усмотрению лица, обладающего ею, но выбранный способ не должен противоречить законодательным нормам. В связи с ограниченным доступом к данным предпринимаются меры по защите и охране такой информации от третьих лиц. Зачастую люди сталкиваются с на рабочем месте, в случае если приходится использовать документацию, представляющую для фирмы особую важность. Многие компании предупреждают своих сотрудников, что даже размер заработной платы относится к данным, которые не следует распространять.

Для того чтобы избежать различных казусов и неприятных ситуаций, руководителям предприятий и организаций рекомендуется заранее обсуждать с каждым сотрудником аспекты, являющиеся тайной. Лучше всего заранее составить перечень конфиденциальной информации, утвержденный руководящими органами. С данным документом следует ознакомить весь персонал, предоставить свободный доступ к изучению. Необходимо четко классифицировать все имеющиеся данные на отдельные группы с разделением на:

1. Абсолютно доступные сведения. Такая информация не ограничивается и регулярно публикуется в специализированных изданиях. Примером может служить предназначенная для внешних пользователей.
2. Частично ограниченные данные, возможность ознакомления с которыми есть только у конкретно обозначенной группы лиц.
3. Документы, находящиеся в распоряжении у руководителя компании или у специалиста, имеющего соответственные полномочия. Эти сведения в полной мере можно назвать конфиденциальными.

Итак, документацию фирмы можно классифицировать в зависимости от предназначения на промышленную и коммерческую. Первая содержит всю информацию об оборудовании, особой технологии изготовления продукта, о самом товаре и прочее. А коммерческая включает все договора с контрагентами, сведения о наличии кредиторской и дебиторской задолженности и их размерах, переписку с деловыми партнерами. Соответственно, конфиденциальная информация также подразделяется на две основные группы (коммерческая и промышленная).

В связи с непрерывным развитием производства, появлением нового оборудования и вводом технологических новинок сотрудникам отдела безопасности все чаще приходится предпринимать меры по усилению охранной системы. В настоящее время преобладающий объем информации хранится в электронном виде, и все расчеты с партнерами также осуществляются безналичным путем. Это увеличивает количество различного рода хакерских атак, приводящих порой к непоправимым последствиям. Именно поэтому техническая защита является одной из важнейших задач, за реализацию которой отвечают лучшие кадры компании. Действительно, огромные суммы идут на максимизацию защиты внутренней сети фирм. Особенно это касается крупных корпораций, где безопасность входит в список стратегических целей.

К сожалению, в современном мире охота на документы, представляющие коммерческую тайну, ведется с особой жестокостью. Ведь борьба за власть присутствует как на государственном уровне, так и на уровне отдельных хозяйствующих субъектов. Конфиденциальная информация является дорогим товаром, который успешно реализуется на Таким образом, руководителям можно посоветовать идти в ногу со временем и не жалеть средств на совершенствование системы безопасности, чтобы не пришлось потом разбираться с финансовыми махинациями недоброжелателей.

Конфиденциальность

Конфиденциальность. (англ. confidence - доверие) - необходимость предотвращения утечки (разглашения) какой-либо информации.

В англо-американской традиции различают два основных вида конфиденциальности: добровольную (privacy) и принудительную (secrecy). (См. Эдвард Шилз - The Torment of Secrecy: The Background & Consequences Of American Security Policies (Chicago: Dee ) В первом случае имеются в виду прерогативы личности, во втором случае имеется в виду информация для служебного пользования, доступная ограниченному кругу официальных лиц фирмы, корпорации, государственного органа, общественной или политической организации. Хотя privacy и secrecy схожи по значению, на практике они обычно противоречат друг другу: усиление secrecy ведёт к нарушению и уменьшению privacy. В тоталитарных и авторитарных государствах под конфиденциальностью, как правило, имеется в виду только secrecy.

Определения

Конфиденциальность информации - принцип аудита , заключающийся в том, что аудиторы обязаны обеспечивать сохранность документов , получаемых или составляемых ими в ходе аудиторской деятельности, и не вправе передавать эти документы или их копии каким бы то ни было третьим лицам, либо разглашать устно содержащиеся в них сведения без согласия собственника экономического субъекта, за исключением случаев, предусмотренных законодательными актами.

Конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определённой информации, требование не передавать такую информацию третьим лицам без согласия её обладателя .

Конфиденциальная информация - информация , доступ к которой ограничивается в соответствии с законодательством Российской Федерации и представляет собой коммерческую, служебную или личную тайны, охраняющиеся её владельцем.

Служебная тайна - защищаемая по закону конфиденциальная информация, ставшая известной в государственных органах и органах местного самоуправления только на законных основаниях и в силу исполнения их представителями служебных обязанностей, а также служебная информация о деятельности государственных органов, доступ к которой ограничен федеральным законом или в силу служебной необходимости. Однозначное определение понятия «служебная тайна» в действующем законодательстве РФ отсутствует. Служебная тайна является одним из объектов гражданских прав по гражданскому законодательству РФ. Режим защиты служебной тайны в целом аналогичен режиму защиты коммерческой тайны . В ряде случаев за разглашение служебной тайны закон предусматривает уголовную ответственность (например, за разглашение тайны усыновления , или за разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну, лицом, которому такие сведения стали известны по службе) .

Служебная тайна - информация с ограниченным доступом, за исключением сведений, отнесенных к государственной тайне и персональным данным, содержащаяся в государственных (муниципальных) информационных ресурсах, накопленная за счет государственного (муниципального) бюджета и являющаяся собственностью государства, защита которой осуществляется в интересах государства .

Защита конфиденциальности является одной из трёх задач информационной безопасности (наряду с защитой целостности и доступность информации).

Актуальность конфиденциальности

С момента начала использования компьютерных технологий во всех сферах деятельности человека, появилось много проблем, связанных с защитой конфиденциальности. Главным образом это связано с обработкой документов с применением компьютерных технологий. Многие административные меры по защите конфиденциальности частных лиц и организаций утратили свою силу в связи с переходом документооборота в абсолютно новую среду.

При получении личных писем, при заключении договоров, во время деловой переписки, при телефонных разговорах со знакомыми и незнакомыми людьми, человек пользовался различными средствами аутентификации . Личные письма отправлялись с указанием существующего почтового адреса или имели штамп именно тех почтовых отделений, где проводилась обработка таких писем. При заключении договоров применялись бланки, произведённые на типографиях , на которых с использованием пишущих машинок, имевших уникальные серийные номера, печатался текст, который затем подписывался должностным лицом и заверялся печатью организации. При разговорах по телефону, достоверно было известно, что разговор ведётся именно с тем человеком, голос которого был ранее известен. Многие сотни административных мер были направлены на защиту конфиденциальности при общении людей.

С внедрением компьютерных технологий в жизнь человека многое изменилось. При использовании, например, электронной почты появилась возможность указания несуществующего обратного адреса или имитации получения письма от знакомого человека. При повседневном общении через сеть Интернет многие признаки, идентифицирующие того или иного человека в обычной жизни (пол, возраст, степень образования), перестали быть таковыми. Появилась так называемая «виртуальная реальность ».

Быстро и эффективно решить проблемы связанные с защитой конфиденциальности в компьютерных системах невозможно. Появилась необходимость в комплексном подходе к решению данных проблем. Этот подход должен предполагать использование организационных и правовых мер, а также программно-аппаратных средств, обеспечивающих защиту конфиденциальности, целостности и доступности.

На сегодняшний день в организациях для обеспечения корректной работы со сведениями конфиденциального характера существует набор норм. Руководитель организации подписывает перечень сведений, имеющих конфиденциальный характер. В договоре, подписываемом работником и работодателем, существует пункт, в котором говорится об ответственности за некорректную работу с конфиденциальными сведениями, в результате чего при несоблюдении прописанных в договоре норм по работе с этими сведениями, появляется законное основание для привлечения таких сотрудников к административной или уголовной ответственности . А также в организациях имеется комплекс мер, направленных на обеспечение защиты конфиденциальных сведений. Например, такими мерами могут являться: подбор квалифицированного персонала, прогнозирование возможных угроз и проведение мероприятий по их предотвращению, использование различного уровня доступа персонала к информации с различной секретностью.

Так как невозможно детально изучить данную область в короткие сроки, было введено направление по подготовке специалистов в сфере информационной безопасности.

С помощью программно-аппаратных средств защиты информации, представленных различными производителями, можно достичь более высоких показателей эффективности, если применять их комплексно. К таким средствам относят оборудование для криптографической защиты речевой информации, программы для криптографической защиты текстовой или иной информации, программы для обеспечения аутентификации почтовых сообщений посредством электронной цифровой подписи, программы обеспечения антивирусной защиты , программы защиты от сетевых вторжений , программы выявления вторжений, программы для скрытия обратного адреса отправителя электронного письма.

Подобный перечень программно-аппаратных средств, как правило, разрабатывается специалистами в области защиты информации с учётом многих факторов, например характеристики автоматизированной системы, количества пользователей в этой системе, различия уровня доступа этих пользователей и т. д.

Конфиденциальность в законодательстве РФ

Примечания

Литература

• Большой юридический словарь. 3-е изд., доп. и перераб. / Под ред. проф. А. Я. Сухарева. - М.: ИНФРА-М, 2007. - VI, 858 с - (Б-ка словарей «ИНФРА-М»)

Ссылки

• Конфиденциальная информация в российском законодательстве

См. также

Wikimedia Foundation . 2010 .

Антонимы :

Смотреть что такое "Конфиденциальность" в других словарях:

Секретность, тайность, доверительность, засекреченность. Ant. открытость, гласность Словарь русских синонимов. конфиденциальность см. секретность Словарь синонимов русского языка. Практический справочник. М.: Русский язык … Словарь синонимов

конфиденциальность - Свойство информации, состоящее в том, что она не может быть доступна для ознакомления неавторизованным пользователям и / или процессам. Содержание критической информации в секрете; доступ к ней ограничен узким кругом пользователей (отдельных лиц… … Справочник технического переводчика

КОНФИДЕН ИАЛЬНЫЙ [дэ], ая, ое; лен, льна (книжн.). Секретный, доверительный. К. разговор. Сообщить конфиденциально (нареч.). Толковый словарь Ожегова. С.И. Ожегов, Н.Ю. Шведова. 1949 1992 … Толковый словарь Ожегова

Конфиденциальность - Этическое требование, применяющееся как в экспериментальных исследованиях, так и в психотерапии. Согласно этому требованию участники или пациенты имеют право на то, чтобы информация, собранная во время исследования или сеанса лечения, не… … Большая психологическая энциклопедия

конфиденциальность - 2.6 конфиденциальность (confidentiality): Свойство информации быть недоступной и закрытой для неавторизованного индивидуума, логического объекта или процесса. [ИСО/МЭК 7498 2] Источник … Словарь-справочник терминов нормативно-технической документации

конфиденциальность - ▲ ограниченность доступ, к (предмету), сведения конфиденциальность. конфиденциальный не подлежащий широкой огласке; доступный узкому кругу лиц (# разговор). конфиденциально. доверительность. доверительный (# тон). доверительно. доверять (#… … Идеографический словарь русского языка

Конфиденциальная информация - информация, доступ к которой ограничивается в соответствии с законодательством страны и уровнем доступа к информационному ресурсу. Конфиденциальная информация становится доступной или раскрытой только санкционированным лицам, объектам или процессам.

Российское законодательство выделяет несколько видов конфиденциальной информации – государственная тайна, служебная тайна, коммерческая тайна, врачебная (медицинская) тайна, нотариальная тайна, аудиторская тайна, адвокатская тайна, банковская тайна, налоговая тайна, личная и семейная тайна, тайна усыновления, тайна совещания судей, тайна следствия и судопроизводства, тайна страхования и т. д. По мнению В. А. Коломийца, в настоящее время в нормативных правовых актах различных уровней упоминается около 50 видов конфиденциальной информации.

Значение информации в жизни и деятельности каждого современного человека общеизвестно. Также известно, насколько велика роль информации для успешного решения конкретной задачи, для достижения поставленных целей. Найти точный ответ на решаемый вопрос, избежать ошибок в принятии решений лучше удается тому, кто четко ориентируется в информационном пространстве, кто при необходимости имеет возможность легко и своевременно получить интересующие его сведения.

44. Становление и современное определение понятия «государственная тайна»

Понятие государственной тайны является одним из важней­ших в системе защиты государственных секретов в любой стране. От ее правильного определения зависит и политика руководства страны в области защиты секретов.

Определение этого понятия дано в Законе РФ «О государст­венной тайне»: «Государственная тайна - защищаемые государ­ством сведения в области его военной, внешнеполитической, эко­номической, разведывательной, контрразведывательной и опера­тивно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации».

В этом определении указываются категории сведений, которые защищаются государством, и что распространение этих сведений может нанести ущерб интересам государственной безопасности.

Модель определения государственных секретов включает обычно в себя следующие существенные признаки:

1. Предметы, явления, события, области деятельности, состав­ляющие государственную тайну.

2. Противник (данный или потенциальный), от которого в ос­новном осуществляется защита государственной тайны.

3. Указание в законе, перечне, инструкции сведений, состав­ляющих государственную тайну.

4. Наносимый ущерб обороне, внешней политике, экономике, научно-техническому прогрессу страны и т.п. в случае разглаше­ния (утечки) сведений, составляющих государственную тайну.

Для сравнения приведем краткие определения понятия госу­дарственной тайны, даваемые специалистами других стран.

В Уголовном кодексе ФРГ зафиксировано, что государствен­ной тайной являются факты, предметы или познания, которые доступны лишь ограниченному кругу лиц и должны содержаться в тайне от иностранного правительства, чтобы предотвратить опасность наступления тяжкого ущерба для внешней безопаснос­ти ФРГ.

В Исполнительном Указе Президента США от 2 апреля 1982 года говорится, что к информации по национальной безопасности относится определенная информация по национальной обороне и международным вопросам, которая защищается от несанкцио­нированного раскрытия.

В некоторых странах это понятие выражается в других терми­нах, например, в Японии - «Оборонный секрет».

Какие сведения могут быть отнесены к государственной тайне, определено в Указе Президента РФ от 30 ноября 1995 года № 1203. К ним отнесены сведения (указаны лишь разделы): в воен­ной области; о внешнеполитической и внешнеэкономической де­ятельности; в области экономики, науки и техники; в области разведывательной, контрразведывательной и оперативно-розыск­ной деятельности.

Нельзя засекречивать информацию в качестве государствен­ной тайны:

Если ее утечка (разглашение и т.п.) не влечет ущерба национальной безопасности страны;

В нарушение действующих законов;

Если сокрытие информации будет нарушать конституционные и законодательные права граждан;

Для сокрытия деятельности, наносящей ущерб окружающей природной среде, угрожающей жизни и здоровью граждан. Подробнее этот перечень содержится в ст. 7 Закона РФ «О государственной тайне».

Важным признаком государственной тайны является степень секретности сведений, отнесенных к ней. В нашей стране принята следующая система обозначения сведений, составляющих госу­дарственную тайну: «особой важности», «совершенно секретно», «секретно». Эти грифы проставляются на документах или издели­ях (их упаковках или сопроводительных документах). Содержа­щиеся под этими грифами сведения, являются государственной тайной.

Какие же используются критерии для отнесения сведений, во-первых, к государственной тайне, во-вторых, к той или иной сте­пени секретности?

Ответ на этот вопрос дают Правила отнесения сведений, со­ставляющих государственную тайну, к различным степеням сек­ретности, указанные в постановлении Правительства РФ № 870 от 4 сентября 1995 г.

К сведениям особой важности следует относить сведения, рас­пространение которых может нанести ущерб интересам Россий­ской Федерации в одной или нескольких областях.

К совершенно секретным сведениям следует относить сведе­ния, распространение которых может нанести ущерб интересам министерства (ведомства) или отраслям экономики РФ в одной или нескольких областях.

К секретным сведениям следует относить все иные из числа сведений, составляющих государственную тайну. Ущерб может быть нанесен интересам предприятия, учреждения или организа­ции.

Из этих определений можно видеть сравнительно высокую степень неопределенности признаков, характеризующих ту или иную степень секретности сведений, составляющих государствен­ную тайну.

Предпринимались попытки приравнять степень секретности информации к размеру ущерба (например, в денежном исчисле­нии), который может наступить в случае утечки информации. Од­нако они не получили сколько-нибудь широкого распростране­ния и одобрения.

Нет четкости в этом вопросе и в Указе Президента США «Ин­формация по национальной безопасности». В нем в частности го­ворится:

1. Гриф «совершенно секретно» должен применяться по отно­шению к информации, несанкционированное раскрытие которой могло бы нанести, в разумных пределах, исключительно серьез­ный ущерб национальной безопасности.

2. Гриф «секретно» должен применяться по отношению к ин­формации, несанкционированное раскрытие которой могло бы нанести, в разумных пределах, серьезный ущерб национальной безопасности.

3. Гриф «конфиденциально» - то же самое, только размер ущерба указывается, как «ущерб национальной безопасности».

Как видно из изложенного, разница между тремя степенями секретности зависит от величины ущерба, который обозначается как «исключительно серьезный», «серьезный» или просто «ущерб».

Эти качественные признаки - критерии степени секретности сведений, содержащих государственную тайну, всегда оставляют место для вольного или невольного привнесения субъективного фактора в процессе засекречивания информации.

Понятие, виды и размер ущерба разработаны пока еще недо­статочно и, видимо, будут отличны для каждого конкретного объ­екта защиты - содержания сведений, составляющих государст­венную тайну, сущности отраженных в ней фактов, событий, яв­лений действительности. В зависимости от вида, содержания и

размеров ущерба можно выделить группы некоторых видов ущер­ба при утечке (или возможной утечке) сведений, составляющих государственную тайну.

Политический ущерб может наступить при утечке сведений политического и внешнеполитического характера, о разведыва­тельной деятельности спецслужб государства и др. Политический ущерб может выражаться в том, что в результате утечки информа­ции могут произойти серьезные изменения в международной об­становке не в пользу Российской Федерации, утрата страной по­литических приоритетов в каких-то областях, ухудшение отноше­ний с какой-либо страной или группой стран и т.д.

Экономический ущерб может наступить при утечке сведений любого содержания: политического, экономического, военного, научно-технического и т.д. Экономический ущерб может быть выражен прежде всего в денежном исчислении. Экономические потери от утечки информации могут быть прямые и косвенные.

Так, прямые потери могут наступить в результате утечки сек­ретной информации о системах вооружения, обороны страны, ко­торые в результате этого практически потеряли или утратили свою эффективность и требуют крупных затрат на их замену или пере­наладку. Например, А.Толкачев, агент ЦРУ США, ведущий инже­нер НИИ радиотехнической промышленности выдал американ­цам много важной и ценной информации. Американцы оценили стоимость полученной от него информации примерно в шесть миллиардов долларов.

Косвенные потери чаще всего выражаются в виде размера упу­щенной выгоды: срыв переговоров с иностранными фирмами, о выгодных сделках с которыми ранее была договоренность; утрата приоритета в научном исследовании, в результате соперник бы­стрее довел свои исследования до завершения и запатентовал их и т.д.

Моральный ущерб, как правило, неимущественного характера наступает от утечки информации, вызвавшей или инициировав­шей противоправную государству пропагандистскую кампанию, подрывающую репутацию страны, приведшую к выдворению из каких-то государств наших дипломатов, разведчиков, действовав­ших под дипломатическим прикрытием и т.п.