Общий алгоритм работы таких систем заключается в получении аутентификационной информации от субъекта (например, пользователя), проверке ее подлинности, а затем авторизации (или не авторизации) пользователя для использования системы.
Защита конфиденциальной информации: основные способы и мероприятия
Что это такое? Конфиденциальная информация — это любая непубличная информация: личные контакты и разговоры, финансовое положение компании, производственные секреты и т.д. Это может быть личная, профессиональная информация или информация о компании.
Почему? Защита конфиденциальной информации обеспечивает личную и финансовую безопасность, способствует честной конкуренции и укрепляет положение компании на рынке. Существуют конкретные средства и методы для достижения этой цели.
Что такое конфиденциальная информация
Независимо от того, чем занимается компания, защита конфиденциальной информации (КИ) является одной из самых ценных сфер интересов бизнеса.
Для обеспечения высокого уровня безопасности компании необходимо знать, насколько важны определенные виды информации, где они хранятся, как обрабатываются и кто их обрабатывает, а также как они утилизируются в конце жизненного цикла. Вы должны знать все это, иначе вы рискуете безопасностью своих информаторов. Если вы не знаете ответов на вышеперечисленные вопросы, вы не сможете обосновать финансовые затраты на обеспечение безопасности данных.
Что такое конфиденциальная информация?
Ниже перечислены статьи и законы, обеспечивающие правовую основу для защиты конфиденциальной информации:
- Статьи 23, 24 Конституции РФ,
- Статья 727 Гражданского кодекса РФ,
- Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
- Федеральный закон № 152-ФЗ «О персональных данных»,
- Федеральный закон № 98-ФЗ «О коммерческой тайне»,
- ГОСТ Р 50922-2006 «Безопасность информации. Основные термины и определения».
Подарок для вас! Бесплатный доступ до 09 октября
Гарантированная прибыльная работа в течение 1-2 дней
Гарантированная прибыльная работа в течение 1-2 дней
Информация, используемая для бизнеса или другой деятельности, совершенно иная. Все хранящиеся данные важны для компании. Если она попадет в руки третьих лиц, это может привести к потере финансовой безопасности. Поскольку многие компании опасаются такого сценария, были разработаны различные формы защиты. К ним относятся организационная защита и, прежде всего, правовая защита.
Таким образом, информацию можно разделить на три категории:
- Открыто/закрыто. Его можно использовать не только внутри компании, но и за ее пределами.
- Для служебного пользования (ДСП). Такие данные можно использовать лишь внутри компании. В рамках этой группы выделяют две подгруппы:
- Это данные, к которым имеют доступ все сотрудники.
- Данные, к которым имеют доступ только определенные сотрудники компании (и которые могут быть раскрыты сотрудниками в ходе выполнения своих профессиональных обязанностей).
- Ограниченные данные. Эта информация может быть использована только уполномоченными лицами, имеющими необходимые полномочия. Эта информация не может быть раскрыта (даже частично) сотрудникам другого квалификационного уровня. Это так называемая конфиденциальная информация.
Далее следуют примеры данных из третьей группы:
- Бизнес-секрет Сюда входит информация всех видов (коммерческая, техническая, финансовая, организационная и т.д.). В частности, сюда относятся результаты интеллектуальной деятельности в научно-технической сфере, а также информация о профессиональных методах, которые имеют коммерческое значение (фактическое или потенциальное) благодаря неосведомленности третьих лиц.
- Банковская тайна: информация о бизнесе, счетах и инвестициях компании (данные о клиентах, банковских учреждениях, корреспондентах и т.д.).
- Другие виды тайны, например, судебная или нотариальная тайна, тайна переписки и т.д.
- Информация, представляющая интеллектуальную ценность для компании. Это может быть как техническая/технологическая информация, так и бизнес-информация. Сюда входят проекты продукции, программное обеспечение, производственные данные, химические формулы, результаты испытаний прототипов, данные контроля качества и т.д. Бизнес-информация включает данные о затратах, результаты маркетинговых исследований, списки клиентов, финансовые прогнозы, рыночные стратегии и т.д.
Каналы утечки конфиденциальной информации
Для обеспечения защиты конфиденциальных данных следует применять физические и технические меры защиты данных. В частности, доступ к конфиденциальным данным должен быть ограничен, а их подлинность и целостность защищены.
Существует множество способов, с помощью которых конфиденциальная информация может попасть в руки злоумышленника. Существуют прямые и непрямые каналы. В первом случае копируются ценные файлы или не учитываются коммерческие секреты.
Косвенные каналы утечки КИ включают:
- Потеря или кража устройств, служащих носителями информации,
- нарушение правил утилизации данных, подлежащих уничтожению,
- Удаленное подслушивание или фотокопирование файлов CI,
- перехват сообщений по радиосвязи.
Кроме того, социальные сети — это один из способов утечки конфиденциальных данных. Известно много случаев утечки информации о конфиденциальности пользователей в Интернет. Злоумышленники могут взломать электронные кошельки. Людям приходится придумывать сложные пароли и другие меры безопасности, чтобы оставаться в безопасности.
Существуют различные методы перехвата данных: акустический (подслушивание), визуальный (видеозапись). Кроме того, для кражи личных данных могут использоваться электромагнитные, электронные и другие устройства.
Команда GeekBrains в сотрудничестве с международными экспертами по развитию карьеры собрала материалы, которые помогут вам найти работу своей мечты.
В подборку вошли только самые востребованные и высокооплачиваемые карьеры и области в ИТ-секторе. 86% наших студентов использовали эти материалы для определения своей карьерной цели на ближайшее будущее!
Загрузите его и начните использовать уже сегодня:
30 самых востребованных и высокооплачиваемых профессий в 2022 году.
Лучше понять текущее состояние рынка труда.
Сборник из более чем 50 ресурсов из сектора информационных технологий
Только лучшие Telegram-каналы, YouTube-каналы, подкасты, форумы и многое другое, чтобы узнать больше об ИТ.
50+ лучших сервисов и приложений от Geekbrains.
Безопасные и надежные приложения для работы сегодня
Компании, которые хотят защитить конфиденциальные данные, используют системы класса предотвращения потери данных (DLP). С помощью этой технологии можно отследить, какие люди работали с ИИ и как они его утилизировали. Кроме того, можно оценить уровень защиты данных и риск их перехвата.
ТЗИ (техническая защита конфиденциальной информации) — это комплекс мер и/или услуг по защите информации от несанкционированного доступа, включая технические каналы, и от конкретных воздействий на эту информацию с целью уничтожения, фальсификации или предотвращения доступа.
Нормативная база для работы с конфиденциальными документами
Конфиденциальность информации — это широкое понятие. Мы предлагаем обзор российского законодательства, который поможет вам понять, какие данные считаются конфиденциальной информацией и какие законы определяют защиту данных.
Защита данных — это широкое понятие. Она охватывает различные сферы бизнеса и общественной жизни, каждая из которых имеет свою собственную правовую базу. Наш обзор российского законодательства поможет вам понять, какие данные считаются конфиденциальными и какие законы регулируют защиту данных.
Нормативная база для работы с конфиденциальными документами
Согласно Федеральному закону Российской Федерации от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее — «Закон об информации»), информация в широком смысле делится на общедоступную информацию и информацию ограниченного доступа. В зависимости от способа ее предоставления или распространения она подразделяется на ● свободно распространяемую информацию:
● свободно распространяемая информация,
информация, ставшая доступной по соглашению между лицами, вовлеченными в отношения,
● информация, подлежащая раскрытию или распространению в соответствии с федеральным законодательством,
информация, распространение которой в Российской Федерации ограничено или запрещено.
Когда речь идет о регулировании информации ограниченного доступа, важно помнить, что ограничения на доступ к такой информации устанавливаются только федеральным законом (ст. 5, п. 2 Закона об информации). Законодательно установлено, что информация ограниченного доступа может быть отнесена к государственной тайне или конфиденциальной информации.
Приглашаем вас на бесплатный интенсивный онлайн-курс «Путь в IT»! Всего за несколько часов эксперты GeekBrains покажут вам, как работает ИТ-индустрия и как вы можете войти и развиваться в ней.
Коммерческая тайна и ее отличие от конфиденциальной информации
Согласно статье 3 Федерального закона «О коммерческой тайне» (далее «ФЗ 98»), коммерческая тайна (КТ) — это статус конфиденциальной корпоративной информации, которая в существующих или потенциальных условиях позволяет достичь коммерческой выгоды — увеличения прибыли, снижения затрат, улучшения положения на рынке и т.д.
Такой информацией может быть любая информация (производственная, техническая, организационная и другая), которая имеет действительную или потенциальную коммерческую ценность, поскольку она не известна третьим лицам и к которой третьи лица не имеют доступа из-за наложенного на них режима КТ (Статья 3(2)(2) Федерального закона № 98).
Другими словами, КТ — это вид конфиденциальной информации, на которую распространяется особый режим доступа. Оказалось, что вся компьютерная томография является конфиденциальной информацией. Но не вся конфиденциальная информация является деловой информацией. Характеристики компьютерной томографии:
- имеют коммерческий характер и способны приносить прибыль или другие выгоды для организации,
- Ограниченный характер информации — ее публичное использование наносит ущерб коммерческим интересам организации,
- Способность обеспечить защиту конфиденциальной информации от имени ее владельца,
- Информация, которая не может рассматриваться как конфиденциальная — информация из редакционных документов, загрязнение окружающей среды, задолженность по заработной плате и другая информация, определенная в статье 5 Федерального закона № 98,
- должна быть защищена, поскольку доступ к ней не ограничен законом и не требует регистрации,
- Сокрытие этой информации не наносит вреда обществу.
Ограничение информации, содержащей НТИ, является условным, поскольку эта информация также может быть законно использована третьими лицами, если между этими лицами и держателем достигнуто соглашение и подписан договор.
Агентство вправе самостоятельно определять перечень коммерческой тайны и вводить его в отношении определенной информации (ч. 1 ст. 4 ФЗ № 98). Да, конфиденциальная информация не становится коммерческой тайной автоматически — в компании должен быть установлен режим коммерческой тайны, который включает ряд мер.
Потенциальными адресатами раскрытия информации, содержащей конфиденциальные сведения, являются сотрудники организации, имеющие доступ к такой информации. Подписанное ими соглашение о конфиденциальности не решает вопрос об ответственности, а лишь констатирует, что они согласились соблюдать конфиденциальность. Однако работник может понести такую ответственность:
- Дисциплинарное производство. Работник может быть уволен работодателем за разглашение конфиденциальной информации, содержащей коммерческую тайну (п.Подраздел. «Статья 81(6)(с) Трудового кодекса.).
- Материал. Работнику может быть предъявлен иск за нанесение ущерба имуществу, упущенную выгоду или другой ущерб предприятию.
- Администрация. Разглашение информации, доступ к которой ограничен, может наказываться штрафом в размере до 5 тысяч рублей (статья 13.14 Кодекса об административных правонарушениях).
- Криминал. Работник может быть привлечен к уголовной ответственности по ч. 2 ст. 183 УК РФ за разглашение или использование коммерческой тайны без согласия владельца такой информации. Это может наказываться штрафом в размере до 1 миллиона рублей или 2 годами каторжных работ, принудительных работ или очень коротким сроком лишения свободы до 2 лет. Если эти деяния причинили крупный ущерб, повлекли тяжкие последствия или были совершены из соображений оплаты труда, ответственность повышается.
Поэтому вся коммерчески чувствительная информация может быть конфиденциальной. Однако она становится коммерческой тайной только в том случае, если с ней обращаются в соответствии с законом. В противном случае существует риск не только разглашения важной информации, но и невозможности привлечения виновных к ответственности. Важно принимать все меры, предусмотренные законом, не проявляя избирательности — это не сработает, и защищенный статус не будет обеспечен.
Существуют установленные требования к обработке персональных данных в информационных системах для их защиты. Необходимый уровень защиты зависит от трех уровней текущих угроз.
# Что такое государственная тайна и какая информация к ней относится?
Государственная тайна — это охраняемые государством сведения в военной, внешнеполитической, экономической, разведывательной, контрразведывательной и наблюдательной сферах, распространение которых может повлиять на безопасность Российской Федерации.
Настоящий Закон регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их засекречиванием или рассекречиванием и защитой в интересах безопасности Российской Федерации.
# Что такое конфиденциальная информация и что к ней относится?
Конфиденциальная информация, как и государственная тайна, является закрытой информацией. Согласно Указу Президента Российской Федерации от 6 марта 1997 года № 188 «Об утверждении Перечня сведений конфиденциального характера», к конфиденциальной информации относятся: персональные данные, коммерческая тайна, служебная тайна, профессиональная тайна, тайна следствия и судебного разбирательства. Для лучшего понимания наиболее распространенных терминов мы рекомендуем использовать список определений.
Персональные данные — это любая информация, относящаяся прямо или косвенно к определенному или идентифицируемому физическому лицу (субъекту персональных данных).
ФЗ-152 «О персональных данных» Данный закон регулирует обработку (использование) персональных данных.
Задайте вопрос эксперту и получите полный обзор FZ-152 IaaS FZ-152 для хостинга ISP в облаке.
Коммерческая тайна — это статус конфиденциальности информации, которая позволяет ее владельцу увеличить доход, избежать ненужных расходов, добиться лидерства на рынке или получить экономическое преимущество.
Информация, составляющая коммерческую тайну, — это информация любого вида (производственная, техническая, экономическая, организационная и иная), включая результаты интеллектуальной деятельности в области науки и техники, а также информация о методах профессиональной деятельности, которая имеет действительную или потенциальную коммерческую ценность, поскольку она неизвестна третьим лицам, к которой третьи лица не имеют свободного доступа по законным основаниям и к которой обладатель такой информации имеет
Данный закон регулирует отношения, связанные с введением, изменением и прекращением режима коммерческой тайны в отношении информации, имеющей действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам.
Служебная тайна — охраняемая законом конфиденциальная информация, ставшая известной государственным и муниципальным органам только по уважительным причинам и в результате исполнения должностных обязанностей их представителями, а также служебная информация о деятельности государственных органов, доступ к которой ограничен федеральными законами или служебными требованиями. Служебная тайна — это вид конфиденциальной информации, и право на служебную тайну является отдельным юридическим вопросом.
Данный закон регулирует отношения, связанные с введением, изменением и прекращением режима коммерческой тайны в отношении информации, имеющей действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам.
Коммерческая тайна — это охраняемая законом информация, которая была доверена или раскрыта лицу (обладателю) исключительно в силу его профессиональных обязанностей, не связанных с государственной или муниципальной службой, и разглашение которой может нарушить права и законные интересы другого лица (обладателя), которому доверена эта информация и которая не является государственной или коммерческой тайной.
- Медицинская конфиденциальность
- Конфиденциальность общения
- Нотариально-клиентская тайна
- Привилегия адвоката и клиента
- Конфиденциальность усыновления
- Секретность страхования
- Конфиденциальность исповеди
# Что понимается под обработкой персональных данных?
Под обработкой персональных данных понимается любая операция или набор операций, которые выполняются с персональными данными, будь то с помощью автоматических средств или нет, такие как сбор, запись, регистрация, подача, организация, хранение, блокирование, обновление, изменение, поиск, использование, раскрытие, предоставление, доступ, обезличивание, блокирование, стирание и уничтожение.
Статья 3 FC-152 вводит термин «оператор». Термин «оператор» определяется как государственный орган, орган местного самоуправления, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных и определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, и действия (операции), совершаемые с персональными данными.
Компании, подпадающие под вышеуказанное определение, в соответствии со статьей 18.1 указанного Федерального закона 152 обязаны принимать разумные и необходимые меры по защите персональных данных, обеспечивая тем самым выполнение обязательств, вытекающих из указанного Федерального закона и изданных на его основе нормативных актов.
Важным видом конфиденциальной информации пользуются как юридические, так и физические лица. Информация имеет особый защитный статус, а ее оформление имеет специфическую форму.
Конфиденциальность информации
Конфиденциальность является наиболее проработанным аспектом информационной безопасности в нашей стране. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем в России сопряжена со значительными трудностями. Во-первых, информация о технических каналах, по которым происходит утечка информации, является конфиденциальной, поэтому большинство пользователей не могут получить представление о возможных рисках. Во-вторых, существует множество юридических и технических проблем, которые не позволяют использовать шифрование в качестве основного средства обеспечения конфиденциальности.
Конфиденциальная информация существует практически во всех организациях. Это может быть технология производства, программный продукт, профиль сотрудника и т.д. В случае с компьютерными системами системные пароли являются обязательными конфиденциальными данными.
Конфиденциальность — это гарантия того, что определенная информация будет доступна только тем, для кого она предназначена.
Нарушение любой из трех категорий приводит к нарушению безопасности информации в целом. Так, нарушение доступности приводит к отказу в доступе к информации, нарушение целостности — к фальсификации информации, а нарушение конфиденциальности, наконец, к раскрытию информации.
Рисунок 1.2.1 Компоненты информационной безопасности
Как уже упоминалось ранее, появление этих категорий в качестве ключевых компонентов информационной безопасности обусловлено необходимостью реализации комплексного подхода к обеспечению управления информационной безопасностью. Более того, нарушение любой из этих категорий может привести к нарушению или полному отключению двух других категорий. Например, кража компьютерного пароля (нарушение конфиденциальности) может привести к его блокировке, уничтожению данных (нарушение доступности информации) или фальсификации информации, содержащейся в памяти компьютера (нарушение целостности информации).
Политика безопасности разрабатывается для конкретных условий работы информационной системы. Обычно это политика безопасности организации, компании или учебного заведения. Учитывая это, рассмотрим следующее определение политики безопасности.
Политика безопасности — это набор проактивных мер по обеспечению безопасности информации организации. Политика безопасности включает в себя правила, процедуры и рекомендации по безопасности, которыми руководствуется организация в своей деятельности. Кроме того, политика безопасности содержит требования к субъектам информационных отношений, при этом политика безопасности описывает политику ролей субъектов информационных отношений.
Основными направлениями разработки политики безопасности являются:
Определение объема и требуемого уровня защиты данных,
определение ролей субъектов информационных отношений.
В «Оранжевой книге» политика безопасности понимается как набор правил, положений и практик для управления, защиты и распространения ценной информации.
Результатом разработки политики безопасности является комплексный документ, содержащий систематическое изложение целей, задач, принципов и методов достижения информационной безопасности.
Этот документ представляет собой методологическую основу для практических мер информационной безопасности и содержит следующие группы информации:
Статьи к прочтению:
Методы и средства защиты информации в финансовых информационных системах Неотъемлемой частью каждой организации в последние годы является информационная…
По мнению экспертов, проблема безопасности является как административной, так и технической задачей и может оказать значительное влияние на…
6. тайна производства (ноу-хау), то есть информация любого рода (производственная, техническая, экономическая, организационная и иная), включая результаты интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности.
Конфиденциальная информация — определение и виды в Российском законодательстве
Конфиденциальная информация — информация, предоставленная в электронной или печатной форме, которая не может быть раскрыта третьим лицам без ведома правообладателя. Записи или реестры ведутся для сохранения документов и регистрации их местонахождения. С этой целью принимаются меры по обеспечению физической защиты конфиденциальной информации, ее полноты и целостности, а также по контролю доступа персонала к такой информации.
Согласно российскому законодательству, существуют различные виды конфиденциальной информации. Все они описаны в президентском указе, изданном в 1997 году.
Персональные данные
Тип конфиденциальной информации — это информация, которая непосредственно касается конкретного лица. На юридическом языке его называют субъектом персональных данных. Это слово относится к личной информации: Фамилия, имя, отчество, домашний адрес, место и дата рождения.
Записи в документах, удостоверяющих личность, являются персональными данными, а значит, и конфиденциальной информацией. Перечень информации, известной регистратору, также является персональной информацией. Существуют определенные виды обработки данных о субъекте данных.
Все идентификационные данные должны быть абсолютно достоверными, и специалистам, работающим с ними, запрещено использовать информацию, не имеющую отношения к их работе. Срок хранения конфиденциальных данных не должен превышать время, необходимое для достижения цели. По окончании периода данные должны быть уничтожены.
Коммерческая конфиденциальность
Особый вид охраняемой информации, являющейся коммерческой тайной, т.е. информация о специфике производства продукции и ведения бизнеса. Если они раскрываются, то компания не является прибыльной. Юристы также используют определение коммерческой тайны, которое применяется к определенным государственным органам. Это конфиденциальная информация, которая защищена законом особым образом.
Как правило, это касается конфиденциальности государственной услуги, которая не является общедоступной и доступна лишь в ограниченном объеме. Основные сферы, касающиеся коммерческой и служебной тайны, регулируются соответствующими статьями Закона о коммерческой тайне и Закона о служебной тайне. Сотрудники, раскрывающие такую конфиденциальную информацию, подлежат преследованию, вплоть до уголовного преследования.
Документированные информационные ресурсы
Важным видом конфиденциальной информации пользуются как юридические, так и физические лица. Информация имеет особый защитный статус, а ее оформление имеет специфическую форму.
Например, информационный ресурс — это определенные данные на носителе информации, которые содержат конкретную информацию и перечень которых регулируется законом. Как правило, в качестве носителей секретной информации используются листы бумаги.
На них хранится информация, отвечающая требованиям документа. Право собственности на эти физические носители часто определяется в соответствии с гражданским законодательством.
Профессиональная и следственная тайна
Соглашение о неразглашении
Для обеспечения надлежащей защиты от разглашения конфиденциальных данных составляется соглашение, которое подписывается обеими сторонами. Суть соглашения заключается в возможности обмена информацией и знаниями при ограничении доступа третьих лиц.
Целью такого соглашения является предотвращение потери ценных данных, в нем указываются все виды конфиденциальной информации, необходимой для этой цели. Существует два типа соглашений:
- Одностороннее соглашение, определяющее желание одной стороны раскрыть конфиденциальную информацию другой стороне без возможности ознакомления с ней третьих лиц. Примером такого документа является соглашение, которое работодатель заключает при приеме на работу нового сотрудника. В этом случае сведения о компании, содержащиеся в документе, считаются конфиденциальной информацией.
- Взаимное соглашение подразумевает двустороннюю передачу конфиденциальной информации между представителями, подписавшими соглашение. Обычно это происходит, когда две компании ведут совместный бизнес.
Помимо основных видов информации, в соглашении может быть упомянута информация, которую обе стороны считают конфиденциальной. В случае нарушения условий договора применяются санкции, предусмотренные трудовым договором и российским законодательством.
