Файл: Система защиты коммерческой тайны малого коммерческого предприятия».pdf

На втором этапе постоянно действующей комиссии должна проанализировать возможный ущерб от утечки выделенных на первом этапе сведений.

Третий этап сводится к формированию перечня сведений, которые составляют коммерческую тайну предприятия, и вводу перечня в действие.

Введение режима сохранения коммерческой тайны

Для введения режима сохранения секретных данных необходимо:

• разработать правила доступа и работы со сведениями;
• определить ответственных за обеспечение безопасности данных;
• разработать порядок учета сотрудников, имеющих разрешение применять секретные сведения;
• выполнить маркировку носителей ценной информации с предостережением от несанкционированного доступа [6].

2.2 Защита коммерческой тайны в малом коммерческом предприятии

Коммерческие компании генерируют массивы информации, которая представляет ценность как для самой компании, так и для конкурентов. Это касается как крупных, так и малых коммерческих организаций. Критически важные для бизнеса сведения включают входить технологии, ноу–хау, изобретения и разработки, исследования рынка, стратегические планы и другие виды данных, являющиеся самостоятельным активом. Интерес для конкурирующих фирм представляют также сведения о клиентах и контрагентах.

Государство признает информацию активом и вовлекает в гражданско–правовой оборот, устанавливая определенные меры защиты, эквивалентные мерам защиты материальных активов, Специфика методов и инструментов защиты информации, составляющей коммерческую тайну, связана с тем, что данные отражаются в электронном виде и на бумажных носителях [4].

Согласно ФЗ «О коммерческой тайне», меры по охране конфиденциальности информации, принимаемые ее обладателем, должны включать в себя:

• определение перечня информации, составляющей коммерческую тайну;
• ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;
• учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана;
• регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
• нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа «Коммерческая тайна» с указанием обладателя такой информации (для юридических лиц - полное наименование и место нахождения, для индивидуальных предпринимателей - фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства) [1].

---

Прежде чем разрабатывать систему защитных мер, чтобы сохранить конфиденциальность информации, и вводить в компании режим коммерческой тайны, необходимо определить наиболее вероятные угрозы безопасности. Угрозы подразделяются на внутренние и внешние.

Внешние угрозы включают три группы субъектов, которые могут быть заинтересованы в получении сведений, составляющих коммерческую тайну:

• непосредственные конкуренты, которые действуют на тех же рынках, или компании, которые планируют выйти на те же рынки и осуществляют различные сценарии подрыва положения компании;
• субъекты, заинтересованные в переделе долей участия в предприятии, рейдерские группировки, миноритарные акционеры и иные лица, которые могут использовать полученные сведения в борьбе за активы;
• субъекты, которые посягают на активы, принадлежащие компании: недвижимость, земельные участки, акции и доли. Получение данных об активах облегчит процесс.

Внутренние угрозы прежде всего связаны с персоналом компании, включая и топ–менеджеров. Сотрудники с доступом к корпоративным информационным системам могут присвоить сведения, составляющие коммерческую тайну, чтобы продать, использовать в собственных коммерческих проектах или распространить среди неопределенно широкого круга лиц с целью причинить вред компании. Система защиты должна определить все возможные угрозы и включать механизмы борьбы с конкретными опасностями [13].

Признание информации коммерческой тайной в большинстве случаев не означает конфиденциальность в строгом смысле слова, потому что доступ к данным есть у сотрудников, разработчиков, клиентов и контрагентов. Сведения, которые во внутренних документах компании классифицируются как тайна, могут оказаться в открытом доступе из–за действий контрагентов. Двоякая суть информации, которая признается конфиденциальной, порождает не только незаконные, но и законные способы получить данные.

Незаконные способы:

1. Перехват или организация утечек информации из телекоммуникационных сетей.
2. Прямое хищение документов.
3. Подкуп сотрудников [20].

Законные способы:

1. Изучение СМИ, официальных источников раскрытия данных, например, сайтов, где публикуется бухгалтерская отчетность, картотеки дел арбитражных судов. Открытые источники позволяют составить достаточно точную картину финансового положения и взаимоотношений компании с контрагентами.
2. Работа с сотрудниками конкурирующих компаний, у которых есть широкий круг сведений о деятельности компании–цели и которые отвечают на вопросы, не задумываясь о том, что раскрывают собеседникам информацию, составляющую коммерческую тайну.
3. Если компания является открытым акционерным обществом, ее проспект эмиссии содержит большинство из сведений, которые относятся к коммерческой тайне. Кроме того, если консультанты при выпуске не связаны ограничениями по распространению сведений, данные их работы также будут содержать существенный объем информации.
4. Интервьюирование сотрудников компании, когда ответы на вопросы, прямо не относящиеся к деятельности, не нарушат режим конфиденциальности, но позволят получить большой объем полезной информации.
5. Предложение о работе сотрудникам компании, иногда без намерения действительно нанять человека. фактического предоставления. Прием позволяет получить широкий спектр данных о фактической занятости, круге обязанностей, продукции.
6. Изучение самой продукции, а также работы поставщиков сырья и комплектующих.
7. Все типы наблюдения за компанией и сотрудниками.
8. Переговоры о возможном заключении контракта без намерения фактического заключения. Способ позволяет не только собрать большой объем данных, но и получить возможность изучить процесс производства изнутри. Полученная таким образом информация составляет коммерческую тайну, но предоставляется добровольно [20].

---

Борьбу с подобными способами собрать данные осложняет их легитимность. Возможные средства противодействия – инструктаж сотрудников, тщательные проверки потенциальных контрагентов, проведение переговоров вне месторасположения компании.

Меры защиты

Основной мерой защиты информации, составляющей коммерческую тайну, станет установление режима коммерческой тайны. Основные мероприятия носят административно–организационный характер. Например, одним из основополагающих элементов системы является трудовой договор, который предусматривает ответственность сотрудников за нарушение режима конфиденциальности. С учетом того, что внешние угрозы проявляются в форме хищения из компьютерных сетей компании информации, составляющей коммерческую тайну, вместе с административными необходимо внедрять и технические меры, гарантирующие полноту защиты [14].

Административно–организационные меры

В первую очередь административно–организационные меры нацелены на информирование сотрудников о том, какие сведения относятся к коммерческой тайне, и какие обязанности по неразглашению возлагаются на персонал.

Еще одна цель – убедиться, что компания выполнила все требования закона и проявила предусмотрительность. Это усилит позиции в случае возможного судебного процесса против похитителя коммерческой тайны или заказчика похищения, получившего выгоду от преступного деяния.

Административно–организационные меры включают:

1. Издание приказа о введении режима коммерческой тайны. В документе определяются основные параметры системы защиты и лица, ответственные за организацию защитных мероприятий.
2. Определение перечня сведений, относящихся к коммерческой тайне. Часто авторы документов включают в перечень все сведения, о существовании которых знают. Это неверный путь, так как многие данные общедоступны, например, публикуемая отчетность. В случае судебного разбирательства слишком широкий перечень данных может служить основанием для признания всего списка несоответствующим режиму коммерческой тайны. Более целесообразно ограничить перечень действительно ценной информацией. К конфиденциальным нельзя отнести сведения из учредительных документов, большинство данных о штатном расписании, режиме труда, информацию о соблюдении экологических и пожарных требований.
3. Разработка системы локальных нормативных актов, которые обеспечат соблюдение режима конфиденциальности и защиту сведений, составляющих коммерческую тайну. Помимо основного документа – положения «О коммерческой тайне» – могут быть разработаны положения о работе со средствами электронно–вычислительной техники, о порядке предоставления информации контрагентам и государственным органам, порядке копирования документации, типовые договоры с контрагентами, приложения к трудовым договорам и другие [14].

---

Положение должно включать разделы, посвященные перечислению сведений, определяемых как коммерческая тайна; порядок внесения изменений в перечень или общие критерии, по которым информация признается коммерческой тайной; перечень рангов и уровней допусков лиц с правом оперировать конфиденциальной информацией; процедуру работы с документами и информационными базами, являющимися носителями информации, составляющей коммерческую тайну; права и обязанности рядовых пользователей и лиц, которым доверили функции по обеспечению режима тайны; порядок хранения, учета и уничтожения различных носителей.

1. Определение круга лиц, у которых есть право работать с материалами, где содержатся сведения, составляющие коммерческую тайну, и уровень допуска. На этом этапе организационные меры должны взаимодействовать с техническими, так как уровни допуска реализуются в IT–структуре компании. Для более надежной защиты имеет смысл присваивать уровень допуска не только по степени ценности информации, но и по отраслевому характеру. Уполномоченные лица, которые определяются на уровне приказа исполнительного органа, должны быть уведомлены о том, что доверенная им информация составляет коммерческую тайну, и предупреждены о возможности увольнения и других санкций за ее разглашение.
2. Разработка трудовых договоров и договоров с контрагентами, которые содержат норму о защите коммерческой тайны. В договор с работниками обязательно включать пункт, которые предупреждает об ответственности за разглашение конфиденциальных сведений и о праве компании обязать сотрудника компенсировать материального ущерба. Закон позволяет также указать в трудовом договоре срок, начинающийся после расторжения трудового договора, в течение которого работник не вправе разглашать информацию, ставшую известной в связи с выполнением трудовых обязанностей. Обычно срок составляет три года. С перечнем информации сотрудник должен быть ознакомлен под подпись. Наличие личной подписи удостоверяет, что работник полностью осознает ответственность и в случае разглашения сведений готов нести наказание.
3. Включение в договоры с контрагентами условия о конфиденциальности в случаях, когда информация, доверенная контрагенту или его сотрудникам в связи с выполнением условий договора, составляет коммерческую тайну. Контрагентами подобного рода могут быть аудиторские, консалтинговые, оценочные и другие компании. Пункт в договоре должен обязывать в полном объеме компенсировать ущерб, причиненный разглашением тайны.
4. Функционирование грифов «коммерческая тайна» для защиты конфиденциальной информации и средств идентификации копий документов. Это не защищает документы от копирования в целях передачи информации потенциальным заказчикам, но ограничивает распространение среди широкого круга лиц в открытом доступе [14].

---

Особые режимы пользования телекоммуникационным оборудованием, копировальными устройствами, внешней электронной почтой, интернетом. Допуск сотрудника к ресурсам должен осуществляться на основе заявок с обоснованием необходимости использования. Заявки должны согласовываться на уровне руководства сотрудника и служб безопасности.

Строгий контроль за использованием учетных записей в сетях только владельцами учетных записей с предупреждением о том, что передача пароля может служить основанием для увольнения из–за «разглашения коммерческой тайны» [14].

Технические меры

Среди технических мер защиты информации, составляющей коммерческую тайну, в первую очередь рассматривают программы, позволяющие полностью защитить информационный периметр от утечек, несанкционированного копирования или передачи данных. К таким средствам относятся DLP–системы и SIEM–системы.

Системы класса DLP настраивают таким образом, чтобы максимально исключить хищение информации внутренними пользователями. Системы класса SIEM выявляют угрозы и идентифицируют различные инциденты информационной безопасности, позволяя осуществлять полный риск–менеджмент и обеспечивать защиту от проникновений через внешний периметр защиты. К техническим мерам защиты можно отнести все способы кодирования и шифрования данных, установление запрета на копирование, контроль компьютеров сотрудников и мониторинг использования учетных записей [8].

Правовые способы защиты коммерческой тайны

Если все утечка произошла и распространения конфиденциальная информация избежать не удалось, возникает необходимость привлечь к ответственности виновника и возместить ущерб. Это возможно только в судебном порядке. В суде также может быть оспорено увольнение по основанию «разглашение коммерческой тайны» [19].

Во второй главе данной работы рассмотрено понятие коммерческой тайны, а также особенности системы защиты коммерческой тайны малого коммерческого предприятия. В первую очередь, для грамотного проведения исследования, определено, что коммерческая тайна представляет собой такой режим информации, который позволяет ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду, в условиях сохранения конфиденциальности этой информации.

Были также определены основные законные и незаконные способы нарушения конфиденциальности информации, и, исходя из этого, рассмотрены составляющие системы защиты коммерческой тайны малого предприятия. Определено, что в комплексную систему защиты коммерческой тайны должны входить такие составные части, как административно–организационные, правовые и технические меры. Административно–организационные меры призваны (в том числе) предупредить разглашение (специальное или случайное) конфиденциальной информации сотрудниками. Правовые меры направлены на нормативно–правовое регулирование инцидентов информационной безопасности в рамках вопросов конфиденциальной информации. Технические меры, в свою очередь, действуют в рамках автоматизированных информационных систем. Следует отметить, что технические средства обеспечения информационной безопасности и, в частности, безопасности коммерческой тайны, очень многообразны и представляют собой тему отдельного исследования.

---