Список лиц, имеющих право доступа к носителям сведений, составляющих нераскрытую информацию

Организация защиты информации в системе конфиденциального делопроизводства

Для обеспечения эффективной защиты информации ограниченного доступа наряду с применением специальных средств защиты необходимы организационные меры, касающейся регламентации действий сотрудников. В данной статье будет рассмотрен организационный аспект защиты информации применительно к системе конфиденциального делопроизводства. 

И государственные структуры, и частные компании работают с документами, содержащими информацию ограниченного доступа.

Информация, будь то служебная с грифом «Для служебного доступа», коммерческая с грифом «Коммерческая тайна», тайны профессионального характера или персональные данные – относится к категории защищаемой информации.

Для ее эффективной защиты применяется системный подход, включающий в себя организационные, инженерно-технические меры и специальные мероприятия. 

Меры по защите информации компании – это часть системы ее экономической безопасности, поэтому компании в настоящее время уделяют большое внимание организации как системы защиты информации в целом, так и конфиденциального делопроизводства как части этой системы.

К организационным мероприятиям защиты информации относится комплекс мер правового и управленческого характера, направленных на формирование системы защиты информации в компании, в том числе системы конфиденциального делопроизводства.

К мероприятиям специального характера относятся меры по защите программно-аппаратных средств, криптографическая защита информации и др. мероприятия.

Управленческие меры защиты информации   

Организационные мероприятия в системе конфиденциального делопроизводства включают в себя следующее:

– создание специального структурного подразделения (назначение специального работника), обеспечивающего работу с документами, содержащими конфиденциальную информацию (конфиденциальными документами, далее – КД);

– подготовка и утверждение комплекса нормативных документов, регламентирующих работу персонала организации с КД, и ознакомление с ними работников организации;

– доведение до всех сотрудников организации, в том числе не имеющих доступа к КД, положений о правовой ответственности за несоблюдение правил работы с КД, установленных в организации;

– закрепление обязательств работников о неразглашении конфиденциальной информации в документах (трудовых договорах, расписках о неразглашении конфиденциальной информации, инструкциях, положениях и др.);

– проведение контрольных мероприятий по проверке соблюдения установленных в организации правил работы с КД.  

Структурно-организационные меры

В организации могут быть реализованы различные схемы структурной организации конфиденциального делопроизводства. Рассмотрим некоторые из них:

1. В организации не создается специального структурного подразделения конфиденциального делопроизводства (далее – служба КД), а ведение работы с КД поручается одному из специалистов службы документационного обеспечения управления (далее – служба ДОУ).

2. В организации создается служба КД, которая структурно входит в состав службы ДОУ.

3. В организации создается служба КД, которая является структурно обособленным подразделением, находящимся в непосредственном подчинении у руководителя организации или у заместителя руководителя, курирующим вопросы информации и документации.

4. В организации создается служба КД, входящая в состав подразделения, обеспечивающего безопасность организации, в том числе информационную, и непосредственно подчиняющаяся руководителю подразделения безопасности.  

Выбор того или иного варианта структурной организации работы с КД зависит от ряда факторов, наиболее значимыми из которых являются следующие:

• объем (количество) и значимость КД в организации;  
• возможности организации вложить значительные финансовые средства в систему защиты информации.  

Кто отвечает за ведение КД

Первый из указанных вариантов является самым простым, но он может применяться только в организациях с относительно небольшим количеством КД.

В этом случае сотрудник службы ДОУ, назначаемый для ведения конфиденциального делопроизводства, является лицом, отвечающим за организацию конфиденциального делопроизводства.

Именно на этого работника ложится обязанность разработки нормативных документов, регламентирующих порядок работы с КД и ведение собственно конфиденциального делопроизводства. Функции, обязанности и права этого работника закрепляются в должностной инструкции.

Если в организации создается служба КД, то независимо от того, какое место в структуре организации занимает это подразделение, оно выполняет весь комплекс работ, связанных с организацией и ведением конфиденциального делопроизводства. Служба КД действует в соответствии с положением о ней, а сотрудники этого подразделения – на основании должностных инструкций.  

Задачи и функции службы КД

К основным задачам службы КД относятся следующие:

– обеспечение единого порядка создания, обработки, хранения и использования документов ограниченного доступа;

– защита документов от несанкционированного доступа в целях предотвращения утечки конфиденциальной информации.

В функции службы КД входит: 

– разработка нормативных документов, устанавливающих единый порядок создания, обработки, хранения и использования КД;

– осуществление экспедиционной обработки, регистрации и учета поступающих и отправляемых КД;

– организация своевременного рассмотрения КД руководством организации;

– организация защищенного документооборота, обеспечение контролируемого движения КД между пунктами обработки;

– учет действий, совершаемых персоналом при подготовке, обработке, хранении и использовании КД;

– учет носителей информации, используемых для изготовления КД;

– обеспечение машинописного изготовления и оперативного копирования КД;

– ведения контроля исполнения КД;

– ведение учетных, регистрационных, информационно-справочных и контрольных картотек, баз данных, журналов по КД;

– разработка номенклатуры дел по КД;

– ведение информационно-справочной работы по КД;

– контроль за состоянием работы с КД в структурных подразделениях организации;

– формирование дел и учет дел, содержащих КД;

– снятие грифа конфиденциальности с документов и перевод документов в открытое делопроизводство;

– уничтожение КД с истекшими сроками хранения;

– проведение плановых и внеплановых проверок наличия и сохранности КД;

– подготовка аналитических документов о состоянии работы с КД в организации;

– подготовка предложений о совершенствовании работы с КД в организации;

– обучение персонала правилам работы с КД, установленным в организации.  

В соответствии с возложенными на неё функциями служба КД наделяется правами:

– обращаться к руководству по вопросам, входящим в компетенцию подразделения;

– требовать от подразделений и исполнителей точного соблюдения правил работы с КД,

– проводить проверки состояния работы с КД в подразделениях организации.

Служба КД несет ответственность за разглашение конфиденциальной информации, за нарушение установленного в организации порядка работы с КД.

Сотрудники службы КД в своей работе руководствуются должностными инструкциями, которые разрабатываются на каждую должность в соответствии со штатным расписанием организации.

Нормативные документы для функционирования службы 

Одной из важнейших функций службы КД является разработка нормативных документов, устанавливающих порядок создания, обработки, хранения и использования КД в деятельности организации. К таким документам относятся следующие документы:

• инструкция (правила, положение) о порядке работы с КД в организации (далее – инструкция о работе с КД);  
• список (перечень) видов информации ограниченного доступа;  
• список (перечень) документов, содержащих информацию конфиденциального характера;
• список работников организации, имеющих право доступа к КД. 

Если в организации к информации ограниченного доступа относятся различные виды информации, например, информация служебного характера, коммерческая тайна, персональные данные и др.

, то нормативные документы должны учитывать особенности работы с каждым видом информации ограниченного доступа.

Это можно сделать по-разному: либо в одном нормативном документе устанавливаются правила работы со всеми видами КД, либо каждый вид информации конфиденциального характера регламентируется отдельным нормативным документом.

Это в равной мере относится и к спискам видов информации конфиденциального характера, спискам КД и к спискам сотрудников, имеющим право доступа к КД, поскольку, например, сотрудники, имеющие право доступа к коммерческой тайне, могут не иметь права доступа к документам, содержащим персональные данные. 

Перечни видов защищаемой информации

Следует обратить внимание на соотношение двух списков: списка (перечня) видов информации ограниченного доступа и списка (перечня) документов, содержащих информацию конфиденциального характера. Первый список является основным, исходным.

Второй – производным от первого. Многие организации обходятся только списком видов информации ограниченного доступа (конфиденциальной информации).

Организации, разрабатывающие и использующие только списки (перечни) видов документов, содержащих конфиденциальную информацию, вынуждены ограничивать доступ к документам по видовому принципу, независимо от того, содержится в документе защищаемая информация или нет.

Таким образом, можно сказать, что использование двух списков (перечней): видов конфиденциальной информации и видов документов, в которых может содержаться конфиденциальная информация, – позволяет наиболее оптимальным образом определить состав защищаемой информации. 

Список лиц, имеющих доступ к КД

Законодательство Российской Федерации лишь в отдельных случаях дает четкие указания о составе нормативных документов, регламентирующих порядок работы с документами ограниченного доступа. В частности, Федеральный закон от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне» в ст.

10 «Охрана конфиденциальности информации» содержит четкие указания о разработке перечня информации, составляющей коммерческую тайну, установлении порядка обращения с этой информацией и контроля за соблюдением такого порядка, а также о ведении учета лиц, получивших доступ к информации, составляющей коммерческую тайну.

Трудовой кодекс Российской Федерации (ФЗ № 197-ФЗ) в главе 14 установил порядок защиты персональных данных в рамках трудовых отношений, где, в частности, говорится о том, что работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об из правах и обязанностях в этой области. Таким документом, устанавливающим порядок обработки персональных данных работников, может быть инструкция (положение, правила) о защите персональных данных работников.  

Инструкция о работе с КД

Нормативные документы организации, устанавливающие порядок работы с КД, включая инструкцию о работе с КД, разрабатываются каждой организацией самостоятельно. Для инструкции о работе с КД можно предложить следующую структуру:

1. Общие положения;

2. Порядок присвоения и снятия грифа ограничения доступа к документам;

3. Допуск работников организации к КД;

4. Обязанности и ограничения, налагаемые на работников, имеющих доступ к КД;

5. Ведение конфиденциального делопроизводства;

6. Организация и проведение контроля за состоянием работы с КД;

7. Ответственность за разглашение конфиденциальной информации, утрату КД и нарушения установленного порядка работы с КД.  

Выводы

Перечисленные нормативные документы, устанавливающие порядок обращения с конфиденциальной информации в организации (инструкции, правила, положения, списки, перечни и др. утверждаются руководителем организации и доводятся до сведения работников под роспись. Кроме того, Федеральный закон «О коммерческой тайне» (ст.

10) устанавливает, что регулирование отношений по использованию информации, составляющей коммерческую тайну работниками, осуществляется на основании трудовых договоров, а контрагентами – на основании гражданско-правовых договоров.

Этот порядок – включение обязательства о неразглашении конфиденциальной информации в трудовой договор – может быть распространено и на другие виды конфиденциальной информации, обращающейся в организации.

В.Ф. Янковая

заместитель директора ВНИИДАД

Источник: //naar.ru/articles/organizacija-zashhity-informacii-v-sisteme-konfidencialnogo-deloproizvodstva/

Коммерческая тайна: как защитить коммерческую тайну компании

Ибрагимова Аида, Руководитель кадровой службы КСК групп

«Кто владеет информацией, тот владеет миром»

Натан Ротшильд

В современном мире информация представляет собой особого рода товар, имеющий определенную ценность.

Для компаний наиболее важной является та информация, разглашение которой может создать угрозу безопасности предпринимательской деятельности.

В связи с этим, компаниям приходится принимать меры по защите информации, используемой в процессе производственной деятельности. Одной из таких мер является введение режима коммерческой тайны, которую мы и рассмотрим в данной статье.

Что же такое коммерческая тайна? В Законе используются два понятия: «коммерческая тайна» и «информация, составляющая коммерческую тайну».

Под коммерческой тайной  подразумевается  режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду.

Под информацией, составляющей коммерческую тайну (секрет производства), понимаются сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании, и в отношении которых обладателем таких сведений введен режим коммерческой тайны.

Таким образом, работодатель сам должен определить какую информацию он относит к коммерческой тайне, и принять меры по ее защите. Целью данных мер является предотвращение разглашения коммерческой тайны работниками как умышленно, так и неосознанно. Ведь если работник подпишет документы, то он будет знать, что несет ответственность за разглашение коммерческой тайны.

Для того, чтобы ввести режим коммерческой тайны, необходимо:

1. Издать приказ «Об обеспечении охраны коммерческой тайны»

(образец приказа приведен на рисунке 1).

Рисунок 1. Приказ о введении режима коммерческой тайны

2. Разработать локальный нормативный акт, который будет регулировать порядок защиты конфиденциальной информации –  Положение «О коммерческой тайне»

В данное положение целесообразно включить следующие разделы:

• перечень сведений, составляющих коммерческую тайну;
• порядок определения информации, составляющей коммерческую тайну;
• перечень должностных лиц, имеющих доступ к коммерческой тайне;
• порядок допуска к информации, составляющей коммерческую тайну;
• процедура работы с документами, содержащими коммерческую тайну;
• права и обязанности сторон;
• порядок учета, хранения, обращения и уничтожения носителей, содержащих коммерческую тайну;
• ответственность за разглашение информации, составляющей коммерческую;
• сроки действия положения.

С Положением «О коммерческой тайне» необходимо ознакомить всех работников, трудовая деятельность которых связана с использованием информации, относящейся к коммерческой тайне.

Порядок утверждения Положения «О коммерческой тайне» законодательно не урегулирован, поэтому данный локальный нормативный акт может быть утвержден как с учетом либо без учета мнения представительного органа работников.

3. Определить перечень информации, составляющей коммерческую тайну

К информации, составляющей коммерческую тайну, могут относиться сведения любого характера. Например, производственные, технические, экономические, организационные и другие, если они имеют коммерческую ценность.

Данный перечень должен быть зафиксирован в документах, устанавливающих режим коммерческой тайны, например, в Положении «О коммерческой тайне».

Если информация не включена в данный перечень, то она не является секретной, то есть не относится к охраняемой законом коммерческой тайне.

– содержащихся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры;

– содержащихся в документах, дающих право на осуществление предпринимательской деятельности;

– о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;

– о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;

– о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест;

– о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;

– о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;

– об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности;

– о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации;

– о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;

– обязательность раскрытия которых или недопустимость ограничения доступа, к которым установлена иными федеральными законами.

4. Определить перечень лиц, имеющих доступ к коммерческой тайне

Рекомендуем приказом руководителя компании внести в перечень лиц имеющих доступ к коммерческой тайне, работников допущенных к ней. Образец приказа на приведен на рисунке 2.

Рисунок 2. Приказ об утверждении перечня лиц, имеющих доступ к коммерческой тайне

5. Прописать в договорах с работниками и контрагентами, имеющими доступ к коммерческой тайне, порядок регулирования отношений по использованию такой информации

Для установления коммерческой тайны во взаимоотношениях с работниками:

– в трудовом договоре необходимо прописать обязанность работника соблюдать режим коммерческой тайны, установленный в организации и не разглашать сведения, составляющие коммерческую тайну организации третьим лицам.

Необходимо закрепить в трудовом договоре с работником следующее:

«Работник обязуется в течение срока действия настоящего трудового договора и в течение трех лет после его прекращения не разглашать охраняемую законом коммерческую тайну Работодателя, ставшую известной Работнику в связи с исполнением им трудовых обязанностей.»

Если работник на момент введения режима коммерческой тайны уже работает в компании, то заключите с ним дополнительное соглашение к трудовому договору. Образец дополнительного соглашения с работником приведен на рисунке 3.

Рисунок 3. Дополнительное соглашение к трудовому договору

Для установления коммерческой тайны во взаимоотношениях с контрагентами необходимо заключить соглашение о конфиденциальности.

6. Ознакомить работника, доступ которого к информации, составляющей коммерческую тайну,

необходим для выполнения им своих трудовых обязанностей, под расписку, с перечнем информации, составляющей коммерческую тайну, обладателями которой является работодатель и его контрагенты. С работником можно заключить соглашение о неразглашении коммерческой тайны или взять с него обязательство о хранении коммерческой тайны.

В обоих случаях в документах необходимо указать перечень информации, относящейся к коммерческой тайне, которую работники не должны разглашать.

В случае, если работник под роспись не ознакомлен с перечнем информации, то работодатель не может предъявить к нему претензий и привлечь к ответственности, в случае разглашения им коммерческой тайны.

7. Изготовить гриф «Коммерческая тайна»

Гриф «Коммерческая тайна» необходимо наносить на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включать в состав реквизитов документов, содержащих такую информацию.

На грифе необходимо указывать обладателя информации:

– для юридических лиц – полное наименование и место нахождения;

– для индивидуальных предпринимателей – фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства.

Таким образом, для установления режима коммерческой тайны необходимо предпринять следующие меры:

– утвердить приказ по основной деятельности о введении режима коммерческой тайны,

– утвердить положение «О коммерческой тайне»,

– определить перечень информации, относящейся к коммерческой тайне и лиц, имеющих к ней доступ,

– на все материальные носители нанести гриф «Коммерческая тайна»,

– подписать с работниками дополнительные соглашения к трудовым договорам.

В данной статье мы рассмотрели порядок введения режима коммерческой тайны.

Защищайте свою информацию, помните, что привлечь к ответственности работника можно только в том случае, если работник должным образом ознакомлен с порядком хранения коммерческой тайны.

Воспользовавшись советами данной статьи, Вы можете ввести режим коммерческой тайны и минимизировать угрозы разглашений ценной для Вас информации.

Источник: //kskgroup.ru/

Источник: //hr-portal.ru/cblog/hrreader/kommercheskaya-tayna-kak-zashchitit-kommercheskuyu-taynu-kompanii

Об утверждении Перечня сведений ограниченного доступа, не содержащих сведений, составляющих государственную тайну, (конфиденциального характера) Министерства финансов Российской Федерации и организаций, находящихся в его ведении (с изменениями на 16 ноября 2015 года), Приказ Минфина России от 17 июня 2014 года №162

(с изменениями на 16 ноября 2015 года)

____________________________________________________________________
Документ с изменениями, внесенными:
приказом Минфина России от 16 ноября 2015 года N 440.
____________________________________________________________________

________________
* Наименование в редакции, введенной в действие приказом Минфина России от 16 ноября 2015 года N 440..

В соответствии с Федеральным законом от 27 июля 2006 года N 149-ФЗ “Об информации, информационных технологиях и о защите информации”, постановлением Правительства Российской Федерации от 3 ноября 1994 года N 1233 “Об утверждении Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти и уполномоченном органе управления использованием атомной энергии” в целях защиты информации ограниченного распространения, не содержащей сведений, составляющих государственную тайну, в том числе обрабатываемой в информационных системах Министерства финансов Российской Федерации и организаций, находящихся в его ведении,
(Преамбула в редакции, введенной в действие приказом Минфина России от 16 ноября 2015 года N 440.
приказываю:

1. Утвердить прилагаемый Перечень сведений ограниченного доступа, не содержащих сведений, составляющих государственную тайну, (конфиденциального характера) Министерства финансов Российской Федерациии организаций, находящихся в его ведении.

(Пункт в редакции, введенной в действие приказом Минфина России от 16 ноября 2015 года N 440.

2.

Установить, что уполномоченными должностными лицами, имеющими право относить служебную информацию к разряду ограниченного распространения, если такое ограничение вызвано служебной необходимостью и не запрещено законодательством Российской Федерации, являются федеральные государственные гражданские служащие Министерства финансов Российской Федерации, замещающие должности федеральной государственной гражданской службы категории “руководители” высшей группы должностей и “помощники (советники)” высшей группы должностей, а также руководители и заместители руководителей организаций (обособленных структурных подразделений организаций), находящихся в ведении Министерства финансов Российской Федерации.
(Пункт в редакции, введенной в действие с 6 декабря 2015 года приказом Минприроды России от 29 октября 2015 года N 451.

3. Контроль за исполнением настоящего приказа возложить на первого заместителя Министра финансов Российской Федерации Т.Г. Нестеренко.

Министр
А.Г.Силуанов

Перечень сведений ограниченного доступа, не содержащих сведений, составляющих государственную тайну, (конфиденциального характера) Министерства финансов Российской Федерации и организаций, находящихся в его ведении

УТВЕРЖДЕНприказом Министерства финансовРоссийской Федерации

от 17 июня 2014 года N 162

(с изменениями на 16 ноября 2015 года)

________________
* Наименование в редакции, введенной в действие приказом Минфина России от 16 ноября 2015 года N 440..

Редакция документа с учетомизменений и дополнений подготовлена

АО “Кодекс”

Источник: //docs.cntd.ru/document/420219056