Защита информации с ограниченным доступом

Информацию принято делить на общедоступную и с ограниченным доступом. Общедоступные сведения — это те, что можно свободно использовать и распространять: новости, открытые данные, официальные отчёты, публичные сайты.

Информация ограниченного доступа — это данные, распространение которых ограничено федеральным законом, нормативным актом или внутренними документами компании. Такие сведения подлежат защите, поскольку их утечка может нарушить права граждан, нанести ущерб организации или поставить под угрозу государственную безопасность.

Информации ограниченного доступа может присваиваться одна из степеней секретности:

• конфиденциально
• государственная тайна

Гостайна, в свою очередь, подразделяется на категории:

• Секретно
• Совершенно секретно
• Особой важности

Главная цель ограничения доступа — обеспечение безопасности государства, бизнеса и личности, а также сохранение доверия к организации.

Перечень сведений, относимых к категории информации ограниченного доступа, закреплён в Указе Президента РФ № 188 от 06.03.1997 г. «Об утверждении Перечня сведений конфиденциального характера». Также соответствующие положения содержатся в ряде федеральных законов, регулирующих отдельные виды тайн и режимов доступа.

К основным видам информации ограниченного доступа относятся:

Персональные данные — сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность.
(Федеральный закон № 152-ФЗ «О персональных данных», статья 3; Указ Президента РФ № 188, п. 1)
Примеры: ФИО, паспортные данные, адрес проживания, телефон, email, иные идентификаторы личности.

Коммерческая тайна — информация, связанная с производственной, финансовой, научно-технической или иной деятельностью организации, имеющая действительную или потенциальную коммерческую ценность и не являющаяся общедоступной.
(Федеральный закон № 98-ФЗ от 29.07.2004 г. «О коммерческой тайне»)

Служебная тайна — сведения, ставшие известными сотрудникам государственных или муниципальных органов при исполнении служебных обязанностей и не подлежащие разглашению без разрешения руководства.
(Указ Президента РФ № 188, п. 5; внутренние положения госорганов)

Профессиональная тайна — информация, доверенная специалисту в связи с его профессиональной деятельностью (медицинская, адвокатская, нотариальная, банковская и др.).
(Регулируется профильными законами: ФЗ № 323-ФЗ «Об охране здоровья граждан», ФЗ № 63-ФЗ «Об адвокатской деятельности и адвокатуре», ФЗ № 395-1 «О банках и банковской деятельности» и др.)

Тайна следствия и судопроизводства — сведения, касающиеся предварительного расследования или судебных дел, разглашение которых запрещено.
(Статья 161 УПК РФ; статья 24.7 КоАП РФ; Указ Президента РФ № 188, п. 4)

Информация об изобретениях, полезных моделях и промышленных образцах — до момента их официального обнародования такие сведения считаются конфиденциальными.
(Пункт 6 Указа Президента РФ № 188; Гражданский кодекс РФ, часть IV, статьи 1345–1350)

Каждый из указанных видов информации требует своего правового режима охраны и специальных мер защиты.

Например, обработка персональных данных регулируется Роскомнадзором, защита коммерческой тайны — ФСТЭК и ФСБ России, а сохранение профессиональных и служебных тайн контролируется профильными ведомствами.

Защита информации регулируется целым рядом нормативных актов. Основные из них:

• Федеральный закон №149-ФЗ от 27.06.2006 г. «Об информации, информационных технологиях и о защите информации» — определяет понятие информации, условия доступа, а также обязанности операторов по обеспечению её сохранности.
• Закон РФ №5485-1 от 21.07.1993 г. «О государственной тайне» — устанавливает категории сведений, относящихся к гостайне, и порядок их защиты.
• Федеральный закон №152-ФЗ «О персональных данных» — регламентирует порядок обработки, хранения и защиты персональных данных граждан.
• Федеральный закон №98-ФЗ «О коммерческой тайне» — описывает требования к защите информации, относящейся к деятельности предприятий.

Контроль за соблюдением этих норм осуществляют ФСТЭК России, ФСБ и Роскомнадзор в рамках своих полномочий. В организациях также должны действовать внутренние политики конфиденциальности и регламенты по защите данных, обеспечивающие выполнение требований законодательства.

Надёжная защита информации с ограниченным доступом невозможна без комплексного подхода.
Она строится на сочетании организационных, технических и морально-этических мер, каждая из которых выполняет свою роль.

Что считается информацией ограниченного доступа (распространения)?
Это сведения, распространение которых ограничено законом или внутренними документами компании. Их утечка может причинить вред государству, бизнесу или гражданину.

Какие виды информации относятся к ограниченным?
Персональные данные, коммерческая, служебная, государственная, профессиональная и следственная тайна.

Какие законы регулируют защиту таких данных?
Федеральные законы №149-ФЗ, №152-ФЗ, №98-ФЗ и №5485-1, а также Указ Президента №188.

Какие меры считаются эффективными для защиты информации?
Универсального решения не существует, поскольку для эффективной работы необходимо подбирать компоненты системы защиты и настраивать их в соответствии с моделью угроз конкретного предприятия. Но если говорить в целом про спектр “обычно используемых” решений, то туда входят: антивирусы, межсетевые экраны, DLP и SIEM-системы, контроль доступа и аутентификация (включая 2FA), шифрование данных и обучение персонала (awareness).

Что такое модель угроз?
Модель угроз, говоря простыми словами - это перечень наиболее вероятных способов компрометации данных ограниченного доступа конкретно для вашей компании. Она составляется экспертами и является основой для подбора средств защиты и усиления “слабых мест” инфраструктуры.

Кто отвечает за нарушение режима конфиденциальности?
Ответственность несёт оператор или владелец информации, а также конкретные сотрудники, допустившие нарушение правил.

Информация ограниченного доступа — это ценный ресурс, от сохранности которого напрямую зависит устойчивость бизнеса, безопасность клиентов и репутация компании. Её защита требует постоянного внимания, обновления технологий и дисциплины сотрудников.

Команда «Гладиаторы ИБ» помогает организациям выстроить комплексную защиту информации: от разработки регламентов до внедрения технических решений, соответствующих требованиям законодательства.

Мы обеспечиваем безопасность данных, чтобы ваш бизнес оставался защищённым — сегодня и завтра.