Как оформить информационную защиту бизнеса: пошаговый план

1. Правовые основы информационной защиты бизнеса

Информационная защита бизнеса представляет собой комплекс правовых, организационных и технических мер, направленных на предотвращение неправомерного доступа, использования, разглашения или утраты конфиденциальной информации. В российском праве такая защита строится на нескольких уровнях регулирования: международные акты, Конституция РФ, федеральные законы, подзаконные нормативные акты, локальные нормативные акты организации и договорные конструкции. Основными нормативными актами, регулирующими эту сферу, являются:

• Гражданский кодекс РФ, часть четвёртая, который в ст. 1225 устанавливает охрану секретов производства (ноу-хау) как результатов интеллектуальной деятельности, а в ст. 1465 закрепляет понятие секрета производства. Статья 1472 ГК РФ предусматривает ответственность за нарушение исключительного права на секрет производства.
• Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне», определяющий понятие коммерческой тайны, права и обязанности обладателя информации, а также меры по охране её конфиденциальности. Именно этот закон является базовым для введения режима коммерческой тайны.
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», устанавливающий требования к обработке и защите персональных данных, а также обязанности оператора.
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», закрепляющий общие принципы защиты информации, понятие информационной системы и обязанности обладателя информации.
• Трудовой кодекс РФ, регулирующий отношения между работником и работодателем в части неразглашения конфиденциальной информации (ст. 57, 81, 192, 243).
• Кодекс РФ об административных правонарушениях (ст. 13.11, 13.14) и Уголовный кодекс РФ (ст. 183), предусматривающие ответственность за нарушения.
• Подзаконные акты: Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», а также методические документы ФСБ России и ФСТЭК России.

Ключевым элементом является режим коммерческой тайны. Согласно ст. 10 98-ФЗ, для установления режима необходимо: определить перечень информации, составляющей коммерческую тайну; ограничить доступ к ней; вести учёт лиц, получивших доступ; регулировать отношения по использованию информации с работниками и контрагентами; нанести на материальные носители гриф «Коммерческая тайна» с указанием обладателя и его места нахождения. Дополнительно могут применяться технические средства контроля и защиты, но именно указанные меры являются обязательными. Если хотя бы одна из них отсутствует, суд может признать режим коммерческой тайны не введённым.

Для персональных данных оператор обязан соблюдать требования 152-ФЗ, включая получение согласий субъектов, обеспечение конфиденциальности и безопасности, а также уведомление Роскомнадзора (ст. 22). Кроме того, оператор должен назначить ответственного за организацию обработки персональных данных, опубликовать политику обработки, принять правовые, организационные и технические меры по ст. 18.1 и 19 152-ФЗ. С 2022 года усилены требования к уведомлению Роскомнадзора об инцидентах: оператор обязан сообщать о фактах неправомерной передачи или утечки персональных данных в установленные законом сроки.

2. Какая информация подлежит защите

Не вся информация может быть защищена режимом коммерческой тайны. Статья 5 98-ФЗ устанавливает перечень сведений, в отношении которых режим коммерческой тайны не может быть установлен. К ним относятся: учредительные документы, документы, дающие право на осуществление предпринимательской деятельности, сведения о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической обстановке, численности и составе работников, системе оплаты труда, задолженности по выплате заработной платы, нарушениях законодательства и другие. Эти сведения не могут быть закрыты, поскольку затрагивают публичный интерес или права работников и потребителей.

К охраняемой информации, как правило, относятся:

• Секреты производства (ноу-хау), включая технические, технологические, экономические, организационные и другие решения, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам.
• Финансовая отчётность, бюджеты, планы развития, инвестиционные модели, кредитные и налоговые стратегии.
• Клиентские базы, контакты, условия договоров, история взаимоотношений, ценовые условия.
• Маркетинговые стратегии, ценообразование, коммерческие предложения, данные о конкурентах и рыночных исследованиях.
• Программное обеспечение, алгоритмы, базы данных, исходный код, техническая документация.
• Персональные данные работников и клиентов, которые защищаются по правилам 152-ФЗ, а не только по режиму коммерческой тайны.

Для эффективной защиты необходимо провести инвентаризацию информации и утвердить перечень сведений, составляющих коммерческую тайну. Этот перечень может быть оформлен как приложение к Положению о коммерческой тайне и должен регулярно пересматриваться. Важно, чтобы перечень был конкретным: формулировки вроде «иная информация, отнесённая руководителем к коммерческой тайне» сами по себе не создают режим. Суды проверяют, мог ли работник определённо понимать, какие именно сведения он не вправе разглашать.

Отдельно следует учитывать, что информация может иметь разные правовые режимы: коммерческая тайна, банковская тайна, налоговая тайна, адвокатская тайна, аудиторская тайна, нотариальная тайна, персональные данные. Смешение режимов недопустимо. Например, персональные данные нельзя защищать только режимом коммерческой тайны, поскольку для них действует специальное законодательство.

3. Сроки и пошаговый порядок введения режима коммерческой тайны

Законодательство не устанавливает единого срока, в течение которого должен быть введён режим коммерческой тайны. Однако на практике разумный срок составляет от одного до трёх месяцев с момента, когда организация начала работу с конфиденциальной информацией. Если режим вводится после утечки, суд может указать, что меры были несвоевременными. Рекомендуется зафиксировать приказом дату введения режима и утвердить план мероприятий.

Процесс введения режима коммерческой тайны включает следующие этапы:

Шаг 1. Инвентаризация информации (1–2 недели). Создаётся комиссия, которая выявляет носители информации, оценивает их ценность и возможность защиты. Результатом становится проект перечня сведений, составляющих коммерческую тайну. На этом этапе важно учесть не только документы, но и электронные ресурсы, переписку, базы данных, программное обеспечение.

Шаг 2. Утверждение перечня сведений (2–5 рабочих дней). Перечень утверждается приказом руководителя организации. В нём указываются конкретные категории информации и срок действия режима. Перечень доводится до сведения работников, которым он необходим для исполнения обязанностей.

Шаг 3. Разработка и утверждение Положения о коммерческой тайне (2–4 недели). Это основной локальный акт, который определяет понятие коммерческой тайны, порядок доступа, обязанности работников, ответственность за разглашение. Положение должно быть утверждено руководителем и доведено до сведения всех заинтересованных лиц. В нём также описываются порядок учёта носителей, правила работы с электронной почтой, удалённого доступа и уничтожения документов.

Шаг 4. Нанесение грифа «Коммерческая тайна» (по мере оформления носителей). В соответствии со ст. 10 98-ФЗ на материальные носители наносится гриф с указанием полного наименования обладателя и его места нахождения. Для электронных документов может использоваться электронная метка, гриф в колонтитуле или иной способ, обеспечивающий идентификацию.

Шаг 5. Ознакомление работников (до фактического доступа). Все работники, допущенные к конфиденциальной информации, должны быть ознакомлены с Положением и Перечнем под роспись. В трудовые договоры включается условие о неразглашении (ст. 57 ТК РФ). Для контрагентов разрабатываются соглашения о конфиденциальности (NDA).

Шаг 6. Организация учёта доступа (1–2 недели). Ведётся журнал учёта лиц, получивших доступ к информации, оформляются пропуска, настраиваются электронные системы контроля доступа. Учёт должен позволять установить, кто, когда и к какой информации получил доступ.

Шаг 7. Технические меры (от 2 недель до нескольких месяцев). Внедряются средства защиты информации (СЗИ), разграничиваются права доступа, применяется шифрование, защита от несанкционированного доступа, DLP-системы. Для персональных данных дополнительно определяются уровни защищённости по Постановлению № 1119 и применяются меры по Приказу ФСТЭК № 21.

Шаг 8. Контроль и периодический пересмотр (постоянно). Проводятся внутренние проверки, аудит, обновление перечня и Положения при изменении деятельности. Рекомендуется пересматривать перечень не реже одного раза в год, а также при смене бизнес-процессов, заключении крупных договоров, увольнении ключевых сотрудников.

4. Документарное оформление информационной защиты

Для надлежащего оформления необходимо подготовить комплект документов. Для режима коммерческой тайны:

• Приказ о введении режима коммерческой тайны.
• Положение о коммерческой тайне.
• Перечень сведений, составляющих коммерческую тайну.
• Журнал ознакомления работников с Положением.
• Обязательства о неразглашении (для работников).
• Соглашения о конфиденциальности (NDA) с контрагентами.
• Учётные карточки доступа.
• Инструкции по работе с конфиденциальной информацией.
• Журналы учёта носителей и электронных ресурсов.
• Приказы о назначении ответственных лиц.

Для защиты персональных данных:

• Политика обработки персональных данных.
• Положение об обработке и защите персональных данных.
• Согласия на обработку персональных данных.
• Приказ о назначении ответственного за организацию обработки ПД.
• Уведомление в Роскомнадзор (ст. 22 152-ФЗ).
• Модель угроз безопасности.
• Акт определения уровня защищённости.
• Журналы учёта обращений субъектов и инцидентов.
• Правила трансграничной передачи, если она осуществляется.

Все локальные акты должны быть утверждены руководителем и доведены до сведения работников под роспись. Важно обеспечить хранение документов, подтверждающих ознакомление, так как они являются доказательствами в случае судебного спора. Сроки хранения определяются номенклатурой дел, архивным законодательством и внутренними правилами, но документы о введении режима коммерческой тайны целесообразно хранить постоянно, пока действует режим и в течение сроков исковой давности после его прекращения.

5. Защита персональных данных: требования 152-ФЗ

Федеральный закон № 152-ФЗ устанавливает обязательные требования к операторам персональных данных. Оператор обязан:

• Получать согласие субъекта на обработку его персональных данных, за исключением случаев, прямо предусмотренных законом (ст. 6, 9 152-ФЗ).
• Принимать правовые, организационные и технические меры для защиты данных (ст. 18.1, 19).
• Назначить ответственного за организацию обработки персональных данных.
• Разработать и опубликовать политику обработки персональных данных.
• Уведомить Роскомнадзор о начале обработки (ст. 22), кроме исключений.
• Обеспечивать конфиденциальность и безопасность при обработке, хранении, передаче и уничтожении данных.
• Соблюдать права субъектов: на доступ, уточнение, блокирование, уничтожение, отзыв согласия.
• При трансграничной передаче убедиться в наличии правовых оснований и соблюсти уведомительный порядок по ст. 12 152-ФЗ.
• В установленных случаях уведомлять Роскомнадзор об инцидентах и принимать меры по устранению последствий.

Для информационных систем персональных данных определяются уровни защищённости по Постановлению Правительства РФ № 1119. В зависимости от уровня применяются организационные и технические меры: идентификация и аутентификация, управление доступом, регистрация событий безопасности, антивирусная защита, резервное копирование, шифрование, контроль целостности. Конкретный состав мер уточняется в модели угроз и в соответствии с Приказом ФСТЭК № 21. За нарушение требований предусмотрена административная ответственность по ст. 13.11 КоАП РФ, а в некоторых случаях — уголовная.

6. Ответственность за разглашение конфиденциальной информации

Лица, виновные в разглашении коммерческой тайны, могут быть привлечены к следующим видам ответственности:

• Дисциплинарная: замечание, выговор, увольнение (ст. 192, 81 ТК РФ). Увольнение возможно по п. 6 ч. 1 ст. 81 ТК РФ за разглашение охраняемой законом тайны, ставшей известной работнику в связи с исполнением трудовых обязанностей.
• Материальная: полное возмещение ущерба (ст. 243 ТК РФ), если это предусмотрено трудовым договором или федеральным законом. Работодатель должен доказать размер ущерба и причинную связь.
• Административная: штраф по ст. 13.14 КоАП РФ за разглашение информации с ограниченным доступом, а по ст. 13.11 КоАП РФ — за нарушения в области персональных данных.
• Уголовная: по ст. 183 УК РФ (штраф, исправительные работы, лишение свободы). Уголовная ответственность наступает за собирание, разглашение или использование сведений, составляющих коммерческую, налоговую или банковскую тайну.
• Гражданско-правовая: возмещение убытков, компенсация морального вреда, а по ст. 1472 ГК РФ — ответственность за нарушение исключительного права на секрет производства.

Контрагенты несут ответственность в соответствии с условиями NDA и нормами ГК РФ. Если NDA нет, взыскать убытки сложнее, но возможно через общие нормы о недобросовестной конкуренции и защите деловой репутации. Важно фиксировать факты разглашения: служебные записки, акты, объяснения, логи доступа, заключения специалистов.

7. Судебная практика и типичные ошибки

Анализ судебной практики показывает, что суды отказывают в защите коммерческой тайны, если режим не был введён надлежащим образом. Основные ошибки:

• Отсутствие утверждённого перечня сведений, составляющих коммерческую тайну.
• Неознакомление работников с Положением под роспись.
• Отсутствие грифа «Коммерческая тайна» на документах.
• Формальное введение режима без реальных организационных и технических мер.
• Отсутствие NDA с контрагентами.
• Игнорирование требований 152-ФЗ при обработке персональных данных.
• Неопределённость формулировок в перечне, из-за чего работник не мог понять, что именно нельзя разглашать.
• Отсутствие учёта доступа и доказательств того, что работник получил конкретную информацию.
• Несвоевременный пересмотр перечня при изменении деятельности.
• Отсутствие контроля за удалённым доступом и электронными носителями.

Например, если работник не был ознакомлен с перечнем конфиденциальной информации, суд может признать увольнение за разглашение незаконным. Если работодатель не докажет, что информация являлась коммерческой тайной и что работник имел к ней доступ, в иске о возмещении ущерба будет отказано. В спорах с контрагентами суды проверяют, был ли NDA подписан до передачи информации и содержал ли он конкретные обязательства. Поэтому важно документально подтверждать все этапы.

8. Риски и последствия

Информационная защита бизнеса связана с управлением рисками. Основные виды рисков:

• Правовые: привлечение к административной и уголовной ответственности, предписания Роскомнадзора, иски работников и контрагентов.
• Финансовые: штрафы, убытки от утечки, расходы на расследование, снижение выручки из-за потери клиентов.
• Репутационные: подрыв доверия партнёров и клиентов, негативные публикации, потеря деловой репутации.
• Операционные: сбои в бизнес-процессах, утрата ноу-хау, невозможность использовать активы.
• Конкурентные: использование информации конкурентами, потеря уникальных преимуществ.

Для минимизации рисков рекомендуется проводить оценку информационных активов, определять критические данные, моделировать угрозы и регулярно проверять эффективность мер. Особое внимание следует уделять кадровым процессам: при приёме, переводе и увольнении работников доступ к конфиденциальной информации должен пересматриваться.

9. Практические рекомендации

Для эффективной информационной защиты бизнеса рекомендуется:

• Проводить регулярный аудит информационной безопасности.
• Обновлять перечень конфиденциальных сведений и Положение о коммерческой тайне.
• Обучать работников правилам работы с конфиденциальной информацией.
• Использовать современные технические средства защиты (DLP, SIEM, шифрование).
• Заключать NDA с контрагентами до начала сотрудничества.
• Назначать ответственных за информационную безопасность и обработку персональных данных.
• Вести журналы доступа, инцидентов и ознакомления.
• Разработать порядок реагирования на утечки: кто сообщает, кому, в какие сроки, какие доказательства фиксируются.
• Проверять контрагентов на предмет соблюдения конфиденциальности.
• Консультироваться с юристами при разработке документов и в спорных ситуациях.
• Хранить доказательства введения режима: приказы, журналы, росписи, NDA, акты.
• Учитывать отраслевые требования: банковская тайна, медицинская тайна, тайна связи и другие.

Комплексный подход позволит минимизировать риски утечки информации и обеспечить правовую защиту бизнеса. Начинать следует с инвентаризации информации и издания приказа, затем последовательно внедрять локальные акты, кадровые и технические меры. Только системная работа, подкреплённая документами, даёт возможность защитить интересы компании в суде и перед контролирующими органами.

10. Выводы

Информационная защита бизнеса — это не разовое действие, а постоянный процесс. Он включает правовое оформление режима коммерческой тайны, защиту персональных данных, договорную работу с контрагентами, организационные и технические меры, обучение персонала и контроль. Ошибки на любом этапе могут привести к тому, что суд не признает информацию конфиденциальной, а компания не сможет взыскать убытки или привлечь виновного к ответственности. Поэтому важно соблюдать требования 98-ФЗ, 152-ФЗ, 149-ФЗ, ТК РФ и подзаконных актов, а также своевременно обновлять документы и проверять эффективность защиты.

---

Нужна помощь по этому вопросу? Запишитесь на консультацию корпоративного юриста АО «Институт корпоративного управления».