Как защитить информационные активы компании: пошаговая инструкция

1. Что такое информационные активы и зачем их защищать

Информационные активы компании — это любые сведения, которые имеют коммерческую ценность и доступ к которым ограничен. К ним относятся коммерческая тайна, персональные данные сотрудников и клиентов, ноу-хау, базы данных, программное обеспечение, бизнес-планы, финансовая отчетность, клиентские списки и многое другое. Защита этих активов необходима для предотвращения утечек, которые могут привести к финансовым потерям, утрате конкурентных преимуществ, репутационному ущербу и юридической ответственности.

Правовую основу охраны информации составляют Гражданский кодекс РФ (в частности, статьи 128, 1225, 1465–1466 о секрете производства), Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне» (далее — Закон о коммерческой тайне), Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Трудовой кодекс РФ, КоАП РФ и УК РФ. В зависимости от вида информации применяются различные правовые режимы, и задача компании — выбрать правильный и внедрить его.

В условиях цифровизации риски усиливаются: утечки происходят не только по вине сотрудников, но и в результате кибератак, ошибок в настройках доступа, недобросовестных контрагентов. Поэтому защита информационных активов должна быть системной и регулярной.

2. Шаг 1: Инвентаризация и классификация информационных активов

Первый шаг — определить, что именно подлежит защите. Для этого создается комиссия из представителей руководства, юридического отдела, службы безопасности и IT. Комиссия проводит инвентаризацию всех информационных ресурсов: документов, баз данных, программ, знаний сотрудников. Результат оформляется в виде реестра информационных активов, где указываются наименование, местонахождение, владелец, ценность и уровень конфиденциальности.

На основе реестра проводится классификация: какие сведения относятся к коммерческой тайне, какие — к персональным данным, какие — к ноу-хау, а какие могут быть открытыми. Критерии отнесения к коммерческой тайне определены в статье 3 Закона о коммерческой тайне: информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности третьим лицам, к ней нет свободного доступа, и обладатель принимает меры к охране конфиденциальности. Важно помнить, что некоторые сведения не могут быть коммерческой тайной (например, учредительные документы, сведения о загрязнении окружающей среды, численности работников и т.д. — статья 5 Закона о коммерческой тайне).

По итогам классификации утверждается перечень информации, составляющей коммерческую тайну. Этот документ является обязательным для введения режима. Его можно утвердить приказом руководителя или решением совета директоров (в АО — в соответствии с Федеральным законом от 26.12.1995 № 208-ФЗ «Об акционерных обществах», в ООО — Федеральным законом от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»).

Таблица сравнения режимов охраны информации:

3. Шаг 2: Введение режима коммерческой тайны

Режим коммерческой тайны считается установленным после принятия комплекса мер, перечисленных в статье 10 Закона о коммерческой тайне. К ним относятся: определение перечня информации, ограничение доступа к ней, учет лиц, получивших доступ, регулирование отношений по использованию информации с работниками и контрагентами, нанесение грифа «Коммерческая тайна» на носители. Также необходимо утвердить Положение о коммерческой тайне — внутренний документ, который детализирует порядок обращения с конфиденциальной информацией.

Типичный пакет документов включает:

• Приказ о введении режима коммерческой тайны.
• Перечень сведений, составляющих коммерческую тайну.
• Положение о коммерческой тайне.
• Обязательства о неразглашении для сотрудников.
• Журналы учета доступа и носителей.
• Соглашения о конфиденциальности с контрагентами.

Важно ознакомить всех сотрудников, имеющих доступ к тайне, с перечнем и положением под роспись. Несоблюдение формальностей может привести к тому, что в суде режим коммерческой тайны будет признан невведенным, и компания не сможет защитить свои права.

4. Шаг 3: Кадровая работа и договорные механизмы

Эффективность защиты информации во многом зависит от персонала. Согласно статье 10 Закона о коммерческой тайне, трудовой договор должен содержать условие о неразглашении охраняемой законом тайны (в соответствии со статьей 57 ТК РФ). Кроме того, можно заключить отдельное соглашение о неразглашении (NDA). В нем следует четко определить, какая информация является конфиденциальной, срок действия обязательств (в том числе после увольнения), ответственность за разглашение.

За разглашение коммерческой тайны работник может быть привлечен к дисциплинарной ответственности, вплоть до увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ. Материальная ответственность возможна в порядке статей 238, 243 ТК РФ, но на практике взыскать убытки сложно из-за необходимости доказывания причинной связи и размера ущерба.

При приеме на работу и при увольнении рекомендуется проводить инструктаж, брать обязательства о неразглашении, а при увольнении — напоминать об ответственности. Полезно также включать в трудовой договор условие о неконкуренции (для отдельных категорий) в пределах, допускаемых законодательством.

5. Шаг 4: Организационные и технические меры защиты

Организационные меры включают пропускной режим, ограничение физического доступа в помещения, где хранятся носители, использование сейфов, видеонаблюдение. Технические меры — это защита IT-инфраструктуры: разграничение прав доступа, использование DLP-систем, шифрование, антивирусы, резервное копирование, контроль съемных носителей. Для персональных данных необходимо соблюдать требования статьи 19 152-ФЗ: назначить ответственного за обработку, принимать правовые, организационные и технические меры.

Важно регулярно обновлять политики безопасности, проводить аудиты, обучать сотрудников. Технические средства должны соответствовать уровню угроз. При передаче данных третьим лицам (например, в облачные сервисы) необходимо заключать договоры с операторами, обеспечивающими конфиденциальность.

6. Шаг 5: Взаимодействие с контрагентами и партнерами

До начала переговоров с потенциальными партнерами следует заключать соглашение о конфиденциальности (NDA). В нем раскрывается, какая информация передается, цели использования, запрет на разглашение и передачу третьим лицам, срок действия, ответственность. Статья 11 Закона о коммерческой тайне требует от контрагентов соблюдения режима.

Если контрагент нарушает NDA, компания может требовать возмещения убытков, пресечения нарушений, а также привлечения к административной (ст. 13.14 КоАП) и уголовной (ст. 183 УК) ответственности. В договорах с подрядчиками и аутсорсинговыми компаниями необходимо включать пункты о защите информации, праве на аудит, обязанности вернуть или уничтожить носители после прекращения договора.

7. Шаг 6: Реагирование на инциденты и защита прав

При выявлении утечки необходимо немедленно провести внутреннее расследование: создать комиссию, зафиксировать факты, собрать доказательства (логи, служебные записки, объяснения). Если утечка касается персональных данных, оператор обязан уведомить Роскомнадзор в соответствии с требованиями 152-ФЗ (сроки и порядок установлены законом).

Для привлечения виновного к ответственности важно доказать факт разглашения и наличие режима коммерческой тайны. Судебная практика показывает, что компании часто проигрывают споры из-за отсутствия четкого перечня конфиденциальной информации, неизвещения работника под роспись, отсутствия грифа на документах. Например, в определениях Верховного Суда РФ неоднократно указывалось, что при отсутствии доказательств ознакомления работника с перечнем сведений, составляющих коммерческую тайну, увольнение по п. «в» ч. 6 ст. 81 ТК РФ признается незаконным.

Уголовная ответственность по ст. 183 УК РФ наступает за незаконное получение и разглашение сведений, составляющих коммерческую тайну, если это причинило крупный ущерб. Административная — по ст. 13.14 КоАП РФ.

8. Типичные ошибки и рекомендации

Ошибка 1: Отсутствие введенного режима коммерческой тайны. Без этого невозможно привлечь нарушителя.

Ошибка 2: Формальный подход — документы есть, но сотрудники не ознакомлены, доступ не ограничен, учет не ведется.

Ошибка 3: Устаревшие перечни и положения, не учитывающие новые активы.

Ошибка 4: Игнорирование технических мер и обучения персонала.

Рекомендации: регулярно (не реже раза в год) пересматривать перечень информационных активов и режим охраны; проводить обучение сотрудников; внедрять современные технические средства; фиксировать все действия с конфиденциальной информацией; привлекать юристов к разработке документов.

Нужна помощь по этому вопросу? Запишитесь на консультацию корпоративного юриста АО «Институт корпоративного управления».