Защита коммерческой тайны - Форум по вопросам информационной безопасности

Постановление Конституционного Суда РФ от 26 октября 2017 г. № 25-П
“По делу о проверке конституционности пункта 5 статьи 2 Федерального закона “Об информации, информационных технологиях и о защите информации”в связи с жалобой гражданина А.И. Сушкова”

http://www.garant.ru/hotlaw/federal/1145048/


".... Федеральный закон от 29 июля 2004 года № 98-ФЗ “О коммерческой тайне”, определяя статус обладателя информации, составляющей коммерческую тайну, и закрепляя ряд его прав, связывает их возникновение с моментом установления им в отношении этой информации режима коммерческой тайны, предусматривающего принятие мер по охране ее конфиденциальности, включая определение перечня информации, составляющей коммерческую тайну, ограничение доступа к такой информации путем установления порядка обращения с ней и контроля за соблюдением установленного порядка, учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана, регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров, нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа “Коммерческая тайна”с указанием обладателя такой информации (часть 1 статьи 6.1, части 1 и 2 статьи 10)...."

Ключевая фраза - "материальные носители" ? :)

Если выполняется передача исходного кода по договору - можно поставить гриф на приложение к договору, содержащее код. Каким будет это приложение зависит от вашей фантазии, основное требование - оно должно быть материальным.

Думаю, что Вами уже приняты меры по технической защите кода, и у Вами не предполагается распространение незащищенного кода.

Если же всё-таки Вам нужно зафиксировать факт правообладания результатом интеллектуальной собственности - то это это вопрос патентного права, а не защиты коммерческой тайны.

Код разрабаотывается для себя, на территории России. (но сервер находится удаленно.) Передачи кода другой организации нету.
интересует именно:
2. соответствовать именно ст.10 98-ФЗ с учётом дальнейшей защиты в суде?

Обратите внимание, что в законе использована формулировка "нанесение на материальные носители или включение в состав реквизитов документов".

Маркировка нужна для того, чтобы до ознакомления с информацией лицо, допущенное к ней, осознало правовые последствия ознакомления. В вашем случае маркировка сервера как материального носителя - занятие абсолютно бессмысленное:
- на сервере, кроме сведений, составляющих ваш секрет производства, есть и другие сведения, и субъект, строго говоря, не знает, на какие из них распространяется маркировка;
- что важнее, в вашеv случае он маркировку просто не увидит :)

Поэтому стоит остановиться на маркировке именно файлов.Файл исходного кода - это документ в электронной форме, являющийся составной частью программной документации ("текст программы", ГОСТ 19.401). Есть устоявшаяся практика маркировки текстов программ:
- принимается внутренний нормативный документ, определяющий порядок обращения с файлами, на которые распространяется коммерческая тайна;
- в заголовке файла делается аннотация: коммерческая тайна, <реквизиты обладателя>, по хорошему - еще и ссылка на электронный вариант порядка обращения с файлом, хотя нормативный документ, хотя это по закону и не требуется.

Для защиты в суде такой маркировки (с учетом остальных мер, прописанных в законе) более, чем достаточно.

>соответствовать именно ст.10 98-ФЗ с учётом дальнейшей защиты в суде?

из утилитарного ещё могу порекомендовать либо записывать созданный вами код на компакт-диск, высылать самому себе и хранить полученный пакет в надёжном месте, либо заверять исходный код у нотариуса.

malotavr
>- принимается внутренний нормативный документ, определяющий порядок обращения с файлами, на которые распространяется коммерческая тайна;

А описать это в положении можно? например, что на исходный код метка ставится так-то так-то, да такой-то дакумент еще как-то.

И кстати, как более корректно написать, можно ли про организацию писать как про ИС?:
Утвердить перечень сведений, составляющих коммерческую тайну, обрабатываемых в информационной системе OOO РогаИКопыта
или
Утвердить перечень сведений, составляющих коммерческую тайну, обрабатываемых в ООО РогаИКопыта

> А описать это в положении можно?

Нужно :) Это и есть тот самый нормативный документ. Без него, строго говоря, работник не обязан обращать внимания на маркировку.

> И кстати, как более корректно написать, можно ли про организацию писать как про ИС?:

Не принципиально, но обычно пишут на уровне организации, а не отдельных ИС.

эх, очередной глупый, наверное, вопрос в моем исполнении,но все про тоже:
Имеются база данных какой-то информации и база паролей-логинов
вроде под определение электронного документа подходит (https://ru.wikipedia.org/wiki/%D0%AD%D0%BB%D0%B5%D0%BA%D1%82%D1%80%D0%BE%D0%BD%D0%BD%D1%8B%D0%B9_%D0%B4%D0%BE%D0%BA%D1%83%D0%BC%D0%B5%D0%BD%D1%82)

Но у меня вопрос, а как их то "метить", чтоб неродивый юзер организации не спер базу данных, или не передал свой пароль с логином 3 стороне? ;)))

Формальные определения (ФЗ-149):
1. Электронный документ - документированная информация, представленная в электронной форме, то есть в виде, пригодном для восприятия человеком с использованием электронных вычислительных машин, а также для передачи по информационно-телекоммуникационным сетям или обработки в информационных системах;
2. Документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель.

Ключевой момент, который отличает электронный документ от других видов электронной информации - наличие реквизитов, идентифицирующих документ и содержащих дополнительную информацию о нем (к допинформации относится, например, и пометка КТ). Исходя из этих определений, реквизиты могут быть в двух формах:
1. Они могут содержаться в самой базе данных и отображаться программой, которая используется для просмотра данных ("в виде, пригодном для восприятия человеком с использованием электронных вычислительных машин"),
2. Они могут наноситься на материальный носитель.

Второй случай нужен тогда, когда вы передаете информацию на материальном носителе. Вам нужно уведомить получателя, что на носителе записана коммерческая тайна, и маркировка носителя эту задачу решает.

Первый случай пригоден тогда, когда вы работаете с информацией в электронной форме. Как именно будут храниться реквизиты и как именно они будут отображаться, вы решаете сами, законодательство вас не ограничивает. Единственное требование - человек, работающий с такой информацией, при доступе к ней должен узнавать, что сейчас он работает именно с конфиденциальной информацией, и процедура "узнавания" должна быть прописана в нормативном документе.

Говоря проще, в случае конфликта вы должны уметь доказывать два факта:
1. Если пользователь соблюдал установленные вами правила обращения с КТ, то он не мог не знать, что информация конфиденциальна
2а. Что пользователь ознакомился с информацией в соответствии с установленными вами правилами или
2б. Что пользователь не мог ознакомиться с информацией, кроме как в соответствии с установленными вами правилами.

Как именно вы будете это делать - дело ваше.

Чтобы защититься, пользователю достаточно доказать, что он мог ознакомиться с информацией, не нарушая установленных вами правил и при этом так и не узнав, что информация конфиденциальна.

Спасибо!