Какие последствия несоблюдение закона? - Форум по вопросам информационной безопасности

Затраты на ИБ вообще не любит никто включать, даже на защиту КТ, утечка которой грозит реальным ущербом, и защита которой необходима на всех уровнях, но работодатель, нанимая специалиста по ЗИ, думает, что будет всё работать. Наивный... Или мы наивные...

> даже на защиту КТ, утечка которой грозит реальным ущербом

Есть у меня несколько любимых вопросов для собеседования. В частности, когда кандидат начинает вкручивать про "реальный ущерб от утечки КТ" , предлагаю на модельной ситуации посчитать ущерб от утечки. На этом обычно все разговоры про ущерб от утечки заканчиваются, и мы переходим к теме, в которой кандидат плавает не настолько очевидно :)

2 malotavr
Давайте. Модельная ситуация, но только давайте по электронной почте: arkuen@mail.ru

Давайте сюда, всем, я думаю, это будет интересно

Alekzanderr, это плохая идея.

Alekzanderr, это плохая идея.

Издеваетесь?

Дано: Новокузнецкий завод резервуарных металлоконструкций.

Положение о коммерчес5кой тайне - http://www.reap.ru/files%5C0517_20060327_1.doc

В сети опубликована информация о том, что объем выпускаемой продукции (КТ согласно приложению А) в 2008 г. составил 24 800 тонн (или 1,197 млрд рублей).

Какой ущерб компании принесла утечка?

malotavr
Я знаком с этим документом.
Могу сказать, что не предусмотрена система доступа и допуска к информации, но речь не об этом.
Отвечу на Ваш вопрос: распространение данной Вами информации не наносит прямой действительный ущерб.
В перечне информации, составлящем коммеческую тайну описывается вид информации, но не указывается конкретный объём сведений, не подлежащих распространению. В Вашем положении я не увидел, по какому принципу разделяется эта информация, или документы.
Так же существует понятие гриф "Коммерческая тайна", что означает введение ограничение на использование конкретных документов, содержащих информацию, составляющую коммерческую тайну (для удобства будем использовать сокращение ИсКТ). Вот здесь уже пойдут конкретные цифры (этому документу вы продаёте за А баксов, а этому за Б то же самое и столько же. А>Б. Неужели А будет довольный таким раскладом? Или себестоимость продукции составляет Х, а вы продаёте за У + методики расчёта если ещё будут - уж очень Вашим "друзьям" понравятся)

Данная Вами информация определена Вашим руководством, как информация, не подлежащия защите в режиме Коммерческой тайны, что вполне обосновано. Следовательно - нет ограничений на её распространение. НО!!! Если бы эти цифры содержали бы определённую конкретизацию (прибыль разложенная на все составляющие), то Вы бы уже не хотели бы допустить распространение данной информации:-)

Встречный вопрос:
зачем нужно просчитывать ущерб от разглашения того или иного объёма сведений?

"Данная Вами информация определена Вашим руководством, как информация, не подлежащия защите в режиме Коммерческой тайны,"

Ни фига подобного. В положении русским по белому написано:
"8.1. Коммерческой тайной Общества является информация указанная в перечне (Приложение А)"

Сведения, которые я привел, в соответствии с положением составляют коммерческую тайну и подлежат защите. То, что кто-то опубликовал эти сведения, является нарушением положения, пусть даже и санкционированным руководством. То, что положение дурацкое - факт. Но вопрос не в этом.

Вы пишете: "Затраты на ИБ вообще не любит никто включать, даже на защиту КТ, утечка которой грозит реальным ущербом". Как видите, я вам привел пример вполне определенной "утечки" вполне определенношго объема сведений, составляющих коммерческую тайну вполне определенной компании. Ущерб от этой утечки, как вы верно заметили, равен нулю.

И таким будет ущерб от утечек большинства документов, составляющих коммерческую тайну компаний - просто потому, что ценность большинства таких сведений действительно равна нулю. Или не равна нулю, но не поддается оценке, поскольку никому, включая владельца компании, непонятно, как считать потенциальную коммерческую стоимость этих сведений. Непонятно даже, будет ли эта стоимость "значительной" или "незначительной". Поэтому и не любят на защиту сведений непонятной ценности выделять понятные средства :)

Разглашение коммерческой, банковской и налоговой тайн вынесены из гражданского/арбитражного судопроизвродства в уголовное именно по той причине, что в большинстве случаев невозможно установить ущерб от деяния. Поэтому наказывают за само деяние.

Так что, когда человек на собеседовании неосторожно заявляет, что утечка коммерческой тайны приводит к реальному (в моем понимании - к измеримому) ущербу, появляются веские основания считать, что он ни разу не пытался этот ущерб измерить :)