Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах - Форум по вопросам информационной безопасности

По поводу таблицы Лукацкого.
Если сведения «о тактико-технических характеристиках и возможностях боевого применения образцов вооружения и военной техники, о свойствах, рецептурах или технологиях производства новых видов ракетного топлива или взрывчатых веществ военного назначения» и «о наличии у гражданина психического расстройства, фактах обращения за психиатрической помощью и лечении в учреждении, оказывающем такую помощь, а также иные сведения о состоянии психического здоровья являются врачебной тайной, охраняемой законом» тождественны включая «деятельность, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию», то можно и далее осуществлять деятельность по систематизации различных букв в словосочетаниях.

Для Комрад
Вопрос: Прошу Вас помочь определить состав информации доступ, к которой ограничен федеральными законами (информация ограниченного доступа) но:
при этом не являющими:
сведениями, составляющими государственную тайну;
персональными данными, включающими любую информацию о частной жизни, (сведения о происхождении, о месте его пребывания или жительства, о личной и семейной жизни, о фактах биографии, об участии в судопроизводстве),
предназначенными для обработки в Государственных информационных системах, созданных в целях реализации полномочий государственных органов и обеспечения обмена информацией между этими органами.
С уважением Егор

Егор.

На сколько я понимаю, на текущий момент это ровно один вид тайны - коммерческая. Возможно, примут закон о служебной тайне, когда нибудь. И у нас будет служебная тайна.


Ссылку на перечень тайн я давал, в перечне спокойно фигурирует, например банковская тайна, тайна ломбарда и т.д. Они тоже подподают под данное вами определение, другое дело что вот никто обычно не классифицирует эти тайны как банквскую или ломбарда, максимум ставят свои грифы типа КТ.

- сведения о юр. лицах, являющихся клиентами кредитных организаций (не гостайна, не ПД, обрабатывается ЦБ РФ и ФСФМ)
- сведения, составляющие коммерческую тайну юридических лиц(не гостайна, не ПД, обрабатывается разными ФОИС в пределах их компетенции)
- сведения о нотариальных действиях (не гостайна, не ПД, обрабатывается следственными и судебными органами)
- сведения о налогоплательшике (не гостайна, не ПД, обрабатывается налоговыми органами, органами внутренних дел, следственными органами, органами государственного внебюджетного фонда и таможенными органами)

Достаточно для начала?

> - сведения, составляющие коммерческую тайну юридических лиц(не гостайна, не ПД, обрабатывается разными ФОИС в пределах их компетенции)

Забавно, что у ФОИС есть именно коммерческая тайна, когда им запрещено заниматься коммерческой деятельностью. Если принимать во внимание, что они теперь оказывают госуслуги, то да, теперь они обязаны обладать коммерческой тайной... :-)

> Забавно, что у ФОИС есть именно коммерческая тайна,

"О сколько нам открытий чудных..." :)
Про то, что ФОИВ обрабатывают _свою_ коммерческую тайну, я ничего не писал :)

ФЗ "О коммерческой тайне"

"Статья 13. Охрана конфиденциальности информации при ее предоставлении

1. Органы государственной власти, иные государственные органы, органы местного самоуправления в соответствии с настоящим Федеральным законом и иными федеральными законами обязаны создать условия, обеспечивающие охрану конфиденциальности информации, предоставленной им юридическими лицами или индивидуальными предпринимателями."

И таки да, государство в лице ОГВ вполне себе приобретает права на объекты интеллектуальной собственности (например, исключительные права на ОИС, создаваемые в рамках НИР и ОКР по госконтрактам). Если такой объект соответствует критериям секрета производства (например, снижает издержки), формально ничто не мешает заказчику ввести в отношении него режим коммерческой тайны. Оксюморон, но закон подобное позволяет.

Нет, г-н malotavr, это не был "камень, брошенный в ваш огород". Это были просто мысли в слух от прочитанного. Заметил, что у вас в Собянинске все люди так реагируют на "попутные" высказывания. Просто сама мысль оценивать информацию ФОИВ через коммерческую тайну показалась мне забавной (самому в голову такое не приходило). У них не может быть коммерческой тайны в принципе (хоть в нашей стране может быть всё что угодно, но тем не менее). Если только не заменить госфункции на госуслуги :-)))
Даже секреты производства появляются, когда занимаешься производством. На мой взгляд секреты производства не могут появиться от исполнения государственной функции. Аналогично и с объектами ОИС, для этого надо заниматься НИР и ОКР (научной, исследовательской, творческой деятельностью). Пусть даже параллельно госфункциям (закон это не запрещает), но никак ни во время исполнения госфункций!

К вопросу о соотношении «коммерческой тайны» и «персональных данных»
Выписка из отчета о деятельности Уполномоченного органа по защите прав субъектов персональных данных за 2011 год

Основными, типичными нарушениями требований Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и принятых на его основе подзаконных актов, выявленными в ходе плановых и внеплановых проверок, являются:
а) ст. 7 Федерального закона «О персональных данных» – нарушение требований конфиденциальности при обработке персональных данных;
Пример
В ходе проведения проверки в отношении Общества с ограниченной ответственностью «Стройтрест 2П» должностными лицами Уполномоченного органа были установлены факты доставки платежных документов в незаконвертованном виде. По данному факту органами прокуратуры, на основании материалов Уполномоченного органа, возбуждено дело об административном правонарушении по ст. 13.11 КоАП РФ. По результатам рассмотрения материалов дела судом принято решение о привлечении ООО «Стройтрест 2П» к административной ответственности и наложении штрафа в размере пяти тысяч рублей.
б) ч. 3 ст. 18 Федерального закона «О персональных данных» – неуведомление гражданина о начале обработки его персональных данных;
Пример
В Кировской области муниципальное унитарное предприятие «Расчетно-информационный центр» г. Кирова, получив от сторонней организации персональные данные нанимателей и собственников жилых помещений, а также членов их семей, не уведомила указанных лиц о начале обработки их персональных данных. Управлением Уполномоченного органа по Кировской области по данному факту выдано предписание об устранении выявленных нарушений, соответствующие материалы были направлены в органы прокуратуры. По данному факту органами прокуратуры возбуждено дело об административном правонарушении по ст. 13.11 КоАП РФ, по результатам рассмотрения которого на указанное предприятие наложен штраф в размере пяти тысяч рублей.
в) п. 15 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 в части, касающейся несоблюдение Оператором условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ;
Пример
Управлением Уполномоченного органа по Ростовской области была проведена плановая выездная проверка в отношении ОАО «Энергия». В ходе проведения контрольно-надзорного мероприятия установлено отсутствие у Оператора утвержденного перечня мер, необходимый для обеспечения сохранности персональных данных и исключающий несанкционированный доступ к ним. По данному факту органами прокуратуры возбуждено дело об административном правонарушении по ст. 13.11 КоАП РФ. По результатам рассмотрения материалов дела судом принято решение о привлечении ОАО «Энергия» к административной ответственности и наложении штрафа в размере пяти тысяч рублей, в том числе на должностное лицо ОАО «Энергия» в размере пятьсот рублей.

К вопросу о соотношении «банковской тайны» и «персональных данных»
Выписка из отчета о деятельности Уполномоченного органа по защите прав субъектов персональных данных за 2011 год

Кредитными организациями, чаще всего, допускаются нарушения требований конфиденциальности, установленных ст. 7 Федерального закона «О персональных данных», допускаемые при передаче персональных данных третьим лицам без согласия гражданина и требований п. 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687, в части отсутствия утвержденного перечня лиц, осуществляющих обработку, либо имеющих доступ к персональным данным.
Пример
При проверке ООО «Хоум Кредит энд Финанс Банк» по обращению гражданина Ю. Уполномоченным органом было установлено отсутствие у кредитной организации документов, утверждающих перечень лиц, осуществляющих обработку персональных данных указанного гражданина, либо имеющих к ним доступ.
По данному факту ООО «Хоум Кредит энд Финанс Банк» были выданы предписания об устранении выявленных нарушений. Материалы проверки направлены в Савеловскую межрайонную прокуратуру г. Москвы для возбуждения административного производства.
По результатам прокурорской проверки в отношении юридического лица ООО «Хоум Кредит энд Финанс Банк» возбуждено дело об административном правонарушении по ст. 13.11 КоАП РФ.
Отдельно необходимо отметить нарушения, допускаемые банками в связи с продвижением своих услуг и продуктов. В частности, это касается привлечения банками различных третьих лиц для оказания услуг по рассылке материалов рекламного характера. Зачастую указанные третьи лица располагают базами данных, содержащими персональные данные граждан, правомерность происхождения которых вызывает обоснованные сомнения.
Пример
В частности, в рамках рассмотрения обращений граждан по фактам рассылки в их адрес информационных материалов рекламного характера одной кредитной организации было установлено, что данную рассылку осуществляет ООО «Информбюро», оно же «Дата Менеджмент», располагающее информационной базой, содержащей персональные данные граждан. Банку, при заключении соответствующего соглашения, эта организация продекларировала правомерность существования базы персональных данных. Однако, в результате проведенной проверки было установлено обратное. При этом обработка персональных данных осуществлялась без согласия граждан, принимаемые этой организацией меры в полной мере не обеспечивали конфиденциальность обрабатываемой персональной информации, а поданное в Уполномоченный орган уведомление об обработке персональных данных не соответствовало действительности.

Статья 2 Федерального закона от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) «О персональных данных» установила, что «целью Федерального закона «О персональных данных» является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну». Обратили внимание, что в тесте упоминаются уже два вида тайн - «личная тайна» «семейная тайна» и «защита прав на неприкосновенность частной жизни». Что такое «частная жизнь»? «Частная жизнь» это «сведения о происхождении, о месте его пребывания или жительства, о личной и семейной жизни, о фактах биографии такого лица, об участии этого лица в судопроизводстве».
Что такое «тайна»? «Тайна» это социально-правовое явление, регулируемое нормами права и морали, объектом которого является информация, обладающая свойством конфиденциальности или ограниченного доступа, незаконное получение, использование и разглашение которой влечет наступление общественно опасных последствий.
Таким образом, если упоминаются термины «врачебная тайна», «налоговая тайна» то речь идет о защите «персональных данных» обрабатываемых «врачом», «налоговым инспектором» в процессе исполнения ими служебных обязанностей. Т.е если в процессе исполнения служебных обязанностей (профессиональной деятельности» субъект столкнется с обработкой «любой информацией, относящейся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)», то, как бы не именовалась бы «тайна» она все равно будет относиться к «персональным данным».
К вопросу «об адвокатской тайне», «коммерческой тайне» и т.п. Коллеги откуда эти «тайны» возьмутся в государственных структурах, тем более в «государственных информационных системах» создаваемых за счет средств федерального бюджета?