Техническая защита коммерческой тайны - Форум по вопросам информационной безопасности

> Условия выживания требуют от этих предприятий создания своих филиалов за рубежом.

Хм. Опять же, неплохо бы для начала ознакомиться с предметной областтю. Вам известна хоть одна российская компания, открывшая за рубежом фименно филиал, а не дочку?

Как правило, за рубежом создается (а чаще - покупается уже созданное) самостоятельное юридическое лицо. Проблем с российским законодательсвтвом в нем не возникает, так как действие российского законодательства на него не распространяется.

Конфиденциальная информация между головой и дочкой, как правило же, передается на основании Non-Disclosure Agreement. То, что в российском законодательстве называется "режимрм коммерчекой тайны" в отношении нее не вводится, так как в разных странах либо действуют совершенно иные механизмы защиты интеллектуальной собственности, либо не действуют вообще никакие.

На требования по использованию российской криптографии традиционно забивают болт ввиду неоправдонности ее применения.

malotavr | 37758
>Вам известна хоть одна российская компания, открывшая за рубежом фименно филиал, а не дочку?

Если бы не была известна - не спрашивал бы.

>Проблем с российским законодательсвтвом в нем не возникает, так как действие российского законодательства на него не распространяется.

По какому законодательству будут отвечать иностранные граждане - сотрудники филиала за разглашение КТ? По какому законодательству филиал будет защищать КТ? А ПДн, а дсп?

> По какому законодательству будут отвечать иностранные граждане - сотрудники филиала за разглашение КТ? По какому законодательству филиал будет защищать КТ?

Без разницы, чьи граждане. Либо по гражданскому страны нахождения филиала, либо по локальному/международному патентному праву, в зависимости от выбранного способа защиты секретов. Если будее руководствоваться российским правом, может оказаться что ваша коммерческая тайна и не коммерческая тайна вовсе.

> А ПДн,

В соответствии с Personal Data Protection Act страны нахождения филиала. Они в разных странах разные.

> а дсп?

Ни по какому :)

> Если бы не была известна - не спрашивал бы.

Многие путают филиал и самостоятельное юр.лицо. В случае филиала возникают дополнительные нюансы, связаные с пределом действия доверенностей, особенностями устава органиазции и особенностями международного частного права.

malotavr | 37787
>Многие путают филиал и самостоятельное юр.лицо.

Я спрашивал про филиал, а не про самостоятельное юридическое лицо. Никакой путаницы.

А вообще-то свои мысли нашли подтверждение.

Исходя из ранее сказанного следует:
1. "Не зная броду - не суйся в воду". Перед созданем зарубежного филиала (представительства) нужно хорошо изучить особенности защиты информации ограниченного доступа в стране пребывания;
2. На межправительственном (межведомтсвенном уровне) обозначить в виде соглашений с необходимыми приложениями порядок обмена данными, порядок связи, порядок защиты, ответственность (в соответствии с законодательством какой страны будут нести ответственность руководство и непосредственно сотрудники филиала), в том числе сразу определить соответствие грифов и меток в РФ и стране пребывания филиала.
3. На основании "местного" законодательства " и подписанных соглашений отредактировать" локальные нормативные правовые акты в области ЗИ специально для зарубежного филиала;
4. С целью осуществления взаимодействия по телекоммуникационным каналам использовать определенные межправительственными соглашениями средства защиты.

Ссылка была дана в блоге Александра Бондаренко: http://secinsight.blogspot.ru/

Достаточно "читабельно" и даже необходимо. Анонс ниже.

http://www.cert.org/archive/pdf/TrustedBusinessPartners1012.pdf
Тема выпуска: инсайдерские угрозы
от доверенных деловых партнеров
Версия 2. Обновленная и переработанная

Содержание
Введение.......................................................................................................................1
Краткий обзор инсайдерских угроз от Партнеров ................................................1
Определение (доверенного делового) Партнера....................................................1
Обзор типов Партнеров..............................................................................................2
Возможные сценарии инсайдерских инцидентов с участием Партнеров.
Анализ инцидентов...............................................................................................................6
Сценарий I: корпоративные партнеры.....................................................................6
Анализ..........................................................................................................................7
Обзор инсайдерских инцидентов с участием корпоративных Партнеров...............8
Сценарий II: индивидуальные Партнеры..................................................................9
Анализ..........................................................................................................................9
Обзор инсайдерских инцидентов с участием индивидуальных Партнеров............11
Итоги...............................................................................................................................13
Рекомендации по снижению рисков и обнаружению инсайдерских угроз
от Партнеров...........................................................................................................................15
Рекомендация №1: знать и понимать политики и процедуры Партнера.......15
Рекомендация №2: контролировать доступ к интеллектуальной
собственности ..............................................................................................................15
Рекомендация №3: поддерживать управление правами доступа......................15
Рекомендация №4: знать и понимать кадровые политики
и процедуры Партнера.................................................................................................15
Рекомендация №5: предвидеть конфликтные рабочие ситуации
и управлять ими.............................................................................................................16
Рекомендация №6: блокировать доступ при расторжении договора..............16
Рекомендация №7: обеспечить разграничение обязанностей...........................16
Рекомендация №8: оформлять договорные соглашения так,
чтобы Партнер также нес солидарную ответственность
за защиту ресурсов Организации................................................................................16

Неоднократно приходилось сталкиваться с ситуацией, когда контрагентам было необходимо предоставить доступ к какой-либо из информационных систем в сети заказчика работ.

Тем не менее, в Договоре между заказчиком работ и контрагентом, основываясь на требованиях российского законодательства (КТ, ПДн, дсп) в разделе "Условия конфиденциальности" такой доступ "декларируется" как "передача сведений" на носителе с соответствующими грифами или пометками или в лучшем случае как электронная информация с теми же грифами или пометками в виде файлов, позволяющая её однозначно идентифицировать.

Обращаю ещё раз внимание, законодательно закреплено, что если есть носитель - есть тайна, нет носителя - нет тайны. Вопрос, когда на сервере инсталировано несколько программ, превращающих сервер и клиентские машины в информационные системы, и когда в одной (к примеру) из информационных систем обрабатываются защищаемые (чувствительные для организации) сведения к которым нужно дать доступ сторонней организации, в законодательстве по каким-то причинам завуалирован.

Прошу тех, кто сталкивался с подобной ситуацией, дать ссылки на скачивание соответствующих:
- нормативных правовых актов;
-шаблонов форм договоров (соглашений) между заказчиком и контрагентом об условиях доступа контрагента к информационным ресурсам заказчика (про физических лиц, электронные библиотеки, телеком и т.д. - смотрел, не то).

Сталкивался, да все эти... денег хотят и за шаблоны.

Serkin, ОАО "КЭМЗ" | 42407

Если действительно такие соглашения можно "состряпать" без оглядки на шаблоны законодательства, тогда почти проблем нет, за исключением "обученных" по глобалистским методикам ЮРИСТОВ, вычёркивающих как последняя инстанция "пирожки домашнего приготовления" из договоров и соглашений - в законах нет, значит и в договоре быть не должно.
А то, что доступ к ИС заказчика со стороны сотрудников сторонней организации не определён даже договором - никого не волнует, ответственность несёт тот, кто разрешил такой доступ, тот, кто вынужден был обеспечить технически такой доступ, и тот, кто "изобретал велосипед", чтобы обеспечить безопасность информации при таком доступе. Случись что - "ответственных спишут" как использованный... (как выслуживший свой срок механизм).

malotavr | 37225
> Так вот основная задача МИГ-31 - это перехват низколетящих целей, типа крылатых ракет воздушного и морского базирования на предельно малых высотах.

>>Не знаю, кто вы по ВУСу, а я - офицер ПВО
Основная задача МИГ-31 - встретить Б-52 над полярными льдами и Тихим океаном до входа в зону пуска ракет, сбить их и добить те немногие ракеты, которые они все-таки успеют выпустить. Не стало крылатых носителей - отпала нужда в этих машинах. Все остальное - фантазии.

28 мая 2013 года, 20.10 Мск. времени.
Новости "Вести-Россия".
В ходе проверки готовности войск воздушно-космической обороны "МИГ-31 будут сбивать крылатые ракеты в районе Воркуты".

"Шо, опять?" (c)

"...и добить те немногие ракеты, которые они все-таки успеют выпустить". Вот и тренируются. Перехват носителей отрабатывали на учениях в апреле.