Про гриф "К" (конфиденциально) - Форум по вопросам информационной безопасности

Собака, Будка. Попалась тут на глаза в Гаранте Инструкция о порядке обращения с документированной служебной информацией ограниченного распространения в организациях, учреждениях, предприятиях и т.д. Автор - Главгосэкспертиза России, 2000 год, Москва. Может будет полезна. Спасибо Вам за позитив, было очень смешно про ГТ!

Российское законодательство, как всякое другое, состоит из законодательных, нормативных, нормативно-методических, ведомственных и др. актов и норм. Знать все, что касается определенной области - сложно, но это есть показатель профессионализма.
Некоторые особо "талантливые" ведомственные, заводские и др. масштаба деятели часто придумываю свой внутренний, правильный по их мнению, порядок. Помните "Зеленый фургон"? Вещдоки там милиционер Грищенко выдавал для "временного использования". А в своей практике я встречал и "чувствительную информацию", и "несекретную ограниченного распространения", и даже "несекретную конфиденциальную". Можно и так, пока интересы не сталкиваются или проверяющие не приходят (это для Алмаз-холдинга). Во ФСТЭК обратитесь - там вам быстро, а главное доходчиво, авторитетно и квалифицированно наладят правильный взгляд на жизнь в разрезе требований "лохматого" 1233 и др. действующих требований.
Ну, а если ПДн - это конфа (Прохожий), то это уже даже не к терапевту (в профессиональном плане). Для того и выпущено 781 Постановление, чтобы хоть как-то нивелировать 188 Указ. Если это непонятно, то тогда даже не знаю.....
Извините за резкость, но отвечал в тоне замечаний.
С искренним пожеланием успехов!

"Так вот на каком основании вы ограничиваете доступ к информации считая ее "конфиденциальной"? Если вы коммерческая структура можете использовать определенный ФЗ гриф "коммерческая тайна"

Кирилл,
не стоит читать закон кусками :) Судя по всему, вы не до конца понимаете,что в ФЗ-149 понимается под информацией и доступом к нейдоступа.

Предположим, вы написали сообщение и сделали так, что NoVaN может его прочитать, а остальные - нет. Думаете, вы ограничили доступ к этой информации? Вы предоставили информацию NoVaN'у, определив во такой порядок доступа к информации :) Понятию "доступ" (возможность получить информаци у ее обладателя) корреспондирует понятие "предоставление" (действие обладателя, создающее такую возможность). Причем,как вы видите из определений, доступ вторичен по отношению предоставлению. Я могу предоставить вам информацию, и при этом вы можете не иметь к ней доступа (например, из-за отсутствия технической возмоности), но вы никогда не получите доступ к информации, если я вам ее не предоставлю. поэтому критерием деления на "свободно распространяемая" и "ограниченного доступа" является не свобода доступа, а свобода распространения.

Информация как объект регулирования ФЗ-149 появляется в тот момент когда некто ее создает, сформулировав ее (хотя бы мысленно) в виде сообщения или сведений. Этот некто становится ее обладателем.(статья 2 ФЗ).

С момента свего появления информация подразделяется на свободно распространяемую и ограниченного доступа. Свободно распространяемая информация - это информация, в отношении которой ее обладатель обладает полной свободой ее распространить, т.е. передать определенным лицам или неопределенному кругу лиц (см. определение терминов "распространение" и "предоставление")/

Соответственно, если обладатель не имеет полной свободы распространить ее (т.е. предоставить ее именно тем людям, которым он считает нужным), то это - информация ограниченного доступа. Примеры такой информации - гостайна, коммерческая тайна и т.п.: и рад бы передать, да нельзя. В силу процитированной вами статьи 3 такое ограничение может быть наложено только законом.

Пожтому в приведенном вами примере, поставив гриф "Конфиденциально", компания всего лишь определилла порядок предоставления доступа (получиь доступ могут только те лица, кому это разрешено). Но это не ограничение доступа: например, любой, кто случайно или по небрежности обладателя получит эту информацию, становится правомерным ее обладателем, и может поступать с ней, как заблагорассудится.

Противоположный пример - гостайна: получив гостайну, вы не становитесь ее обладателем и не получаете тех прав, которыми закон наделяет обладателя.

serge331,
извините за встречную резкость, но для того, чтобы делать замечания, нужно разбираться в сути вопроса. А вы в нем плаваете.

Вы забываете, что постановление 1233 относитсятолько к информации ограниченного доступа ОРГАНОВ ГОСУДАРСТВЕННОЙ ВЛАСТИ. Как вы понимаете, ОАО "Красносельский Ювелирпром" и сотня ювелирных магазинов, объединенных холдинг, ни никаким бокам не являются органама государственной власти. В соответствии с ФЗ-149 они вправе самостоятельно определять порядок предоставления своей информации (за исключением исподьзования грифов "секретно", "совершенног секретно" и т.п.), и никакой ФСТЭК не правомочен высказывать им мвое мнение по поводу того, что он считает "правильным". Кстати, в отличие от вас, сотрудники ФСТЭК это прекрасно знают.

А по поводу конфиденциальности ПД - учите матчасть, в частность - опредеоение понятия "конфиденуиальность" (в том же ФЗ).

Уважаемый malotavr, а если я посавлю в своей организации гриф "Конфиденциально", не имея основания закона.
И пропишу порядок пользования и порядок доступа к этой ионформации для своих сотрудников. Они подпишутся под этой инструкцией с обязательством выполнять ее неукоснительно.
Что заставит сотрудника исполнять её?
В случае нарушения внутреннего нормативного акта (инстукции по работе с КФ инф.) сотрудники нест дисциплпнарную ответсвеннось. Разве не так?

Что мы получаем в итоге?
К определенной нами информации, внутри организашки доступ имеет тоолько определенный круг лиц, и принимает все меры,чтобы информация не была распростанена.
Например глав.бух у меня очень хочет, чтобы сотрудники внимательнее относились к информации,с которой они работают, но организашка не коммерческая(КТ не катит). Думаю, вышеописанные меры удовлетворят моего несчастного главбуха, м?

2 serge331
Любой спор может быть продуктивным если спорящие имеют общие базовые основы.
В Этом случае это терминология.
Какими терминосистемами ВЫ пользуетесь?
Мне это интересно чисто в методическом плане.
т.к. более десяти лет я ранее занимался контролем ИБ и не однократно подконтрольными были органы гостехкомиссии.
сейчас это фстэк.
именно их вы предлагаете мне в орбитры?
иногда внуки бывают более информированы чем деды, но это не тот случай.
не стоит путать коммерческие тайны и тайны ОГВ.
ПЕРЕЧИТАЙТЕ 3-1
исполнитель определяет гриф и несет ответственность за его определение.
это - главный принцип классификации!!

Обладателями конфиденциальной информации могут быть государственные органы, государственные организации и другие организации независимо от их организационно - правовой формы и формы собственности, индивидуальные предприниматели и физические лица.

цитата из приказа 152 ФАПСИ от 2001 года

Для интересующихся вопросом рекомендую книгу "Популяризатора" 3-1 из НЕЗАЛЕЖНОЙ г-на Домарева
http://docrev.ru/konfidencialnyj-dokumentooborot/
Этот господин просто передрал все из грифованных документов собрал и выпустил под своим именем - рекомендую

malotavr.
Очень информативно, спасибо.
Но в итоге получаем, что организация может задать свой порядок распространения информации и доступа к ней, если эта информация не регулируется соответствующим ФЗ. Однако, ответственность за нарушение заданного режима лишь дисциплинарная для сотрудников организации?
Если информация уходит наружу, то данный процесс должен обязательно регулироваться договором, в котором прописан порядок защиты. И опять же, если кто-либо (гражданин) получит информацию, к которой мы ограничили доступ, то он не понесет какой-либо ответственности (конечно если в его действиях при получении этой информации не будет состава преступления).

мда...

IR, Kirill,
тут несколько вариантов.

1. Если сотрудник организации нарушил установленный порядок доступа к информации, он несет дисциплинарную ответственность
2. Если при этом речь идет об информации в электронном виде и вам причинен вред, который вы можете посчитать и подтвердлить, вы можете привлечь его к уголовной тветственности по статье 274 УК РФ
3. В любом случае, если вам причинен вред и вы можете его посчитать и подтвердить, вы можете стребовать с него возмещение этого вреда.
4. Если при этом ему пришлось преодолеть принятые вами меры защиты, вы можете привлечь его к уголовной ответсвенности по статье 272 УК РФ
5. Накоенц, если при этом он получил доступ к информации, в отошении которой вы вели режим коммерческой тайны, вы можете привлечь его к уголовной ответственности по статье 183 УК РФ.
6. В любом случае, если кто-то причинил вам