Статья 12. Режим коммерческой тайныПостановление № 39-15 Межпарламентской Ассамблеи государств-участников СНГ

1. Порядок защиты коммерческой тайны в соответствии с настоящим Законом определяется хозяйствующим субъектом или назначенным им руководителем, который доводит его до работников, имеющих доступ к сведениям, составляющим коммерческую тайну.

2. Меры по охране коммерческой тайны, принимаемые ее обладателем, должны включать в себя:

а) определение перечня информации, составляющей коммерческую тайну;

б) ограничение доступа к коммерческой тайне путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;

в) учет лиц, получивших доступ к коммерческой тайне, и (или) лиц, которым эта информация была предоставлена или передана;

г) регулирование отношений по использованию коммерческой тайны работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;

д) нанесение на материальные носители (документы), содержащие коммерческую тайну, грифа «Коммерческая тайна» с указанием обладателя этой информации (для юридических лиц — полное наименование и место нахождения, для индивидуальных предпринимателей — фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства).

3. Режим коммерческой тайны считается установленным после принятия обладателем коммерческой тайны мер, указанных в пункте 2 настоящей статьи.

4. Индивидуальный предприниматель, являющийся обладателем коммерческой тайны и не имеющий работников, с которыми заключены трудовые договоры, принимает меры по охране коммерческой тайны, указанные в пункте 2 настоящей статьи, за исключением подпунктов «а» и «б», а также положений подпункта «г», касающихся регулирования трудовых отношений.

5. Наряду с мерами, указанными в пункте 2 настоящей статьи, обладатель коммерческой тайны вправе применять при необходимости средства и методы технической защиты коммерческой тайны, другие не противоречащие законодательству государства-участника меры.

6. Меры по охране коммерческой тайны признаются разумно достаточными, если:

а) исключается доступ к коммерческой тайне любых лиц без согласия ее обладателя;

б) обеспечивается возможность использования коммерческой тайны работниками и передачи ее контрагентам без нарушения режима коммерческой тайны.

7. Режим коммерческой тайны не может быть использован в целях, противоречащих требованиям защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны и безопасности государства-участника.

8. Государство содействует хозяйствующему субъекту в создании необходимых условий для обеспечения сохранности коммерческой тайны.

Комментарий к статье 12

Режим коммерческой тайны — это меры по охране конфиденциальности информации, составляющей коммерческую тайну.

Данные меры принято делить на правовые, организационные и технические, которые тесно взаимосвязаны между собой. Более того, большинство превентивных мер изначально включают в себя и правовую, и организационную, и техническую составляющие. Чтобы воплотить в жизнь какое-либо техническое решение в области безопасности на предприятии (например, внедрить систему шифрования в корпоративную информационную сеть), необходимо сначала найти ему юридическое обоснование, собрать необходимые разрешения на проведение соответствующих работ (если они требуют лицензирования или прохождения иных процедур, предусмотренных законодательством), продумать возможные последствия такого внедрения (например, возможность нарушения конституционных и иных прав сотрудников). Затем нужно разработать ряд внутрифирменных инструкций (положений, приказов) и провести полномасштабное обучение персонала компании. Другими словами, во исполнение одной технической меры необходимо принять множество мер юридического и организационного характера. Точно так же во исполнение одной меры безопасности организационного плана, например усиления режима доступа на объект или организации системы фиксирования посещений этого объекта, необходимо внедрить различные технические (электронные) устройства, и это должно быть сделано грамотно не только технически, но и юридически.

Проиллюстрируем сказанное на примере таблицы мер по защите документации, предложенной Э.Я. Соловьевым <*>:

---

<*> Соловьев Э.Я. Коммерческая тайна и ее защита. М.: Ось-89, 2001. С. 23

Меры по защите документации

Организационные меры	Технические меры	Специальные меры
Работа с людьми	Установка сигнализации и контроль за ее работой	Применение средств защиты от копирования документов
Контроль режима защиты документов	Использование специальных замков и других средств	Применение устройств скрытого фиксирования незаконного доступа к документам
Определение формы и содержания документов	Использование устройств для уничтожения документов	Защита от промышленного шпионажа
Классификация и простановка грифа	Обеспечение сотрудников сейфами и специальными контейнерами для хранения документов	Проведение служебного расследования при утере документов

Каждая из перечисленных мер сама по себе достаточно емкая и может включать в себя множество более простых по содержанию мер, за счет которых она и реализуется. Однако такие категории, например, как «работа с людьми» и, тем более, «защита от промышленного шпионажа», вообще некорректно именовать мерами, поскольку одна такая «мера» может включать в себя абсолютно все охранные мероприятия, проводимые в организации (и не только в отношении доступа к информации, составляющей коммерческую тайну).

Технические меры охраны конфиденциальности информации с течением времени приобретают все большее значение. Большинство предприятий, организаций и учреждений имеют доступ к Интернету, который, являясь открытой информационной средой, предоставляет широкие возможности для различных злоумышленных действий в отношении информации и объектов интеллектуальной собственности, таких, например, как интернет-сайты и программное обеспечение.

В настоящее время одной из наиболее актуальных угроз в области информационной безопасности является утечка конфиденциальных данных от несанкционированных действий пользователей. Это обусловлено тем, что большая часть традиционных средств защиты, таких как антивирусы, межсетевые экраны и системы аутентификации, не способны обеспечить эффективную защиту от внутренних нарушителей. Целью такого рода нарушителей (инсайдеров) является передача информации за пределы компании для ее последующего несанкционированного использования — продажи, опубликования в открытом доступе и т.д. Системы DLP — это технологии, позволяющие предотвратить утечку конфиденциальной информации. В течение последних нескольких лет использовалась обширная терминология: Information Leakage Protection (ILP), Information Leak Protection (ILP), Information Leakage Detection & Prevention (ILDP), Content Monitoring and Filtering (CMF), Extrusion Prevention System (EPS) и др. Но окончательным и наиболее точным термином принято считать Data Leak Prevention (DLP, предложен агентством Forrester в 2005 году). В качестве русского аналога принято словосочетание «системы защиты конфиденциальных данных от внутренних угроз». При этом под внутренними угрозами подразумевают как умышленные, так и непреднамеренные злоупотребления сотрудниками своими правами доступа к данным. В рамках создания таких систем решаются задачи предотвращения утечек конфиденциальной информации по основным каналам передачи данных: исходящий веб-трафик (HTTP, FTP, P2P и др.); исходящая электронная почта; внутренняя электронная почта; системы мгновенного обмена сообщениями; сетевая и локальная печать; контроля доступа к устройствам и портам ввода-вывода, к которым относятся дисководы, CD-ROM, USB-устройства, инфракрасные, принтерные (LPT) и модемные (COM) порты.

Как показывают опубликованные данные опроса Deloitte ведущих мировых финансовых компаний, 49% респондентов зафиксировали внутренние инциденты (связанные с IT-безопасностью). В 31% случаев инсайдеры занесли вирусы изнутри корпоративной сети, а с инсайдерским мошенничеством столкнулись 28% респондентов; 18% организаций стали жертвами утечки приватной информации клиентов, а 10% обнаружили, что инсайдеры скомпрометировали корпоративную сеть. Организации, которые пострадали от внутренней утечки, признаются, что большая доля угроз является следствием безалаберности или халатности служащих (человеческий фактор — 42%, операционные ошибки — 37%), а не злого умысла инсайдеров. Правда, 28% стали жертвой тщательно продуманного и профессионального мошенничества, а 18% компаний лишились приватной информации клиентов именно из-за того, что инсайдеры целенаправленно допустили утечку. Чтобы не допустить такие инциденты в будущем, 80% опрошенных финансовых компаний осуществляют мониторинг действий служащих, а 75% вводят различные ограничительные меры на использование тех или иных технологий либо устройств. По данным исследовательского центра компании InfoWatch, специализирующейся на производстве и продаже систем DLP, 42% утечек информации происходит неумышленно по неаккуратности или забывчивости пользователей, вследствие нарушений политики корпоративной безопасности организации. Более 40% информации уходит по интернет-каналам, 30% — по мобильным устройствам. Свыше 65% информации утекает из коммерческих предприятий, около 20% из образовательных и 24% из государственных предприятий.

Информация является одним из важнейших элементов управления деятельностью любого предприятия. В условиях рынка от наличия информации в значительной степени зависит успех предпринимательской деятельности. На сегодняшний день организации нередко сталкиваются с проблемой утечки информации и необходимостью построения системы защиты коммерческой тайны. Создание такой системы — сложный и многоплановый процесс, который затрагивает все структурные подразделения организации, в том числе отдел кадров. Система защиты коммерческой тайны создается в целях: достижения устойчивых позиций в условиях конкурентной борьбы на рынке товаров и услуг; сохранения конфиденциальной информации в течение определенного промежутка времени; получения возможности проверить каждый из вероятных каналов утечки информации; предотвращения негативных последствий текучести кадров.

По мере функционирования предприятия накапливается определенный объем информации, разглашение которой, в том числе самими работниками, способно ухудшить его экономическое положение. В связи с этим собственник информации вправе придать ей статус охраняемой путем отнесения к коммерческой тайне и тем самым закрыть свободный доступ к ней на законном основании. Лишь сохранение этой информации в тайне придает ей коммерческую ценность.

Практикой выработаны рекомендации, которые могут быть полезны предприятию, решающему проблему сохранности своей коммерческой информации. При вводе системы защиты информации, возлагая на работников соответствующие обязанности и ответственность, необходимо учитывать требования закона.

В соответствии с действующим законодательством разработка и реализация практических мер по организации защиты коммерческой тайны возлагается на ее собственника, который должен разработать систему защиты сведений, составляющих коммерческую тайну, и обеспечить ее эффективное функционирование. Предприятие создает систему защиты имеющейся у него конфиденциальной информации самостоятельно, опираясь на действующее законодательство, с учетом размера данного предприятия, типа используемой технологии, характера коммерческой деятельности и деловой информации, возможных каналов утечки информации, исходя из имеющихся в наличии средств и своих финансовых возможностей.

Разрабатывая систему защиты коммерческой тайны, необходимо прежде всего конкретизировать объект, предмет и цели защиты коммерческой информации на предприятии. Объектом защиты информации являются сведения различных категорий, собранные в процессе деятельности предприятия, к которым может проявить интерес его конкурент. Предметом защиты информации являются носители информации, на которых зафиксированы, отображены защищаемые сведения: документы, изделия, материалы, предметы, вещества. В качестве носителя защищаемой информации выступает также человек. Именно на охрану носителей засекреченной информации и направлены главным образом усилия предприятия.

Основная цель функционирования системы защиты коммерческой тайны — установить оптимальный режим работы предприятия с таким расчетом, чтобы ограничить распространение сведений, содержащих коммерческую тайну, сделать эти сведения недоступными для посторонних лиц, предотвратить их утечку и создать необходимые условия работы лицам, имеющим к ним законный доступ. Именно поэтому участие в данном процессе специалистов отдела кадров обязательно.

На первом заседании экспертной комиссии организации следует выработать план действий по созданию системы защиты коммерческой тайны в организации:

1. определить, какие категории сведений являются коммерческой тайной организации;

2. установить места накопления такой информации и их носители, выявить потенциальные каналы утечки информации;

3. отработать систему доступа к сведениям, составляющим коммерческую тайну;

4. предусмотреть вопросы защиты коммерческой тайны в ходе внешних контактов работников организации;

5. распределить функции по созданию системы защиты между структурными подразделениями;

6. определить примерный объем затрат на создание системы защиты коммерческой тайны;

7. разработать порядок проведения контроля за функционированием всей системы в целом.

Проблема засекречивания информации и определения степени секретности сведений является одной из стержневых во всей деятельности по защите информации. Именно поэтому на первом этапе должна быть проведена работа по определению информации, являющейся коммерческой тайной организации. Вопрос об отнесении сведений к категории коммерческой тайны можно решить на основе следующих критериев: оценка возможного ущерба предприятию при разглашении (утечке) таких сведений (утрата предприятием своего выгодного положения на рынке; осложнение отношений с деловыми партнерами, клиентами и т.д.); учет всех ограничений на засекречивание информации, вводимых законодательством государства-участника.

Экспертная комиссия организации должна выяснить два обстоятельства: 1) имеются ли у фирмы достижения в сфере маркетинговых разработок, организации труда, торговых отношений и другие, которые дают ей преимущества в конкурентной борьбе; 2) утратит ли она эти преимущества, если сведения о ее достижениях станут известны конкурентам и будут использованы ими.

При положительном ответе на оба вопроса комиссия должна внести предложение об отнесении данных сведений к коммерческой тайне.

В таблице были выделены категории информации, подлежащей защите и, следовательно, засекречиванию, и определены сроки ограничения доступа к такой информации.

Категория информации	Сведения, составляющие данную категорию информации	Предполагаемые последствия разглашения данных сведений	Срок установления ограничения доступа к информации
Строго конфиденциальная информация	Состояние рынка сбыта	Возможное банкротство организации	Не ограничен
Конфиденциальная информация	Сведения о перспективах развития организации, клиентах, сроках и суммах кредитования	Возможное лишение организации устойчивой прибыли на какое-либо время	3 года
Тайна фирмы	Адреса и телефоны руководителей и работников, текущие планы работы	Неблагоприятные последствия, не оказывающие существенного влияния на работу организации	1 год

Остальные сведения отнесены к открытым.

Во избежание лишних затрат на обеспечение режима защиты коммерческой тайны целесообразно периодически (один раз в год) пересматривать обоснованность охраны конфиденциальности конкретных сведений. Основанием для отмены мер, ограничивающих свободный доступ к информации, могут быть изменения объективных обстоятельств, вследствие которых дальнейшая защита указанных сведений становится нецелесообразной. Правовое обеспечение деятельности организации по защите коммерческой тайны рекомендуется начинать с подготовки и создания организационно-распорядительных документов. Следует отметить, что система правовой регламентации защиты конфиденциальной информации на предприятии всегда является двухуровневой.

Уровень	Вид документа	Содержание
1	Законодательные акты государства-участника	Нормы, регламентирующие деятельность организаций по защите коммерческой тайны; нормы, определяющие объем прав и обязанностей в этой области
2	Локальные нормативные акты организации (устав, коллективный договор, правила внутреннего трудового распорядка, инструкции, положения о подразделениях и др.)	Локальные нормы, определяющие механизм защиты коммерческой тайны в конкретной организации

На законодательном уровне установлен ряд ограничений на право собственника владеть, пользоваться и распоряжаться имеющейся у него информацией. Так, установлен перечень сведений, которые не могут составлять коммерческую тайну. К таким сведениям, в частности, относятся: учредительные документы и устав предприятия или учреждения; документы, дающие право заниматься предпринимательской деятельностью; сведения по установленным формам отчетности о финансово-хозяйственной деятельности и иные сведения, необходимые для проверки правильности исчисления и уплаты налогов; сведения о численности и составе работающих, их заработной плате и условиях труда, а также о наличии свободных рабочих мест; документы об уплате налогов и обязательных платежах; сведения о загрязнении окружающей среды, нарушении антимонопольного законодательства, несоблюдении безопасности условий труда, а также о других нарушениях законодательства.

В процессе обмена информацией с государственными структурами субъекты хозяйственной деятельности нередко вынуждены сообщать по требованию их представителей сведения, выходящие за пределы указанного выше перечня и составляющие коммерческую тайну предприятия. Такая информация охраняется как совместная собственность государственных органов и представивших ее хозяйствующих субъектов. Ответственность за ее сохранность в государственных учреждениях несут государственные служащие.

При составлении перечня сведений, которые могут составлять коммерческую тайну, может возникнуть сложность, так как методика отнесения тех или иных сведений к коммерческой тайне в государствах-участниках еще не разработана. Отсюда следует, что любая информация, за исключением отмеченной выше, представляющая для субъектов предпринимательской деятельности интерес с точки зрения получения прибыли от ее использования, может быть отнесена ими к коммерческой тайне и, следовательно, может подлежать защите.

На каждом предприятии в качестве коммерческой тайны засекречивается различная информация. Однако можно выделить основной перечень сведений, обеспечивающих любой фирме преимущества в конкурентной борьбе.

Сфера интересов	Перечень сведений
Административная деятельность	Предмет совещаний органов управления, перечень представителей и посредников организации, методы организации труда, отбора и подготовки персонала фирмы
Производственная деятельность	Технология изготовления продукции, данные о разработке новых и модернизации ранее известных технологических процессов, выявленные недостатки выпускаемой продукции и намеченные пути их устранения, характер и цели проводимых исследовательских работ, результаты проведенных испытаний, планируемые изменения номенклатуры, объема и качества выпускаемой продукции, планы развития фирмы и привлечения инвестиций
Коммерческая стратегия	Бюджет организации, новые маркетинговые проекты, состояние рынка сбыта
Финансовая сфера	Источники финансирования, финансовая устойчивость организации, размеры и условия банковских кредитов, состояние материально-технической базы организации
Торговая сфера	Структура цен на выпускаемую продукцию, планируемые закупки и размер выделенных на них средств, факты ведения переговоров с целью заключения договора, размер предоставляемых скидок, кредитные условия и условия платежа и др.

В перечне должны быть перечислены категории сведений, имеющих особую ценность для деятельности организации, с разбивкой по сферам обращения и, соответственно, по структурным подразделениям. В связи с тем что информация, подлежащая оценке, постоянно обновляется, в перечне должны быть указаны критерии отнесения сведений к коммерческой тайне фирмы. При подготовке перечня следует установить степень конфиденциальности каждой группы коммерческой информации, примерные сроки, на которые она засекречивается, а также условия, с наступлением которых информация рассекречивается. Перечень подлежит периодическому пересмотру в целях исключения из него сведений, утративших коммерческую ценность, и включения новых, а также изменения при необходимости степени секретности.

Перечень утверждается руководителем фирмы и доводится начальниками структурных подразделений в индивидуальном порядке под роспись до всех работников в части, их касающейся. При установлении системы защиты информации базовым локальным нормативным документом должно быть положение о коммерческой тайне организации, устанавливающее порядок организации работы с коммерческой тайной, регламентирующее основные направления деятельности, механизм защиты конфиденциальной информации, закрепляющее права и обязанности работников, которые могут возникнуть в связи с их допуском к коммерческой тайне, а также объем их ответственности. Один из самостоятельных разделов Положения целесообразно посвятить участию структурных подразделений в создании системы защиты сведений, составляющих коммерческую тайну.