82
3.2.2 Допуск к информации, составляющей коммерческую тайну, в
рамках трудовых отношений
В условиях трудовых договоров работников, которым при исполнении
трудовых функций, необходим доступ к информации, составляющей
коммерческую тайну предприятия (далее – Информация) должны быть
предусмотрены:
- обязательства об ознакомлении работника с Перечнем информации,
составляющей коммерческую тайну предприятия;
- обязательства об ознакомлении с режимом коммерческой тайны,
установленным на предприятии и соблюдении его требований;
- обязательства о неразглашении информации, составляющей
коммерческую тайну Работодателя;
- меры ответственности за нарушение режима коммерческой тайны.
Работники должны быть ознакомлены под роспись с Перечнем
информации, составляющей коммерческую тайну предприятия, локальными
нормативно-правовыми документами предприятия, устанавливающими
режим коммерческой тайны, и мерами ответственности за нарушение его
требований:
- первоначально при приеме на работу;
- при внесении изменений или утверждении обновленных версий
указанных документов.
Листы ознакомления работников с Перечнем информации,
составляющей коммерческую тайну, и с локальными нормативно-правовыми
документами предприятия, устанавливающими режим коммерческой тайны,
должны храниться в кадровой службе в течение срока действия трудового
договора и в течение 3-х лет после его расторжения.
Допуск работников к информации, составляющей коммерческую
тайну, осуществляется в соответствии с их должностными обязанностями.
83
Решение о допуске принимается руководителем предприятия, структурного
подразделения и реализуется с помощью установленных процедур:
- выдачи материальных носителей Информации для использования в
производственной деятельности;
- предоставления разграниченного доступа к информационным
ресурсам (электронные базы данных, файловые ресурсы, приложения
информационных систем);
- адресной рассылки документов в информационных системах,
бумажном документообороте.
Допуск к информации, составляющей коммерческую тайну, лиц, не
ознакомившихся под роспись с Перечнем информации, составляющей
коммерческую тайну предприятия и локальными нормативно-правовыми
документами организации, устанавливающими режим коммерческой тайны,
запрещается.
3.2.3 Защита конфиденциальности информации, составляющей
коммерческую тайну, при сотрудничестве с партнерами и
осуществлении деятельности в рамках гражданско-правовых договоров
При сотрудничестве с партнерами и проведении работ с
контрагентами, предполагающими передачу информации, составляющей
коммерческую тайну, между предприятием и второй стороной должен быть
заключен договор (соглашение о конфиденциальности), в котором
предусмотрены объем (перечень) предаваемой информации, условия о
принятии установленных договором мер по защите конфиденциальности
информации. При передаче информации на материальных носителях должен
быть оформлен акт приема-передачи, подписанный обеими сторонами. До
заключения соглашения передача информации запрещается.
84
В случаях, когда передача информации, составляющей коммерческую
тайну, не предполагается, но в процессе сотрудничества или выполнения
работ она может стать известной контрагенту, в договоре должны быть
предусмотрены обязательства контрагента о сохранении её
конфиденциальности.
3.2.4 Предоставление информации, составляющей коммерческую
тайну
Предоставление информации, составляющей коммерческую тайну,
органам государственной власти и местного самоуправления осуществляется
по мотивированному требованию, содержащему цель, правовое обоснование
затребования информации и срок её предоставления. Предоставление
Информации в судебные органы, органы предварительного следствия и
дознания осуществляется по делам, находящимся в производстве.
3.2.5 Порядок обращения с документами и носителями
информации, составляющей коммерческую тайну
Носители (за исключением установленных стационарно), документы и
дела, содержащие информацию, составляющую коммерческую тайну, (далее
– документы и носители) должны иметь отличительный гриф «коммерческая
тайна». Учет и рассылку документов и носителей осуществляют
подразделения, выполняющие функцию документационного обеспечения
или работники, на которых возложены данные обязанности. Учет
документов, имеющих долговременный или постоянный срок хранения
(приказы, распоряжения и т.д.), и носителей ведется, отдельно от учета
другой документации. Документы временного хранения учитываются в
журналах учета в соответствии со своей категорией, в журналах учета
ставится метка о том, что данный документ имеет гриф «коммерческая
85
тайна». Журналы и дела с грифом «коммерческая тайна» включаются в
номенклатуру дел структурных подразделений. Электронная база
документооборота должна иметь возможность формировать на основании
метки единый журнал документов с грифом «коммерческая тайна».
По окончании календарного года, экспертная комиссия структурного
подразделения, в соответствии с установленным порядком, принимает
решения об уничтожении либо сдаче в архив документов с грифом
«коммерческая тайна», образовавшимся за истекший год.
Листы в бумажных журналах учета документов и носителей с
информацией, содержащей коммерческую тайну, должны быть
пронумерованы, прошиты и опечатаны печатью структурного подразделения.
На каждом зарегистрированном документе должны быть указаны
регистрационный номер, гриф «коммерческая тайна», шифр подразделения,
дата регистрации (например: 1кт/019-00 15.01.2016), номер экземпляра.
Копирование и тиражирование документов осуществляется по
письменному разрешению руководителя структурного подразделения. В
журнале учета делается отметка о дополнительном тиражировании
документа и адресатах, которым данные документы были направлены.
Черновики документов в бумажном виде должны быть уничтожены
путем измельчения до невозможности прочтения текста.
Рассылка документов, распечатанных на бумаге, и носителей с грифом
«коммерческая тайна» производится по реестру, в плотных конвертах, с
указанием на конверте отличительного грифа «коммерческая тайна», адреса
получателя и номера пересылаемого документа. В журналах учета
проставляется номер реестра, с которым был направлен документ, либо
ставится роспись получателя документа, если он передан лично. Допускается
рассылка электронных версий документов, составляющих коммерческую
тайну, по корпоративной сети с помощью систем электронного
документооборота и корпоративной электронной почты. Документ
86
рассылается строго в соответствии со списком лиц, которым он адресован,
либо в соответствии с резолюцией руководителя.
Перемещение носителей, содержащих информацию, через проходные
предприятия осуществляется по материальному разрешению, оформленному
в соответствии с порядком, установленным Положением о пропускном и
объектовом режиме предприятия.
Документы и носители должны храниться в служебных помещениях в
надежно запираемых шкафах.
Документы и носители выдаются исполнителям для работы под
роспись в журнале учета. При работе документы должны располагаться на
рабочем столе таким образом, чтобы исключить возможное ознакомление с
их содержанием лиц, не имеющих к ним прямого отношения. В конце
рабочего дня документы должны быть сданы или убраны в запираемые
хранилища.
За неправомерную передачу и утрату документов и носителей
виновный в этом работник несет дисциплинарную, гражданско-правовую и
уголовную ответственность в соответствии с действующим
законодательством.
При реорганизации или ликвидации структурного подразделения
документы с грифом «коммерческая тайна» в обязательном порядке сдаются
в архив. При смене лиц, осуществлявших учет, хранение, документы с
грифом «коммерческая тайна» должны быть переданы ими вновь
назначенному работнику либо руководителю структурного подразделения по
акту приема-передачи.
87
3.2.6 Требования по организации обработки информации,
составляющей коммерческую тайну предприятия, в корпоративной сети
Операционные системы серверов, системы управления баз данных
должны обеспечивать следующие процедуры:
- регистрацию пользователей с использованием персонального
идентификатора и парольной защиты;
- разграничение доступа и управление полномочиями на чтение,
запись, изменение информации;
- ведение электронных журналов учета регистрации и работы
пользователей и обнаружения попыток несанкционированного доступа.
Системы электронного документооборота, используемые на
предприятии должны иметь возможность ограничения прав доступа к
документам со сведениями, составляющими коммерческую тайну,
специальное поле для ввода признака «коммерческая тайна» и возможность
адресной рассылки документов. При получении такого документа система
должна предупреждать Адресата о том, что полученный документ имеет
гриф «коммерческая тайна».
Доступ к Информации, обрабатываемой в корпоративной сети,
осуществляется на основании заявок установленной формы для
информационных ресурсов ограниченного доступа. Заявка подписывается
руководителем предприятия или структурного подразделения. При этом
руководитель оценивает необходимость доступа, полномочия пользователя
на основании его должностных обязанностей и своей подписью разрешает
пользователю доступ к сведениям, содержащим коммерческую тайну.
Допускается использование электронной подписи или подтверждение
электронной формы заявки в виде разрешающей отметки в специальном
поле, доступ к которому предоставлен руководителю или уполномоченному
им лицу.
88
Рабочие станции, на которых осуществляется обработка Информации,
в случае оставления с рабочего места пользователем, должны блокироваться
путём нажатия комбинации клавиш «Ctrl+Alt+Delete» и выбора режима
«Блокировка». Также должна быть настроена автоматическая блокировка при
отсутствии активности пользователя в течение периода времени,
установленного политикой безопасности.
Мониторы рабочих станций должны располагаться таким образом,
чтобы их экраны были развернуты от входа в помещение, и исключался
просмотр изображения посторонними лицами.
В целях обеспечения более высокого уровня конфиденциальности
Информации на рабочих станциях могут применяться дополнительные меры
защиты от несанкционированного доступа:
- запрет доступа по сети, а также удаленной настройки системных
параметров (удаленное управление);
- аудит действий всех пользователей на чтение, выполнение, удаление
файлов и папок в каталоге (папка, диск), содержащим Информацию;
- настроено шифрование файлов в каталоге (папке, диске) рабочей
станции, содержащем Информацию, с применением специального
шифрующего программного обеспечения;
- предоставление права локального входа на рабочую станцию только
для пользователей, непосредственно работающих за ней, и пользователей,
входящих в группу локальных администраторов;
- отключение возможности создания на рабочей станции
общедоступных сетевых ресурсов.
При передаче информации, составляющей коммерческую тайну, по
информационным сетям общего пользования могут применяться следующие
способы:
- корпоративный файлобменный сервис с использованием
защищенного соединения и пароля;
89
- электронная почта в случаях передачи информации партнерам и
контрагентам при условии размещения почтовых ящиков адресатов на их
корпоративных почтовых серверах. Адреса почтовых серверов должны быть
указаны в соглашении о конфиденциальности или в договоре;
- электронная почта в случае отсутствия корпоративных серверов при
условии шифрования вложения или всего письма, содержащего
коммерческую тайну, с применением специального программного
обеспечения. Использование указанного программного обеспечения
определяется совместным решением ИБ и ИТ-отделы.
Запрещается:
- обработка и хранение информации, составляющей коммерческую
тайну, на личных стационарных и мобильных вычислительных средствах и
носителях информации;
- передача информации, составляющей коммерческую тайну, с
помощью сервисов публичных информационных сетей
3.3 Требования по защите информации при проведении
фото- и видеосъемок на территории предприятия
Проведение фото - видеосъемок на предприятии ограничено
потребностями производственных задач, учебных процессов, корпоративных
мероприятий и проектов, направленных на формирование положительного
имиджа предприятия. Фото- видеосъемка должна производиться с
использованием служебных (принадлежащих предприятию) средств
работниками, имеющими разрешение на указанную деятельность.
Разрешение на право проведения фото - видеосъемки оформляется на
основании письма-заявки структурного подразделения, согласованного
отделом безопасности и режима. Обязательными являются указание объектов
съемки и места, на которое распространяется разрешение. Разрешение
90
выдается на срок до 1 года и подлежит возврату после окончания срока
действия. В случае необходимости перемещения средств фотографирования
через проходные оформляется установленным порядком материальное
разрешение на внос-вынос товарно-материальных ценностей.
При необходимости проведения фото- и видеосъемок представителями
сторонних организаций или членами иностранных делегаций, оформляется
разрешение в виде заявки на выполнение таких работ. В ней в обязательном
порядке указывается сопровождающее лицо, выделенное от принимающей
стороны, имеющее разрешение на право проведения фото- и видеосъемок,
которое будет отвечать за обеспечение выполнения требований
информационной безопасности.
Организация и сопровождение фото- и видеосъемок новостной,
рекламной тематики осуществляется подразделением по корпоративным
связям и коммуникациям. Работники, которым выдаются разрешения на
право проведения фото- и видеосъемок, должны быть ознакомлены с
локальными нормативно-правовыми документами предприятия,
устанавливающими режим коммерческой тайны.
В соглашениях с партнерами и контрагентами должны быть
предусмотрены условия соблюдения конфиденциальности в отношении
материалов фото- и видеосъемок.
Запрещается:
- распространение фото - видео материалов, использование их для
личных целей, размещение в социальных сетях;
- фото- и видеосъемка мобильными телефонами.
91
3.4 Меры по защите информации в помещениях,
предназначенных для проведения совещаний по вопросам,
составляющим коммерческую тайну предприятия
Совещания и переговоры по вопросам, составляющим коммерческую
тайну предприятия, должны проводиться в предназначенных для этого
кабинетах руководителей или переговорных комнатах (далее – Помещения).
Помещения должны соответствовать следующим требованиям:
- размещение не ниже второго этажа зданий (в случае размещения
Помещений на первом этаже, их окна должны выходить на охраняемую
территорию);
- ограждающие конструкции (стены, полы, потолки) не должны быть
смежными с помещениями сторонних организаций;
- вход в Помещения должен быть оборудован дверями с повышенной
звукоизоляцией (двойной стеклопакет, наличие тамбура и другие меры);
- строительными материалами должна быть обеспечена достаточная
звукоизоляция ограждающих конструкций, систем вентиляции;
- элементы системы отопления должны быть закрыты
звукоизолирующими экранами с отверстиями для конвекции;
- системы пожарной и охранной сигнализации Помещений должны
быть построены только по проводной схеме;
- окна должны закрываться шторами или жалюзи.
Ремонт, установка и замена оборудования, мебели в Помещениях
должны согласовываться с руководителем отдела безопасности и режима.
При проведении ремонта Помещений должно обеспечиваться выполнение
требований к расположению и строительным конструкциям, п. 3.4.
Руководители структурных подразделений в повседневной
деятельности должны обеспечить выполнение следующих требований для
указанных Помещений: