Защита информации в системе компании включает правила доступа, технические меры и контроль их исполнения. Разберём, как определить оператора, организовать обнаружение нарушений и восстановление данных, а также отделить общие требования от требований к КИИ.
Коротко
Обязанности оператора информационной системы включают предотвращение и обнаружение несанкционированного доступа, предупреждение неблагоприятных последствий нарушения порядка доступа, защиту технических средств, возможность незамедлительного восстановления информации, постоянный контроль и размещение баз персональных данных граждан РФ в России. Обладатель информации и оператор обеспечивают это в случаях, установленных законодательством Российской Федерации, ч. 4 ст. 16 Закона № 149-ФЗ. Защита включает правовые, организационные и технические меры, ч. 1 ст. 16 Закона № 149-ФЗ.
Начните с события в системе: утрата доступа, изменение данных и передача базы требуют разных действий. Сохраните сведения о случившемся для технического разбора.
П. 1–3 ч. 4 ст. 16 Закона № 149-ФЗ.
П. 4, 5 ч. 4 ст. 16 Закона № 149-ФЗ.
Ч. 2 ст. 13 Закона № 149-ФЗ, п. 1, 7 ч. 4 ст. 16 Закона № 149-ФЗ.
Проверьте фактические права доступа и возможность восстановления данных.
Юридический разбор нужен там, где устройство системы расходится с распределением обязанностей.
Статус участника определяют по его отношению к информации, техническим средствам и эксплуатации. Название отдела или должности само по себе этот статус не подтверждает.
| Участник | Обязанность или право | Норма |
|---|---|---|
| Обладатель информации | В случаях, установленных законодательством Российской Федерации, обеспечивает предотвращение и обнаружение несанкционированного доступа, предупреждение неблагоприятных последствий нарушения порядка доступа, защиту технических средств, возможность незамедлительного восстановления информации, постоянный контроль и нахождение в России баз для обработки персональных данных граждан РФ. | Ч. 4 ст. 16 Закона № 149-ФЗ. |
| Оператор информационной системы | Выполняет обязанности по защите информации в случаях, установленных законодательством Российской Федерации. Для установления оператора проверяют принадлежность технических средств, правомерное пользование базами и договор об эксплуатации. | Ч. 4 ст. 16 Закона № 149-ФЗ, ч. 2 ст. 13 Закона № 149-ФЗ. |
| Собственник используемых для обработки содержащейся в базах данных информации технических средств | Является оператором, если правомерно пользуется такими базами данных и иное не установлено федеральными законами. Может заключить с другим лицом договор об эксплуатации информационной системы. | Ч. 2 ст. 13 Закона № 149-ФЗ. |
| Лицо, с которым этот собственник заключил договор об эксплуатации информационной системы | Является оператором информационной системы, если иное не установлено федеральными законами. Юридический анализ договора должен отличать эксплуатацию системы от поставки оборудования и отдельных технических работ. | Ч. 2 ст. 13 Закона № 149-ФЗ. |
Содержание защиты зависит и от правомерности доступа, и от сохранности данных, и от работоспособности средств обработки.
Защита информации направлена на предотвращение неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления и распространения информации, а также иных неправомерных действий. Другие её цели — соблюдение конфиденциальности информации ограниченного доступа и реализация права на доступ к информации. Эти направления объединяют правовые, организационные и технические меры, ч. 1 ст. 16 Закона № 149-ФЗ.
Для системы компании полезно разделить вопросы: кому разрешено работать с данными, как обнаруживается нарушение и как возвращается информация после постороннего вмешательства. Обязанности обладателя информации и оператора в случаях, установленных законодательством Российской Федерации, включают не только предотвращение доступа, но и предупреждение неблагоприятных последствий его нарушения, п. 1–3 ч. 4 ст. 16 Закона № 149-ФЗ.
Если информация общедоступна, требования к её защите могут устанавливаться только для защиты от неправомерных действий и реализации права на доступ. Конфиденциальность как цель относится к информации ограниченного доступа. Поэтому сначала определите характер сведений, затем сопоставьте с ним действующие ограничения, ч. 1, 3 ст. 16 Закона № 149-ФЗ.
Оператор определяет порядок создания и эксплуатации системы, не являющейся государственной или муниципальной, в соответствии с требованиями федеральных законов, ч. 6 ст. 13 Закона № 149-ФЗ. В случаях и порядке, установленных федеральными законами, он должен обеспечить возможность размещения информации в Интернете в форме открытых данных, ч. 2 ст. 13 Закона № 149-ФЗ.
Правовые меры должны действовать вместе с организацией работы и технической защитой.
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Я сопоставляю правила обращения с данными с тем, как система работает фактически. Если сотрудник имеет доступ вопреки установленному ограничению, одного документа о конфиденциальности недостаточно для разбора проблемы. Начинаю с основания доступа и перечня действий, которые пользователь мог выполнять.
Статьи закона, на которых держится тема, — с названиями из официального текста
Официальный текст: Об информации, информационных технологиях и о защите информации
Для обращения подготовьте описание конкретной системы и события. Обязанности по ч. 4 ст. 16 Закона № 149-ФЗ возникают в случаях, установленных законодательством Российской Федерации.
Договор назван техническим сопровождением, но исполнитель фактически эксплуатирует систему. Нужно сопоставить его предмет с принадлежностью технических средств и правомерным пользованием базами; статус оператора определяется с оговоркой о федеральных законах, ч. 2 ст. 13 Закона № 149-ФЗ.
Учётная запись позволила выгрузить информацию лицу без права доступа. Разбор касается выданных полномочий, обнаружения передачи и предупреждения неблагоприятных последствий. Эти направления защиты закреплены в п. 1–3 ч. 4 ст. 16 Закона № 149-ФЗ.
После несанкционированного доступа сведения утрачены либо изменены. Проверке подлежат возможность незамедлительного восстановления и связь события с доступом к информации; обязанность обеспечить такую возможность установлена п. 5 ч. 4 ст. 16 Закона № 149-ФЗ.
Вмешательство затронуло технические средства и нарушило их функционирование. Требуется определить последствия для обработки информации и действовавшие меры защиты от такого воздействия, п. 4 ч. 4 ст. 16 Закона № 149-ФЗ.
Общедоступные сведения закрыты теми же правилами, что и конфиденциальные. Необходимо различить цели защиты открытой информации и соблюдение конфиденциальности ограниченных сведений, ч. 1, 3 ст. 16 Закона № 149-ФЗ.
Для сбора и хранения персональных данных граждан Российской Федерации используется внешняя база. Проверяют её нахождение на территории Российской Федерации и фактические операции с данными, п. 7 ч. 4 ст. 16 Закона № 149-ФЗ.
Общие цели защиты и специальные требования к отдельным системам нельзя подменять друг другом.
| Признак | Защита информации в системе компании | Специальный предмет регулирования | Норма |
|---|---|---|---|
| Цель мер | Правовые, организационные и технические меры направлены на защиту от неправомерных действий, конфиденциальность ограниченных сведений и реализацию права на доступ. | Для общедоступной информации требования могут устанавливаться только ради защиты от неправомерных действий и реализации права на доступ. | Ч. 1, 3 ст. 16 Закона № 149-ФЗ. |
| Адресат обязанности | Обладатель информации и оператор обеспечивают защитные меры в случаях, установленных законодательством Российской Федерации. | Требования к защите информации в государственных системах и иных системах государственных органов, государственных унитарных предприятий, государственных учреждений устанавливают уполномоченные федеральные органы в пределах полномочий. | Ч. 4, 5 ст. 16 Закона № 149-ФЗ. |
| Основание штрафа | Обязанности своевременно обнаруживать несанкционированный доступ и обеспечивать возможность незамедлительного восстановления возникают в случаях, установленных законодательством Российской Федерации. | Нарушение требований к системам безопасности и безопасности значимых объектов КИИ при отсутствии признаков уголовно наказуемого деяния имеет специальную административную санкцию. | П. 2, 5 ч. 4 ст. 16 Закона № 149-ФЗ, ч. 1 ст. 13.12.1 КоАП РФ. |
Денежные пределы ниже относятся к нарушению требований безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Их применение требует именно этого предмета нарушения и отсутствия признаков уголовно наказуемого деяния.
| Основание | Размер или расчёт | Норма |
|---|---|---|
| Должностные лица: нарушение требований к созданию систем безопасности значимых объектов КИИ, обеспечению их функционирования либо безопасности таких объектов | От десяти тысяч до пятидесяти тысяч рублей. Пределы относятся к административному штрафу за соответствующее действие или бездействие. | Ч. 1 ст. 13.12.1 КоАП РФ. |
| Юридические лица: то же нарушение требований к значимым объектам КИИ | От пятидесяти тысяч до ста тысяч рублей. Размер внутри установленного диапазона нельзя определить только по стоимости оборудования или объёму утраченных сведений. | Ч. 1 ст. 13.12.1 КоАП РФ. |
| Пример: сопоставление границ штрафа для юридического лица | При условном нарушении требований безопасности значимого объекта КИИ нижняя граница составляет 50 000 рублей, верхняя — 100 000 рублей. Разница границ: 100 000 − 50 000 = 50 000 рублей. Это сравнение диапазона, а не определение санкции за конкретный эпизод. | Ч. 1 ст. 13.12.1 КоАП РФ. |
Обстоятельства нарушения в примере условные; денежные границы взяты из закона. Эти пределы не определяют бюджет защиты информационной системы и не являются тарифом за утрату данных. До расчёта проверьте, относится ли событие к требованиям безопасности значимого объекта КИИ.
Специальные санкции за нарушения безопасности КИИ применяются при наличии соответствующего состава правонарушения.
| Нарушение | Кто отвечает | Санкция | Норма |
|---|---|---|---|
| Нарушение требований к созданию систем безопасности значимых объектов КИИ, их функционированию либо безопасности таких объектов без признаков уголовно наказуемого деяния | Должностные лица | Административный штраф — от десяти тысяч до пятидесяти тысяч рублей. | Ч. 1 ст. 13.12.1 КоАП РФ. |
| То же нарушение требований безопасности значимых объектов КИИ без признаков уголовно наказуемого деяния | Юридические лица | Административный штраф — от пятидесяти тысяч до ста тысяч рублей. | Ч. 1 ст. 13.12.1 КоАП РФ. |
| Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации в КИИ либо относящихся к КИИ систем и сетей или правил доступа к этой информации, системам и сетям, повлёкшее уничтожение, блокирование, модификацию либо копирование компьютерной информации в КИИ | Лицо, совершившее преступление | Принудительные работы до пяти лет либо лишение свободы до шести лет; каждый вид наказания — с лишением права занимать определённые должности или заниматься определённой деятельностью до трёх лет или без такового. | Ч. 3 ст. 274.1 УК РФ. |
Отдельного штрафа за статус оператора закон не устанавливает. Нарушение требований влечёт ответственность по ч. 1 ст. 17 Закона № 149-ФЗ. Если КоАП не установлено иное, лица, осуществляющие предпринимательскую деятельность без образования юридического лица, отвечают как должностные лица, примечание к ст. 2.4 КоАП РФ. Примечание к ст. 274.1 УК РФ освобождает лицо по ч. 3 при активном содействии раскрытию и (или) расследованию, включая необходимые меры по сохранению следов воздействия на КИИ, и отсутствии иного состава преступления.
адвокат · рег. № 78/8790
Я начинаю разбор защиты информации с карты доступа: где находится база, кто управляет техническими средствами и на каком основании сведения доступны пользователям. Затем читаю договор об эксплуатации. Название услуги не заменяет проверку того, какие действия поручены исполнителю и какие полномочия ему переданы. Статус оператора сопоставляю с ч. 2 ст. 13 Закона № 149-ФЗ, сохраняя оговорку о федеральных законах.
При инциденте отдельно рассматриваю обнаружение постороннего доступа и возможность восстановления информации. Это разные обязанности по п. 2, 5 ч. 4 ст. 16 Закона № 149-ФЗ: журнал событий помогает установить, что произошло, а пригодная копия и порядок её использования нужны для возврата изменённых или уничтоженных данных. Я запрашиваю сведения об обоих процессах и сопоставляю их с хронологией события.
Если обсуждается штраф за безопасность КИИ, проверяю, относится ли нарушение к значимому объекту и требованиям, перечисленным в ч. 1 ст. 13.12.1 КоАП РФ. Само наличие корпоративной базы не раскрывает эти обстоятельства. Для юридического заключения нужны документы об объекте и описание нарушенного требования, а для разбора доступа — фактические события в системе.
Соберите юридическое основание эксплуатации и фактический путь данных. Обязанности по ч. 4 ст. 16 Закона № 149-ФЗ возникают в случаях, установленных законодательством Российской Федерации.
Для юридического разбора нужны документы об эксплуатации и сведения о фактической обработке данных. Подготовьте доступные версии без изменения исходных журналов событий.
| Документ | Зачем | Кто подписывает, форма |
|---|---|---|
| Договор об эксплуатации информационной системы | Проверить лицо, выполняющее функции оператора, и отделить эксплуатацию от поставки технических средств, ч. 2 ст. 13 Закона № 149-ФЗ. | Подписанный собственником технических средств и лицом, с которым заключён договор; представьте договор и приложения в существующей форме. |
| Документы о принадлежности технических средств и использовании баз | Сопоставить собственность на оборудование с правомерным пользованием базами данных при определении оператора, ч. 2 ст. 13 Закона № 149-ФЗ. | Представьте имеющиеся договоры, акты и подтверждения прав. Для разбора сохраните сведения о сторонах и датах оформления. |
| Правила доступа и сведения о выданных полномочиях | Проверить, как предотвращается доступ и передача информации лицам, не имеющим права на доступ, п. 1 ч. 4 ст. 16 Закона № 149-ФЗ. | Действующие внутренние документы и выгрузка полномочий; сохраните сведения о том, кем правила утверждены и кем выгрузка подготовлена. |
| Журналы событий и материалы восстановления | Сопоставить обнаружение несанкционированного доступа с возможностью возврата изменённой или уничтоженной информации, п. 2, 5 ч. 4 ст. 16 Закона № 149-ФЗ. | Исходные выгрузки и техническое описание. Укажите источник событий и специалиста, который подготовил материалы для разбора. |
В случаях, установленных законодательством Российской Федерации, обладатель информации и оператор обеспечивают обнаружение доступа, возможность восстановления и контроль защищённости, ч. 4 ст. 16 Закона № 149-ФЗ.
| Действие | Срок | С какого дня | Норма |
|---|---|---|---|
| Обнаружение фактов несанкционированного доступа | Своевременно | При возникновении фактов несанкционированного доступа к информации. | П. 2 ч. 4 ст. 16 Закона № 149-ФЗ. |
| Восстановление информации, возможность которого должна быть обеспечена | Возможность незамедлительного восстановления | При модифицировании или уничтожении информации вследствие несанкционированного доступа к ней. | П. 5 ч. 4 ст. 16 Закона № 149-ФЗ. |
| Контроль за обеспечением уровня защищённости информации | Постоянно | При осуществлении защиты обладателем информации и оператором в случаях, установленных законодательством Российской Федерации. | П. 6 ч. 4 ст. 16 Закона № 149-ФЗ. |
Обязанность касается возможности незамедлительного восстановления: заранее проверьте средства и порядок возврата данных после нарушения доступа.
Как адвокат ведёт поручение компании
Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение
№ 78/8790 · адвокат
Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.
Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.
Ответы о статусе оператора, доступе пользователей и восстановлении корпоративных данных.
В случаях, установленных законодательством Российской Федерации, оператор обеспечивает предотвращение и обнаружение несанкционированного доступа, предупреждение неблагоприятных последствий нарушения порядка доступа, защиту технических средств, возможность незамедлительного восстановления информации, постоянный контроль и нахождение в России баз для обработки персональных данных граждан РФ, ч. 4 ст. 16 Закона № 149-ФЗ.
Да. Если иное не установлено федеральными законами, оператором является собственник технических средств, правомерно пользующийся базами данных, или лицо, с которым собственник заключил договор об эксплуатации информационной системы. Проверьте предмет договора и принадлежность используемого оборудования, ч. 2 ст. 13 Закона № 149-ФЗ.
Защита представляет собой принятие правовых, организационных и технических мер. Её цели охватывают защиту от неправомерных действий, конфиденциальность информации ограниченного доступа и реализацию права на доступ. Поэтому при разборе системы нужно изучить также правила доступа и организацию работы с информацией, ч. 1 ст. 16 Закона № 149-ФЗ.
Требования о защите общедоступной информации могут устанавливаться только для защиты от неправомерных действий и реализации права на доступ. Соблюдение конфиденциальности относится к информации ограниченного доступа. Разграничение этих целей закреплено в ч. 1, 3 ст. 16 Закона № 149-ФЗ.
Установите, какие сведения уничтожены, каким доступом воспользовался пользователь и есть ли возможность возврата данных. В случаях, установленных законодательством Российской Федерации, обладатель информации и оператор обязаны обеспечить возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа, п. 5 ч. 4 ст. 16 Закона № 149-ФЗ.
Нет. В случаях, установленных законодательством Российской Федерации, требуется постоянный контроль за обеспечением уровня защищённости информации, п. 6 ч. 4 ст. 16 Закона № 149-ФЗ. Подготовьте сведения о проверках после изменения пользователей и прав доступа.
П. 7 ч. 4 ст. 16 Закона № 149-ФЗ предусматривает нахождение на территории Российской Федерации баз, используемых для сбора, записи, систематизации, накопления, хранения, уточнения и извлечения персональных данных граждан Российской Федерации. Обязанность возложена на обладателя информации и оператора в случаях, установленных законодательством Российской Федерации.
Если система не является государственной или муниципальной, порядок её создания и эксплуатации определяет оператор в соответствии с требованиями федеральных законов, ч. 6 ст. 13 Закона № 149-ФЗ. Обязанность обеспечить возможность размещения информации в Интернете в форме открытых данных возникает в случаях и порядке, установленных федеральными законами, ч. 2 ст. 13 Закона № 149-ФЗ.
Подготовьте договор об эксплуатации, описание технических средств, правила доступа, перечень пользователей и журналы событий. Они нужны для сопоставления статуса оператора по ч. 2 ст. 13 Закона № 149-ФЗ с предотвращением несанкционированного доступа, его обнаружением и возможностью незамедлительного восстановления информации по п. 1, 2, 5 ч. 4 ст. 16 Закона № 149-ФЗ.
Где нужна помощь адвоката и что прочитать дальше по этому вопросу