Защита информации: вопросы и ответы
Здесь адвокат отвечает на вопросы бизнеса о защите цифровой информации. Какие требования закона учитывать при выборе средств защиты информационной системы персональных данных, как распределить обязанности специалистов и какова роль ФСТЭК России? Также рассматриваются режимы доступа к сведениям и то, какой закон регулирует защиту детей от информации, причиняющей вред.
Коротко
В защите информации бизнес чаще всего спрашивает о доступе к данным, обязанностях сотрудников и выборе средств защиты. Самостоятельно можно собрать документы и описать, как работает информационная система. Если возникли разногласия с подрядчиком, пришло требование органа или произошёл инцидент, разберу правовые обязанности и подготовлю позицию. Техническая защита и методы её реализации остаются задачей профильного специалиста; как адвокат оценю правовую сторону решений.
Вопросы по темам: защита информации
Нажмите на вопрос — откроется ответ адвоката.
Подробные ответы 6 вопросов
- Какая информация относится к конфиденциальной
- Какая информация относится к общедоступной
- Какая ответственность предусмотрена за нарушения требований безопасности КИИ
- Какие законы регулируют защиту информации в России
- Какова ответственность за разглашение информации ограниченного доступа
- Кто отвечает за безопасность критической информационной инфраструктуры
Показать все 6Свернуть
КИИ и защита информации 5 вопросов
- С чего начать, если компания не знает, относится ли она к КИИ?
- Какая тема нужна для проверки предложения поставщика?
- Можно ли выбрать тему без технического отчёта?
- Куда обратиться, если одновременно произошли сбой и утечка информации?
- Достаточно ли резервной копии для безопасности значимого объекта?
Показать все 5Свернуть
Субъект критической информационной инфраструктуры (КИИ) 9 вопросов
- Кто относится к субъектам КИИ?
- Является ли компания субъектом КИИ, если системы взяты в аренду?
- Чем обязанности субъекта КИИ отличаются у владельца значимого объекта?
- Куда субъекту КИИ сообщать о компьютерном инциденте?
- Какие штрафы грозят субъекту КИИ?
- Можно ли оспорить предписание по значимому объекту КИИ?
- Какие программы можно ставить на значимый объект КИИ?
- В какой срок субъект КИИ направляет сведения о категорировании?
- Отвечает ли работник лично за нарушение правил доступа к КИИ?
Показать все 9Свернуть
Требования ФСТЭК и сертифицированные средства защиты информации 10 вопросов
- Какие средства защиты информации сертифицирует ФСТЭК?
- Для чего ФСТЭК ведёт реестр сертифицированных средств защиты информации?
- Как проверить сертифицированные ФСТЭК России средства защиты информации при покупке?
- Можно ли обновить состав изделия и сохранить прежний сертификат?
- Куда изготовителю обратиться после отказа в выдаче сертификата?
- Когда рассмотрят апелляцию участника сертификации?
- На какой срок выдаётся сертификат средства защиты?
- Достаточно ли иностранного сертификата для импортируемого средства?
- Кто определяет срок испытаний средства защиты?
- Кто проверяет изделие после выдачи сертификата?
Показать все 10Свернуть
Система безопасности значимого объекта КИИ 8 вопросов
- Кто обязан обеспечивать защиту значимых объектов КИИ?
- Что входит в защиту значимых объектов КИИ по закону?
- Какой штраф за нарушение требований к защите значимых объектов КИИ?
- Как часто проверяют защиту значимых объектов КИИ?
- Можно ли оспорить предписание по защите значимых объектов КИИ?
- Кто ещё может устанавливать требования к защите значимых объектов КИИ?
- Чем оценка безопасности КИИ отличается от системы безопасности объекта?
- Зачем резервные копии в защите значимых объектов КИИ?
Показать все 8Свернуть
Обязанности субъекта КИИ: ГосСОПКА и компьютерные инциденты 9 вопросов
- Что включает реагирование на компьютерные инциденты КИИ?
- Как организовать план реагирования на компьютерные инциденты КИИ?
- Нужно ли сообщать, если объект не относится к значимым?
- Кого уведомляет субъект КИИ в финансовой сфере?
- Можно ли отправить сообщение после выяснения всех причин?
- Какую роль выполняет национальный координационный центр?
- Что требуется при установке средств обнаружения атак?
- За какое нарушение предусмотрен штраф при инциденте на значимом объекте?
- Чем непредставление сведений в ГосСОПКА отличается от нарушения реагирования?
Показать все 9Свернуть
Защита информации в информационных системах компании 9 вопросов
- Какие обязанности оператора информационной системы относятся к защите данных?
- Может ли внешнее лицо быть оператором системы компании?
- Достаточно ли приобрести средство защиты информации?
- Нужно ли защищать сведения, которые доступны всем?
- Что проверять после удаления данных посторонним пользователем?
- Можно ли ограничиться проверкой защиты при запуске системы?
- Какое требование касается расположения базы персональных данных?
- Кто определяет порядок эксплуатации системы компании?
- Какие сведения передать адвокату для разбора доступа?
Показать все 9Свернуть
Когда нужна помощь: защита информации
Подключусь, когда техническая проблема затрагивает обязанности компании или права её руководителя.
- После утечки подрядчик и сотрудники перекладывают ответственность друг на друга — сопоставлю договоры и меры защиты с обязанностями по ст. 16 149-ФЗ (информация).
- Компания получила запрос о компьютерном инциденте на объекте КИИ — помогу собрать факты и подготовить ответ с учётом ст. 9 187-ФЗ (КИИ).
- При проверке значимого объекта выявлены недостатки системы безопасности — разберу документы и распределение обязанностей по ст. 10 187-ФЗ (КИИ).
- Директору вменяют нарушение наряду с компанией — оценю, какие управленческие обязанности и действия имеют значение по ст. 2.4 КоАП РФ.
- Предписание мешает работе бизнеса, а выводы органа расходятся с документами — оценю основания для оспаривания по ст. 198 АПК РФ.
Типичные ошибки: защита информации
- Считать покупку программы завершением защиты Средства защиты информации сами по себе не объясняют, кто выдаёт доступ и реагирует на сбои. Разберу документы об обязанностях, а техническую настройку предложу сопоставить с ними вместе со специалистом.
- Удалять журналы событий после инцидента Так можно потерять сведения о последовательности действий и участниках. Помогу определить, какие материалы сохранить для правовой позиции; способ сохранения согласуйте с техническим специалистом.
- Передавать подрядчику все пароли ради консультации Это расширяет круг лиц с доступом к данным без ясной задачи. Для начала предложу описать проблему и состав документов, затем согласую безопасный порядок передачи нужных материалов.
- Назначать виновного до разбора документов Должность сотрудника ещё не раскрывает его полномочия и действия. Сопоставлю приказы, переписку и фактическое участие, прежде чем готовить объяснения от имени компании или руководителя.
- Подписывать объяснения с техническими догадками Предположение может стать частью позиции компании. Помогу отделить установленные факты от версий и сформулировать вопросы специалисту, чтобы ответ опирался на доступные сведения.
Нормы по теме: защита информации
Статьи закона, на которые опираются ответы этой темы, — с названиями из официального текста
- ст. 13.12.1 КоАП РФ Нарушение требований в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации
- ст. 2.4 КоАП РФ Административная ответственность должностных лиц
- ст. 4.5 КоАП РФ Давность привлечения к административной ответственности
- ст. 19.7.15 КоАП РФ Непредставление сведений, предусмотренных законодательством в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации
- ст. 10 187-ФЗ (КИИ) Система безопасности значимого объекта критической информационной инфраструктуры
- ст. 9 187-ФЗ (КИИ) Права и обязанности субъектов критической информационной инфраструктуры
- ст. 13 187-ФЗ (КИИ) Государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры
- ст. 2 187-ФЗ (КИИ) Основные понятия, используемые в настоящем Федеральном законе
- ст. 16 149-ФЗ (информация) Защита информации
- ст. 198 АПК РФ Право на обращение в арбитражный суд с заявлением о признании ненормативных правовых актов недействительными, решений и действий (бездействия) незаконными
Официальный текст: Кодекс Российской Федерации об административных правонарушениях
Официальный текст: О безопасности критической информационной инфраструктуры Российской Федерации
Официальный текст: Об информации, информационных технологиях и о защите информации
Официальный текст: Арбитражный процессуальный кодекс Российской Федерации
Позиции высших судов: защита информации
Как суды применяют нормы этой темы — дословно из постановлений Пленума
Действия лица квалифицируются по части 1 статьи 274.1 УК РФ, если установлено, что компьютерные программы или иная компьютерная информация предназначены для незаконного воздействия именно на критическую информационную инфраструктуру Российской Федерации, определение понятия которой содержится в статье 2 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». В ином случае действия лица при наличии на то оснований могут быть квалифицированы по статье 273 УК РФ.
При этом следует учитывать, что использование вредоносных компьютерных программ для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации (в том числе в случае, когда осуществляется распространение этих программ на объекты критической информационной инфраструктуры исключительно для их последующего использования) полностью охватывается частью 2 статьи 274.1 УК РФ и дополнительной квалификации по статье 273 УК РФ не требует.
Постановление Пленума ВС РФ от 15.12.2022 № 37 «О некоторых вопросах судебной практики по уголовным делам о преступлениях в сфере компьютерной информации, а также иных преступлениях, совершенных с использованием электронных или информационно-телекоммуникационных сетей, включая сеть «Интернет»», п. 13Частые вопросы: защита информации
Расскажу, как организовать совместную работу руководителя, адвоката и технических специалистов.
Кого из сотрудников пригласить на встречу с адвокатом?
Предложу участие руководителя и сотрудника, который знает устройство системы и историю событий. Если обсуждаются расходы или договор с подрядчиком, полезен бухгалтер. Заранее обозначу вопросы каждому участнику, чтобы на встрече можно было сопоставить решения руководства с техническими фактами.
Как согласовать объём работы адвоката при нескольких проблемах сразу?
Сначала выделю задачи: ответ органу, разбор действий сотрудников, договорный спор или подготовка позиции по инциденту. Обсужу, какие действия требуют первоочередного внимания и какой результат работы вы получите по каждому этапу. Объём поручения и условия оплаты закреплю в соглашении.
Будет ли адвокат самостоятельно обследовать серверы компании?
Правовой разбор не заменяет техническое обследование. Сформулирую вопросы к профильному специалисту и объясню, какие выводы нужны для позиции компании. Его отчёт сопоставлю с договорами, приказами и перепиской; при необходимости обсужу с ним неясные формулировки и пределы выводов.
Как передать адвокату материалы, содержащие персональные данные?
До отправки согласую состав материалов и способ передачи. Для предварительного обсуждения предложу обезличенное описание, если оно позволяет понять задачу. Пароли и полный массив данных не следует включать в обычное письмо с изложением проблемы: сначала определю, какие сведения нужны для поручения.
Показать всёСкрыть
Можно ли поручить адвокату переговоры с обслуживающей организацией?
Да, обсужу цель переговоров и допустимые для вас условия. Изучу договор и переписку, подготовлю вопросы об объёме работ и подтверждении их выполнения. Предложения подрядчика объясню с точки зрения прав компании; техническую пригодность решений предложу оценить профильному специалисту.
Что делать, если после консультации обнаружились новые факты?
Сообщите, что именно стало известно и из какого источника, приложите новые материалы согласованным способом. Сопоставлю их с прежней позицией и объясню, какие действия стоит изменить. Если документ уже направлен адресату, обсужу возможность уточнения, не предлагая скрывать расхождения или менять исходные записи.
Помощь адвоката: защита информации
Услуги адвоката по этой теме и соседние вопросы.
Не откладывайте защиту