пр Увольнение за разглашение КТ
102
Увольнение за разглашение охраняемой законом тайны. Практические аспекты Прозоров Андрей, CISM Мой блог: 80na20.blogspot.com Мой твиттер: twitter.com/3dwave
-
Upload
andrey-prozorov-cism -
Category
Law
-
view
13.038 -
download
5
Transcript of пр Увольнение за разглашение КТ
Увольнение за разглашение охраняемой законом тайны. Практические аспекты
Прозоров Андрей, CISM
Мой блог: 80na20.blogspot.com Мой твиттер: twitter.com/3dwave
2
Прозоров Андрей, CISMРуководитель экспертного направленияSolar SecurityОпыт в ИБ: 9 лет Рабочие группы по ИБ: Совет Федерации, Государственная Дума РФ, Совет Безопасности РФ, ФСТЭК России, ЦБ РФ, Минздрав России, АРППЧленство в ассоциациях ИБ: АРСИБ, ISACA, BISA, RISCПреподаю курсы по ИБ: АНХ при Правительстве РФ, Академия Информационных Систем, УЦ НПО Сапфир
Мой блог: 80na20.blogspot.comМой твиттер: twitter.com/3dwave
3
Я не юрист!!!Но есть практический опыт по ряду вопросов (построение режима КТ, выполнение требований по ПДн, судебная практика по вопросам увольнения за разглашение охраняемой законом тайны, участие в рабочих группах по разработке законов и других НПА…)
Широкий кругозор и наличие здравого смысла…
• А зачем все это надо?
• Краткое содержание ТК РФ
• 6 типовых ошибок при увольнении (подробно)
• Вспомним про УК РФ
4
Краткое содержание курса
К сожалению, будет много текстовых слайдов. Тема обязывает…
5
1. Полезно знать специалистам по ИБ, юристам, сотрудникам отдела персонала
2. Инциденты (разглашение охраняемой законом тайны) случаются регулярно
3. Увольнения по соответствующей статье происходят все чаще и чаще…
4. Работодатели предпочитают преследовать по ТК РФ, а не по УК РФ
5. Уже много судебной практики (победы и работников и работодателей)
6
Почему тема актуальна?
7
Почему тема проблемная?
Корпоративные юристы (и сотрудники отдела персонала) обычно слабо разбираются в особенностях законодательства по ИБ.
Аналогично и специалисты по ИБ редко понимают юридические риски и саму процедуру увольнения работников.
Кстати, судебную практику по теме найти не просто…
8
9
Попробуем разобраться…
10
Целями трудового законодательстваявляются установление государственныхгарантий трудовых прав и свободграждан, создание благоприятныхусловий труда, защита прав и интересовработников и работодателей.
11
ТК РФ
12
Статья 21. Основные права и обязанности работника
Работник обязан:
• добросовестно исполнять свои трудовые обязанности, возложенные на неготрудовым договором;
• соблюдать правила внутреннего трудового распорядка;
• …
Статья 22. Основные права и обязанности работодателя
Работодатель имеет право:
• …
• требовать от работников исполнения ими трудовых обязанностей ибережного отношения к имуществу работодателя (в том числе к имуществутретьих лиц, находящемуся у работодателя, если работодатель несетответственность за сохранность этого имущества) и других работников,соблюдения правил внутреннего трудового распорядка;
• принимать локальные нормативные акты
• …
13
Основания для прекращения ТД
ТК РФ Статья 77. Общие основания прекращения трудового договора
Основаниями прекращения трудового договора являются:
1) соглашение сторон;
2) истечение срока трудового договора, за исключением случаев, когда трудовые отношения фактически продолжаются и ни одна из сторон не потребовала их прекращения;
3) расторжение трудового договора по инициативе работника;
4) расторжение трудового договора по инициативе работодателя;
…
9) отказ работника от перевода на работу в другую местность вместе с работодателем;
…
Статья 81. Расторжение трудового договора по инициативе работодателя
3) несоответствия работника занимаемой должности или выполняемойработе вследствие недостаточной квалификации, подтвержденнойрезультатами аттестации;
…
5) неоднократного неисполнения работником без уважительных причинтрудовых обязанностей, если он имеет дисциплинарное взыскание;
…
11) представления работником работодателю подложных документовпри заключении трудового договора;
14
«Полезные» основания для увольнения работников (ТК РФ)
6) однократного грубого нарушения работником трудовых обязанностей:
а) прогула, то есть отсутствия на рабочем месте без уважительных причин в течение всегорабочего дня (смены), независимо от его (ее) продолжительности, а также в случаеотсутствия на рабочем месте без уважительных причин более четырех часов подряд втечение рабочего дня (смены);
б) появления работника на работе (на своем рабочем месте либо на территорииорганизации - работодателя или объекта, где по поручению работодателя работник долженвыполнять трудовую функцию) в состоянии алкогольного, наркотического или иноготоксического опьянения;
в) разглашения охраняемой законом тайны (государственной, коммерческой, служебной ииной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, втом числе разглашения персональных данных другого работника;
г) совершения по месту работы хищения (в том числе мелкого) чужого имущества,растраты, умышленного его уничтожения или повреждения, установленных вступившим взаконную силу приговором суда или постановлением судьи, органа, должностного лица,уполномоченных рассматривать дела об административных правонарушениях;
д) установленного комиссией по охране труда или уполномоченным по охране труданарушения работником требований охраны труда, если это нарушение повлекло за собойтяжкие последствия (несчастный случай на производстве, авария, катастрофа) либозаведомо создавало реальную угрозу наступления таких последствий;
15
«Полезные» основания для увольнения работников (ТК РФ)
16
Опытный специалист отдела персонала всегда найдет основание для увольнения…
17
По инициативе работника
По соглашениюсторон
По инициативе работодателя
Основание ТК РФ ст.80 ТК РФ ст.78 ТК РФ ст.81За разглашение – ст.81 п.6 в)
Мотив компании
Без сложностей расстаться с нелояльным сотрудником
Расстаться с работником,
минимизировать возможные риски
Наказать, создать прецедентдля других работников
Ограничение по срокам
Минимальное (2 недели), но работник может отозвать заявление
Нет Не позднее 6 месяцев со дня совершения проступка,
Не позднее 1 месяца со дня обнаружения
Обида сотрудника
Обычно нет, если увольнение без принуждения
Обычно нет, при хороших условиях
соглашения
Обычно да
Желание оспорить в суде
Возможно, если былопринуждение к
увольнению
Обычно желания нет. Суд на стороне работодателя
Да, особенно если естьсильные аргументы (ошибки
при увольнении, принуждение, оговор)
Что другиеработники думают?
«Компания не хочет проблем»
«За сотрудником сила, компания не хочет
проблем»
«За компанией сила, могутнаказать»
18
Хитрые обиженные работники могут сказать…
«На меня было оказано давление. Написал заявление об увольнении не по собственному
желанию, а по принуждению»
19
Предложение работнику написать заявление об увольнении по собственному желанию может быть признано принуждением к увольнению.
К заявлению работника о расторжении трудового договора предъявляются следующие требования:• добровольность• определенность• соблюдение установленной формы
20
Дисциплинарные взыскания
«За совершение дисциплинарного проступка, то есть неисполнение илиненадлежащее исполнение работником по его вине возложенных на неготрудовых обязанностей, работодатель имеет право применитьследующие дисциплинарные взыскания:
1. замечание;
2. выговор;
3. увольнение по соответствующим основаниям.»
Важно по ТК РФ ст.192-193:
• 1 дисциплинарный проступок – 1 дисциплинарное взыскание
• Не позднее 6 месяцев со дня совершения проступка
• Не позднее 1 месяца со дня обнаружения проступка
• Необходимо запросить от работника письменное объяснение
ТК РФ ст.238-250
• Работник обязан возместить работодателю причиненныйему прямой действительный ущерб. Неполученныедоходы (упущенная выгода) взысканию с работника неподлежат.
• Работник несет материальную ответственность впределах своего среднего месячного заработка. Еслибольше, то нужно судебное решение.
21
Мат. ответственность по ТК РФ
Статья 81. Расторжение трудового договора по инициативеработодателяТрудовой договор может быть расторгнут работодателем в случаях:
6) однократного грубого нарушения работником трудовыхобязанностей:
в) разглашения охраняемой законом тайны (государственной,коммерческой, служебной и иной), ставшей известной работнику всвязи с исполнением им трудовых обязанностей, в том числеразглашения персональных данных другого работника
22
23
Отдел персонала
Отдел ИБ
Юристы
Увольнение по ст.81 п.6 в) необходимо производить согласованно и при одобрении руководства
Шаг 1. Компания увольняет работника «по статье» 81 п.6 в)
Шаг 2. Работник обижается и подает в суд исковое заявление
Шаг 3. ??? выигрывает суд(-ы)
24
Типовой сценарий
• Все молодцы! Может даже премию дадут…
• Полезный прецедент на работе
• Повышение авторитета руководства, ИБ, HR, юристов
25
Если выигрывает работодатель
• Взыскание среднего заработка за время вынужденного прогула
• Компенсация морального вреда (редко и мало)
• Потраченное зря время сотрудников ИБ, HR, юристов
• Снижение авторитета руководства, ИБ, HR, юристов
• Новые риски при восстановлении обиженного работника
• Репутационные риски компании
26
Если выигрывает работник
27
Мы изучили, обобщили и выделили главное из судебной практики по теме...
1. Нарушение процедуры увольнения
2. Отсутствие факта разглашения
3. Отсутствие режима защиты информации (особенно КТ)
4. Нарушение конституционных прав работников при сборе доказательной базы
5. «Детективные игры»
6. Слабая аргументация для Суда
28
Все типовые ошибки
29
Ошибка №1Нарушение процедуры увольнения
Статья 193. Порядок применения дисциплинарных взысканий
До применения дисциплинарного взыскания работодатель должен затребовать от работникаписьменное объяснение. Если по истечении двух рабочих дней указанное объяснениеработником не предоставлено, то составляется соответствующий акт.
Непредоставление работником объяснения не является препятствием для применениядисциплинарного взыскания.
Дисциплинарное взыскание применяется не позднее одного месяца со дня обнаруженияпроступка, не считая времени болезни работника, пребывания его в отпуске, а такжевремени, необходимого на учет мнения представительного органа работников.
Дисциплинарное взыскание не может быть применено позднее шести месяцев со днясовершения проступка, а по результатам ревизии, проверки финансово-хозяйственнойдеятельности или аудиторской проверки - позднее двух лет со дня его совершения. Вуказанные сроки не включается время производства по уголовному делу.
За каждый дисциплинарный проступок может быть применено только одно дисциплинарноевзыскание.
Приказ (распоряжение) работодателя о применении дисциплинарного взысканияобъявляется работнику под роспись в течение трех рабочих дней со дня его издания, несчитая времени отсутствия работника на работе. Если работник отказывается ознакомиться суказанным приказом (распоряжением) под роспись, то составляется соответствующий акт.
Дисциплинарное взыскание может быть обжаловано работником в государственнуюинспекцию труда и (или) органы по рассмотрению индивидуальных трудовых споров.
30
• Не позднее 1 месяца со дня обнаружения проступка
• Не позднее 6 месяцев со дня совершения проступка
31
Важно успеть в срок
32
Важно получить (запросить) письменное объяснение!!!
«Лучшая защита - это нападение, поэтому
вместо "объяснительной" всегда пиши "докладную"»
33
Иногда работники идут по этому пути
34
«Идеальная» процедура увольнения№ Шаги Ключевое
подразделениеДокументы
1. Обнаружение инцидента, сбор дополнительной информации
ИБ Краткий отчет об инциденте,Служебная записка
2. Обсуждение возможныхвариантов реагирования
Руководство и HR
Приказ о проведении служебногорасследования (о создании Комиссии)
3. Запрос объяснительнойзаписки от работника (желательно под роспись)
HR Объяснительная записка / Акт об отказе
4. Заседание Комиссии(хорошей практикой является заседание 2х комиссий: по расследованию и по кадровым вопросам)
HR, ИБ Протокол(-ы) заседания комиссии(краткое описание инцидента, оценка тяжести проступка, обстоятельства дела, величина ущерба, решение)
5. Принятие решения об увольнении, издание соответствующего приказа
HR, руководство Приказ о применении дисциплинарного взыскания / Акт об отказе ознакомления
• Не усложняйте! Решение о «виновности» работника и «тяжести проступка» принимает Комиссия
• Решение об увольнении принимается Руководством на основании протокола Комиссии
35
А что с доказательством вины?
36
Ошибка №2Отсутствие факта разглашения
37
Конфиденциальность
информации - обязательное для
выполнения лицом, получившим
доступ к определенной
информации, требование не
передавать такую информацию
третьим лицам без согласия ее
обладателя.
149-ФЗ
38
Кража электронных носителей и/или средств обработки информации
Корпоративная эл.почта
Личная эл.почта(с корп.устройств)
Сеть Интернет
Корпоративные мессенджеры
Агент на ПК для облачных хранилищ
Персональные мессенджеры
Предоставление неправомерных
расширенных прав доступа к ИС
Вынос бумажных документов (твердые копии)
Фото и видео
Аудио (разговор)
Личная эл.почта(с персональных устройств)
Внешние (съемные)носители
Печать документов
Синхронизация мобильных устройств
Просто доказать
Сложно доказать
Сложно выявить Просто выявить
Про каналы утечки
39
Если не можете доказать разглашение, то можете наказать за
нарушение правил внутреннего трудового распорядка и правил
обработки (защиты) информации ограниченного доступа
40
Ошибка №3Отсутствие режима защиты информации (особенно КТ)
41
Что надо знать и понимать?
149-ФЗ
об информации,
ИТ и ЗИ
от 2006
152-ФЗ
о ПДн
от 2006
98-ФЗ
о КТ
от 2004
Указ 188
о перечне КИ
от 1997
+ отраслевые ФЗ, определяющие требования к защите информации
Федеральный закон от 27.07.2006 N 149-ФЗ«Об информации, информационных технологиях и озащите информации»1. Настоящий Федеральный закон регулирует отношения,возникающие при:1) осуществлении права на поиск, получение, передачу,производство и распространение информации;2) применении информационных технологий;3) обеспечении защиты информации.
2. Положения настоящего Федерального закона нераспространяются на отношения, возникающие при правовойохране результатов интеллектуальной деятельности иприравненных к ним средств индивидуализации, за исключениемслучаев, предусмотренных настоящим Федеральным законом.
42
149-ФЗ
1. Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, РФ, субъект РФ, муниципальное образование.
2. От имени РФ, субъекта РФ, муниципального образования правомочия обладателя информации осуществляются соответственно государственными органами и органами местного самоуправления в пределах их полномочий, установленных соответствующими нормативными правовыми актами.
3. Обладатель информации, если иное не предусмотрено федеральными законами, вправе:
1) разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа;
2) использовать информацию, в том числе распространять ее, по своему усмотрению;
3) передавать информацию другим лицам по договору или на ином установленном законом основании;
4) защищать установленными законом способами свои права в случае незаконного получения информации или ее незаконного использования иными лицами;
5) осуществлять иные действия с информацией или разрешать осуществление таких действий.
4. Обладатель информации при осуществлении своих прав обязан:
1) соблюдать права и законные интересы иных лиц;
2) принимать меры по защите информации;
3) ограничивать доступ к информации, если такая обязанность установлена федеральными законами.
43
Статья 6. Обладатель информации
Статья 5 Информация как объект правовых отношений
2. Информация в зависимости от категории доступа к нейподразделяется на общедоступную информацию, а также наинформацию, доступ к которой ограничен федеральнымизаконами (информация ограниченного доступа).
44
Термин ИОД
Статья 9. Ограничение доступа к информации
1. Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
2. Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами.
3. Защита информации, составляющей государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне.
4. Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение.
5. Информация, полученная гражданами (физическими лицами) при исполнении ими профессиональных обязанностей или организациями при осуществлении ими определенных видов деятельности (профессиональная тайна), подлежит защите в случаях, если на эти лица федеральными законами возложены обязанности по соблюдению конфиденциальности такой информации.
6. Информация, составляющая профессиональную тайну, может быть предоставлена третьим лицам в соответствии с федеральными законами и (или) по решению суда.
7. Срок исполнения обязанностей по соблюдению конфиденциальности информации, составляющей профессиональную тайну, может быть ограничен только с согласия гражданина (физического лица), предоставившего такую информацию о себе.
8. Запрещается требовать от гражданина (физического лица) предоставления информации о его частной жизни, в том числе информации, составляющей личную или семейную тайну, и получать такую информацию помимо воли гражданина (физического лица), если иное не предусмотрено федеральными законами.
9. Порядок доступа к персональным данным граждан (физических лиц) устанавливается федеральным законом о персональных данных. 45
1. Защита информации представляет собой принятие правовых,организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения,модифицирования, блокирования, копирования, предоставления,распространения, а также от иных неправомерных действий в отношении такойинформации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информацииосуществляется путем установления требований о защите информации, а такжеответственности за нарушение законодательства Российской Федерации обинформации, информационных технологиях и о защите информации.
46
Статья 16. Защита информации (1)
4. Обладатель информации, оператор информационной системы в случаях, установленныхзаконодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, неимеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа кинформации;
4) недопущение воздействия на технические средства обработки информации, в результате которогонарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной илиуничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
7) нахождение на территории Российской Федерации баз данных информации, с использованиемкоторых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление,изменение), извлечение персональных данных граждан Российской Федерации.
5. Требования о защите информации, содержащейся в государственных информационных системах,устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности ифедеральным органом исполнительной власти, уполномоченным в области противодействиятехническим разведкам и технической защиты информации, в пределах их полномочий. При создании иэксплуатации государственных информационных систем используемые в целях защиты информацииметоды и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средствзащиты информации и осуществления отдельных видов деятельности в области защиты информации.
47
Статья 16. Защита информации (2)
Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных»
1) персональные данные - любая информация, относящаяся к прямо иликосвенно определенному или определяемому физическому лицу (субъектуперсональных данных);2) оператор - государственный орган, муниципальный орган, юридическое илифизическое лицо, самостоятельно или совместно с другими лицамиорганизующие и (или) осуществляющие обработку персональных данных, атакже определяющие цели обработки персональных данных, составперсональных данных, подлежащих обработке, действия (операции),совершаемые с персональными данными;3) обработка персональных данных - любое действие (операция) илисовокупность действий (операций), совершаемых с использованием средствавтоматизации или без использования таких средств с персональными данными,включая сбор, запись, систематизацию, накопление, хранение, уточнение(обновление, изменение), извлечение, использование, передачу(распространение, предоставление, доступ), обезличивание, блокирование,удаление, уничтожение персональных данных
48
152-ФЗ
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.2. Обеспечение безопасности персональных данных достигается, в частности:1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;5) учетом машинных носителей персональных данных;6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
49
Федеральный закон от 29.07.2004 N 98-ФЗ«О коммерческой тайне»Статья 1. Цели и сфера действия настоящего Федерального закона1. Настоящий Федеральный закон регулирует отношения,связанные с установлением, изменением и прекращениемрежима коммерческой тайны в отношении информации, котораяимеет действительную или потенциальную коммерческуюценность в силу неизвестности ее третьим лицам.2. Положения настоящего Федерального закона распространяютсяна информацию, составляющую коммерческую тайну, независимоот вида носителя, на котором она зафиксирована.3. Положения настоящего Федерального закона нераспространяются на сведения, отнесенные в установленномпорядке к государственной тайне, в отношении которойприменяются положения законодательства Российской Федерациио государственной тайне.
50
98-ФЗ
1) коммерческая тайна - режим конфиденциальности информации, позволяющий ееобладателю при существующих или возможных обстоятельствах увеличить доходы, избежатьнеоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получитьиную коммерческую выгоду;
2) информация, составляющая коммерческую тайну, - сведения любого характера(производственные, технические, экономические, организационные и другие), в том числе орезультатах интеллектуальной деятельности в научно-технической сфере, а также сведения оспособах осуществления профессиональной деятельности, которые имеют действительную илипотенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым утретьих лиц нет свободного доступа на законном основании и в отношении которыхобладателем таких сведений введен режим коммерческой тайны;
4) обладатель информации, составляющей коммерческую тайну, - лицо, которое владеетинформацией, составляющей коммерческую тайну, на законном основании, ограничило доступк этой информации и установило в отношении ее режим коммерческой тайны;
5) доступ к информации, составляющей коммерческую тайну, - ознакомление определенныхлиц с информацией, составляющей коммерческую тайну, с согласия ее обладателя или на иномзаконном основании при условии сохранения конфиденциальности этой информации;
9) разглашение информации, составляющей коммерческую тайну, - действие илибездействие, в результате которых информация, составляющая коммерческую тайну, в любойвозможной форме (устной, письменной, иной форме, в том числе с использованиемтехнических средств) становится известной третьим лицам без согласия обладателя такойинформации либо вопреки трудовому или гражданско-правовому договору. 51
Термины
Право на отнесение информации к информации, составляющей коммерческую тайну, и на определение перечня и состава такой информации принадлежит обладателю такой информации
52
Статья 5. Сведения, которые не могут составлять коммерческую тайнуРежим коммерческой тайны не может быть установлен лицами, осуществляющимипредпринимательскую деятельность, в отношении следующих сведений:1) содержащихся в учредительных документах юридического лица, документах, подтверждающих фактвнесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующиегосударственные реестры;2) содержащихся в документах, дающих право на осуществление предпринимательской деятельности;3) о составе имущества государственного или муниципального унитарного предприятия,государственного учреждения и об использовании ими средств соответствующих бюджетов;4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах,оказывающих негативное воздействие на обеспечение безопасного функционированияпроизводственных объектов, безопасности каждого гражданина и безопасности населения в целом;5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе обохране труда, о показателях производственного травматизма и профессиональной заболеваемости, и оналичии свободных рабочих мест;6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности засовершение этих нарушений;8) об условиях конкурсов или аукционов по приватизации объектов государственной илимуниципальной собственности;9) о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, обих расходах, о численности и об оплате труда их работников, об использовании безвозмездного трудаграждан в деятельности некоммерческой организации;10) о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;11) обязательность раскрытия которых или недопустимость ограничения доступа к которым установленаиными федеральными законами.
53
НЕ могут составлять КТ
Статья 6.1. Права обладателя информации, составляющей коммерческую тайну
1. Права обладателя информации, составляющей коммерческую тайну, возникают с моментаустановления им в отношении этой информации режима коммерческой тайны в соответствии состатьей 10 настоящего Федерального закона.
2. Обладатель информации, составляющей коммерческую тайну, имеет право:
1) устанавливать, изменять, отменять в письменной форме режим коммерческой тайны всоответствии с настоящим Федеральным законом и гражданско-правовым договором;
2) использовать информацию, составляющую коммерческую тайну, для собственных нужд впорядке, не противоречащем законодательству Российской Федерации;
3) разрешать или запрещать доступ к информации, составляющей коммерческую тайну,определять порядок и условия доступа к этой информации;
4) требовать от юридических лиц, физических лиц, получивших доступ к информации,составляющей коммерческую тайну, органов государственной власти, иных государственныхорганов, органов местного самоуправления, которым предоставлена информация, составляющаякоммерческую тайну, соблюдения обязанностей по охране ее конфиденциальности;
5) требовать от лиц, получивших доступ к информации, составляющей коммерческую тайну, врезультате действий, совершенных случайно или по ошибке, охраны конфиденциальности этойинформации;
6) защищать в установленном законом порядке свои права в случае разглашения, незаконногополучения или незаконного использования третьими лицами информации, составляющейкоммерческую тайну, в том числе требовать возмещения убытков, причиненных в связи снарушением его прав.
54
Права обладателя КТ
1. Меры по охране конфиденциальности информации, принимаемые ееобладателем, должны включать в себя:
1) определение перечня информации, составляющей коммерческую тайну;
2) ограничение доступа к информации, составляющей коммерческую тайну,путем установления порядка обращения с этой информацией и контроля засоблюдением такого порядка;
3) учет лиц, получивших доступ к информации, составляющей коммерческуютайну, и (или) лиц, которым такая информация была предоставлена илипередана;
4) регулирование отношений по использованию информации, составляющейкоммерческую тайну, работниками на основании трудовых договоров иконтрагентами на основании гражданско-правовых договоров;
5) нанесение на материальные носители, содержащие информацию,составляющую коммерческую тайну, или включение в состав реквизитовдокументов, содержащих такую информацию, грифа "Коммерческая тайна" суказанием обладателя такой информации (для юридических лиц - полноенаименование и место нахождения, для индивидуальных предпринимателей- фамилия, имя, отчество гражданина, являющегося индивидуальнымпредпринимателем, и место жительства).
55
Меры по охране (ст.10)
Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, указанных мер
56
Наряду с указанными мерами обладатель информации,составляющей коммерческую тайну, вправе применять принеобходимости средства и методы технической защитыконфиденциальности этой информации, другие непротиворечащие законодательству РФ меры.
5. Меры по охране конфиденциальности информации признаютсяразумно достаточными, если:1) исключается доступ к информации, составляющейкоммерческую тайну, любых лиц без согласия ее обладателя;2) обеспечивается возможность использования информации,составляющей коммерческую тайну, работниками и передачи ееконтрагентам без нарушения режима коммерческой тайны.
57
58
98-ФЗ: Возмещение убытков
3. В целях охраны конфиденциальности информации, составляющейкоммерческую тайну, работник обязан:
… 3) возместить причиненные работодателю убытки, если работник виновен вразглашении информации, составляющей коммерческую тайну и ставшей емуизвестной в связи с исполнением им трудовых обязанностей;
4. Работодатель вправе потребовать возмещения убытков, причиненных емуразглашением информации, составляющей коммерческую тайну, от лица,получившего доступ к этой информации в связи с исполнением трудовыхобязанностей, но прекратившего трудовые отношения с работодателем, если этаинформация разглашена в течение срока действия режима коммерческой тайны.
5. Причиненные работником или прекратившим трудовые отношения сработодателем лицом убытки не возмещаются, если разглашение информации,составляющей коммерческую тайну, произошло вследствие несоблюденияработодателем мер по обеспечению режима коммерческой тайны, действийтретьих лиц или непреодолимой силы.
Ст.11
8. Работник имеет право обжаловать всудебном порядке незаконное установлениережима коммерческой тайны в отношенииинформации, к которой он получил доступ всвязи с исполнением трудовых обязанностей.
59
Указ Президента РФ от 06.03.1997 N 188 (ред. от13.07.2015) «Об утверждении Перечня сведенийконфиденциального характера»
В целях дальнейшего совершенствования порядка опубликования и вступления в силу актов Президента Российской Федерации, Правительства Российской Федерации и нормативных правовых актов федеральных органов исполнительной власти постановляю: Утвердить прилагаемый перечень сведений конфиденциального характера.
60
Указ №188
1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющиеидентифицировать его личность (персональные данные), за исключением сведений, подлежащихраспространению в средствах массовой информации в установленных федеральными законами случаях.
2. Сведения, составляющие тайну следствия и судопроизводства, сведения о лицах, в отношениикоторых в соответствии с федеральными законами от 20 апреля 1995 г. N 45-ФЗ "О государственнойзащите судей, должностных лиц правоохранительных и контролирующих органов" и от 20 августа 2004 г.N 119-ФЗ "О государственной защите потерпевших, свидетелей и иных участников уголовногосудопроизводства", другими нормативными правовыми актами РФ принято решение о применении мергосударственной защиты, а также сведения о мерах государственной защиты указанных лиц, еслизаконодательством РФ такие сведения не отнесены к сведениям, составляющим государственную тайну.
3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии сГражданским кодексом РФ и федеральными законами (служебная тайна).
4. Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствиис Конституцией РФ и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайнапереписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и такдалее).
5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии сГражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна).
6. Сведения о сущности изобретения, полезной модели или промышленного образца до официальнойпубликации информации о них.
7. Сведения, содержащиеся в личных делах осужденных, а также сведения о принудительномисполнении судебных актов, актов других органов и должностных лиц, кроме сведений, которыеявляются общедоступными в соответствии с Федеральным законом от 2 октября 2007 г. N 229-ФЗ "Обисполнительном производстве".
61
Перечень сведений конф.характера
Сведения, отнесенные к категории ограниченного доступа
• В справке «Консультант +» определено 50 таких сведений
• Часто термины и границы определены не явно, виды тайн «смешиваются»
62
«Виды тайн»
63
Тайна Основание Тайна Основание
Государственнаятайна
ФЗ №5485-1 ст.5УП №1203 149-ФЗ ст.9 п.3
Персональныеданные
152-ФЗ149-ФЗ ст.9 п.9УП №188 п.1
Коммерческая тайна 98-ФЗ149-ФЗ ст.9 п.4УП №188 п.5
Секрет производства(ноу-хау)
ГК РФ IV ст.1465УП №188 п.6
Профессиональнаятайна
149-ФЗ ст.9 п.4-7УП №188 п.4
Врачебная тайна 323-ФЗ ст.13УП №188 п.4
Банковская тайна (тайна банковских вкладов)
ФЗ №395-1 ст.26ГК РФ II, ст. 857
Тайна кредитнойистории
218-ФЗ ст.6 и 7, содержание кр.истории – ст.4
Инсайдерская информация
224-ФЗ Служебная тайна 149-ФЗ ст.9 п.4УП №188 п.3
Тайна связи (переписки, переговоров…)
Конституция РФ ст.23 п.2126-ФЗ ст.63176-ФЗ ст.15УП №188 п.4149-ФЗ ст.9 п.4-7
Личная и семейнаятайна
Конституция РФ ст.23 п.1ГК РФ ст.150 п.1149-ФЗ ст.9 п.8
64
В случае оспаривания работником увольнения по подпункту "в"пункта 6 части первой статьи 81 Кодекса работодательобязан представить доказательства, свидетельствующие отом, что:
1. сведения, которые работник разгласил, в соответствии сдействующим законодательством относятся кгосударственной, служебной, коммерческой или инойохраняемой законом тайне либо к персональным даннымдругого работника,
2. эти сведения стали известны работнику в связи сисполнением им трудовых обязанностей
3. и он обязывался не разглашать такие сведения.
Постановление Пленума Верховного Суда РФ от 17.03.2004 N 2 (ред. от 28.09.2010)"О применении судами Российской Федерации Трудового кодекса Российской Федерации"
• Отсутствие режима КТ (не все требования выполнены)• Отсутствие перечня информации ограниченного доступа
или он не полный (детализация, кстати, не важна)• Внесение в перечень сведений, которые не могут
составлять КТ• Отсутствие документированных обязательств о
неразглашении• Отсутствие документированных требований по обработке
и защите информации ограниченного доступа• Отсутствие подтверждения ознакомления работников с
требованиями• Отсутствие разграничения доступа к информации (все
имеют доступ ко всему)
65
Типовые ошибки
Перечень информации ограниченного доступа (или аналоги) – важнейший документ!!!
Рекомендации по составу прочих регламентирующих документов
по ИБ будут далее (в ошибке №6)…
66
67
Хитрые обиженные работники могут сказать…
«А на разглашенных документах не был проставлен гриф конфиденциальности…»
Для Суда это не критично, если есть документированные требования по простановке грифа, и разглашенная информация соответствует Перечню информации ограниченного доступа.
Работник мог намерено не проставить/убрать гриф…
68
69
Если режим КТ не установлен, а информация была разглашена, то
посмотрите на ее состав. Возможно получится доказать разглашение ПДн
(или другой тайны), а не КТ…
70
Хитрые обиженные работники могут сказать…
«Не были ознакомлены ни с перечнем информации
ограниченного доступа, ни с правилами обработки и защиты»
Для Суда это не критично. Попробуйте доказать, что все ознакамливаютсяи/или корпоративная культура ИБ предполагает такое ознакомление.
Могут быть вызваны свидетели подтверждающие это.
Идеальный вариант: наличие подписи работника в журнале ознакомления.
71
72
Ошибка №4Нарушение конституционных прав работников
73
Хитрые обиженные работники могут спросить…
«А не нарушил ли работодатель конституционные права работника (на личную и
семейную тайну, на тайну переписки) при сборе
доказательств разглашения?»
74
Все ОК, обычно не нарушают…
(но см. ошибку №5)
75
Статья 23 1) Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.
2) Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения.
76
Личная и семейная тайна
Конституция РФ (ст.23 п.1): «Каждый имеет право нанеприкосновенность частной жизни, личную и семейнуютайну, защиту своей чести и доброго имени.»
ГК РФ (ст.150 п.1): «Жизнь и здоровье, достоинство личности,личная неприкосновенность, честь и доброе имя, деловаярепутация, неприкосновенность частной жизни,неприкосновенность жилища, личная и семейная тайна,свобода передвижения, свобода выбора места пребывания ижительства, имя гражданина, авторство, иныенематериальные блага, принадлежащие гражданину отрождения или в силу закона, неотчуждаемы инепередаваемы иным способом.»
77
Понятия «частная жизнь», «личная и семейная тайна» в явном виде неопределены…
Комментарий Консультант+:
Частная жизнь - это то времяпрепровождение, которое гражданиносуществляет вне службы, вне производственной обстановки, а также внеобщественной жизни и общественного окружения. Она включает общениемежду людьми на неформальной основе в сферах семейной жизни,родственных, дружеских, товарищеских связей, интимных и других личныхотношений, привязанностей, симпатий и антипатий. Частная жизнь такжепроявляется в состоянии здоровья лица (его физических и психическихнедостатках и т.п.), образе его мыслей, отношении к религии, сексу, вполитическом и социальном мировоззрении, увлечениях, творчестве и т.п.Некоторые ученые к сведениям "о личной и частной жизни" лица относяттакже данные о совершении "нотариальных действий, записи актовгражданского состояния, имущественном положении"
Выдержка из судебной практики:
Частная жизнь - это те стороны личной жизни человека, которые он в силусвоей свободы не желает делать достоянием других. Это - своеобразныйсуверенитет личности, означающий неприкосновенность его среды обитания.
78
149-ФЗ Статья 9. Ограничение доступа к информации
8. Запрещается требовать от гражданина (физического лица) предоставленияинформации о его частной жизни, в том числе информации, составляющей личнуюили семейную тайну, и получать такую информацию помимо воли гражданина(физического лица), если иное не предусмотрено федеральными законами.
ГК РФ Статья 152.2. Охрана частной жизни гражданина
1. Если иное прямо не предусмотрено законом, не допускаются без согласиягражданина сбор, хранение, распространение и использование любой информациио его частной жизни, в частности сведений о его происхождении, о месте егопребывания или жительства, о личной и семейной жизни.
Не являются нарушением правил, установленных абзацем первым настоящего пункта,сбор, хранение, распространение и использование информации о частной жизнигражданина в государственных, общественных или иных публичных интересах, атакже в случаях, если информация о частной жизни гражданина ранее сталаобщедоступной либо была раскрыта самим гражданином или по его воле.
2. Стороны обязательства не вправе разглашать ставшую известной им привозникновении и (или) исполнении обязательства информацию о частной жизнигражданина, являющегося стороной или третьим лицом в данном обязательстве, еслисоглашением не предусмотрена возможность такого разглашения информации осторонах.
79
Тайна связи
Конституция РФ (ст.23 п.2): Каждый имеет право на тайнупереписки, телефонных переговоров, почтовых,телеграфных и иных сообщений. Ограничение этого правадопускается только на основании судебного решения.
Указ Президента РФ №188 "Об утверждении Перечнясведений конфиденциального характера"
п.4. Сведения, связанные с профессиональнойдеятельностью, доступ к которым ограничен в соответствии сКонституцией Российской Федерации и федеральнымизаконами (врачебная, нотариальная, адвокатская тайна,тайна переписки, телефонных переговоров, почтовыхотправлений, телеграфных или иных сообщений и такдалее).
80
О связи126-ФЗ «О связи». Статья 63. Тайна связи
1. На территории Российской Федерации гарантируется тайна переписки, телефонныхпереговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемыхпо сетям электросвязи и сетям почтовой связи.
Ограничение права на тайну переписки, телефонных переговоров, почтовыхотправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи исетям почтовой связи, допускается только в случаях, предусмотренных федеральнымизаконами.
2. Операторы связи обязаны обеспечить соблюдение тайны связи.
176-ФЗ «О Почтовой связи». Статья 15. Тайна связи
Тайна переписки, почтовых, телеграфных и иных сообщений, входящих в сферудеятельности операторов почтовой связи, гарантируется государством.
Осмотр и вскрытие почтовых отправлений, осмотр их вложений, а также иныеограничения тайны связи допускаются только на основании судебного решения.
Все операторы почтовой связи обязаны обеспечивать соблюдение тайны связи.
Информация об адресных данных пользователей услуг почтовой связи, о почтовыхотправлениях, почтовых переводах денежных средств, телеграфных и иныхсообщениях, входящих в сферу деятельности операторов почтовой связи, а такжесами эти почтовые отправления, переводимые денежные средства, телеграфные ииные сообщения являются тайной связи и могут выдаваться только отправителям(адресатам) или их представителям.
81
Термин «тайна связи» определен лишь в 176-ФЗ «О почтовойсвязи», что уже интересно…
Тайна связи - тайна переписки, почтовых, телеграфныхи иных сообщений, входящих в сферу деятельностиоператоров почтовой связи, не подлежащаяразглашению без согласия пользователя услуг почтовойсвязи.
Термин «оператор связи» определен в 126-ФЗ
Оператор связи - юридическое лицо или индивидуальныйпредприниматель, оказывающие услуги связи наосновании соответствующей лицензии.
82
Регуляторы рекомендуют (обязывают) использовать средства мониторинга и контроля.
Например, для защиты ПДн и информации, обрабатываемой в государственных ИС.
83
Требования и рекомендации
ОЦЛ.5 КОНТРОЛЬ СОДЕРЖАНИЯ ИНФОРМАЦИИ, ПЕРЕДАВАЕМОЙ ИЗ ИНФОРМАЦИОННОЙ СИСТЕМЫ (КОНТЕЙНЕРНЫЙ,ОСНОВАННЫЙ НА СВОЙСТВАХ ОБЪЕКТА ДОСТУПА, И КОНТЕНТНЫЙ, ОСНОВАННЫЙ НА ПОИСКЕ ЗАПРЕЩЕННОЙ К ПЕРЕДАЧЕИНФОРМАЦИИ С ИСПОЛЬЗОВАНИЕМ СИГНАТУР, МАСОК И ИНЫХ МЕТОДОВ), И ИСКЛЮЧЕНИЕ НЕПРАВОМЕРНОЙ ПЕРЕДАЧИИНФОРМАЦИИ ИЗ ИНФОРМАЦИОННОЙ СИСТЕМЫ
Контроль содержания информации, передаваемой из информационной системы, должен предусматривать: • выявление фактов неправомерной передачи защищаемой информации из информационной системы через различные типы
сетевых соединений, включая сети связи общего пользования, и реагирование на них;
• выявление фактов неправомерной записи защищаемой информации на неучтенные съемные машинные носители информации и реагирование на них;
• выявление фактов неправомерного вывода на печать документов, содержащих защищаемую информацию, и реагирование на них;
• выявление фактов неправомерного копирования защищаемой информации в прикладное программное обеспечение из буфера обмена и реагирование на них;
• контроль хранения защищаемой информации на серверах и автоматизированных рабочих местах;
• выявление фактов хранения информации на общих сетевых ресурсах (общие папки, системы документооборота, базы данных, почтовые архивы и иные ресурсы).
Требования к усилению
• в информационной системе должно осуществляться хранение всей передаваемой из информационной системы
информации и (или) информации с недопустимым к передаче из информационной системы содержанием, в течение времени, определяемого оператором;
• в информационной системе должна осуществляться блокировка передачи из информационной системы информации с недопустимым содержанием
Методический документ. Меры защиты информации в государственных ИС
Не будем вдаваться в тему, сразу перейдем к стратегии
аргументации работодателя, которую полезно понимать…
84
1. Работодатель, как обладатель (владелец) информации, информационныхсистем и сервисов, обладает правом предъявлять требования по ихиспользованию и контролировать их выполнение. В организации определенПеречень информации ограниченного доступа, Правила работы синформацией ограниченного доступа, Политика допустимогоиспользования (средств обработки и ИТ-сервисов). В частности, в явномвиде запрещена передача информации ограниченного доступа сиспользованием персональных средств и систем (например, личнойэлектронной почты или мессенджеров, не утвержденных в организации).
2. Работникам в явном виде запрещено хранить личную информацию накорпоративных ресурсах (рабочие станции и файловые хранилища) ипередавать ее по корпоративным каналам связи (эл.почта и сеть Интернет).
3. Работники уведомлены, что правила использования корпоративнойинформации и информационных ресурсов регулярно контролируются сиспользованием средств мониторинга.
4. Работодатель не является оператором связи, не предоставляет такого родауслуги и не обеспечивает тайну связи для передачи информации по своимкорпоративным каналам. О возможности мониторинга и контролякорпоративной переписки известно работникам (см.п 3).
85
Стратегия работодателя
5. У работодателя отсутствует умысел нарушения тайны частной жизни.Предполагается, что на контролируемых ресурсах таких данных нет.
6. Если личная информация будет обнаружена на корпоративных ресурсах, тоона будет удалена, а к работнику могут применяться дисциплинарныевзыскания за нарушение правил внутреннего трудового распорядка.
7. Обнаруженная личная информация не будет использована (по крайнеймере официально) при принятии решений.
8. У работодателя отсутствует умысел нарушения тайн переписки сотрудников.Содержание информации, хранимой в личных сервисах передачи данных(например, внешняя эл.почта) не проверяется даже при получении такойвозможности (по крайней мере официально).
9. У работодателя отсутствует умысел нарушения тайны переписки приконтроле входящей почты. Работники уведомлены, что они обязаныуведомить тех, с кем общаются, о недопустимости использованиикорпоративных сервисов для осуществления любых видов коммуникаций,не связанных со служебной деятельностью.
10. Информация, обнаруженная во входящих сообщениях, не будетиспользована (по крайней мере официально) при принятии решений. 86
Стратегия работодателя (продолжение)
87
Ошибка №5«Детективные игры»
• Взлом личной электронной почты, аккаунтов в соц.сетях и др.
• Скрытая аудио и видео съемка
• Личный обыск, изъятие персональных средств обработки и хранения информации
• «Выбивание» признания
• Принуждение свидетелей
88
Иногда работодателей «заносит» при расследовании инцидентов…
Не рекомендуем!!!
Изучите:
• Закон № 144-ФЗ «Об оперативно-розыскной деятельности»
• Закон № 2487-1 «О частной детективной и охранной деятельности в Российской Федерации»
• «Уголовно-процессуальный кодекс Российской Федерации» (УПК РФ)
И взаимодействуйте с:
89
Но если совсем нужно, то
90
Ошибка №6Слабая аргументация для Суда
• Понимайте свои сильные и слабые стороны
• Ведите хронологию события
• Соберите максимум документов
• Проинструктируйте и потренируйте свидетелей. Должны знать хронологию события, порядок обработки и защиты информации в организации
• Будьте готовы к вопросам про доказательство разглашения информации («решение приняла Комиссия»), наличие мотива у работника и величину ущерба («пока не определен, но если посчитаем, то подадим на работника в суд»)
• Не рекомендуем врать и использовать подложные документы…
91
Рекомендации для Суда
92
Документы для Суда
1. Локальные нормативные акты, связанные с трудовой деятельностью работника
2. Документы про инцидент и по процедуре увольнения
3. Документы про режим защиты информации
4. Прочее (для суда)
93
Документы для Суда (подробно)
1. Локальные нормативные акты, связанные с трудовой деятельностью работника• Трудовой договор
• Правила внутреннего трудового распорядка
• Должностная инструкция работника
• Положение о подразделении работника
• Доп.соглашения с работником (ПДн, КТ и пр.)
• Характеристика на работника (при наличии "полезных" фактов в биографии)
94
Документы для Суда (подробно)
2. Документы про инцидент и по процедуре увольнения• Служебная записка и/или Отчет об инциденте
• Хронология событий
• Выгрузки отчетов из DLP и других средств мониторинга и защиты
• Приказ о назначении комиссии по расследованию инцидента
• Объяснительная работника / Акт об отказе
• Протоколы заседаний Комиссии
• Приказ об увольнении
95
Документы для Суда (подробно)
3. Документы про режим защиты информации• Перечень информации ограниченного доступа• Положения об обработке и защите информации ограниченного
доступа (ПДн, КТ и пр.)• Перечень лиц, допущенных к обработке• Документы, содержащие положения и процедуры по ИБ: общая
политика ИБ, парольная защита, контроль доступа, допустимое использование ИС и сервисов, мониторинг и контроль, управление инцидентами и пр.
• Выписка из Модели угроз и Модели нарушителя• ТЗ на систему защиты• Справка о DLP системы (функционал и сертификаты)• Положение о подразделении ИБ и должностные инструкции• Отчеты об аудитах и проверках ИБ, аттестаты соответствия• Отчеты и планы по обучению/инструктажу работников• Перечень документов по ИБ, с которыми ознакамливаются работники• Копии журналов ознакомления с документами и обучения работников
по вопросам ИБ
96
Документы для Суда (подробно)
4. Прочее (для Суда)• Исковое заявление
• Возражение ответчика (на исковое заявление)
• Перечень предоставленных документов
1. Нарушение процедуры увольнения
2. Отсутствие факта разглашения
3. Отсутствие режима защиты информации (особенно КТ)
4. Нарушение конституционных прав работников при сборе доказательной базы
5. «Детективные игры»
6. Слабая аргументация для Суда
97
Все типовые ошибки
98
А если наказание по УК РФ?
99
Наказание по ТК РФ Наказание по УК РФ
Мотив работодателя Хотим наказать быстро и просто, нужен прецедент
Хотим сильно наказать (большой ущерб), нужен
громкий прецедент
Основание ТК РФ ст.81 УК РФ ст.183, 185.5ст.159, 163ст.272-274
Возмещение ущерба Обычно нет По решению суда, но надо доказать величину ущерба
Трудозатраты Низкие Средние
Общая длительность До 1 месяца Может быть несколько лет
Процедура Простая, по ТК РФ Сложная, по УПК РФ
Взаимодействие с правоохранительными органами
Нет МВД России / ФСБ России
Сложность сборадоказательной базы
Низкая, решение принимает внутренняя
комиссия
Высокая, необходимо соблюсти все формальные
процедуры
• Процедура взаимодействия с правоохранительными органами
• Мотивация сотрудников правоохранительных органов
• Процедуры сбора доказательной базы и гарантии неизменности цифровых доказательств
• Оценка величины ущерба
• Доказательство вины, достаточность доказательств
100
Сложности с преследованием по УК
• Это быстрее (и дешевле), «игра стоит свеч»
• Процедура проще
• Меньше риски проигрыша в суде
101
Обычно выбирают преследование по ТК РФ, а не УК РФ
102
Спасибо за внимание!
Прозоров Андрей, CISM
Мой блог: 80na20.blogspot.com
Мой твиттер: twitter.com/3dwave
Моя почта: [email protected]
