Утечка информации, или Как организации уберечь себя от мошенничества в сети
Основатель компании Alpha Juris, юрист
специально для ГАРАНТ.РУ
Цифровые технологии с каждым днем все больше проникают во все сферы человеческой деятельности. Поэтому перед многими руководителями достаточно острым стоит вопрос хранения и передачи данных в сети, а также обеспечения безопасности от утечки информации в цифровом поле.
Под утечкой информации подразумевается незаконное получение либо передача защищенных сведений (таких, как персональные данные, коммерческая, государственная тайна и пр.). Утечка информации может быть как умышленной, так и непредумышленной (случайной), что не отменяет вины лица или группы лиц, причастных к этому. Поскольку данное правонарушение является достаточно обобщенным, может касаться наиболее разных видов информации, иметь различные субъективные и объективные стороны, нет точной статьи, регулирующей его.
Но при этом факт утечки является составным элементом иных правонарушений, установленных:
Из СМИ нам не понаслышке известно о разных примерах утечек, например, в 2020 году в сеть, утекли паспортные данные более 1,1 млн россиян, принимавших участие в голосовании по поправкам к Конституции РФ. А годом ранее общественности была представлена информация об утечке данных пользователей портала «Госуслуги».
Однако законодательство на сегодняшний день никак не регулирует способы защиты от утечки информации, поэтому как крупным организациям, так и представителям МСБ следует самостоятельно изучить наиболее возможные способы защиты от данной угрозы.
Работа с сотрудниками как способ защиты от утечки информации
Насколько банально это может показаться, но, согласно статистическим исследованиям «Лаборатории Касперского», более 60% корпоративных данных попадает не в те руки именно из-за действий самих работников компании без преднамеренного вмешательства. Причем зачастую это происходит именно из-за невнимательности либо халатности сотрудников. Так, наиболее примечательными примерами в данном случае могут быть:
- разговоры с коллегами либо третьими лицами, в ходе которых работник может неосознанно выдать конфиденциальную информацию;
- переход с корпоративной почты либо при веб-серфинге по ссылкам, содержащим «фишинговые» либо иные вредоносные программы;
- фотографии, аудио- и видеозаписи со смартфонов сотрудников, которые впоследствии могут быть взломаны либо же данные переданы третьим лицам по неосторожности;
- получение злоумышленниками доступа к конфиденциальной информации из-за слабого пароля почты либо другого корпоративного веб-инструмента работника.
Многие даже крупные компании зачастую пренебрегают обучением IT-культуре собственных работников, ограничиваясь лишь такими формальностями, как заключение соглашения о неразглашении коммерческой тайны и персональных данных. Руководству в первую очередь следует разъяснить персоналу важность кибер-безопасности, провести соответствующий обучающие тренинги самостоятельно либо с привлечением сторонних специалистов.
Например, в ноябре 2020 года произошла утечка данных программы лояльности «РЖД Бонус». Причиной тому стала халатность сотрудника, который оставил информацию в открытом доступе.
Работодателям следует установить дисциплинарную ответственность за утечку информации в ТК РФ. Напомним, ст. 192 Трудового кодекса установлено три вида дисциплинарных взысканий – замечание, увольнение, выговор, а для государственных служащих еще и предупреждение о неполном должностном соответствии (ч. 1 ст. 57 Федерального закона от 27 июля 2004 г. № 79-ФЗ «О государственной гражданской службе Российской Федерации»). При этом в локальных нормативных актах необходимо не просто указать причину применения наказания «за утечку информации», а максимально детально изъяснить все возможные факторы.
Если говорить о сотрудниках, то также достаточно распространенной причиной утечки данных являются и преднамеренные действия. Чаще всего это происходит из-за отсутствия мотивации у работников, харрасмента со стороны коллег либо руководства, а также неправомерного увольнения. Способы защиты для руководителей в данном случае схожи с описанными выше – поддержание корпоративной культуры, материальная и нематериальная мотивация сотрудников и соблюдение требований трудового законодательства.
Если же правонарушение все-таки было совершено и повлекло негативные последствия, следует обращаться в правоохранительные органы с целью привлечения виновного к административной либо уголовной ответственности.
На сегодняшний день утечка информации участилась из-за введенных в результате пандемии COVID-19 ограничительных мер. Так, многие работодатели, которые перевели сотрудников на дистанционную работу, не обеспечили должным образом сохранность конфиденциальной информации, например, не предоставив им рабочие ПК, а предоставив возможность трудиться на личных.
Как защититься от утечки информации при помощи кибербезопасности
Далеко не всегда утечка данных в организации происходит исключительно из-за действий работников, часто виной этому становится слабая защищенность именно с технической точки зрения. Способов защиты в данном случае множество, следует выделить лишь основные из них:
- использование системы контроля и управления доступом (СКУД). Подразумевается многоуровневая программная и аппаратная система, которая ограничит доступ к конфиденциальной информации третьим лицам;
- ведение корпоративных аккаунтов. Сюда входит и корпоративная почта, и аккаунты для работы в специализированных программах. Крайне важно, чтобы доступ был только у действующих сотрудников, ключи увольняющихся сотрудников необходимо удалять в момент увольнения;
- установка сложных паролей. Наряду с использованием корпоративных аккаунтов необходимо позаботиться об их достаточной защищенности. Наиболее оптимальным вариантом в данном случае является двухфакторная аутентификация (подтверждение входа с помощью СМС, одноразового кода, распознавания лица и т. д.);
- установка антивирусных программ. Современные антивирусы способны бороться с большинством известных способов кражи конфиденциальной информации;
- проведение «стресс-тестов» систем безопасности. Многие крупные компании специально нанимают сотрудников либо проводят конкурсы, в которых предлагают взломать действующую систему безопасности. Делается это для того, чтобы обнаружить возможные причины утечки информации и ликвидировать их;
- обеспечение личного пространства. При выполнении своих обязанностей сотрудники чаще всего контактируют с коллегами, клиентами и другими лицами. Поэтому крайне важно обеспечить безопасность рабочего места. Так, наиболее подвержены риску быть причиной утечки информации сотрудники, работающие в опен-спейсах;
- контроль документации (как электронной, так и бумажной). Сюда входит и работа с действующими документами, то есть использование систем шифрования, защиты от ознакомления третьими лицами, так и с недействительными, то есть использование соответствующих архивов либо удаление ненужных данных.
Вышеописанный перечень является далеко не исчерпывающим, однако при соблюдении этих требований руководителям бизнеса будет значительно проще обезопасить себя от утечки ценной информации.
Источник
Способы незаконного получения информации
УК РФ Статья 183. Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну
(в ред. Федерального закона от 07.08.2001 N 121-ФЗ)
(см. текст в предыдущей редакции)
Перспективы и риски споров в суде общей юрисдикции. Ситуации, связанные со ст. 183 УК РФ
1. Собирание сведений, составляющих коммерческую, налоговую или банковскую тайну, путем похищения документов, обмана, шантажа, принуждения, подкупа или угроз, а равно иным незаконным способом —
(в ред. Федерального закона от 11.06.2021 N 216-ФЗ)
(см. текст в предыдущей редакции)
наказывается штрафом в размере до пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок.
(в ред. Федеральных законов от 07.12.2011 N 420-ФЗ, от 29.06.2015 N 193-ФЗ)
(см. текст в предыдущей редакции)
2. Незаконные разглашение или использование сведений, составляющих коммерческую, налоговую или банковскую тайну, без согласия их владельца лицом, которому она была доверена или стала известна по службе или работе, —
наказываются штрафом в размере до одного миллиона рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.
(в ред. Федеральных законов от 07.12.2011 N 420-ФЗ, от 29.06.2015 N 193-ФЗ, от 11.06.2021 N 216-ФЗ)
(см. текст в предыдущей редакции)
3. Те же деяния, совершенные группой лиц по предварительному сговору или организованной группой, а равно причинившие крупный ущерб или совершенные из корыстной заинтересованности, —
(в ред. Федерального закона от 11.06.2021 N 216-ФЗ)
(см. текст в предыдущей редакции)
наказываются штрафом в размере до одного миллиона пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до трех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок.
(в ред. Федеральных законов от 07.12.2011 N 420-ФЗ, от 29.06.2015 N 193-ФЗ)
(см. текст в предыдущей редакции)
4. Деяния, предусмотренные частями второй или третьей настоящей статьи, повлекшие тяжкие последствия, —
наказываются принудительными работами на срок до пяти лет либо лишением свободы на срок до семи лет.
(в ред. Федерального закона от 07.12.2011 N 420-ФЗ)
Источник
Статья 183 УК РФ. Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну
1. Собирание сведений, составляющих коммерческую, налоговую или банковскую тайну, путем похищения документов, подкупа или угроз, а равно иным незаконным способом —
наказывается штрафом в размере до пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок.
2. Незаконные разглашение или использование сведений, составляющих коммерческую, налоговую или банковскую тайну, без согласия их владельца лицом, которому она была доверена или стала известна по службе или работе, —
наказываются штрафом в размере до одного миллиона рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до трех лет, либо лишением свободы на тот же срок.
3. Те же деяния, причинившие крупный ущерб или совершенные из корыстной заинтересованности, —
наказываются штрафом в размере до одного миллиона пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до трех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок.
4. Деяния, предусмотренные частями второй или третьей настоящей статьи, повлекшие тяжкие последствия, —
наказываются принудительными работами на срок до пяти лет либо лишением свободы на срок до семи лет.
Комментарии к ст. 183 УК РФ
1. В комментируемой статье предусмотрена ответственность за совершение двух разных преступлений: 1) незаконное собирание сведений, составляющих коммерческую, налоговую или банковскую тайну (ч. 1); 2) незаконные разглашение или использование сведений, составляющих такую тайну (ч. 2). Помимо общности основного непосредственного объекта у этих преступлений (отношения добросовестной конкуренции) их объединяет и общность предмета посягательств — сведения, составляющие коммерческую, налоговую или банковскую тайну.
2. Понятие информации, составляющей коммерческую тайну, определено в Федеральном законе от 29.07.2004 N 98-ФЗ «О коммерческой тайне» как «сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны» (п. 2 ст. 3).
СЗ РФ. 2004. N 32. Ст. 3283.
В ст. 1465 ГК РФ отождествляются понятия секрета производства и информации, составляющей коммерческую тайну. Обладателю секрета производства принадлежит исключительное право на его использование до тех пор, пока сохраняется конфиденциальность сведений, составляющих его содержание (ст. 1466 ГК РФ). Гражданин, которому в связи с выполнением своих трудовых обязанностей или конкретного задания работодателя стал известен секрет производства, обязан сохранять конфиденциальность полученных сведений до прекращения действия исключительного права на секрет производства (ст. 1470 ГК РФ).
Состав и объем сведений, составляющих коммерческую тайну, порядок ее защиты определяются самим предпринимателем. Прежде всего, коммерческая тайна охраняется в области внедрения достижений научно-технического прогресса. Коммерческой тайной могут являться и другие секреты хозяйствующих субъектов, как то: сведения о производстве, планах развития предприятия, финансах, состоянии рынка, партнерах, переговорах, контрактах и др. Вместе с тем в ст. 5 Федерального закона «О коммерческой тайне» определен перечень сведений, которые не могут составлять коммерческую тайну. Кроме того, в других федеральных законах может быть указано на недопустимость ограничения доступа к тем или иным сведениям. Согласно ст. 32 Федерального закона от 12.01.96 N 7-ФЗ «О некоммерческих организациях» не могут быть предметом коммерческой тайны размеры и структура дохода такой организации, сведения о ее расходах и др. Чрезвычайно важными являются положения ст. 30 Федерального закона от 22.04.96 N 39-ФЗ «О рынке ценных бумаг» , где сформулированы требования об обязательном раскрытии определенной информации на рынке ценных бумаг.
СЗ РФ. 1996. N 3. Ст. 145.
СЗ РФ. 1996. N 17. Ст. 1918.
3. Основные положения о составе сведений, составляющих банковскую тайну, и о режиме этой тайны изложены в ст. 857 ГК РФ и в ст. 26 Федерального закона от 02.12.90 N 395-1 «О банках и банковской деятельности». Так, ст. 857 ГК РФ устанавливает, что банк гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте. Сведения, составляющие банковскую тайну, могут быть предоставлены только самим клиентам или их представителям, а также представлены в бюро кредитных историй на основании и в порядке, которые предусмотрены законом. Государственным органам и их должностным лицам такие сведения могут быть предоставлены исключительно в случаях и в порядке, предусмотренных законом.
Эти положения конкретизируются в ст. 26 Федерального закона «О банках и банковской деятельности», где указано, что кредитная организация, Центральный банк РФ, организация, осуществляющая функции по обязательному страхованию вкладов, гарантируют тайну об операциях, счетах и вкладах своих клиентов и корреспондентов. Все иные сведения, которые обязаны хранить в тайне служащие кредитных организаций, относятся уже не к банковской, а к коммерческой тайне кредитной организации.
Банк России не вправе разглашать сведения о счетах, вкладах, а также сведения о конкретных сделках и об операциях из отчетов кредитных организаций, полученных ими в результате исполнения лицензионных, надзорных и контрольных функций. Аудиторские организации не вправе раскрывать третьим лицам сведения об операциях, счетах и вкладах кредитных организаций, их клиентов и корреспондентов, полученные в ходе проводимых ими проверок. Органы Федеральной службы по финансовому мониторингу, являющейся уполномоченным органом, осуществляющим меры по противодействию легализации (отмыванию) доходов, полученных преступным путем, также не вправе раскрывать третьим лицам информацию, полученную от кредитных организаций в соответствии с Федеральным законом от 07.08.2001 N 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», за исключением случаев, прямо предусмотренных законом.
4. Налоговую тайну составляют любые полученные налоговым органом, органами внутренних дел, органом государственного внебюджетного фонда и таможенным органом сведения о налогоплательщике (организациях и физических лицах), за исключением сведений: 1) разглашенных налогоплательщиком самостоятельно или с его разрешения; 2) об идентификационном номере налогоплательщика; 3) о нарушениях законодательства о налогах и сборах и мерах ответственности за эти нарушения; 4) предоставляемых налоговым (таможенным) или правоохранительным органам других государств в соответствии с международными договорами (соглашениями), одной из сторон которых является Российская Федерация, о взаимном сотрудничестве между налоговыми (таможенными) или правоохранительными органами (в части сведений, предоставленных этим органам) (см. ст. 102 НК РФ). Налоговая тайна не подлежит разглашению, за исключением случаев, предусмотренных федеральным законом.
5. В части 1 ст. 183 предусмотрена ответственность за собирание сведений, составляющих коммерческую, налоговую или банковскую тайну, путем похищения документов, подкупа или угроз, равно иным незаконным способом. Хотя в законе назван лишь один конкретный предмет — документы, сведения, составляющие коммерческую тайну, могут быть материализованы в других предметах: чертеж, модель, дискеты, промышленный образец, формула изобретения, технологии, включая ноу-хау, физические поля, в которых информация находит отображение в виде символов, сигналов, технических решений и процессов, и др.
6. Объективная сторона преступления, предусмотренного ч. 1 ст. 183, может быть выражена различными действиями, объединяемыми понятием «собирание». Оно охватывает похищение документов и других материальных носителей коммерческой (банковской, налоговой) тайны, завладение (или попытка завладения) ею путем подкупа, различных угроз и шантажа в отношении лиц, владеющих коммерческой (банковской, налоговой) тайной, или их близких, перехват информации в средствах связи, незаконное ознакомление с документацией или ее копирование иными способами, использование подслушивающих приборов и иных специальных технических средств, проникновение в компьютерную систему и другие незаконные способы.
Если способом собирания сведений, составляющих коммерческую, налоговую или банковскую тайну, был подкуп лиц, выполняющих управленческие функции в коммерческой или иной организации, или должностных лиц, ответственность наступает не только по ч. 1 ст. 183, но и по ч. 1 или ч. 2 ст. 204 или ст. 291 УК.
Состав преступления формальный: наказуемы сами действия по собиранию сведений, составляющих коммерческую или банковскую тайну, независимо от наступления каких-либо последствий этих действий.
7. Преступление совершается с прямым умыслом. Мотивы преступления различны: корысть, зависть и месть, связанные с желанием причинить вред владельцу тайны, и др.
8. Субъектом преступления может быть любое лицо, достигшее возраста 16 лет, которое не являлось владельцем коммерческой (банковской, налоговой) тайны и не было к ней допущено по профессиональной или служебной деятельности.
9. Часть 2 ст. 183 регламентирует ответственность за незаконное разглашение или использование коммерческой, налоговой или банковской тайны без согласия ее владельца, лицом, которому она была доверена или стала известна по службе или работе. Это могут быть рядовые работники и руководители организаций, должностные лица и служащие органов прокуратуры, следствия и дознания, налоговых органов, арбитражного суда, нотариата, органов валютного контроля, антимонопольных органов, аудиторских организаций, Федеральной службы по финансовому мониторингу и др.
10. Способы разглашения или использования коммерческой (банковской, налоговой) тайны различны, но во всех случаях лицо, совершающее эти действия, знает, что разглашаемые или используемые им сведения являются тайной.
Разглашение — это действие или бездействие, в результате которых информация, составляющая тайну, в любой возможной форме (устной, письменной, иной, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации (п. 9 ст. 3 Федерального закона «О коммерческой тайне»). Принято считать, что разглашение имело место, когда такая информация без согласия владельца стала известной хотя бы одному постороннему лицу, т.е. тому, кто не имел права на ознакомление с этими сведениями.
Незаконное использование сведений, являющихся чужой коммерческой, налоговой или банковской тайной, будет иметь место, в частности, при применении этих сведений в экономической (предпринимательской) деятельности без разрешения владельца лицом, которому эта тайна стала известна в связи с профессиональной или служебной деятельностью. Незаконное использование может выразиться и в совершении с такой информацией любых сделок.
Состав преступлений, предусмотренный ч. 2 ст. 183, сконструирован по типу формального, для признания преступления оконченным не требуется наступления каких-либо последствий. В данной норме отсутствует и указание на корыстную или иную личную заинтересованность как на обязательные мотивы преступления.
11. Квалифицирующие признаки, содержащиеся в ч. 3 ст. 183 (крупный ущерб и корыстная заинтересованность), относятся только к незаконному разглашению или незаконному использованию сведений, составляющих коммерческую, налоговую или банковскую тайну, без согласия их владельца лицом, которому она была доверена или стала известна по службе или работе.
Причинение крупного ущерба должно находиться в причинной связи с незаконным разглашением или использованием чужой коммерческой, налоговой или банковской тайны. Это могут быть большие материальные убытки, понесенные хозяйствующим субъектом в конкурентной борьбе, вызванные спадом производства, необходимостью его переориентации, уменьшением клиентуры, потерей рынков сбыта продукции и т.д.
Крупный ущерб определяется суммой, превышающей 1,5 млн. руб. (примечание к ст. 169 УК).
Виновное лицо, разглашая или используя чужую коммерческую, налоговую или банковскую тайну, понимает, что это повлечет или может повлечь причинение крупного ущерба владельцу тайны, желает этого или сознательно допускает либо безразлично относится к такому последствию. Конструкция уголовного закона не исключает возможности причинения крупного ущерба как последствия данного деяния и по неосторожности. Последнее замечание равным образом относится и к случаям причинения тяжких последствий (ч. 4 ст. 183).
Корыстная заинтересованность связана со стремлением виновного получить в результате совершаемых им действий материальную выгоду для себя или для близких ему лиц.
12. Тяжкие последствия незаконного разглашения или незаконного использования сведений, составляющих коммерческую, налоговую или банковскую тайну, понимаются более широко, чем причинение материальных убытков, хотя, конечно, сверхкрупные убытки могут быть квалифицированы как тяжкое последствие. Это может быть банкротство и ликвидация организации, банкротство индивидуального предпринимателя, самоубийство потерпевшего и др., если эти последствия находятся в причинной связи с незаконными разглашением или использованием соответствующих сведений.
Источник
