Количество инцидентов, связанных с потерей конфиденциальной информации, каждый год увеличивается: Россия занимает второе место в мире по количеству утечек важной информации после США. В 92% случаев обнародованными оказываются конфиденциальные персональные данные клиентов, партнёров и сотрудников компаний, в 55% случаев виновниками разглашения были действующие или бывшие работники.
Количество инцидентов, связанных с потерей конфиденциальной информации, каждый год увеличивается: Россия занимает второе место в мире по количеству утечек важной информации после США. В 92% случаев обнародованными оказываются конфиденциальные персональные данные клиентов, партнёров и сотрудников компаний, в 55% случаев виновниками разглашения были действующие или бывшие работники.
«Секрет» узнал, как предпринимателям обезопасить себя от утечек и сохранить добрые отношения с сотрудниками.
Режим коммерческой тайны
Режим коммерческой тайны позволяет определять порядок доступа к информации и требовать от третьих лиц, которым такая информация стала доступна, охраны её конфиденциальности. Для начала, нужно разобраться, какие сведения нельзя засекретить — это информация о нарушениях законодательства, о задержках зарплат, о доходах компании и численности персонала, и другая.
Чтобы ввести режим коммерческой тайны, нужно:
1. Составить перечень конфиденциальной информации и ограничить доступ к ней, то есть, прописать порядок обращения с такой информацией.
Например: если вы хотите засекретить информацию о своих клиентах, следует определить, кто из сотрудников имеет право доступа к базам, как получить разрешение, где хранить базы и пароль к ним, как пользоваться программой, в которой хранятся секретные сведения.
2. Определить меры ответственности за нарушение порядка
3. Составить из перечисленных выше документов локальный акт
4. Под роспись ознакомить с локальным актом каждого работника, которому будет предоставлен доступ к конфиденциальной информации. Учет таких сотрудников следует вести отдельно. Важно, чтобы обязанность соблюдать охрану конфиденциальной безопасности была прописана в трудовом договоре работника. Если такой пункт в трудовом договоре отсутствует, придется брать письменное согласие сотрудника на предоставление ему доступа к конфиденциальной информации. Теоретически вместо этого можно дополнить трудовой договор, но расширение трудовых обязанностей может потянуть за собой изменение других пунктов, например, пересмотр зарплаты.
5. При необходимости ввести регулирование отношений по использованию конфиденциальной информации между работниками и контрагентами компании (вписывается в гражданско-правовые договоры).
6. Нанести гриф «коммерческая тайна» с указанием полного наименования и места нахождения компании на все материальные носители и в состав реквизитов всех документов, содержащих конфиденциальную информацию.
После того, как вы проделаете всё, что описано выше, режим коммерческой тайны начинает действовать. А значит, вы получите право требовать от сотрудника, нарушившего этот режим, возмещения убытков (ст. 139 Гражданского кодекса РФ) — даже если он уже уволился из компании или разгласил данные после увольнения. Провинившегося может постигнуть и уголовное наказание (ст. 183 Уголовного кодекса РФ).
Срок действия режима коммерческой тайны устанавливает её обладатель — в тех же локальных актах.
Секрет производства
Материальные результаты интеллектуальной собственности (изобретения, полезная модель или промышленный образец) охраняются патентом, но как быть со сведениями об их производстве? «На практике часто встаёт вопрос, каким образом компания может защитить свои права на незапатентованную интеллектуальную собственность, разработанную ее сотрудниками», — рассказывает партнер адвокатского бюро «Андрей Городисский и партнеры» Алексей Городисский. Режим коммерческой тайны покрывает сведения, которые могут считаться секретом производства, если они имеют коммерческую ценность, которая сохраняется именно из-за неизвестности третьим лицам.
«Очень важен вопрос принадлежности компании имущественных прав на разработанные ее работниками секреты производства. Введения в компании режима коммерческой тайны будет недостаточно для защиты исключительных прав компании на разработанные ее работниками секреты производства, если такие права будут оставаться у авторов», — предупреждает Алексей Городисский. Для того, чтобы права на разработку изначально принадлежали компании, необходимо, закрепить в трудовом договоре с работником положение о создании результатов интеллектуальной деятельности по заданию работодателя. В процессе работы задания надо документировать, доводить их до работников под роспись, требовать отчетов об исполнении и актов передачи результатов интеллектуальной деятельности компании. Тогда секрет производства можно будет квалифицировать как служебный.
Соглашение о неразглашении
Некоторые сотрудники появляются в компании на недолгий срок — вы не заключаете с ними трудовых договоров, и заставить их соблюдать режим коммерческой тайны непросто. В этом случае можно использовать соглашение о неразглашении (англ. non-disclosure agreement, NDA). Это юридический контракт: в нем нужно в общих чертах прописать конфиденциальные сведения, которые стороны обязуются не разглашать. В случае с наемным сотрудником соглашение о неразглашении будет одностороннее, так как поставлять информацию будет только одна сторона — компания.
Алексей Петруша Директор по правовым вопросам компании Parallels в России, на Ближнем Востоке и Африке
Parallels охраняет секреты производства, ноу-хау, формулы, построения, процессы — все, что может стать основанием для оформления патентной заявки. Сейчас у нас насчитывается около 200 выданных патентов, заявки на выдачу патентов на изобретения формально являются объектом коммерческой тайны (КТ), но только до момента официальной публикации сведений о заявке на сайте патентного ведомства США. Также важны HR-данные, в том числе информация о зарплате, кандидатах, кадровом резерве. Мы публикуем перечень документов, которые составляют коммерческую тайну, на внутреннем портале компании. После ознакомления сотрудников с этим перечнем, следим за тем, чтобы ограничения соблюдались. Например, какие-то документы не должны лежать забытыми на reception, в соседнем принтере или в урне вместо шредера. Или базы контактов должны храниться только в Salesforce, так, чтобы их невозможно было распечатать и скопировать. Для себя мы выработали несколько неформальных правил обращения с коммерческой тайной. Во-первых, не следует сообщать сотрудникам конфиденциальные сведения без необходимости. Мы ранжируем сотрудников по уровню доступа к таким данным: например, выявляем случаи недопустимого обращения с информацией, которая может расцениваться, как КТ, и этим сотрудникам предоставляем меньше секретных сведений. Во-вторых, при информировании сотрудника об объектах КТ не стоит ждать, что он понимает, что это тайна. Поэтому ко всем нашим трудовых договорам есть памятка, которая на человеческом языке прямо указывает на то, что является секретными сведениями. Наконец, при конфликтных увольнениях желательно отключать сотрудника от всех важных баз данных, чтобы он их не скопировал. Один из наших сотрудников при увольнении пытался продать базу данных конкурентам, но был привлечен к уголовной ответственности, режим коммерческой тайны это позволяет. Также у нас есть перечень компаний, в которые нежелательно трудоустраиваться после увольнения — это конкуренты с похожим бизнесом.
Есть несколько категорий нетрудоустроенных сотрудников и юридических лиц, с которыми Parallels подписывает соглашение о неразглашении. Это распространяется на ситуации, когда у нас не заключены контракты с поставщиком, или когда в рамках due-diligence (процедура проверки объекта инвестирования, — «Секрет») мы предоставляем информацию о наших программных продуктах. Эти же соглашения подписывают все наши стажеры. Поскольку со стажерами у нас нет трудовых, а есть гражданско-правовые отношения, то NDA «закрывает» часть о коммерческой тайне. Также NDA подписывают студенты, которые учатся в лабораториях Parallels Labs при вузах. С такими ребятами NDA обеспечивает право собственности на результаты их исследований, проведенных в рамках работы в лаборатории, Плюс отдельно определяется перечень вещей, которые нельзя разглашать в рамках этих работ.
Под надежной защитой
Дополнительно следить за соблюдением ограничений и выявлять нарушения помогают системы контроля, использование которых законом не запрещается. Например, если информация хранится в «цифре» и сотрудники с ней работают за ПК, полезны будут DLP-системы. Они контролируют перемещение конфиденциальных файлов внутри компании и за ее пределы, фиксируют попытки «слива» информации и блокируют утечки.
Помимо удобства контроля DLP дают еще одно важное преимущество: собранную сертифицированными и легально используемыми системами информацию в качестве доказательств принимают суды. Требуя при этом, чтобы были соблюдены все необходимые процедуры.
Вот как это выглядит на практике.
Кейс 1
Что произошло: DLP-система обнаружила, что сотрудница в рабочее время общается по почте с представителем конкурентной фирмы. Сотрудник СБ написал докладную записку об инциденте и запросил расследование.
Как расследовали: Анализ переписки показал, что сотрудница зарабатывала на клиентской базе компании, в которой работала. Ее задача заключалась в том, чтобы переводить клиентов фирмы к конкурентам. Для полноты расследования «подняли» записи телефонных разговоров с клиентами, где сотрудница вводила собеседника в заблуждение относительно доступных ему условий обслуживания и затем прямо рекомендовала сотрудничать с компанией конкурента. Полученные сведения о клиентах, включая условия договоров с ними, она передавала конкурентам, тем самым разгласив информацию, составляющую КТ. Для расследования инцидента собрали комиссию из трех человек: представителя СБ, отдела кадров и юриста. Сотрудницу попросили написать объяснительную, но она отказалась. Был составлен акт об отказе, комиссия начала расследование. В расследовании использовались данные, полученные DLP-системой. Комиссия также рассмотрела все документы, подписанные сотрудницей при заключении контракта: согласие на мониторинг, согласие с принятым в компании положением о КТ, NDA.
Итог: Обвинительный приговор, лишение свободы на 3 года условно.
Кейс 2
Что произошло: Компания с помощью DLP-системы обнаружила, что один из сотрудников втайне просматривает почтовый ящик начальника управления.
Как расследовали: Подробный анализ показал, что часть писем пересылается конкурентам. В отправлениях содержались цены и условия контрактов с партнерами, результаты анализа рынка, детали стратегии по продвижению продукции за рубеж. Согласно принятому в компании положению о конфиденциальности, эти сведения составляли коммерческую тайну.
Внутреннее расследование показало, что сотрудник занимался этим на протяжении двух лет. В результате конкуренты получили преимущество, а компания стала фиксировать отток клиентов, потеряла рынки сбыта, понесла финансовый и репутационный ущерб.
Инсайдера уволили за грубое нарушение трудовых обязанностей на основании п. «в» ч.6 ст. 81 ТК РФ (разглашение охраняемой законом коммерческой тайны). Затем на инсайдера подали в суд. В качестве доказательств в суде представили распечатки писем конкуренту из почтового ящика, который принадлежал обвиняемому. К ним прилагалось подтверждение из DLP о том, что во всех случаях доступ к этому ящику осуществлялся с использованием учетной записи сотрудника.
Также предъявили заявку обвиняемого на право использования электронной почты, где он под подпись предупреждался об ответственности за несанкционированную отправку в Интернет конфиденциальных сведений. А заодно соглашался с проведением контроля содержимого его электронной почты специальными программно-техническими средствами. Плюс представили объяснительную. В ней инсайдер писал, что передавал конфиденциальные данные, потому что рассчитывал получить у конкурентов должность с большей зарплатой.
Кейс 3
Что произошло: Компания уволила сотрудника за попытку слива информации, как это предусмотрено ТК РФ. Работник обратился в суд с иском к работодателю о признании увольнения незаконным на том основании, что не согласен с выводами служебной проверки. Добивался восстановления на работе и взыскания невыплаченной премии.
Как расследовали: В суде пришлось восстанавливать хронологию изначального инцидента. Тогда сотрудник службы безопасности через модуль контроля съемных устройств в DLP-системе обнаружил передачу файлов на посторонний гаджет. При этом в компании было запрещено использование USB-портов.
Дальнейший анализ показал, что в копируемых файлах содержалась информация, подпадающая под гриф «секретно». Нарушитель уже попадал в поле зрения службы ИБ и входил в группу особого контроля, поэтому его заподозрили в передаче конфиденциальных данных третьим лицам.
В объяснительной работник не назвал объективной причины, зачем ему нужна была информация. Работодатель не выплатил премию и уволил нарушителя с работы. Сотрудник счел, что компания не доказала, что он действительно собирался сливать информацию на сторону, и поэтому оспорил заключения служебного расследования. Однако не учел главного: он был знаком с принятой в компании политикой безопасности и запрете на флешки, в чем добровольно расписывался. Кроме того, в положении о коммерческой тайне, с которым он также был ознакомлен, прямо указывалось, что файлы с грифом «секретно» нельзя копировать.
Наличие этих документов помогло работодателю обосновать факт нарушения, а данные из DLP — доказать факт копирования конфиденциальной информации на съемный диск.
Итог: Суд отказал работнику в исковых требованиях в полном объеме.
Что такое коммерческая тайна и как ее хранить
Коммерческая тайна помогает предприятиям снизить риск корпоративного захвата, повысить товарооборот своей продукции на рынке, а также организовать защиту нематериальных ценностей. И для того, чтобы важные сведения не вышли за пределы компании, стоит заключить с сотрудниками положение о коммерческой тайне.
Для начала нужно определиться с понятием.
Понятие коммерческой тайны
Ценные сведения про ваш успех на рынке нужно оберегать, и это следует делать правильно. Коммерческая тайна — это секретная информация, которая может способствовать увеличению прибыли, уменьшению расходов и получению преимуществ на рынке.
Такие данные представляют большую ценность для третьих лиц, так как разглашение секретных сведений может дать преимущество и коммерческую выгоду другим компаниям.
Но на защиту конфиденциальной информации могут рассчитывать только зарегистрированные предприниматели. К ним относят:
Секретные сведения имеют ряд признаков:
Методы определения коммерческой тайны
Чтобы правильно определить, что же относится к коммерческой информации, специалисты выделяют несколько методов.
Аналитический — используя этот метод, руководство компании ставит себя на место конкурентов, и анализирует, какая информация была бы им полезной.
Тотальный — в этом случае компания помещает под гриф коммерческой тайны всю информацию, кроме той, что не может быть засекречена. Однако такой способ наименее эффективен, так как усложняет работу сотрудников фирмы.
Плагиаторский — при таком способе фирме нужно узнать у контрагентов и конкурентов, какую информацию они считают конфиденциальной. И после этого сокрыть эти данные в своей организации. Метод также малоэффективен, так как каждая компания уникальна и не существует универсальных положений для всех предприятий.
Экспертный — способ основан на приглашении независимых экспертов, которые дадут оценку имеющейся информации. Метод считается наиболее эффективным, но дорогостоящим.
Что относят к КТ
Коммерческая тайна — это сведения следующего характера:
Научно-технического. — все материалы про патенты, ноу-хау, производственные характеристики организации. Также сюда входит информация о структуре кадров, технические достижения и тип размещенного на производстве оборудования;
Управленческого — информация о методах управлении компанией;
Личные сведения про владельцев фирмы;
Ценовая и финансовая информация;
Плановые документы — в эту категорию входят планы по развитию предприятия, запасы, продажи и покупки, а также перечень готовой продукции;
А так же под это определение попадают такие сведения как: материалы по клиентам, партнерам и сведения о переговорах, которые были проведены либо которые организация планирует совершить в будущем.
Персональные данные, в которые входит также и информация о доходе сотрудников компании, не могут быть разглашены без личного соглашения человека. Такое правило действует согласно статье 3 ФЗ 152.
Что не включает в себя КТ
Все, что не входит в понятие коммерческой тайны, указано в статье 5 Закона «О коммерческой тайне» Российской Федерации. Согласно законодательству, к конфиденциальной информации не могут причислять следующие материалы:
Какие виды бывают
Коммерческая тайна делится на два подвида:
По видам носителей — конфиденциальная информация устанавливается в отношении:
По содержанию — информация, которая относится к коммерческой тайне, может иметь следующее содержание:
Как следует вводить КТ на предприятии
Для того чтобы ввести в вашей организации режим коммерческой тайны, вам, как руководителю, необходимо утвердить специальное положение о КТ. Благодаря этому документу будет понятно, какой перечень материалов будет входить в конфиденциальную информацию, а также утвердится список лиц, допущенных к секретным данным.
Следующим пунктом станет уведомление сотрудников о нововведении. Они должны быть проинформированы об ответственности за разглашение тайной информации, а также работников следует ознакомить со всем списком материалов, которые охватывается режимом КТ.
В договоры — трудовые и гражданские — необходимо будет внести соответствующие изменения. А список сведений, который охватывает конфиденциальные данные, обязан быть на любых носителях информации со специальным грифом «Коммерческая тайна». К грифу должны прилагаться реквизиты обладателя: полные имена, фамилии и отчества граждан, которые утвердили режим КТ, их местонахождение и название юридического лица.
Последним действием станет прием мер предосторожности, которые помогут предотвратить несанкционированный допуск к материалам, включенным в КТ.
Документы для введения КТ
Для того чтобы активизировать режим коммерческой тайны, нужно оформить способствующую этому документацию. Перечень документов для введения КТ следующий:
Крупные компании могут создать отдел, который будет заниматься информационной безопасностью организации. Такой метод поможет избежать утечки материалов, а это положительно скажется на работе сотрудников и прибыли предприятия.