К конфиденциальной информации относят данные, которые хранятся на цифровых носителях либо в формате бумажной документации, и доступны для передачи кругу лиц, определенному заранее. Утечка или разглашение сведений конфиденциального характера – это не только удар по бизнесу, но и настоящее правонарушение. Чтобы избежать негативных последствий, стоит задуматься об обеспечении защитных мер.
Актуализировано: август 2026 – учтены новая ответственность за утечки и статус проекта нового приказа ФСТЭК.
Категории информации по степени конфиденциальности
В любой деятельности используются большие объемы разнообразной информации. Одни сведения вполне безобидны, и их без опасений можно размещать в открытом доступе.
Другие данные организация ценит особенно высоко, потому что их утечка угрожает безопасности компании — экономической, информационной или иной. Защита конфиденциальной информации от несанкционированного доступа становится актуальной проблемой для любого предприятия.
Существует три степени секретности или конфиденциальности:
1. I категория – «Открытая». Это несекретные данные. Их можно распространять и использовать как внутри компании, так и вне ее. Для этой категории ограничений доступа не предусматривают, и ознакомиться с данными может любой желающий — без ущерба организации.
2. II категория – «Служебная» или «Для служебного пользования» (ДСП). Исключительно для внутреннего пользования. Различают два подвида ДСП:
2.1. доступная всем сотрудникам компании
2.3. доступная части сотрудников компании (обычно это определенные категории специалистов или обозначенные структурные подразделения). Эти данные разрешено передавать (частично или полностью) другим сотрудникам организации, если это необходимо им для выполнения должностных обязанностей. Эта категория входит в число конфиденциальных.
3. III категория – «Служебная ограниченного доступа». Конфиденциальная. Доступна только определенным категориям уполномоченных сотрудников. Передавать ее кому бы то ни было (даже неуполномоченным сотрудникам той же компании) нельзя.
Доступ к данным II и III категории должен ограничиваться.
Ключевой пример данных с ограничением доступа – это разные типы тайны:
- коммерческая – любые данные, являются ценными с коммерческой точки зрения, при условии, что они недоступны неуполномоченным лицам. При этом ценность может быть как действительной (то есть «здесь и сейчас), так и потенциальной (компания полагает, что информация принесет финансовую выгоду когда-нибудь в будущем);
-
банковская, нотариальная, адвокатская и другие (в том числе тайна переписки).
Также конфиденциальными считаются клиентские данные и перечни, стратегические решения, структура определения цены продукта, тех.карты, используемые при производстве, уникальные разработки, ПО, информация о результатах контроля качества.
Ориентир для классификации даёт Указ Президента РФ от 06.03.1997 № 188 (ред. от 13.07.2015): перечень сведений конфиденциального характера включает персональные данные, тайну следствия и судопроизводства, служебную тайну, профессиональные тайны (врачебную, нотариальную, адвокатскую, тайну переписки), коммерческую тайну и сведения о сущности изобретения до официальной публикации. На практике этот перечень удобно брать за основу при инвентаризации: если сведения компании попадают хотя бы в одну категорию – для них нужен свой режим защиты и свои организационные меры, включая ответственность сотрудников за разглашение конфиденциальной информации.
Классификация по видам тайны: что относит к конфиденциальному Указ № 188
Перечень сведений конфиденциального характера утверждён Указом Президента РФ от 06.03.1997 № 188 (в редакции указов от 23.09.2005 № 1111 и от 13.07.2015 № 357) и содержит семь пунктов. Ниже — состав перечня с основаниями, которые называет сам Указ.
| № | Вид сведений | Основание по тексту Указа |
|---|
| 1 | Персональные данные — сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность. Исключение — сведения, подлежащие распространению в СМИ в установленных законом случаях | федеральные законы (профильный — 152-ФЗ) |
| 2 | Тайна следствия и судопроизводства, а также сведения о лицах, к которым применены меры государственной защиты, и о самих мерах | 45-ФЗ от 20.04.1995, 119-ФЗ от 20.08.2004 (п. 2 в ред. Указа № 357) |
| 3 | Служебная тайна — служебные сведения, доступ к которым ограничен органами государственной власти | Гражданский кодекс РФ и федеральные законы |
| 4 | Профессиональная тайна — врачебная, нотариальная, адвокатская, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений | Конституция РФ и федеральные законы |
| 5 | Коммерческая тайна — сведения, связанные с коммерческой деятельностью, доступ к которым ограничен | Гражданский кодекс РФ и федеральные законы (профильный — 98-ФЗ) |
| 6 | Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них | сам Указ № 188 |
| 7 | Сведения из личных дел осуждённых, а также о принудительном исполнении судебных актов и актов других органов — кроме общедоступных | 229-ФЗ «Об исполнительном производстве» (п. 7 введён Указом № 357) |
Практический смысл: режим защиты выстраивается не «для всей информации сразу», а по видам. Для персональных данных это требования 152-ФЗ, для коммерческой тайны — режим по 98-ФЗ с перечнем сведений и грифом, для служебной — внутренние правила доступа. Инвентаризация начинается с вопроса, в какой из семи пунктов попадают конкретные сведения компании.
Особенности защиты
Законодательством РФ предусмотрено несколько типов ответственности за нарушение конфиденциальности данных (несанкционированный доступ):
- дисциплинарная – пп. «в» п.6 ч.1 Ст.81 ТК РФ;
-
гражданско-правовая – №98-ФЗ от 29.07.2004 г.;
-
административная – ст.13.14 КоАП РФ;
-
уголовная – ст.137, 138, 155, 183, 283, 310 УК РФ.
Ответственность предусмотрена как для лиц, которые распространяют сведения, так и для тех, кто противоправно получил к ней доступ.
Способы, средства и методы защиты конфиденциальной информации компания выбирает самостоятельно. Если речь идет о конфиденциальных сведениях в государственных ИС, то требования к режиму защиты устанавливаются на законодательном уровне.
Меры по защите конфиденциальной информации
Первый шаг на пути обеспечения безопасности конфиденциальных сведений – формирование перечня информации, которую компания относит к этой категории.
Также потребуется установить порядок использования конфиденциальных данных и порядок их защиты.
Компания может использовать несколько уровней защиты информации, которую относят к конфиденциальной:
Технический уровень защиты
Включает в себя следующие подуровни:
- криптографический;
-
программно-аппаратный;
-
инженерно-технический.
Основные меры защиты этой категории определяет ГОСТ Р 50922-2006, например, защита конфиденциальной информации от:
- утечки;
-
несанкционированного доступа;
-
непреднамеренного воздействия;
-
преднамеренного воздействия;
-
разглашения.
Организационный уровень защиты
Определяет содержание системы защиты, а также побуждает сотрудников соблюдать меры по обеспечению безопасности конфиденциальных данных. В рамках этой категории предусмотрена реализация мероприятий:
- технологических;
-
ограничительных;
-
управленческих.
В рамках этого уровня защиты в соответствии с №98-ФЗ от руководителя Организации требуется:
- определить круг лиц, которым необходим доступ к конфиденциальным данным, оформить с ними соответствующие взаимоотношения;
-
определить состав конфиденциальной информации;
-
организовать систему делопроизводства и создать условия работы, позволяющие сотрудникам соблюдать установленный режим конфиденциальности;
-
обеспечить нанесение грифа «Коммерческая тайна» на материальные носители, содержащие соответствующие данные.
Тщательно проработанные мероприятия организационного характера позволяют существенно снизить риск утечки из-за человеческого фактора.
Правовой уровень защиты
Базируется на правовых нормах и включает в себя юридическое оформление отношений между государством и компанией в части правомерности использования средств защиты информации (СрЗИ).
Информация — один из наиболее ценных ресурсов современного бизнеса. Обеспечение безопасности конфиденциальных сведений требует комплексного подхода. Система защиты должна включать в себя меры разных направлений, не менее создание взаимосвязи между всеми ее уровнями и элементами.
Обеспечить защиту конфиденциальной информации предприятия в соответствии с требованиями 152-ФЗ — услуга КРЕДО-С.
Защита конфиденциальной информации не заканчивается внедрением СЗИ — утечки выявляет постоянный мониторинг. Разбор: что такое SOC-центр и как он защищает данные компании.
Смежная тема: организационная защита персональных данных в компании.
Что оператору поменять в 2026 году
Требования за последние два года заметно ужесточились, и старые положения о конфиденциальности этого часто не отражают. Три изменения, которые стоит внести в документы и процессы уже сейчас.
Пересмотреть оценку рисков: ответственность за утечки выросла на порядок
С вступлением в силу поправок 420-ФЗ ответственность за неправомерную передачу персональных данных считается от масштаба инцидента: для юридических лиц разовая утечка обходится в 3–15 млн рублей в зависимости от числа пострадавших субъектов, а повторная – уже в 1–3% годовой выручки, но не менее 20 млн рублей (ч. 12–15 ст. 13.11 КоАП РФ). Если раньше бюджет на защиту конфиденциальной информации сравнивали со штрафом в десятки тысяч, теперь сравнение идёт с суммами, способными остановить бизнес. Подробный разбор составов и сумм – в статье об ответственности за нарушение 152-ФЗ.
Следить за сменой требований к мерам защиты
ФСТЭК России вынесла на общественное обсуждение проект приказа, который должен заменить действующий приказ № 21 по защите персональных данных: на смену фиксированному перечню мер приходит гибкая модель с оценкой зрелости процессов. Организационных мер это касается напрямую: выбрать меры из таблицы теперь мало, регулятор захочет увидеть, что процессы реально выполняются и повторяемы. Что именно меняется, мы разобрали в обзоре проекта приказа ФСТЭК.
Развести конфиденциальность и коммерческую тайну
Типовая ошибка при вводе режима: положение о конфиденциальности пытается заменить режим коммерческой тайны. Это разные инструменты. Режим коммерческой тайны вводится по 98-ФЗ и требует своего набора действий – перечня сведений, порядка обращения с ними, грифа, учёта допущенных лиц, договорных условий. Без этих шагов суд не признает информацию коммерческой тайной, какой бы «конфиденциальной» она ни называлась во внутренних документах. Если сведения дают коммерческую выгоду именно в силу неизвестности третьим лицам – вводите режим КТ отдельным пакетом документов, а положение о конфиденциальности оставьте для остальных категорий.
