Куда я попал?
Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.
Подробнее
 

Описание угрозы

Законодательство о коммерческой тайне определено в Федеральном законе "О коммерческой тайне" от 29.07.2004 N 98-ФЗ

Описание уязвимости

Отсутствие юридически оформленных договоренностей между сторонами в части обеспечения конфиденциальности информации, обработки информации, соблюдения требований законодательства в отношении информации и т.п. Например, в отношении коммерческой тайны или персональных данных.

Описание типа актива

Физические лица, трудоустроенные в компанию по трудовому договору или договору о дистанционной работе. Примечание: лиц, осуществляющих взаимодействие с компанией по договору подряда, следует относить к категории подрядчиков.
Ключевая угроза ? Высокоуровневая, бизнес угроза, возможный ущерб конкретен и понятен руководству и бизнес-подразделениям
Объекты атаки Коммерческая тайна
Классификация
КЦД: Конфиденциальность ? Конфиденциальность / confidentiality
Cвойство информации быть недоступной или закрытой для неавторизованных лиц, сущностей или процессов.
STRIDE: Раскрытие информации ? Раскрытие информации / Information disclosure
Раскрытие сведений лицам которые к этой информации не должны иметь доступа. Защищаемое свойство – конфиденциальность.
Иное: Право ? Правовые, юридические угрозы / Legal threats
Угроза которая возникает из-за нарушения или несоблюдения требований законов, нормативно-правовых актов, соглашений, принятой практики или этических норм, а также из-за возможности двусмысленного толкования установленных законов или правил.
Источники угрозы
Внешний нарушитель - Низкий потенциал ? Внешний нарушитель
Находящийся вне информационной системы на момент начала реализации угрозы.
Для реализации угроз в информационной системе внешний нарушитель должен тем или иным способом получить доступ к процессам, проходящим в информационной системе.
Внутрений нарушитель - Низкий потенциал ? Внутрений нарушитель
Под внутренним нарушителем понимают нарушителя, находящегося внутри информационной системы на момент начала реализации угрозы.
К внутренним нарушителям относят инсайдеров, не смотря на то, что они могут выполнять инструкции лиц, находящихся вне информационной системы.

Каталоги угроз

Связанные защитные меры

Название Дата Влияние
Community
4 2
Подписание работниками обязательств о конфиденциальности
Разово Вручную Организационная Удерживающая
12.10.2021
12.10.2021 4 2
Обязательство о конфиденциальности - минималистичный (в идеале одностраничный) документ который подписывает работник.
Документ формулируется от первого лица: я обязуюсь..., я уведомлен..., я согласен....
Обязательство следует делать универсальным документом, закрывающим различные требования по безопасности: коммерческая тайна, персональные данные, легитимизация систем защиты и мониторинга, материальная ответственность и т.д.
Пример Обязательства о конфиденциальности приведен в заметке к защитной мере.
Утверждение:
  • Как самостоятельный документ, отдельным приказом
  • Как часть другого документа, например, Положения о коммерческой тайне
Распространение:
  • Первичный сбор обязательств осуществляется руководителями подразделений, канцелярией, службой документооборота;
  • Подписание обязательств новыми работниками осуществляется службой персонала в процессе оформления трудоустройства. 
Контроль:
  • Контроль наличия обязательств осуществляется службой информационной безопасности в рамках внутреннего аудита подразделений.