Конфиденциальность данных

Конфиденциальность данных — это принцип, согласно которому доступ к информации (данным) предоставляется только уполномоченным на то субъектам (лицам, системам, организациям), а несанкционированное раскрытие, передача или использование этой информации предотвращается. В более широком смысле конфиденциальность данных является одним из трёх базовых свойств информационной безопасности (наряду с целостностью и доступностью) и ключевым аспектом защиты персональных данных, коммерческой тайны, государственной тайны и иных видов охраняемой законом информации.

Основные понятия и определения

Конфиденциальность данных не следует путать с анонимностью или приватностью. Приватность (частная жизнь) — это более широкое социальное и правовое понятие, включающее право человека на личную жизнь и контроль над своей информацией. Конфиденциальность же — это конкретный механизм, обеспечивающий соблюдение этого права через технические и организационные меры.

В законодательстве Российской Федерации понятие конфиденциальности данных закреплено в Федеральном законе «Об информации, информационных технологиях и о защите информации» (№ 149-ФЗ). Согласно закону, конфиденциальность информации — это обязательное для выполнения лицом, получившим доступ к определённой информации, требование не передавать такую информацию третьим лицам без согласия её обладателя.

Виды конфиденциальной информации

В зависимости от правового режима и последствий разглашения, конфиденциальные данные делятся на несколько категорий:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). В РФ регулируются Федеральным законом № 152-ФЗ «О персональных данных». К ним относятся: ФИО, адрес, паспортные данные, биометрические данные, сведения о состоянии здоровья, религиозных или политических убеждениях.
• Коммерческая тайна — информация, имеющая действительную или потенциальную коммерческую ценность в силу неизвестности её третьим лицам, к которой нет свободного доступа на законном основании и обладатель которой принимает меры по охране её конфиденциальности (Федеральный закон № 98-ФЗ «О коммерческой тайне»). Примеры: формулы, технологии, клиентские базы, финансовые отчёты.
• Государственная тайна — защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации (Закон РФ № 5485-1 «О государственной тайне»).
• Профессиональная тайна — информация, доверенная лицу при исполнении им профессиональных обязанностей и защищаемая законом (врачебная, адвокатская, нотариальная, банковская тайна и др.).
• Служебная тайна — служебные сведения, доступ к которым ограничен органами государственной власти.

Угрозы конфиденциальности данных

Угрозы, направленные на нарушение конфиденциальности, делятся на три основные группы:

1. Технические (аппаратные и программные):

• Перехват данных (сниффинг) при передаче по незащищённым каналам связи (Wi-Fi, Ethernet).
• Вредоносное программное обеспечение (шпионское ПО, трояны, кейлоггеры), направленное на кражу данных.
• Атаки на веб-приложения (SQL-инъекции, XSS-скрипты).
• Уязвимости в операционных системах и программном обеспечении (zero-day).
• Сторонние закладки и «жучки» в оборудовании.

1. Организационные и человеческие:

• Социальная инженерия (фишинг, претекстинг, вишинг) — методы психологического манипулирования для получения доступа к данным.
• Внутренние угрозы (инсайдеры) — утечка информации сотрудниками, как умышленная (продажа данных), так и неумышленная (потеря носителя, отправка письма не по адресу).
• Несоблюдение политик безопасности (использование слабых паролей, отсутствие шифрования на мобильных устройствах).

1. Физические:

• Кража или утеря носителей информации (ноутбуков, флешек, жёстких дисков).
• Несанкционированный доступ в помещения (серверные, архивы).
• Шредер-атаки (восстановление данных из уничтоженных бумажных документов или магнитных носителей).

Методы и средства обеспечения конфиденциальности

Для защиты данных от несанкционированного доступа применяется комплекс мер, который принято делить на правовые, организационные и технические.

Криптографическая защита (шифрование)

Основной технический метод обеспечения конфиденциальности. Шифрование преобразует данные в нечитаемый формат (шифротекст), который может быть расшифрован только при наличии ключа. Различают:

• Симметричное шифрование (AES, ГОСТ 28147-89) — один ключ для шифрования и расшифровки. Используется для защиты данных на дисках (BitLocker, VeraCrypt) и в базах данных.
• Асимметричное шифрование (RSA, ECC) — пара ключей: открытый (для шифрования) и закрытый (для расшифровки). Используется в протоколах TLS/SSL (HTTPS), электронной подписи и шифровании электронной почты (PGP).

Управление доступом

Система правил, определяющая, кто и какие действия может выполнять с данными. Включает:

• Идентификация и аутентификация — проверка подлинности пользователя (пароль, биометрия, токен, сертификат).
• Авторизация — предоставление прав на чтение, запись, изменение или удаление данных.
• Мандатное и дискреционное управление доступом — модели, разграничивающие права на основе меток безопасности или списков контроля доступа (ACL).

Сетевая защита

• Межсетевые экраны (фаерволы) — фильтрация входящего и исходящего трафика.
• Виртуальные частные сети (VPN) — создание зашифрованного туннеля между устройствами через открытые сети (Интернет).
• Системы обнаружения и предотвращения вторжений (IDS/IPS) — мониторинг сети на предмет подозрительной активности.

Организационные меры

• Политики безопасности — внутренние документы, регламентирующие порядок работы с конфиденциальными данными.
• Обучение персонала — повышение осведомлённости о методах социальной инженерии и правилах безопасного обращения с данными.
• Классификация данных — присвоение информации грифов секретности или уровней конфиденциальности.
• Аудит и мониторинг — регистрация всех событий доступа к данным и анализ журналов (логов).

Правовое регулирование в России

В Российской Федерации действует многоуровневая система нормативных актов, регулирующих конфиденциальность данных:

• Конституция РФ (ст. 23, 24) — гарантирует право на неприкосновенность частной жизни, личную и семейную тайну, а также запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия.
• Федеральный закон № 152-ФЗ «О персональных данных» — устанавливает принципы обработки персональных данных, права субъектов, обязанности операторов, требования к трансграничной передаче данных. Согласно закону, оператор обязан получить согласие субъекта на обработку его данных, а также обеспечить их конфиденциальность.
• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» — определяет общие принципы правового регулирования отношений в сфере информации, включая конфиденциальность.
• Требования к защите персональных данных (Постановление Правительства № 1119, Приказ ФСТЭК № 21) — устанавливают уровни защищённости персональных данных и требования к системам защиты информации в зависимости от типа обрабатываемых данных и количества субъектов.
• Уголовный кодекс РФ (ст. 137, 138, 272, 283) — устанавливает уголовную ответственность за нарушение неприкосновенности частной жизни, тайны переписки, неправомерный доступ к компьютерной информации и разглашение государственной тайны.

Критика и проблемы

Конфиденциальность данных сталкивается с рядом вызовов и критических замечаний:

• Конфликт с безопасностью и правоприменением. Спецслужбы и правоохранительные органы многих стран, включая Россию, требуют от компаний предоставления «чёрных ходов» (backdoors) в шифрование или возможности доступа к данным пользователей. Это порождает дискуссию о балансе между правом на приватность и необходимостью борьбы с преступностью и терроризмом. В России действует «закон Яровой» (Федеральный закон № 374-ФЗ), обязывающий операторов связи и интернет-компании хранить и предоставлять по запросу данные о фактах передачи информации и содержимое переписки.
• Парадокс конфиденциальности. Пользователи часто декларируют высокую ценность конфиденциальности, но на практике легко жертвуют ей ради удобства (бесплатные сервисы, социальные сети) или небольшой выгоды (скидочные карты, программы лояльности).
• Техническая сложность. Обеспечение конфиденциальности в современных распределённых системах (облака, Интернет вещей, большие данные) требует высокой квалификации специалистов и значительных ресурсов. Ошибки в конфигурации или уязвимости могут свести на нет все меры защиты.
• Экономическая стоимость. Внедрение систем защиты, шифрования, аудита и обучение персонала требует существенных финансовых затрат, что особенно критично для малого и среднего бизнеса.

Интересные факты

• Первым в истории законом, прямо устанавливающим право на конфиденциальность корреспонденции, считается британский «Закон о почтовой службе» 1710 года, запрещавший почтовым служащим вскрывать письма.
• Термин «конфиденциальность» (privacy) как отдельное правовое понятие был впервые сформулирован в 1890 году в статье американских юристов Сэмюэла Уоррена и Луиса Брандейса «Право на частную жизнь».
• В 2018 году вступил в силу Общий регламент по защите данных (GDPR) Европейского союза, который считается одним из самых строгих законов о конфиденциальности данных в мире. Он ввёл понятие «право на забвение» и обязал компании уведомлять о утечках данных в течение 72 часов.
• В России в 2023 году вступили в силу поправки к закону «О персональных данных», ужесточающие требования к трансграничной передаче данных и вводящие оборотные штрафы за утечки.

Источники

• Конституция Российской Федерации.
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
• Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне».
• Закон РФ от 21.07.1993 № 5485-1 «О государственной тайне».
• Федеральный закон от 06.07.2016 № 374-ФЗ «О внесении изменений в Федеральный закон «О противодействии терроризму» и отдельные законодательные акты Российской Федерации» (закон Яровой).
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
• Уголовный кодекс Российской Федерации.