Организация конфиденциального делопроизводства: базис и «тонкие настройки»

Основные определения

Основные понятия, отражающие современную практику конфиденциального делопроизводства, нашли свое закрепление в словаре «Управление документами. Термины и определения» (М., ВНИИДАД, 2013). При построении системы работы с информацией и документами, относящимися к категории ограниченного доступа, в любой организации возможно использование данных «универсальных» определений, дающих общую характеристику и закрепляющих характерные предметные ­особенности делопроизводства, называемого конфиденциальным:

• служебная тайна – конфиденциальная информация, создаваемая или получаемая органом власти, организацией в процессе управленческой деятельности;
• конфиденциальная информация – информация, ограничения на доступ к которой устанавливаются ее обладателем в соответствии с законодательством Российской Федерации;
• конфиденциальное делопроизводство (защищенное делопроизводство) – делопроизводство, обеспечивающее защиту документов, содержащих конфиденциальную информацию, от ­несанкционированного доступа на всех стадиях их жизненного цикла.

Особенности организации конфиденциального делопроизводства

Конфиденциальное делопроизводство – это деятельность, обеспечивающая документирование конфиденциальной информации, обработку, использование, оперативное хранение и уничтожение конфиденциальных документов и защиту содержащихся в них сведений.

Конфиденциальное делопроизводство строится с учетом следующих системных принципов:

• централизация – обязательная централизованная регламентация, управление документами и операциями по их обработке (в традиционном бумажном виде и в информационных системах);
• практическая целесообразность;
• экономическая эффективность (технические мероприятия по ограничению доступа к конфиденциальной информации, как правило, являются более затратными, чем организационные);
• разрешительный характер доступа;
• добровольность – согласие обладателя информации, ее носителя, субъекта персональных данных на предоставление прав доступа к конфиденциальной / защищаемой информации.

Конфиденциальное делопроизводство, так же как и обработка персональных данных, отличаются конкретными особенностями в организации и технологии. К ним относятся:

• обязательная и строгая нормативная регламентация, причем локальные нормативные акты организации утверждаются, вводятся в действие и изменяются распорядительными документами, подписанными первым руководителем организации (единоличным исполнительным органом, отвечающим за организацию системы управления);
• обособленная организация на специально выделенном отдельном участке (в службе безопасности или на отдельном участке в службе делопроизводства) и в специальной информационной системе (одной или нескольких);
• учет информации и сведений, содержащихся в документах и учет материальных носителей этих документов;
• строгое соблюдение правил документирования, оформления реквизитов (особенно идентификационных реквизитов и ограничительных грифов), правил сбора и обработки персональных данных;
• фиксация каждого этапа документирования и каждого этапа движения документа;
• оперативное управление правами доступа в созданной организационной системе управления правами доступа и в применяемых информационных системах;
• обязательное документирование разрешительной системы доступа;
• идентификация пользователей в соответствии с правами доступа;
• контроль и проверки на всех этапах работы с документами;
• персональная ответственность должностных лиц организации и руководителей структурных подразделений за организацию работы с информацией ограниченного доступа, конфиденциальными ­документами и персональными данными;
• все оперативные указания по изменению и особенностям применения утвержденных локальных нормативных актов организации по вопросам конфиденциального делопроизводства даются исключительно первым руководителем (единоличным исполнительным органом), а не его заместителями. То есть полномочия по организации и порядку применения правил конфиденциального делопроизводства не делегируются. Заместители руководителя имеют право ограничивать или разрешать доступ к конфиденциальным документам, но только в ­рамках ­утвержденных первым руководителем регламентных документов.

С целью установления режима ограничения доступа к конфиденциальной / защищаемой информации в любой организации должны быть проведены следующие мероприятия:

• разработка перечня конфиденциальной информации, защиту которой осуществляет организация как владелец информации этой категории;
• введение ограничения доступа к этой информации: в локальных нормативных актах устанавливается порядок обращения с этой информацией, и специально создаваемое структурное подразделение (служба безопасности), а также должностные лица и руководители ­структурных подразделений контролируют его соблюдение;
• учет лиц, получивших доступ к конфиденциальной информации (ведение соответствующих списков руководителей, сотрудников, ролей пользователей информационных систем, руководителей и ­сотрудников организаций-контрагентов и т.п.);
• регулирование использования конфиденциальной информации (с работниками организации и с контрагентами на основании договоров и дополнительных соглашений);
• нанесение на документы грифов ограничения доступа / грифов конфиденциальности.

Виды тайн

«Лучшие практики» организаций показывают, что создавать централизованную систему конфиденциального делопроизводства необходимо с учетом видов тайн (т.е. категорий ограничения доступа), ­установленных действующим законодательством.

Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» предусмотрено установление для определенной информации ограничений на ее предоставление или распространение и введено понятие...