Информационная безопасность ОПК: какие данные нужно защитить и что менять в законе
Автор: Петухов Олег Анатольевич, юрист, руководитель юридической компании ЛЕГАС
Сайт: legascom.ru
E-mail: petukhov@legascom.ru
Информационная безопасность организаций оборонно‑промышленного комплекса (ОПК) напрямую связана с национальной безопасностью России. При этом текущее законодательство не закрывает ключевые риски: критически важные сведения об организациях ОПК остаются в открытом доступе, и получить их может практически любой пользователь интернета.
Какие сведения об ОПК сейчас общедоступны
В открытых источниках (прежде всего в ЕГРЮЛ и сервисах вроде «Прозрачный бизнес», «Спарк», «Контур.Фокус») свободно размещаются данные, которые в случае ОПК несут повышенную угрозу:
полное наименование и организационно‑правовая форма;
адрес юридического лица (часто он совпадает с местом реального производства);
сведения об учредителях и правопреемстве;
лицензии, филиалы и представительства;
основной вид экономической деятельности (вплоть до формулировок вроде «производство оружия и боеприпасов»);
данные о руководителях и ответственных лицах;
численность работников, структура подразделений, расположение складов и т. п.
Эти сведения собираются и агрегируются коммерческими сервисами из публичных государственных баз (ФНС, Росреестр, ФССП и др.), а значит, их доступность многократно усиливается.
Почему этого недостаточно с точки зрения безопасности
По С. Э. Мерзлякову, информационная безопасность строится на трёх принципах: доступность, целостность и конфиденциальность. Для ОПК приоритет должен быть у конфиденциальности: публичность отдельных сведений способна облегчить сбор разведданных недружественными субъектами и повысить риски для производственной и технологической устойчивости предприятий.
При этом действующее регулирование почти не ограничивает распространение таких данных:
По ст. 5 и ч. 1 ст. 6 ФЗ № 129‑ФЗ сведения в ЕГРЮЛ по умолчанию открыты.
Постановление Правительства № 1625 предусматривает ограниченный перечень случаев, когда доступ к данным можно закрыть, - но адреса, наименования и виды деятельности ОПК туда не входят.
Образовательные подразделения научных организаций ОПК дополнительно раскрывают сведения о структуре, кадрах и материально‑технической базе по ст. 29 ФЗ № 273‑ФЗ (если информация не отнесена к государственной тайне).
Картографические данные - отдельный риск
Ещё один канал утечки пространственной информации - международные картографические сервисы (Google Maps, Google Earth). Они глобальны и неподконтрольны российским органам власти.
Российское регулирование в сфере картографии (ФЗ № 431‑ФЗ) ориентировано на создание и использование государственных фондов пространственных данных и национальной системы пространственных данных. Доступ к этим данным предоставляется за плату и по установленным правилам, а сведения, составляющие государственную тайну, из публичного оборота исключены. Однако это не решает проблему открытости коммерческих картографических платформ, где визуализация объектов ОПК остаётся доступной.
Что именно стоит ограничить
Автор считает необходимым чётко определить перечень сведений об организациях ОПК, распространение которых должно быть ограничено. К наиболее чувствительным относятся:
точные координаты и адреса производственных площадок и складов;
данные об ответственных за выпуск продукции военного назначения;
номенклатура и объёмы выпускаемой продукции;
структура подразделений, участвующих в производстве вооружения и специальной техники;
иная информация, позволяющая идентифицировать и локализовать критическую инфраструктуру ОПК.
Предлагаемые правовые решения
Для системного устранения уязвимостей требуется корректировка законодательства:
Ввести императивные ограничения на публичное распространение отдельных категорий сведений об ОПК - в первую очередь пространственных и организационных данных, значимых для безопасности.
Закрепить механизм удаления или ограничения доступа к таким сведениям: по инициативе контрольно‑надзорных органов либо самой организации, с чёткими критериями и сроками.
Согласовать режимы раскрытия информации между разными отраслями регулирования (регистрация юрлиц, образование, картография, защита гостайны), чтобы исключить «дыры», когда один нормативный акт обязывает раскрывать данные, а другой - должен их защищать.
Усилить разграничение между общедоступной информацией и данными, значимыми для безопасности ОПК, в том числе в части картографических и пространственных сведений.
Вывод: баланс открытости и безопасности
Сейчас открытость данных об организациях ОПК избыточна и не соответствует уровню современных угроз. Для эффективной защиты критической инфраструктуры и производственных цепочек необходимо законодательно сузить круг сведений, доступных неопределённому кругу лиц, и создать прозрачные процедуры ограничения доступа к чувствительной информации. Это позволит сохранить необходимый уровень прозрачности там, где она оправдана, и надёжно защитить данные, от которых зависит устойчивость и безопасность оборонно‑промышленного комплекса.