Реалізація форм прояву вразливості документованої інформації приводить або може привести до двох видів вразливості – втраті або витоку інформації.
До втрати документованої інформації приводять розкрадання і втрата носіїв інформації, несанкціоноване знищення носіїв інформації або тільки відображеної в них інформації, перекручування і блокування інформації. Втрата може бути повною або частковою, безповоротною або тимчасовою (при блокуванні інформації), але у будь-якому випадку вона завдає шкоди власнику інформації.
До витоку конфіденційної документованої інформації приводить її розголошення. У літературі і навіть у нормативних документах термін «витік конфіденційної інформації» нерідко заміняється або ототожнюється з термінами: «розголошення конфіденційної інформації», «поширення конфіденційної інформації». Такий підхід не є правомірним. Розголошення або поширення конфіденційної інформації означають несанкціоноване доведення її до споживачів, що не мають права доступу до неї. При цьому таке доведення повинне здійснюватися певною особою; виходити від когось. Витік відбувається при розголошенні (несанкціонованому поширенні) конфіденційної інформації, але не зводиться тільки до нього. Витік може відбутися й у результаті втрати носія конфіденційної документованої інформації, а також розкрадання носія інформації або відображеної в ньому інформації при збереженні носія у його власника. «Може відбутися» не означає, що відбудеться. Загублений носій може потрапити в чужі руки, а може бути і «схоплений» сміттєзбиральною машиною і знищений у встановленому для сміття порядку. В останньому випадку витоку конфіденційної інформації не відбувається. Розкрадання конфіденційної документованої інформації також не завжди пов'язано з отриманням її особами, які не мають до неї доступу. Існує чимало випадків, коли розкрадання носіїв конфіденційної інформації здійснювалося у колег по роботі допущеними до цієї інформації особами з метою «підсидки», заподіяння шкоди колегам. Такі носії, як правило, знищувалися особами, які викрали їх. Але у будь-якому випадку втрата і розкрадання конфіденційної інформації якщо і не приводять до її витоку, то завжди створюють загрозу витоку. Тому можна сказати, що до витоку конфіденційної інформації призводить її розголошення. Складність полягає в тому, що найчастіше неможливо визначити, по-перше, сам факт розголошення або розкрадання конфіденційної інформації при збереженості носія інформації в її власника, по-друге, чи потрапила інформація внаслідок її розкрадання або втрати стороннім особам [7].
Сутність конфіденційного діловодства обумовлює його організаційні і технологічні особливості, до числа основних з яких відносяться:
– письмове нормативне закріплення загальної технології документування, організації роботи з документами і їхнього захисту;
– тверде регламентування складу видаваних документів і з
інформації, що тримається в них, у тому числі на стадії підготовки чернеток
– проектів документів;
– фіксація проходження і місцезнаходження кожного документа;
– проведення систематичних перевірок наявності документів;
– дозвільна система доступу до документів і справ, що забезпечує правомірне і санкціоноване ознайомлення з ними;
– тверді вимоги до умов збереження документів і звертання з ними, що повинні забезпечувати збереженість і конфіденційність документованої інформації;
– регламентація обов'язків осіб, допущених до роботи з конфіденційною документованою інформацією, по її захисту;
– персональна й обов'язкова відповідальність за облік, схоронність документів і порядок звертання з ними.
Особливістю конфіденційного діловодства є і своєрідне переплетення деяких функцій, що на перший погляд як би взаємовиключають одна одну. Зокрема, функціями з реалізації задачі документаційного забезпечення конфіденційної діяльності є створення документів, необхідних і достатніх для такої діяльності, надання кожному користувачу всіх документів, які вимагаються для виконання посадових обов'язків, а відповідним їм функціям з реалізації задач захисту конфіденційної інформації – запобігання необґрунтованого видання і розсилання документів, виключення необґрунтованого ознайомлення з документами [16].
Конфіденційна діяльність повинна забезпечуватися мінімальною кількістю документів при збереженні повноти і вірогідності інформації, відповідно до організації документообігу – надання користувачам усіх необхідних документів.
У попередньому розділі було відзначено, що однією з особливостей конфіденційного діловодства є тверде регламентування складу документів, що видаються. Обумовлено це тим, що документ є потенційно існуючим джерелом витоку інформації, що міститься в ньому, тобто попадання її в руки тих, кому вона не призначена. Тому конфіденційні документи повинні видаватися тільки при дійсній необхідності в письмовому посвідченні наявності і змісту управлінських, виробничих і інших дій. При цьому рішення задач конфіденційної діяльності повинне забезпечуватися мінімальною кількістю документів при збереженні повноти необхідної інформації.
Але встановлення складу конфіденційних документів, що видаються, спрямовано не тільки на запобігання необґрунтованого їхнього видання, але і на виключення надлишкової конфіденційної інформації в них, визначення кількості їхніх примірників, адресатів, яким вони повинні направлятися, тому що не викликане дійсною необхідністю розсилання конфіденційних документів також приводить до витоку інформації. На стадії визначення складу документів, що видаються зважується питання і про додання їм необхідної юридичної чинності шляхом встановлення посадових осіб, які повинні візувати, підписувати і затверджувати той чи інший документ. В остаточному підсумку регламентація складу конфіденційних документів, що видається.
Склад документованої конфіденційної інформації залежить від компетенції і функцій підприємства, характеру його діяльності, взаємозв'язків з іншими підприємствами, порядку вирішення питань.
Перелік відомостей, що складають комерційну таємницю, розробляється для кожного підприємства самим підприємством – власником інформації. Це випливає з діючого законодавства, яким встановлено, що склад і обсяг таких відомостей визначається власником інформації. Таким чином, право підприємця на склад комерційної таємниці є безумовним. Ніхто не може диктувати йому, які відносити до комерційної таємниці, за винятком зведень, що не можуть складати комерційну таємницю відповідно до державних нормативних актів.
Отже, склад відомостей, які відносяться до комерційної таємниці, повинен встановлюватися і змінюватися індивідуально, на рівні їхнього власника. У цьому зв'язку необхідно звернути увагу на наявні в науковій літературі спроби розробки деяких типових переліків відомостей, що складають комерційну таємницю будь-якої комерційної структури незалежно від сфери і специфіки її діяльності. Такі спроби не можуть мати успіх, оскільки склад конфіденційної інформації в комерційній сфері визначається виходячи зі специфіки діяльності даного конкретного підприємства: типу підприємства, характеру його діяльності, технології виготовлення продукції, обсягу і собівартості продукції, складу і кількості постачальників сировини, умов ринку збуту, спрямованості інтересів конкурентів і т.д. Те, що для одних підприємств є комерційною таємницею, для інших може не бути такою і навіть використовуватися в рекламних цілях. У цілому тенденція розвитку комерційної таємниці спрямована на збереження значення виробничої таємниці, пов'язаної з новизною й удосконалюванням технологічних процесів, тобто з елементами творчої діяльності, і на падіння значення таємниці фінансово-торгової, пов'язаної не з елементами новизни, а з елементами індивідуальності і більшим або меншим ступенем винятковості [2].
Правовою підставою для встановлення складу відомостей, які відносяться до комерційної таємниці, є закони, а також визначення поняття «комерційна таємниця», якими передбачено, що відомості, які складають комерційну таємницю, можуть бути в будь-якій сфері підприємницької діяльності, отже, комерційна таємниця може поширюватися на всі напрямки і види діяльності підприємства.
Розробкою переліку відомостей, що складають комерційну таємницю, повинна займатися постійно діюча експертна комісія (ПДЕК).
На першому етапі роботи на основі аналізу задач, функцій, компетенції, напрямків діяльності підприємства необхідно встановити весь склад циркулюючої на підприємстві інформації, відображеної на будь-якому носії, будь-яким способом і у будь-якому вигляді, а також з урахуванням перспектив розвитку підприємства і його взаємин з партнерами визначити характер додаткової інформації, що може виникнути в результаті діяльності підприємства. Ця інформація класифікується за тематичною ознакою.
На другому етапі визначається, яка з встановленої інформації повинна бути конфіденційною і віднесена до комерційної таємниці. Базовим критерієм при цьому є можливість одержання переваг від використання інформації за рахунок невідомості її третім особам. Цей критерій має як би дві складові: невідомість інформації третім особам і отримання переваг в силу цієї невідомості. Дані складові взаємозалежні і взаємообумовлені, оскільки, з одного боку, невідомість інформації третім особам сама по собі нічого не значить, якщо не забезпечує переваг, з іншого боку – переваги можна отримати тільки за рахунок такої невідомості. Конфіденційність є правовою формою й одночасно інструментом забезпечення невідомості інформації.