Театр безопасности: почему компании с «защитой на бумаге» теряют суды и миллионы
5 формальных мер защиты коммерческой тайны, которые не работают в суде. Реальные кейсы компаний, проигравших дела из-за имитации безопасности. Узнайте, что суды считают настоящей защитой информации, а что - театром.
Папка с документами весит килограмм. Положение о коммерческой тайне - 47 страниц мелким шрифтом. NDA подписаны со всеми. На каждом документе красуется гриф «КОММЕРЧЕСКАЯ ТАЙНА». В сейфе лежат журналы учета - аккуратно заполненные, с подписями.
Директор показывает проверяющим: «Видите? У нас все по закону. Режим коммерческой тайны установлен».
Но когда ключевой сотрудник уходит к конкуренту и уносит всю клиентскую базу, оказывается: защиты не было. Вообще. Все эти 47 страниц, подписи и грифы - просто декорации.
Суд смотрит на эту красоту и говорит одно слово: «Имитация».
Потому что суды не интересуют ваши документы. Суды интересует реальность. Они проверяют не то, что написано в положении, а то, что происходило на самом деле. И если выясняется, что все эти меры - формальность, театр, имитация бурной деятельности - в иске отказывают.
Разберем пять типичных способов, которыми компании создают видимость защиты информации вместо реальной защиты. И покажем, как суды отличают одно от другого.
Формальная мера №1: Гриф стоит - но никто не знает, что он значит
Картина из жизни: штамп на всём подряд
Что делает компания:
Закупает красивый штамп «КОММЕРЧЕСКАЯ ТАЙНА» с названием организации. Секретарь получает указание: «Ставь на все исходящие документы. На договоры, письма, счета, служебные записки, вообще на все».
Через месяц в компании каждая бумажка заштампована. Даже заявка на покупку туалетной бумаги и та с грифом.
Директор доволен: «Теперь у нас вся информация защищена. Всё - коммерческая тайна»!
Что происходит при утечке:
Менеджер уходит с клиентской базой. Компания в суд: «Он украл коммерческую тайну! Вот, смотрите - на документе стоит гриф»!
Ответ компании: »Положение есть, но общее. Перечня нет - зачем, если у нас всё засекречено? Обязательство не подписывали - в трудовом договоре есть пункт про конфиденциальность».
Решение суда: Отказ в иске.
Обоснование: Гриф на документе - не магическая защита. Это всего лишь техническая пометка, которая работает только при наличии:
Конкретного перечня информации, составляющей коммерческую тайну
Ознакомления работника с этим перечнем
Обязательства соблюдать режим
Реальных мер защиты
Реальный кейс: расчётные листки без грифа
Ситуация: Работница оспорила размер премии. Принесла в суд расчетные листки коллег для сравнения. Работодатель возмутился: «Это разглашение коммерческой тайны»! Уволил по статье.
Позиция работницы: »На листках не было грифа секретности. Я не знала, что это нельзя. Меня не предупреждали».
Решение суда: Три инстанции восстановили работницу.
Аргумент суда: На расчетных листках не было грифа «Коммерческая тайна». Работника не ознакомили с положением о коммерческой тайне. Без грифа и без ознакомления информация не защищена.
Противоположная крайность: гриф есть, но неправильный
Реальный кейс: Компания ставила на документы гриф «КОНФИДЕНЦИАЛЬНО» вместо «КОММЕРЧЕСКАЯ ТАЙНА».
Когда дело дошло до суда, оказалось: закон требует конкретный гриф - «Коммерческая тайна» с полным наименованием и местом нахождения обладателя информации.
«Конфиденциально» - это не коммерческая тайна. Это просто пометка для внутреннего пользования.
Но суд всё равно поддержал компанию. Почему?
Потому что помимо неправильного грифа компания:
Утвердила положение о коммерческой тайне
Определила перечень тайных сведений
Ограничила доступ к информации
Вела учет лиц с доступом
Ознакомила работника с режимом
То есть гриф был неправильный, но все остальные меры были реальными. И этого оказалось достаточно.
Вывод: когда гриф работает, а когда нет
Гриф НЕ работает: ❌ Когда его ставят на всё подряд без разбора ❌ Когда нет положения о коммерческой тайне и перечня сведений ❌ Когда работников не ознакомили с режимом ❌ Когда нет других мер защиты (учета, контроля, обязательств)
Гриф работает: ✅ Когда есть утвержденный перечень коммерческой тайны ✅ Когда работники знают, что именно является тайной ✅ Когда гриф ставят избирательно - только на секретные документы ✅ Когда есть комплекс других мер защиты
Правильный формат грифа по закону:
КОММЕРЧЕСКАЯ ТАЙНА ООО «Название компании» Адрес: 123456, г. Москва, ул. Примерная, д. 1
Без этих реквизитов гриф формально неправильный (хотя суд может не придраться, если всё остальное в порядке).
Формальная мера №2: Положение есть - но в нем ничего конкретного
Типичное содержание «мертвого» положения
Компании скачивают шаблон из интернета. Получается документ на 30 страниц с общими фразами:
«К коммерческой тайне относится информация, представляющая ценность для общества»
«Работники обязаны соблюдать режим конфиденциальности»
«Разглашение информации влечет ответственность»
«Общество принимает меры по защите информации»
Красиво. Научно. Юридически грамотно. И абсолютно бесполезно.
Что не так с таким положением Проблема 1: Нет конкретного перечня «Информация, представляющая ценность» - это что? Клиентская база? Финансы? Технологии? Вообще всё?
Суд требует конкретики. Какие именно сведения вы считаете коммерческой тайной? Название категории недостаточно - нужно описание.
Проблема 2: Нет правил доступа «Работники обязаны соблюдать режим» - а кто имеет право доступа? Все? Никто? Избранные?
Если доступ не ограничен, если любой работник может посмотреть любую информацию - это не тайна. Это общедоступные сведения внутри компании.
Проблема 3: Нет правил обращения «Разглашение влечет ответственность» - а что считается разглашением? Отправка на личную почту? Устный разговор? Показ документа коллеге?
Если правила не прописаны, работник скажет: «Я не знал, что это нельзя».
Реальный кейс: положение было, защиты не было Компания: Производственное предприятие. У них было шикарное положение о коммерческой тайне - 52 страницы, со ссылками на законы, с разделами про ответственность.
Содержание положения:
Определение коммерческой тайны (из учебника)
Обязанности работников (общие фразы)
Ответственность (выписки из законов)
Порядок работы с документами (теоретические рассуждения)
Чего НЕ было в положении:
Конкретного перечня информации, которая является тайной в этой компании
Списка должностей с указанием, кто к какой информации имеет доступ
Правил, что можно и нельзя делать с информацией
Процедуры действий при подозрении на утечку
Что случилось: Главный технолог уволился и забрал с собой технологическую документацию. Открыл конкурирующее производство.
Действия компании: Подали в суд на взыскание убытков за разглашение коммерческой тайны. Предъявили положение о коммерческой тайне как доказательство установленного режима.
Решение суда: Отказ в иске.
Аргумент: Положение содержит общие декларации, но не устанавливает конкретный режим коммерческой тайны. Не определено, какая именно информация является тайной. Не установлен порядок обращения со сведениями. Наличие документа не доказывает наличие режима.
Как должно выглядеть рабочее положение
Минимальная структура:
1. Перечень информации (конкретный!) НЕ: «Информация о клиентах» ДА: «База данных клиентов компании, содержащая: наименование организации, ИНН, контактные данные лиц, принимающих решения, историю заказов с 2020 года, персональные условия договоров, размер предоставленных скидок».
2. Матрица доступа Категория информации: Клиентская база – Кто имеет доступ: Отдел продаж – Объем доступа: Только свои клиенты – Условия: Только в офисе
Категория информации: Финансы – Кто имеет доступ: Бухгалтерия, гендиректор, финдиректор – Объем доступа: Полный – Условия: В офисе + VPN
Категория информации: Технологии – Кто имеет доступ: Технический отдел – Объем доступа: По должности – Условия: Только в офисе
3. Правила обращения Что ЗАПРЕЩЕНО:
Пересылка на личную почту
Копирование на USB-носители
Фотографирование экрана
Устное разглашение третьим лицам
Печать без необходимости
Что РАЗРЕШЕНО:
Просмотр в рамках должностных обязанностей
Копирование внутри корпоративной сети
Обсуждение с коллегами в служебных целях
4. Порядок действий при утечке
Кто проводит расследование
Какие меры принимаются
Как оформляются результаты
Формальная мера №3: Обязательство подписано - но работник его не читал
Сценарий «подпишите тут, тут и тут»
День выхода на работу: HR-менеджер выдает новому сотруднику стопку документов:
Трудовой договор
Должностная инструкция
Правила внутреннего распорядка
Положение об охране труда
Положение о персональных данных
Соглашение о неразглашении коммерческой тайны
Обязательство о неразглашении
Еще 5 внутренних документов
«Подпишите, пожалуйста, здесь, здесь, здесь и вот тут».
Сотрудник подписывает. Не читает - некогда, 40 страниц мелкого шрифта, а ему еще ноутбук настраивать и в работу входить.
HR подшивает документы в папку. «Отлично, обязательство подписано. Защита обеспечена».
Спустя год: Работник увольняется. Через месяц выясняется - он продает вашу клиентскую базу конкурентам. Вы в суд: «Он подписал обязательство о неразглашении»! Работник: «Мне дали подписать стопку бумаг. Я не понимал, что там написано. Мне не объяснили, что именно является коммерческой тайной. Я не знал, что клиентскую базу нельзя использовать». И знаете что? Суд может встать на его сторону. Реальный кейс: подпись есть, понимания нет Компания: Логистическая фирма. Что сделали: При приеме на работу дали подписать обязательство о неразглашении коммерческой тайны. В обязательстве была общая формулировка: «Обязуюсь не разглашать информацию, полученную в ходе работы».
Что НЕ сделали:
Не провели инструктаж о том, что именно является тайной
Не показали перечень секретных сведений
Не объяснили правила работы с информацией
Что случилось: Менеджер скопировал список клиентов с контактами. Компания его уволила за разглашение коммерческой тайны.
Решение суда: Работника восстановили. Взыскали с компании компенсацию морального вреда и зарплату за время вынужденного прогула.
Аргумент суда: Подпись на обязательстве - это формальность. Важно не то, что работник подписал, а то, что он понял. Компания не доказала, что:
Ознакомила работника с перечнем коммерческой тайны
Объяснила, какая информация секретная, а какая нет
Провела инструктаж о правилах обращения с информацией
Как правильно оформить обязательство, чтобы оно работало
Шаг 1: Подготовка (до подписания)
Разработать:
Положение о коммерческой тайне с конкретным перечнем
Обязательство о неразглашении с отсылкой к положению
Программу инструктажа
Шаг 2: Инструктаж (при приеме на работу)
Провести беседу:
Показать положение о коммерческой тайне
Объяснить, какая информация является секретной
Рассказать правила работы с информацией
Предупредить об ответственности
Ответить на вопросы
Время: минимум 30 минут (не «подпишите быстро»)
Шаг 3: Подписание (после понимания)
Работник подписывает:
Лист ознакомления с положением о коммерческой тайне
Обязательство о неразглашении
Запись в журнале инструктажа
В обязательстве должна быть формулировка: «Я ознакомлен с Положением о коммерческой тайне ООО 'Компания' от ДД.ММ.ГГГГ №__, понимаю, какая информация является коммерческой тайной, обязуюсь соблюдать установленный режим».
Шаг 4: Документирование
Оформить:
Лист ознакомления (хранить в личном деле)
Запись в журнале инструктажа (хранить в отделе безопасности/HR)
Копию обязательства для работника
Шаг 5: Напоминание (периодически)
Раз в год:
Повторный инструктаж
Обновление обязательств (если менялось положение)
Проверка понимания
Что суды считают доказательством «реального ознакомления»
✅ Суд примет:
Подпись на листе ознакомления + запись в журнале инструктажа
Протокол беседы с работником о режиме коммерческой тайны
Тест после обучения с подписью работника
Видеозапись инструктажа (если есть)
❌ Суд НЕ примет:
Только подпись на документе без других доказательств
Общую фразу в трудовом договоре без детализации
Ссылку на то, что «все знали» или «это очевидно»
Формальная мера №4: Журналы ведутся - но задним числом
Театр учета: когда «документы есть, но их не было»
Нормальная ситуация:
Работник получает доступ к коммерческой тайне:
Издается приказ о предоставлении доступа
Проводится инструктаж
Делается запись в журнале учета лиц с доступом к КТ
Работник расписывается
Дата реальная - день получения доступа
«Театральная» ситуация:
Работник два года работает с секретной информацией. Никаких приказов, инструктажей, журналов.
Потом он увольняется и уносит информацию. Компания спохватывается: «У нас нет документов»!
За один вечер:
Заполняют журнал задним числом
Проставляют даты двухлетней давности
Придумывают записи
Подделывают подписи
На следующий день идут в суд с «доказательствами»: «Видите, у нас все документы есть. Работник был ознакомлен, вот запись в журнале от 2022 года».
Проблема: Суды научились распознавать такой театр.
Как суды проверяют подлинность документов
Признаки подделки, которые ищет суд:
🔍 Техническая экспертиза:
Чернила на всех страницах журнала одного возраста (заполнили за раз)
Даты идут не по порядку (забыли, как правильно)
Одинаковый почерк у разных людей
Подписи не совпадают с образцами
🔍 Логические противоречия:
В журнале человек расписался 15 января, а трудовой договор от 20 января
Ознакомление с положением датировано раньше, чем само положение утверждено
Инструктаж провел сотрудник, который в тот день был в отпуске/командировке
🔍 Свидетельские показания:
Работник говорит: «Я никогда не видел этих документов»
Коллеги подтверждают: «Никаких инструктажей не было»
Бывший HR признается: «Нас попросили заполнить задним числом»
Реальный кейс: журналы не спасли
Компания: Торговая сеть.
Ситуация: Региональный менеджер увольняется, уносит клиентскую базу. Компания увольняет его за разглашение коммерческой тайны.
В суде предъявили:
Журнал учета лиц с доступом к коммерческой тайне
Лист ознакомления с положением
Обязательство о неразглашении
Все документы якобы подтверждали: работник знал о режиме, был ознакомлен, обязался не разглашать.
Работник заявил: »Это подделка. Я никогда не расписывался в этих журналах. Никаких инструктажей не было. Вот моя подпись в трудовом договоре - сравните с подписью в журнале».
Суд назначил почерковедческую экспертизу.
Результат экспертизы: Подписи в журнале выполнены не работником. Подделка.
Решение суда: Работника восстановили. Компанию оштрафовали за представление подложных доказательств. Возбудили уголовное дело по факту подделки документов.
Как вести журналы правильно (чтобы суд поверил)
Правило 1: Вести регулярно
Не заполнять пачкой раз в год, а делать запись каждый раз, когда:
Новый сотрудник получает доступ
Меняется объем доступа
Проводится повторный инструктаж
Отзывается доступ (увольнение, перевод)
Правило 2: Заверять подписями
Каждая запись:
Подпись работника, получившего доступ
Подпись ответственного за ведение журнала
Дата (реальная!)
Правило 3: Хранить правильно
Журнал прошит, пронумерован, опечатан
Хранится в сейфе у ответственного лица
Доступ ограничен
Правило 4: Перекрестные ссылки
Запись в журнале должна коррелировать с другими документами:
Приказ о предоставлении доступа (с той же датой)
Программа инструктажа (проведен в ту же дату)
Трудовой договор (дата приема раньше даты доступа)
Правило 5: Невозможность задней корректировки
Используйте:
Электронный журнал с логами изменений
Или бумажный журнал, где нельзя вырвать лист незаметно
Регулярные проверки ответственным лицом с отметкой
Что суды принимают как доказательство
Доказательство: Журнал учета
– Суд примет: Прошит, пронумерован, велся регулярно, подписи живые
– Суд не примет: Листы вложены, даты задним числом, подписи поддельные
Доказательство: Лист ознакомления
– Суд примет: С датой и подписью, подпись совпадает с паспортом
– Суд не примет: Без даты, подпись не та, лист напечатан после увольнения
Доказательство: Обязательство
– Суд примет: Оригинал, подпись живая, дата реальная
– Суд не примет: Копия, подпись не совпадает, дата подозрительная
Доказательство: Видеозапись инструктажа
– Суд примет: Да, если есть
– Суд не примет: —
Доказательство: Свидетельские показания
– Суд примет: Да, от проводивших инструктаж
– Суд не примет: Нет, если показания противоречат документам
Формальная мера №5: Система есть - но правила не соблюдаются
Когда документы врут о реальности
Что написано в положении:
«Доступ к информации категории А предоставляется только генеральному директору, финансовому директору и главному бухгалтеру. Доступ осуществляется только с защищенных рабочих станций в офисе компании. Копирование на внешние носители запрещено».
Что происходит на самом деле:
Доступ к информации категории А есть у всех сотрудников бухгалтерии (12 человек)
Заходят не только с офисных компьютеров, но и с домашних
Копируют на флешки регулярно - «так удобнее»
HR-менеджер тоже имеет доступ - «ей для зарплаты нужно»
Формально: Режим установлен, правила прописаны.
Фактически: Правила не соблюдаются, режима нет.
Как суд проверяет реальность режима
Когда доходит до суда, судья задает простые вопросы:
❓ «Вы говорите, доступ ограничен - покажите логи, кто заходил к информации за последний год».
❓ «Вы утверждаете, что копирование запрещено - как вы это контролировали?»
❓ «Вы пишете, что удаленный доступ невозможен - а почему сотрудник работал из дома?»
И если ответов нет, если выясняется разрыв между декларациями и реальностью - суд говорит: »Режим коммерческой тайны формально установлен, но фактически не действовал».
А значит - информация не защищена.
Реальный кейс: правила были, но их игнорировали
Компания: Полиграфический комбинат.
В положении о коммерческой тайне: Информация о заказчиках является коммерческой тайной. Доступ ограничен. Ведется учет.
На практике: Информация о заказчиках печаталась в выходных данных каждого журнала. Любой мог открыть журнал и прочитать, кто заказчик.
Что случилось: Главный технолог уволился, забрал базу клиентов. Компания подала в суд на взыскание убытков.
Решение суда: Отказ.
Аргумент: Информация была общедоступной - печаталась в каждом издании. Никакого реального режима тайны не было. Декларация в положении не совпадала с реальностью.
Противоположный пример: когда режим был реальным
Компания: Технологическая фирма.
В положении: Доступ к технической документации только для сотрудников R&D отдела. Работа только в офисе. Копирование запрещено.
На практике:
Техническую документацию хранили на отдельном сервере с доступом по паролю
Логи доступа велись
USB-порты на рабочих станциях заблокированы
Удаленный доступ невозможен
Регулярные проверки соблюдения режима
Что случилось: Сотрудник попытался отправить файл себе на личную почту. Система заблокировала. Служба безопасности зафиксировала инцидент. Провели расследование. Сотрудника уволили.
Решение суда: Увольнение законное.
Почему суд поддержал компанию:
Режим был установлен не только на бумаге, но и в реальности
Технические меры совпадали с юридическими правилами
Контроль осуществлялся постоянно
Нарушение зафиксировано объективно
Что суды считают реальной защитой, а что - имитацией
Аспект: Гриф на документах
– Имитация (не работает): Ставят на всё подряд без разбора
– Реальная защита (работает): Ставят избирательно на документы из утвержденного перечня
Аспект: Положение о КТ
– Имитация (не работает): Общие фразы, скачанные из интернета
– Реальная защита (работает): Конкретный перечень сведений + правила доступа + правила обращения
Аспект: Обязательство о неразглашении
– Имитация (не работает): Дали подписать в стопке документов при приеме
– Реальная защита (работает): Провели инструктаж → объяснили → дали прочитать → подписали
Аспект: Журналы учета
– Имитация (не работает): Заполнили задним числом перед судом
– Реальная защита (работает): Вели регулярно с момента установления режима
Аспект: Ограничение доступа
– Имитация (не работает): Написано в документе, но всем открыт
– Реальная защита (работает): Технически реализовано + контролируется
Аспект: Ознакомление работников
– Имитация (не работает): Подпись на бумажке
– Реальная защита (работает): Инструктаж + тест + проверка понимания
Аспект: Контроль соблюдения
– Имитация (не работает): Никакого
– Реальная защита (работает): Регулярные проверки + расследование инцидентов
Аспект: Технические меры
– Имитация (не работает): Нет или не работают
– Реальная защита (работает): Есть и настроены по правилам из положения
Чек-лист: реальная защита или театр?
Ответьте честно на эти вопросы. Каждое «нет» - дыра в защите.
Блок 1: Документы
✅ У вас есть утвержденное положение о коммерческой тайне?
✅ В положении есть конкретный перечень информации (не общие фразы, а детальное описание)?
✅ В положении прописано, кто имеет доступ к каждой категории информации?
✅ В положении прописано, что можно и нельзя делать с информацией?
✅ Положение обновлялось в последний год?
Блок 2: Ознакомление
✅ Всех работников с доступом к КТ ознакомили с положением под роспись?
✅ При ознакомлении проводился инструктаж (не просто «подпишите»)?
✅ У вас есть листы ознакомления с реальными датами и подписями?
✅ Работники понимают, что именно является коммерческой тайной (не просто подписали, а знают)?
Блок 3: Учет и контроль
✅ Вы ведете журнал учета лиц с доступом к коммерческой тайне?
✅ Журнал заполняется регулярно (не задним числом)?
✅ У вас есть система контроля соблюдения режима?
✅ Вы расследуете инциденты (попытки скопировать, отправить информацию)?
Блок 4: Технические меры
✅ Технически ограничен доступ к информации (не все могут открыть любой файл)?
✅ Технические ограничения соответствуют правилам из положения?
✅ Вы ведете логи доступа к конфиденциальной информации?
✅ У вас есть средства блокировки утечек (хотя бы базовые)?
Блок 5: Грифы и маркировка
✅ Гриф «Коммерческая тайна» оформлен правильно (с реквизитами компании)?
✅ Грифы ставятся избирательно (не на всё подряд)?
✅ На всех документах с КТ стоят грифы?
Результаты:
18-20 «да»: Отличная защита. Суд поддержит.
14-17 «да»: Хорошая защита, но есть дыры. Устраните их.
10-13 «да»: Средняя защита. Есть риск проиграть суд. Срочно улучшайте.
6-9 «да»: Слабая защита. Вероятность проиграть суд высокая.
0-5 «да»: Это театр безопасности. Защиты нет. В суде проиграете.
Что делать: от театра к реальной защите
Если у вас «театр» (0-9 баллов по чек-листу)
Не паникуйте. Исправимо.
Шаг 1 (неделя 1-2): Аудит текущего состояния
Соберите все документы о коммерческой тайне
Проверьте их на соответствие реальности
Определите, что работает, а что - декорация
Шаг 2 (неделя 3-4): Разработка реальной системы
Составьте конкретный перечень коммерческой тайны
Определите правила доступа по должностям
Пропишите правила обращения с информацией
Шаг 3 (неделя 5-6): Утверждение и внедрение
Утвердите новое положение о коммерческой тайне
Проведите инструктаж всех работников
Соберите реальные подписи на листах ознакомления
Шаг 4 (неделя 7-8): Технические меры
Настройте доступ к информации по правилам из положения
Заблокируйте то, что должно быть заблокировано
Начните вести логи
Шаг 5 (постоянно): Поддержание режима
Ведите журналы регулярно
Контролируйте соблюдение
Расследуйте инциденты
Срок: 2 месяца на переход от театра к реальности
Бюджет: 300-700 тысяч рублей (юристы + технические меры)
Если у вас «средняя защита» (10-17 баллов)
Вы на правильном пути. Но есть дыры.
Действия:
Определите, какие пункты из чек-листа у вас «нет»
Сфокусируйтесь на устранении этих конкретных проблем
Обновите документацию
Проведите повторное ознакомление работников
Срок: 2-4 недели на устранение пробелов
Бюджет: 100-300 тысяч рублей
Если у вас «хорошая защита» (18-20 баллов)
Поздравляю. Вы среди 10% компаний с реальной защитой.
Поддерживайте:
Регулярный аудит (раз в полгода)
Обновление документов при изменениях
Обучение новых сотрудников
Контроль соблюдения режима
Главное: суды смотрят на реальность, а не на бумажки
Можете написать 100 страниц положений. Купить штампы на миллион рублей. Заполнить сто журналов.
Но если в реальности:
Работники не знают, что является тайной
Доступ не ограничен
Правила не соблюдаются
Контроля нет
То суд скажет одно слово: »Имитация».
И откажет в защите.
Обратная ситуация:
Даже с простыми документами и минимальными затратами можно создать реальную защиту. Если:
Работники понимают, что секретно
Доступ реально ограничен
Правила соблюдаются
Контроль работает
То суд встанет на вашу сторону.
Разница между театром и реальностью - не в деньгах и не в толщине папок с документами.
Разница - в том, действует ли система на самом деле.
Проверьте себя по чек-листу. Если набрали меньше 14 баллов - у вас театр безопасности. Пора переходить к реальной защите.
Потому что когда случится утечка (а она случится) - суд проверит реальность. И никакие красивые бумажки не спасут, если за ними пустота.