8. Организационно-правовое обеспечение информационной безопасности

Категория: Основы информационной безопасности в телекоммуникациях

8.1. Информация как объект юридической защиты. Основные принципы засекречивания информации

8.2. Государственная система правового обеспечения защиты информации в Российской Федерации

8.1. Информация как объект юридической защиты. Основные принципы засекречивания информации

ИБ представляет собою совокупность решений, законов, нормативов, регламентирующих как общую организацию работ по обеспечению ИБ, так и создание и функционирование систем защиты информации на конкретных объектах. Основные функции организационно-правовой базы следующие.

  1. Разработка основных принципов отнесения сведений, имеющих конфиденциальный характер, к защищаемой информации.
  2. Определение системы органов и должностных лиц,, ответственных за обеспечение ИБ в стране и порядка регулирования деятельности предприятия и организации в этой области.
  3. Создание полного комплекса нормативно-правовых руководящих и методических материалов (документов), регламентирующих вопросы обеспечения ИБ как в стране в целом, так и на конкретном объекте.
  4. Определение мер ответственности за нарушения правил защиты.
  5. Определение порядка разрешения спорных и конфликтных ситуаций по вопросам защиты информации.

Под юридическими аспектами организационно-правового обеспечения защиты информации понимается совокупность законов и других нормативно-правовых актов, с помощью которых достигались бы следующие цели:

  • все правила защиты информации являются обязательными для соблюдения всеми лицами, имеющими отношение к конфиденциальной информации;
  • узакониваются все меры ответственности за нарушение правил защиты информации;
  • узакониваются (приобретают юридическую силу) технико-математические решения вопросов организационно-правового обеспечения защиты информации;
  • узакониваются процессуальные процедуры разрешения ситуаций, складывающихся в процессе функционирования системы защиты.

Разработка законодательной базы ИБ любого государства является необходимой мерой, удовлетворяющей первейшую потребность в защите информации при развитии социально-экономических, политических, военных направлений развития этого государства. Особое внимание со стороны западных стран к формированию такой базы вызвано все возрастающими затратами на борьбу с "информационными" преступлениями. Все это заставляет страны Запада серьезно заниматься вопросами законодательства по защите информации.

Определение основных принципов отнесения сведений, имеющих конфиденциальный характер, к защищаемой информации. Созданием законодательной базы в области ИБ каждое государство стремится защитить свои информационные ресурсы. Информационные ресурсы государства в самом первом приближении могут быть разделены на три большие группы:

  • информацию открытую - на распространение и использование которой не имеется никаких ограничений;
  • информацию запатентованную - охраняется внутригосударственным законодательством или международными соглашениями как объект интеллектуальной собственности;
  • информацию, "защищаемую" ее собственником, владельцем с помощью отработанных механизмов защиты государственной, коммерческой или другой охраняемой тайны; к этому виду относят обычно информацию, не известную другим лицам, которая или не может быть запатентована, или умышленно не патентуется с целью избежания или уменьшения риска завладения ее соперниками, конкурентами.

Защищают и охраняют, как правило, не всю или не всякую информацию, а наиболее важную, ценную для собственника, ограничение распространения которой приносит ему какую-то пользу или прибыль, возможность эффективно решать стоящие перед ним задачи.

Какую информацию относят к защищаемой?

Во-первых, секретную информацию. К секретной информации в настоящее время принято относить сведения, содержащие государственную тайну.

Во-вторых, конфиденциальную информацию. К этому виду защищаемой информации относят обычно сведения, содержащие коммерческую тайну, а также тайну, касающуюся личной (неслужебной) жизни и деятельности граждан.

Таким образом, под защищаемой информацией понимают сведения, на использование и распространение которых введены ограничения их собственником и характеризуемые понятием "тайна".

Применительно к органам государственной власти и управления под тайной понимается то, что скрывается от других, что известно определенному кругу людей. Иначе говоря, те сведения, которые не подлежат разглашению, и составляют тайну.

Основное направление использования этого понятия - засекречивание государством определенных сведений, сокрытие которых от соперников, потенциального противника дает ему возможность успешно решать жизненно важные вопросы в области обороны страны, политических, научно-технических и иных проблем с меньшими затратами сил и средств.

К подобному же ввиду тайны относится засекречивание предприятием, фирмой сведений, которые помогают ему эффективно решать задачи производства и выгодной реализации продукции.

Сюда же примыкают и тайны личной жизни граждан, обычно гарантируемые государством: тайна переписки, врачебная тайна, тайна денежного вклада в банке и др.

8.2. Государственная система правового обеспечения защиты информации в Российской Федерации

Второй функцией организационно-правового обеспечения информационной безопасности является определение системы органов и должностных лиц, ответственных за обеспечение информационной безопасности в стране. Основой для создания государственной системы организационно-правового обеспечения защиты информации является создаваемая в настоящее время государственная система защиты информации, под которой понимается совокупность федеральных и иных органов управления и взаимоувязанных правовых, организационных и технических мер, осуществляемых на различных уровнях управления и реализации информационных отношений и направленных на обеспечение безопасности информационных ресурсов.

Основные положения правового обеспечения защиты информации приведены в Доктрине информационной безопасности РФ, а также в других законодательных актах.

Под информационной безопасностью РФ понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Напомним содержание интересов личности, общества и государства в информационной сфере.

Интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность.

Интересы общества в информационной сфере заключаются в обеспечении интересов личности в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России.

Интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

На основе национальных интересов РФ в информационной сфере формируются стратегические и текущие задачи внутренней и внешней политики государства по обеспечению информационной безопасности.

Рассмотрим структуру государственной системы информационной безопасности и основные функции ее составных частей.

Основным органом, координирующим действия государственных структур по вопросам защиты информации, является Межведомственная комиссия по защите государственной тайны, созданная Указом Президента РФ № 1108 от 8.11.1995 г. Она действует в рамках Государственной системы защиты информации от утечки по техническим каналам, положение о которой введено в действие постановлением Правительства РФ от 15.09.1993 г. №912-51. В этом постановлении определены структура, задачи и функции, а также организация работ по защите информации применительно к сведениям, составляющим государственную тайну. Основной задачей Государственной системы защиты информации является проведение единой технической политики, организация и координация работ по защите информации в оборонной, экономической, политической, научно-технической и других сферах деятельности страны.

Общая организация и координация работ в стране по защите информации, обрабатываемой техническими средствами, осуществляется Федеральная служба по техническому и экспортному контролю (ФСТЭК России).

ФСТЭК России является федеральным органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по следующим вопросам в области обеспечения информационной безопасности:

  1. обеспечению безопасности информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере;
  2. противодействию иностранным техническим разведкам на территории РФ;
  3. обеспечению защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращению ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории РФ;
  4. защите информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств.

Основными задачами в области обеспечения информационной безопасности для ФСТЭК России являются:

  1. реализация в пределах своей компетенции государственной политики в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации;
  2. осуществление государственной научно-технической политики в области защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;
  3. организация деятельности государственной системы противодействия техническим разведкам и технической защиты информации на федеральном, межрегиональном, региональном, отраслевом и объектовом уровнях, а также руководство указанной государственной системой;
  4. осуществление самостоятельного нормативно-правового регулирования вопросов: обеспечения безопасности информации в ключевых системах информационной инфраструктуры; противодействия техническим разведкам; технической защиты информации; размещения и использования иностранных технических средств наблюдения и контроля в ходе реализации международных договоров РФ, иных программ и проектов на территории РФ, на континентальном шельфе и в исключительной экономической зоне РФ; координации деятельности органов государственной власти по подготовке развернутых перечней сведений, подлежащих засекречиванию, а также методического руководства этой деятельностью;
  5. обеспечение в пределах своей компетенции безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации в аппаратах федеральных органов государственной власти и органов государственной власти субъектов РФ, в федеральных органах исполнительной власти, органах исполнительной власти субъектов РФ, органах местного самоуправления и организациях;
  6. прогнозирование развития сил, средств и возможностей технических разведок, выявление угроз безопасности информации;
  7. противодействие добыванию информации техническими средствами разведки, техническая защита информации;
  8. осуществление координации деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов РФ и организаций по государственному регулированию размещения и использования иностранных технических средств наблюдения и контроля в ходе реализации международных договоров РФ, иных программ и проектов на территории РФ, на континентальном шельфе и в исключительной экономической зоне РФ;
  9. осуществление в пределах своей компетенции контроля деятельности по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, по противодействию техническим разведкам и по технической защите информации в аппаратах федеральных органов государственной власти и органов государственной власти субъектов РФ, в федеральных органах исполнительной власти, органах исполнительной власти субъектов РФ, органах местного самоуправления и организациях;
  10. осуществление центральным аппаратом ФСТЭК России организационно-технического обеспечения деятельности Межведомственной комиссии по защите государственной тайны.

ФСТЭК России в своей деятельности руководствуется Конституцией РФ, федеральными конституционными законами, федеральными законами, актами президента РФ и правительства РФ, международными договорами РФ, приказами и директивами министра обороны РФ в части, касающейся ФСТЭК России, настоящим положением о ФСТЭК России, а также другими нормативными правовыми актами РФ, касающимися деятельности ФСТЭК России.

Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения аппаратами федеральных органов государственной власти и органов государственной власти субъектов РФ, федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления и организациями.

ФСТЭК России осуществляет свою деятельность во взаимодействии с другими федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления и организациями.

Обеспечение информационной безопасности является одним из основных направлений деятельности органов Федеральной службы безопасности.

Обеспечение информационной безопасности осуществляется ими в пределах своих полномочий:

  • при формировании и реализации государственной и научно-технической политики в области обеспечения информационной безопасности, в том числе с использованием инженерно-технических и криптографических средств;
  • при обеспечении криптографическими и инженерно-техническими методами безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в РФ и ее учреждениях, находящихся за пределами РФ.

ФСБ России предоставлено право:

  1. осуществлять в соответствии со своей компетенцией регулирование в области разработки, производства, реализации, эксплуатации шифровальных (криптографических) средств и защищенных с использованием шифровальных средств систем и комплексов телекоммуникаций, расположенных на территории РФ, а также в области предоставления услуг по шифрованию информации в РФ, выявления электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах;
  2. осуществлять государственный контроль за организацией и функционированием криптографической и инженерно-технической безопасности информационно-телекоммуникационных систем, систем шифрованной, засекреченной и иных видов специальной связи, контроль за соблюдением режима секретности при обращении с шифрованной информацией в шифровальных подразделениях государственных органов и организаций на территории РФ и в ее учреждениях, находящихся за пределами РФ, а также в соответствии со своей компетенцией контроль за обеспечением защиты особо важных объектов (помещений) и находящихся в них технических средств от утечки информации по техническим каналам;
  3. участвовать в определении порядка разработки, производства, реализации, эксплуатации и обеспечения защиты технических средств обработки, хранения и передачи информации ограниченного доступа, предназначенных для использования в учреждениях РФ, находящихся за ее пределами;
  4. обеспечивать выявление устройств перехвата информации на особо важных объектах (в помещениях) и технических средствах, предназначенных для использования в федеральных органах государственной власти.

Служба внешней разведки РФ для осуществления своей деятельности может при собственных лицензировании и сертификации приобретать, разрабатывать (за исключением криптографических средств защиты), создавать, эксплуатировать информационные системы, системы связи и системы передачи данных, а также средства защиты информации от утечки по техническим каналам.

Министерство обороны (Минобороны России) организует деятельность по обеспечению информационной безопасности, защите государственной тайны в Вооруженных силах, а также в установленном порядке в пределах своей компетенции работы по сертификации средств защиты информации.

Другие органы государственного управления (министерства, ведомства) в пределах своей компетенции:

  • определяют перечень охраняемых сведений;
  • обеспечивают разработку и осуществление технически и экономически обоснованных мер по защите информации на подведомственных предприятиях;
  • организуют и координируют проведение НИОКР в области защиты информации в соответствии с государственными (отраслевыми) программами;
  • разрабатывают отраслевые документы по защите информации;
  • контролируют выполнение на предприятиях отрасли установленных норм и требований по защите информации;
  • создают отраслевые центры по защите информации и контролю эффективности принимаемых мер;
  • организуют подготовку и повышение квалификации специалистов по защите информации.

Для осуществления указанных функций в составе органов государственного управления функционируют научно-технические подразделения (центры) защиты информации и контроля.

На предприятиях, выполняющих оборонные и иные секретные работы, функционируют научно-технические подразделения защиты информации и контроля, координирующие деятельность в этом направлении научных и производственных структурных подразделений предприятия, участвующие в разработке и реализации мер по защите информации, осуществляющие контроль эффективности этих мер.

Кроме того, в отраслях промышленности и в регионах страны создаются и функционируют лицензионные центры, осуществляющие организацию и контроль за лицензионной деятельностью в области оказания услуг по защите информации, органы по сертификации средств вычислительной техники и средств связи, испытательные центры по сертификации конкретных видов продукции по требованиям безопасности информации, органы по аттестации объектов информатики.

Государственная система обеспечения информационной безопасности создается для решения следующих проблем, требующих законодательной поддержки:

  • защита персональных данных;
  • борьба с компьютерной преступностью, в первую очередь в финансовой сфере;
  • защита коммерческой тайны и обеспечение благоприятных условий для предпринимательской деятельности;
  • защита государственных секретов;
  • создание системы взаимных финансовых расчетов в электронной форме с элементами цифровой подписи;
  • обеспечение безопасности АСУ потенциально опасных производств;
  • страхование информации и информационных систем;
  • сертификация и лицензирование в области безопасности, контроль безопасности информационных систем;
  • организация взаимодействия в сфере защиты данных со странами-членами СНГ и другими государствами.

Анализ современного состояния информационной безопасности в России показывает, что уровень ее в настоящее время не соответствует жизненно важным потребностям личности, общества и государства.

Такое положение дел в области обеспечения информационной безопасности требует безотлагательного решения ряда ключевых проблем.

  1. Формирование законодательной и нормативно-правовой базы обеспечения информационной безопасности, в том числе разработка реестра информационного ресурса, регламента информационного обмена для органов государственной власти и управления, нормативного закрепления ответственности должностных лиц и граждан по соблюдению требований информационной безопасности.
  2. Разработка механизмов реализации прав граждан на информацию.
  3. Формирование системы информационной безопасности, обеспечивающей реализацию государственной политики в этой области.
  4. Совершенствование методов и технических средств, обеспечивающих комплексное решение задач защиты информации.
  5. Разработка критериев и методов оценки эффективности систем и средств информационной безопасности.
  6. Исследование форм и способов цивилизованного воздействия государства на формирование общественного сознания.
  7. Комплексное исследование деятельности персонала информационных систем, в том числе методов повышения мотивации, морально-психологической устойчивости и социальной защищенности людей, работающих с секретной и конфиденциальной информацией.

Разработка правового обеспечения защиты информации идет по трем направлениям.

  1. Защита прав личности на частную жизнь.
  2. Защита государственных интересов.
  3. Защита предпринимательской и финансовой деятельности.

Структура нормативной базы по вопросам информационной безопасности включает:

  • Конституцию РФ;
  • федеральные законы и законы РФ;
  • кодексы РФ (уголовный, гражданский, об административных правонарушениях);
  • постановления правительства РФ;
  • ведомственные нормативные акты, ГОСТы, руководящие документы.

Среди федеральных законов отметим следующие:

  • "О государственной тайне";
  • "О безопасности";
  • "О лицензировании отдельных видов деятельности";
  • "Об информации, информатизации и защите информации";
  • "О правовой охране программ для электронных вычислительных машин и баз данных";
  • "О техническом регулировании";
  • "Об участии в международном информационном обмене";
  • "О связи";
  • "Об органах Федеральной службы безопасности в РФ";
  • "О коммерческой тайне";
  • "Об электронной цифровой подписи".