Основные положения важнейших законодательных актов РФ в области информационной безопасности и защиты информации

ПРИНЦИПЫ ЗАЩИТЫ ИНФОРМАЦИИ

(см.: Ярочкин В.И. Система безопасности фирмы. - 2-е изд. - М., 1998. - С. 8-10)

1. Комплексность. Предполагает:

а) обеспечение безопасности обслуживающего персонала, материальных и финансовых ресурсов от всех возможных угроз всеми доступными законными средствами, методами и мероприятиями;

б) обеспечение безопасности информационных ресурсов в течение всего их жизненного цикла, во всех технологических процессах и операциях их создания, обработки, использования и уничтожения;

в) способность системы защиты информации к развитию и совершенствованию в соответствии с изменяющимися внешними и внутренними условиями.

2. Своевременность – упреждающий характер мер защиты информации. Предполагает постановку задач по комплексной защите информации на стадии проектирования (создания) системы ее защиты на основе анализа известных и прогнозирования возможных угроз безопасности информации, которые могут появиться в будущем после запуска системы защиты в эксплуатацию (реализацию).

3. Непрерывность – постоянное поддержание работоспособности и развитие системы защиты информации.

4. Активность – настойчивость в достижении целей и задач защиты информации. Предполагает постоянный маневр силами и средствами защиты информации, а также принятие нестандартных мер защиты.

5. Законность – разработка системы защиты информации на основе действующего законодательства, а также иных нормативных актов, регламентирующих безопасность информации. В ходе последующей реализации системы защиты информации – применение всех законных методов и средств обнаружения и пресечения правонарушений в области безопасности информации.

6. Обоснованность. Заключается в том, что все методы и средства защиты информации должны быть научно обоснованными и современными, соответствовать последним достижениям науки и техники. В своей совокупности они должны отвечать всем установленным требованиям и нормам по защите информации.

7. Экономическая целесообразность – затраты на разработку и реализацию (обеспечение заданных параметров) системы защиты информации не должны превышать размеры потенциального ущерба, который может наступить в результате нарушения безопасности защищаемой информации.

8. Специализация. Предполагает привлечение к разработке и внедрению методов и средств защиты информации специализированных субъектов, имеющих государственную лицензию на определенный вид деятельности в сфере оказания услуг по защите информации. Применяемые ими средства защиты информации должны быть сертифицированы по требованиям безопасности информации.

9. Взаимодействие и координация деятельности. Предусматривает организацию четкого взаимодей-ствия между всеми субъектами защиты информации, действующими в рамках единой системы защиты информации, а также координацию их усилий и осуществляемых работ в этой сфере для достижения общих целей. Заключается в интеграции и последовательности деятельности по защите конкретных информационных ресурсов.

10. Совершенствование. Предусматривает совершенствование и разработку новых законодательных, организационных и технических мер защиты информации под воздействием объективных и субъективных факторов.

11. Централизация управления. Предполагает наличие единого координационного центра (субъекта), занимающегося общими вопросами управления системой защиты информации, а также единых требований по обеспечению безопасности информации.

СУБЪЕКТЫ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ

В РОССИЙСКОЙ ФЕДЕРАЦИИ

1. Палаты Федерального Собрания:

- осуществляют законодательное регулирование отношений в сфере защиты информации;

- рассматривают статьи федерального бюджета в части средств, направляемых на реализацию государственных программ в этой области;

- определяют полномочия должностных лиц в аппаратах палат Федерального Собрания по обеспечению защиты государственной тайны в палатах Федерального Собрания.

2. Президент Российской Федерации:

6. Анализ состояния и прогнозирование возможностей технических средств разведки, а также способов их применения.

- утверждает государственные программы в области защиты информации;

- утверждает по представлению Правительства Российской Федерации состав, структуру межведомственной комиссии по защите государственной тайны и положение о ней;

- утверждает по представлению Правительства Российской Федерации Перечень должностных лиц органов государственной власти, наделяемых полномочиями по отнесению сведений к государственной тайне, а также Перечень сведений, отнесенных к государственной тайне;

- заключает международные договоры России о совместном использовании и защите сведений, составляющих государственную тайну;

- определяет полномочия должностных лиц по обеспечению защиты информации в своей Администрации;

- в пределах своих полномочий решает иные вопросы, возникающие в связи с отнесением сведений к тому или иному виду тайны, их засекречиванием или рассекречиванием и их защитой.

3. Правительство Российской Федерации:

- организует исполнение Законов и международных соглашений в области защиты информации;

- представляет на утверждение Президенту состав и структуру межведомственной комиссии по защите государственной тайны, а также положение о ней;

- представляет на утверждение Президенту Перечень должностных лиц органов государственной власти, наделяемых полномочиями по отнесению сведений к тому или иному виду тайны;

- организует разработку и выполнение государственных программ в области защиты информации;

- определяет полномочия должностных лиц по обеспечению защиты информации в аппарате Правительства;

- устанавливает размеры и порядок предоставления льгот гражданам, допущенным к государственной тайне на постоянной основе, и сотрудникам структурных подразделений по защите государственной тайны;

- устанавливает порядок определения размеров ущерба, наступившего в результате несанкционированного распространения сведений, составляющих государственную тайну, а также ущерба, наносимого собственнику информации в результате ее засекречивания;

- заключает межправительственные соглашения, принимает меры по выполнению международных договоров России о совместном использовании и защите сведений, составляющих государственную тайну, принимает решения о возможности передачи их носителей другим государствам;

4. Органы государственной власти Российской Федерации, органы государственной власти субъектов Российской Федерации и органы местного самоуправления во взаимодействии с органами защиты государственной тайны, расположенными в пределах соответствующих территорий:

- обеспечивают защиту переданных им другими органами государственной власти, предприятиями, учреждениями и организациями охраняемой законом информации, а также сведений, засекречиваемых ими;

- обеспечивают защиту государственной тайны на подведомственных им предприятиях, в учреждениях и организациях в соответствии с требованиями законодательства Российской Федерации;

- обеспечивают в пределах своей компетенции проведение проверочных мероприятий в отношении граждан, допускаемых к тайне;

- реализуют предусмотренные законодательством меры по ограничению конституционных прав граждан и предоставлению льгот лицам, имеющим либо имевшим доступ к сведениям, составляющим государственную тайну;

- вносят в полномочные органы государственной власти предложения по совершенствованию системы защиты информации.

5. Органы судебной власти:

- рассматривают уголовные и гражданские дела о нарушениях законодательства в области защиты информации;

- обеспечивают судебную защиту граждан, органов государственной власти, предприятий, учреждений и организаций в связи с их деятельностью по защите охраняемой законом информации;

- обеспечивают в ходе рассмотрения указанных дел защиту отдельных видов тайны;

- определяют полномочия должностных лиц по обеспечению защиты охраняемой законом информации в органах судебной власти.

6. Органы защиты информации:

1) Межведомственная комиссия по защите государственной тайны - это коллегиальный орган, координирующий работу по защите информации в Российской Федерации.

2) Органы федеральной исполнительной власти. К ним относятся: Федеральная служба безопасности (ФСБ – www.fsb.ru), Министерство обороны (МО – www.mil.ru), Министерство внутренних дел (МВД – www.mvd.ru); Служба внешней разведки (СВР – www.svr.gov.ru), Федеральная служба охраны (ФСО), Федеральная служба по техническому и экспортному контролю (ФСТЭК России – www.fstec.ru – бывшая Гостехкомиссия при Президенте РФ).

3) Органы государственной власти, предприятия, учреждения, организации и их структурные подразделения по защите охраняемой законом информации.

Федеральная служба по техническому и экспортному контролю (ФСТЭК России) – является федеральным органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

1) обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере;

2) противодействия иностранным техническим разведкам на территории Российской Федерации;

3) обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения, и блокирования доступа к ней на территории Российской Федерации (далее – техническая защита информации);

4) защиты информации при разработке, производстве, эксплуатации и утилизации неинформацион-ных излучающих комплексов, систем и устройств;

5) осуществления экспортного контроля.

ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, а также специально уполно-моченным органом в области экспортного контроля.

ФСТЭК России является органом защиты государственной тайны, наделенным полномочиями по распоряжению сведениями, составляющими государственную тайну.

ФСТЭК России организует деятельность государственной системы противодействия техническим разведкам и технической защиты информации и руководит ею.

Руководство деятельностью ФСТЭК России осуществляет Президент Российской Федерации.

ФСТЭК России подведомственна Минобороны России.

ФСТЭК России и ее территориальные органы входят в состав государственных органов обеспечения безопасности.

Деятельность ФСТЭК России обеспечивают Государственный научно-исследовательский испыта-тельный институт проблем технической защиты информации ФСТЭК России, а также другие подведомственные ФСТЭК России организации.

Решения ФСТЭК России являются обязательными для исполнения всеми органами государственной власти и местного самоуправления, государственными и негосударственными предприятиями, учрежде-ниями, организациями, должностными лицами и гражданами.

Основными задачами ФСТЭК России являются:

1. Реализация в пределах своей компетенции государственной политики в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации.

2. Осуществление государственной научно-технической политики в области защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств.

3. Организация деятельности государственной системы противодействия техническим разведкам и технической защиты информации на федеральном, межрегиональном, региональном, отраслевом и объектовом уровнях, а также руководство указанной государственной системой.

4. Осуществление самостоятельного нормативно-правового регулирования вопросов:

- обеспечения безопасности информации в ключевых системах информационной инфраструктуры;

- противодействия техническим разведкам;

- технической защиты информации;

- размещения и использования иностранных технических средств наблюдения и контроля в ходе реализации международных договоров России, иных программ и проектов на территории России, на континентальном шельфе и в исключительной экономической зоне России;

- координации деятельности органов государственной власти по подготовке развернутых перечней сведений, подлежащих засекречиванию, а также методического руководства этой деятельностью;

- осуществления экспортного контроля.

5. Обеспечение в пределах своей компетенции безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации в аппаратах федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации, в федеральных органах исполнительной власти, органах исполнитель-ной власти субъектов Российской Федерации, органах местного самоуправления и организациях.

6. Прогнозирование развития сил, средств и возможностей технических разведок, выявление угроз безопасности информации.

7. Противодействие добыванию информации техническими средствами разведки, техническая защита информации.

8. Осуществление координации деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации и организаций по государственному регулиро-ванию размещения и использования иностранных технических средств наблюдения и контроля в ходе реализации международных договоров России, иных программ и проектов на территории России, на континентальном шельфе и в исключительной экономической зоне России.

9. Осуществление в пределах своей компетенции контроля деятельности по обеспечению безопас-ности информации в ключевых системах информационной инфраструктуры, по противодействию техни-ческим разведкам и по технической защите информации в аппаратах федеральных органов государствен-ной власти и органов государственной власти субъектов Российской Федерации, в федеральных органах исполнительной власти, органах исполнительной власти субъектов Российской Федерации, органах местного самоуправления и организациях.

10. Реализация государственной политики и организация межведомственного взаимодействия в области экспортного контроля.

11. Осуществление контроля за соблюдением российскими участниками внешнеэкономической деятельности законодательных и иных нормативных правовых актов Российской Федерации в области экспортного контроля.

12. Осуществление центральным аппаратом ФСТЭК России организационно-технического обеспече-ния деятельности Межведомственной комиссии по защите государственной тайны и Комиссии по экспортному контролю Российской Федерации.

Основные положения важнейших законодательных актов РФ в области информационной безопасности и защиты информации

Закон Российской Федерации от 21 июля 1993 года №5485-1 "О государственной тайне" с изменениями и дополнениями, внесенными после его принятия, регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их рассекречиванием и защитой в интересах обеспечения безопасности Российской Федерации.

В Законе определены следующие основные понятия:

государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации;

носители сведений, составляющих государственную тайну, – материальные объекты, в том числе физические поля, в которых сведения, составляющие государственную тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов;

система защиты государственной тайны – совокупность органов защиты государственной тайны, используемых ими средств и методов защиты сведений, составляющих государственную тайну, и их носителей, а также мероприятий, проводимых в этих целях;

доступ к сведениям, составляющим государственную тайну – санкционированное полномочным должностным лицом ознакомление конкретного лица со сведениями, составляющими государственную тайну;

гриф секретности – реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемые на самом носителе и (или) в сопроводительной документации на него;

средства защиты информации – технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.

Законом определено, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности.

Организация сертификации средств защиты информации возлагается на Государственную техническую комиссию при Президенте Российской Федерации, Федеральную службу безопасности Российской Федерации, Министерство обороны Российской Федерации в соответствии с функциями, возложенными на них законодательством Российской Федерации.

Закон РФ "Об информации, информатизации и защите информации" от 20 февраля 1995 года №24-ФЗ – является одним из основных базовых законов в области защиты информации, который регламентирует отношения, возникающие при формировании и использовании информационных ресурсов Российской Федерации на основе сбора, накопления, хранения, распространения и предоставления потребителям документированной информации, а также при создании и использовании информационных технологий, при защите информации и прав субъектов, участвующих в информационных процессах и информатизации.

Основными задачами системы защиты информации, нашедшими отражение в Законе "Об информации, информатизации и защите информации", являются:

предотвращение утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т. п., вмешательства в информацию и информационные системы;

сохранение полноты, достоверности, целостности информации, ее массивов и программ обработки данных, установленных собственником или уполномоченным им лицом;

сохранение возможности управления процессом обработки, пользования информацией в соответствии с условиями, установленными собственником или владельцем информации;

обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальности персональной информации, накапливаемой в банках данных;

сохранение секретности или конфиденциальности информации в соответствии с правилами, установленными действующим законодательством и другими законодательными или нормативными актами;

соблюдение прав авторов программно-информационной продукции, используемой в информационных системах.

В соответствии с законом:

информационные ресурсы делятся на государственные и негосударственные (ст. 6, ч. 1);

государственные информационные ресурсы являются открытыми и общедоступными. Исключение составляет документированная информация, отнесенная законом к категории ограниченного доступа (ст. 10, ч. 1);

документированная информация с ограниченного доступа по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне, и конфиденциальную (ст. 10, ч. 2).

Закон определяет пять категорий государственных информационных ресурсов:

открытая общедоступная информация во всех областях знаний и деятельности;

информация с ограниченным доступом:;

информация, отнесенная к государственной тайне;

конфиденциальная информация;

персональные данные о гражданах (относятся к категории конфиденциальной информации, но регламентируются отдельным законом).

Статья 22 Закона "Об информации, информатизации и защите информации" определяет права и обязанности субъектов в области защиты информации. В частности, пункты 2 и 5 обязывают владельца информационной системы обеспечивать необходимый уровень защиты конфиденциальной информации и оповещать собственников информационных ресурсов о фактах нарушения режима защиты информации.

Следует отметить, что процесс законотворчества идет достаточно сложно. Если в вопросах защиты государственной тайны создана более или менее надежная законодательная система, то в вопросах защиты служебной, коммерческой и частной информации существует достаточно много противоречий и "нестыковок".

При разработке и использовании законодательных и других правовых и нормативных документов, а также при организации защиты информации важно правильно ориентироваться во всем блоке действующей законодательной базы в этой области.

Проблемы, связанные с правильной трактовкой и применением законодательства Российской Федерации, периодически возникают в практической работе по организации защиты информации от ее утечки по техническим каналам, от несанкционированного доступа к информации и от воздействий на нее при обработке в технических средствах информатизации, а также в ходе контроля эффективности принимаемых мер защиты.