что можно отнести к правовым мерам информационной безопасности
Что можно отнести к правовым мерам информационной безопасности
Статья 16. Защита информации
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
(п. 7 введен Федеральным законом от 21.07.2014 N 242-ФЗ)
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
Статья 16. Защита информации
Статья 16. Защита информации
ГАРАНТ:
См. комментарии к статье 16 настоящего Федерального закона
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
Информация об изменениях:
Федеральным законом от 21 июля 2014 г. N 242-ФЗ часть 4 статьи 16 настоящего Федерального закона дополнена пунктом 7, вступающим в силу с 1 сентября 2015 г.
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
Развитие права в сфере информационной безопасности
Корпоративный юрист ООО «Проспектаси»
специально для ГАРАНТ.РУ
Информация была и есть частью жизни общества, как и информационная безопасность. Вопрос защиты информации всегда был актуален, будь то шифрование писем в прошлых столетиях или криптографические средства защиты сейчас – цель всегда будет преследоваться одна. В условиях информационного общества этот вопрос стоит особенно остро, так как современные реалии развития информационных отношений подразумевают широкое использование и высокую ценность информации, а значит огромный поток передаваемой информации всегда будет подвергаться недобросовестной деятельности. В современной России уже сформированы частично методы защиты информации на государственном уровне, а также продолжается гонка за далеко убегающими технологиями и новыми способами защиты права. В сфере права ситуация так же не стоит на месте. Для детального рассмотрения того, как менялась информационная безопасность на законодательном уровне стоит определиться, что затрагивает данное понятие именно в праве и именно в России.
1) Так, если мы откроем Указ Президента РФ от 5 декабря 2016 г. № 646 «Об утверждении Доктрины информационной безопасности Российской Федерации» то увидим, что информационная безопасность – это состояние защищенности общества и государства, отдельного гражданина от информационно-технического воздействия на информационную инфраструктуру. То есть это состояние защищенности общества от недобросовестной информации либо от ее разглашения.
2) Согласно ч. 4 ст. 6 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Закон № 149-ФЗ) владелец информации обязан принимать меры по ее защите, из чего следует, что защита информации (как информационная безопасность) – совокупность обязательных действий владельца информации не только по ее защите (защита от уничтожения, распространения, копирования и т.д. (ч. 1 ст. 16 Закон № 149-ФЗ)), но и реализации права на доступ к ней.
3) Также под защитой информации понимается защита интеллектуальной собственности, ограничение доступа к ней и ее законное распространении (касается, например, ноу-хау).
Для рассмотрения основных изменений в российском законодательстве за последнее время стоит понимать, что «информационная безопасность» имеет, скажем так, различную направленность, что мы и видим согласно представленным выше определениям. Соответственно, мы разделим на 3 этапа основные изменения в сфере информационной безопасности.
Этап 1. Основные права и обязанности
1) Данный этап можно назвать формированием правовой защиты информации. А значит, стоит начать с Конституции РФ, которая является основным источником права в области обеспечения информационной безопасности в России:
2) К этому же этапу можно отнести первые редакции Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации», который, как острог и каркас имел лишь основные понятия: устанавливал обязанности государства в сфере защиты информации, создал пока еще только понятие об информационных ресурсах государства, отнес информационные ресурсы к общероссийскому национальному достоянию (2003 год).
3) Правовой режим государственной тайны установлен первым в истории российского государства Законом «О государственной тайне», который вступил в действие 21 сентября 1993 года (новая редакция Закона Российской Федерации «О государственной тайне» была принята в 1997 году).
4) Указом от 6 марта 1997 года № 188 был закреплен перечень сведений конфиденциального характера, таких как персональные данные, тайна судопроизводства, коммерческая тайна и т.д.
Данный этап подразумевал под собой формирование основных сводов и правил для дальнейшего формирования защищенности интересов в информационной сфере. Основной уровень прав – гарант правового общества, соответственно эти меры были просто необходимы и отражали основные принципы государства. Практическая ценность данных прав – нормальное функционирование судебной системы в России.
Этап 2. Формирование основных направлений и их реализация
Данный этап и перечень всех изменений проще всего будет рассмотреть на примере двух Доктрин информационной безопасности Российской Федерации 2000 и 2015 года. Хоть они и не отражают всех изменений, внесенных за этот период с 2000 по 2016 год, но вполне отражают общую тенденцию выходящих тогда паровых актах и изменениях в праве. Данный анализ основан на статье: Информационная политика России в обеспечении информационной безопасности личности: история и современность (Чеботарева А.А.) («История государства и права», 2015, № 24)
1) Доктрина информационной безопасности личности Российской Федерации 2000 года (утверждена Президентом РФ 9 сентября 2000 г. № Пр-1895) ставит перед собой основную задачу – это защита личности в информационной сфере. При этом интересы личности в информационной сфере заключаются как в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, так и в защите информации, обеспечивающей личную безопасность.
2) В Стратегии развития информационного общества в Российской Федерации (утв. Президентом РФ 7 февраля 2008 г. № Пр-212) один из принципов, на которых базируется развитие информационного общества в России, – это обеспечение национальной безопасности в информационной сфере. В качестве одного из направлений реализации Стратегией названо обеспечение неприкосновенности частной жизни, личной и семейной тайны, соблюдение требований к обеспечению безопасности информации ограниченного доступа, что и подтвердила Доктрина 2016 года. Разработка новой Доктрины продиктована изменившимися реалиями, связанными с угрозами информационной безопасности, изменением в стратегическом планировании в сфере обеспечения национальной безопасности.
Из чего можно сделать вывод, что данный этап формирует две основные направленности: внутреннюю (2000 год) и внешнюю (2016 год). Право в сфере информационной безопасности формируется именно по этим двум направления, составляя тандем из состояния защищенности каждой отдельной личности, общества и государства. На деле – направление развития права в сфере информационной безопасности дало точек к конкретизации различных паровых случаев и возможность следовать тенденциям глобальной информатизации. Вопрос же в реализации данных направлений отразился в Этапе 3.
Этап 3. Гонка с технологиями
С формированием информационного общества поток информации в мире непрерывно растет. Это в первую очередь обеспечено технологиями, которые постоянно совершенствуются и дорабатываются, а также внедрением новых возможностей в систему взаимодействия общества. Право во всем мире постоянно старается залатать дыры, образованные новыми возможностями. Защита прав личности, корпоративной тайны, государственной тайны сейчас скорее вопрос не только права, но и физики, математики. А значит, недостаточно выпустить НПА и тем самым закрыть брешь, но и необходимо создать технологическую почву для его реализации. Этим и обусловлены все новые НПА, выходящие приблизительно с 2016 года. Будь то еще не уступивший в силу Федеральный закон от 31 июля 2020 г. № 259-ФЗ «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации», который направлен на регулирование криптовалют, а значит защиту пользователей криптовалют. Или новая редакция Закона. № 149-ФЗ, о нововведениях которой хотелось бы упомянуть, что бы картинка развития права в сфере информационной безопасности в России была целостной. Итак, на что направлены новые изменения в Закон № 149-ФЗ? На борьбу с «пиратством». Предыдущий опыт показал неэффективность борьбы с пиратством в России. Поэтому, это закономерное изменение. Так, правообладатель теперь сможет блокировать через Роскомнадзор не только ресурс, на котором опубликован материал, но и ограничить доступ также к программам, которые обеспечивают работу «пиратских» сайтов в Интернете. А у провайдеров появятся новые обязательства. В соответствии с новой ч. 3.1 ст. 15.2 Закона № 149-ФЗ владелец информационного ресурса, на котором находится программное приложение, обеспечивающее использование «пиратского» сайта, обязан проинформировать об этом владельца программного приложения и уведомить его о необходимости незамедлительно ограничить доступ к произведениям или иной интеллектуальной собственности, которые распространяются без разрешения правообладателя. То же самое касается и разработчиков программ, на которых публикуются незаконно произведения интеллектуальной собственности.
Рассмотрев поэтапно историю развития информационной безопасности в России, напрашивается ряд вопросов, которые могут задать себе предприниматели. Однако, данная хронография законодательных актов – не более чем направление деятельности государства в сфере защиты информации. Ее непосредственное применение в судах или досудебном порядке неприменимо. Но! Знания и понимание процессов – сила, которая не даст растеряться на практике. Так, понимая, что деятельность законодателей направлена сейчас на ужесточение мер по защите авторских прав, а так же появление новых возможностей кредитования – можно взять кредит под залог интеллектуальной собственности, как это было сделано впервые в России в октябре 2020 года. Так же, например, понимая, что хоть и основные меры по защите предпринимательства и бизнеса идут с 2016 года – многие моменты, связанные с техническим обеспечением являются незащищенными. Поэтому стоит трижды рассмотреть новые капиталовложения, связанные с передачей данных по интернету, но и бояться нового – стагнация для бизнеса. Описать каждый новый элемент технологических достижений невозможно как в нормативно-правовых актах, так и в этой статье. Тем не менее, можно дать простое понимание общей картины. Поэтому ниже будут приведены вопросы. Которые задает каждый предприниматель века информационных технологий.
1) Как предприниматель может защитить свои данные на просторах Интернета?
С развитием технологий способы утечки корпоративной, личной информации, имеющие материальную ценность, являются важным ресурсом для любого бизнеса по всему миру. Минимизация возможности утечки таких данных путем ужесточения мер идентификации и аутентификации – единственный надежный вариант на сегодняшнее время. Если Ваши персональные данные уже находятся в Интернете – изъять их будет куда сложнее, чем постоянно проводить профилактику и соблюдать меры предосторожности. Для этого есть два основных направления: ужесточение мер безопасности на внутреннем уровне или передача на аутсорсинг. Внутреннее ужесточение имеет потолок в виде вашего IT-отдела. Аутсорсинг же пестрит выбором и необходимо тщательно выбирать партнера для передачи ценной информации. Если же ситуация уже вышла из-под контроля, стоит учитывать, что судебная практика имеет смешанные решения по вопросам утечки персональных данных, но шансы получить компенсацию и пресечь утечку данных куда проще при передаче оператору персональных данных на аутсорсинг. Так, после внесения изменений в Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» появились компании на аутсорсинге, которые предлагают услугу облачного хранилища, то есть хранение всего объема данных от первичных документов до счетов в защищенном облаке данных на серверах компании, предоставившей услугу. Но все равно по итогу никто не застрахован от утечки данных, вопрос лишь в процентном шансе заиметь проблемы с данными, так как находятся все новые и новые способы украсть персональные данные. Из чего следует вывод, что каждый предприниматель должен быть готов столкнуться с чем-то новым. Как в положительном, так и в отрицательном ключе.
2) И вытекающий вопрос из предыдущего – а что делается для предотвращения таких случаев на законодательном уровне? Как в России решают проблему технологического отставная в защите персональных данных?
Хоть и отставание от технологий чрезмерно велико, процесс все же есть. Помимо упомянутой выше новой редакции Закона № 149-ФЗ, направленной на защиту в Госдуму было внесено порядка 10 проектов, касающихся непосредственно мер по защите персональных данных. Ввели уточнения обязанностей организатора распространения информации в сети, уточнения порядка обработки персональных данных по поручению оператора, а также уточнения требований по обеспечению безопасности обрабатываемых персональных данных, уточнения сведений, передаваемых оператором связи и других данных. В техническом плане постоянно совершенствуются способы шифрования криптографии (например, разрабатываются новые системы токенов для обеспечения информационной безопасности пользователя). Тем не менее, конкретизация в праве и новые методы шифрования в техническом плане рождают новые методы обхода всех средств защиты и эта гонка будет продолжаться бесконечно.
Меры по обеспечению информационной безопасности
Защита данных
с помощью DLP-системы
В деятельности любой организации или предприятия образуются массивы информации, подлежащей охране. Требования к конфиденциальности могут определяться как федеральными законами, это касается банковской тайны или персональных данных, так и позицией компании, которая должна охранять коммерческую тайну. Меры защиты, предпринимаемые для обеспечения информационной безопасности, зависят от нормативно-правовых требований и принятой в компании концепции противодействия информационным угрозам.
Как обеспечить информационную безопасность предприятия
Руководство предприятия или организации должно разработать и внедрить концепцию по обеспечению информационной безопасности. Этот документ является основополагающим для разработки внутренних регламентов и системы защитных мер. Разработку политики безопасности часто поручают приглашенным экспертам по защите информации, способным провести аудит как информационной системы, так и организационной структуры компании и ее бизнес-процессов и разработать актуальный комплекс мер по защите информации.
Концепция безопасности
В дальнейшем концепция безопасности может стать основой для внедрения DLP-системы и других программных продуктов, решающих задачу защиты информационных ресурсов и инфраструктуры компании.
В концепции обеспечения информационной безопасности предприятия определяются:
Концепция сама по себе не решает задачу ответственности сотрудников компании за неправомерное обращение с информацией, в том числе за ее разглашение. Для решения этой задачи необходимо внедрить дополнительную систему организационных мер защиты информации, которые включают информирование, ознакомление под роспись, внесение в трудовые договоры соответствующих положений о защите информации, составляющей коммерческую тайну.
После разработки концепции необходимо приступать к ее внедрению. Система предлагаемых мер должна пройти согласование во всех причастных подразделениях компании, так как вопрос бюджетирования всегда ограничивает возможности по защите информации, сложности проводимых мероприятий и приобретению программных продуктов.
Объекты защиты
Каждая компания сама определяет массивы информации, которые подлежат защите. Это может быть стратегии развития, ноу-хау, патенты, бизнес-процессы, клиентские базы и другие данные. Но есть общие объекты защиты, безопасность которых необходимо обеспечить, чтобы иметь возможность защитить данные от утечек или намеренного разглашения. К таким объектам в первую очередь относятся автоматизированные информационные системы предприятия. Компьютеры, серверы, каналы связи, периферийные устройства становятся целью хакеров или инсайдеров, заинтересованных в организации утечек информации. Решаются задачи ее хищения как через сеть, так и в ручном режиме, путем копирования информации или установки закладных устройств. Организационные и технические меры должны быть направлены на физическую защиту системы и установку программного обеспечения, которое устранит внешнее сетевое вмешательство.
Массивы информации становятся объектами защиты после признания их таковыми и отнесения к конфиденциальной информации.
Классификация осуществляется как по типу информации, так и по местам ее хранения.
Конфиденциальную информацию обычно классифицируют следующим образом:
Бухгалтерская информация и иные сведения, которые раскрываются в связи с требованиями законодательства, к категории конфиденциальных данных обычно не относятся.
Меры по обеспечению информационной безопасности
Обеспечение безопасности должно основываться на одновременном применении всего комплекса мер, предусмотренных законом или предлагаемых специалистами. Технические и организационные меры необходимо соразмерять с возможностями организации и информационной системы.
Система мер, рекомендуемая для большинства компаний, перед которыми стоит вопрос защиты информации, призвана обеспечить соблюдение основных признаков ее безопасности:
Организационные меры
К организационным мерам обеспечения информационной безопасности в первую очередь относится разработка положений, регламентов и процессов взаимодействия. Принятие некоторых внутренних нормативных актов регламентируется требованиями законодательства, к ним относится, например, положение об обработке персональных данных, которое должен разработать и разместить на своем сайте каждый оператор ПД.
Мероприятия по защите информации организационного характера не ограничиваются разработкой положений. Кроме этого, необходимо произвести:
Технические меры
К техническим средствам и мерам обеспечения информационной безопасности относятся не только программные продукты, например, DLP-системы, но и другие инструменты, находящиеся в распоряжении компании. Меры защиты информации с технической точки зрения должны опираться на модель построения информационной системы предприятия, позволяющую выстроить оборону против посягательств на конфиденциальные сведения.
К принципам построения такой системы относятся:
При реализации этих принципов обеспечения информационной безопасности рассматриваются вопросы об использовании дополнительных технических средств защиты информации, к которым относятся:
Меры по обеспечению информационной безопасности должны быть разумными, бизнес-процессы предполагают, что на защиту ресурсов не должны тратиться средства, сравнимые с их стоимостью. Излишняя нагрузка на бизнес или персонал окажется нецелесообразной.
Технологии защиты информации в компании
Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.
Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ
Базовые элементы информационной безопасности
Рассмотрим основные составляющие информационной безопасности:
Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.
Разновидности угроз информационной безопасности
Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.
Угрозы доступности
Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.
Рассмотрим подробнее источники угроз доступности:
Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.
Угрозы целостности
Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:
Внимание! Угроза нарушения целостности касается и данных, и самих программ.
Базовые угрозы конфиденциальности
Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:
Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.
Методы защиты информации
Методы защиты, как правило, используются в совокупности.
Инструменты организационно-правовой защиты
Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.
Инструменты инженерно-технической защиты
Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:
Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.
Криптографические инструменты защиты
Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:
КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.
Программно-аппаратные инструменты для защиты сведений
Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:
В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.