4.4Огляд зарубіжного законодавства у області інформаційної безпеки

Звичайно, зайва амбітність заголовка очевидна. Зрозуміло, ми лише пунктиром обкреслимо деякі закони декількох країн (в першу чергу - США), оскільки тільки в США таких законодавчих актів близько 500.

Ключову роль грає американський "Закон про інформаційну безпеку" (Computer Security Act of 1987, Public Law 100-235 (H.R. 145), January 8, 1988). Його мета - реалізація мінімально достатніх дій по забезпеченню безпеки інформації у федеральних комп'ютерних системах, без обмежень всього спектру можливих дій.

Характерний, що вже на початку Закону називається конкретний виконавець - Національний інститут стандартів і технологій (NYST), що відповідає за випуск стандартів і керівництва, направлених на захист від знищення і несанкціонованого доступу до інформації, а також від крадіжок і фальсифікацій, що виконуються за допомогою комп'ютерів. Таким чином, є на увазі як регламентація дій фахівців, так і підвищення інформованості всього суспільства.

Згідно Закону, всі оператори федеральних ІС, що містять конфіденційну інформацію, повинні сформувати плани забезпечення ІБ. Обов'язковим є і періодичне навчання всього персоналу таких ІС. NYST, у свою чергу, зобов'язаний проводити дослідження природи і масштабу вразливих місць, виробляти економічно виправдані заходи захисту. Результати досліджень розраховані на застосування не тільки в державних системах, але і в приватному секторі.

Для захисту федеральних ІС рекомендується ширше застосовувати технологічні рішення, засновані на розробках приватного сектора. Крім того, пропонується оцінити можливості загальнодоступних зарубіжних розробок.

Вітається розробка правил безпеки, нейтральних по відношенню до конкретних технічних рішень, використання у федеральних ІС комерційних продуктів, участь в реалізації шифрувальних технологій, що дозволяє зрештою сформувати інфраструктуру, яку можна розглядати як резервну для федеральних ІС.

У 2001 році був схвалений законопроект - Computer Security Enhancement Act of 2001 (H.R. 1259 RFS), який дозволив не загострювати більш за увагу на криптографії як такий, а зосередитися на одному з її найважливіших додатків - автентифікації, розглядаючи її за відпрацьованій на криптозасобах методиці.

Програма безпеки, що передбачає економічно виправдані захисні заходи і синхронізована з життєвим циклом ІС, згадується в законодавстві США неодноразово.

Звичайно, в законодавстві США є в достатній кількості і положення обмежувальної спрямованості, і директиви, що захищають інтереси таких відомств, як Міністерство оборони, ANB, ФБР, ЦРУ, але ми на них не зупинятимемося.

У законодавстві ФРН виділимо вельми розгорнений (44 розділи) Закон про захист даних (Federal Data Protection Act of December 20, 1990 (BGBl.I 1990 S.2954), amended by law of September 14, 1994 (BGBl. I S. 2325)). Він цілком присвячений захисту персональних даних.

Як, ймовірно, і у всіх інших законах аналогічної спрямованості, в даному випадку встановлюється пріоритет інтересів національної безпеки над збереженням таємниці приватного життя. У іншому права особи захищені вельми ретельно. Наприклад, якщо співробітник фірми обробляє персональні дані на користь приватних компаній, він дає підписку про нерозголошування, яка діє і після переходу на іншу роботу.

Державні установи, що зберігають і оброблюють персональні дані, несуть відповідальність за порушення таємниці приватного життя "суб'єкта даних", як мовиться в Законі. У матеріальному виразі відповідальність обмежена верхньою межею в 250 тисяч німецьких марок.

Із законодавства Великобританії згадаємо сімейство так званих добровільних стандартів BS 7799, що допомагають організаціям на практиці сформувати програми безпеки. У подальших лекціях ми ще повернемося до розгляду цих стандартів; тут же відзначимо, що вони дійсно працюють, не дивлячись на "добровільність" (або завдяки ній?).

У сучасному світі глобальних мереж законодавча база повинна бути узгоджена з міжнародною практикою. У цьому плані повчальний приклад Аргентини. В 1996 року компетентними органами Аргентини був арештований, системний оператор електронної дошки оголошень. Йому ставилися в провину систематичні вторгнення в комп'ютерні системи ВМС США, НАСА, багатьох найбільших американських університетів, а також в комп'ютерні системи Бразилії, Чилі, Кореї, Мексики і Тайваню. Проте, він був відпущений без офіційного пред'явлення звинувачень, оскільки за аргентинським законодавством вторгнення в комп'ютерні системи не вважається злочином.