126. Информационная безопасность: понятие, организационно-правовые спо-собы охраны и защиты информации. Система защиты информации.

Информационная безопасность – состояние защищённости информации, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государств. Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Организационная защита информации — это регламентация деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз.

Организационная защита обеспечивает:

-организацию охраны, режима, работу с кадрами, с документами;

-использование технических средств безопасности и информационно-аналитическую деятельность по выявлению внутренних и внешних угроз предпринимательской деятельности.

Организационная защита включает в себя регламентацию:

1) Формирования и организации деятельности службы безопасности, обеспечения деятельности этих служб нормативно-методическими документами по организации защиты информации.

2) Составления и регулярного обновления состава защищаемой информации компании, составления и ведения перечня защищаемых бумажных и электронных документов.

3) Разрешительной системы разграничения доступа персонала к защищаемой информации.

4) Методов отбора персонала для работы с защищаемой информацией, методики обучения и инструктирования сотрудников.

5) Направлений и методов воспитательной работы с персоналом, контроля соблюдения сотрудниками порядка защиты информации.

6) Технологии защиты, обработки и хранения бумажных и электронных документов.

7) Порядка защиты ценной информации компании от случайных или умышленных несанкционированных действий персонала.

8) Ведения всех видов аналитической работы.

9) Порядка защиты информации при проведении совещаний, заседаний, переговоров, приеме посетителей, работе с представителями СМИ.

10) Оборудования и аттестации помещений и рабочих зон, выделенных для работы с конфиденциальной информацией.

11) Пропускного режима на территории, в здании, помещениях, идентификации транспорта и персонала компании.

12) Системы охраны территории.

13) Действий персонала в экстремальных ситуациях.

14) Организационных вопросов приобретения, установки и эксплуатации технических средств защиты информации и охраны.

15) Работы по управлению системой защиты информации.

16) Критериев и порядка проведения оценочных мероприятий по установлению степени эффективности системы защиты информации.

Система организационных мер по защите информации представляют собой комплекс мероприятий, включающих четыре основных компонента:

— изучение обстановки на объекте;

— разработку программы защиты;

— деятельность по проведению указанной программы в жизнь;

— контроль за ее действенностью и выполнением установленных правил.

Выделяют следующие организационные мероприятия:

— ознакомление с сотрудниками, их изучение, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.;

— организация надежной охраны помещений и территории прохождения линии связи;

— организация, хранения и использования документов и носителей конфиденциальной информации, включая порядок учета, выдачи, исполнения и возвращения;

— создание штатных организационных структур по защите ценной информации или назначение ответственного за защиту информации на конкретных этапах еѐ обработки и передачи;

— создание особого порядка взаимоотношений со сторонними организациями и партнерами;

— организация конфиденциального делопроизводства.

Правовые основы защиты информации – это законодательный орган защиты информации, в котором можно выделить до 4 уровней правового обеспечения информационной безопасности информации и информационной безопасности.

Первый уровень правовой охраны информации и защиты состоит из международных договоров о защите информации и государственной тайны, к которым присоединилась и Российская Федерация с целью обеспечения надежной информационной безопасности РФ. Кроме того, существует доктрина информационной безопасности РФ, поддерживающая правовое обеспечение информационной безопасности нашей страны.

Правовое обеспечение информационной безопасности РФ:

Международные конвенции об охране информационной собственности, промышленной собственности и авторском праве защиты информации в интернете;

Конституция РФ (ст. 23 определяет право граждан на тайну переписки, телефонных, телеграфных и иных сообщений);

Гражданский кодекс РФ (в ст. 139 устанавливается право на возмещение убытков от утечки с помощью незаконных методов информации, относящейся к служебной и коммерческой тайне);

Уголовный кодекс РФ (ст. 272 устанавливает ответственность за неправомерный доступ к компьютерной информации, ст. 273 — за создание, использование и распространение вредоносных программ для ЭВМ, ст. 274 — за нарушение правил эксплуатации ЭВМ, систем и сетей);

Федеральный закон «Об информации, информатизации и защите информации» от 20.02.95 № 24-ФЗ (ст. 10 устанавливает разнесение информационных ресурсов по категориям доступа: открытая информация, государственная тайна, конфиденциальная информация, ст. 21 определяет порядок защиты информации);

Федеральный закон «О государственной тайне» от 21.07.93 № 5485-1 (ст. 5 устанавливает перечень сведений, составляющих государственную тайну; ст. 8 — степени секретности сведений и грифы секретности их носителей: «особой важности», «совершенно секретно» и «секретно»; ст. 20 — органы по защите государственной тайны, межведомственную комиссию по защите государственной тайны для координации деятельности этих органов; ст. 28 — порядок сертификации средств защиты информации, от¬ носящейся к государственной тайне); Защита информации курсовая работа.

Федеральные законы «О лицензировании отдельных видов деятельности» от 08.08.2001 № 128-ФЗ, «О связи» от 16.02.95 № 15-ФЗ, «Об электронной цифровой подписи» от 10.01.02 № 1-ФЗ, «Об авторском праве и смежных правах» от 09.07.93 № 5351-1, «О право¬ вой охране программ для электронных вычислительных машин и баз данных» от 23.09.92 № 3523-1 (ст. 4 определяет условие при¬ знания авторского права — знак © с указанием правообладателя и года первого выпуска продукта в свет; ст. 18 — защиту прав на программы для ЭВМ и базы данных путем выплаты компенсации в размере от 5000 до 50 000 минимальных размеров оплаты труда при нарушении этих прав с целью извлечения прибыли или путём возмещения причиненных убытков, в сумму которых включаются полученные нарушителем доходы).

Второй уровень правовой защиты информации

На втором уровне правовой охраны информации и защиты (ФЗ о защите информации) – это подзаконные акты: указы Президента РФ и постановления Правительства, письма Высшего Арбитражного Суда и постановления пленумов ВС РФ.

Третий уровень правового обеспечения системы защиты информации

К данному уровню обеспечения правовой защиты информации относятся ГОСТы безопасности информационных технологий и обеспечения безопасности информационных систем.

Также на третьем уровне безопасности информационных технологий присутствуют руководящие документы, нормы, методы информационной безопасности и классификаторы, разрабатывающиеся государственными органами.

Четвертый уровень стандарта информационной безопасности защиты конфиденциальной информации образуют локальные нормативные акты, инструкции, положения и методы информационной безопасности и документация по комплексной правовой защите информации рефераты по которым часто пишут студенты, изучающие технологии защиты информации, компьютерную безопасность и правовую защиту информации.

Система защиты информации (СЗИ) включает в себя виды обеспечения: правовое, организационное, аппаратное, программное, математическое, информационное, лингвистическое, нормативно-методическое

127. Особые правовые режимы информации: понятие, режим персональных данных, режимы государственной, служебной, коммерческой тайны и от-ветственность за ее разглашение. Правовой режим информации - это объектный режим, вводимый законодательным актом и позволяющий обеспечить комплексность воздействия в информационной сфере посредством совокупности регулятивных, охранительных, процессуально-процедурных средств, характеризующих особое сочетание дозволений, запретов и обязываний, а также гарантий по его соблюдению. Правовой режим информации возникает в результате правового регулирования, учитывающего общественные потребности и интересы, интересы государства и личности в отношении информации.

Виды правового режима информации:

Общий правовой режим информации характеризуется открытостью, доступностью информации как для физических, так и для юридических лиц. Исключения из общего режима информации могут устанавливаться только законом.

Общий правовой режим информации складывается из:

права свободно получать информацию;

права свободно передавать информацию;

права свободно распространять информацию.

Режим общедоступной информации представляет собой максимально возможную свободу не только доступа, но и использования информации, что можно охарактеризовать следующим образом:

Круг лиц, имеющих право получить общедоступную информацию, неограничен.

Форма предоставления информации зависит от конкретной ситуации.

Цель предоставления информации не имеет значения.

Доступ к информации открытый.

Объем предоставляемой информации неограничен.

Специальные правовые режимы информации направлены на охрану сведений, свободное распространение которых нарушает права и законные интересы общества, государства, личности.

Специальный режим не просто ограничивает доступ к информации, ее использование и распространение, а определяет степень жесткости регулирования, возможные исключения, их основания, порядок введения и прекращения действия режима, сроки его действия.

Так «конфиденциальность информации» означает специальный правовой режим, установленный законом или на основании закона, и предусматривающий:

ограничение доступа;

запрет на передачу третьим лицам без согласия обладателя информации (за исключением случаев, установленных законом);

запрет на распространение информации (вытекающий из первых двух позиций);

возможность, по общему правилу, обладателя информации самостоятельно решать вопрос о сохранении конфиденциальности;

производный характер обязанности по сохранению конфиденциальности информации одного субъекта от исполнения первичной обязанности другим субъектом – обладателем информации предоставить ее органу государственной власти или органу местного самоуправления, а также контрагенту по договору или иному лицу.

Таким образом, можно заключить, что правовой режим информации определяется нормами, устанавливающими:

порядок документирования информации;

право собственности на отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах;

категорию информации по уровню доступа к ней;

порядок правовой защиты информации.

правовой режим персональных данных - нормативно установленные правила, определяющие условия доступа, хранения, уточнения, передачи, блокирования, обезличивания и уничтожения персональных данных. Персональные данные, находящиеся в ведении держателя, относятся к конфиденциальной информации, кроме случаев, определенных настоящим Законом. Режим конфиденциальности персональных данных снимается в случаях обезличивания персональных данных; требований субъекта в отношении своих персональных данных, не противоречащих национальному законодательству; включения персональных данных в общедоступные базы данных. По желанию субъекта для его персональных данных может быть установлен режим общедоступной информации (био-, библиографические справочники, телефонные книги, адресные книги, частные объявления и т.д.). С момента смерти субъекта персональных данных правовой режим персональных данных подлежит замене на режим архивного хранения или иной правовой режим, предусмотренный национальным законодательством. Правовой режим для персональных данных, полученных в результате деятельности правоохранительных органов, устанавливается в соответствии с национальным законодательством. Защита персональных данных умершего лица может осуществляться другими лицами, в том числе наследниками, в порядке, предусмотренном национальным законодательством о защите чести, достоинства, деловой репутации, личной и семейной тайн.

Режим государственной тайны – административно-правовой, суть которого заключается в жестком ограничении доступа к такой информации, надежной защите ее от несанкционированного доступа и четком определении круга лиц, которым предоставляется доступ к такой информации.

режим служебной тайны – совокупность правовых, организационных, технических и иных мер, принимаемых уполномоченными должностными лицами органов государственной власти и организаций, обеспечивающих ограничения на распространение сведений, составляющих служебную тайну, и на доступ к этим сведениям; Служебная тайна по сравнению с государственной носит более ограни­ченный, ведомственный характер. В настоящее время правовое регулиро­вание служебной тайны основывается на норме ч. 1 ст. 139 ГК РФ, со­гласно которой информация составляет служебную или коммерческую тайну в случае, когда информация:

— имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам;

— к ней нет свободного доступа на законном основании;

— обладатель информации принимает меры к охране ее конфиденциаль­ности. Законодательного акта, который бы более подробно регулировал правовой режим служебной тайны, не было никогда, нет и сейчас.

Право установления режима коммерческой тайны имеет обладатель коммерческой тайны. Конфидент коммерческой тайны обязан установить режим коммерческой тайны, если это следует из обязательств, содержащихся и договоре, заключенном с обладателем коммерческой тайны. В других случаях конфидент коммерческой тайны обязан соблюдать режим коммерческой тайны, установленный ее обладателем. При этом на носителе информации или на сопроводительном документе устанавливается гриф "Коммерческая тайна".

Лицо, устанавливающее режим коммерческой тайны, самостоятельно определяет критерии отнесения информации к коммерческой тайне, срок действия режима коммерческой тайны и совокупность мер по обеспечению режима коммерческой тайны в отношении получаемой информации, в том числе постановку и снятие грифа коммерческой тайны, порядок доступа к коммерческой тайне, выбор и использование средств и методов защиты, хранения и передачи информации, составляющей коммерческую тайну.

Обязательной мерой по обеспечению режима коммерческой тайны является заключение соглашений о конфиденциальности или иных договоров, подтверждающих обязательство о неразглашении коммерческой тайны.

Дополнительные меры по обеспечению режима коммерческой тайны обладатель и конфидент коммерческой тайны устанавливают по Собственному усмотрению. Дополнительными мерами могут быть установление специального порядка доступа к сведениям, составляющим коммерческую тайну, проставление специального грифа на документах, содержащих указанные сведения, ограничение круга физических лиц, имеющих доступ к указанным сведениям.

Изменение или отмена режима коммерческой тайны. Обладатель коммерческой тайны имеет право изменить или отменить режим коммерческой тайны, если это не нарушает обязательства, принятые им на себя при заключении соглашения о конфиденциальности или иных договоров. При изменении или отмене режима коммерческой тайны обладатель коммерческой тайны обязан в письменной форме известить об этом конфидента коммерческой тайны, с которым имеется соответствующее соглашение.

При ликвидации юридического лица - обладателя коммерческой тайны ликвидационная комиссии (ликвидатор) принимает решение о возможности и порядке дальнейшего использования и охраны информации, составлявшей коммерческую тайну ликвидируемого юридического лица.

Правомерное получение и использование информации, составляющей коммерческую тайну. Коммерческая тайна, полученная от ее обладателя на основании договора или в результате правопреемства, считается полученной правомерно. Информация, полученная лицом без использования неправомерных средств при проведении исследований по собственной инициативе, систематических наблюдений и сбора сведений, считается полученной правомерно и самостоятельно независимо от того, что содержание указанной информации может совпадать с со держанием коммерческой тайны другого лица.

Лицо, правомерно и самостоятельно получившее информацию, одновременно являющуюся коммерческой тайной другого лица, становится обладателем коммерческой тайны со всеми правами, предусмотренными законодательством.

Ответственность.

Статья 24 Закона о персональных данных предусматривает, что лица, виновные в нарушении требований этого Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность.

Разглашение сведений, составляющих государственную тайну, лицом, которому она была доверена или стала известна по службе или работе, если эти сведения стали достоянием других лиц, при отсутствии признаков государственной измены - наказывается арестом на срок от четырех до шести месяцев либо лишением свободы на срок до четырех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового. То же деяние, повлекшее по неосторожности тяжкие последствия, (в ред. Федерального закона от 25.06.1998 N 92-ФЗ) наказывается лишением свободы на срок от трех до семи лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет.

Разглашение служебной тайны влечет наступление юридической ответственности в соответствии с законодательством Российской Федерации. В ряде случаев за разглашение служебной тайны закон предусматривает уголовную ответственность (например, за разглашение тайны усыновления, или за разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну, лицом, которому такие сведения стали известны по службе)

ФЗ «О коммерческой тайне» устанавливает дисциплинарную, гражданско-правовую, административную или уголовную ответственность за разглашение коммерческой тайны, в соответствии с законодательством Российской Федерации. Установление меры ответственности зависит от того, в какой период произошло разглашение.

Если разглашение произошло в период действия трудового договора, работник обязан возместить работодателю причиненный ущерб (п. 4 ч. 3 ст. 11 Закона). Иными словами, имеется в виду «реальный ущерб», как он определен в ст. 15 ГК РФ, т. е. расходы, которые работодатель (обладатель коммерческой тайны) понес или должен будет понести для восстановления нарушенного права, а также утрата или повреждение имущества работодателя.

При этом не могут быть взысканы доходы, которые работодатель еще не получил, но мог бы получить, если бы его право не было нарушено. Не могут быть взысканы и доходы с работника-нарушителя режима коммерческой тайны. Работник не несет имущественной ответственности в рамках гражданского права за разглашение коммерческой тайны.

Если коммерческую тайну разгласил руководитель организации, то он независимо от того, действует ли с ним трудовой договор, обязан возместить причиненные убытки. Соглашением может предусматриваться также взыскание с него неустойки.

Если в действиях работника, нарушившего режим коммерческой тайны, отсутствует состав преступления, то к нему могут быть применены меры дисциплинарной ответственности, то есть замечание, выговор или увольнение. При этом работодателям следует учитывать, что на сегодняшний день по вопросам оспаривания работниками увольнения за разглашение охраняемой законом тайны, ставшей известной при исполнении работником своих трудовых обязанностей, есть сложившаяся судебная практика.

Так, на основании п.43 Постановления Пленума Верховного Суда Российской Федерации от 17.03.2004 N 2 «О применении судами Российской Федерации Трудового кодекса Российской Федерации», если работник оспаривает свое увольнение по п.6 ст.81 ТК РФ, то работодатель обязан представить доказательства. Доказательства должны подтверждать, что разглашенные работником сведения, в соответствии с действующим законодательством, относятся к коммерческой или иной охраняемой законом тайне, данные сведения стали известны работнику в связи с исполнением им трудовых обязанностей, и он обязывался не разглашать такие сведения.

Если разглашение произошло после прекращения (или расторжения) трудового договора, то на бывшего работника распространяются нормы гражданско-правовой ответственности. Это означает, что он обязан возместить убытки работодателя, а убытки – это совокупность реально причиненного ущерба и упущенной выгоды (по определению ст. 15 ГК РФ). Соглашение, заключенное между работником и работодателем, может предусматривать также обязанность работника в случае разглашения коммерческой тайны по окончании трудового договора возместить и неустойку.

Причиненные убытки не возмещаются лицом (настоящим работником либо бывшим), нарушившим режим коммерческой тайны по причине:

а) непреодолимой силы,

б) нормального хозяйственного риска,

в) крайней необходимости или необходимой обороны,

г) неисполнения работодателем обязанности по обеспечению надлежащих условий для хранения информации.

В случае, если работодатель не ознакомил работника с перечнем сведений, составляющих служебную коммерческую тайну, и не информировал работника об установленном им режиме такой тайны, он должен доказать, что работник знал или должен был знать о том, что определенная информация является коммерческой тайной, прибегая к другим (письменным и иным) различным доказательствам (например, ссылаясь на гриф «коммерческая тайна», проставленный на документе). Однако работодатель не может ссылаться на свидетельские показания (п. 1 ст. 162 ГК РФ).