12 Сентября 2012г.

//продолжение…

Закон «Об информации, информатизации и защите информации» впервые в законодательной практике России:

1. Определил обязанности государства в сфере формирования информационных ресурсов и информатизации и основные направления в государственной политике в этой сфере.

2. Закрепил права граждан, организации и государства на информацию.

3. Установил правовой режим информационных ресурсов на основе применения в этой области порядка документирования, права собственности на документы и массивы документов в информационных системах, деление информации по признаку доступа на открытую и с ограниченным доступом, порядка правовой защиты информации.

4. Развил правовой режим признания за документами, полученными от автоматизированных информационных систем юридической силы, в т.ч. подтверждение ЭЦП.

5. Определил информационные ресурсы как элемент состава имущества и объект права собственности.

6. Установил основные права и обязанности государства, организации и граждан в процессе создания информационных систем, создания и развития научно–технической, производственной базы информатизации, формирование рынка информационной продукции услуг в этой сфере.

7. Разграничил права собственности и права авторства на информационные системы, технологии и средства их обеспечения.

8. Установил правила и общие требования ответственности за нарушение норм законодательства в области информатизации и защиты информации в системах ее обработки, гарантии субъектов в процессе реализации права на информацию, и гарантии безопасности в области информатизации.

Выделим основные положения этого закона в части вопросов, относящихся к безопасности информации.

• В статье 10-ой закона «Информационные ресурсы по категориям доступа» определяется, что информация подразделяется на категории открытого и ограниченного доступа, причем информация ограниченного доступа по условиям её правового режима подразделяется на отнесенную к государственной тайне и конфиденциальную. Отнесение к государственной тайне осуществляется в соответствии с законом «О государственной тайне».

• В статье 19-ой «Сертификации информационных систем, технологии, средства их обеспечения и лицензирование деятельности по формированию и использованию информационных ресурсов» предусматривается обязательность сертификации информационных систем, обрабатывающих информацию с ограниченным доступом, и соедств защиты информации, используемых в этих системах, а также лицензирование деятельности в области производства средств защиты информации. Вся пятая глава закона посвящена вопросам защиты информации и прав субъектов в области информатизации

• В статье 20-ой закона объявляются цели защиты информации:

1. Предотвращение утечки, хищения, утраты, искажения, и подделки информации.

2. Предотвращение угроз безопасности личности, общества и государства.

3. Предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации и других форм незаконного вмешательства в информационные ресурсы и системы.

4. Защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, накапливаемых в информационных системах.

5. Обеспечение правового режима документированной информации как объекта собственности.

6. Сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством.

7. Обеспечение прав субъектов в информационных процессах при разработке, производстве и применение информационных систем.

• В статье 21-ой «Защита информации» предусматривается, что защите подлежит вся документированная информация, неправомерное обращение к которой может привести к ущербу ее собственнику, владельцу и иному лицу. При этом режим защиты информации устанавливается:

1. В отношении свежений, отнесенных к государственной тайны, уполномоченными органами на основании закона «О госудаственной тайне».

2. В отношении конфиденциальной информации собственником информационных ресурсов или уполномоченным лицом на основании настоящего закона.

3. В отношении персональных данных — отдельным федеральным законом «О защите персональных данных».

Кроме того, в 21-ой статье предусматривается необходимость создания специальных служб, обеспечивающих защиту информации с ограниченным доступом, которая является собственностью государства, а также необходимость контроля защищенности информации, и права запрещать или приостанавливать обработку информации в случае невыполнения требований по ее защите.

• В статье 22-ой «Права и обязанности субъектов в области защиты информации» отмечается, что:

1. Собственник информационных ресурсов и систем или уполномоченные им лица устанавливают порядок предоставления информации пользователю, а также необходимых процедур и обеспечивают условия доступа, а владелец информационных ресурсов и систем обеспечивает уровень их защиты в соответствии с законодательством.

2. Риск, связанный с использованием несертифицированных систем и средств их обеспечения, лежит на их собственнике, а информация, полученная из этих систем, на ее потребителей.

3. Владелец информационной системы обязан оповещать собственника информационных ресурсов или систем о всех фактах нарушения защиты информации.

Являясь базовым, среди специальных законов в области информатизации и защиты информации, этот закон был принят и введен в действие после других законов, как законы РФ «О правовой охране программ для ЭВМ и БД», «О правовой охране топологии интегральных микросхем», «О государственной тайне». Однако основные положения этих законов согласуются между собой. Кроме того, некоторые из этих положений согласуются и с отдельными положениями в законодательстве в смежных областях. В частности, можно отметить закон РФ «О безопасности», в котором предусматривается создание служб обеспечения безопасности средств связи и информатизации.

Как уже отмечалось, вопросы защиты информации, отнесенных к государственной тайне, регулируются на основании закона РФ «О государственной тайне» на статьи 27 и 28 которого, следует обратить особое внимание.

• Статья 27 «Допуск предприятий, учреждений и организаций к проведению работ, связанных с использований сведений, составляющих государственную тайну» предусматривает, обязательное получение ими лицензии на проведение работ со сведениями, соответствующей степени секретности, создании средств защиты информации, осуществление мероприятий или оказании услуг по защите государственной тайны, а также условия получения этих лицензий.

• Статья 28 «Порядок сертификации средств защиты информации» предусматривает, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие к требованиям по защите сведений, соответствующей степени секретности, а также возлагает организацию сертификаций на ФСТЭК, ФСБ в соответствии с функциями, возложенными на них законодательством РФ. Эти требования закона о государственной тайне перекликаются с требованиями статьи 19-ой закона «Об информации, информатизации и защите информации».

Правовые основы добровольной и обязательной сертификации продукции и услуг, а также полномочия государственных органов управления РФ, на которые законодательными актами возлагаются организация и проведение работ по обязательной сертификации, устанавливает отдельный закон РФ «О сертификации продукции и услуг».

Важным шагом в направлении укрепления правой основы предпринимательской деятельности в РФ явилось законодательное закрепление института коммерческой тайны.

Одной из целей закона РФ о коммерческой тайне является создание со стороны государства необходимых гарантий защиты субъектов путем предоставления им права засекречивать ценную информацию в качестве коммерческой тайны для защиты ее владельца от промышленного шпионажа и недобросовестной конкуренции.

В системе мер, по обеспечению безопасности информации, видное место должно занимать правоохранительное законодательство, включающее нормы ответственности за правонарушение в области информатизации, должно быть направлено не только на наказание за преступное посягательство на информацию, но и на предупреждение этого. В этих целях важное значение имеет закон РФ «Об ответственности за злоупотребления при работе с информацией».

Тема: «Государственная система защиты информации, обрабатываемой техническими средствами».

Под государственной системой защиты информации понимается совокупность федеральных и иных органов управления, и взаимоувязанных правовых, организационных и иных мер, осуществляемых на разных уровнях управления и реализации информационных отношений, и направленных на обеспечение безопасности информационных ресурсов.

Работы по защите информации в РФ проводятся на основании требований законов РФ «О государственной тайне», «Об информации и информационных технологиях и защите информации», других законодательных актов РФ, а также положение о государственной системе защиты информации РФ от иностранных технических разведок и её утечки по техническим каналам, других нормативных требований по защите информации от утечки по техническим каналам.

Основными задачами государственной системы защиты информации являются:

1. Проведение единой технической политики, организация и координация работ по защите информации в оборонной, научно–технической, экономической, политической и других сферах деятельности.

2. Исключение (затруднение добывания) информации техническими средствами разведки, а также предотвращение утечки по техническим каналам, несанкционированного доступа к ней, предупреждение преднамеренных программно-технический воздействий с целью уничтожения или искажения информации в процессе ее обработки, передачи и хранения.

3. Принятие в пределах компетенции правовых актов, регулирующих отношения в области защиты информации.

4. Анализ состояния и прогнозирование возможности технических средств разведки и способов их применения.

5. Создание средств защиты информации и контроля за эффективностью защиты.

6. Контроль состояния защиты информации в органах государственной власти и на предприятиях.

Общая организация и координация работ в стране по защите информации, обрабатываемой техническими средствами, осуществляется коллегиальным органом — ФСТЭК. В ее состав входят руководители органов государственного управления, определяющих научно-техническую и финансовую политику по защите информации, или их первые заместители.

Деятельность ФСТЭК осуществляется на основе коллективного принятия членами решений по важнейшим вопросам защиты информации, рассматриваемые на ее заседаниях. ФСТЭК в пределах своей компетенции:

1. формирует общую стратегию, где определяет основные приоритетные направления в защите информации в жизненно–важных сферах деятельности государства с целью предотвращения ущерба интересам страны.

2. определяет основные направления исследований, рассматривает и утверждает концепции, требования, нормы и другие нормативно-технические и методические документы.

3. рассматривает и представляет на утверждение правительству проекты государственных программ по защите информации.

4. заслушивает руководителей министерств и ведомств государственных предприятий и объединений, главных конструкторов, по вопросам, связанных с защитой информации.

В своей работе по защите информации ФСТЭК активно взаимодействует с ФСБ, ГосСтандартом, и др. органами государственного управления в пределах их компетенции, имея в своем составе постоянных членов комиссии от этих органов управления.