36) Структура правовой защиты компьютерной информации.

Исходя из понимания сущности правовой защиты компьютерной информации, раскрытой в предыдущем параграфе, ее структуру можно представить в следующем виде:

• нормативно-правовая база защиты компьютерной информации;

• правоприменительная деятельность, обеспечивающая реализацию нормативно-правовой базы;

• юридическая ответственность за совершение компьютерных правонарушений (данный элемент рассмотрен отдельно в гл. 18 учебника).

Первым элементом структуры правовой защиты компьютерной информации является нормативно-правовая база. Она представляет собой совокупность правовых норм, закрепленных в правовых актах, которые непосредственно регулируют правоотношения,

возникающие при доступе к компьютерной информации, циркулирующей в информационных системах. Следующим элементом структуры правовой защиты компьютерной информации является деятельность по обеспечению точного применения нормативных актов. Особую роль обеспечение исполнения правовых норм играет в условиях информатизации.

Именно строгое и точное исполнение правовых предписаний позволяет обеспечить высокий уровень организованности в деятельности органов и организаций, использующих

информационные системы. Выделяются два направления, обеспечивающие реализацию требований нормативных правовых актов.

37) Основные направления правовой защиты компьютерной информации.

Можно выделить четыре направления правовой защиты компьютерной информации.

462 Глава 17. Правовые основы защиты компьютерной информации

К первому направлению относится регулирование деятельности персонала информационных систем, связанной с разработкой и эксплуатацией средств защиты компьютерной информации. Для защиты компьютерной информации от несанкционированного доступа создается система защиты информации, включающая организационные, физические, программные и аппаратные средства защиты компьютерной информации.

Создание технических средств защиты обеспечивается заказывающими органами и органами, ответственными за техническую эксплуатацию компьютерной техники и программное обеспечение. Система защиты информации обеспечивает безопасность обрабатываемой компьютерной информации во всех ее структурных элементах, на технологических участках обработки и в режимах функционирования информационных систем. Она включает при необходимости гарантированное уничтожение компьютерной информации ограниченного доступа, оставшейся после ее обработки в запоминающих устройствах.

Система защиты обеспечивает возможность

• осуществления контроля за сохранностью программного обеспечения;

• сигнализирует о несанкционированном доступе к защищаемым информационным ресурсам;

• позволяет контролировать доступ к техническим средствам, связанным с обработкой компьютерной информации;

• дает возможность настраивать и управлять средствами защиты компьютерной информации.

Заказывающие органы предусматривают в специальных разделах технических заданий требования по созданию системы защиты компьютерной информации. При приеме в эксплуатацию технических средств защиты компьютерной информации заказывающие органы представляют соответствующее заключение по вопросам защиты компьютерной информации от несанкционированного доступа к программным системам и закрытой компьютерной информации, а также по проверке и адаптации импортного программного обеспечения.

Вторым направлением правовой защиты является правовое закрепление обязанностей персонала по защите компьютерной информации от несанкционированного доступа при организации выполнения работ на компьютерной технике. Так, общее руководство и контроль за организацией защиты компьютерной информации от несанкционированного доступа на объектах информационной системы осуществляет оператор информационной системы. Персонал и пользователи обязаны строго соблюдать установленный порядок работы на информационных комплексах и несут персональную ответственность за защиту компьютерной информации на своих рабочих местах.

Третьим направлением правовой защиты является планирование и проведение мероприятий по защите компьютерной информации. Для этого разрабатываются планы соответствующих мероприятий, в которых отражаются конкретные мероприятия и действия должностных лиц по защите компьютерной информации применительно к условиям эксплуатации системы, порядок проведения этих мероприятий и определяются ответственные лица. Все программные средства, базы данных закрепляются за должностными лицами системы либо за соответствующими отделами и службами. Закрепление технических средств общего и специального программного обеспечения, а также носителей компьютерной информации с информационным обеспечением и базами данных пользователей осуществляется актами администрации информационной системы

или вышестоящего органа. Необходимо отметить, что техническое обслуживание и проведение ремонтных работ осуществляются только после стирания с запоминающих устройств компьютерной информации ограниченного пользования либо закрытия такой информации. Ответственность за стирание (закрытие) указанной информации возлагается на соответствующих должностных лиц.

Руководитель структурного подразделения информационной системы организует постоянный контроль за защитой компьютерной информации, обрабаты обрабатываемой техническими средствами. В состав разрабатываемых программных изделий запрещено включать программы, осуществляющие несанкционированные действия (так называемые компьютерные вирусы), в том числе для защиты программного продукта. Изменения в монтаже и размещении технических средств производятся только с разрешения начальника структурного подразделения.

Обрабатывание компьютерной информации ограниченного доступа одновременно с решением других задач допускается лишь при выполнении на объекте оговоренных в нормативных актах условий, а именно при функционировании в компьютерном комплексе программных средств защиты компьютерной информации от несанкционированного доступа, при наличии системы сигнализации о несанкционированном доступе к компьютерным устройствам.

464 Глава 17. Правовые основы защиты компьютерной информации

Состояние обеспечения защиты компьютерной информации и его соответствие требованиям нормативных правовых актов ежегодно проверяется соответствующими комиссиями.

Четвертым направлением правовой защиты компьютерной информации является регламентация деятельности персонала информационной системы, связанная с обращением со средствами разграничения доступа к компьютерной информации. Так, разграничение доступа к компьютерной информации, обрабатываемой на компьютерной технике в интересах нескольких пользователей одновременно, осуществляется средствами защиты с использованием идентифицирующих признаков (паролей) пользователей, вводимых путем подключения специальных устройств или набора на клавиатуре с устройств ввода компьютерной информации, а также другими способами. Устройства

блокировки хранятся в сейфах или специальных шкафах.

Лица, получившие устройства блокировки, несут персональную ответственность за их сохранность и использование. Для обеспечения функционирования системы разграничения доступа к компьютерной информации и техническим средствам разрабатывается таблица разграничения доступа к защищаемым ресурсам. Данная таблица подписывается руководителем подразделения информационной системы. Средства разграничения доступа к защищаемым ресурсам периодически должны подвергаться проверке с помощью специальных тестовых программ, разрабатываемых и поставляемых вместе с системой защиты компьютерной информации. Периодичность проверок и порядок их оформления определяются специально разработанными инструкциями по обеспечению защиты компьютерной информации. Контроль за проведением указанных проверок возлагается на службу обеспечения безопасности информации.