Правовая защита информации, информационных ресурсов и информационных систем

Вопросы защиты информации регулируются Главой 7 Закона «Об информации…».

Защите подлежит информация, неправомерные действия в отношении которой могут причинить вред ее обладателю, пользователю или иному лицу.

Целями защиты информации являются:

• Обеспечение национальной безопасности, суверенитета Республики Беларусь;

• Сохранение информации о частной жизни физических лиц и неразглашение персональных данных, содержащихся в информационных системах;

• Обеспечение прав субъектов информационных отношений при создании, использовании и эксплуатации информационных систем и информационных сетей, использовании информационных технологий, а также формировании и использовании информационных ресурсов;

• Недопущение неправомерного доступа, уничтожения, модификации (изменения), копирования, распространения и (или) предоставления информации, блокирования правомерного доступа к информации, а также иных неправомерных действий.

Требования по защите информации в государственных информационных системах, а также в ИС, содержащих информацию ограниченного доступа определяются законодательством РБ.

Защита организуется:

1. В отношении общедоступной информации – лицом, осуществляющим распространение и/или предоставление такой информации

2. В отношении информации распространение и распространение которой ограничено – собственником или оператором информационной системы, содержащей такую информацию либо обладателем информации если такая информация не содержится в информационных системах

3. Иными лицами, в случаях, определенных законодательством РБ.

Информация, распространение и (или) предоставление которой ограничено, а также информация, содержащаяся в государственных информационных системах, должны обрабатываться в информационных системах с применением системы защиты информации, аттестованной в порядке, установленном Советом Министров Республики Беларусь от 26.05.2009 № 675?

Аттестацию систем защиты информации проводит организация, имеющая соответствующие лицензии, которые выдает ОАЦ.

Владельцы государственных информационных систем обязаны иметь структурное подразделение по технической защите информации либо должностное лицо, ответственное за обеспечение защиты информации. Если есть структурное подразделение по технической защите информации, тогда оно производит аттестацию системы защиты информации владельцами которой они являются.

Аттестация системы защиты информации проводится до ввода системы в эксплуатацию. На основании аттестации выдается аттестат соответствия, который является основанием для использования системы защиты информации на период времени, установленный в аттестате соответствия.

Порядок зашиты информации в гос ИС, а также … -- ПСМ от 26.05.2009 № 675.

Паровые и организационные основы криптографической и технической защиты информации в РБ – Положение от 16.04.2013 года № 196 (действует с 19.10.2013).

Техническая защита (Смотри тему 7)

Криптографическая защита теперь находится в компетенции ОАЦ.

Криптографическая защита – это деятельность, направленная на обеспечение конфиденциальности, контроля целостности и подлинности информации с использованием технических, программных, программно-аппаратных средств защиты информации, реализующие один или несколько криптографических алгоритмов (шифрование, выработка и проверка ЭЦП и митозащита) и криптографические протоколы, а также функции управления криптографическими ключами, механизмы идентификации и аутентификации.

КГБ – только шифрование.

Техническая защита должна быть установлена на следующих объектах:

• Объекты информатизации, предназначенные для обработки информации, содержащей государственные секреты;

• Информационные системы, предназначенные для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам;

• Критически важные объекты информатизации.

К объектам, на которых осуществляется криптографическая защита информации, относятся:

• Государственные информационные системы в части обеспечения целостности и подлинности электронных документов;

• Информационные системы, предназначенные для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам;

• Критически важные объекты информатизации – объект обеспечивающий функционирование экологически опасных и или социально значимых производств и технологических процессов, нарушение штатного режима которых может привести к ЧС техногенного характера. Объект, который осуществляет функции ИС нарушение функционирования которой может привести к значительным негативным последствиям для национальной безопасности в политической, экономической, социальной, информационной и экологической сферах; объект, обеспечивающий предоставление значительного объема информационных услуг, частичное или полное прекращение обладания которых может привести к значительным негативным последствиям для национальной безопасности.

Следует отметить, что подключение ИС, обрабатывающих информацию ограниченного доступа к сетям общего пользования, в том числе к Интернету запрещено.

Создание, эксплуатация систем защиты информации в ИС осуществляется подразделением технической защиты информации или назначенными должностными лицами, ответственные за техническую защиту информацию.

Перечень должностей работников РОГУ и иных государственных организаций, подчиненных Правительству РБ в компетенцию которых входит обеспечение ИБ этих органов утверждено Постановлением Митркда и соцзащиты от 30.08.2004 года № 99.

• Руководитель республиканского органа государственного управления

• Первый заместитель (заместитель) руководителя республиканского органа государственного управления

• Главный инженер государственной организации, подчиненной Правительству Республики Беларусь

• Ведущие специалисты всех наименований, обеспечивающие информационную безопасность

• Главные специалисты по защите государственных секретов

Постановлению СМ от 31. № 646 работники РОГУ и иных госорганизаций в компетенцию которых входит обеспечение ИБ в обязательном порядке проходят повышение квалификации не реже 1 раза в 3 года.

К работам по созданию систем защиты информации могут привлекаться организации, имеющие соответствующие лицензии ОАЦ.

Ответственность за организацию защиты информации возлагается на руководителя организации.

Комплекс мероприятий по созданию систем защиты информации в ИС включает в себя:

1. Классификацию хранящихся и обрабатываемых в ИС сведений и разделение информаций по категориям

2. Анализ организационной структуры ИС

3. Присвоение ИС класса типового объекта информатизации в соответствии с нормативно-техническими актами

4. Разработка или корректировка политики ИБ под которой понимается совокупность документированных правил, процедур и требований в области защиты информации, действующих в организации.

5. Разработка задания по безопасности на информационную систему в соответствии с нормативно-техническими документами.

6. Реализация требований задания по безопасности в ИС

7. Оценка соответствия системы защиты информации требованиям НПА;

8. Ввод ИС в эксплуатацию.

Планируется создать банковское подразделение при Центре банковских технологий. Оно негосударственное!! Пока только ОАЦ.

Задача: противодействие кибер-мошенничесву.