Козьминых С.И. Организация защиты информации в ОВД. Ч. 1

21

Г л а в а 2. ОРГАНИЗАЦИОННО-ПРАВОВЫЕ ОСНОВЫ

ЗАЩИТЫ ИНФОРМАТИЗАЦИИ В ОРГАНАХ ВНУТРЕННИХ ДЕЛ

1. Общая характеристика организационных методов защиты информации

Защита информации – это деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Известно, что в основе деятельности по защите информации лежат регламентирующие нормативные правовые акты. Однако реализуются они только в том случае, если подкрепляются организаторской деятельностью соответствующих структур, создаваемых в государстве, ведомствах, учреждениях и организациях. При рассмотрении вопросов безопасности информации такая деятельность относится к организации защиты информации.

Организационные методы защиты информации включают в себя меры, ме-

роприятия и действия, которые должны осуществлять должностные лица в процессе работы с информацией для обеспечения заданного уровня ее безопасности. Меры должны регламентировать деятельность людей и режимов работы средства хранения, обработки и передачи информации, а также управление доступом и контроль эффективности защиты информации.

На организационном уровне должны решаться следующие задачи обеспечения безопасности информации:

–организация работ по разработке системы защиты информации;

–ограничение доступа на объект и к ресурсам информации;

–разграничение доступа к ресурсам информации;

–планирование мероприятий по защите информации;

–разработка нормативных правовых документов по защите информации;

–обучение и воспитание пользователей информации;

–сертификация средств защиты информации;

–лицензирование деятельности по защите информации;

–аттестация объектов информатизации;

–совершенствование системы защиты информации;

–оценка эффективности системы защиты информации;

–контроль выполнения установленных правил работы в компьютерных системах.

Таким образом, организационная защита информации– это комплекс направлений и методов управленческого, ограничительного и технологического характера, определяющих основы и содержание системы защиты, побуждающих персонал соблюдать правила защиты конфиденциальной информации. Организационные меры связаны с установлением режима конфиденциальности в организации.

Элементы организационной защиты включают в себя:

– формирование и регламентацию деятельности службы безопасности (службы защиты информации);

22

–организацию составления и регулярного обновления перечней конфиденциальной информации и документации;

–регламентацию разрешительной системы доступа персоналак конфиденциальной информации;

–регламентацию направлений и методов работы с персоналом, контроля соблюдения им правил защиты информации;

–регламентацию технологической системы обработки и хранения конфиденциальных документов;

–ведение всех видов аналитической работы;

–регламентацию системы охраны организации и порядка приобретения, установки и эксплуатации инженерно-технических средств защиты информации и охраны;

–регламентацию действий персонала в экстремальных ситуациях и др. Организационные методы являются стержнем комплексной системы безо-

пасности объекта информатизации. Только с помощью этих методов возможно объединение на правовой основе технических, программных и криптографических средств защиты информации в единую комплексную систему защиты информации.

2. Требования к построению систем безопасности объектов информатизации органов внутренних дел

Основной целью создания системы организационной защиты информации и в целом – безопасности объектов информатизации органов внутренних дел– является предотвращение ущерба их деятельности, который может быть причинен в результате разглашения, утечки и несанкционированного доступа к источникам конфиденциальной информации. При этом основными задачами являются пресечение хищения финансовых и материально-технических средств, уничтожения имущества и ценностей, а также нарушения работы технических средств обеспечения деятельности ОВД, включая средства информатизации, а также предотвращение ущерба сотрудникам.

Зарубежный и отечественный опыт обеспечения безопасности свидетельствует, что для борьбы со всей совокупностью преступных и противоправных действий необходима стройная и целенаправленная организация процесса противодействия. Причем в организации этого процесса должны участвовать профессиональные специалисты, руководство ОВД и сотрудники, что и определяет повышенную значимость организационной стороны вопроса.

При построении системы безопасности объектов информатизации органов внутренних дел следует учитывать следующие рекомендации:

1. Обеспечение безопасности не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных форм, методов, способов и путей создания, совершенствования и развития системы безопасности, непрерывном управлении, контроле, выявлении узких мест и потенциальных угроз фирме.

23

2.Безопасность может быть обеспечена лишь при комплексном использовании всего арсенала средств защиты и противодействия во всех структурных элементах на всех этапах деятельности. Наибольший эффект достигается тогда, когда все используемые средства, методы и мероприятия объединяются в еди-

ный целостный механизм – систему безопасности ОВД.

3.Никакая система безопасности ОВД не может обеспечить требуемого

уровня безопасности без надлежащий подготовки сотрудников, соблюдения ими всех установленных правил, направленных на обеспечение безопасности.

Система безопасности – это организованная совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов ОВД от внутренних и внешних угроз.

Организация и функционирование системы безопасности должны осуществляться на основе следующих принципов.

1.Комплексность. Обеспечение безопасности сотрудников, материальных и финансовых ресурсов от возможных угроз всеми доступными законными средствами, методами и мероприятиями, а также обеспечение безопасности информационных ресурсов в течение всего их жизненного цикла, на всех технологических этапах их обработки и использования, во всех режимах функционирования.

2.Своевременность. Упреждающий характер мер обеспечения безопасности, своевременность предполагают постановку задач по комплексной безопасности на ранних стадиях разработки системы безопасности на основе анализа и прогнозирования обстановки, угроз безопасности, а также разработку эффективных мер предупреждения посягательств на законные интересы.

3.Непрерывность. Информационную безопасность необходимо обеспечивать непрерывно, так как злоумышленники изыскивают любую возможность обойти защитные меры.

4.Активность. Защищать интересы ОВД необходимо с достаточной степенью настойчивости, широко используя маневр силами и средствами обеспечения безопасности и нестандартные меры защиты.

5.Законность. Предполагает разработку системы безопасности на основе федерального законодательства и других нормативных актов по безопасности.

6.Обоснованность. Предлагаемые меры и средства защиты должны реализоваться на современном уровне развития науки и техники, быть обоснованными с точки зрения заданного уровня безопасности и соответствовать установленным требованиям и нормам.

7.Экономическая целесообразность. Требуется сопоставимость возможного ущерба и затрат на обеспечение безопасности(критерий «эффективность – стоимость»).

8.Специализация. Предполагается привлечение к разработке и внедрению мер и средств защиты специализированных организаций, имеющих опыт практической работы и государственную лицензию на право оказания услуг в этой области. Эксплуатация технических средств и реализация мер безопасности должны осуществляться профессионально подготовленными специалистами.

26

Основополагающими документами в области обеспечения безопасности являются: Конституция Российской Федерации; Концепция национальной безопасности Российской Федерации, утвержденная Указом Президента Российской Федерации от 17 декабря 1997 г. № 1300 (в ред. Указа Президента Российской Федерации от 10 января 2000 г. № 24); Федеральный закон от 15 марта 1992 г. № 2446-15 «О безопасности» (в ред. от 25 декабря 1992 г. № 4235-1); Указ Президента Российской Федерации от 24 декабря 1993 г. № 2288.

Конституция Российской Федерации, принятая 12 декабря 1993 г. (с изменениями, внесенными Указами Президента Российской Федерации от9 января

1996 г. № 20; от 10 февраля 1996 г. № 173; от 9 июня 2001 г. № 679; от 25 июля

2003 г. № 841, Федеральным законом от 25 марта 2004 г. № 1-ФКЗ) определяет:

–основы конституционного строя;

–права и свободы человека и гражданина;

–федеративное устройство;

–права и обязанности президента Российской Федерации;

–статус, состав, назначение, порядок формирования и работы Федерального Собрания, права и обязанности его членов;

–функции исполнительной власти Российской Федерации– Правительства Российской Федерации;

–задачи судебной власти Российской Федерации;

–местное самоуправление в Российской Федерации;

–конституционные поправки и пересмотр Конституции Российской Федерации;

–заключительные и переходные положения.

Все перечисленные положения отражены в разделах и главах Конституции и, по сути, направлены на обеспечение безопасности государственного строя, защиту прав и свобод граждан нашего государства.

Основным документом в области защиты информации в нашей стране является Федеральный закон Российской Федерации от27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», который регулирует отношения, возникающие:

–при осуществлении права на поиск, получение, передачу, производство и распространение информации;

–применении информационных технологий;

–обеспечении защиты информации.

В соответствии с упомянутым законом в зависимости от условий доступа информация подразделяется на общедоступную и информацию ограниченного доступа. Согласно нормам закона обеспечение безопасности информации как первой, так и второй категории является обязанностью ее обладателя.

Согласно ст. 4 данного закона законодательство Российской Федерации об информации, информационных технологиях и о защите информации основывается на Конституции Российской Федерации, международных договорах Российской Федерации и состоит из настоящего Федерального закона и других регулирующих отношения по использованию информации федеральных законов. В данном законе, а именно в ст. 6 дается понятие «обладатель информации».

27

Им является гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации, муниципальное образование.

Статья 16 определяет понятие защиты информации:

1. Защита информации осуществляется путем принятия мер, направленных:

–на обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

–соблюдение конфиденциальности информации ограниченного доступа;

–реализацию права на доступ к информации.

Информационная сфера в настоящее время стала системообразующим фактором жизни общества,и чем активнее эта сфера общественных отношений развивается, тем больше политическая, экономическая, оборонная и другие составляющие национальной безопасности любого государства будут зависеть от информационной безопасности; в ходе развития технического прогресса эта зависимость будет все более возрастать. Именно поэтому в новой редакции Концепции национальной безопасности, одобренной 5 октября 1999 г. совещанием членов Совета Безопасности Российской Федерации, направление информационной безопасности было выделено самостоятельной частью.

В Доктрине информационной безопасности на основе анализа современного состояния информационной безопасности Российской Федерации определены цели, задачи и ключевые проблемы ее обеспечения, объекты информационной безопасности и угрозы ей, методы предотвращения и нейтрализации этих угроз в отдельных сферах деятельности государства. В ней также закреплены

основные положения государственной политики в области информационной безопасности Российской Федерации, организационная структура и принципы построения системы обеспечения информационной безопасности.

Перечень сведений, составляющих государственную тайну, отражен в ст. 5 Федерального закона «О государственной тайне». В соответствии с Законом государственную тайну составляют:

1)сведения в военной области;

2)сведения в области экономики, науки и техники;

3)сведения в области внешней политики и экономики;

4)сведения в области разведывательной, контрразведывательной и опера- тивно-разыскной деятельности.

Не менее важным является Стратегия развития информационного общества

вРоссийской Федерации, принятая 7 февраля 2008 г. Данная Стратегия является основой для подготовки и уточнения доктринальных, концептуальных, программных и иных документов, определяющих цели и направления деятельности органов государственной власти, а также принципы и механизмы их взаимодействия с организациями и гражданами в области развития информационного общества в Российской Федерации.

Стратегия подготовлена с учетом международных обязательств Российской Федерации, Доктрины информационной безопасности Российской Федерации, федеральных законов, а также нормативных правовых актов Правительства Рос-

28

сийской Федерации. Она определяет направления социально-экономического развития, повышения эффективности государственного управления и взаимодействия органов государственной власти и гражданского общества в Российской Федерации.

В Стратегии учтены основные положения Окинавской хартии глобального информационного общества, декларации принципов построения информационного общества, плана действий Тунисского обязательства и других международных документов, принятых на Всемирной встрече на высшем уровне по вопросам развития информационного общества.

Одним из последних документов федерального уровня является вступивший в силу с1 марта 2011 г. Закон «О полиции», который также затрагивает информационную сферу деятельности ОВД, в том числе:

1.Регулирует информационный обмен между полицией и обществом, что подразумевает дополнительный контроль над поступающей в общественность информацией (ст. 8).

2.Обязывает полицию использовать в своей деятельности современные технические средства, а также информационно-телекоммуникационные сети Интернет, автоматизированные информационные системы, интегрированные банки данных (ст. 11).

3.Дает право на формирование и ведение банков данных о гражданах(ст. 17). Определяет информацию, подлежащую регистрации в этих банках данных.

Указанный Федеральный закон является основой для разработки других нормативных правовых документов на объектах информатизации ОВД.

Правовые нормы в области защиты информации включают также законы о лицензировании, авторском праве, патентовании, оперативно-разыскной деятельности, прокуратуре, а также подзаконные акты, кодексы, инструкции, положения, указы и приказы, регламентирующие способы накопления, передачи, ограничения доступа и хранения информации.

Требования информационной безопасности в ОВД должны органически включаться во все уровни законодательства, в том числе и в конституционное законодательство, основные общие законы, законы по организации государственной системы управления, специальные законы, ведомственные правовые акты и др. Такую структуру правовых актов, ориентированных на правовую защиту информации, можно разделить на семь блоков.

Первый блок – конституционное законодательство. Нормы, касающиеся вопросов информатизации и защиты информации, входят в него как составные элементы.

Второй блок – общие законы, кодексы (о собственности, недрах, земле, правах граждан, гражданстве, налогах, антимонопольной деятельности и др.), которые включают нормы по вопросам информатизации и информационной безопасности.

Третий блок – законы об организации управления, касающиеся отдельных структур хозяйства, экономики, системы государственных органов и определяющие их статус. Они включают в себя отдельные нормы по вопросам защиты информации. Наряду с общими вопросами информационного обеспечения и

29

защиты информации конкретного органа эти нормы должны устанавливать его обязанности по формированию, актуализации и безопасности информации, представляющей общегосударственный интерес.

Четвертый блок – специальные законы, полностью относящиеся к конкретным сферам отношений, отраслям хозяйства, процессам. В их число входит и Федеральный закон «Об информации, информационных технологиях и о за-

щите информации» и др. Именно состав и содержание этого блока законов и создает специальное законодательство как основу правового обеспечения -ин формационной безопасности.

Пятый блок – законодательство субъектов Российской Федерации, касающееся защиты информации.

Шестой блок – подзаконные нормативные акты по защите информации. Седьмой блок – правоохранительное законодательство России, содержащее

нормы об ответственности за правонарушения в сфере информатизации.

В области обеспечения объектов информатизации ОВД в последние годы был принят целый ряд нормативных документов, таких, как ГОСТ Р 53704-2009 «Системы безопасности комплексные и интегрированные, общие технические требования». Данный ГОСТ устанавливает назначение, общие принципы и технические требования по построению, применению и эксплуатации комплексных и интегрированных систем безопасности, предназначенных для защиты объектов: административных, производства продукции, жизнеобеспечения населения, оказания услуг населению, общественных, жилых, для защиты окружающей объекты природной среды в соответствии с действующим законодательством Российской Федерации.

Одним из последних документов в области обеспечения комплексной безопасности объектов стала разработанная МЧС РФ ГОСТ Р22.1.12-2005 «Структурированная система мониторинга и управления инженерными системами зданий и сооружений. Общие требования», вступившая в силу с15 сентября

2005 г.

Учитывая степень важности проблемы технического регулирования в -об ласти противокриминальной защиты, руководство Министерства внутренних дел Российской Федерации добилось включения в Программу, утвержденную распоряжением Правительства Российской Федерации от27 декабря 2007 г. № 1930-р разработку проекта технического регламента «О технических средствах обеспечения противокриминальной защиты объектов и имущества». ФГУ НИЦ «Охрана» совместно с соответствующими службами Департамента государственной защиты имущества и Центра оперативного руководства деятельностью вневедомственной охраны (ЦОРДВО) МВД России проводится работа по созданию новых нормативных правовых документов, регламентирующих

вопросы антитеррористической и противокриминальной защиты объектов и имущества. По заданию Департамента государственной защиты имущества МВД России в ФГУ НИЦ «Охрана» разработан руководящий документ «Требования к инженерно-технической укрепленности объектов, подлежащих государственной охране, организация их защиты комплексами технических средств».

30

Вданном документе определен порядок, способы выбора и применения технических средств охраны и средств инженерно-технической укрепленности объектов особой важности, повышенной опасности и жизнеобеспечения, подлежащих государственной охране.

Принято также решение о разработке ряда технических регламентов в -об ласти антитеррористической и противокриминальной защиты объектов. К ним относятся:

1. Макроотраслевой технический регламент«Система антитеррористической и противокриминальной защиты объекта. Общие требования».

2. Специальный технический регламент«Системы противокриминальной защиты имущества».

3. Специальный технический регламент «Продукция обеспечения противокриминальной защиты и ее производства».

Следует отметить, что, несмотря на большое количество нормативной правовой документации и передового опыта в области обеспечения комплексной безопасности объектов, существенным недостатком в данном вопросе является практически полное отсутствие ведомственных нормативных правовых актов системы МВД, регламентирующих создание и использование комплексных систем обеспечения безопасности в органах внутренних дел.

Впоследнее время распространилась практика создания и использования паспортов безопасности критически важных и особо опасных объектов, а также территорий субъектов Российской Федерации. Данный документ разрабатывается в соответствии со следующими нормативными документами:

–положением о Министерстве Российской Федерации по делам гражданской обороны, чрезвычайным ситуациям и ликвидации последствий стихийных бедствий (пп. 2, п. 8, раздел III), утвержденным Указом Президента Российской Федерации от 11 июля 2004 г. № 868 «Вопросы Министерства Российской Федерации по делам гражданской обороны, чрезвычайным ситуациям и ликвидации последствий стихийных бедствий» (Собрание законодательства Российской Федерации, 2004, № 28, ст. 2882);

–решением совместного заседания Совета безопасности Российской Федерации и президиума Государственного совета Российской Федерации«О мерах по обеспечению защищенности критически важных для национальной безопасности объектов инфраструктуры и населения страны от угроз техногенного, природного характера и террористических проявлений» (протокол от 13 ноября

2003 г. № 4);

–приказом МЧС России от25 октября 2004 г. № 484 (утвержден типовой паспорт безопасности территорий субъектов Российской Федерации и муниципальных образований);

–приказом МЧС России от4 ноября 2004 г. № 506 (утвержден типовой паспорт безопасности опасного объекта).

Хотя данные паспорта не были созданы для подразделений МВД и больше ориентированы на гражданские объекты, но и в ОВД они должны внедряться в обязательном порядке. Так, паспорт безопасности потенциально опасного объекта должен включать в себя: