- •А.А. Королев с.Ю. Соколова основы защиты информации, составляющей государственную тайну
- •Введение
- •1.1. Содержание и задачи дисциплины
- •1.2. Особенности дисциплины и ее связь с другими дисциплинами
- •1.3. Методические рекомендации по изучению дисциплины и требования, предъявляемые при проверке знаний
- •2. Концептуальные основы защиты государственной тайны
- •2.1. Понятие тайны. Соотношение различных видов тайн
- •2.2. Конституция Российской Федерации о защите государственной тайны
- •2.3. Концепция защиты государственной тайны в Российской Федерации
- •Угрозы, от которых осуществляется защита государственной тайны. К основным угрозам относятся:
- •Источники угроз
- •В сжатом виде основное содержание Концепции защиты государственной тайны представлено на рис. 2.3.
- •3. Правовые основы защиты государственной тайны
- •3.1. Система документов по защите государственной тайны
- •3.2. Закон Российской Федерации
- •Раздел II - перечень сведений, составляющих государственную тайну - целиком посвящен перечню сведений, которые потенциально могут быть отнесены к государственной тайне.
- •Раздел VII - финансирование мероприятий по защите государственной тайны - определяет порядок такого финансирования.
- •Раздел VIII - контроль и надзор за обеспечением защиты государственной тайны - вводит соответствующую систему контроля и надзора.
- •Раздел I. Общие положения
- •Раздел II. Перечень сведений, составляющих государственную тайну
- •Раздел III. Отнесение сведений к государственной тайне и их засекречивание
- •Раздел IV. Рассекречивание сведений и их носителей
- •Раздел V. Распоряжение сведениями, составляющими государственную тайну
- •Раздел VI. Защита государственной тайны
- •Раздел VII. Финансирование мероприятий по защите государственной тайны
- •Раздел VIII. Контроль и надзор за обеспечением защиты
- •4. Система органов защиты государственной тайны и их полномочия
- •4.1. Основные направления деятельности по обеспечению информационной безопасности в Российской Федерации
- •4.2. Межведомственная комиссия по информационной безопасности Совета безопасности Российской Федерации
- •4.3. Межведомственная комиссия по защите государственной тайны
- •4.4. Федеральная служба безопасности Российской Федерации
- •4.5. Министерство обороны Российской Федерации
- •4.6. Служба внешней разведки Российской Федерации
- •4.7. Федеральная служба по техническому и экспортному контролю
- •4.8. Органы государственной власти, предприятия, учреждения и организации и их структурные подразделения по защите государственной тайны
- •5. Отнесение сведениний к государственной тайне, их засекречивание и рассекречивание
- •5.1. Сущность перечневого подхода к организации защиты государственной тайны
- •5.2. Критерии отнесения сведений к государственной тайне
- •5.3. Правила отнесения сведений, составляющих государственную тайну, к различным степеням секретности
- •5.4. Организация работы по засекречиванию и рассекречиванию сведений и их носителей
- •6.Определение размеров ущерба вследствие распространения сведений и ущерба, наносимого в результате их засекречивания
- •6.1. Определение размеровуерба с использованием моделей “осведомленность – эффективность”
- •6.2. Определение размеров ущерба с использованием экспертных оценок6
- •6.3. Определение упущенной выгоды в результате ограничений на распространение информации
- •6.4. Определение, затрат на защиту сведений, составляющих государственную тайну
- •7. Допуск должностных лиц и граждан к государственной тайне
- •7.1.Порядок допуска должностных лиц и граждан к государственной тайне
- •7.2. Особенности допуск лиц, имеющих двойное гражданство, лиц без гражданства, а также лиц из числа иностранных граждан, эмигрантов и реэмигрантов, к государственной тайне
- •7.3. Особый порядок допуска к государственной тайне
- •7.4. Ограничения прав должностного лица или гражданина, допущенных или ранее допускавшихся к государственной тайне
- •8. Допуск предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну
- •8.1. Законодательство Российской Федерации о лицензировании отдельных видов деятельности
- •8.2. Лицензирование деятельности в области защиты государственной тайны
- •8.3. Полномочие органов государственной власти по лицензированию деятельности в области защиты государственной тайны
- •8.4. Особенности лицензирования деятельности в области защиты информации, составляющей государственную тайну
- •9. Сертификации средств защиты информации, составляющей государственную тайну
- •9.1. Законодательство Российской Федерации о сертификации продукции и услуг
- •9.2. Структура системы сертификации средств защиты информации, составляющей государственную тайну
- •9.3. Порядок сертификации средств защиты информации, составляющей государственную тайну
- •10. Организация защиты информации, составляющей государственную тайну
- •10.1. Организация защиты информации, составляющей государственной тайны, на предприятиях, в организациях и учреждениях
- •10.2. Особенности защиты информации в условиях реализации международных договоров по сокращению вооружений и вооруженных сил
- •10.3. Особенности защиты информации в условиях создания совместных предприятий
- •10.4. Особенности защиты информации в условиях научно-технического, военно-технического и экономического сотрудничества с другими странами
- •11. Контроль и надзор за обеспечением защиты государственной тайны
- •11.1. Понятие контроля и надзора за обеспечением защиты государственной тайны
- •11.2. Виды, методы и формы контроля. Контроль в зависимости от решаемых задач, времени его проведения, уровня контролирующих органов подразделяется на ряд видов
- •11.3. Структура системы контроля состояния защиты государственной тайны
- •11.4. Организация межведомственного контроля состояния защиты государственной тайны
- •12. Организация и проведение работ по комплексной защите информации, составляющей государственную тайну
- •12.1. Понятие комплексной защиты информации от технических разведок и от ее утечки по техническим каналам
- •12.2. Физическая защита объектов
- •12.3. Противодействие техническим разведкам
- •12.4. Защита информации от ее утечки по техническим каналам
- •12.5. Защита информации от несанкционированного доступа
- •1. Понятие тайны в законодательстве Российской Федерации. Соотношение различных видов тайн.
- •Признаки тайны (информации ограниченного доступа):
- •2. Конституция Российской Федерации о защите информации и государственной тайны.
- •3. Понятие концепции защиты государственной тайны в Российской Федерации.
- •Основные угрозы для информации, составляющей государственной тайну:
- •Внешние
- •4. Система документов по защите государственной тайны.
- •5. Признаки государственной тайны.
- •6. Сфера действия Закона “о государственной тайне”.
- •7. Основные полномочия органов государственной власти и должностных лиц в области отнесения сведений к государственной тайне.
- •1.Палаты Федерального Собрания:
- •2. Президент Российской Федерации:
- •5. Органы судебной власти:
- •8. Перечень сведений, составляющих государственную тайну.
- •9. Принципами отнесения сведений к государственной тайне и их засекречивания.
- •10. Степени секретности сведений и грифы секретности носителей этих сведений.
- •11. Порядок отнесения сведений к государственной тайне.
- •13. Порядок засекречивания сведений и их носителей.
- •14. Рассекречивание сведений и их носителей.
- •16. Органы защиты государственной тайны, их основные функции.
- •17. Допуск должностных лиц и граждан к государственной тайне.
- •18. Ограничения прав должностного лица или гражданина, допущенных или ранее допускавшихся к государственной тайне.
- •19. Ответственность за нарушение законодательства Российской Федерации о государственной тайне.
- •20. Допуск предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну.
- •21. Основные функции межведомственной комиссии по защите государственной тайны.
- •22. Основные функции Федеральной службы безопасности Российской Федерации.
- •23. Основные функции службы специальной связи информации.
- •24. Основные задачи фстэк России по защите государственной тайны.
- •25. Сущность перечневого подхода к организации защиты государственной тайны.
- •27. Критерии отнесения сведений к государственной тайне.
- •28. Подходы к определению размеров ущерба вследствие распространения сведений, составляющих государственную тайну.
- •1.. Определение размеров ущерба вследствие распространения сведений с использованием моделей "осведомленность - эффективность"
- •2. Определение размеров ущерба вследствие распространения сведений с использованием экспертных оценок
- •29. Правила отнесения сведений, составляющих государственную тайну, к различным степеням секретности.
- •30. Принципиальные особенности Закона рф “о государственной тайне”.
- •32. Порядок лицензирования деятельности в области защиты государственной тайны.
- •33. Полномочие органов государственной власти по лицензированию деятельности в области защиты государственной тайны.
- •34. Особенности лицензирования деятельности в области защиты информации, составляющей государственную тайну.
- •35. Структура системы сертификации средств защиты информации, составляющей государственную тайну.
- •36. Порядок сертификации средств защиты информации, составляющей государственную тайну.
- •37. Понятие контроля и надзора за обеспечением защиты государственной тайны.
- •38. Виды, методы и формы контроля состояния защиты государственной тайны. Виды контроля
- •Методы контроля
- •39. Структура системы контроля состояния защиты государственной тайны.
- •40. Организация контроля состояния защиты государственной тайны.
- •41. Организация защиты государственной тайны на предприятиях, в организациях и учреждениях.
- •42. Особенности защиты государственной тайны на предприятиях, в организациях и учреждениях в условиях реализации международных договоров по сокращению вооружений и вооруженных сил.
- •43. Особенности защиты государственной тайны в условиях создания совместных предприятий.
- •45. Понятие комплексной защиты информации от технических разведок и от ее утечки по техническим каналам.
- •46. Физическая защита носителей информации.
- •47. Защита информации от ее утечки по техническим каналам.
- •48. Защита информации от несанкционированного доступа.
- •Подсистема обеспечения целостности включает программно-аппаратные, организационные и другие средства и методы, обеспечивающие:
- •Важной составной частью подсистемы обеспечения целостности являются программно-аппаратные средства защиты информации от вирусов и других вредоносных программных закладок.
- •49. Криптографическая защита информации.
- •50. Новые информационные технологии и их влияние на решение задач защиты государственной тайны.
- •51. Планирование работ по комплексной защите государственной тайны.
- •52. Финансирование работ по защите государственной тайны.
10. Организация защиты информации, составляющей государственную тайну
10.1. Организация защиты информации, составляющей государственной тайны, на предприятиях, в организациях и учреждениях
Согласно ст. 20 Закона “О государственной тайне” органы государственной власти, предприятия, учреждения и организации (далее – предприятия) обеспечивают защиту сведений, составляющих государственную тайну, в соответствии с возложенными на них задачами и в пределах своей компетенции. Защита государственной тайны является видом основной деятельности предприятия.
Организация работ по защите государственной тайны на предприятиях осуществляется их руководителями. В зависимости от объема работ руководителем предприятия создается структурное подразделение по защите государственной тайны либо назначаются штатные специалисты по этим вопросам.
Общие требования по организации и проведению работ по защите государственной тайны устанавливаются в Инструкции, утверждаемой Правительством РФ. Такая инструкция содержит требования по обеспечению пропускного режима, охраны территории объекта, доступу персонала на территорию, по порядку обращения с секретными документами, защите информации от технических разведок, от ее утечки по техническим каналам, а также другие требования.
Одной из важных задач подразделения по защите государственной тайны является защита информации, составляющей эту тайну, от технических разведок, утечки информации по техническим каналам, несанкционированного доступа к информации в системах информатизации и связи. При значительном объеме работ по решению этой задачи на предприятии может создаваться специальное структурное подразделение защиты информации.
Подразделения защиты информации (штатные специалисты) на предприятиях выполняют следующие функции:
определяют (совместно с заказчиками) основные направления работ по защите информации;
участвуют в согласовании технических заданий на проведение работ по защите информации;
дают заключение о возможности проведения работ с информацией, содержащей сведения, отнесенные к государственной тайне.
участвуют в выполнении мероприятия по защите информации;
осуществляют контроль за выполнением и эффективностью проводимых мероприятий.
Они подчиняются непосредственно руководителю предприятия или его заместителю и обеспечиваются средствами защиты информации и контроля в соответствие со специализацией предприятия.
Для проведения работ по защите информации могут привлекаться на договорной основе специализированные предприятия и организации, имеющие лицензии на проведения работ в области защите информации.
Правовой основой для организации защиты информации, составляющей государственную тайну, служат действующий на предприятии Перечень сведений, подлежащих засекречиванию, который содержит выписки из отраслевых (ведомственных, программно-целевых) развернутых перечней сведений, подлежащих засекречиванию.
Общая технологическая схема организации защиты информации, составляющей государственную тайну, представляет собой последовательную (при необходимости - итерационную) процедуру, показанную на схеме 10.1 и включающую:
оценку угроз безопасности информации и состояния защиты информации на предприятии;
определение целей и задач защиты информации, принятия решения о мерах защиты информации;
планирования мероприятий по ее защите информации;
постановки задач исполнителям работ, организации их взаимодействия и всестороннего обеспечения;
выполнения запланированных мероприятий;
контроля выполнения мероприятий и оценки их эффективности.
В качестве исходных данных для организации процесса защиты информации используются:
содержание используемой информации, степень ее секретности, объемы информации;
характеристики применяемых носителей информации;
описания протекающих информационных процессов;
требования по вопросам защиты информации, содержащиеся в законодательных, организационно-распорядительных и нормативных документах;
содержание программ и планов работ учреждения, в том числе по вопросам защиты государственной тайны;
информация, содержащаяся в каталогах, справочниках, пособиях и других информационных документах по вопросам защиты информации.
Всю процедуру организации защиты информации можно условно разбить на три этапа.
На первом этапе, прежде всего, определяется перечень сведений, подлежащих защите, выявляются возможные угрозы безопасности информации, и разрабатывается модель таких угроз, проверяется выполнение требований по защиты информации.
Схема 10.1.
Технологическая схема организации
защиты информации на предприятии (в
учреждении, организации)
Исходя из целей и задач деятельности учреждения, выявленных недостатков по обеспечению защиты информации формулируются цели информации, разрабатывается замысел их достижения, определяются задачи, требующие решения. При определении целей защиты учитываются действующие на предприятии развернутые перечни сведений, подлежащих засекречиванию и носители этих сведений.
На втором этапе разрабатываются предложения по способам и средствам защиты информации, обеспечивающих решение задач защиты информации, осуществляется оценка их технической реализуемости, стоимости, выбираются рациональные способы и средства защиты информации и контроля ее эффективности, планируется их применение. Далее осуществляется постановка задач исполнителям работ, их обучение, организация их взаимодействия при решении совместных задач, подготовка необходимых организационно-распорядительных, нормативных и методических документов, а также техническое обеспечение мероприятий по защите информации.
На третьем этапе в ходе аттестации объектов защиты проверяется выполнение требований по защите информации с учетом принятых мер в конкретных условиях эксплуатации объектов. Непосредственное применение способов и средств защиты информации сопровождается повседневным и инспекционным контролем выполнения мероприятий по защите информации, оценкой их эффективности, а также общей оценкой состояния информации на объекте.
При практической реализации представленной выше технологической схемы возможно возникновение нескольких итераций выполнения работ. Например, если из-за ограниченности выделяемых ресурсов не удается реализовать эффективные способы защиты некоторых объектов, то возможно изменение цели и задач защиты информации. Такое изменение может быть выполнено только по с разрешения заказчика проводимых работ, а, если это связано с изменением перечня засекречиваемых сведений, то только по решению органа государственной власти, наделенного полномочиями по распоряжению этими сведениями.
Цели и задачи защиты информации, а также все связанные с ними организационные и технические мероприятия могут также быть изменены по результатам контроля эффективности защиты информации в процессе жизненного цикла объекта защиты. Такое изменение, например, возможно при выявлении новых каналов утечки информации или обнаружении неэффективности выполняемых мер защиты или при изменении условий, в которых осуществляется функционирование защищаемого объекта.
Конкретное содержание и порядок организации и осуществления мероприятий по защите информации на объекте определяется действующим на этом объекте Руководством по защите информации.
Руководство должно включать из следующие разделы:
общие положения;
сведения об объекте защиты;
технические каналы утечки информации;
оценка возможностей технических разведок и других источников угроз безопасности информации;
организационные и технические мероприятия по защите информации;
обязанности и права должностных лиц;
планирование работ по защите информации и контролю;
контроль состояния защиты информации; аттестование рабочих мест;
взаимодействие с другими предприятиями (учреждениями, организациями).
В зависимости от особенностей объекта допускается вводить и другие разделы.
В приложения к Руководству включаются:
таблицы, схемы, графики, расчеты, исходные данные и другие справочные материалы для оценки обстановки, определения мероприятий по защите информации;
перечень создаваемых (применяемых) изделий, выполняемых НИОКР и другой продукции, подлежащих защите;
перечень сведений, подлежащих защите; план объекта с указанием схем размещения рабочих мест, стендов и т.д., и схем организации связи и сигнализации объекта;
структура системы защиты информации на объекте; перечень руководящих, нормативных и методических документов по защите информации и др.