Обеспечение информационной безопасности в условиях виртуализации общества. Опыт Европейского Союза. Монография

7)международное взаимодействие (International co-operation), предусматривающее расширение диалога Комиссии с междуна-

родными организациями и партнерами в сфере СИБ. Основы подхода европейской политики к обеспечению СИБ,

сформулированные Европейской комиссией в Сообщении 2001 г., были поддержаны Советом ЕС, который принял два специальных решения: Решение 2002/C 43/02 от 28 января 2002 г. об общем под-

ходе и специальных мерах в сфере сетевой и информационной безопасности1 è Решение 2003/C 48/01 от 18 февраля 2003 г. о европей-

ском подходе в отношении культуры сетевой и информационной безопасности2. В них выражалось согласие с предложенными Комиссией мерами в сфере обеспечения СИБ и закреплялись направления их реализации со стороны Комиссии, государств-участников, бизнеса и иных заинтересованных участников.

Сформулировав концептуальные основы европейской политики в сфере СИБ, Европейская комиссия и другие институты ЕС стали активно реализовывать их на практике. В поиске ответов на вызовы безопасности информационному обществу ЕС развивал трехступен- чатый подход, охватывающий: 1) специальные меры по обеспече- нию СИБ; 2) правовое регулирование электронных коммуникаций, включая вопросы защиты информации и частной жизни; 3) борьбу

ñкиберпреступностью.

Âрамках второго указанного направления в 2002 г. принята Äè-

ректива 2002/58/EC о частной жизни и электронных коммуникациях (Directive on Privacy and Electronic Communications)3, установившая гарантии защиты персональных данных и неприкосновенности ча- стной жизни в электронных коммуникациях. Следует отметить, что право на защиту персональных данных включено Хартией Европейского Союза об основных правах 2007 г.4 в каталог основных прав граждан ЕС (ст. 8). В 2006 г. принята Директива 2006/24/EC о хранении данных (Data Retention Directive)5, которая закрепила некото-

рые отступления от положений предыдущей Директивы, обязав

1Council resolution 2002/C 43/02 of 28 January 2002 on a common approach and specific actions in the area of network and information security.

2Council resolution 2003/C 48/01 of 18 February 2003 on a European approach towards a culture of network and information security.

3Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications.

4Хартия Европейского Союза об основных правах (2007/С303/01) // Европейский Союз: основополагающие акты в редакции Лиссабонского договора с комментариями / Оотв. ред. С.Ю. Кашкин. М.: ИНФРА-М, 2010. С. 554—570.

5Directive 2006/24/EC aof the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC.

81

провайдеров общедоступных услуг электронной связи или общественных сетей связи сохранять определенные данные пользователей на срок от 6 месяцев до 2 лет для предоставления их компетентным национальным органам в целях расследования, раскрытия и судебного преследования серьезных преступлений в соответствии с положениями национального законодательства.

Наряду с регламентацией правил защиты персональных данных в электронных коммуникациях в странах — членах ЕС в 2001 г. был принят Регламент ¹ 45/2001 о защите прав граждан при обработке

персональных данных институтами и органами Сообщества и свободном обращении таких данных1. Помимо фиксации соответствующих правил обработки персональных данных документ предусмотрел уч- реждение институционального контрольного механизма за соблюдением прав граждан на частную жизнь при обработке их персональных данных институтами и органами ЕС в составе Европейского контролера по защите данных (European Data Protection Supervisor) è инспекторов по защите данных (Data Protection Officers), функционирующих в каждом институте и органе ЕС. Контролер осуществляет следующие функции: мониторинг процесса обработки данных административными органами ЕС; оказание консультационной помощи при выработке политики и законодательства, затрагивающего вопросы частной жизни; взаимодействие с другими подобными органами для выработки взаимосвязанных решений по обеспечению защиты данных. Кроме того, контролер и инспекторы обладают правом рассмотрения жалоб как от служащих ЕС, так и от простых граждан, по фактам ненадлежащего обращения с их персональными данными в институтах и органах ЕС, проведения расследования по ним и принятия необходимых мер реагирования. В настоящее время должность Европейского контролера по защите данных занимает Питер Хастинкс (Peter Hustinx)2.

В 2004 г. в контексте системы мер по борьбе с угрозами СИБ

Регламентом ¹ 460/2004 от 10 марта 2004 г.3 учреждено Европейское агентство сетевой и информационной безопасности (European Network and Information Security Agency — ENISA) в целях «обеспе- чения высокого и эффективного уровня сетевой и информационной безопасности внутри Сообщества и развития культуры сетевой и информационной безопасности для пользы граждан, потребителей,

1Regulation (EC) ¹ 45/2001 of the European Parliament and of the Council of 18 December2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data).

2European Data Protection Supervisor. http://www.edps.europa.eu/EDPSWEB/edps/ cache/off/pid/1.

3Regulation (EC) ¹ 460/2004 of the European Parliament and of the Council of 10 March 2004 establishing the European Network and Information Security Agency.

82

производителей и государственного сектора ЕС, содействуя таким образом беспрепятственному функционированию внутреннего рынка». Агентство призвано содействовать Комиссии, государствам-участни- кам и бизнес-сообществу по выполнению требований СИБ. Эмблема агентства «ENISA» изображена на рис. 2.3.

Ðèñ. 2.2. Эмблема Европейского контролера по защите данных

Источник: http://www.edps.europa.eu

Ðèñ. 2.3. Эмблема агентства «ENISA» Источник: http://www.enisa.europa.eu/

Целями агентства «ENISA» являются (ст. 2 Регламента):

1)расширение возможностей Сообщества, государств-участников и бизнес-сообщества по предупреждению и реагированию на проблемы СИБ;

2)обеспечение содействия и консультирование Комиссии и го- сударств-участников по вопросам, связанным с СИБ, подпадающим под их компетенцию в соответствии с настоящим Регламентом;

83

3)достижение высокого уровня специальных познаний для стимулирования широкого взаимодействия между акторами частного и государственного секторов;

4)содействие Комиссии в осуществлении подготовительной технической работы по обновлению и развитию законодательства Сообщества в сфере СИБ.

К задачам Агентства относятся:

а) сбор необходимой информации для анализа имеющихся и возможных рисков и снабжение его результатами государств- участников и Комиссии;

б) консультирование институтов ЕС или уполномоченных национальных органов и, в случае обращения, оказание им помощи; в) развитие взаимодействия между различными акторами, функ-

ционирующими в сфере СИБ; г) стимулирование взаимодействия между Комиссией и государ-

ствами-членами в развитии общей методологии предупреждения и реагирования на проблемы безопасности;

д) внесение вклада в повышение осведомленности и доступности своевременной, объективной и всесторонней информации по вопросам СИБ для всех пользователей;

е) оказание содействия Комиссии и государствам-участникам в их диалоге с промышленностью по поводу проблем, связанных с безопасностью аппаратных и программных продуктов; ж) выявление путей развития стандартов для продуктов и услуг

в сфере СИБ; и др.

Внутренняя структура агентства «ENISA» включает в себя исполнительного директора, правление и постоянные группы представителей. Исполнительным директором агентства с октября 2009 г. является доктор Удо Хельмбрехт (Dr Udo Helmbrecht), уроженец ФРГ, до назначения на должность в ЕС возглавлявший Федеральную службу информационной безопасности Германии1. В структуре Агентства могут также создаваться рабочие группы ad hoc. Кроме того, госу- дарства-участники ЕС представлены в Агентстве одним офицером связи от каждой из стран ЕС и Европейской экономической зоны, которые вместе с представителями от Европейской комиссии и Совета ЕС составляют сеть национальных офицеров связи (National Liaison Officers network), через которую организуется взаимодействие Агентства с государствами — участниками ЕС. У агентства «ENISA» существует свой веб-сайт2, который функционирует как европейский центр обмена информацией, передовым опытом и знаниями в сфере информационной безопасности.

1 Dr Udo Helmbrecht: Curriculum vitae // http://www.enisa.europa.eu/about- enisa/structure-organization/executive-director/20091016_CVUH.pdf.

2 http://www.enisa.europa.eu.

84

Мерам обеспечения доверия и безопасности, включая вопросы обеспечения информационной безопасности, уделяется важное внимание в программах Европейского сообщества в сфере НИОКР

(R&D — research and development). Так, 6-я Рамочная программа исследований предусматривала их реализацию в рамках широкого диапазона проектов. Исследования с ориентиром на безопасность были возобновлены в 7-й Рамочной программе исследований с уч- реждением Европейской программы исследований в области безопасности (European Security Research Programme).

Важным этапом развития европейской политики в сфере СИБ стало принятие в 2006 г. Сообщения Европейской комиссии «Страте-

гия безопасности информационного общества «Диалог, партнерство и расширение возможностей»1 (далее — Стратегия). Стратегия содержит обзор современного состояния угроз безопасности информационного общества и определяет дополнительные меры по обеспечению СИБ.

В разделе «Ключевые угрозы» Стратегии отмечается, что, несмотря на активные усилия на международном, европейском и национальном уровнях, возникают все новые вызовы безопасности, включая атаки на информационные системы с корыстными целями, распространение вредоносного программного обеспечения. Комиссия акцентирует внимание на росте использования мобильных устройств (включая 3G мобильные телефоны, портативные видеоигры и т.п.) и сетевых мобильных услуг, что в перспективе способно сделать их главной мишенью компьютерных атак. В документе справедливо отмечается, что любые новые формы платформ для коммуникации и информационных систем неизбежно создают новые возможности для вредоносных атак.

Возможные последствия нарушения СИБ выходят за рамки экономического измерения и могут затрагивать гарантии обеспече- ния фундаментальных прав в он-лайн. Вследствие усиления взаимосвязи между сетями другая критическая инфраструктура (транспортная, энергетическая и т.п.) становится все более зависимой от целостности соответствующих информационных систем. В разделе также констатируется, что европейские граждане и предприятия все еще недооценивают риски. Подчеркивая потребность всех заинтересованных участников в надежной информации о происшествиях и инцидентах в сфере СИБ, Стратегия называет одним из краеугольных камней развития культуры безопасности повышение знаний о проблеме. При этом оговаривается, что программы повышения

1 Communication from the Commission to the Council, the European Parliament, the European Economic and Social Committee and the Committee of the Regions. A strategy for a Secure Information Society — «Dialogue, partnership and empowerment». Brussels, 31.5.2006. COM(2006) 251 final.

85

осведомленности не должны подрывать доверие и конфиденциальность потребителей и пользователей, фокусируясь только на негативных аспектах безопасности. В документе подчеркивается, что СИБ необходимо представлять скорее как благо и возможность, чем как обременение.

В разделе 3 Стратегии Европейская комиссия, исходя из расширенного подхода к пониманию СИБ, предлагает динамичный и целостный подход, который призван вовлечь всех заинтересованных уча- стников. Предлагаемый подход к обеспечению безопасности информационного общества базируется на трех составляющих: диалоге, партнерстве и расширении возможностей.

1.Диалог. В качестве первого шага на пути расширения диалога между государственными органами Комиссия предлагает инициировать использование сравнительного анализа национальных мер в сфере СИБ для выделения наиболее успешного опыта, который может быть использован государственными органами на всем пространстве ЕС. Отмечается потребность в многосторонних переговорах для определения способов использования существующих средств и инструментов регулирования для достижения баланса между безопасностью и защитой фундаментальных прав, включая частную жизнь, для чего Комиссия инициировала проведение широких консультаций.

2.Партнерство. Комиссия планирует поручить агентству «ENISA» развитие доверительного партнерства между государства- ми-членами и заинтересованными сторонами для совершенствования системы сбора информации, включая процедуры и механизмы сбора и анализа данных об инцидентах в сфере безопасности и конфиденциальности пользователей на всем пространстве ЕС. Параллельно Комиссия призывает государства-участники, частный сектор и научное сообщество учредить стратегическое партнерство для обеспечения доступности данных о европейской индустрии обеспечения информационной безопасности и развивающимся тенденциям рынка продуктов и услуг в ЕС. Для расширения европейских возможностей реагирования на угрозы СИБ Комиссия поруча- ет агентству «ENISA» оценить работоспособность Европейской системы обмена информацией и оповещения (European information sharing and alert system) для содействия эффективному реагированию на существующие и новые угрозы электронным сетям. Для этого будет создан многоязычный портал ЕС, чтобы обеспечить специализированной информацией об угрозах, рисках и предупреждениях.

3.Расширение возможностей. Расширение возможностей каждой из сторон является предпосылкой для стимулирования осведомленности о потребностях безопасности и рисках в целях укрепления СИБ. В этом отношении Комиссия побуждает государства-члены к:

ξ продвижению в тесном сотрудничестве с агентством «ENISA» информационной кампании о достоинствах, преимуществах и

86

вознаграждениях за внедрение эффективных мер обеспечения безопасности;

ξиспользованию возможностей электронного правительства для общения и продвижения положительного опыта обеспе- чения безопасности;

ξстимулированию развития программ СИБ в рамках программ

высшего образования.

Кроме того, Комиссия обозначает комплекс мер, к осуществлению которых она призывает представителей частного сектора, включая:

ξопределение содержания обязательств производителей программного обеспечения и провайдеров интернет-услуг в отношении обеспечения адекватных и поддающихся проверке уровней безопасности, включая поддержку процесса стандартизации в области безопасности;

ξразвитие разнообразия, открытости, совместимости, практич- ности и конкуренции как ключевых факторов безопасности, а также стимулирование применения повышающих безопасность продуктов, процессов и услуг для предупреждения и борьбы с хищением персональных данных и нарушающих ча- стную жизнь атак;

ξраспространение положительного опыта обеспечения безопасности среди сетевых операторов, провайдеров услуг, средних и малых предприятий;

ξразвитие программ подготовки в бизнес-секторе для обеспече- ния служащих знаниями и навыками, необходимыми для использования положительного опыта обеспечения безопасности;

ξразработку схем сертификации безопасности продуктов, процессов и услуг, которые обеспечивают реализацию определенных интересов ЕС (например, уважение частной жизни);

ξвовлечение сектора страхования в развитие соответствующих инструментов управления рисками и методов реагирования на риски, связанные с ИКТ, а также стимулирование культу-

ры управления рисками в организациях и бизнесе.

Стратегия безопасности информационного общества, представленная Европейской комиссией в Сообщении от 31 мая 2006 г., была поддержана Советом ЕС в Решении 2007/C 68/01 от 22 марта 2007 г. о Стратегии безопасности информационного общества в Европе1.

Одним из важнейших направлений обеспечения СИБ в рамках первой опоры является защита критической информационной инфраструктуры. В 2009 г. Европейская комиссия выдвинула инициативу по защите важнейшей информационной инфраструктуры (Commission’s initiative on Critical Information Infrastructure Protection). 30 марта

1 Council Resolution 2007/C 68/01 of 22 March 2007 on a Strategy for a Secure Information Society in Europe.

87

2009 г. она приняла Сообщение «Защита Европы от крупномасштаб-

ных кибератак и сбоев: повышение готовности, безопасности и устой- чивости»1, где изложила предложения по реализации указанной инициативы. Они объединены в несколько групп:

1)готовность и предупреждение: обеспечение готовности путем определения имеющихся возможностей и услуг национальных/правительственных компьютерных аварийных бригад (CERT), создание Европейского частно-государственного партнерства в интересах устойчивости (European Public-Private Partnership for Resilience) и Европейского форума для госу- дарств-членов (European Forum of Member States) для обмена информацией и положительным опытом;

2)обнаружение и реагирование: внедрение адекватных механизмов оповещения путем поддержки развития и развертывания Европейской системы обмена информацией и оповещения (European Information Sharing and Alert System), основанной на аналогичных системах государственного и частного секторов;

3)смягчение последствий и восстановление: укрепление механизмов защиты критической информационной инфраструктуры в ЕС через развитие национальных планов действий в чрезвычайных ситуациях и организация регулярных учений по отработке реагирования на инциденты крупномасштабных компьютерных атак и восстановления после сбоев, а также укрепления сотрудничества между национальными/ правительственными компьютерными аварийными бригадами (CERT);

4)международное и европейское сотрудничество: продвижение приоритетов ЕС на международном уровне путем запуска общеевропейских дебатов с участием государственных и частных заинтересованных сторон для определения приоритетов ЕС по обеспечению устойчивости и стабильности Интернета

âдолгосрочном периоде, путем работы вместе с государства- ми-членами для определения базовых принципов по обеспе- чению устойчивости и стабильности Интернета и разработки дорожной карты для продвижения этих принципов на международном уровне, по возможности используя потенциал стратегического сотрудничества с третьими странами;

5)критерии для сектора ИКТ: поддержка будущей имплемента-

ции Европейской программы по защите критической инфраструктуры (European Programme for Critical Infrastructure

1 Communication from the Commission to the European Parliament, the Council and the Committee of the Regions on Critical Information Infrastructure Protection «Protecting Europe from large scale cyber-attacks and disruptions: enhancing preparedness, security and resilience». Brussels, 30.3.2009. COM(2009) 149 final.

88

Protection) посредством завершения выработки критериев определения европейской критической инфраструктуры в секторе ИКТ.

В целях борьбы с ростом числа крупномасштабных кибератак против бизнеса и правительств Комиссия в сентябре 2010 г. внесла предложение по принятию директивы об атаках на информационные системы1, проект которой обсуждается в настоящее время. Она направлена на усиление борьбы с киберпреступностью посредством сближения уголовного законодательства стран — членов ЕС и развития сотрудничества между юридическими и иными государственными органами. Директива устанавливает способы реагирования на новые формы кибератак, в частности, ботнеты.

Наряду с защитой информации, персональных данных и информационной инфраструктуры важное значение придается обеспечению безопасности потребителей аудиовизуальной продукции СМИ и интернет-пользователей. В рамках политики ЕС в сфере информационного общества (Information society), аудиовизуальной продукции и СМИ (Audiovisual and Media) реализуется комплекс организационно-правовых мер по защите детей и человеческого достоинства (Protection of minor and human dignity) Конкретные решения в этой области нашли отражение в юридических актах. С целью учета культурного разнообразия стран ЕС в данной сфере в качестве основного используется такой источник права ЕС, как директивы, в которых указаны подлежащие достижению цели и результаты при предоставлении национальным властям права самим определять механизм их имплементации2. Кроме того, в данной сфере принят ряд рекомендаций ЕС, имеющих значение руководящих ориентиров для национальных органов власти. Основой для принятия данных актов выступает статья 3 Договора о Европейском Союзе (в редакции Лиссабонского договора от 13 декабря 2007 г.)3, провозглашающая защиту прав детей в качестве одной из целей деятельности ЕС.

Базовым документом ЕС в сфере масс-медиа длительное время являлась Директива Совета ЕС 89/552/ЕЕС от 3 октября 1989 г., известная как Директива «Телевидение без границ» (Television without Frontiers Directive), действовавшая в редакции Директивы 97/36/ЕС

1Proposal for a Directive on attacks against information systems, repealing Framework Decision 2005/222/JHA. MEMO/10/463. 30/09/2010.

2Европейское право. Право Европейского Союза и правовое обеспечение защиты прав человека: Учебник для вузов / Рук. авт. колл. и отв. ред. Л.М. Энтин. М.: Норма, 2007. С. 108, 109.

3Treaty on European Union (Consolidated version). На русском языке: Договор о Европейском Союзе // Европейский Союз: Основополагающие акты в редакции Лиссабонского договора с комментариями / Отв. ред. С.Ю. Кашкин. М.: ИНФРА-М, 2010. С. 166—210.

89

îò 19 èþíÿ 1997 ã.1. В ней содержалась специальная глава 5 «Защита несовершеннолетних и общественного порядка», а также другие нормы, направленные на защиту несовершеннолетних, предусматривающие: запрет рекламы табачных изделий (ст. 13), ограничения на рекламу алкогольных напитков (ст. 15); требование о недопустимости причинения рекламой физического или морального ущерба несовершеннолетним (ст. 16).

Âразвитие данных положений в ЕС были приняты Рекомендации

по защите несовершеннолетних и человеческого достоинства 98/560/ЕС от 24 сентября 1998 г. и 2006/952 ЕС от 20 декабря 2006 г.2, которые закрепили комплекс мер, направленных на защиту детей от деструктивной информации в СМИ и сети «Интернет», реализуемых государствами — членами ЕС, Европейской комиссией, СМИ и другими субъектами.

11 декабря 2007 г. принята Директива 2007/65/ЕС3, вносящая поправки в Директиву «Телевидение без границ» и трансформирующая ее в Директиву об аудиовизуальных медиа-услугах (Audiovisual Media Services Directive). 10 марта 2010 г. принята кодифицированная версия данной директивы4. В новой редакции документ распространил свое действие на аудиовизуальные услуги, предоставляемые провайдером для просмотра программ по выбору зрителя (on-demand).

Âдокументе частично сохранены прежние и закреплен ряд новых норм, касающихся защиты несовершеннолетних. Так, ст. 9 Директивы5 закрепила следующую норму, согласно которой государст- ва-участники гарантируют, что аудиовизуальные коммерческие коммуникации не будут причинять физический и моральный вред несовершеннолетним. Поэтому они не будут напрямую предлагать несовершеннолетним приобрести товар или воспользоваться услугой, используя их неопытность или доверчивость, напрямую подстрекать их уговаривать своих родителей или других лиц приобрести

1Council Directive 89/552/EEC of 3 October 1989 on the coordination of certain provisions laid down by Law, Regulation or Administrative Action in Member States concerning the pursuit of television broadcasting activities, amended by Directive 97/36/EC of the European Parliament and of the Council of 30 June 1997.

2Protection of minors and human dignity (1998 Recommendation); Protection of minors and human dignity in audiovisual and information services (2006 recommendation).

3Directive 2007/65/EC of the European Parliament and of the Council of 11 December 2007 amending Council Directive 89/552/EEC on the coordination of certain provisions laid down by law, regulation or administrative action in Member States concerning the pursuit of television broadcasting activities.

4Directive 2010/13/eu of the European Parliament and of the Council of 10 march 2010 on the coordination of certain provisions laid down by law, regulation or administrative action in Member States concerning the provision of audiovisual media services (Audiovisual Media Services Directive).

5Здесь и далее приводятся нормы кодифицированной версии Директивы об аудиовизуальных медиа-услугах.

90