Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Управление интеллектуальной безопасностью организационные и правовые основы информационной безопасности. Учебное пособие
.pdf
– порядок передачи служебной информации ограниченного рас-
пространения другим органам и организациям;
– порядок снятия пометки «Для служебного пользования» с носи-
телей информации ограниченного распространения;
– организацию защиты служебной информации ограниченного
распространения [48].
Должностные лица, принявшие решение об отнесении служебной
информации к разряду ограниченного распространения, несут персональную ответственность за обоснованность принятого решения и за
соблюдение ограничений, предусмотренных Положением [48].
Служебную тайну могут составлять сведения, являющиеся конфиденциальной информацией других лиц, но ставшие известными
представителям государственных органов и органов местного самоуправления в силу исполнения ими служебных обязанностей. Это
установлено Федеральным законом «Об основах государственной
службы Российской Федерации» [49], возлагающим на государственного служащего обязанность хранить государственную и иную
охраняемую законом тайну, не разглашать ставшие ему известными
в связи с исполнением должностных обязанностей сведения, в том
числе затрагивающие частную жизнь, честь и достоинство граждан.
Таким образом, под служебной тайной следует понимать защищаемую по закону конфиденциальную информацию, ставшую известной в государственных органах и органах местного самоуправления только на законных основаниях и в силу исполнения их представителями служебных обязанностей, а также служебную информацию о деятельности государственных органов, доступ к которой ограничен федеральным законодательством.
Профессиональная тайна в Федеральном законе «Об информации, информационных технологиях и о защите информации» определена как информация, полученная гражданами (физическими
лицами) при исполнении ими профессиональных обязанностей
или организациями при осуществлении ими определенных видов
деятельности. Профессиональная тайна подлежит защите в случаях,
если на эти лица федеральными законами возложены обязанности по
соблюдению конфиденциальности такой информации [11].
Информация, составляющая профессиональную тайну, может быть
предоставлена третьим лицам в соответствии с федеральными законами и (или) по решению суда. Срок исполнения обязанностей по соблюдению конфиденциальности информации, составляющей профес-
151
сиональную тайну, может быть ограничен только с согласия гражданина (физического лица), предоставившего такую информацию о себе.
В соответствии с законодательством к профессиональной тайне
относится информация, связанная со служебной деятельностью
медицинских работников, нотариусов, адвокатов, частных детективов, священнослужителей, работников банков, загсов, учреждений страхования.
Сохранение в тайне сведений, полученных в связи с выполнением
профессиональных функций, вызвано в первую очередь нормами
профессиональной этики, а не собственными коммерческими интересами предпринимателя или организации. Соответствующий правовой статус рассматриваемым нормам придает их законодательное
закрепление.
Нотариальная тайна является специфическим правилом нотариальных действий. В соответствии с Основами законодательства Российской Федерации о нотариате (ст. 5) нотариусу при исполнении
служебных обязанностей, а также лицам, работающим в нотариальной конторе, запрещается разглашать сведения, оглашать документы,
которые стали им известны в связи с совершением нотариальных
действий, в том числе и после сложения полномочий или увольнения, за исключением случаев, предусмотренных Основами. Обязанность хранить профессиональную тайну включена в текст присяги
нотариуса [50].
Врачебная тайна в соответствии с Основами законодательства
Российской Федерации об охране здоровья граждан (ст. 61) [51] – это
информация о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозе его заболевания и иные сведения,
полученные при его обследовании и лечении, которая составляет
врачебную тайну. Гражданину должна быть подтверждена гарантия
конфиденциальности передаваемых им сведений [49].
Адвокатская тайна. В соответствии с Федеральным законом «Об
адвокатской деятельности и адвокатуре в Российской Федерации»
адвокат, помощник адвоката и стажер адвоката не вправе разглашать
сведения, сообщенные доверителем в связи с оказанием ему юридической помощи. Доверительные сведения, полученные адвокатом,
могут быть как в виде документов, так и в устном виде [52].
Законом установлены гарантии независимости адвоката, в соответствии с которыми адвокат не может быть допрошен в качестве
свидетеля об обстоятельствах, которые стали ему известны в связи с
исполнением им обязанностей защитника или представителя.
152
Тайна страхования имеет многого общего с институтом банковской тайны. В соответствии с Гражданским кодексом Российской
Федерации (ст. 946) тайну страхования составляют полученные
страховщиком в результате своей профессиональной деятельности сведения о страхователе, застрахованном лице и выгодоприобретателе, состоянии их здоровья, а также об имущественном
положении этих лиц. За нарушение тайны страхования страховщик
в зависимости от рода нарушенных прав и характера нарушения несет ответственность в соответствии с правилами, предусмотренными
Гражданским кодексом Российской Федерации (ст. 139, 150) [41].
В соответствии с законом Российской Федерации «Об организации страхового дела в Российской Федерации» (ст. 8) в качестве лица, обязанного сохранять тайну страхования, могут выступать юридические и физические лица – страховые агенты и страховые брокеры. Кроме того, законом установлено, что должностные лица федерального органа исполнительной власти по надзору за страховой
деятельностью не вправе использовать в корыстных целях и разглашать в какой-либо форме сведения, составляющие коммерческую
тайну страховщика [53].
Тайна связи регламентируется Федеральным законом «О связи»,
регулирующим общественные отношения, связанные с обеспечением
невозможности противоправного ознакомления с сообщениями, передаваемыми физическими или юридическими лицами по средствам
связи. Тайна связи становится инструментом обеспечения сохранности конфиденциальной информации.
В соответствии с этим законом на территории Российской Федерации гарантируется тайна переписки, телефонных переговоров,
почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи. Ограничение
права на тайну переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям
электросвязи и сетям почтовой связи, допускается только в случаях,
предусмотренных федеральными законами. Операторы связи обязаны обеспечить соблюдение тайны связи [54].
Осмотр почтовых отправлений лицами, не являющимися уполномоченными работниками оператора связи, вскрытие почтовых отправлений, осмотр вложений, ознакомление с информацией и документальной
корреспонденцией, передаваемыми по сетям электросвязи и сетям почтовой связи, осуществляются только на основании решения суда, за исключением случаев, установленных федеральными законами [54].
153
Сведения о передаваемых по сетям электросвязи и сетям почтовой
связи сообщениях, о почтовых отправлениях и почтовых переводах
денежных средств, а также сами эти сообщения, почтовые отправления и переводимые денежные средства могут выдаваться только отправителям и получателям или их уполномоченным представителям,
если иное не предусмотрено федеральными законами [54].
Операторы связи обязаны предоставлять уполномоченным государственным органам, осуществляющим оперативно-розыскную деятельность, информацию о пользователях услугами связи и об оказанных им услугах связи, а также иную информацию, необходимую для
выполнения возложенных на эти органы задач, в случаях, установленных федеральными законами [54].
Операторы связи обязаны обеспечивать реализацию установленных
федеральным органом исполнительной власти в области связи по согласованию с уполномоченными государственными органами, осуществляющими оперативно-розыскную деятельность, требований к сетям и
средствам связи для проведения оперативно-розыскных мероприятий, а
также принимать меры по недопущению раскрытия организационных и
тактических приемов проведения указанных мероприятий [54].
Тайна усыновления связана с интересами охраны семейной жизни и выражается в установлении гражданской и уголовной ответственности за разглашение тайны усыновления (удочерения).
Уголовный кодекс Российской Федерации (ст. 155) признает преступлением разглашение тайны усыновления (удочерения) вопреки
воле усыновителя, совершенное лицом, обязанным хранить такой
факт как служебную тайну и др.
В соответствии с Уголовным кодексом Российской Федерации
(ст. 155) тайна усыновления может быть двух разновидностей. Первой обладают лица, которые обязаны хранить факт усыновления как
служебную или профессиональную тайну – судьи, работники местных администраций, органов опеки и попечительства и прочие лица,
указанные в ч. 1 ст. 139 Семейного кодекса Российской Федерации.
Второй – все другие лица, если установлены их корыстные или иные
низменные побуждения при разглашении тайны усыновления без
согласия обоих усыновителей [46].
Тайна исповеди является внутренним делом священника, который не несет юридической ответственности за ее разглашение. В соответствии с Конституцией Российской Федерации (ст. 51) и Федеральным законом «О свободе совести и религиозных объединениях»
(ст. 3) священнослужитель не может быть привлечен к ответст-
154
венности за отказ от дачи показаний по обстоятельствам, которые стали ему известны из исповеди [55].
Следственная тайна связана с интересами законного производ-
ства предварительного расследования по уголовным делам (ст. 310
УК РФ «Разглашение данных предварительного расследования»).
Сведения о ходе предварительного расследования могут быть
преданы гласности только с разрешения прокурора, следователя или
лица, производящего дознание. Такая информация может касаться
как характера производимых следственных действий, так и доказательственной базы, перспектив расследования, круга лиц, участвующих в расследовании [46].
Необходимо отметить, что законодательно не закреплен перечень
сведений, составляющих следственную тайну. Это означает, что прокурор, следователь или лицо, производящее дознание, могут по своему усмотрению устанавливать, какая информация о предварительном расследовании может быть специально охраняемой, а какая –
охране не подлежит.
Тайна совещания судей. Для всех четырех видов процессов, существующих в отечественном судопроизводстве, предусмотрена определенная процедура обеспечения независимости и объективности
вынесения решения по делу. Эта процедура имеет одной из целей
запрет на разглашение информации о дискуссиях, суждениях,
результатах голосования, которые имели место во время совещания судей. Обеспечение тайны совещания судей устанавливается Гра-
жданско-процессуальным кодексом Российской Федерации (ст. 193),
Федеральным конституционным законом «О Конституционном Суде
Российской Федерации» (ст. 70) и Арбитражным процессуальным
кодексом Российской Федерации (ст. 124).
Персональные данные впервые получили официальное закрепление и правовую охрану в Конституции Российской Федерации, в соответствии с которой (ст. 23 и 24) каждый гражданин Российской Фе-
дерации имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Сбор,
хранение, использование и распространение информации о частной
жизни лица без его согласия не допускаются [42].
Конституционное положение о недопустимости сбора, хранения,
использования и распространения информации о частной жизни лица
является одной из гарантий закрепленного Конституцией Российской
Федерации права на неприкосновенность частной жизни. Оно призвано защитить частную жизнь, личную и семейную тайну от какого
155
бы то ни было проникновения в нее со стороны государственных органов, органов местного самоуправления, а также негосударственных
предприятий, учреждений, организаций и отдельных граждан.
Запрет собирать, хранить, использовать и распространять информацию о частной жизни лица приобретает особое значение в связи с
созданием информационных систем на основе использования средств
вычислительной техники и связи, позволяющих создавать, накапливать, хранить и обрабатывать значительные массивы информации.
В январе 1981 года государства – члены Совета Европы подписали Конвенцию о защите физических лиц при автоматизированной
обработке персональных данных. Российская Федерация подписала
этот международный акт 7 ноября 2001 года и ратифицировала его
19 декабря 2005 года. Одно из требований Конвенции – осуществить
гармонизацию внутреннего законодательства Российской Федерации. Такая гармонизация была достигнута с принятием и вводом в дей-
ствие федеральных законов «Об информации, информационных технологиях и о защите информации» и «О персональных данных» [11, 56].
Основные положения работы с информацией о гражданах и их частной жизни отражены в Федеральном законе «Об информации, информационных технологиях и о защите информации», в соответствии с которым (ст. 9) запрещается требовать от гражданина (фи-
зического лица) предоставления информации о его частной жизни, в том числе информации, составляющей личную или семейную тайну, и получать такую информацию помимо воли гражданина (физического лица), если иное не предусмотрено федеральными законами. Порядок доступа к персональным данным граждан
(физических лиц) устанавливается Федеральным законом «О персональных данных» [56].
Федеральный закон «О персональных данных» регулирует отношения, связанные с обработкой персональных данных, осуществляемой с использованием средств автоматизации или без использования
таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств
автоматизации. В соответствии с Законом (ст. 3) персональными
данными является любая информация, относящаяся к определенному или определяемому на основании такой информации
физическому лицу, включая его фамилию, имя, отчество, дату и ме-
сто рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и другую информацию [56].
156
Положения закона не распространяются на отношения:
– возникающие при обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при
этом не нарушаются права субъектов персональных данных;
– регулируемые законодательством об архивном деле;
– возникающие при обработке подлежащих включению в единый
государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с
деятельностью физического лица в качестве индивидуального предпринимателя;
– возникающие при обработке персональных данных, отнесенных
в установленном порядке к сведениям, составляющим государственную тайну [56].
Обязательным требованием к обработке персональных данных является соблюдение их конфиденциальности, за исключением тех случаев, когда распространение персональных данных осуществляется с
согласия субъекта этих данных или на иных законных основаниях.
Реализуя основные положения Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных
данных, Федеральный закон «О персональных данных» устанавливает, что обработка персональных данных должна осуществляться
на следующих принципах:
– законность;
– обоснованность (соответствия заранее определенным и заявленным целям сбора таких данных и полномочиям операторов);
– соответствие объема и характера обрабатываемых персональных
данных и способов обработки персональных данных целям обработки персональных данных; достоверности и достаточности собранных
персональных данных;
– недопустимость объединения созданных для несовместимых
между собой целей баз данных информационных систем персональных данных [56].
5.2. Общие подходы к защите
конфиденциальной информации
Анализ состояния дел в сфере обеспечения информационной безопасности показывает, что, несмотря на сложившиеся в данной области
концептуальные подходы и уже вполне сформировавшуюся ее струк-
157
туру, проблема защиты конфиденциальной информации становится
все более актуальной, так как непосредственные угрозы и злоумышленные действия над такой информацией не только не уменьшаются,
но и имеют достаточно устойчивую тенденцию роста.
Под угрозами конфиденциальной информации принято пони-
мать потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овладению охраняемыми сведениями [35].
Такими действиями являются:
– ознакомление с конфиденциальной информацией различными
путями и способами без нарушения ее целостности;
– модификация информации в криминальных целях как частичное
или значительное изменение состава и содержания сведений;
– разрушение (уничтожение) информации как акт вандализма с
целью прямого нанесения материального ущерба [19, 35].
Противоправные действия с информацией приводят к нарушению
ее конфиденциальности, полноты, достоверности и доступности, что
в свою очередь приводит к нарушению режима управления и его качества в условиях ложной или неполной информации.
Основными угрозами информации являются ее разглашение,
утечка и несанкционированный доступ к ее источникам.
Угрозы конфиденциальной информации в обобщенном виде показаны на рис. 5.2 [35].
Разглашением являются умышленные или неосторожные действия с конфиденциальными сведениями, приведшие к ознакомлению с
ними лиц, не имеющим права доступа к таким сведениям. Разглашение выражается в сообщении, передаче, предоставлении, пересылке,
опубликовании, утере и в других формах обмена и действий с деловой и научной информацией. Реализуется разглашение по формальным и неформальным каналам распространения информации. К
формальным коммуникациям относятся деловые встречи, совещания,
переговоры и тому подобные формы общения: обмен официальными
деловыми и научными документами средствами передачи официальной информации (почта, телефон, телеграф и т.д.). Неформальные
коммуникации включают личное общение (встречи, переписка), выставки, семинары, конференции и другие массовые мероприятия, а
также средства массовой информации (печать, газеты, интервью, радио, телевидение).
158
Рис. 5.2. Угрозы конфиденциальной информации
Как правило, причиной разглашения конфиденциальной информации является недостаточное знание сотрудниками правил защиты
коммерческих секретов и непонимание (или недопонимание) необходимости их тщательного соблюдения. Важно отметить, что субъектом в этом процессе выступает источник (владелец, пользователь)
охраняемых сведений. Информация содержательная, осмысленная,
упорядоченная, аргументированная, объемная доводится зачастую в
реальном масштабе времени. Часто имеется возможность диалога.
Информация ориентирована в определенной тематической области и
документирована. Для получения интересующей злоумышленника
информации последний затрачивает практически минимальные усилия и использует простые легальные технические средства (диктофоны, видеомониторинг) [19, 35].
Утечкой является неконтролируемый выход конфиденциальной
информации за пределы организации или круга лиц, которым она была доверена. Утечка информации осуществляется по различным техническим каналам. Известно, что информация может переноситься и
передается энергией или веществом. Это может быть акустическая
волна (звук), электромагнитное излучение, написанный текст и др. Из
этого следует, что по физической природе возможны следующие пути
переноса информации: световые лучи, звуковые волны, электромагнитные волны, материалы и вещества. В соответствии с этим классифицируются и каналы утечки информации на визуально-оптические,
159
акустические, электромагнитные и материально-вещественные. При
этом под каналом утечки информации принято понимать физический
путь от источника конфиденциальной информации к злоумышленнику, посредством которого последний имеет возможность получения доступа к охраняемым сведениям. Для образования канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также наличие на стороне злоумышленника соответствующей аппаратуры приема, обработки и
фиксации информации [19, 35].
Несанкционированный доступ представляет собой противоправное преднамеренное овладение конфиденциальной информацией
лицом, не имеющим права доступа к охраняемым сведениям. Несанкционированный доступ к источникам конфиденциальной информации реализуется различными способами: от инициативного
сотрудничества, выражающегося в активном стремлении «продать»
секреты, до использования различных средств проникновения к охраняемым сведениям. Для реализации этих действий злоумышленнику приходится в ряде случаев проникать на объект или создавать
вблизи него специальные стационарные или мобильные посты контроля и наблюдения, оборудованные современными техническими
средствами. В соответствии с комплексным подходом к обеспечению
информационной безопасности такое деление ориентирует на защиту
информации от разглашения и утечки по техническим каналам, а
также от несанкционированного доступа к ней со стороны конкурентов и злоумышленников. Данный подход к классификации действий,
способствующих неправомерному овладению конфиденциальной
информацией, показывает многогранность угроз, многоаспектность и
вариативность мероприятий, направленных на обеспечение комплексной информационной безопасности [19, 35].
Основными причинами, способствующими реализации несанкционированного доступа и овладения конфиденциальной информацией, рассматриваемыми в литературе, являются [19, 35]:
– разглашение (излишняя болтливость сотрудников) – 32 %;
– несанкционированный доступ путем подкупа и склонения к сотрудничеству со стороны конкурентов и преступных группировок – 24 %;
– отсутствие на фирме надлежащего контроля и жестких условий
обеспечения информационной безопасности – 14 %;
– традиционный обмен производственным опытом – 12 %;
– бесконтрольное использование информационных систем – 10 %;
– наличие предпосылок возникновения среди сотрудников конфликтных ситуаций – 8 %.
160
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]