Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Безопасность информационных технологий. В 2 частях. Ч.1. Учебное пособие
.pdf
6.7. Комплексирование каналов утечки информации
141
Второй способ комплексирования применяется в тех случаях, когда
использование единственного источника неприемлемо по причинам его ненадежности. Например, велика вероятность, что этот единственный источник не владеет достоверной информацией или даже поставляет дезинформацию. Во втором варианте комплексирования одна и та же информация
добывается от нескольких источников и передается по соответствующим
каналам (рис. 6.35).
Например, искомая информация получена из трех источников:
‒ из документа о разработке некоторого изделия, добытого агентом;
‒ по результатам исследования блока того же изделия, добытого вто-
рым агентом;
‒ от закладного устройства, передавшего запись совещания, на кото-
ром обсуждалась тема создания этого изделия.
Рис. 6.35. Утечка информации от разных источников
с передачей по соответствующим каналам
При таком комплексировании трех каналов утечки информации веро-
ятность внедрения дезинформации можно оценить по следующей формуле:
где P1, P2 и Р3 – значения вероятностей появления дезинформации в первом,
втором и третьем каналах; r – коэффициент корреляции.
Коэффициент корреляции r характеризует статистическую зависи-
мость информации в разных каналах [33].
. . . . . . . .
Источник
информации 1
Канал утечки информации 1
Источник
информации 2
Канал утечки информации 2
Центр
анализа
. . . . . . . . . . . . . . . . .
Источник
информации n
Канал утечки информации n
7. Организационно-правовое обеспечение информационной безопасности
142
7. ОРГАНИЗАЦИОННО-ПРАВОВОЕ ОБЕСПЕЧЕНИЕ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
7.1. Классификация методов защиты информации
Все методы защиты информации принято классифицировать по трем
направлениям (рис. 7.1).
Рис. 7.1. Классификация методов защиты информации
Законодательство в информационной сфере началось после принятия
Гражданского кодекса РФ в октябре 1994 г. и Закона «Об информации, информатизации и защите информации» от 20.02.95 г. № 24-Ф3, где впервые в
правовой практике России информация определяется в качестве объекта
гражданского права. Последняя редакция этого закона была 27.07.2006 г.
№ 149-ФЗ [40].
Методы защиты
Правовые
Организационные
Технические
Законодательная
база:
международное
право;
государствен-
ное право;
законодатель-
ные акты региона;
ведомственные
акты;
постановления
администрации
города;
внутрифирмен-
ные документы
подбор и подго-
товка кадров;
организация
режима охраны;
создание служб
безопасности;
создание госу-
дарственных
систем лицензирования и сер-
тификации
аппаратные;
программные;
криптографиче-
ские;
меры физиче-
ской защиты
7.2. Классификация и виды информационных ресурсов
143
В соответствии с законодательством РФ защите подлежит только до-
кументированная информация, зафиксированная на каком-либо материальном носителе и имеющая реквизиты, позволяющие ее идентифицировать.
Обобщенным термином для обозначения такой информации является понятие «Информационные ресурсы». Юридическое определение этого понятия.
Информационные ресурсы – отдельные документы и отдельные мас-
сивы документов, документы и массивы документов в информационных
системах (библиотеках, архивах, фондах, банках данных, других информационных системах).
В более широком смысле, в дополнение к юридической формуле, к
информационным ресурсам принято относить все научно-технические знания, произведения литературы и искусства, множество иной информации
общественной и государственной значимости, зафиксированной в любой
форме, на любом носителе информации.
Информационные ресурсы общества рассматриваются как стратегические ресурсы, аналогичные по значимости материальным, сырьевым,
энергетическим, трудовым и финансовым ресурсам. Вместе с тем информационные ресурсы отличаются от всяких других тем, что они после использования не исчезают.
С правовой точки зрения информационные ресурсы являются объектами отношений, подлежат обязательному учету и защите как материальное имущество собственника. И как элементы имущества находятся в собственности юридических и физических лиц. Информационные ресурсы могут быть товаром, за исключением случаев, предусмотренных законодательством РФ, и защищаются законом наряду с другими ресурсами.
7.2. Классификация и виды информационных ресурсов
Информационные ресурсы принято классифицировать по принадлежности и по доступности. Классификация информационных ресурсов по
принадлежности представлена на рис. 7.2.
Собственнику информационных ресурсов предоставляется право самостоятельно в пределах своей компетенции устанавливать режим их защиты и прав доступа к ним.
7. Организационно-правовое обеспечение информационной безопасности
144
Рис. 7.2. Классификация информационных ресурсов по принадлежности
Государственные информационные ресурсы формируются:
‒ на федеральном уровне (федеральные информационные ресурсы);
‒ совместными усилиями федеральных органов и субъектов РФ (ин-
формационные ресурсы совместного ведения);
‒ на уровне субъектов РФ.
Негосударственные информационные ресурсы – это ресурсы, со-
зданные, приобретенные за счет средств негосударственных учреждений,
организаций, предприятий и физических лиц или полученные в результате
дарения юридическими или физическими лицами.
Государство имеет право выкупа документированной информации у
негосударственных собственников информации, если сведения, содержащиеся в этой информации, представляют собой государственную тайну.
Закон «Об информации, …» содержит понятие «Конфиденциальная
информация».
Конфиденциальная информация – это документированная информация,
доступ к которой ограничивается в соответствии с законодательством РФ.
Классификация информационных ресурсов по категориям доступа
представлена на рис. 7.3.
Документированная информация с ограниченным доступом подраз-
деляется на информацию, отнесенную к государственной тайне, и конфиденциальную информацию. К конфиденциальной информации относятся
коммерческая, служебная и др. тайны, всего более 40 видов тайн, а также
персональные данные.
Законодательством РФ запрещено относить к информации с ограни-
ченным доступом следующие виды информационных ресурсов:
Информационные ресурсы
Государственные
Не государственные
Органы
Государственной власти
Юридические
лица
Физические
лица
7.3. Информация ограниченного доступа. Государственная тайна
145
Законодательные акты:
‒ по правовому статусу органов власти;
‒ органов местного самоуправления, определяющие права и обязан-
ности граждан.
Информация о чрезвычайных ситуациях.
Информация о деятельности органов государственной власти
(кроме информации, относящейся к государственной тайне).
Рис. 7.3. Классификация информационных ресурсов по категориям доступа
Информационные ресурсы классифицируются также по режиму их
использования (рис. 7.4).
Рис. 7.4. Классификация информационных ресурсов по режиму использования
7.3. Информация ограниченного доступа. Государственная тайна
Система защиты государственных секретов основывается на Законе
РФ «О государственной тайне» от 21.07.93 г. №5485-1. Этот закон определяет государственную тайну как защищаемые государством сведения, распространение которых может нанести ущерб безопасности РФ в области
Информационные ресурсы
ИР ограниченного доступа
Общедоступные (открытые) ИР
Государственная
тайна
Конфиденциальная
информация
Информация,
изъятая
из оборота
Информация,
ограниченная
в обороте
Информация, не изъятая и не
ограниченная в обороте
Информационные ресурсы
7. Организационно-правовое обеспечение информационной безопасности
146
военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-разыскной деятельности.
Перечень сведений, отнесенных к государственной тайне, утвержден
Указом президента РФ от 30.11.95 г. №1203. Согласно этому Указу к сведениям, представляющим государственную тайну, относят:
‒ сведения в военной области;
‒ сведения в области внешней политики и экономики;
‒ сведения в области экономики, науки и техники;
‒ сведения в области разведывательной, контрразведывательной и
оперативно-разыскной деятельности, а также в области противодействия
терроризму и области обеспечения безопасности лиц, в отношении которых принято решение о применении мер государственной защиты.
Процедура оформления права граждан на доступ к государственной
тайне называется допуском, а санкционированное ознакомление конкретного
лица со сведениями, составляющими государственную тайну, – доступом.
Правила, по которым определяется степень секретности сведений,
представляющих государственную тайну, утверждены Постановлением
Правительства РФ от 04.09.95 г. №870.
Документы, содержащие государственную тайну, подразделяются
на четыре степени секретности с соответствующим грифом: «Секретно»,
«Совершенно секретно», «Особой важности». Существует также промежуточный гриф «Для служебного пользования» (ДСП), которым снабжаются
не секретные документы внутрифирменного использования. Для документов с грифом ДСП устанавливается особый порядок их создания, размножения, распространения, хранения и уничтожения.
Постановлением Правительства РФ от 18.09.2006 г. № 573 и Приказом от 19.05.2011 г. № 408н Минздравсоцразвития предусмотрены выплаты ежемесячных процентных надбавок сотрудникам, работающим с информацией определенной степени:
«Особой важности» 50–75 %;
«Совершенно секретно» 30–50 %;
«Секретно» 10–15 % (с проведением проверочных мероприятий);
5–10 % (без проведения проверочных мероприятий).
При определении размера ежемесячной процентной надбавки кроме
степени секретности учитываются объем сведений, к которым гражданин
7.3. Информация ограниченного доступа. Государственная тайна
147
имеет доступ, а также продолжительность срока, в течение которого сохраняется актуальность засекречивания этих сведений.
Степеням секретности сведений, составляющих государственную
тайну, соответствуют следующие формы допуска граждан к этим сведениям:
первая форма – для граждан, допускаемых к сведениям особой
важности;
вторая форма – для граждан, допускаемых к совершенно секрет-
ным сведениям;
третья форма – для граждан, допускаемых к секретным сведениям.
При этом наличие у гражданина допуска к сведениям более высокой
степени секретности является основанием для его доступа к сведениям более низкой степени секретности.
Порядок засекречивания сведений, составляющих государственную
тайну, основан на трех принципах: законности, обоснованности и своевременности. Отнесение сведений к государственной тайне осуществляется
путем утверждения отраслевых, ведомственных или программно-целевых
перечней таких сведений. Право принятия решения по засекречиванию сведений принадлежит руководителю органа государственной власти, утвердившему тот или иной конкретный перечень.
Засекречивание информации приводит к ограничению прав соб-
ственника этой информации по ее распространению и использованию. Поэтому законом предписывается возмещение собственнику информации материального ущерба за счет государства, размер которого определяется договором между собственником информации и соответствующим органом
государственного управления.
Право собственности на информацию не может быть ограничено для
иностранных юридических и физических лиц, если она получена без нарушения законодательства РФ.
Порядок рассекречивания и продления сроков засекречивания ар-
хивных документов установлен Постановлением Правительства РФ № 170
от 20.02.95 г. Этим Постановлением установлен предельный пятилетний
срок пересмотра действующих перечней и установленных ранее грифов
секретности. Общий срок засекречивания документов не может превышать
30 лет, но в исключительных случаях этот срок может быть продлен.
7. Организационно-правовое обеспечение информационной безопасности
148
Лица, которые имеют право решать вопросы по отнесению сведений
к государственной тайне, определены распоряжением Президента РФ от
30.05.97 г. №226-рп «О перечне должностных лиц органов государственной власти, наделенных полномочиями по отнесению сведений к государственной тайне».
Ответственность за организацию защиты сведений, составляющих
государственную тайну, в органах государственной власти, на предприятиях, в учреждениях и организациях возлагается на их руководителей.
За нарушение законодательства РФ о государственной тайне Закон предусматривает уголовную, административную, гражданско-правовую или дисциплинарную ответственность.
7.4. Информация конфиденциального характера
Указом Президента РФ от 06.03.1997 г. № 188 (ред. от 13.07.2015)
«Об утверждении Перечня сведений конфиденциального характера» обозначены семь видов таких сведений [4 1].
1. Сведения о фактах, событиях и обстоятельствах частной жизни
гражданина, позволяющие идентифицировать его личность (персональные
данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами
случаях.
2. Сведения, составляющие тайну следствия и судопроизводства,
сведения о лицах, в отношении которых в соответствии с федеральными
законами от 20 апреля 1995 г. № 45-ФЗ «О государственной защите судей,
должностных лиц правоохранительных и контролирующих органов» и от
20 августа 2004 г. № 119-ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства», другими нормативными правовыми актами РФ принято решение о применении мер государственной защиты, а также сведения о мерах государственной защиты
указанных лиц, если законодательством РФ такие сведения не отнесены к
сведениям, составляющим государственную тайну.
3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом РФ и федеральными законами (служебная тайна).
7.4. Информация конфиденциального характера
149
4. Сведения, связанные с профессиональной деятельностью, доступ
к которым ограничен в соответствии с Конституцией РФ и федеральными
законами (врачебная, нотариальная, адвокатская тайна, тайна переписки,
телефонных переговоров, почтовых, телеграфных и иных сообщений и
другие виды тайн).
5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом РФ и федеральными законами (коммерческая тайна).
6. Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
7. Сведения, содержащиеся в личных делах осужденных, а также сведения о принудительном исполнении судебных актов, актов других органов
и должностных лиц, кроме сведений, которые являются общедоступными в
соответствии с Федеральным законом от 2 октября 2007 г. № 229-ФЗ «Об исполнительном производстве».
Персональные данные – это любая информация, которая относится к
конкретному человеку или субъекту персональных данных: ФИО, мобильный телефон, адрес электронной почты, адрес проживания, фотография,
паспортные данные и т.п. Принципиальным в этом понятии является то,
что данные квалифицируются как персональные только в том случае, если
они связаны с конкретной личностью.
Защита персональных данных граждан РФ регламентируется Феде-
ральным законом «О персональных данных» от 27.07.2006 г. № 152-ФЗ (последняя редакция) [42]. Постановлением Правительства РФ от 01.11.2012 г.
№ 1119 утверждены требования к защите персональных данных при их обработке в ИС.
Система защиты персональных данных включает в себя комплекс
организационных и (или) технических мер, определенных на основе анализа перечня актуальных угроз безопасности персональных данных и используемых информационных технологий. В Постановлении определены
четыре категории персональных данных, обрабатываемых в ИС [43]:
‒ общедоступные персональные данные: ФИО, место регистрации,
информация о месте работы, номер телефона, адрес электронной почты и т.п.
‒ персональные данные, касающиеся расовой, национальной принад-
лежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных;
7. Организационно-правовое обеспечение информационной безопасности
150
‒ биометрические персональные данные, на основании которых
можно установить личность субъекта;
‒ иные персональные данные, не относящиеся к вышеуказанным ка-
тегориям.
Безопасность персональных данных при их обработке в ИС должен
обеспечивать оператор ИС, обрабатывающий персональные данные. Выбор средств защиты информации для системы защиты персональных данных осуществляется оператором в соответствии с нормативными правовыми актами, принятыми ФСБ России и ФСТЭК России, во исполнение
Федерального закона «О персональных данных».
Профессиональная тайна – это защищаемая по закону информация,
доверенная или ставшая известной лицу исключительно в силу исполнения
им своих профессиональных обязанностей, не связанных с государственной и муниципальной службой, распространение которой может нанести
ущерб правам и законным интересам другого лица, доверившего эти сведения, и не относится к государственной или коммерческой тайнам.
Выделяют следующие категории профессиональной тайны:
Врачебная тайна – информация, содержащая сведения о фактах обра-
щения за медицинской помощью, о состоянии здоровья, диагнозе заболевания и иные сведения, полученные при обследовании и лечении гражданина.
Тайна связи – тайна переписки, телефонных переговоров, почтовых,
телеграфных и иных сообщений.
Нотариальная тайна – сведения, доверенные нотариусу в связи с
совершением им нотариальных действий.
Адвокатская тайна – сведения, сообщенные адвокату гражданином
в связи с оказанием ему юридической помощи.
Тайна усыновления – сведения об усыновлении ребенка, доверенные
на законном основании иным лицам.
Тайна страхования – сведения о страхователе, застрахованном лице
и выгодоприобретателе, состоянии их здоровья, а также об имущественном
положении всех этих лиц, полученные страховщиком в результате своей
профессиональной деятельности.
Тайна совещания судей – сведения по обсуждению вынесения при-
говора подсудимому.
Тайна совещания присяжных заседателей – сведения по обсужде-
нию виновности подсудимого.
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]