Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Правовые аспекты системы безопасности. Курс лекций
.pdf
90
службы администратора АС, о которых будет сказано далее. Все
указанные службы активно взаимодействуют в целях достижения
эффективной разработки и эксплуатации АС и ее СЗСИ.
Для эффективной и надежной с точки зрения обеспечения
безопасно-сти информации работ АС необходимо правильно
организовать разрешительную систему доступа пользователей к
информации в АС, т.е. предоста-вить пользователям право
работать с той информацией, которая необходима им для
выполнения своих функциональных обязанностей, установить их
полномочия по доступу к информации.
Это означает, что необходимо определить и оформить
порядок установления уровня полномочий пользователей, а также
круга лиц, которым это право предоставлено, установить правила
разграничения доступа, регламентирующие права доступа
субъектов к объектам, т.е. не только, кто из пользователей АС и их
программ допускается к тем или иным программам, файлам,
записям, но и какие действия при этом они могут осуществлять
(читать, писать, выполнять). Все это оформляется службой
безопасности информации или администратором АС в виде
матрицы доступа или иных правил разграничения доступа.
Среди организационных мероприятий по обеспечению
безопасности информации важное место занимает охрана
объекта, на котором расположена защищаемая АС (территория,
здания, помещения, хранилища информационных носителей),
путем установления соответствующих постов технических средств
охраны или любыми другими способами, предотвращающими или
существенно затрудняющими хищение СВТ, информационных
носителей, а также НСД к СВТ и линиям связи.
Следует отметить, что в последнее время в направлении
физической защиты помещений, самих СВТ, информационных
носителей наблюдается смещение акцентов в сторону
использования в этих целях средств защиты, основанных на
новых принципах. Например, доступ в помещения разрешается и
контролируется с помощью системы, оконечными устройствами
которой проверяются различного рода индивидуальные жетоны,
магнитные и электронные карточки (используемые в виде ключа
для входа в помещение или для аутентификации в системе).
Защита от утечки секретной или иной конфиденциальной
информации, записанной на магнитных носителях,
осуществляется путем использования средств криптозащиты.
Технология обработки информации в АС различна и зависит
от используемых СВТ, программных средств, режимов работы. Не
вдаваясь в особенности технологического процесса, обусловленные
различиями в технике, программном обеспечении и другими
91
причинами, можно констатировать, что основной характерной
особенностью, связанной с обработкой секретной или иной
подлежащей защите информации, является функционирование
системы защиты информации от НСД (СЗИ НСД) как комплекса
программно-технических средств и организационных решений.
Данный комплекс предусматривает:
- учет, хранение и выдачу пользователям информационных
носителей, паролей, ключей;
- ведение служебной информации СЗИ НСД (генерацию
паролей, ключей, сопровождение правил разграничения доступа);
- оперативный контроль за функционированием СЗСИ;
- контроль соответствия общесистемной программной среды
эталону и приемку включаемых в АС новых программных средств;
- контроль за ходом технологического процесса обработки
информации путем регистрации анализа действий пользователей,
сигнализации опасных событий.
Перечисленные составляющие являются функциональной
направленностью службы безопасности информации,
администратора АС. Они фиксируются, с одной стороны, в
положениях об этих службах и общей организационной
документации по обеспечению безопасности информации
("Положение о порядке организации проведения на предприятии
работ по защите информации в АС", "Инструкция по защите
информации, обрабатываемой в АС предприятия (подразделения
предприятия)"), а с другой стороны, в проектной документации
СЗИ НСД (инструкциях администратору АС, службе безопасности
информации, пользователю АС).
В заключение следует отметить, что некоторые другие
аспекты правовой защиты информации изложены в пособиях [17,
20].
92
Лекция 6. НАЗНАЧЕНИЕ, СТРУКТУРА, МЕТОДЫ ПРАВОВОГО
ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Учебные вопросы:
1. Правовая основа информационной безопасности.
2. Система правового регулирования информационной
безопасности.
Вопрос 1. ПРАВОВАЯ ОСНОВА ИНФОРМАЦИОННОЙ
БЕЗОПАСНОСТИ
Государственная система правового регулирования
информационной безопасности представляет собой совокупность
федеральных и иных органов управления, осуществляющих
воздействие на информационные правоотношения с помощью
юридических форм, методов и средств и направленное на
обеспечение ИБ информационных ресурсов.
Создание правовой основы ИБ в целях обеспечения
эффективного использования информационных ресурсов и
защиты интересов государства является безотлагательной задачей
и непосредственно связано с защитой конституционных прав и
свобод личности, обеспечением безопасности России и надежным
функционированием всех систем управления. Информационная
безопасность включает:
- защиту общества от отрицательных последствий
информатизации;
- обеспечение ответственности нарушителей;
- соблюдение прав человека, интересов личности,
организаций, государства, правопорядок отношений в области
информатизации;
- использование техники и технологий в этой сфере.
Для обеспечения ИБ необходимо наличие соответствующих
органов, организаций, ведомств и обеспечение их эффективного
функционирования. Совокупность этих органов составляет
систему безопасности.
В соответствии с Законом о безопасности систему
безопасности, а, следовательно, и ИБ образуют:
- органы законодательной, исполнительной и судебной
властей;
- государственные, общественные и иные организации и
объединения;
- граждане, принимающие участие в обеспечении
безопасности;
- законодательство, регламентирующее отношения в сфере
93
безопасности.
Указанный Закон закрепляет лишь организационную
структуру системы безопасности. Сама же система обеспечения
безопасности намного шире и затрагивает не только правовые
аспекты. Поэтому при ее формировании необходимо учитывать не
только субъекты безопасности, но и:
- объекты ИБ Российской Федерации;
- связи и отношения между ними, организацию их
деятельности;
- формы, методы и средства обеспечения ИБ.
Анализ действующих нормативных правовых актов позволил
выделить в качестве субъектов обеспечения безопасности,
представляющих организационную структуру системы ИБ,
следующие компоненты:
- федеральные органы государственной власти;
- органы государственной власти субъектов РФ;
- органы местного самоуправления, решающие задачи в
области обеспечения ИБ в пределах своей компетенции;
- государственные и межведомственные комиссии и советы,
специализирующиеся на решении проблем обеспечения ИБ;
- структурные и межотраслевые подразделения по защите
конфиденциальной информации органов государственной власти
Российской Федерации, а также структурные подразделения
предприятий, осуществляющие работы с использованием
сведений, отнесенных к государственной тайне, или
специализирующиеся на проведении работ в области защиты
информации;
- научно-исследовательские, проектные и конструкторские
организации, выполняющие работы по обеспечению ИБ;
- учебные заведения, осуществляющие подготовку и
переподготовку кадров для работы в системе обеспечения ИБ;
- граждане, общественные и иные организации, обладающие
правами и обязанностями по обеспечению ИБ в установленном
законом порядке.
Основными функциями рассмотренной системы ИБ
Российской Федерации являются:
- разработка и реализация стратегии обеспечения ИБ;
- создание условий для реализации прав граждан и
организаций на разрешенную законом деятельность в
информационной сфере;
- оценка состояния ИБ в стране; выявление источников
внутренних и внешних угроз ИБ; определение приоритетных
направлений предотвращения, парирования и нейтрализации
этих угроз;
94
- координация и контроль деятельности системы обеспечения
ИБ;
- организация разработки федеральных и ведомственных
программ обеспечения ИБ и координация работ по их реализации;
- проведение единой технической политики в области
обеспечения ИБ;
- организация фундаментальных, поисковых и прикладных
научных исследований в области ИБ;
- обеспечение контроля за созданием и использованием
средств защиты информации посредством обязательного
лицензирования деятельности в области защиты информации и
сертификации средств защиты информации;
- осуществление международного сотрудничества в сфере
ИБ, представление интересов Российской Федерации в
соответствующих междуна-родных организациях.
Основной целью системы ИБ является защита
конституционных прав и свобод граждан.
Анализ структуры и функций системы ИБ, с учетом
сложившейся системы разделения властей, позволил выявить
субъекты обеспечения ИБ и их полномочия.
Государство является главным и основным субъектом
обеспечения ИБ в лице Президента РФ, Федерального собрания
РФ, Правительства РФ, органов судебной власти, Совета
безопасности РФ, Федеральной службы по техническому и
экспортному контролю (ФСТЭК России, специализированных
федеральных органов исполнительной власти России (ФСБ, ФСО,
ФПС, СВР).
Общее руководство субъектами обеспечения ИБ в рамках
определенных полномочий осуществляет Президент РФ. К его
полномочиям в сфере обеспечения ИБ относятся:
- осуществление руководства и взаимодействия органов
государственной власти;
- контроль и координация деятельности органов обеспечения
ИБ;
- определение жизненно важных интересов Российской
Федерации в информационной сфере;
- определение внутренних и внешних угроз этим интересам;
- определение основных направлений стратегии обеспечения
ИБ.
Федеральное Собрание РФ формирует на основе Конституции
РФ законодательную базу в сфере ИБ.
Правительство РФ в пределах своих полномочий:
- обеспечивает руководство государственными органами;
- организует и контролирует разработку и реализацию
95
мероприятий по обеспечению ИБ министерствами и другими
подведомственными ему органами.
Органы судебной власти также являются субъектами
обеспечения ИБ – они обеспечивают судебную защиту граждан,
права которых были нарушены в связи с деятельностью по
обеспечению ИБ, осуществляют правосудие по делам о
преступлениях в информационной сфере.
Особая роль в обеспечении безопасности государства, в том
числе информационной, принадлежит Совету безопасности РФ –
это конституционный орган, не обладающий статусом
федерального органа исполнительной власти, но наделенный
достаточными полномочиями в сфере обеспечения безопасности.
Совет безопасности является единственным совещательным
органом при Президенте РФ, создание которого предусмотрено
действующей Конституцией РФ. Основными задачами Совета
безопасности РФ являются:
- разработка проектов указов и иных правовых актов по
основным направлениям внутренней, внешней и военной
политики в сфере обеспечения безопасности;
- разработка предложений по координации деятельности
федеральных органов государственной власти в процессе
реализации принятых решений в сфере обеспечения ИБ;
- разработка предложений по совершенствованию системы
обеспечения ИБ;
- осуществление государственной политики в сфере ИБ.
Не менее важное место принадлежит Федеральной службе по
техническому и экспортному контролю (ФСТЭК России) – являясь
федеральным органом исполнительной власти, осуществляет:
- единую государственную политику в области технической
защиты информации;
- утверждает нормативно-методические документы по
технической защите информации;
- межотраслевую координацию и функциональное
регулирование деятельности по обеспечению защиты
информации, содержащей сведения, составляющие
государственную или служебную тайну;
- прогнозирование развития сил, средств и возможностей
технических разведок, выявление угроз безопасности
информации;
- предотвращение утечки информации по техническим
каналам, несанкционированного доступа к ней;
- специальные работы по технической защите информации и
др.
К системе специализированных федеральных органов
96
исполнительной власти, обеспечивающих безопасность, относится
и Федеральная служба безопасности РФ (ФСБ России), которая
осуществляет государственное управление в сфере обеспечения
безопасности РФ и реализует основные направления деятельности
органов ФСБ. К ее основным задачам относятся:
- информирование государственных органов власти об
угрозах безопасности Российской Федерации;
- обеспечение защиты сведений, составляющих
государственную тайну;
- проведение во взаимодействии с другими службами
мероприятий по обеспечению безопасности и др.
Федеральная служба охраны РФ (ФСО России) также
относится к субъектам обеспечения безопасности. Ее основной
функцией является обеспечение безопасности лиц, которые
подлежат государственной охране. Кроме этого ФСО, как субъект
обеспечения безопасности, в том числе некоторых аспектов
информационной, необходимо, в части обеспечения
правительственной связи и информации, является составной
частью сил обеспечения безопасности РФ и входит в систему
органов федеральной исполнительной власти, которые
обеспечивают высшие органы государственной власти Российской
Федерации, органы государственной власти субъектов РФ,
центральные органы федеральной исполнительной власти, Совет
безопасности РФ, организации, предприятия, учреждения
специальными видами связи и информации, а также совместно с
ФСБ участвуют в организации и обеспечении и деятельности
центральных органов федеральной исполнительной власти,
организаций, предприятий, учреждений средствами
криптографической и инженерно-технической безопасности и
шифрованной связи в России и ее учреждениях за ру-бежом, а
также осуществляют в рамках своих полномочий
государственный контроль за этой деятельностью.
К субъектам обеспечения безопасности относятся и другие
силовые федеральные министерства и ведомства. Так в составе
ФСБ, Федеральная пограничная служба РФ (ФПС России) в рамках
осуществления своих основных функций по охране
государственной границы, территориального моря,
континентального шельфа, государственных границ государств –
участников СНГ также решает задачи обеспечения ИБ.
Обеспечение безопасности Российской Федерации на
территории зарубежных государств и соответственно ИБ
осуществляется Службой внешней разведки РФ (СВР России). В ее
компетенцию входит осуществление разведывательной
деятельности в политической, экономической, экологической и
97
иных сферах.
Одной из специфических является охранительная функция
государства. Выполнение значительной ее части принадлежит
органам внутренних дел, которые являются также субъектами
обеспечения безопасности. Министерство внутренних дел РФ (МВД
России) возглавляет систему органов внутренних дел России, в
которую входят территориальные органы МВД России в субъектах
Федерации – министерства внутренних дел республик в составе
России, Главное управление, управления и отделы внутренних дел,
внутренние войска. В нее также входят различные службы,
подразделения, учебные заведения, предприятия, учреждения,
организации. Министерство осуществляет государственное
управление в сфере защиты прав и свобод человека и
гражданина, реализует основные направления деятельности
органов внутренних дел. Его основные задачи:
- разработка и принятие в пределах своей компетенции мер
по защите прав и свобод человека и гражданина, защите объектов
независимо от форм собственности, обеспечение общественного
порядка и общественной безопасности;
- принятие мер по совершенствованию деятельности органов
внутренних дел;
- совершенствование нормативно-правовой базы
деятельности органов внутренних дел;
- совершенствование работы с кадрами, их
профессиональной подготовки и др.
Таким образом, в организационную основу системы ИБ РФ
входят Президент РФ, Федеральное Собрание РФ, Правительство
РФ, Совет безопасности РФ, федеральные органы исполнительной
власти, органы судебной власти, органы государственной власти
субъектов РФ, органы местного самоуправления. Кроме того,
государство в соответствии с действующим законодательством
обеспечивает безопасность каждого гражданина, как на
территории РФ, так и ее пределами.
Другие органы государственного управления (министерства,
ведомства) в пределах своей компетенции:
- определяют перечень охраняемых сведений;
- обеспечивают разработку и осуществление технически и
экономически обоснованных мер по защите информации на
подведомственных предприятиях;
- организуют и координируют проведение НИОКР в области
защиты информации в соответствии с государственными
(отраслевыми) программами;
- разрабатывают отраслевые документы по защите
информации;
98
- контролируют выполнение на предприятиях отрасли
установленных норм и требований по защите информации;
- создают отраслевые центры по защите информации и
контролю эффективности принимаемых мер;
- организуют подготовку и повышение квалификации
специалистов по защите информации.
Вопрос 2. СИСТЕМА ПРАВОВОГО РЕГУЛИРОВАНИЯ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Для осуществления указанных в первом вопросе функций в
составе органов государственного управления функционируют
научно-технические подразделения (центры) защиты информации
и контроля.
На предприятиях, выполняющих оборонные и иные
секретные работы, функционируют научно-технические
подразделения защиты информации и контроля, координирующие
деятельность в этом направлении научных и структурных
производственных подразделений предприятия, участвующие в
разработке и реализации мер по защите информации,
осуществляющие контроль эффективности этих мер. Кроме того, в
отраслях промышленности и регионах страны создаются и
функционируют:
- лицензионные центры, осуществляющие организацию и
контроль за лицензионной деятельностью в области оказания услуг
по защите информации;
- органы по сертификации СВТ и средств связи;
- испытательные центры по сертификации конкретных видов
продукции по требованиям безопасности информации;
- органы по аттестации объектов информационной
безопасности.
При создании государственной системы организационноправового регулирования выявились новые проблемы ИБ и
защиты информации. Это защита:
- права личности на частную жизнь (в том числе защита
персональных данных), конституционных прав личности на тайну
переписки, переговоров, личную тайну;
- коммерческой тайны в предпринимательской и финансовой
деятельности путем законодательного установления механизмов
защиты и обеспечения "добросовестной конкуренции";
- технических и программных средств информатики от
злоумышленника, ошибочных действий персонала и техногенных
воздействий.
Реализация механизмов защиты перечисленных объектов
99
безопасности стала актуальной проблемой именно в настоящее
время. Объективными условиями для развития этих аспектов
проблемы безопасности являются:
- переход к рыночной модели экономики, требующий
создания эффективной защиты предпринимателя от
криминогенных угроз и недобросовестной конкуренции, в том
числе промышленного шпионажа;
- необходимость защиты национального информационного
ресурса при включении наших систем в международные системы
и сети;
- рост степени возможного ущерба при отказе оборудования
АСУ потенциально опасных производств в результате
некомпетентных действий персонала или техногенных катастроф;
- возникновение новых форм общественных отношений в
сфере бизнеса (электронные деньги, электронная подпись,
электронная биржа, электронное соглашение с правом
юридической силы и т. д.).
Новыми эти вопросы являются потому, что, расширив число
участников правоотношений, мы начинаем учитывать интересы
не только государства, но и коллективов и частных лиц. В
результате появляется необходимость правового регулирования их
отношений. Интересы юридических лиц, действующих в
различных условиях рыночных отношений, в значительной
степени отличаются от прежней монопольной позиции
государства. Прежде всего, тем, что в основе этих интересов
лежит острая необходимость обезопасить себя (свой коммерческий
интерес) от риска и угроз. Важным является то, что в этом случае
государство, как было сказано раннее, само начинает выступать в
качестве субъекта, также требующего защиты от риска и угроз.
Если же эти угрозы реализуются, то субъекту причиняется ущерб в
виде прямых финансовых потерь или упущенной выгоды.
По фактам преступлений в финансовой сфере были собраны
статистические данные последних лет. Анализ наиболее крупных
преступлений, связанных с хищением валютных и денежных
средств во Внешэкономбанке по поддельным финансовым
документам, дает основания полагать, что статистика
финансовых компьютерных преступлений не будет отличаться от
аналогичной статистики в западных странах. Близкими
оказываются и побудительные мотивы этих преступлений.
Таким образом, к настоящему времени сформировались
направления, требующие законодательной поддержки:
- защита персональных данных;
- борьба с компьютерной преступностью, в первую очередь в
финансовой сфере;
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]