Тема 2.3. Нормативно-методическая база по защите документированной информации в рф

Освоение данной темы имеет принципиально важное значение для понимания сущности и особенностей конфиденциального делопроизводства и системы защиты документированной информации в целом.

Следует проанализировать рекомендуемые к соответствующему разделу законы и подзаконные акты, структуру законодательства в информационной сфере, прежде всего ФЗ «Об информации, информационных технологиях и защите информации», поскольку он призван быть системообразующим законодательным актом в данной сфере. Особое внимание следует уделить нормативным актам, определяющим правовой режим отдельных видов информационных ресурсов ограниченного доступа (ФЗ «О коммерческой тайне», ФЗ «о персональных данных» и другие).

Необходимо уяснить место и роль нормативно-методической базы общего делопроизводства в правовом и методическом обеспечении системы защиты документированной информации в различных организационных структурах.

Ведомственные нормативно-методические документы по защите информации (положения, инструкции, стандарты и др.).

Желательно проанализировать отдельные законы и подзаконные акты с документоведческой точки зрения, выявить соответствующие пробелы в их содержании.

Тема 2.4. Ответственность за нарушение правил работы с конфиденциальными документами и информацией

Порядок правовой защиты является одним из компонентов правового режима информационных ресурсов и выражается прежде всего в установлении и применении мер юридическая ответственности за нарушение действующих норм и правил создания и использования информационных ресурсов, особенно если это информационные ресурсы ограниченного доступа. При анализе ответственности за нарушение правил работы с конфиденциальными документами следует четко уяснить виды правонарушений в сфере обращения информации ограниченного доступа. (неправомерные действия с персональными данными, хищение документов, нарушение правил работы с архивными документами, утрата документов особой ценности, неправомерный отказ в предоставлении информации, разглашение государственной, коммерческой, служебной и иной тайны, фальсификация документов). Следует иметь в виду, что в зависимости от вида правонарушения, его мотивов, тяжести негативных последствий здесь могут быть применены все существующие виды юридической ответственности: материальная, дисциплинарная, административная, уголовная.

Следует обратиться к законодательству (Кодекс об административных правонарушениях Российской Федерации, Уголовный кодекс Российской Федерации), а также проанализировать типовые тексты трудовых договоров, обязательств о неразглашении и иных документов на предмет выявления и систематизации мер ответственности за нарушение правил работы с конфиденциальными документами, при необходимости самотоятельно разработать типовые формы соответствующих документов.

Раздел 3 организационные основы защиты информации

Тема 3.1. Организация комплексной системы

Защиты информации в организации

Необходимо уяснить комплексный характер системы информационной безопасности, выявить основные этапы ее построения, предварительно проанализировав формы и виды уязвимости информационных ресурсов организации. Комплексная система защиты информации представляет собой совокупность направлений, методов, средств и мероприятий, снижающих уязвимость информации и препятствующих несанкционированному доступу к ней, ее утечке и утрате.

Прежде всего следует уяснить основные угрозы информационной безопасности, их виды и формы, четко понимать их соотношение и вероятность их проявления в различных организациях при воздействии различных факторов и условий.

Необходимо рассмотреть основные угрозы информационным ресурсам на различных видах носителей в рамках организации и дифференцировать степень их защищенности. На основе этого следует попытаться сделать выводы о несовершенстве традиционных организационных и технических условий обработки информации. Прежде всего здесь имеется в виду тот факт, что в большинстве организаций за информацию на различных носителях отвечают разные подразделения и отсутствует централизованная служба, в ведении которой находились бы все информационные ресурсы вне зависимости от их носителей. Это негативно сказывается на информационно-документационном обеспечении деятельности организации в целом, и прежде всего на защищенности ее информационных ресурсов и ценных документов. Особое внимание следует уделить документам на электронных носителях в целом и сообщениям e-mailв частности. В этой связи полезно обратиться кзарубежному опыту, к международному стандарту ИСО по управлению документацией и проанализировать их на предмет применения в формировании современных организационных и правовых основ конфиденциального делопроизводства.

Необходимо выделить основные принципы, которые должны лежать в основе комплексной системы защиты информации. Прежде всего это персональная ответственность за сохранность и конфиденциальность информации (документов), четкая и строгая регламентация доступа к конфиденциальной информации и др. Следует акцентировать роль службы документационного обеспечения в построении и реализации системы защиты информации.

Для грамотного построения и эксплуатации системы защиты следует уяснить логику ее построения. Нужно обратить внимание, что начинается этот процесс с анализа информационных ресурсов организации, их дифференцирования по степени закрытости и уязвимости. Затем определяются и внедряются конкретные меры (организационные, правовые, технические, программные) по защите информации. Обязательным этапом является контроль, мониторинг и корректировка этих мер. При определении мер защиты конкретных сведений основным принципом должна быть их прямая зависимость от ущерба при их утрате или утечке. Кроме того, затраты на внедряемые меры защиты также должны быть соотносимы со степенью предполагаемого ущерба при утрате или утечке информации и с вероятностью реализации угроз защищаемым сведениям и документам.

Необходимо выделить основные группы мер по защите информации: меры физической, технической, программной, правовой и организационной защиты. Следует отметить, что зачастую недостаточное внимание уделяется как раз правовому и организационному обеспечению защиты информации, хотя именно они влияют на эффективность остальных мер защиты и должны лежать в основе построения и реализации комплексной системы защиты информации.