Важность и сложность проблемы информационной безопасности

Информационная безопасность является одним из важнейших аспектов интегральной безопасности, на каком бы уровне мы ни рассматривали последнюю – национальном, отраслевом, корпоративном или персональном.

Для иллюстрации этого положения ограничимся несколькими примерами.

В Доктрине информационной безопасности Российской Федерации (здесь, подчеркнем, термин "информационная безопасность" используется в широком смысле) защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ в информационной сфере.

По распоряжению президента США Клинтона (от 15 июля 1996 года, номер 13010) была создана Комиссия по защите критически важной инфраструктуры как от физических нападений, так и от атак, предпринятых с помощью информационного оружия. В начале октября 1997 года при подготовке доклада президенту глава вышеупомянутой комиссии Роберт Марш заявил, что в настоящее время ни правительство, ни частный сектор не располагают средствами защиты от компьютерных атак, способных вывести из строя коммуникационные сети и сети энергоснабжения.

Американский ракетный крейсер "Йорктаун" был вынужден вернуться в порт из-за многочисленных проблем с программным обеспечением, функционировавшим на платформе Windows NT 4.0 (Government Computer News, июль 1998). Таким оказался побочный эффект программы ВМФ США по максимально широкому использованию коммерческого программного обеспечения с целью снижения стоимости военной техники.

Заместитель начальника управления по экономическим преступлениям Министерства внутренних дел России сообщил, что российские хакеры с 1994 по 1996 год предприняли почти 500 попыток проникновения в компьютерную сеть Центрального банка России. В 1995 году ими было похищено 250 миллиардов рублей (ИТАР-ТАСС, AP, 17 сентября 1996 года).

Одна студентка потеряла стипендию в 18 тысяч долларов в Мичиганском университете из-за того, что ее соседка по комнате воспользовалась их общим системным входом и отправила от имени своей жертвы электронное письмо с отказом от стипендии.

(2 вопрос) Регуляторы в области ИБ в России

Ни в одной стране мира нет такого количества регуляторов в области ИБ, как в России. У нас их шесть: Федеральная служба по техническому и экспортному контролю, Федеральная служба безопасности, Министерство обороны, Служба внешней разведки, Федеральная служба охраны и Министерство связи и массовых коммуникаций.

И это еще не все. На подходе новый официальный регулятор — Банк России. Согласно проекту закона «О национальной платежной системе», внесенного в Госдуму 15 ноября 2010 года, «субъекты национальной платежной системы обязаны обеспечивать защиту информации при осуществлении переводов денежных средств в соответствии с требованиями, установленными Банком России». А ведь есть еще международные (PCI DSS Council, Visa, MasterCard), отраслевые (Газпром) регуляторы и появляющиеся в области ИТ/ИБ саморегулируемые организации. На этом поприще также замечены Совет безопасности, Ростехрегулирование и ряд других.

Даже в отношении «известных» регуляторов для многих специалистов по безопасности остается немало белых пятен. Например, немногие знают, что ФСБ в последнее время «замахнулась» и на смежные с криптографией «поляны». Согласно совместному приказу ФСТЭК и ФСБ № 416/489 «Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования», именно ФСБ, а не ФСТЭК отвечает за защиту государственных органов и именно она устанавливает требования к межсетевым экранам, антивирусам, системам предотвращения вторжения и т. п. Но и это не все. По проекту нового приказа ФСБ тематика предотвращения вторжений может «уйти» под данный федеральный орган исполнительной власти и в области защиты персональных данных. А это уже не какие-то несколько тысяч госорганов — это несколько миллионов организаций

ФСТЭК (межсетевые экраны, антивирусы, системы предотвращения вторжений) России является федеральным органом исполнительной власти России, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

• обеспечения безопасности (некриптографическими методами) информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере, в том числе в функционирующих в составе критически важных объектов Российской Федерации информационных системах и телекоммуникационных сетях, деструктивные информационные воздействия на которые могут привести к значительным негативным последствиям;

• противодействия иностранным техническим разведкам на территории Российской Федерации;

• обеспечения защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращения её утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях её добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации;

• защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;

ФСБ (криптография)

• при формировании и реализации государственной и научно-технической политики в области обеспечения информационной безопасности, в том числе с использованием инженерно-технических и криптографических средств;

• при обеспечении криптографическими и инженерно-техническими методами безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в России и её учреждениях, находящихся за пределами России.

Служба внешней разведки

• за защиту информации (и не только гостайну) в загранучреждениях.

Федеральная служба охраны

• отвечает не только за спецсвязь, но и за «поддержание и развитие сегмента международной компьютерной сети Интернет для федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации», а также за безопасность системы межведомственного электронного документооборота.

Минком связи

• Регулирует открытую информацию, потоки и пути передачи информации.

(4,5,6 вопросы) Виды тайн. Правовое регулирование

На основе положений Конституции Российской Федерации отраслевым законодательством выделяются соответствующие виды тайн: тайна частной жизни, профессиональная, коммерческая, служебная, государственная тайна.

• Тайна частной жизни — это охраняемые законом конфиденциальные сведения, составляющие личную или семейную тайну лица, незаконное собирание или распространение которых причиняет вред правам и законным интересам этого лица и предоставляет ему право на защиту в соответствии с законодательством Российской Федерации. (Семейный кодекс РФ, Перечень сведений конфиденциального характера. Утв. Указом Президента РФ).

• Профессиональная тайна — это охраняемые законом конфиденциальные сведения, доверенные или ставшие известными лицу исключительно в силу исполнения им своих профессиональных обязанностей, не связанных с государственной или муниципальной службой, незаконное получение или распространение которых может повлечь за собой вред правам и законным интересам другого лица, доверившего эти сведения и предоставляет ему право на защиту в соответствии с законодательством Российской Федерации. (Положение об адвокатуре, О банках и банковской деятельности)

• Коммерческая тайна — это охраняемые законом конфиденциальные сведения в области производственно-хозяйственной, управленческой, финансовой деятельности организации, имеющие действительную или потенциальную ценность в силу неизвестности их третьим лицам, к ним нет свободного доступа на законном основании, обладатель сведений принимает меры к их конфиденциальности, незаконное получение, использование или разглашение которых создает угрозу причинения вреда владелы{у этих сведений и предоставляет ему право на защиту в соответствии с законодательством Российской Федерации. (О бухгалтерском учете, О перечне сведений, которые не могут составлять коммерческую тайну).

режим конфиденциальности информации, позволяющий её обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду (из закона РФ «О коммерческой тайне 9 июля 2004 года»). Под режимом конфиденциальности информации понимается введение и поддержание особых мер по охране информации.

• Служебная тайна — это охраняемые законом конфиденциальные сведения о деятельности государственных органов, доступ к которым ограничен федеральным законом или в силу служебной необходимости, а также ставшие известными в государственных органах и органах местного самоуправления только на законном основании и в силу исполнения их представителями служебных обязанностей, имеющие действительную или потенциальную ценность в силу неизвестности их третьим лицам, к ним нет свободного доступа на законном основании, обладатель сведений принимает меры к их конфиденциальности, незаконное получение или разглашение которых создает угрозу причинения вреда владельцу этих сведений и предоставляет ему право на защиту в соответствии с законодательством РФ.

• Государственная тайна - ст. 2 Закона РФ «О государственной тайне 21.07.1993». Государственная тайна — защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

(7 вопрос) 152 ФЗ. Персональные данные

Федеральный закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных» — федеральный закон, регулирующий деятельность по обработке (использованию) персональных данных.

Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее - муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

В соответствии с законом, в России существенно возрастают требования ко всем частным и государственным компаниям и организациям, а также физическим лицам, которые хранят, собирают, передают или обрабатывают персональные данные (в том числе фамилия, имя, отчество). Такие компании, организации и физические лица относятся к операторам персональных данных.

Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

• персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

• оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;

• обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;

Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.

(8 вопрос) №149-ФЗ Об информации, информационных технологиях