Категорирование объектов и защита ИС

Конспект лекции № 10

Законы и нормативные акты исполняются только в том случае, если они подкрепляются организаторской деятельностью соответствующих структур, создаваемых в государстве, в ведомствах, учреждениях и организациях. При рассмотрении вопросов ИБ такая деятельность относится к организационным методам защиты процессов переработки информации.

Организационные методы защиты процессов переработки информации включают в себя меры, мероприятия и действия, которые
должны осуществлять должностные лица в процессе создания и эксплуатации КС для обеспечения заданного уровня ИБ. Эти меры
тесно связаны с правовым регулированием в области безопасности
информации.

В соответствии с законами и нормативными актами в министерствах, ведомствах, на предприятиях (независимо от форм собственности для защиты процессов переработки информации создаются специальные службы безопасности (на практике они могут называться иначе). Эти службы подчиняются, как правило, руководителю учреждения. Руководители служб организуют создание и функционирование систем защиты процессов переработки информации. На организационном уровне решаются следующие задачи обеспечен безопасности функционирования информации в КС:

организация работ по разработке системы защиты программ переработки информации;

ограничение доступа на объект и к ресурсам КС;

разграничение доступа к ресурсам КС;

планирование мероприятий;

разработка документации;

воспитание и обучение обслуживающего персонала и пользователей;

сертификация средств защиты процессов переработки инфор­мации;

лицензирование деятельности по защите процессов переработ­ки информации;

аттестация объектов защиты;

совершенствование системы защиты процессов переработки информации;

оценка эффективности функционирования системы защиты процессов переработки информации;

контроль выполнения установленных правил работы в КС. Организационные методы являются стержнем комплексной системы защиты процессов переработки информации в КС. Толь­ко с помощью этих методов возможно объединение на правовой основе технических, программных и криптографических средств защиты процессов переработки информации в единую комплекс­ную систему. Конкретные организационные методы защиты будут приводиться при рассмотрении методов и средств технологий за­щиты от угроз ИБ. Наибольшее внимание организационным ме­роприятиям уделяется при изложении вопросов построения и организации функционирования комплексной системы защиты процессов переработки информации.

Основными направлениями защиты информационной собствен­ности является охрана государственной, коммерческой, служеб­ной, банковской и интеллектуальной собственности, а также про­фессиональных тайн и данных

Государственная тайна — это защищаемые государством сведе­ния в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыск­ной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

Сведения могут считаться государственной тайной (могут быть засекречены) в следующих случаях:

они соответствуют перечню сведений, составляющих государ­ственную тайну, входят в перечень сведений, подлежащих засек­речиванию, и отвечают законодательству Российской Федерации о государственной тайне (принцип законности);

целесообразность засекречивания конкретных сведений установ­лена путем экспертной оценки вероятных экономических и иных последствий, возможности нанесения ущерба безопасности Рос­сийской Федерации исходя из баланса жизненно важных интере­сов государства, общества и личности (принцип обоснованности);

ограничения на распространение этих сведений и доступ к ним установлены с момента их получения (разработки) или заблагов­ременно (принцип своевременности);

компетентные органы и их должностные лица приняли в отно­шении конкретных сведений решение об отнесении их к государственной тайне и засекречивании и установили соответствующий режим правовой охраны и защиты (принцип обязательной заши­ты).

Коммерческая тайна — это информация, которая имеет действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам, к которой нет свободного доступа на законном основании и к которой принимаются меры по охране конфиденциальности. Она охраняется при содействии государства.

Основными субъектами права на коммерческую тайну являются обладатели коммерческой тайны и их правопреемники.

Обладатели коммерческой тайны — физические (независимо от гражданства) и юридические (коммерческие и некоммерческих организации) лица, занимающиеся предпринимательской деятель­ностью и имеющие монопольное право на информацию, составляющую для них коммерческую тайну.

Правопреемники — это физические и юридические лица, которым в силу служебного положения, по договору или на ином законном основании (в том числе по наследству) известна информация, составляющая коммерческую тайную другого лица.

В России к коммерческой тайне относили промысловую тайну, но затем она была ликвидирована как правовой институт. В начале 1930-х гг. в связи с огосударствлением отраслей экономики он стала защищаться как государственная и служебная тайна.

К коммерческой тайне не может быть отнесена информация:

содержащаяся в учредительных документах;

содержащаяся в документах, дающих право заниматься пред­принимательской деятельностью (регистрационные удостоверения лицензии и т.д.);

содержащаяся в годовых отчетах, бухгалтерских балансах, фор­мах государственных статистических наблюдений и других форма годовой бухгалтерской отчетности, включая аудиторские заключения, а также в иных, связанных с исчислением и уплатой налогов, других обязательных платежей;

содержащая сведения об оплачиваемой деятельности государственных служащих, о задолженности работодателей по выплате заработной платы и другим выплатам социального характера, численности и кадровом составе работающих;

содержащаяся в годовых отчетах фондов об использовании имущества;

о реализации государственной программы приватизации и об условиях приватизации конкретных объектов;

о размерах имущества и вложенных средствах при приватизации;

подлежащая раскрытию эмитентом ценных бумаг, профессиональным участником рынка ценных бумаг и владельцем ценных бумаг в соответствии с законодательством Российской Федера­ции о ценных бумагах;

связанная с соблюдением экологического и антимонопольно­го законодательства, обеспечением безопасных условий труда, реализацией продукции, причиняющей вред здоровью населения, другими нарушениями законодательства Российской Федерации, субъектов Российской Федерации, а также содержащая данные о размерах причиненных при этом убытков;

о деятельности благотворительных организаций и иных неком­мерческих организаций, не связанной с предпринимательской деятельностью;

о наличии свободных рабочих мест;

о хранении, использовании или перемещении материалов и использовании технологий, представляющих опасность для жиз­ни и здоровья граждан или окружающей среды;

о ликвидации юридического лица и порядке и сроке подачи заявлений или требований его кредиторами;

для которой определены ограничения по установлению режи­ма коммерческой тайны в соответствии с федеральными закона­ми и принятыми в целях их реализации подзаконными актами.

Банковская тайна — это сведения о банковских операциях по счетам и сделкам в интересах клиентов, счетах и вкладах своих клиентов и корреспондентов, а также сведения о клиентах и кор­респондентах, разглашение которых может нарушить право пос­ледних на неприкосновенность частной жизни.

К основным объектам банковской тайны относятся следу­ющие:

тайна банковского вклада — сведения обо всех видах вкладов клиента в кредитной организации;

тайна частной жизни клиента или корреспондента — сведе­ния, составляющие личную, семейную тайну и охраняемые зако­ном как персональные данные этого клиента или корреспонден­та;

тайна банковского счета — сведения о счетах клиентов и кор­респондентов и действиях с ними в кредитной организации (о рас­четном, текущем, бюджетном, депозитном, валютном, коррес­пондентском и тому подобных счетах, об открытии, закрытии, переводе, переоформлении счетов и т.д.);

тайна операций по банковскому счету — сведения о принятии и зачислении поступающих на счет клиента денежных средств, о выполнении его распоряжений по перечислению и выдаче соот­ветствующих сумм со счета, а также о проведении других опера­ций и сделок по банковскому счету, предусмотренных договором банковского счета или законом.

К числу основных объектов интеллектуальной собственности относятся:

произведения науки, литературы и искусства;

результаты исполнительской деятельности артистов, режиссеров, дирижеров;

результаты творчества;

звукозаписи и записи изображения;

передача радио- и телевизионных сигналов;

изобретения;

промышленные образцы;

профессиональные секреты (ноу-хау);

полезные модели;

селекционные достижения;

фирменные наименования и коммерческие обозначения правообладателя;

товарные знаки и знаки обслуживания;

наименования мест происхождения товаров;

другие результаты интеллектуальной деятельности и средства индивидуализации, на которые в соответствии с законом могут признаваться или закрепляться исключительные права.

Профессиональная тайна - защищаемая по закону информация, доверенная или ставшая известной лицу (держателю) ис­ключительно в силу исполнения им своих профессиональных обя­занностей, не связанных с государственной или муниципальной службой, распространение которой может нанести ущерб правам и законным интересам держателя или другого лица (доверителя), доверившего эти сведения, и не являющаяся государственной или коммерческой тайной.

Информация профессиональной тайны по критериям охрано­способности права может соответствовать следующим условиям:

информация не относится к сведениям, составляющим госу­дарственную и коммерческую тайну;

информация стала известной или была доверена лицу лишь в силу исполнения им своих профессиональных обязанностей;

информация стала известной или была доверена лицу, не со­стоящему на государственной или муниципальной службе (в противном случае информация считается служебной тайной);

по федеральному закону имеется запрет на распространение доверенной или ставшей известной информации, которое может нанести ущерб правам и законным интересам доверителя.

В соответствии с этими критериями можно выделить следую­щие объекты профессиональной тайны:

врачебная тайна — информация, содержащая:

сведения о факте обращения за медицинской помощью, со­стоянии здоровья, диагнозе заболевания и иные сведения, полу­ченные при обследовании и лечении гражданина;

сведения о проведенных искусственном оплодотворении и им­плантации эмбриона, а также о личности донора;

результаты обследования лица, вступающего в брак;

сведения о доноре и реципиенте при трансплантации органов и (или) тканей человека;

сведения о наличии психического расстройства, фактах обра­щения за психиатрической помощью и лечении в учреждении, оказывающем такую помощь, а также иные сведения о состоянии психического здоровья гражданина;

иные сведения в медицинских документах гражданина;

нотариальная тайна — сведения, доверенные нотариусу в свя­зи с совершением нотариальных действий;

адвокатская тайна — сведения, сообщенные адвокату гражда­нином в связи с оказанием ему юридической помощи;

тайна связи — тайна переписки, телефонных переговоров, по­чтовых, телеграфных и иных сообщений;

тайна усыновления — сведения об усыновлении ребенка, дове­ренные на законном основании иным лицам, кроме судей, вы­несших решение об усыновлении, и должностных лиц, осуществ­ляющих государственную регистрацию этого усыновления;

тайна страхования — сведения о страхователе, застрахованном лице и выгодоприобретателе, состоянии их здоровья, а также об имущественном положении этих лиц, полученные страховщиком в результате своей профессиональной деятельности;

тайна исповеди — сведения, доверенные гражданином священ­нослужителю на исповеди.

Служебная тайна — это защищаемая по закону конфиденци­альная информация, ставшая известной в государственных орга­нах и органах местного самоуправления только на законных осно­ваниях и в силу исполнения их представителями служебных обя­занностей, а также служебная информация о деятельности госу­дарственных органов, доступ к которой ограничен федеральным законом или в силу служебной необходимости.

Служебная тайна является видом конфиденциальной инфор­мации, и право на служебную тайну выступает самостоятельным объектом права. Для осуществления ее правовой охраны и защиты необходим Закон РФ «О тайне» от 21.07.93 № 5485-1.

К основным объектам служебной тайны можно отнести следу­ющие виды информации:

служебная информация о деятельности федеральных государ­ственных органов, доступ к которой ограничен федеральным за­коном в целях защиты государственных интересов: военная тай­на, тайна следствия (данные предварительного расследования либо следствия), судебная тайна (тайна совещания судей, со­держание дискуссий и результатов голосования закрытого сове­щания Конституционного суда Российской Федерации, матери­алы закрытого судебного заседания, тайна совещания присяж­ных заседателей или в силу служебной необходимости, порядок

выработки и принятия решения, организация внутренней рабо­ты и т.д.);

охраноспособная конфиденциальная информация, ставшая из­вестной в силу исполнения служебных обязанностей должностным лицам государственных органов и органов местного самоуправле­ния: коммерческая тайна, банковская тайна, профессиональная тай­на, а также конфиденциальная информация о частной жизни лица.

Информация служебной тайны должна отвечать критериям охраноспособности права:

являться собственной служебной тайной, т. е. должна быть от­несена федеральным законом к служебной информации о дея­тельности государственных органов, доступ к которой ограничен по закону или в силу служебной необходимости;

являться охраноспособной конфиденциальной информацией служебного характера («чужой тайной») другого лица (коммер­ческая тайна, банковская тайна, тайна частной жизни, профес­сиональная тайна);

не являться государственной тайной и не подпадать под пере­чень сведений, доступ к которым не может быть ограничен.

Сюда же относится информация, полученная представителем государственного органа и органа местного самоуправления толь­ко в силу исполнения обязанностей по службе в случаях и поряд­ке, установленных федеральным законом.

Информация, не отвечающая этим требованиям, не может счи­таться служебной тайной и не подлежит правовой охране. В действующем законодательстве приводится перечень сведений, ко­торые не могут быть отнесены к служебной информации ограни­ченного распространения:

сведения из актов законодательства, устанавливающих право­вой статус государственных органов, организаций, общественных объединений; информация о правах, свободах и обязанностях граж­дан, порядке их реализации;

сведения о чрезвычайных ситуациях, опасных природных яв­лениях и процессах; экологическая, гидрометеорологическая, гид­рогеологическая, демографическая, санитарно-эпидемиологическая и другая информация, необходимая для обеспечения безопасного существования населенных пунктов, производственных объектов, граждан и населения в целом;

сведения из описаний структур органов исполнительной вла­сти, их функций, направлений и форм деятельности; информация об адресе и месте расположения;

информация о порядке рассмотрения и разрешения заявлений физических и юридических лиц;

сведения об исполнении бюджета и использовании других го­сударственных ресурсов, о состоянии экономики и потребностей населения;

информация из документов открытых фондов библиотек и ар­хивов, информационных систем организаций, необходимая для реализации прав, свобод и обязанностей граждан.

В Европе для охраны и защиты права на неприкосновенность частной жизни в условиях автоматизированной обработки личных данных о гражданах более 25 лет назад был введен особый инсти­тут правовой охраны личности — институт защиты персональных данных.

Более чем в 20 европейских государствах приняты национальные законы о персональных данных, в ряде стран введены независи­мые уполномоченные по защите персональных данных, во всех странах Европейского Союза с 1998 г. создана единая унифициро­ванная система защиты персональных данных, в том числе в сек­торе телекоммуникаций.

Федеральный закон «Об информации, информатизации и за­щите информации» от 25.01.95 № 24-ФЗ вводит понятие «персо­нальные данные» (ст. 2), относит их к конфиденциальной инфор­мации и устанавливает, что перечни персональных данных долж­ны быть закреплены федеральным законом (ст. 11). Он требует, чтобы деятельность негосударственных организаций и частных лиц по обработке и предоставлению персональных данных, равно как и по проектированию, производству средств защиты информа­ции и обработки персональных данных, обязательно лицензиро­валась в порядке, установленном Правительством Российской Федерации (ст. 11, 19); декларирует, что персональные данные должны защищаться, а режим защиты в отношении персональ­ных данных устанавливается федеральным законом (ст. 21). Статья 13.11 Кодекса Российской Федерации об административных правонарушениях (КоАП) устанавливает ответственность за на­рушение порядка сбора, хранения и распространение информа­ции о гражданах.

Объектом правоотношений здесь выступает право на персо­нальные данные — информация (зафиксированная на любом ма­териальном носителе) о конкретном человеке, которая отожде­ствлена или может быть отождествлена с ним.

К персональным данным могут быть отнесены сведения, ис­пользование которых без согласия субъекта персональных данных может нанести вред его чести, достоинству, деловой репутации, доброму имени, иным нематериальным благам и имущественным интересам:

биографические и опознавательные данные (в том числе об обстоятельствах рождения, усыновления, развода);

сведения о семейном положении (в том числе о семейных от­ношениях);

сведения об имущественном, финансовом положении (кроме случаев, прямо установленных в законе);