Дисциплина Информационная безопасность Часть 2
Тема 2. Законодательные меры защиты информации Учебные вопросы. • 1. Государственная политика Р. Ф. в области информационной безопасности. • 2. Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • 3. Защита информации ограниченного доступа, права и обязанности субъектов.
Тема 2. Законодательные меры защиты информации Учебные вопросы. 4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. 5. Требования руководящих документов ФСТЭК России (Гостехкомиссии России) и ФСБ России (ФАПСИ).
2. 1 Государственная политика Р. Ф. в области информационной безопасности • В государстве должна проводиться единая политика в области безопасности информационных технологий. В Российской Федерации вопросы информационной безопасности и защиты информации обеспечиваются соблюдением указов Президента, федеральных законов, постановлений Правительства Российской Федерации, руководящих документов Гостехкомиссии России и других нормативных документов. • Основой для формирования государственной политики в сфере информационной безопасности является «Доктрина информационной безопасности Р. Ф. » утвержденная Президентом Р. Ф. 9 сентября 2000 года.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • Доктрина информационной безопасности Российской Федерации представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации. Настоящая Доктрина служит основой для: формирования государственной политики в области обеспечения информационной безопасности Российской Федерации; подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности Российской Федерации; разработки целевых программ обеспечения информационной безопасности Российской Федерации. Настоящая Доктрина развивает Концепцию национальной безопасности Российской Федерации применительно к информационной сфере.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • Основные положения «Доктрины информационной безопасности. • 1. Национальные интересы Российской Федерации в информационной сфере и их обеспечение. • Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства. • Интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • Интересы общества в информационной сфере заключаются в обеспечении интересов личности в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России. • Интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • На основе национальных интересов Российской Федерации в информационной сфере формируются стратегические и текущие задачи внутренней и внешней политики государства по обеспечению информационной безопасности. • 2. Виды угроз информационной безопасности Российской Федерации • По своей общей направленности угрозы информационной безопасности Российской Федерации подразделяются на следующие виды: угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России; угрозы информационному обеспечению государственной политики Российской Федерации;
2. 1 Государственная политика Р. Ф. в области информационной безопасности • угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов; угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России. • 3. Источники угроз информационной безопасности Российской Федерации. • Источники угроз информационной безопасности Российской Федерации подразделяются на внешние и внутренние.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • К внешним источникам относятся: деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против интересов Российской Федерации в информационной сфере. • К внутренним источникам относятся: критическое состояние отечественных отраслей промышленности; неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защищенности законных интересов граждан, общества и государства в информационной сфере;
2. 1 Государственная политика Р. Ф. в области информационной безопасности • Угрозы информационной безопасности Российской Федерации по их общей направленности подразделяются на: • угрозы конституционным правам и свободам граждан, реализуемым в информационной сфере; • угрозы духовной жизни общества; • угрозы информационной инфраструктуре; • угрозы информационным ресурсам. Угрозы конституционным правам и свободам граждан, реализуемым в информационной сфере, проявляются в виде: издания органами государственной власти нормативно-правовых актов, других нормативных документов, ущемляющих конституционные права и свободы граждан в области духовной жизни и информационной деятельности;
2. 1 Государственная политика Р. Ф. в области информационной безопасности • отсутствия нормативных актов, конкретизирующих порядок реализации существующих правовых норм, регулирующих отношения в информационной сфере; • противодействия со стороны организаций и криминальных структур реализации гражданами своих конституционных прав, и свобод, а также неэффективного правоприменения существующей в этой области нормативно- правовой базы; • противоправного применения средств воздействия на подсознание граждан; • невыполнения органами государственной власти, организациями и гражданами требований законодательства Российской Федерации, регулирующего отношения в информационной сфере.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • Угрозы информационной инфраструктуре проявляются в виде: • нарушения адресности и своевременности информационного обмена, противозаконного сбора и использования информации; • нарушения технологии обработки информации; • внедрения в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные в документации на эти изделия; • разработки и распространения программ, нарушающих нормальное функционирование информационных и информационнотелекоммуникационных систем, в том числе систем защиты информации; • уничтожения, повреждения, радиоэлектронного подавления или разрушения средств и систем обработки информации, телекоммуникации и связи;
2. 1 Государственная политика Р. Ф. в области информационной безопасности • • • Угрозы информационным ресурсам реализуются в виде: деятельности космических, воздушных, морских и наземных технических средств разведки иностранных государств; осуществления несанкционированного доступа к информационным ресурсам и их противоправного использования; хищения информационных ресурсов из библиотек, архивов, банков и баз данных; нарушения законных ограничений на распространение информационных ресурсов ограниченного доступа. Следствием реализации угроз могут явиться нанесение существенного экономического ущерба, снижение темпов научно-технического развития страны, подрыв ее оборонного потенциала, утрата культурного наследия, проявление бездуховности и безнравственности, а также нанесение физического, материального и морального ущерба гражданам.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • • • О методах и средствах обеспечения информационной безопасности Российской Федерации В целях предотвращения и нейтрализации угроз информационной безопасности Российской Федерации применяются правовые, организационно-технические и экономические методы. Об основах государственной политики обеспечения информационной безопасности Российской Федерации В разделе изложены основные положения и принципы формирования государственной политики в области обеспечения информационной безопасности Российской Федерации Государственная политика в области обеспечения информационной безопасности Российской Федерации основывается на следующих принципах: открытости в реализации функций государственной власти Российской Федерации и общественных объединений, предусматривающей информирование общества об их деятельности с учетом ограничений, предусмотренных законодательством Российской Федерации;
2. 1 Государственная политика Р. Ф. в области информационной безопасности • • • правового равенства всех участников процесса информационного взаимодействия вне зависимости от их политического, социального и экономическоге статуса, основывающегося на конституционном праве граждан на свободный поиск, получение, передачу, производство и распространение информации любым законным способом; информационные ресурсы являются объектом права собственности, введение которых в хозяйственный оборот должно осуществляться при соблюдении законных интересов собственников, владельцев и распорядителей информационных ресурсов; приоритетности развития современных отечественных информационных и телекоммуникационных технологий, производства технических и программных средств, способных обеспечить совершенствование национальных телекоммуникационных сетей, их подключение к глобальным информационным сетям в целях соблюдения жизненно важных интересов Российской Федерации.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • • • Государственная политика обеспечения информационной безопасности Российской Федерации формируется на основе следующих положений: ограничение доступа к информации является исключением из общего принципа ее открытости и может вводиться только на основании федерального закона; ответственность за документированную информацию ограниченного доступа, засекречивание и рассекречивание информационных ресурсов персонифицируется; доступ к какой-либо информации, а также ограничение доступа к ней осуществляются на основе норм, устанавливаемых федеральным законом; сбор, накопление и обработка данных о конкретных физических лицах (персональные данные) и конфиденциальной информации, может осуществляться только в соответствии с действующим законодательством.
2. 1 Государственная политика Р. Ф. в области информационной безопасности • Конституция РФ является основным источником права в области обеспечения информационной безопасности в России. • Согласно Конституции РФ: • каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений (статья 23); • сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (статья 24); • каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом, перечень сведений, составляющих государственную тайну, определяется федеральным законом (статья 29); • каждый имеет право на достоверную информацию о состоянии окружающей среды (статья 42).
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • Основоположным законодательным актом в России, регулирующим отношения в информационной сфере (в том числе связанные с защитой информации), является Федеральный закон «Об информации, информатизации и защите информации» , принятый в 1995. В настоящее время этот закон переработан и носит название № 149 ФЗ от 27 июля 2006 г. «Об информации, информационных технологиях и защите информации» . • Настоящий Федеральный закон регулирует отношения, возникающие при: • 1) осуществлении права на поиск, получение, передачу, производство и распространение информации; 2) применении информационных технологий; 3) обеспечении защиты информации.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • В Законе даны определения важнейших терминов в информационной сфере. Согласно статье 2 Закона , информация – это сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. • Одним из существенных достижений Закона является разграничение информационных ресурсов по категориям доступа. Согласно Закону, документированная информация с ограниченным доступом по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне, и конфиденциальную. • В Законе дан перечень сведений, которые запрещено относить к информации с ограниченным доступом. Это, прежде всего законодательные и другие нормативные правовые акты, устанавливающие правовой статус органов государственной власти, органов местного самоуправления,
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • организаций и общественных объединений; документы, содержащие информацию о чрезвычайных ситуациях, экологическую, демографическую, санитарно-эпидемиологическую, метеорологическую и другую подобную информацию; документы, содержащие информацию о деятельности органов государственной власти и органов местного самоуправления, об использовании бюджетных средств, о состоянии экономики и потребностях населения (за исключением сведений, отнесенных к государственной тайне). • В Законе также отражены вопросы, связанные с порядком обращения с персональными данными, сертификацией информационных систем, технологий, средств их обеспечения и лицензированием деятельности по формированию и использованию информационных ресурсов.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • Информация как объект правовых отношений • 1. Информация может являться объектом публичных, гражданских и иных правовых отношений. Информация может свободно использоваться любым лицом и передаваться одним лицом другому лицу, если федеральными законами не установлены ограничения доступа к информации либо иные требования к порядку ее предоставления или распространения. • 2. Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа). • 3. Информация в зависимости от порядка ее предоставления или распространения подразделяется на: • 1) информацию, свободно распространяемую;
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • 2) информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях; • 3) информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению; • 4) информацию, распространение которой в Российской Федерации ограничивается или запрещается. • 4. Законодательством Российской Федерации могут быть установлены виды информации в зависимости от ее содержания или обладателя. • Обладатель информации • 1. Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации, муниципальное образование.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • Статья 16 Закона «Защита информации » является «базовой» для российского законодательства в области защиты информации. • 1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на: 1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации; 2) соблюдение конфиденциальности информации ограниченного доступа; 3) реализацию права на доступ к информации. • 2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации. 3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи. 4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить: 1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации; 2) своевременное обнаружение фактов несанкционированного доступа к информации;
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • 3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации; 4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование; 5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней; 6) постоянный контроль за обеспечением уровня защищенности информации. • 5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти,
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям. 6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации. • Статья 17. Ответственность за правонарушения в сфере информации, информационных технологий и защиты информации • 1. Нарушение требований настоящего Федерального закона влечет за собой дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • Основные положения федерального закона 152 ФЗ от 27. 07. 2006 года «О персональных данных» • В настоящее время проблема защиты персональных данных является одной из наиболее актуальных для нашей страны. Это связано с тем, что 26 января 2007 года вступил в силу Федеральный закон "О персональных данных". В этом законе сформулированы требования по защите персональных данных. Важно отметить, что требования данного закона являются обязательными и для коммерческих, и для государственных организаций. При этом, согласно статье 25, информационные системы должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2010 года.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • Определение персональных данных • Согласно статье 3 Федерального закона, определение персональных данных звучит следующим образом: • Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. В настоящее время практически в каждой организации в информационных системах хранятся и обрабатываются различные данные о сотрудниках, клиентах, партнерах и т. п. , такие как, например, фамилия, имя, отчество, дата и место рождения, адрес, семейное, имущественное и социальное положение, сведения об образовании, профессии, информация о доходах и другие персональные данные.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации. • Кроме того, рядовые граждане зачастую сами не заботятся о сохранении своих персональных данных. В наш век широкого использования интернета и различных коммуникационных сетей, для получения определенной информации необходимо предоставление своих данных. Мы регистрируемся на различных сайтах, оставляем свои данные в магазинах, совершая покупки. Например, при получении кредита, мы вынуждены предоставить не только базовые данные об имени, фамилии и месте работы, но и также данные членов семьи и других лиц. Также наши данные записываются в больницах, школах, ВУЗах. Это только небольшой перечень мест, где эти данные необходимы. Персональные данные каждого лица должны быть защищены. Принципы и условия обработки персональных данных • Принципы обработки персональных данных изложены в ст. 5 гл. 2 Федерального закона "О персональных данных". Эти принципы таковы:
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации • · Должна соблюдаться законность и добросовестность целей и способов обработки персональных данных. • · Должно быть соответствие целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора • · Необходимо соответствие объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных. • · Должна соблюдаться достоверность персональных данных, их достаточность для целей обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных. • · Недопустимо объединение созданных для несовместимых между собой целей баз данных информационных систем персональных данных.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации • Условия обработки персональных данных содержаться в ст. 6 гл. 2 Федерального закона "О персональных данных". Этими условиями являются: • · Осуществление обработки персональных данных оператором только с согласия субъектов персональных данных • · Осуществление в тех случаях, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке. • · Осуществление обработки специальных категорий персональных данных, а также биометрических персональных данных в особом порядке.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации • Существует также ряд исключений, в котором согласие субъекта персональных данных на их обработку не требуется. Это происходит, когда: • · Обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора. • · Обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных • · Обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации • 5. Права субъекта персональных данных • Субъектом персональных данных может являться только физическое лицо. Одним из важнейших прав субъекта является право субъекта персональных данных на доступ к своим персональным данным. • Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными. Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации • Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей: • подтверждение факта обработки персональных данных оператором, а также цель такой обработки • способы обработки персональных данных, применяемые оператором • сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ • перечень обрабатываемых персональных данных и источник их получения • сроки обработки персональных данных, в том числе сроки их хранения • сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных
2. 2 Законы РФ и другие нормативно-правовые документы, регламентирующие отношения субъектов в информационной сфере и деятельность организаций по защите информации • В некоторых случаях, право субъекта на доступ к своим персональным данным ограничивается. Оно ограничивается в случае, если обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными. Также, право субъекта на доступ ограничивается, если обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка
3. Защита информации ограниченного доступа, права и обязанности субъектов. • Основные положения закона Р. Ф. « О государственной тайне» Федеральный закон от 6 октября 1997 года N 131 -ФЗ. • Настоящий Закон регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их засекречиванием или рассекречиванием и защитой в интересах обеспечения безопасности Российской Федерации. • Статья 2. Основные понятия, используемые в настоящем Законе • В настоящем Законе используются следующие основные понятия: государственная тайна - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации;
3. Защита информации ограниченного доступа, права и обязанности субъектов. • допуск к государственной тайне - процедура оформления права граждан на доступ к сведениям, составляющим государственную тайну, а предприятий, учреждений и организаций - на проведение работ с использованием таких сведений; • гриф секретности - реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемые на самом носителе и(или) в сопроводительной документации на него; • перечень сведений, составляющих государственную тайну, - совокупность категорий сведений, в соответствии с которыми сведения относятся к государственной тайне и засекречиваются на основаниях и в порядке, установленных федеральным законодательством. • Статья 5. Перечень сведений, составляющих государственную тайну
3. Защита информации ограниченного доступа, права и обязанности субъектов. • 1) сведения в военной области: о содержании стратегических и оперативных планов, документов боевого управления по подготовке и проведению операций, стратегическому, оперативному и мобилизационному развертыванию Вооруженных Сил Российской Федерации, других войск, воинских формирований и органов, предусмотренных Федеральным законом "Об обороне", об их боевой и мобилизационной готовности, о создании и об использовании мобилизационных ресурсов; о планах строительства Вооруженных Сил Российской Федерации, других войск Российской Федерации, о направлениях развития вооружения и военной техники, о содержании и результатах выполнения целевых программ, научно-исследовательских и опытноконструкторских работ по созданию и модернизации образцов вооружения и военной техники;
3. Защита информации ограниченного доступа, права и обязанности субъектов. • 2) сведения в области экономики, науки и техники: о содержании планов подготовки Российской Федерации и ее отдельных регионов к возможным военным действиям, о мобилизационных мощностях промышленности по изготовлению и ремонту вооружения и военной техники, об объемах производства, поставок, о запасах стратегических видов сырья и материалов, а также о размещении, фактических размерах и об использовании государственных материальных резервов; об использовании инфраструктуры Российской Федерации в целях обеспечения обороноспособности и безопасности государства; • 3) сведения в области внешней политики и экономики: о внешнеполитической, внешнеэкономической деятельности Российской Федерации, преждевременное распространение которых может нанести ущерб безопасности государства;
3. Защита информации ограниченного доступа, права и обязанности субъектов. • сведения в области разведывательной, контрразведывательной и оперативно-розыскной деятельности, а также в области противодействия терроризму: о силах, средствах, об источниках, о методах, планах и результатах разведывательной, контрразведывательной, оперативно-розыскной деятельности и деятельности по противодействию терроризму, а также данные о финансировании этой деятельности, если эти данные раскрывают перечисленные сведения; о лицах, сотрудничающих или сотрудничавших на конфиденциальной основе с органами, осуществляющими разведывательную, контрразведывательную и оперативно-розыскную деятельность; о системе президентской, правительственной, шифрованной, в том числе кодированной и засекреченной связи, о шифрах, о разработке, об изготовлении шифров и обеспечении ими.
3. Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 7. Сведения, не подлежащие отнесению к государственной тайне и засекречиванию. • Не подлежат отнесению к государственной тайне и засекречиванию сведения: • о чрезвычайных происшествиях и катастрофах, угрожающих безопасности и здоровью граждан, и их последствиях, а также о стихийных бедствиях, их официальных прогнозах и последствиях; о состоянии экологии, здравоохранения, санитарии, демографии, образования, культуры, сельского хозяйства, а также о состоянии преступности; о привилегиях, компенсациях и социальных гарантиях, предоставляемых государством гражданам, должностным лицам, ; • о фактах нарушения прав и свобод человека и гражданина; о размерах золотого запаса и государственных валютных резервах Российской Федерации;
3. Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 8. Степени секретности сведений и грифы секретности носителей этих сведений • Степень секретности сведений, составляющих государственную тайну, должна соответствовать степени тяжести ущерба, который может быть нанесен безопасности Российской Федерации вследствие распространения указанных сведений. Устанавливаются три степени секретности сведений, составляющих государственную тайну, и соответствующие этим степеням грифы секретности для носителей указанных сведений: "особой важности", "совершенно секретно" и "секретно". • Статья 11. Порядок засекречивания сведений и их носителей • Основанием для засекречивания сведений, полученных (разработанных) в результате управленческой, производственной, научной и иных видов деятельности органов государственной власти, предприятий, учреждений и организаций, является их соответствие действующим в данных органах, на данных предприятиях, в данных
3. Защита информации ограниченного доступа, права и обязанности субъектов. • в данных учреждениях и организациях перечням сведений, подлежащих засекречиванию. При засекречивании этих сведений их носителям присваивается соответствующий гриф секретности. • Статья 13. Порядок рассекречивания сведений • Рассекречивание сведений и их носителей - снятие ранее введенных в предусмотренном настоящим Законом порядке ограничений на распространение сведений, составляющих государственную тайну, и на доступ к их носителям. Основаниями для рассекречивания сведений являются: взятие на себя Российской Федерацией международных обязательств по открытому обмену сведениями, составляющими в Российской Федерации государственную тайну; изменение объективных обстоятельств, вследствие которого дальнейшая защита сведений, составляющих государственную тайну, является нецелесообразной.
3. Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 20. Органы защиты государственной тайны • К органам защиты государственной тайны относятся: межведомственная комиссия по защите государственной тайны; федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, федеральный орган исполнительной власти, уполномоченный в области обороны, федеральный орган исполнительной власти, уполномоченный в области внешней разведки, федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, и их территориальные органы государственной власти, предприятия, учреждения и организации и их структурные подразделения по защите государственной тайны.
3. Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 28. Порядок сертификации средств защиты информации • Средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. • СТАТЬЯ 21. ДОПУСК ДОЛЖНОСТНЫХ ЛИЦ И ГРАЖДАН К ГОСУДАРСТВЕННОЙ ТАЙНЕ. • Допуск должностных лиц и граждан Российской Федерации к государственной тайне осуществляется в добровольном порядке. • Допуск должностных лиц и граждан к государственной тайне предусматривает: • принятие на себя обязательств перед государством по нераспространению доверенных им сведений, составляющих государственную тайну;
3. Защита информации ограниченного доступа, права и обязанности субъектов. • согласие на частичные, временные ограничения их прав в соответствии со статьей 24 настоящего Закона; • письменное согласие на проведение в отношении их полномочными органами проверочных мероприятий; • определение видов, размеров и порядка предоставления льгот, предусмотренных настоящим Законом; • ознакомление с нормами законодательства Российской Федерации о государственной тайне, предусматривающими ответственность за его нарушение; • принятие решения руководителем органа государственной власти, предприятия, учреждения или организации о допуске оформляемого лица к сведениям, составляющим государственную тайну.
3. Защита информации ограниченного доступа, права и обязанности субъектов. • СТАТЬЯ 26. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ЗАКОНОДАТЕЛЬСТВА РОССИЙСКОЙ ФЕДЕРАЦИИ О ГОСУДАРСТВЕННОЙ ТАЙНЕ. • Должностные лица и граждане, виновные в нарушении законодательства Российской Федерации о государственной тайне, несут уголовную, административную, гражданско-правовую или дисциплинарную ответственность в соответствии с действующим законодательством. • Соответствующие органы государственной власти и их должностные лица основываются на подготовленных в установленном порядке экспертных заключениях об отнесении незаконно распространенных сведений к сведениям, составляющим государственную тай
3. Защита информации ограниченного доступа, права и обязанности субъектов. • Кодекс Р. Ф. о административных правонарушениях. • № 195 ФЗ от30. 12. 2001 • Статья 13. 11. Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) • Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) • влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей. • Статья 13. 12. Нарушение правил защиты информации
3. Защита информации ограниченного доступа, права и обязанности субъектов. • 1. Нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), • влечет наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей. • 2. Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), • влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей с конфискацией несертифицированных средств защиты информации или без таковой
Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 13. Незаконная деятельность в области защиты информации • 1. Занятие видами деятельности в области защиты информации (за исключением информации, составляющей государственную тайну) без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в соответствии с федеральным законом обязательно (обязательна), • 2. Занятие видами деятельности, связанной с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, без лицензии, -
Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 13. 14. Разглашение информации с ограниченным доступом • Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14. 33 настоящего Кодекса, • влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц - от четырех тысяч до пяти тысяч рублей. • Уголовный кодекс Р. Ф. • В последние годы в Российской Федерации компьютеризация достигла такого уровня, что возникла необходимость правового регулирования общественных отношений в этой сфере
Защита информации ограниченного доступа, права и обязанности субъектов. • что послужило поводом для введения в Уголовный кодекс специальной главы 28, рассматривающей проблемы борьбы с компьютерными преступлениями. Данная глава включает в себя три статьи: «Неправомерный доступ к компьютерной информации» (ст. 272), «Создание, использование и распространение вредоносных программ для ЭВМ» (ст. 273), «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети» (ст. 274). • Статья 272. Неправомерный доступ к компьютерной информации • 1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети
Защита информации ограниченного доступа, права и обязанности субъектов. • наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. • Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ • 1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами - наказываются лишением свободы на срок до трех лет со штрафом в размере до двухсот тысяч рублей или в размере заработной платы
Защита информации ограниченного доступа, права и обязанности субъектов. • или иного дохода осужденного за период до восемнадцати месяцев. • 2. Те же деяния, повлекшие по неосторожности тяжкие последствия, - наказываются лишением свободы на срок от трех до семи лет. • Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети • 1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, - наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет. 2. То же деяние, повлекшее по неосторожности тяжкие последствия, - наказывается лишением свободы на срок до четырех лет.
Защита информации ограниченного доступа, права и обязанности субъектов. • Статья 146. Нарушение авторских и смежных прав 1. Присвоение авторства (плагиат), если это деяние причинило крупный ущерб автору или иному правообладателю, наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо арестом на срок от трех до шести месяцев. 2. Незаконное использование объектов авторского права или смежных прав, а равно приобретение, хранение, перевозка контрафактных экземпляров произведений или фонограмм в целях сбыта, совершенные в крупном размере, наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо лишением свободы на срок до двух лет.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Положение "О государственном лицензировании деятельности в области защиты информации" • Утверждено Решением Государственной технической комиссии при Президенте Российской Федерации и Федерального агентства правительственной связи и информации при Президенте Российской Федерации от 27 апреля 1994 г. № 10 (с изменениями и дополнениями от 24 июня 1997 г. № 60) • Настоящее Положение устанавливает основные принципы, организационную структуру системы государственного лицензирования деятельности юридических лиц - предприятий, организаций и учреждений независимо от их организационноправовой формы по защите информации, циркулирующей в технических средствах и помещениях, а также порядок лицензирования и контроля за деятельностью предприятий, получивших лицензию.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • В настоящем Положении используются следующие основные понятия: лицензирование в области защиты информации - деятельность, заключающаяся в передаче или получении прав на проведение работ в области защиты информации; лицензия в области защиты информации - оформленное соответствующим образом разрешение на право проведения тех или иных работ в области защиты информации; лицензиат в области защиты информации - сторона, получившая право на проведение работ в области защиты информации; защита информации - комплекс мероприятий, проводимых с целью предотвращения утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т. п
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • 1. 3. Система государственного лицензирования деятельности предприятий в области защиты информации является составной частью государственной системы защиты информации. Деятельность системы лицензирования организуют государственные органы по лицензированию, которыми являются Государственная техническая комиссия при Президенте Российской Федерации (Гостехкомиссия России) и Федеральное агентство правительственной связи и информации при Президенте Российской Федерации (ФАПСИ). • 1. 5. Лицензия на право деятельности по защите информации (далее - лицензия) выдается предприятию государственным органом по лицензированию по представлению органа государственной власти Российской Федерации на конкретные виды деятельности на три года, по истечении которых осуществляется ее перерегистрация в порядке, установленном для выдачи лицензии.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Приложение 1. • Перечень видов деятельности предприятий в области защиты информации, подлежащих лицензированию Гостехкомиссией России • 1. Сертификация, сертификационные испытания защищенных ТСОИ, технических средств защиты информации, технических средств контроля эффективности мер защиты информации, защищенных программных средств обработки информации, программных средств по требованиям безопасности, программных средств защиты информации, программных средств контроля защищенности информации. • 2. Аттестация систем информатизации, автоматизированных систем управления, систем связи и передачи данных, технических средств приема, передачи и обработки подлежащей защите информации, технических средств и систем,
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • в помещениях, где она обрабатывается (циркулирует), а также помещений, предназначенных для ведения переговоров, содержащих охраняемые сведения, на соответствие требованиям руководящих и нормативных документов по безопасности информации и контроль защищенности информации в этих системах, технических средствах и помещениях. 3. Разработка, производство, реализация, монтаж, наладка, установка, ремонт, сервисное обслуживание защищенных ТСОИ, технических средств защиты информации, технических средств контроля эффективности мер защиты информации, защищенных программных средств обработки информации, программных средств защиты информации, программных средств контроля защищенности информации.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Перечень видов деятельности предприятий в области защиты информации, подлежащих лицензированию ФАПСИ • 1. Разработка, производство, проведение сертификационных испытаний, реализация, монтаж, наладка, установка и ремонт шифровальных средств, предназначенных для криптографической защиты информации при ее обработке, хранении и передаче по каналам связи, а также предоставление услуг по шифрованию информации. • 2. Эксплуатация негосударственными предприятиями шифровальных средств, предназначенных для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • 3. Разработка, производство, проведение сертификационных испытаний, реализация, монтаж, наладка, установка и ремонт систем и комплексов телекоммуникаций высших органов государственной власти Российской Федерации, а также закрытых (с помощью шифровальных средств) систем и комплексов телекоммуникаций органов государственной власти субъектов Российской Феде рации, центральных органов федеральной исполнительной власти, организаций, предприятий, банков и иных учреждений, расположенных на территории Российской Федерации, независимо от их ведомственной принадлежности и форм собственности. • 5. Проведение работ по выявлению электронных устройств перехвата информации в помещениях государственных структур на территории Российской Федерации.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • 6. Проведение работ по выявлению электронных устройств перехвата информации в технических средствах государственных структур на территории Российской Федерации. • 7. Проектирование в защищенном исполнении объектов высших органов государственной власти Российской Федерации. 8. Подготовка и переподготовка кадров в области защиты информации по видам деятельности, перечисленным в данном перечне. • Положение "О сертификации средств защиты информации по требованиям безопасности информации. • Утверждено приказом председателя Гостехкомиссии России от 27 октября 1994 года № 199. • Настоящее Положение устанавливает основные принципы, организационную структуру системы обязательной сертификации
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • средств защиты информации, порядок проведения сертификации этих средств защиты по требованиям безопасности информации, а также государственный контроль и надзор за сертификацией и сертифицированными средствами защиты информации. • Под средствами защиты информации понимаются технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации. • Под сертификацией средств защиты информации по требованиям безопасности информации (далее - сертификацией) понимается деятельность по подтверждению их соответствия требованиям государственных стандартов или иных нормативных документов по защите информации, утвержденных Государственной технической комиссией при Президенте Российской Федерации (Гостехкомиссией России).
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Система сертификации средств защиты информации по требованиям безопасности информации включает в себя и аттестацию объектов информатизации по требованиям безопасности информации и подлежит государственной регистрации в установленном Госстандартом России порядке. • Под объектами инфоpматизации, аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы (АС) различного уровня и назначения, системы связи, отображения и размножения документов вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Целями создания системы сертификации являются: обеспечение реализации требований государственной системы защиты информации; • создание условий для качественного и эффективного обеспечения потребителей сертифицированными средствами защиты информации; • обеспечение национальной безопасности в сфере информатизации; • содействие формированию рынка защищенных информационных технологий и средств их обеспечения; • формирование и осуществление единой научно-технической и промышленной политики в сфере информатизации с учетом современных требований по защите информации; • поддержка проектов и программ информатизации.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Обязательной сертификации подлежат средства, в том числе иностранного производства, предназначенные для защиты информации, составляющей государственную тайну, и другой информации с ограниченным доступом, а также средства, использующиеся в управлении экологически опасными объектами. Перечень средств защиты информации, подлежащих обязательной сертификации, разрабатывается Гостехкомиссией России и согласовывается с Межведомственной комиссией по защите государственной тайны. В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе разработчика, изготовителя или потребителя средства защиты информации.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Основными схемами сертификации средств защиты информации являются: • для единичных образцов средств защиты информации - проведение испытаний образца на соответствие требованиям по безопасности информации; • для серийного производства средств защиты информации- проведение типовых испытаний образцов продукции на соответствие требованиям по безопасности информации и последующий инспекционный контроль за стабильностью характеристик сертифицированной продукции, обеспечивающих (определяющих) выполнение этих требований. Кроме того, по решению органа по сертификации допускается предварительная проверка (аттестация) производства по утвержденной программе.
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • Сертификация средств защиты информации осуществляется Гостехкомиссией России и аккредитованными органами по сертификации, а испытания проводятся аккредитованными испытательными центрами (лабораториями) на их материальнотехнической базе. В отдельных случаях по согласованию с Гостехкомиссией России или органом по сертификации допускается проведение испытаний на испытательной базе разработчика (изготовителя, поставщика, потребителя) данного средства защиты информации. • ПОРЯДОК ПРОВЕДЕНИЯ СЕРТИФИКАЦИИ И КОНТРОЛЯ • Порядок проведения сертификации включает следующие действия: • подачу и рассмотрение заявки на сертификацию средств защиты информации; испытания сертифицируемых средств защиты информации и аттестация их производства;
4. Лицензирование деятельности, сертификация средств защиты и аттестация информационных систем. • экспертизу результатов испытаний, оформление, регистрацию и выдачу сертификата и лицензии на право использования знака соответствия; • осуществление государственный контроля и надзора, инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными средствами защиты информации. • информирование о результатах сертификации средств защиты информации; • рассмотрение апелляций.
Скачать презентацию Дисциплина Информационная безопасность Часть 2 Тема 2
Informatsionnaya_bezopasnost_Chast_2.ppt