Что такое правовое обеспечение безопасности информации

Развитие права в сфере информационной безопасности

Корпоративный юрист ООО «Проспектаси»

специально для ГАРАНТ.РУ

Информация была и есть частью жизни общества, как и информационная безопасность. Вопрос защиты информации всегда был актуален, будь то шифрование писем в прошлых столетиях или криптографические средства защиты сейчас – цель всегда будет преследоваться одна. В условиях информационного общества этот вопрос стоит особенно остро, так как современные реалии развития информационных отношений подразумевают широкое использование и высокую ценность информации, а значит огромный поток передаваемой информации всегда будет подвергаться недобросовестной деятельности. В современной России уже сформированы частично методы защиты информации на государственном уровне, а также продолжается гонка за далеко убегающими технологиями и новыми способами защиты права. В сфере права ситуация так же не стоит на месте. Для детального рассмотрения того, как менялась информационная безопасность на законодательном уровне стоит определиться, что затрагивает данное понятие именно в праве и именно в России.

1) Так, если мы откроем Указ Президента РФ от 5 декабря 2016 г. № 646 «Об утверждении Доктрины информационной безопасности Российской Федерации» то увидим, что информационная безопасность – это состояние защищенности общества и государства, отдельного гражданина от информационно-технического воздействия на информационную инфраструктуру. То есть это состояние защищенности общества от недобросовестной информации либо от ее разглашения.

2) Согласно ч. 4 ст. 6 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – Закон № 149-ФЗ) владелец информации обязан принимать меры по ее защите, из чего следует, что защита информации (как информационная безопасность) – совокупность обязательных действий владельца информации не только по ее защите (защита от уничтожения, распространения, копирования и т.д. (ч. 1 ст. 16 Закон № 149-ФЗ)), но и реализации права на доступ к ней.

3) Также под защитой информации понимается защита интеллектуальной собственности, ограничение доступа к ней и ее законное распространении (касается, например, ноу-хау).
Для рассмотрения основных изменений в российском законодательстве за последнее время стоит понимать, что «информационная безопасность» имеет, скажем так, различную направленность, что мы и видим согласно представленным выше определениям. Соответственно, мы разделим на 3 этапа основные изменения в сфере информационной безопасности.

Этап 1. Основные права и обязанности

1) Данный этап можно назвать формированием правовой защиты информации. А значит, стоит начать с Конституции РФ, которая является основным источником права в области обеспечения информационной безопасности в России:

2) К этому же этапу можно отнести первые редакции Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации», который, как острог и каркас имел лишь основные понятия: устанавливал обязанности государства в сфере защиты информации, создал пока еще только понятие об информационных ресурсах государства, отнес информационные ресурсы к общероссийскому национальному достоянию (2003 год).

3) Правовой режим государственной тайны установлен первым в истории российского государства Законом «О государственной тайне», который вступил в действие 21 сентября 1993 года (новая редакция Закона Российской Федерации «О государственной тайне» была принята в 1997 году).

4) Указом от 6 марта 1997 года № 188 был закреплен перечень сведений конфиденциального характера, таких как персональные данные, тайна судопроизводства, коммерческая тайна и т.д.
Данный этап подразумевал под собой формирование основных сводов и правил для дальнейшего формирования защищенности интересов в информационной сфере. Основной уровень прав – гарант правового общества, соответственно эти меры были просто необходимы и отражали основные принципы государства. Практическая ценность данных прав – нормальное функционирование судебной системы в России.

Этап 2. Формирование основных направлений и их реализация

Данный этап и перечень всех изменений проще всего будет рассмотреть на примере двух Доктрин информационной безопасности Российской Федерации 2000 и 2015 года. Хоть они и не отражают всех изменений, внесенных за этот период с 2000 по 2016 год, но вполне отражают общую тенденцию выходящих тогда паровых актах и изменениях в праве. Данный анализ основан на статье: Информационная политика России в обеспечении информационной безопасности личности: история и современность (Чеботарева А.А.) («История государства и права», 2015, № 24)

1) Доктрина информационной безопасности личности Российской Федерации 2000 года (утверждена Президентом РФ 9 сентября 2000 г. № Пр-1895) ставит перед собой основную задачу – это защита личности в информационной сфере. При этом интересы личности в информационной сфере заключаются как в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, так и в защите информации, обеспечивающей личную безопасность.

2) В Стратегии развития информационного общества в Российской Федерации (утв. Президентом РФ 7 февраля 2008 г. № Пр-212) один из принципов, на которых базируется развитие информационного общества в России, – это обеспечение национальной безопасности в информационной сфере. В качестве одного из направлений реализации Стратегией названо обеспечение неприкосновенности частной жизни, личной и семейной тайны, соблюдение требований к обеспечению безопасности информации ограниченного доступа, что и подтвердила Доктрина 2016 года. Разработка новой Доктрины продиктована изменившимися реалиями, связанными с угрозами информационной безопасности, изменением в стратегическом планировании в сфере обеспечения национальной безопасности.

Из чего можно сделать вывод, что данный этап формирует две основные направленности: внутреннюю (2000 год) и внешнюю (2016 год). Право в сфере информационной безопасности формируется именно по этим двум направления, составляя тандем из состояния защищенности каждой отдельной личности, общества и государства. На деле – направление развития права в сфере информационной безопасности дало точек к конкретизации различных паровых случаев и возможность следовать тенденциям глобальной информатизации. Вопрос же в реализации данных направлений отразился в Этапе 3.

Этап 3. Гонка с технологиями

С формированием информационного общества поток информации в мире непрерывно растет. Это в первую очередь обеспечено технологиями, которые постоянно совершенствуются и дорабатываются, а также внедрением новых возможностей в систему взаимодействия общества. Право во всем мире постоянно старается залатать дыры, образованные новыми возможностями. Защита прав личности, корпоративной тайны, государственной тайны сейчас скорее вопрос не только права, но и физики, математики. А значит, недостаточно выпустить НПА и тем самым закрыть брешь, но и необходимо создать технологическую почву для его реализации. Этим и обусловлены все новые НПА, выходящие приблизительно с 2016 года. Будь то еще не уступивший в силу Федеральный закон от 31 июля 2020 г. № 259-ФЗ «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации», который направлен на регулирование криптовалют, а значит защиту пользователей криптовалют. Или новая редакция Закона. № 149-ФЗ, о нововведениях которой хотелось бы упомянуть, что бы картинка развития права в сфере информационной безопасности в России была целостной. Итак, на что направлены новые изменения в Закон № 149-ФЗ? На борьбу с «пиратством». Предыдущий опыт показал неэффективность борьбы с пиратством в России. Поэтому, это закономерное изменение. Так, правообладатель теперь сможет блокировать через Роскомнадзор не только ресурс, на котором опубликован материал, но и ограничить доступ также к программам, которые обеспечивают работу «пиратских» сайтов в Интернете. А у провайдеров появятся новые обязательства. В соответствии с новой ч. 3.1 ст. 15.2 Закона № 149-ФЗ владелец информационного ресурса, на котором находится программное приложение, обеспечивающее использование «пиратского» сайта, обязан проинформировать об этом владельца программного приложения и уведомить его о необходимости незамедлительно ограничить доступ к произведениям или иной интеллектуальной собственности, которые распространяются без разрешения правообладателя. То же самое касается и разработчиков программ, на которых публикуются незаконно произведения интеллектуальной собственности.

Рассмотрев поэтапно историю развития информационной безопасности в России, напрашивается ряд вопросов, которые могут задать себе предприниматели. Однако, данная хронография законодательных актов – не более чем направление деятельности государства в сфере защиты информации. Ее непосредственное применение в судах или досудебном порядке неприменимо. Но! Знания и понимание процессов – сила, которая не даст растеряться на практике. Так, понимая, что деятельность законодателей направлена сейчас на ужесточение мер по защите авторских прав, а так же появление новых возможностей кредитования – можно взять кредит под залог интеллектуальной собственности, как это было сделано впервые в России в октябре 2020 года. Так же, например, понимая, что хоть и основные меры по защите предпринимательства и бизнеса идут с 2016 года – многие моменты, связанные с техническим обеспечением являются незащищенными. Поэтому стоит трижды рассмотреть новые капиталовложения, связанные с передачей данных по интернету, но и бояться нового – стагнация для бизнеса. Описать каждый новый элемент технологических достижений невозможно как в нормативно-правовых актах, так и в этой статье. Тем не менее, можно дать простое понимание общей картины. Поэтому ниже будут приведены вопросы. Которые задает каждый предприниматель века информационных технологий.

1) Как предприниматель может защитить свои данные на просторах Интернета?

С развитием технологий способы утечки корпоративной, личной информации, имеющие материальную ценность, являются важным ресурсом для любого бизнеса по всему миру. Минимизация возможности утечки таких данных путем ужесточения мер идентификации и аутентификации – единственный надежный вариант на сегодняшнее время. Если Ваши персональные данные уже находятся в Интернете – изъять их будет куда сложнее, чем постоянно проводить профилактику и соблюдать меры предосторожности. Для этого есть два основных направления: ужесточение мер безопасности на внутреннем уровне или передача на аутсорсинг. Внутреннее ужесточение имеет потолок в виде вашего IT-отдела. Аутсорсинг же пестрит выбором и необходимо тщательно выбирать партнера для передачи ценной информации. Если же ситуация уже вышла из-под контроля, стоит учитывать, что судебная практика имеет смешанные решения по вопросам утечки персональных данных, но шансы получить компенсацию и пресечь утечку данных куда проще при передаче оператору персональных данных на аутсорсинг. Так, после внесения изменений в Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» появились компании на аутсорсинге, которые предлагают услугу облачного хранилища, то есть хранение всего объема данных от первичных документов до счетов в защищенном облаке данных на серверах компании, предоставившей услугу. Но все равно по итогу никто не застрахован от утечки данных, вопрос лишь в процентном шансе заиметь проблемы с данными, так как находятся все новые и новые способы украсть персональные данные. Из чего следует вывод, что каждый предприниматель должен быть готов столкнуться с чем-то новым. Как в положительном, так и в отрицательном ключе.

2) И вытекающий вопрос из предыдущего – а что делается для предотвращения таких случаев на законодательном уровне? Как в России решают проблему технологического отставная в защите персональных данных?

Хоть и отставание от технологий чрезмерно велико, процесс все же есть. Помимо упомянутой выше новой редакции Закона № 149-ФЗ, направленной на защиту в Госдуму было внесено порядка 10 проектов, касающихся непосредственно мер по защите персональных данных. Ввели уточнения обязанностей организатора распространения информации в сети, уточнения порядка обработки персональных данных по поручению оператора, а также уточнения требований по обеспечению безопасности обрабатываемых персональных данных, уточнения сведений, передаваемых оператором связи и других данных. В техническом плане постоянно совершенствуются способы шифрования криптографии (например, разрабатываются новые системы токенов для обеспечения информационной безопасности пользователя). Тем не менее, конкретизация в праве и новые методы шифрования в техническом плане рождают новые методы обхода всех средств защиты и эта гонка будет продолжаться бесконечно.

Источник

Законодательство об информационной безопасности: 5 ФЗ о том, как хранить и защищать информацию

В России действуют законы, где описано, как правильно работать с информацией: кто отвечает за ее сохранность, как ее собирать, обрабатывать, хранить и распространять. Стоит знать их, чтобы случайно что-нибудь не нарушить.

Мы собрали для вас пять основных ФЗ о защите информации и информационной безопасности и кратко рассказали их ключевые моменты.

149-ФЗ «Об информации, информационных технологиях и о защите информации»

149-ФЗ — главный закон об информации в России. Он определяет ключевые термины, например, говорит, что информация — это любые данные, сведения и сообщения, представляемые в любой форме. Также там описано, что такое сайт, электронное сообщение и поисковая система. Именно на этот закон и эти определения нужно ссылаться при составлении документов по информационной безопасности.

В 149-ФЗ сказано, какая информация считается конфиденциальной, а какая — общедоступной, когда и как можно ограничивать доступ к информации, как происходит обмен данными. Также именно здесь прописаны основные требования к защите информации и ответственность за нарушения при работе с ней.

Ключевые моменты закона об информационной безопасности:

152-ФЗ «О персональных данных»

Этот закон регулирует работу с персональными данными — личными данными конкретных людей. Его обязаны соблюдать те, кто собирает и хранит эти данные. Например, компании, которые ведут базу клиентов или сотрудников. Мы подробно рассматривали этот закон в отдельной статье «Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать»

Ключевые моменты закона:

При построении гибридной инфраструктуры для хранения персональных данных на платформе VK Cloud Solutions (бывш. MCS) вы получаете облачную инфраструктуру, уже соответствующую всем требованиям законодательства. При этом частный контур нужно аттестовать, в этом могут помочь специалисты VK, что позволит быстрее пройти необходимые процедуры.

98-ФЗ «О коммерческой тайне»

Этот закон определяет, что такое коммерческая тайна, как ее охранять и что будет, если передать ее посторонним. В нем сказано, что коммерческой тайной считается информация, которая помогает компании увеличить доходы, избежать расходов или получить любую коммерческую выгоду.

Ключевые моменты закона о защите информации компании:

63-ФЗ «Об электронной подписи»

Этот закон касается электронной подписи — цифрового аналога физической подписи, который помогает подтвердить подлинность информации и избежать ее искажения и подделки. Закон определяет, что такое электронная подпись, какую юридическую силу она имеет и в каких сферах ее можно использовать.

Ключевые моменты закона:

187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»

Этот закон касается компаний, которые работают в сферах, критически важных для жизни государства — таких, что сбой в их работе отразится на здоровье, безопасности и комфорте граждан России.

К таким сферам относится здравоохранение, наука, транспорт, связь, энергетика, банки, топливная промышленность, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Также сюда относят компании, которые обеспечивают работу предприятий из этих сфер, например, предоставляют оборудование в аренду или разрабатывают для них ПО.

Если на предприятии из этой сферы будет простой, это негативно отразится на жизни всего государства. Поэтому к IT-инфраструктуре и безопасности информационных систем на этих предприятиях предъявляют особые требования.

Ключевые моменты закона об информационной безопасности критически важных структур:

Источник

Что такое правовое обеспечение безопасности информации

Статья 16. Защита информации

1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа;

3) реализацию права на доступ к информации.

2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.

3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.

4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

6) постоянный контроль за обеспечением уровня защищенности информации;

7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.

(п. 7 введен Федеральным законом от 21.07.2014 N 242-ФЗ)

5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.

6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.

Источник

Основы ИБ

Защита данных
с помощью DLP-системы

С оздатель кибернетики Норберт Винер полагал, что информация обладает уникальными характеристиками и ее нельзя отнести ни к энергии, ни к материи. Особый статус информации как явления породил множество определений.

В словаре стандарта ISO/IEC 2382:2015 «Информационные технологии» приводится такая трактовка:

Для разработки концепции обеспечения информационной безопасности (ИБ) под информацией понимают сведения, которые доступны для сбора, хранения, обработки (редактирования, преобразования), использования и передачи различными способами, в том числе в компьютерных сетях и других информационных системах.

Такие сведения обладают высокой ценностью и могут стать объектами посягательств со стороны третьих лиц. Стремление оградить информацию от угроз лежит в основе создания систем информационной безопасности.

Правовая основа

В декабре 2017 года в России принята новая редакция Доктрины информационной безопасности. В документ ИБ определена как состояние защищенности национальных интересов в информационной сфере. Под национальными интересами в данном случае понимается совокупность интересов общества, личности и государства, каждая группа интересов необходима для стабильного функционирования социума.

Доктрина – концептуальный документ. Правоотношения, связанные с обеспечением информационной безопасности, регулируются федеральными законами «О государственной тайне», «Об информации», «О защите персональных данных» и другими. На базе основополагающих нормативных актов разрабатываются постановления правительства и ведомственные нормативные акты, посвященные частным вопросам защиты информации.

Определение информационной безопасности

Прежде чем разрабатывать стратегию информационной безопасности, необходимо принять базовое определение самого понятия, которое позволит применять определенный набор способов и методов защиты.

Практики отрасли предлагают понимать под информационной безопасностью стабильное состояние защищенности информации, ее носителей и инфраструктуры, которая обеспечивает целостность и устойчивость процессов, связанных с информацией, к намеренным или непреднамеренным воздействиям естественного и искусственного характера. Воздействия классифицируются в виде угроз ИБ, которые могут нанести ущерб субъектам информационных отношений.

Таким образом, под защитой информации будет пониматься комплекс правовых, административных, организационных и технических мер, направленных на предотвращение реальных или предполагаемых ИБ-угроз, а также на устранение последствий инцидентов. Непрерывность процесса защиты информации должна гарантировать борьбу с угрозами на всех этапах информационного цикла: в процессе сбора, хранения, обработки, использования и передачи информации.

Информационная безопасность в этом понимании становится одной из характеристик работоспособности системы. В каждый момент времени система должна обладать измеряемым уровнем защищенности, и обеспечение безопасности системы должно быть непрерывным процессом, которые осуществляется на всех временных отрезках в период жизни системы.

В инфографике использованы данные собственного исследования «СёрчИнформ».

В теории информационной безопасности под субъектами ИБ понимают владельцев и пользователей информации, причем пользователей не только на постоянной основе (сотрудники), но и пользователей, которые обращаются к базам данных в единичных случаях, например, государственные органы, запрашивающие информацию. В ряде случаев, например, в банковских ИБ-стандартах к владельцам информации причисляют акционеров – юридических лиц, которым принадлежат определенные данные.

Поддерживающая инфраструктура, с точки зрения основ ИБ, включает компьютеры, сети, телекоммуникационное оборудование, помещения, системы жизнеобеспечения, персонал. При анализе безопасности необходимо изучить все элементы систем, особое внимание уделив персоналу как носителю большинства внутренних угроз.

Для управления информационной безопасностью и оценки ущерба используют характеристику приемлемости, таким образом, ущерб определяется как приемлемый или неприемлемый. Каждой компании полезно утвердить собственные критерии допустимости ущерба в денежной форме или, например, в виде допустимого вреда репутации. В государственных учреждениях могут быть приняты другие характеристики, например, влияние на процесс управления или отражение степени ущерба для жизни и здоровья граждан. Критерии существенности, важности и ценности информации могут меняться в ходе жизненного цикла информационного массива, поэтому должны своевременно пересматриваться.

Информационной угрозой в узком смысле признается объективная возможность воздействовать на объект защиты, которое может привести к утечке, хищению, разглашению или распространению информации. В более широком понимании к ИБ-угрозам будут относиться направленные воздействия информационного характера, цель которых – нанести ущерба государству, организации, личности. К таким угрозам относится, например, диффамация, намеренное введение в заблуждение, некорректная реклама.

Три основных вопроса ИБ-концепции для любой организации

Система ИБ

Система информационной безопасности для компании – юридического лица включает три группы основных понятий: целостность, доступность и конфиденциальность. Под каждым скрываются концепции с множеством характеристик.

Под целостностью понимается устойчивость баз данных, иных информационных массивов к случайному или намеренному разрушению, внесению несанкционированных изменений. Понятие целостности может рассматриваться как:

Для контроля динамической целостности используют специальные технические средства, которые анализируют поток информации, например, финансовые, и выявляют случаи кражи, дублирования, перенаправления, изменения порядка сообщений. Целостность в качестве основной характеристики требуется тогда, когда на основе поступающей или имеющейся информации принимаются решения о совершении действий. Нарушение порядка расположения команд или последовательности действий может нанести большой ущерб в случае описания технологических процессов, программных кодов и в других аналогичных ситуациях.

Доступность – это свойство, которое позволяет осуществлять доступ авторизированных субъектов к данным, представляющим для них интерес, или обмениваться этими данными. Ключевое требование легитимации или авторизации субъектов дает возможность создавать разные уровни доступа. Отказ системы предоставлять информацию становится проблемой для любой организации или групп пользователей. В качестве примера можно привести недоступность сайтов госуслуг в случае системного сбоя, что лишает множество пользователей возможности получить необходимые услуги или сведения.

Конфиденциальность означает свойство информации быть доступной тем пользователям: субъектам и процессам, которым допуск разрешен изначально. Большинство компаний и организаций воспринимают конфиденциальность как ключевой элемент ИБ, однако на практике реализовать ее в полной мере трудно. Не все данные о существующих каналах утечки сведений доступны авторам концепций ИБ, и многие технические средства защиты, в том числе криптографические, нельзя приобрести свободно, в ряде случаев оборот ограничен.

Равные свойства ИБ имеют разную ценность для пользователей, отсюда – две крайние категории при разработке концепций защиты данных. Для компаний или организаций, связанных с государственной тайной, ключевым параметром станет конфиденциальность, для публичных сервисов или образовательных учреждений наиболее важный параметр – доступность.

Объекты защиты в концепциях ИБ

Различие в субъектах порождает различия в объектах защиты. Основные группы объектов защиты:

Каждый объект предполагает особую систему мер защиты от угроз ИБ и общественному порядку. Обеспечение информационной безопасности в каждом случае должно базироваться на системном подходе, учитывающем специфику объекта.

Категории и носители информации

Российская правовая система, правоприменительная практика и сложившиеся общественные отношения классифицируют информацию по критериям доступности. Это позволяет уточнить существенные параметры, необходимые для обеспечения информационной безопасности:

Информация из первой группы имеет два режима охраны. Государственная тайна, согласно закону, это защищаемые государством сведения, свободное распространение которых может нанести ущерб безопасности страны. Это данные в области военной, внешнеполитической, разведывательной, контрразведывательной и экономической деятельности государства. Владелец этой группы данных – непосредственно государство. Органы, уполномоченные принимать меры по защите государственной тайны, – Министерство обороны, Федеральная служба безопасности (ФСБ), Служба внешней разведки, Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Конфиденциальная информация – более многоплановый объект регулирования. Перечень сведений, которые могут составлять конфиденциальную информацию, содержится в указе президента №188 «Об утверждении перечня сведений конфиденциального характера». Это персональные данные; тайна следствия и судопроизводства; служебная тайна; профессиональная тайна (врачебная, нотариальная, адвокатская); коммерческая тайна; сведения об изобретениях и о полезных моделях; сведения, содержащиеся в личных делах осужденных, а также сведения о принудительном исполнении судебных актов.

Персональные данные существует в открытом и в конфиденциальном режиме. Открытая и доступная всем пользователям часть персональных данных включает имя, фамилию, отчество. Согласно ФЗ-152 «О персональных данных», субъекты персональных данных имеют право:

Право на обработку персональных данных закреплено в положениях о государственных органах, федеральными законами, лицензиями на работу с персональными данными, которые выдает Роскомнадзор или ФСТЭК. Компании, которые профессионально работают с персональными данными широкого круга лиц, например, операторы связи, должны войти в реестр, его ведет Роскомнадзор.

Отдельным объектом в теории и практике ИБ выступают носители информации, доступ к которым бывает открытым и закрытым. При разработке концепции ИБ способы защиты выбираются в зависимости от типа носителя. Основные носители информации:

Средства защиты информации

Для целей разработки концепций ИБ-защиты средства защиты информации принято делить на нормативные (неформальные) и технические (формальные).

Неформальные средства защиты – это документы, правила, мероприятия, формальные – это специальные технические средства и программное обеспечение. Разграничение помогает распределить зоны ответственности при создании ИБ-систем: при общем руководстве защитой административный персонал реализует нормативные способы, а IT-специалисты, соответственно, технические.

Основы информационной безопасности предполагают разграничение полномочий не только в части использования информации, но и в части работы с ее охраной. Подобное разграничение полномочий требует и нескольких уровней контроля.

Формальные средства защиты

Широкий диапазон технических средств ИБ-защиты включает:

Физические средства защиты. Это механические, электрические, электронные механизмы, которые функционируют независимо от информационных систем и создают препятствия для доступа к ним. Замки, в том числе электронные, экраны, жалюзи призваны создавать препятствия для контакта дестабилизирующих факторов с системами. Группа дополняется средствами систем безопасности, например, видеокамерами, видеорегистраторами, датчиками, выявляющие движение или превышение степени электромагнитного излучения в зоне расположения технических средств снятия информации, закладных устройств.

Аппаратные средства защиты. Это электрические, электронные, оптические, лазерные и другие устройства, которые встраиваются в информационные и телекоммуникационные системы. Перед внедрением аппаратных средств в информационные системы необходимо удостовериться в совместимости.

Программные средства – это простые и системные, комплексные программы, предназначенные для решения частных и комплексных задач, связанных с обеспечением ИБ. Примером комплексных решений служат DLP-системы и SIEM-системы: первые служат для предотвращения утечки, переформатирования информации и перенаправления информационных потоков, вторые – обеспечивают защиту от инцидентов в сфере информационной безопасности. Программные средства требовательны к мощности аппаратных устройств, и при установке необходимо предусмотреть дополнительные резервы.

«СёрчИнформ КИБ» можно бесплатно протестировать в течение 30 дней. Перед установкой системы инженеры «СёрчИнформ» проведут технический аудит в компании заказчика.

К специфическим средствам информационной безопасности относятся различные криптографические алгоритмы, позволяющие шифровать информацию на диске и перенаправляемую по внешним каналам связи. Преобразование информации может происходить при помощи программных и аппаратных методов, работающих в корпоративных информационных системах.

Все средства, гарантирующие безопасность информации, должны использоваться в совокупности, после предварительной оценки ценности информации и сравнения ее со стоимостью ресурсов, затраченных на охрану. Поэтому предложения по использованию средств должны формулироваться уже на этапе разработки систем, а утверждение должно производиться на том уровне управления, который отвечает за утверждение бюджетов.

В целях обеспечения безопасности необходимо проводить мониторинг всех современных разработок, программных и аппаратных средств защиты, угроз и своевременно вносить изменения в собственные системы защиты от несанкционированного доступа. Только адекватность и оперативность реакции на угрозы поможет добиться высокого уровня конфиденциальности в работе компании.

В 2018 году вышел первый релиз «СёрчИнформ ProfileCenter». Эта уникальная программа составляет психологические портреты сотрудников и распределяет их по группам риска. Такой подход к обеспечению информационной безопасности позволяет предвидеть возможные инциденты и заранее принять меры.

Неформальные средства защиты

Неформальные средства защиты группируются на нормативные, административные и морально-этические. На первом уровне защиты находятся нормативные средства, регламентирующие информационную безопасность в качестве процесса в деятельности организации.

Эта категория средств обеспечения информационной безопасности представлена законодательными актами и нормативно-распорядительными документами, которые действуют на уровне организации.

В мировой практике при разработке нормативных средств ориентируются на стандарты защиты ИБ, основный – ISO/IEC 27000. Стандарт создавали две организации:

Актуальная версия ISO/IEC 27000-2016 предлагают готовые стандарты и опробованные методики, необходимые для внедрения ИБ. По мнению авторов методик, основа информационной безопасности заключается в системности и последовательной реализации всех этапов от разработки до пост-контроля.

Для получения сертификата, который подтверждает соответствие стандартам по обеспечению информационной безопасности, необходимо внедрить все рекомендуемые методики в полном объеме. Если нет необходимости получать сертификат, в качестве базы для разработки собственных ИБ-систем допускается принять любую из более ранних версий стандарта, начиная с ISO/IEC 27000-2002, или российских ГОСТов, имеющих рекомендательный характер.

По итогам изучения стандарта разрабатываются два документа, которые касаются безопасности информации. Основной, но менее формальный – концепция ИБ предприятия, которая определяет меры и способы внедрения ИБ-системы для информационных систем организации. Второй документ, которые обязаны исполнять все сотрудники компании, – положение об информационной безопасности, утверждаемое на уровне совета директоров или исполнительного органа.

Кроме положения на уровне компании должны быть разработаны перечни сведений, составляющих коммерческую тайну, приложения к трудовым договорам, закрепляющий ответственность за разглашение конфиденциальных данных, иные стандарты и методики. Внутренние нормы и правила должны содержать механизмы реализации и меры ответственности. Чаще всего меры носят дисциплинарный характер, и нарушитель должен быть готов к тому, что за нарушением режима коммерческой тайны последуют существенные санкции вплоть до увольнения.

В рамках административной деятельности по защите ИБ для сотрудников служб безопасности открывается простор для творчества. Это и архитектурно-планировочные решения, позволяющие защитить переговорные комнаты и кабинеты руководства от прослушивания, и установление различных уровней доступа к информации. Важными организационными мерами станут сертификация деятельности компании по стандартам ISO/IEC 27000, сертификация отдельных аппаратно-программных комплексов, аттестация субъектов и объектов на соответствие необходимым требованиям безопасности, получений лицензий, необходимых для работы с защищенными массивами информации.

С точки зрения регламентации деятельности персонала важным станет оформление системы запросов на допуск к интернету, внешней электронной почте, другим ресурсам. Отдельным элементом станет получение электронной цифровой подписи для усиления безопасности финансовой и другой информации, которую передают государственным органам по каналам электронной почты.

Морально-этические меры определяют личное отношение человека к конфиденциальной информации или информации, ограниченной в обороте. Повышение уровня знаний сотрудников касательно влияния угроз на деятельность компании влияет на степень сознательности и ответственности сотрудников. Чтобы бороться с нарушениями режима информации, включая, например, передачу паролей, неосторожное обращение с носителями, распространение конфиденциальных данных в частных разговорах, требуется делать упор на личную сознательность сотрудника. Полезным будет установить показатели эффективности персонала, которые будут зависеть от отношения к корпоративной системе ИБ.

Источник