МДК.2.1. ПЗИ (1). План лекции Основные положения Государственная система защиты информации Лицензирование Сертификация средств защиты
 Скачать 154.5 Kb.
|
|
МДК.2.1 Правовая защита информации План лекции Основные положения Государственная система защиты информации Лицензирование Сертификация средств защиты Ответственность за нарушения в сфере информационной безопасности 1. Основные положения Проникая во все сферы деятельности общества и государства, информация приобретает конкретные политические, материальные и стоимостные выражения. С учетом усиления роли информации на современном этапе, правовое регулирование общественных отношений, возникающих в информационной сфере, является приоритетным направлением процесса нормотворчества в Российской Федерации (РФ), целью которого является обеспечение информационной безопасности государства. Конституция РФ является основным источником права в области обеспечения информационной безопасности в России. Согласно Конституции РФ: каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений (статья 23); сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются (статья 24); каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом, перечень сведений, составляющих государственную тайну, определяется федеральным законом (статья 29); каждый имеет право на достоверную информацию о состоянии окружающей среды (статья 42). Современный этап развития системы обеспечения информационной безопасности государства и общества характеризуется переходом от тотального сокрытия большого объема сведений к гарантированной защищенности принципиально важных данных, обеспечивающей: конституционные права и свободы граждан, предприятий и организаций в сфере информатизации; необходимый уровень безопасности информации, подлежащей защите; защищенность систем формирования и использования информационных ресурсов (технологий, систем обработки и передачи информации). Нормативные акты правового регулирования вопросов информатизации и защиты информации в Российской Федерации включают: Законы Российской Федерации Указы Президента Российской Федерации и утверждаемые этими указами нормативные документы Постановления Правительства Российской Федерации и утверждаемые этими постановлениями нормативные документы (Положения, Перечни …) Государственные и отраслевые стандарты Положения, Порядки. Руководящие документы и другие нормативные и методические документы уполномоченных государственных органов (Гостехкомиссии России, ФАПСИ, ФСБ). Федеральные законы и другие нормативные акты предусматривают: разделение информации на категории свободного и ограниченного доступа, причем информация ограниченного доступа подразделяется на: отнесенную к государственной тайне отнесенную к служебной тайне (информацию для служебного пользования), персональные данные (и другие виды тайн) и другую информацию, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю или иному лицу; правовой режим защиты информации, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу, устанавливаемый: в отношении сведений, отнесенных к государственной тайне, -уполномоченными государственными органами на основании Закона Российской Федерации "О государственной тайне" (от 21.07.93 г. N 5485-1); в отношении конфиденциальной документированной информации -собственником информационных ресурсов или уполномоченным лицом на основании Закона Российской Федерации "Об информации, информатизации и защите информации" (от 20.02.95 г. N 24-ФЗ); в отношении персональных данных - отдельным федеральным законом; лицензирование деятельности предприятий, учреждений и организаций в области защиты информации; аттестование автоматизированных информационных систем, обрабатывающих информацию с ограниченным доступом на соответствие требованиям безопасности информации при проведении работ со сведениями соответствующей степени конфиденциальности (секретности); сертификацию средств защиты информации и средств контроля эффективности защиты, используемых в АС; возложение решения вопросов организации лицензирования, аттестации и сертификации на органы государственного управления в пределах их компетенции, определенной законодательством Российской Федерации; создание автоматизированных информационных систем в защищенном исполнении и специальных подразделений, обеспечивающих защиту информации с ограниченным доступом, являющейся собственностью государства, а также осуществление контроля защищенности информации и предоставление прав запрещать или приостанавливать обработку информации в случае невыполнения требований по обеспечению ее защиты; определение прав и обязанностей субъектов в области защиты информации. 2. Государственная система защиты информации Структура и основные функции государственной системы защиты информации от ее утечки по техническим каналам и организация работ по защите информации определены в "Положении о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам", утвержденном Постановлением Правительства от 15 сентября 1993 г. № 912-51. Этим Положением предусматривается, что мероприятия по защите информации, обрабатываемой техническими средствами, являются составной частью управленческой, научной и производственной деятельности учреждений и предприятий и осуществляются во взаимосвязи с другими мерами по обеспечению установленного федеральными законами "Об информации, информатизации и защите информации" и "О государственной тайне" комплекса мер по защите сведений, составляющих государственную и служебную тайну. В то же время эти мероприятия являются составной частью работ по созданию и эксплуатации систем информатизации учреждений и предприятий, располагающих такой информацией, и должны осуществляться в установленном нормативными документами » порядке в виде системы защиты секретной информации. Основные задачи государственной системы защиты информации: • проведение единой технической политики, организация и координация работ по защите информации в оборонной, экономической, политической, научно-технической и других сферах деятельности; • исключение или существенное затруднение добывания информации техническими средствами разведки, а также предотвращение ее утечки по техническим каналам, несанкционированного доступа к ней, предупреждение преднамеренных специальных программно-технических воздействий на информацию с целью ее разрушения, уничтожения, искажения или блокирования в процессе обработки, передачи и хранения; • принятие в пределах компетенции нормативно-правовых актов, регулирующих отношения в области защиты информации; • общая организация сил, создание средств защиты информации и средств контроля эффективности ее защиты; • контроль за проведением работ по защите информации в органах государственного управления, объединениях, на предприятиях, в организациях и учреждениях (независимо от форм собственности). В соответствии с Указом Президента Российской Федерации № 212 от 19.02.99 г., межотраслевую координацию и функциональное регулирование деятельности по обеспечению защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную и служебную тайну, осуществляет коллегиальный орган - Государственная техническая комиссия при Президенте Российской Федерации (Гостехкомиссии России). Согласно Постановлению Правительства РФ от 12.09.93 г. №912-51 Гостехкомиссия России возглавляет Государственную систему защиты информации.   В соответствии с Законом Российской Федерации "О федеральных органах правительственной связи и информации", к основным функциям Федерального агентства правительственной связи и информации при Президенте Российской Федерации (ФАПСИ) в рассматриваемой области относится: • осуществление координации деятельности по вопросам безопасности информационно-аналитических сетей, комплексов технических средств баз данных; • осуществление координации деятельности в области разработки, производства и поставки шифровальных средств и оборудования специальной связи, по обеспечению криптографической и инженерно-технической безопасности шифрованной связи. Федеральным законом от 03.04.95 г. N 40-ФЗ "Об органах Федеральной службы безопасности в Российской Федерации" к компетенции ФСБ в рассматриваемой области отнесены следующие вопросы: • участие в разработке и реализации мер по защите сведений, составляющих государственную тайну; • осуществление контроля за обеспечением сохранности сведений, составляющих государственную тайну, в государственных органах, воинских формированиях, на предприятиях, в учреждениях и организациях независимо от форм собственности; • осуществление мер, связанных с допуском граждан к сведениям, составляющим государственную тайну. 3. Лицензирование Законодательство Российской Федерации предусматривает установление Правительством РФ порядка ведения лицензионной деятельности, перечня видов деятельности, на осуществление которых требуется лицензия, и органов, уполномоченных на ведение лицензионной деятельности. Деятельность в области защиты информации регулируются совместным решением Гостехкомиссии России и ФАПСИ от 27 апреля 1994 № 10, которым утверждено и введено в действие с 1 июня 1994 г. "Положение о государственном лицензировании деятельности в области защиты информации", а также закреплены за ними конкретные виды деятельности и области защиты информации (Приложение 1 к данному Положению). В соответствии с «Перечнем видов деятельности предприятий в области защиты информации, подлежащих лицензированию ФАПСИ» лицензированию подлежит «Эксплуатация негосударственными предприятиями шифровальных средств, предназначенных для криптографической защиты информации, не содержаний сведений, составляющих государственную тайну». В новом Федеральном законе от 8.08.2001 года № 128-ФЗ «О лицензировании отдельных видов деятельности», который вступает в силу с февраля 2002 года и приходит на смену одноименному Федеральному закону от 25.09.1998 года № 158-ФЗ, в Перечне видов деятельности, на осуществление которых требуется лицензия, этого вида деятельности (эксплуатация СКЗИ) уже нет. В новом законе в Перечень видов деятельности, на осуществление которых требуется лицензия, включено: • деятельность по распространению шифровальных (криптографических) средств; • деятельность по техническому обслуживанию шифровальных (криптографических) средств; • предоставление услуг в области шифрования информации; • разработка, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем; • деятельность по выдаче сертификатов ключей электронных цифровых подписей, регистрации владельцев электронных цифровых подписей, оказанию услуг, связанных с использованием электронных цифровых подписей, и подтверждению подлинности электронных цифровых подписей; • деятельность по разработке и (или) производству средств защиты конфиденциальной информации; • деятельность по технической защите конфиденциальной информации; • деятельность по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя). В настоящее время продолжается разработка подзаконных актов (положений, перечней), регулирующих порядок лицензирования данных видов деятельности. 4. Сертификация средств защиты Сертификация — это комплекс действий, проводимых с целью подтверждения соответствия определенным нормам ГОСТ и других нормативных документов. Конкретные средства и меры защиты информации должны разрабатываться и применяться в зависимости от уровня конфиденциальности и ценности информации, а также от уровня возможного ущерба в случае ее утечки, уничтожения, модификации или блокирования. В настоящее время в Госстандарте России зарегистрированы три системы сертификации средств защиты: • (Гостехкомиссия России) система сертификации средств защиты информации по требованиям безопасности информации № РОСС RU . OOO 1. O 1БИ OO ; • (ФАПСИ) система сертификации средств криптографической защиты информации (система сертификации СКЗИ) №РОСС RU .0001.030001; • (ФСБ) система обязательной сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (система сертификации СЗИ - ГТ) №РОСС RU .0001. Кроме того, системы сертификации средств защиты разрабатываются (имеются) в Министерстве Обороны РФ и Службе внешней разведки РФ. Необходимой составляющей государственной системы обеспечения информационной безопасности являются Государственные стандарты и другие нормативно-технические и методические документы по безопасности информации, утвержденные федеральными органами государственного управления в соответствии с их компетенцией, и определяющие нормы защищенности информации и требования в различных . направлениях защиты информации. К основным стандартам и нормативно-техническим документам по вопросам обеспечения безопасности информации, в соответствии с требованиями которых осуществляется сертификация продукции и аттестация объектов информатизации по требованиям безопасности информации, сертификация средств криптографической защиты информации, относятся: • в области защиты информации от несанкционированного доступа: • комплект руководящих документов Гостехкомиссии России (утвержденных решением Председателя Гостехкомиссии России от 25 июля 1997 г.), которые в соответствии с Законом "О стандартизации" можно отнести к отраслевым стандартам, в том числе: - "Защита от несанкционированного доступа к информации. Термины и определения" - "Концепция защиты СВТ и АС от НСД к информации" - "Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации" - "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности СВТ" - "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" - "Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от НСД в АС и СВТ" - "Средства антивирусной защиты. Показатели защищенности и требования по защите от вирусов" - "Защита от НСД к информации. Программное обеспечение СЗИ. Классификация по уровню контроля отсутствия недекларированных возможностей" • ГОСТ Р 50739-95 "Средства вычислительной техники. Защита от НСД к информации. Общие технические требования" • ГОСТ Р 50922-96 «Защита информации. Основные термины и определения» и другие; • в области защиты информации от утечки за счет побочных электромагнитных излучений и наводок (ПЭМИН): • "Нормы эффективности защиты АСУ и ЭВМ от утечки информации за счет ПЭМИН" (Решение Председателя Гостехкомиссии СССР, 1977г.) • "Специальные требования и рекомендации по защите информации, составляющей государственную тайну, от утечки по техническим каналам" (решение Гостехкомиссии России от 23.05.97 г. № 55) • ГОСТ 29339-92 "Информационная технология. Защита информации от утечки за счет ПЭМИН при ее обработке средствами вычислительной техники. Общие технические требования" • ГОСТ Р 50752-95 "Информационная технология. Защита информации от утечки за счет побочных электромагнитных излучений при ее обработке средствами вычислительной техники. Методы испытаний" • методики контроля защищенности объектов ЭВТ и другие; • в области криптографического преобразования информации при ее хранении и передаче по каналам связи: • ГОСТ 28147-89 "Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования" • ГОСТ Р 34.10-94 «Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма» • ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» • ГОСТ Р 34.11 -94 «Функция хеширования» • "Положение о разработке, изготовлении и обеспечении эксплуатации шифровальной техники, систем связи и комплексов вооружения, использующих шифровальную технику" (ПШ-93) • Положение «О порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (ПКЗ-99) и другие • «Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (Введена приказом ФАПСИ от 13 июня 2001 года N 152 ). За последние годы достигнут существенный прогресс в развитии методов решения задачи дискретного логарифмирования, что послужило причиной разработки в 2000 - 2001 годах нового государственного стандарта ЭЦП. Новый стандарт основан на математическом аппарате эллиптических кривых. Внедрение схемы ЭЦП на базе данного стандарта повышает, по сравнению с действующей схемой, уровень защищенности передаваемых сообщений от подделок и искажений. Стандарт ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» утвержден приказом Госстандарта от 12.09.01 № 380. Вводится в действие с 01.07.02 г. Старый стандарт ЭЦП не отменяется. Он будет действовать еще несколько лет, но согласно письма ФАПСИ лицензиатам - разработчикам СКЗИ использование открытого ключа ЭЦП длиной 512 бит допускается только до 31 декабря 2001 года. С 1 января 2002 года длина открытого ключа ЭЦП должна быть 1024 бита. Законодательные меры в сфере информационной безопасности направлены на создание в стране законодательной базы, упорядочивающей и регламентирующей поведение субъектов и объектов информационных отношений, а также определяющей ответственность за нарушение установленных норм. Работа по созданию нормативной базы предусматривает разработку новых или корректировку существующих законов, положений, постановлений и инструкций, а также создание действенной системы контроля за исполнением указанных документов. Необходимо отметить, что такая работа в последнее время ведется практически непрерывно, поскольку сфера информационных технологий развивается стремительно, соответственно появляются новые формы информационных отношений, существование которых должно быть определено законодательно. Законодательная база в сфере информационной безопасности включает пакет Федеральных законов, Указов Президента РФ, постановлений Правительства РФ, межведомственных руководящих документов и стандартов. Основополагающими документами по информационной безопасности в РФ являются Конституция РФ и Концепция национальной безопасности. В Конституции РФ гарантируется "тайна переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений" (ст. 23, ч.2), а также "право свободно искать, получать, передавать, производить и распространять информацию любым законным способом" (ст. 29, ч.4). Кроме этого, Конституцией РФ "гарантируется свобода массовой информации" (ст. 29, ч.5), т. е. массовая информация должна быть доступна гражданам. Концепция национальной безопасности РФ, введенная указом Президента РФ №24 в январе 2000 г., определяет важнейшие задачи обеспечения информационной безопасности Российской Федерации: реализация конституционных прав и свобод граждан Российской Федерации в сфере информационной деятельности; совершенствование и защита отечественной информационной инфраструктуры, интеграция России в мировое информационное пространство; противодействие угрозе развязывания противоборства в информационной сфере. Для обеспечения прав граждан в сфере информационных технологий и решения задач информационной безопасности, сформулированных в Концепции национальной безопасности РФ, разработаны и продолжают разрабатываться и совершенствоваться нормативные документы в сфере информационных технологий. Основные положения важнейших законодательных актов РФ в области информационной безопасности и защиты информацииЗакон Российской Федерации от 21 июля 1993 года №5485-1 (ред. от 08.03.2015) "О государственной тайне" с изменениями и дополнениями, внесенными после его принятия, регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их рассекречиванием и защитой в интересах обеспечения безопасности Российской Федерации. В Законе определены следующие основные понятия: государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации; носители сведений, составляющих государственную тайну, – материальные объекты, в том числе физические поля, в которых сведения, составляющие государственную тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов; система защиты государственной тайны – совокупность органов защиты государственной тайны, используемых ими средств и методов защиты сведений, составляющих государственную тайну, и их носителей, а также мероприятий, проводимых в этих целях; доступ к сведениям, составляющим государственную тайну – санкционированное полномочным должностным лицом ознакомление конкретного лица со сведениями, составляющими государственную тайну; гриф секретности – реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемые на самом носителе и (или) в сопроводительной документации на него; средства защиты информации – технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации. Законом определено, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. Организация сертификации средств защиты информации возлагается на Государственную техническую комиссию при Президенте Российской Федерации, Федеральную службу безопасности Российской Федерации, Министерство обороны Российской Федерации в соответствии с функциями, возложенными на них законодательством Российской Федерации.
Основными задачами системы защиты информации, нашедшими отражение в Законе "Об информации, информатизации и защите информации", являются: предотвращение утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного копирования, блокирования информации и т. п., вмешательства в информацию и информационные системы; сохранение полноты, достоверности, целостности информации, ее массивов и программ обработки данных, установленных собственником или уполномоченным им лицом; сохранение возможности управления процессом обработки, пользования информацией в соответствии с условиями, установленными собственником или владельцем информации; обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальности персональной информации, накапливаемой в банках данных; сохранение секретности или конфиденциальности информации в соответствии с правилами, установленными действующим законодательством и другими законодательными или нормативными актами; соблюдение прав авторов программно-информационной продукции, используемой в информационных системах. В соответствии с законом: информационные ресурсы делятся на государственные и негосударственные; государственные информационные ресурсы являются открытыми и общедоступными. Закон определяет пять категорий государственных информационных ресурсов: открытая общедоступная информация во всех областях знаний и деятельности; информация с ограниченным доступом:; информация, отнесенная к государственной тайне; конфиденциальная информация; персональные данные о гражданах (относятся к категории конфиденциальной информации, но регламентируются отдельным законом). 5. Ответственность за нарушения в сфере информационной безопасности Немаловажная роль в системе правового регулирования информационных отношений отводится ответственности субъектов за нарушения в сфере информационной безопасности. Основными документами в этом направлении являются: Уголовный кодекс Российской Федерации. Кодекс Российской Федерации об административных правонарушениях. В принятом в 1996 году Уголовном кодексе Российской Федерации, как наиболее сильнодействующем законодательном акте по предупреждению преступлений и привлечению преступников и нарушителей к уголовной ответственности, вопросам безопасности информации посвящены следующие главы и статьи: Статья 138. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Статья 140. Отказ в предоставлении гражданину информации. Статья 183. Незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну. Статья 237. Сокрытие информации об обстоятельствах, создающих опасность для жизни и здоровья людей. Статья 283. Разглашение государственной тайны. Статья 284. Утрата документов, содержащих государственную тайну. Особое внимание уделяется компьютерным преступлениям, ответственность за которые предусмотрена в специальной 28 главе кодекса "Преступления в сфере компьютерной информации". Глава 28 включает следующие статьи: Статья 272. Неправомерный доступ к компьютерной информации. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, – наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой, либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, – наказывается штрафом в размере от пятисот до восьмисот минимальных размеров оплаты труда или в размере заработной платы или другого дохода осужденного за период от пяти до восьми месяцев, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет. Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами, – наказывается лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев. Те же деяния, повлекшие по неосторожности тяжкие последствия, – наказываются лишением свободы на срок от трех до семи лет. Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, – наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет. То же деяние, повлекшее по неосторожности тяжкие последствия, – наказывается лишением свободы на срок до четырех лет. Контрольные вопросы 1. Что является основным источником права в области обеспечения информационной безопасности в России? 2. Что включают в себя нормативные акты правового регулирования вопросов информатизации и защиты информации в Российской Федерации? 3. Кто в России осуществляет межотраслевую координацию и функциональное регулирование деятельности по обеспечению защиты информации, содержащей сведения, составляющие государственную и служебную тайну? 4. Кто регулирует деятельность в области защиты информации? 5. Что такое сертификация? |