госы. ГОСы шпоры. Теория информационной безопасности и методология защиты информации Система обеспечения информационной безопасности в Российской Федерации. 1 Понятие система обеспечения информационной безопасности
 Скачать 2.75 Mb.
|
|
Статья 13. Охрана конфиденциальности информации при ее предоставлении 2. Должностные лица органов государственной власти, иных государственных органов, органов местного самоуправления, государственные или муниципальные служащие указанных органов без согласия обладателя информации, составляющей коммерческую тайну, не вправе разглашать или передавать другим лицам, органам государственной власти, иным государственным органам, органам местного самоуправления ставшую известной им в силу выполнения должностных (служебных) обязанностей информацию, составляющую коммерческую тайну, за исключением случаев, предусмотренных настоящим Федеральным законом, а также не вправе использовать эту информацию в корыстных или иных личных целях. Статья 14. Ответственность за нарушение настоящего Федерального закона 1. Нарушение настоящего Федерального закона влечет за собой дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации. 2. Работник, который в связи с исполнением трудовых обязанностей получил доступ к информации, составляющей коммерческую тайну, обладателями которой являются работодатель и его контрагенты, в случае умышленного или неосторожного разглашения этой информации при отсутствии в действиях такого работника состава преступления несет дисциплинарную ответственность в соответствии с законодательством Российской Федерации. 3. Органы государственной власти, иные государственные органы, органы местного самоуправления, получившие доступ к информации, составляющей коммерческую тайну, несут перед обладателем информации, составляющей коммерческую тайну, гражданско-правовую ответственность за разглашение или незаконное использование этой информации их должностными лицами, государственными или муниципальными служащими указанных органов, которым она стала известна в связи с выполнением ими должностных (служебных) обязанностей. 4. Лицо, которое использовало информацию, составляющую коммерческую тайну, и не имело достаточных оснований считать использование данной информации незаконным, в том числе получило доступ к ней в результате случайности или ошибки, не может в соответствии с настоящим Федеральным законом быть привлечено к ответственности. 10.2 Основания и методика отнесения сведений к коммерческой тайне на основе требований Указа Президента РФ № 188 1997 года «Об утверждении Перечня сведений конфиденциального характера». 5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна). Перечень сведений конфиденциального характера (из указа): 1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях. 2. Сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с Федеральным законом от 20 августа 2004 г. N 119-ФЗ «О государственной защите потерпевших, свидетелей и иных участников уголовного судопроизводства» и другими нормативными правовыми актами Российской Федерации. 3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна). 4. Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее). 5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (коммерческая тайна). 6. Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них. из ФЗ о КТ Право на отнесение информации к информации, составляющей коммерческую тайну, и способы получения такой информации 1. Право на отнесение информации к информации, составляющей коммерческую тайну, и на определение перечня и состава такой информации принадлежит обладателю такой информации с учетом положений настоящего Федерального закона. 2. Информация, самостоятельно полученная лицом при осуществлении исследований, систематических наблюдений или иной деятельности, считается полученной законным способом несмотря на то, что содержание указанной информации может совпадать с содержанием информации, составляющей коммерческую тайну, обладателем которой является другое лицо. 4. Информация, составляющая коммерческую тайну, обладателем которой является другое лицо, считается полученной незаконно, если ее получение осуществлялось с умышленным преодолением принятых обладателем информации, составляющей коммерческую тайну, мер по охране конфиденциальности этой информации, а также если получающее эту информацию лицо знало или имело достаточные основания полагать, что эта информация составляет коммерческую тайну, обладателем которой является другое лицо, и что осуществляющее передачу этой информации лицо не имеет на передачу этой информации законного основания. 10.3 Понятие «служебная тайна» в соответствии с требованиями Указа Президента РФ № 188 1997 года «Об утверждении Перечня сведений конфиденциального характера». 3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна). ФЕДЕРАЛЬНЫЙ ЗАКОН О служебной тайне сведения, составляющие служебную тайну (служебная тайна) - конфиденциальные сведения, образующиеся в процессе управленческой деятельности органа или организации, распространение которых препятствует реализации органом или организацией предоставленных ему полномочий, либо иным образом отрицательно сказывается на их реализации, а также конфиденциальные сведения, полученные органом или организацией в соответствии с их компетенцией в установленном законодательством порядке; 10.4 Правовой режим «служебной информации ограниченного распространения» в соответствии с «Положением о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти» (Постановление Правительства РФ №1233 от 3.11.1994 г.): порядок отнесения сведений, порядок обращения с документами, содержащими служебную информацию ограниченного доступа. 1.2. К служебной информации ограниченного распространения относится несекретная информация, касающаяся деятельности организаций, ограничения на распространение которой диктуются служебной необходимостью. 1.3. Не могут быть отнесены к служебной информации ограниченного распространения: акты законодательства, устанавливающие правовой статус государственных органов, организаций, общественных объединений, а также права, свободы и обязанности граждан, порядок их реализации; сведения о чрезвычайных ситуациях, опасных природных явлениях и процессах, экологическая, гидрометеорологическая, гидрогеологическая, демографическая, санитарно-эпидемиологическая и другая информация, необходимая для обеспечения безопасного существования населенных пунктов, граждан и населения в целом, а также производственных объектов; описание структуры органа исполнительной власти, его функций, направлений и форм деятельности, а также его адрес; порядок рассмотрения и разрешения заявлений, а также обращений граждан и юридических лиц; решения по заявлениям и обращениям граждан и юридических лиц, рассмотренным в установленном порядке; сведения об исполнении бюджета и использовании других государственных ресурсов, о состоянии экономики и потребностей населения; документы, накапливаемые в открытых фондах библиотек и архивов, информационных системах организаций, необходимые для реализации прав, свобод и обязанностей граждан. 1.4. На документах (в необходимых случаях и на их проектах), содержащих служебную информацию ограниченного распространения, проставляется пометка "Для служебного пользования". 1.5. Руководитель федерального органа исполнительной власти в пределах своей компетенции определяет: категории должностных лиц, уполномоченных относить служебную информацию к разряду ограниченного распространения; порядок передачи служебной информации ограниченного распространения другим органам и организациям; порядок снятия пометки "Для служебного пользования" с носителей информации ограниченного распространения; организацию защиты служебной информации ограниченного распространения. 1.7. Служебная информация ограниченного распространения без санкции соответствующего должностного лица не подлежит разглашению (распространению). 1.9. В случае ликвидации федерального органа исполнительной власти (организации) решение о дальнейшем использовании служебной информации ограниченного распространения принимает ликвидационная комиссия. 2. Порядок обращения с документами, содержащими служебную информацию ограниченного распространения 2.1. Необходимость проставления пометки "Для служебного пользования" на документах и изданиях, содержащих служебную информацию ограниченного распространения, определяется исполнителем и должностным лицом, подписывающим или утверждающим документ. Указанная пометка и номер экземпляра проставляются в правом верхнем углу первой страницы документа, на обложке и титульном листе издания, а также на первой странице сопроводительного письма к таким документам. 2.2. Прием и учет (регистрация) документов, содержащих служебную информацию ограниченного распространения, осуществляются, как правило, структурными подразделениями, которым поручен прием и учет несекретной документации. 2.3. Документы с пометкой "Для служебного пользования": печатаются в машинописном бюро. На обороте последнего листа каждого экземпляра документа машинистка должна указать количество отпечатанных экземпляров, фамилию исполнителя, свою фамилию и дату печатания документа. Отпечатанные и подписанные документы вместе с черновиками и вариантами передаются для регистрации работнику, осуществляющему их учет. Черновики и варианты уничтожаются этим работником с отражением факта уничтожения в учетных формах; учитываются, как правило, отдельно от несекретной документации. При незначительном объеме таких документов разрешается вести их учет совместно с другими несекретными документами. К регистрационному индексу документа добавляется пометка "ДСП"; передаются работникам подразделений под расписку; пересылаются сторонним организациям фельдъегерской связью, заказными или ценными почтовыми отправлениями; размножаются (тиражируются) только с письменного разрешения соответствующего руководителя. Учет размноженных документов осуществляется поэкземплярно; хранятся в надежно запираемых и опечатываемых шкафах (ящиках, хранилищах). 2.5. Исполненные документы с пометкой "Для служебного пользования" группируются в дела в соответствии с номенклатурой дел несекретного делопроизводства. При этом на обложке дела, в которое помещены такие документы, также проставляется пометка "Для служебного пользования". 2.6. Уничтожение дел, документов с пометкой "Для служебного пользования", утративших свое практическое значение и не имеющих исторической ценности, производится по акту. В учетных формах об этом делается отметка со ссылкой на соответствующий акт. 2.7. Передача документов и дел с пометкой "Для служебного пользования" от одного работника другому осуществляется с разрешения соответствующего руководителя. 2.9. Проверка наличия документов, дел и изданий с пометкой "Для служебного пользования" проводится не реже одного раза в год комиссиями, назначаемыми приказом руководителя. В состав таких комиссий обязательно включаются работники, ответственные за учет и хранение этих материалов. В библиотеках и архивах, где сосредоточено большое количество изданий, дел и других материалов с пометкой "Для служебного пользования", проверка наличия может проводиться не реже одного раза в пять лет. 10.5 Понятие «персональные данные». Обеспечение безопасности персональных данных граждан РФ в соответствии с требованиями Федерального Закона РФ №152-ФЗ 2006 года «О персональных данных»: сфера действия Закона, обеспечение конфиденциальности персональных данных, специальные категории персональных данных, особенности обработки персональных данных в государственных и муниципальных информационных системах персональных данных, права субъектов и обязанности операторов персональных данных. Структура федеральных органов исполнительной власти, участвующих в организации защиты персональных данных в РФ: ФСТЭК РФ, ФСБ России, Роскомнадзор РФ и выполняемые ими функции. 1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация; Статья 1. Сфера действия настоящего Федерального закона 2. Действие настоящего Федерального закона не распространяется на отношения, возникающие при: 1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных; 2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов; 3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя; 4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну. Статья 7. Конфиденциальность персональных данных 1. Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Обеспечение конфиденциальности персональных данных не требуется: 1) в случае обезличивания персональных данных; 2) в отношении общедоступных персональных данных. Статья 10. Специальные категории персональных данных 1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 настоящей статьи. 2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 2) персональные данные являются общедоступными; 3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно; 4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при сохранении врачебной тайны; 5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных; 6) обработка персональных данных необходима в связи с осуществлением правосудия; 7) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации. 4. Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных частями 2 и 3 настоящей статьи, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка. Статья 13. Особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных 2. Федеральными законами могут быть установлены особенности учета персональных данных в государственных и муниципальных информационных системах персональных данных; 3. Нельзя ограничивать права и свободы человека из-за использования его ПД 4. Может быть создан гос. регистр населения в целях обеспечения реализации прав субъектов ПД; Глава 3. Права субъекта персональных данных Статья 14. Право субъекта персональных данных на доступ к своим персональным данным 1. Субъект ПД имеет право знать об операторе ПД, наличии у него ПД и их объеме, а так же ознакамливаться с ними, за искл. статьи 5. Субъект может требовать уточнения ПД, их блокирования или уничтожения, если ПД неполны/недостоверные, незаконно получены и пр. 2. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных. 3. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю оператором при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер, дату и пункт выдачи основного документа (часто - паспорт) и подпись субъекта.Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации. 4. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей: 1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки; 2) способы обработки персональных данных, применяемые оператором; 3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ; 4) перечень обрабатываемых персональных данных и источник их получения; 5) сроки обработки персональных данных, в том числе сроки их хранения; 6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных. 5. Право субъекта персональных данных на доступ к своим персональным данным ограничивается в случае, если: 1) обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка; 2) обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными; 3) предоставление персональных данных нарушает конституционные права и свободы других лиц. Глава 4. Обязанности оператора Статья 18- обязанности оператора при сборе персональных данных. 18.1 - определяет меры направленные на обеспечение выполнения оператором обязанностей, предусмотренными законом о персональных данных. Оператор обязан принимать меры, необходимые и достаточные, для достижения выполнения обязанностей, предусмотренных законом. Оператор самостоятельно определяет состав и перечень таких мер. Определены 6 мер, которые должен выполнять оператор: 1. Назначение оператором ответственного за организацию обработки персональных данных. 2. Издание документов, определяющих политику оператора в отношении обработки персональных данных. 3. Применение правовые, организационные и технические меры по обеспечению безопасности персональных данных. 4. Осуществлять внутренний контроль и аудит в соответствии с обработкой персональных данных, требованием закона. 5. Оценка вреда, который может быть причинен в случае нарушения закона. 6. Ознакомление работников, которые осуществляют обработку персональных данных с положениями законодательства о персональных данных и другими локальными нормативными актами в этой области. Статья 19 - меры по обеспечению безопасности персональных данных при их обработке. В соответствии с данной статьей, оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования,копирования,предоставления, распространения персональных данных а так же от иные неправомерных действий в отношении них. Статья 18. Обязанности оператора при сборе персональных данных 1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 настоящего Федерального закона. 2. Если обязанность предоставления персональных данных установлена федеральным законом, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные. 3. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 3) предполагаемые пользователи персональных данных; 4) установленные настоящим Федеральным законом права субъекта персональных данных. Статья 19. Меры по обеспечению безопасности персональных данных при их обработке 1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. 4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения. Статья 20. Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных 1. Оператор обязан сообщить субъекту о наличии его ПД и предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его законного представителя. 2. В случае отказа в предоставлении субъекту персональных данных оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 5 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий семи рабочих дней со дня обращения субъекта персональных данных или его законного представителя либо с даты получения запроса. 3. Оператор обязан безвозмездно предоставить субъекту ПД возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы. 4. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса. |