Арутюнов В.В. Основы информационной безопасности

Подождите немного. Документ загружается.

– около 50 ведомственных нормативных документов.

К числу международных актов относятся:

– декларации;

– конвенции;

– рекомендации;

– соглашения;

– стандарты.

Разработкой этих документов занимаются различные структур ные

подразделения международных организаций:

– Совет Европы (комитет министров);

– Европейский комитет по проблемам преступности;

– Комитет экспертов по преступности в киберпространстве (КЭ-ПК);

– Международная электротехническая комиссия (МЭК/iEC),

– Международная организация по стандартизации (HCO/ISO);

– Британский институт стандартов (BSI);

– Американский институт AICPA;

– Канадский институт CICA и др.

Следует заметить, что стремительное развитие и широкое вне дрение

ИТ во все жизнедеятельности человека привели к возникно вению новых

видов угроз, которые могут нарушить безопасность и стабильность всего

мирового сообщества.

На 54-й сессии Генеральной ассамблеи ООН Россия предложила проект

резолюции «Достижения в сфере информатизации и телеком муникаций в

контексте международной безопасности», где были ука заны угрозы меж-

дународной информационной безопасности приме нительно не только к

гражданским отраслям, но и к военной сфере. Эта резолюция была принята

1 декабря 1999 г. Позже она получила свое развитие на сессии Генеральной

ассамблеи ООН в ноябре 2000 г. (резолюция A/RES/55/28). В соответствии

с ней МИД России подго товил проект документа «Общая оценка проблем

информационной безопасности. Угрозы международной информационной

безопаснос ти» (А/56/164/Add.I).

В последующем Россия неоднократно выступала с инициати вами в об-

ласти международной информационной безопасности (ре золюции Гене-

ральной ассамблеи ООН A/RES/56/19 — ноябрь 2001 г., A/RES/57/53 — но-

ябрь 2002 г., A/RES/58/32 — декабрь 2003 г.). В соответствии с принятыми

резолюциями с 2002 г. проходят Всемир ные встречи на высшем уровне по

вопросам информационного об щества. Последняя из них состоялась 16-18

ноября 2005 г. в Тунисе.

В 2004 г. была создана специальная Группа правительственных экспер-

тов государств — членов ООН. Эта группа должна провести всестороннее

исследование проблем международной информацион ной безопасности и

подготовить свои рекомендации для их решения.

Все описанные встречи, конференции и иные форумы привели к тому,

что на текущий момент сформировалось единое международ ное мнение о

том, что эффективное обеспечение ИБ может быть достигнуто не только

технологическими мерами, для этого потребу ются усилия по правовому ре-

гулированию данной сферы и выработ ке соответствующих национальных

политик.

Целями использования соответствующих международных доку ментов

являются:

1) представление отечественным разработчикам ИТ документов,

средств и методов, с помощью которых можно создавать системы, удовлет-

воряющие требованиям гарантированной защищенности;

2) предоставление государственным органам страны правил для при-

емки и оценки защищенности систем, предназначенных для об работки

конфиденциальной и другой ценной информации;

3) обеспечение базы для исследования требований к выбору ап паратных

и программных средств для защищенных систем;

4) приведение отечественных нормативных документов в соответ ствие

с международными документами, если это не противоречит интересам на-

циональной безопасности России.

Среди всех международных нормативных актов в области инфор-

мационной безопасности в нашей стране чаще всего применяются

организационно-технические документы, в частности, стандарты. Часть из

них даже принята в качестве национальных стандартов в сфере защиты ин-

формации.

Отечественную федеральную и ведомственную нормативную базу по

защите информации по своему назначению и содержанию можно разде-

лить на три группы:

1) документы, определяющие концептуальную основу защиты ин-

формации в Российской Федерации;

2) пакет федеральных законов, определяющих систему защиты инфор-

мации в России;

3) вспомогательные нормативные акты в виде указов Президента РФ,

постановлений Правительства РФ, межведомственных и ведом ственных

руководящих документов и стандартов, регулирующих про цесс и механиз-

мы исполнения положений и требований к системе обеспечения информа-

ционной безопасности государства.

2.1. Концептуальные правовые документы

в области защиты информации

К основным нормативным документам, определяющим концепту-

альные основы обеспечения информационной безопасности в Рос сии, от-

носятся:

Конституция Российской Федерации 1993 г.;1)

Концепция национальной безопасности РФ, утвержденная Ука зом 2)

Президента Российской Федерации от 10 января 2000 г. № 24 (предыду-

щая редакция Концепции была утверждена Указом от 17 де кабря 1997 г.

№ 1300);

Доктрина информационной безопасности Российской Федера ции, 3)

утвержденная Президентом Российской Федерации 9 сентября 2000 г.

№ РП-18Э5г.;

Концепция использования информационных технологий в дея-4)

тельности федеральных органов государственной власти до 2010 г., одо-

бренная Распоряжением Правительства Российской Федерации от 27 сен-

тября 2004 г. № 244-р.

Конституция Российской Федерации определяет базовые прин ципы от-

ношений в информационной сфере. Этого вопроса касаются, в частности,

следующие статьи:

Статья 15: Любые нормативные правовые акты, затрагивающие права,

свободы и обязанности человека и гражданина, не могут применяться, если

они не опубликованы официально для всеобще го сведения.

Статья 23: Каждый имеет право на тайну переписки, телефон ных пере-

говоров, оптовых, телеграфных и иных сообщений. Ограничение этого пра-

ва осуществляется только на основании судебно го решения.

Статья 24: Сбор, хранение, использование и распространение ин-

формации о частной жизни лица без его согласия не допускается. Органы

государственной власти и органы местного самоуправления, их должност-

ные лица обязаны обеспечить каждому возможность озна комления с до-

кументами и материалами, непосредственно затраги вающими его права и

свободы, если иное не предусмотрено законом.

Статья 29: Каждый имеет право свободно искать, получать, пере давать,

производить и распространять информацию любым законным способом.

Гарантируется свобода массовой информации. Цензура запрещается.

Статья 44: Интеллектуальная собственность охраняется законом.

Концепция национальной безопасности Российской Федерации — по-

литический документ, отражающий совокупность официально при нятых

взглядов на цели и государственную стратегию в области обес печения

безопасности личности, общества и государства от внешних и внутренних

угроз политического, экономического, социального, воен ного, техногенно-

го, экологического, информационного и иного харак тера с учетом имею-

щихся ресурсов и возможностей.

В Концепции сформулированы важнейшие направления и прин ципы

государственной политики. Концепция является основой для разработки

конкретных программ и организационных документов в области обеспече-

ния национальной безопасности Российской Фе дерации.

Данный документ определяет, что национальные интересы Рос сии в

информационной сфере обусловливают необходимость сосре доточения

усилий общества и государства на решении таких задач, как соблюдение

конституционных прав и свобод граждан в области получения информации

и обмена ею, защита национальных духов ных ценностей, пропаганда наци-

онального культурного наследия, норм морали и общественной нравствен-

ности, обеспечение права граждан на получение достоверной информации,

развитие современных теле коммуникационных технологий. В то же время

объявляется недопу стимым использование информации для манипулиро-

вания массовым сознанием. Декларируется необходимость защиты госу-

дарственного информационного ресурса от утечки важной политической,

экономи ческой, научно-технической и военной информации.

В качестве важнейших задач обеспечения национальной безо пасности

Российской Федерации в информационной сфере опре делены:

– установление необходимого баланса между потребностью в свобод-

ном обмене информацией и допустимыми ограничениями ее распростра-

нения;

– совершенствование информационной структуры, ускорение раз витая

новых информационных технологий и их широкое распростра нение, уни-

фикация средств поиска, сбора, хранения, обработки и анализа информации

с учетом вхождения России в глобальную ин формационную структуру;

– разработка соответствующей нормативно-правовой базы и ко-

ординация деятельности федеральных органов государственной вла сти и

других органов, решающих задачи обеспечения информацион ной безопас-

ности;

– развитие отечественной индустрии телекоммуникационных и ин-

формационных средств, их приоритетное по сравнению с зарубежны ми

аналогами распространение на внутреннем рынке;

– защита государственного информационного ресурса, прежде всего в

федеральных органах государственной власти и на пред приятиях оборон-

ного комплекса.

В России выделяются, кроме Межведомственной комиссии по защите

государственной тайны, следующие три основных источника законода-

тельных и нормативно-технических актов в области инфор мационной без-

опасности и защиты информации на федеральном уровне: Федеральное со-

брание РФ, Гостехкомиссия при Президенте РФ (Гостехкомиссия России —

ФСТЭК), ФСБ.

Орган государственной власти, ответственный за регулирова ние отно-

шений в сфере ИБ в ее техническом аспекте, существо вал со времен СССР.

Таким органом была Государственная техни ческая комиссия (Гостехкомис-

сия), созданная в декабре 1973 г. Перед ней были поставлены задачи орга-

низации и проведения в стране мероприятий, направленных на защиту от

технических раз ведок иностранных государств сведений, составляющих

государ ственную и служебную тайну. Структурно Гостехкомиссия входила в

состав Министерства обороны СССР. В 1974 г. были созданы ее центральный

аппарат (управления и инспекция) и зональные ин спекции комплексного

технического контроля. Гостехкомиссия была правомочна определять кон-

кретные направления работ по проти водействию техническим разведками,

разрабатывать основопола гающие руководящие документы, ГОСТы и др.

В мае 1991 г. в соответствии с Указом Президента СССР Гостех комиссия

стала называться «Государственная техническая комиссия СССР по защите

информации». В 1992 г. на ее базе была создана Государственная техниче-

ская комиссия при Президенте Российской Федерации с сохранением всех

предыдущих функций. Таким обра зом, данное ведомство теперь стало на-

прямую подчиняться Прези денту России.

При реорганизации органов исполнительной власти в марте 2004 г.

Гостехкомиссия России была преобразована в Федеральную службу по тех-

ническому и экспортному контролю (ФСТЭК) и вновь вошла в состав Ми-

нистерства обороны. Указом Президента от 16 августа 2004 г № 1085 было

утверждено Положение о ФСТЭК России.

ФСТЭК России является федеральным органом исполнительной вла-

сти, уполномоченным в области противодействия техническим раз ведкам

и технической защиты информации (некриптографическими методами), а

также специально уполномоченным органом в области экспортного кон-

троля. ФСТЭК России организует деятельность госу дарственной системы

противодействия техническим разведкам и тех нической защиты информа-

ции и руководит ею.

В целом обобщенная информация о деятельности ФСТЭК Рос сии, ее

нормативных документах, сертифицированных и аттестован ных продук-

тах информационных технологий, испытательных лабора ториях и др. пред-

ставлена на официальном сайте http://www.fstec.ru.

Основной формой нормотворчества Гостехкомиссии и ФСТЭК Рос сии яв-

ляется выпуск руководящих документов, а также положений и инструкций,

регулирующих все основные аспекты деятельности, свя занные с техниче-

ской защитой информации. Они являются обяза тельными для исполнения

органами государственной власти, а также предприятиями и организация-

ми, обрабатывающими информацию ог раниченного доступа.

Государственная техническая комиссия при президенте РФ (ГТК/

ФСТЭК)

Задачи:

– осуществление государственной, научной и технической поли тики в

области защиты информации при разработке, производстве, эксплуатации

и утилизации информационных систем и устройств, свя занных с защитой

информации;

– предотвращение утечки информации по техническим каналам;

– предотвращение несанкционированного доступа к информации;

– предотвращение специального воздействия на информацию с целью

ее уничтожения;

– осуществление межотраслевой координации и функциональное регу-

лирование деятельности по обеспечению технической защиты информа-

ции;

– контроль за деятельностью по технике защиты информации в орга-

нах государственной и исполнительной власти, государственных субъек-

тов местного самоуправления, на предприятиях и учреждени ях, связанных

с государственной деятельностью;

– осуществление лицензирования разработки производства, реа-

лизации и эксплуатации технических средств защиты информации.

Обязанностью комиссии является организация технического обес-

печения деятельности межведомственной комиссии по защите госу-

дарственной тайны.

Гостехкомиссия России имеет центральный орган и органы по феде-

ральным округам страны.

С принятием в России аутентичного международному стандарту ISO/

IEC 150408-99 в сфере ИБ «Общие критерии безопасности ИТ» российского

стандарта ГОСТ Р ИСО/МЭК 15048-2002 «ИТ. Методы и средства обеспече-

ния безопасности. Критерии оценки безопасности информационных техно-

логий» Гостехкомиссия России выпустила со ответствующий набор руково-

дящих документов, и, таким образом, всю совокупность ныне действующих

нормативных актов Гостехко миссии — ФСТЭК России — можно разделить

на несколько групп.

I. Концептуальные документы (1992).

1. РД. Концепция защиты средств вычислительной техники и АС от не-

санкционированного доступа к информации.

2. РД. Защита от несанкционированного доступа к информации. Терми-

ны и определения.

II. Документы, описывающие требования по защите информа ции, предъ-

являемые к средствам ее обработки (1992).

1. РД. Средства вычислительной техники. Защита от несанкцио-

нированного доступа к информации. Показатели защищенности от несанк-

ционированного доступа к информации.

2. РД. Автоматизированные системы. Защита от несанкциониро ванного

доступа к информации. Классификация АС и требования по защите инфор-

мации.

3. РД. Средства вычислительной техники. Межсетевые экраны. Защита

от несанкционированного доступа. Показатели защищеннос ти от несанк-

ционированного доступа к информации.

4. РД. Средства защиты информации. Специальные и общие тех нические

требования, предъявляемые к сетевым помехоподавляющим фильтрам.

5. РД. Защита от несанкционированного доступа к информации. Про-

граммное обеспечение средств защиты информации. Классифика ция по

уровню контроля отсутствия недекларированных возможностей.

III. Документы, определяющие порядок разработки, серти фикации и ат-

тестации средств защиты информации, конкре тизирующие соответству-

ющие постановления Правительства (19921997).

1. РД. Временное положение по организации разработки, изготов ления

и эксплуатации программных и технических средств защиты информации

от несанкционированного доступа в АС и средствах вы числительной тех-

ники.

2. РД. Защита информации. Специальные защитные знаки. Клас-

сификация и общие требования.

3. Положение о государственном лицензировании деятельности в об-

ласти защиты информации.

4. Положение о сертификации средств защиты информации по требова-

ниям безопасности информации.

5. Положение по аттестации объектов информатизации по требо ваниям

безопасности информации.

6. Положение об аккредитации испытательных лабораторий и ор ганов

по сертификации средств защиты информации по требованиям безопасно-

сти информации.

7. Типовое положение об органе по сертификации средств защи ты ин-

формации по требованиям безопасности информации.

8. Типовое положение об органе по аттестации объектов информа-

тизации по требованиям безопасности информации.

9. Типовое положение об испытательной лаборатории.

IV. Документы, выпущенные в связи с принятием стандарта ГОСТ Р

ИСО/№ 154082002 «Критерии оценки безопасности инфор мационных тех-

нологий» — (Общие критерии оценки безопасности информационных техно-

логий).

1. РД. Безопасность информационных технологий. Критерии оцен ки

безопасности информационных технологий.

2. РД. Безопасность информационных технологий. Положение по разра-

ботке профилей защиты и заданий по безопасности.

3. РД. Безопасность информационных технологий. Руководство по реги-

страции профилей защиты.

4. РД. Безопасность информационных технологий. Руководство по фор-

мированию семейств профилей защиты.

5. Руководство по разработке профилей защиты и заданий по безопас-

ности.

На законодательном уровне обеспечения информационной безо-

пасности обычно различаются две группы мер:

– меры, направленные на создание и поддержание в обществе негатив-

ного (в том числе карательного) отношения к нарушениям и нарушителям

информационной безопасности;

– направляющие и координирующие меры, способствующие по вышению

образованности общества в области информационной безо пасности, помо-

гающие в разработке и распространении средств обес печения информаци-

онной безопасности.

К первой группе следует отнести в первую очередь главу 28 («Престу-

пления в сфере компьютерной информации») раздела IX новой редакции

Уголовного кодекса. Эта глава достаточно полно охватыва ет основные

угрозы информационным системам, однако обеспечение практической реа-

лизуемости соответствующих статей пока остается проблематичным.

В статьях этой главы 28 (статья 272 «Неправомерный доступ к компью-

терной информации», статья 273 «Создание, использование и распростра-

нение вредоносных программ для ЭВМ», статья 274 «На рушение правил

эксплуатации ЭВМ, системы ЭВМ или их сети») предусматриваются различ-

ные меры наказания за преступления в сфере компьютерной информации.

Главное, чего не хватает современному российскому законода-

тельству,— это позитивной (не карательной) направленности. ИБ — новая

область деятельности, здесь важно научить, разъяснить, по мочь, а не запре-

тить и наказать. Общество должно осознать важ ность данной проблемати-

ки, понять основные пути решения соответ ствующих задач, должны быть

скоординированы научные, учебные и производственные планы.

Ко второй группе относятся «Доктрина информационной безопас ности

РФ», федеральные законы РФ, руководящие документы Гос техкомиссии

России — ФСТЭК, нормативно-правовые документы в области ИБ и защиты

информации ФСБ и других министерств и ведомств России.

2.2. Основные федеральные

законодательные документы в сфере ИБ

Основополагающим документом этой группы является «Доктри на ин-

формационной безопасности РФ», утвержденная Президентом РФ в 2000 г.

Доктрина включает четыре основных раздела: информационная без-

опасность Российской Федерации, методы обеспечения информационной

безопасности РФ, основные положения государственной по литики обеспе-

чения информационной безопасности РФ и первооче редные мероприятия

по ее реализации, организационная основа си стемы обеспечения информа-

ционной безопасности РФ.

В первом разделе излагаются следующие вопросы: нацио нальные инте-

ресы РФ в информационной сфере и их обеспечение, виды и источники угроз

информационной безопасности РФ, состоя ние информационной безопасно-

сти РФ и основные задачи по ее обеспечению.

Выделяются четыре основные составляющие национальных ин тересов

РФ в информационной сфере: соблюдение конституционных прав и свобод

человека и гражданина в области получения информа ции и пользования ею;

информационное обеспечение государствен ной политики РФ, связанное с

доведением до российской и между народной общественности достоверной

информации о государственной политике РФ; развитие современных ин-

формационных технологий, отечественной индустрии информации; защи-

та информационных ре сурсов от несанкционированного доступа, обеспече-

ние безопасности информационных и телекоммуникационных систем.

Во втором разделе детально рассматриваются: общие методы обе-

спечения информационной безопасности РФ, включающие правовые,

организационнотехнические и экономические; особен ности обеспечения ин-

формационной безопасности РФ в раз личных сферах общественной жизни, в

том числе в экономике, в сферах внутренней и внешней политики, в области

науки и техники, в сфере духовной жизни, в общегосударственных инфор

мационных и телекоммуникационных системах, в сфере обороны, в правоо-

хранительной и судебной сферах, в условиях чрезвычай ных ситуаций — с вы-

делением основных мероприятий по обеспе чению информационной безопас-

ности в указанных сферах деятель ности; международное сотрудничество

РФ в области обеспече ния информационной безопасности — с изложением

основных направлений этого сотрудничества.

Далее в Доктрине излагаются основные принципы государствен ной по-

литики обеспечения информационной безопасности РФ:

– соблюдение Конституции РФ и законодательства РФ, норм меж-

дународного права при осуществлении деятельности по обеспече нию ин-

формационной безопасности РФ;

– открытость в реализации функций федеральных органов госу-

дарственной власти, органов государственной власти субъектов РФ и обще-

ственных объединений;

– правовое равенство всех участников процесса информацион ного вза-

имодействия вне зависимости от их политического, соци ального и эконо-

мического статуса, основывающееся на конституци онном праве граждан на

свободный поиск, получение, передачу, производство и распространение

информации любым законным способом;

– приоритетное развитие современных отечественных информа-

ционных и телекоммуникационных технологий, производство техни ческих

и программных средств, их подключение к глобальным ин формационным

сетям в целях соблюдения жизненно важных интересов РФ;

– открытость в реализации функций федеральных органов госу-

дарственной власти, органов государственной власти субъектов РФ и обще-

ственных объединений;

– правовое равенство всех участников процесса информаци онного вза-

имодействия вне зависимости от их политического, со циального и эконо-

мического статуса, основывающееся на кон ституционном праве граждан на

свободный поиск, получение, передачу, производство и распространение

информации любым законным способом;

– приоритетное развитие современных отечественных информа-

ционных и телекоммуникационных технологий, производство техни ческих

и программных средств, их подключение к глобальным ин формационным

сетям в целях соблюдения жизненно важных интересов РФ.

Рассматриваются первоочередные мероприятия по реализации госу-

дарственной политики обеспечения информационной безопасно сти РФ,

включающие следующее: разработку и внедрение механизмов реализации

правовых норм, регулирующих отношения в информационной сфере; при-

нятие и реализацию федеральных программ, предусматривающих форми-

рование общедоступных ар хивов информационных ресурсов федеральных

органов государствен ной власти и органов государственной власти субъек-

тов РФ, повы шение правовой культуры и компьютерной грамотности граж-

дан, развитие инфраструктуры единого информационного пространства

Рос сии, комплексное противодействие угрозам информационной войны,

пресечение компьютерной преступности, обеспечение технологичес кой не-

зависимости страны в области создания и эксплуатации инфор мационно-

телекоммуникационных систем оборонного назначения; раз витие системы

подготовки кадров, используемых в области обеспечения информационной

безопасности РФ; гармонизацию отечественных стандартов в области ин-

форматизации и обеспе чения информационной безопасности автоматизи-

рованных систем уп равления, информационных и телекоммуникационных

систем общего и специального назначения.

К основным федеральным законам России в сфере ИБ относятся сле-

дующие: «Об информации, информационных технологиях и о за щите ин-

формации», «О государственной тайне», «О коммерческой тайне», «О пер-

сональных данных», «О лицензировании отдельных видов деятельности»

и четыре закона, касающихся охраны интеллек туальной деятельности: «Об

авторском праве и смежных правах», «Патентный закон РФ», «О правовой

охране программ для электрон ных вычислительных машин и баз данных»

и «О правовой охране топологий интегральных микросхем».

В законе «Об информации, информационных технологиях и о защите

информации» рассматриваются основные понятия: инфор мация; конфи-

денциальность информации; информационные систе мы; информационные

технологии; защита информации и др. При этом основное внимание уде-

ляется базовым разделам ФЗ — защи та информации и ответственность

за правонарушения в сфере ин формации, информационных технологий и

защиты информации: рас сматриваются обязанности обладателя информа-

ции и оператора информационной системы и указывается, что нарушение

требова ний настоящего Федерального закона влечет за собой дисципли-

нарную, гражданско-правовую, административную или уголовную ответ-

ственность в соответствии с законодательством Российской Федерации.

При этом лица, права и законные интересы которых были на рушены в

связи с разглашением информации ограниченного дос тупа или иным не-

правомерным использованием такой информа ции, вправе обратиться в