Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

Гл

Факторы, влияющие

на организацию КСЗИ

3.1.

Влияние формы собственности

на особенности защиты информации

ограниченного доступа

Важным фактором, влияющим на организацию КСЗИ, являет-

ся форма собственности предприятия. В Российской Федерации

формы собственности установлены Конституцией Российской

Федерации, Гражданским кодексом Российской Федерации, а так-

же следующими федеральными законами: «О потребительской

кооперации в Российской Федерации» от 19 июня 1992 г.; «Об

общественных объединениях» от

мая

1995

г. № 82-ФЗ; «О благо-

творительной деятельности и благотворительных организациях»

от 11 августа 1995 г. №

135-ФЗ;

«О профессиональных союзах, их

правах и гарантиях деятельности» от 12 января 1996 г. №

10-ФЗ;

«О внесении изменений и дополнений в Закон Российской Федера-

ции «О потребительской кооперации в Российской Федерации»

от

июля 1997 г. № 97-ФЗ; «О свободе совести и о религиозных

объединениях» от 26 сентября 1997 г. №

125-ФЗ;

«О внесении

изменений и дополнений в Федеральный закон «Об общественных

объединениях»» от 19 июля 1998 г. № 112-ФЗ; «Об иностранных

инвестициях в Российской Федерации» от 9 июля 1999 г. № 160.

Под формой собственности понимаются законодательно уре-

гулированные имущественные отношения, характеризующие за-

крепление имущества за определенным собственником на праве

собственности*.

Собственниками имущества могут быть граждане и юридиче-

ские лица, а также Российская Федерация, субъекты Российской

Федерации — республики, края, области, города федерального

значения, автономная область, автономные округа, городские и

сельские поселения и другие муниципальные образования.

В Российской Федерации признаются частная, государствен-

ная, муниципальная и иные формы собственности.

* Постановление Госстандарта России от 30 марта 1999 г. № 97 «О принятии

и введении в действие общероссийских классификаторов».

Общероссийским классификатором форм собственности ОК

027-99*

рассматриваются следующие виды собственности:

Российская собственность: государственная (код по класси-

фикатору —

11),

федеральная (12), субъектов Российской Федера-

ции (13), муниципальная (14), частная (16), российских граждан,

постоянно проживающих за границей (18), потребительской коо-

перации (19), общественных и религиозных организаций (15),

благотворительных организаций (50), политических обществен-

ных объединений

(51),

профессиональных союзов (52), обществен-

ных объединений (53), религиозных объединений (54), смешан-

ная (17).

Иностранная собственность: международных организаций

(21), иностранных государств (22), иностранных юридических

лиц (23), иностранных граждан и лиц без гражданства (24), сме-

шанная (27).

Совместная российская и иностранная собственность: со-

вместная федеральная и иностранная собственность

(31),

совмест-

ная собственность субъектов Российской Федерации и иност-

ранная (32), муниципальная и иностранная (33), совместная ча-

стная и иностранная (34), совместная собственность обществен-

ных и религиозных организаций и объединений и иностранная

(35).

Смешанная российская собственность с долей государствен-

ной собственности: смешанная российская с долей федеральной

(41), смешанная российская собственность с долей собственности

субъектов (42), российская собственность с долями федеральной

собственности и собственности субъектов (43), иная смешанная

российская собственность (49).

Форма собственности предприятия в значительной степени

определяет виды информации ограниченного доступа, которые

могут использоваться предприятием в его деятельности, особен-

ности защиты такой информации, устанавливаемые федеральны-

ми органами государственной власти, если предприятие им под-

ведомственно, а также виды информации, которая должна быть

доступна, например акционерам, инвесторам и т. п.

Особенности формы собственности предприятия могут исклю-

чить возможность использования им в своей деятельности сведе-

ний, составляющих государственную тайну.

Так, законодательством в сфере защиты государственной тай-

ны предусмотрена возможность получения лицензии на прове-

дение работ, связанных с использованием сведений, составляю-

щих государственную тайну, только организациями Российской

Федерации.

* Постановление Госстандарта России от 30 марта 1999 г. № 97 «О принятии

и введении в действие общероссийских классификаторов».

Очевидно,

что

предприятия

формой собственности

п.

—

24,

классификатора

ОК

027-99 к

проведению таких работ

не

допускаются,

предприятия смешанной российской

иност-

ранной собственности могут быть допущены

при

соблюдении

установленных законодательством ограничений. Предприятия

пе-

речисленных форм собственности также ограничиваются

воз-

можности проведения работ

закрытых административно-тер-

риториальных образованиях

отраслях промышленности, име-

ющих

для

государства стратегическое значение

(что

связано,

том числе,

и с

защитой государственной тайны).

Одной

из

особенностей использования информационных

ре-

сурсов, содержащих государственную тайну, является

то, что в

соответствии

со ст. 10

Закона Российской Федерации

«О

госу-

дарственной тайне»

[20]

права собственника информации могут

быть ограничены, если информация содержит сведения, состав-

ляющие государственную тайну. Распоряжаться такой информа-

цией собственник может только

санкции органа государствен-

ной власти,

компетенции которого находится

ее

засекречива-

ние.

В Российской Федерации

не

исключается возможность пере-

дачи сведений, составляющих государственную тайну, иностран-

ным представителям

(в т.ч. и

иностранным организациям),

так-

же международным организациям

при

наличии

иностранным

государством (международной организацией) договора

взаим-

ной защите секретной информации*.

Тем

же

законом определено,

что не

может быть ограничено

право собственности

на

информацию иностранных организаций

и иностранных граждан, если

эта

информация получена (разра-

ботана)

ими без

нарушения законодательства Российской Феде-

рации.

Анализ нормативных документов иностранных государств

по-

казывает,

что за

рубежом также принимаются ограничительные

меры

отношении допуска

классифицированной информации

иностранных предприятий

или

предприятий

долей иностран-

ной собственности.

Так,

в США

инструкцией

по

обеспечению секретности

воен-

ной промышленности предписано:

• подрядчиком секретного заказа

не

может быть предприятие,

расположенное

за

пределами территорий, находящихся

под

юрис-

дикцией

США;

• доля иностранной собственности

предприятии

не

должна

позволять иностранным подданным оказывать неблагоприятное

влияние

на

политику

практику деятельности предприятия;

Ст. 18

Закона

«О

государственной тайне»

постановление Правительства

РФ

от 02.08.1997 г. № 973.

•

иностранные подданные, являющиеся персоналом предприя-

тия, не должны допускаться к классифицированной (секретной)

информации;

• иностранные подданные не должны занимать на предприятии

постов (должностей), позволяющих им оказывать неблагоприятное

влияние на политику и практику деятельности предприятия.

3.2.

Влияние организационно-правовой формы

предприятия на особенности защиты

информации ограниченного доступа

Общероссийским классификатором организационно-правовых

форм

ОК

028

—

99* рассматриваются организационно-правовые

формы хозяйствующих субъектов, предусмотренные законодатель-

ством Российской Федерации (табл. 3.1, 3.2, 3.3).

Организационно-правовая форма предприятия может опреде-

лять:

• виды информации ограниченного доступа, допуск предприя-

тия к которым может быть ограничен;

• виды информации, которую предприятие обязано представ-

лять его участникам (например, акционерам).

Одной из основных особенностей в данной сфере является то,

что организации, не являющиеся юридическими лицами, не мо-

гут получить лицензию на проведение работ, связанных с исполь-

зованием сведений, составляющих государственную тайну. Это

связано, в первую очередь, с требованиями, изложенными в Поста-

новлении Правительства Российской Федерации 1995 г. № 333**,

в соответствии с которым для получения лицензии необходимо

представить документ, подтверждающий, что предприятие вклю-

чено в Единый государственный реестр юридических лиц.

Следующая особенность заключается в том, что органы госу-

дарственной власти, субъекты Российской Федерации, органы

местного самоуправления и их территориальные (структурные)

подразделения осуществляют такую деятельность без получения

лицензии. Эта особенность составляет одну из неурегулирован-

ных законодательством сторон такой деятельности, так как ст. 27

Закона РФ «О государственной тайне» [20] и упомянутым поста-

новлением установлено, что порядок допуска организаций к ра-

ботам, связанным с использованием сведений, составляющих го-

сударственную тайну, не зависит от их формы собственности,

организационно-правовой формы и т. п.

* Постановление Госстандарта России от 30 марта 1999 г. № 97 «О принятии

и введении в действие общероссийских классификаторов».

** Собрание законодательства РФ от

24.04.1995

г. № 17. — Ст. 1540.

Таблица 3.1. Юридические лица, являющиеся коммерческими

организациями

Организационно-правовая форма

Хозяйственные товарищества и общества

Полные товарищества

Товарищества на вере

Общества с ограниченной ответственностью

Общества с дополнительной ответственностью

Акционерные общества

Открытые акционерные общества

Закрытые акционерные общества

Производственные кооперативы

Крестьянские (фермерские) хозяйства

Унитарные предприятия

Унитарные предприятия (на праве хозяйственного ведения)

Унитарные предприятия (на праве оперативного управления)

Дочерние унитарные предприятия

Код

Таблица 3.2. Юридические лица, являющиеся некоммерческими

организациями

Организационно-правовая форма

Потребительские кооперативы

Общественные и религиозные организации (объединения)

Общественные движения

Фонды

Учреждения

Государственные корпорации

Органы общественной самодеятельности

Некоммерческие партнерства

Автономные некоммерческие организации

Объединения юридических лиц (ассоциации и союзы)

Ассоциации крестьянских (фермерских) хозяйств

Территориальные общественные самоуправления

Товарищества собственников жилья

Садоводческие, огороднические, дачные товарищества

Прочие некоммерческие организации

Код

Таблица 3.3. Организации без прав юридического лица

Организационно-правовая

форма

Финансово-промышленные группы

Паевые инвестиционные фонды

Простые товарищества

Представительства и филиалы

Индивидуальные предприниматели

Иные неюридические лица

Код

3.3.

Характер основной деятельности

предприятия

Одним из основных факторов, определяющих состав исполь-

зуемой предприятием информации ограниченного доступа и сте-

пень ее конфиденциальности является характер его основной дея-

тельности.

По виду деятельности предприятия могут быть классифициро-

ваны следующим образом: производственные предприятия; пред-

приятия, оказывающие услуги; торговые предприятия; добываю-

щие предприятия; перерабатывающие предприятия; транспорт-

ные предприятия; предприятия, осуществляющие разные виды

деятельности, и т.д.

КСЗИ предприятий, осуществляющих различные виды деятель-

ности, отличаются специфическими особенностями, связанными

с организацией и проведением организационных, правовых и тех-

нических мероприятий ЗИ.

Так, например, если предприятие осуществляет свою деятель-

ность в области производства продукции военного назначения или

в атомной энергетике, то в большинстве случаев такая деятель-

ность связана с допуском к проведению работ со сведениями, со-

ставляющими государственную тайну. Вместе с тем большинство

предприятий, производящих продовольственные товары, перера-

батывающих сельхозпродукцию, с такими сведениями могут быть

связаны только при наличии у них мобилизационного задания.

В условиях возрастающей конкуренции, в том числе недобро-

совестной, необходимость отнесения к коммерческой тайне лю-

бого из предприятий информации, «позволяющей ее обладателю

при существующих или возможных обстоятельствах увеличить

доходы, избежать неоправданных расходов, сохранить положение

на рынке товаров, работ, услуг или получить иную коммерческую

выгоду», является одним из основных условий успешного суще-

ствования и развития предприятия. По этой причине указанный

3 Грибунин

вид информации ограниченного доступа безусловно существует

на каждом предприятии.

Персональные данные как вид информации ограниченного

доступа также присутствуют на любом предприятии, и соответ-

ственно требуется принятие мер по их защите.

Служебная информация ограниченного распространения (с

пометкой «Для служебного пользования») может быть получена

предприятием в процессе его взаимодействия с федеральными

органами исполнительной власти. Как правило, такие предприя-

тия проводят работы по выполнению заказов на поставки това-

ров, выполнение работ, оказание услуг для государственных и

муниципальных нужд.

Рассматривая влияние характера основной деятельности пред-

приятий на построение КСЗИ, нельзя обойти стороной их клас-

сификацию по типу производственной кооперации:

• замкнутые (производят конечный продукт без участия сто-

ронних предприятий); КСЗИ таких предприятий не требует за-

щищенных каналов связи для взаимодействия с контрагентами,

решения вопросов ЗИ в договорных документах с контрагента-

ми;

• соисполнители (производят и поставляют предприятиям-ис-

полнителям составную часть конечного продукта); КСЗИ таких

предприятий требует оснащения средствами защиты информации,

передаваемой контрагентам по каналам связи, наличия в дого-

ворных документах обязательств по ее охране, других вопросов,

связанных с передачей защищаемой информации;

• исполнители (производят конечный продукт в кооперации с

предприятиями-соисполнителями); КСЗИ таких предприятий тре-

бует оснащения средствами защиты информации, передаваемой

контрагентам по каналам связи, исполнения договорных обяза-

тельств по ее охране, юридической защиты информации с огра-

ниченным доступом, содержащейся в реализуемой продукции,

решения других вопросов, связанных с передачей защищаемой

информации.

Одной из особенностей деятельности предприятия, влияющей

на организацию и функционирование КСЗИ, является проведе-

ние предприятием работ в областях, имеющих отношение к безопас-

ности государства. На таких предприятиях государство устанав-

ливает ряд ограничений, связанных в первую очередь с защитой

информации. Примером ограничений может служить постановле-

ние Правительства Российской Федерации от

октября

2002

г.

№ 755*, которым утвержден Перечень объектов и организаций, в

которые иностранные граждане не имеют права быть принятыми

на работу. В него включены объекты и организации, осуществля-

* Собрание законодательства РФ от

14.10.2002

г. № 41. — Ст.

3996.

ющие работы, связанные с использованием информации ограни-

ченного доступа:

1) объекты и организации Вооруженных Сил Российской Фе-

дерации, других войск и воинских формирований;

2) структурные подразделения по защите государственной тай-

ны и подразделения, осуществляющие работы, связанные с ис-

пользованием сведений, составляющих государственную тайну,

органов государственной власти и организаций;

3) организации, в состав которых входят радиационно-опас-

ные и ядерно-опасные производства и объекты, на которых осу-

ществляются разработка, производство, эксплуатация, хранение,

транспортировка и утилизация ядерного оружия, радиационно-

опасных материалов и изделий.

3.4.

Состав, объекты и степень

конфиденциальности защищаемой

информации

В зависимости от состава защищаемой информации (опреде-

ление которого мы рассмотрим в следующей главе) системы ЗИ

предприятия должна решать различные по своей сложности и сте-

пени ответственности задачи. Состав используемой предприяти-

ем информации определяет особенности деятельности:

1) при осуществлении права на поиск, получение, передачу,

производство и распространение информации;

2) применении информационных технологий;

3) обеспечении защиты информации.

Общие права и обязанности предприятия в этих трех широких

областях деятельности определяются Федеральным законом от

27 июля

2006

г. № 149-ФЗ «Об информации, информационных

технологиях и о защите информации» [45], которым определено,

что право на доступ к информации может быть ограничено феде-

ральными законами.

Назовем основные особенности ЗИ в зависимости от состава

защищаемой информации (по видам).

Государственная тайна:

• перечень сведений, составляющих государственную тайну,

определяется федеральным законом;

•

перечень сведений, отнесенных к государственной тайне, опре-

деляется Указом Президента Российской Федерации;

• перечни сведений, подлежащих засекречиванию, определя-

ются федеральными органами исполнительной власти;

• меры защиты определяются Правительством Российской Фе-

дерации;

• контроль осуществляется федеральными органами, уполно-

моченными в области безопасности, обороны, внешней разведки,

технической защиты информации и ПД TCP;

• допуск предприятия к работам — лицензируемый вид дея-

тельности;

•

допуск персонала — по согласованию с органами безопасности;

• применяемые средства защиты подлежат сертификации;

• передача сведений контрагентам — с разрешения федераль-

ного органа, в распоряжении которого они находятся;

• передача сведений другим государствам — по решению Пра-

вительства Российской Федерации;

• уголовная ответственность за разглашение сведений (утрату

их носителей).

Служебная тайна [31]:

• состав подлежащих защите сведений определяется организа-

цией;

•

общие меры защиты определены Правительством Российской

Федерации, остальные — руководителями федеральных органов

исполнительной власти;

• контроль осуществляется руководителями организаций (для

подведомственных — руководителями федеральных органов ис-

полнительной власти);

• передача в другие организации — по решению должностных

лиц, отнесших информацию к служебной тайне;

•

ответственность за разглашение дисциплинарная, админист-

ративная.

Коммерческая тайна [46]:

•

перечень сведений, составляющих коммерческую тайну, опре-

деляется обладателем;

• меры защиты определяются обладателем;

• контроль за использованием осуществляется обладателем в

рамках гражданско-правовых отношений;

• передача другим организациям — в рамках гражданско-пра-

вовых отношений;

• ответственность — в основном гражданско-правовая, хотя

предусмотрена и уголовная.

Персональные данные:

• перечень определяется федеральным законом [47];

•

меры защиты определяются Правительством Российской Фе-

дерации;

• контроль осуществляется федеральными органами, уполно-

моченными в области безопасности и в области технической за-

щиты информации и ПД TCP;

• ответственность административная.

Степень конфиденциальности информации как понятие, ха-

рактеризующее величину ущерба, который может наступить в ре-

зультате разглашения информации, в законодательном порядке

применяется к сведениям, составляющим государственную тайну.

Так, в соответствии со ст. 8 Закона Российской Федерации

«О государственной тайне» [20] устанавливаются три степени сек-

ретности сведений, составляющих государственную тайну, и со-

ответствующие этим степеням грифы секретности для носителей

указанных сведений: «особой важности», «совершенно секретно»

и «секретно».

Применимо понятие степени конфиденциальности и к ин-

формации, отнесенной к коммерческой тайне. Федеральный за-

кон «О коммерческой тайне» определяет, что меры защиты све-

дений, составляющих коммерческую тайну, определяет ее соб-

ственник. Как одну из мер можно рекомендовать при разработке

перечней сведений, составляющих коммерческую тайну предпри-

ятия, структурировать такую информацию исходя из величины

возможного ущерба при ее разглашении. Предлагаемый подход

позволит дифференцировать меры защиты коммерческой тайны

и соответственно повысить эффективность защиты наиболее важ-

ной информации.

3.5.

Структура и территориальное

расположение предприятия

Структура предприятия является важным фактором, влияющим

на построение КСЗИ. Очевидно, что КСЗИ должна охватывать

все структурные подразделения и объекты предприятия, осуще-

ствляющие работы с информацией ограниченного доступа.

Приведем несколько примеров классификации предприятий

исходя из их структуры, которые могут быть использованы при

определении параметров КСЗИ.

По внутренней структуре:

•

однородные (подразделения предприятия изготавливают оди-

наковую продукцию, применяют однотипные технологии, инфор-

мационные потоки не имеют значительных различий); КСЗИ на

таких предприятиях может состоять из типовых блоков, что зна-

чительно упрощает процесс управления, подготовку и взаимоза-

меняемость специалистов ЗИ, уменьшает затраты на проектиро-

вание, обеспечение техническими средствами защиты информа-

ции;

• неоднородные (различных типов, например: первый — ко-

нечная продукция производится последовательно, перемещаясь

от одного подразделения предприятия к другому, до появления

конечного продукта; второй

—

подразделения производят различ-

ные, не связанные между собой технологически и конструктивно