Грибунин В.Г. Комплексная система защиты информации на предприятии

Подождите немного. Документ загружается.

самостоятельные виды продукции; третий — подразделения про-

изводят различные составляющие одной продукции, сборка осу-

ществляется специальным подразделением и др.); организация

КСЗИ на таких предприятиях характеризуется более сложной си-

стемой управления ЗИ, требует учета особенностей информации,

циркулирующей в каждом из подразделений, увеличивает затра-

ты на проектирование, приобретение и эксплуатацию техниче-

ских средств защиты информации.

В плане защиты информации территориальное расположение

предприятий можно классифицировать по условиям функциони-

рования КСЗИ, оценивая их как благоприятные, обычные и осо-

бые.

Существенные факторы, влияющие на оценку:

1) расположение в населенном пункте или вне его, размеры

населенного пункта, степень плотности и высотность окружаю-

щей застройки;

2) наличие вблизи предприятия учреждений, определяющих

особые условия защиты государственной тайны (иностранные

посольства, консульства, миссии, предприятия и т.п.);

3) протяженность периметра, размеры и условия наблюдения

за контролируемой зоной, ее охраны;

4) рельеф земельного участка и окружающих территорий;

5) наличие на территории, вблизи и под ней посторонних ком-

муникаций, линий связи, электропитания и т.п.;

6) наличие и полнота комплекта конструкторской и техноло-

гической документации на здания и коммуникации предприятия;

7) населенность региона, степень урбанизации, качество тру-

довых ресурсов;

8) расположение в зонах (на территориях) с ограниченным

посещением (ЗАТО);

9) удаленность от оживленных транспортных (в т.ч. воздуш-

ных) магистралей;

10) наличие подъездных путей, погрузочно-разгрузочных тер-

миналов, возможность просмотра ведущихся на них работ.

Благоприятными можно считать условия, при которых пере-

численные и другие возможные факторы способствуют выполне-

нию задач КСЗИ. Обычными можно считать условия, при кото-

рых нейтрализация неблагоприятных факторов не требует значи-

тельных материальных и финансовых затрат. Особыми можно счи-

тать условия, при которых нейтрализация неблагоприятных фак-

торов требует значительных материальных и финансовых ресур-

сов, а также наличие обстоятельств, изложенных в п. 2.

Законодательством Российской Федерации также установлен

ряд правил и ограничений, связанных с созданием и функциони-

рованием предприятий, размещенных в закрытых административ-

но-территориальных образованиях (ЗАТО):

• постановление Правительства

РФ от 22 мая 2006 г. № 302

«О создании

деятельности

на

территории закрытого админист-

ративно-территориального образования организаций

иностран-

ными инвестициями»*;

• постановление Правительства

РФ от 5

июля

2001 г. № 508

«Об утверждении перечня закрытых административно-территори-

альных образований

расположенных

на их

территориях насе-

ленных пунктов».**

3.6.

Режим функционирования предприятия

Режим функционирования предприятия подразделяют:

•

по

степени вероятности возникновения угроз безопасности

(в

том

числе, информационной)

—

повседневный,

условиях

уг-

розы,

чрезвычайных условиях;

•

по

регламенту работы

— в

одну смену,

в две

смены, круглосу-

точный;

•

по

технологическому процессу

—

дискретный, непрерывный.

3.7.

Конструктивные особенности предприятия

Конструкция

(от

лат. constructio

—

составление, построение)

—

устройство, взаимное расположение частей, состав какого-либо

строения, механизма.

•

Под

конструкцией предприятия можно понимать: структур-

ные подразделения, форму

степень взаимодействия между ними;

производственные (технологические) здания

коммуникации

между ними; структуру управления, подчиненность

и т.п.

•

По

размещению предприятия можно разделить

на:

компак-

тные (размещены

на

одной территории); территориально рас-

пределенные; размещенные совместно

другими предприятия-

ми (особенности будут рассмотрены

следующем подразделе).

3.8.

Количественные

качественные

показатели ресурсообеспечения

Ресурсообеспеченность предприятия

(т. е.

наличие

использо-

вание финансовых, материальных, информационных, людских

прочих ресурсов) может оказывать значительное влияние

на фор-

* Собрание законодательства

РФ от 29.05.2006 г. № 22. — Ст. 2334.

** Собрание законодательства

РФ от 16.07.2001 г. № 29. — Ст. 3019.

мирование и функционирование КСЗИ предприятия. Рассматри-

вают два основных показателя ресурсообеспеченности — количе-

ственный (характеризующий величину, число, объем) и качествен-

ный (характеризующий совокупность свойств, меру полезности,

отношение количества ресурсов к количеству объектов).

Количественный показатель используемых ресурсов характе-

ризует в первую очередь масштабы производственной деятельно-

сти предприятия и соответственно определяет объем работ, свя-

занных с безопасностью предприятия в целом и ЗИ в частности.

Качественный показатель ресурсообеспеченности предприятия

влияет на формирование и функционирование КСЗИ с точки зре-

ния возможностей по привлечению сил и выбору средств ЗИ.

3.9.

Степень автоматизации основных

процедур обработки защищаемой информации

Степень автоматизации процедур обработки защищаемой ин-

формации как фактор, влияющий на организацию КСЗИ, может

быть охарактеризована следующими уровнями:

1) автоматизация процесса документационного обеспечения

управления (подготовка документов, учет, контроль движения и

исполнения, использование баз данных и электронных архивов и

т.п.) — нижний уровень автоматизации, тем не менее требующий

выполнения как организационных, так и технических мероприя-

тий защиты информации;

2) автоматизация документооборота (электронный документо-

оборот) — этот уровень может быть реализован внутри охраняе-

мой территории предприятия (между подразделениями и испол-

нителями) и с удаленными абонентами; характеризуется необхо-

димостью повышенного внимания защищенности линий (кана-

лов) связи, применения средств криптографической защиты ин-

формации (СКЗИ), использования электронной цифровой под-

писи;

3) использование АСУ производственными процессами

—

тре-

бует повышенного внимания к специальному программному обес-

печению, защите от ошибок персонала.

Степень интеграции вычислительных средств также является

фактором, влияющим на сложность организации КСЗИ. Уровни

сложности (по возрастающей) следующие:

•

использование автономных ПЭВМ (минимальный);

•

наличие локальной сети (средний);

• наличие территориально распределенных локальных сетей,

объединенных средствами связи; наличие подключений к сетям

общего пользования (высокий).

Гл

Определение и нормативное

закрепление состава защищаемой

информации

4.1.

Классификация информации

по видам тайны и степеням

конфиденциальности

Безусловно, весь объем информации, используемой предприя-

тием в его деятельности, необходимо защищать. Вместе с тем оче-

видно, что применение одинаковых мер защиты информации (не-

зависимо от ее вида) не может являться эффективной стратегией.

В настоящей главе рассмотрим только деятельность по защите

информации, связанную с ограничением доступа к ней (обеспе-

чением конфиденциальности информации).

Создание и обеспечение функционирования КСЗИ предприя-

тия предполагает (как минимум) наличие ответов на следующие

вопросы: «Что защищать?»; «От кого (чего) защищать?»; «Какие

силы, средства, методы (и т. п.) необходимо применять?».

Ответ на вопрос «Что защищать?» не только является осново-

полагающим, но и требует первоочередного решения. В связи с

этим важным направлением деятельности в ходе создания (обес-

печения функционирования) КСЗИ на предприятии является опре-

деление состава защищаемой информации.

Защищаемая информация — информация, являющаяся пред-

метом собственности и подлежащая защите в соответствии с тре-

бованиями правовых документов или требованиями, устанавли-

ваемыми собственником информации.

Классификация информации по видам тайны — составная часть

деятельности по защите информации.

В соответствии со ст. 5 Федерального закона от 27 июля

2006

г.

№ 149-ФЗ «Об информации, информационных технологиях

и защите информации» [45] в зависимости от порядка предо-

ставления или распространения информация подразделяется

(рис. 4.1):

1) на информацию, свободно распространяемую;

2) информацию, предоставляемую по соглашению лиц, уча-

ствующих в соответствующих отношениях;

3) информацию, которая в соответствии с федеральными зако-

нами подлежит предоставлению или распространению;

4) информацию, распространение которой в Российской Фе-

дерации ограничивается или запрещается.

Кроме того, законодательством Российской Федерации могут

быть установлены виды информации в зависимости от ее содер-

жания или обладателя.

Из числа видов информации, доступ к которой ограничен фе-

деральными законами (информация ограниченного доступа), в

настоящей главе будут рассмотрены вопросы определения и нор-

мативного закрепления сведений, составляющих государственную

тайну, коммерческую тайну, служебную информацию ограничен-

ного распространения, а также персональных данных.

Государственная тайна — защищаемые государством сведе-

ния в области его военной, внешнеполитической, экономической,

разведывательной, контрразведывательной и оперативно-розыск-

ной деятельности, распространение которых может нанести ущерб

безопасности Российской Федерации (ст. 2 Закона РФ от 21 июля

1993 г. №

5485-1

«О государственной тайне» — [20]).

Коммерческая тайна — конфиденциальная информация, по-

зволяющая ее обладателю при существующих или возможных об-

стоятельствах увеличить доходы, избежать неоправданных расхо-

дов, сохранить положение на рынке товаров, работ, услуг или

получить иную коммерческую выгоду. Информация, составляю-

щая коммерческую тайну, — научно-техническая, технологиче-

ская, производственная, финансово-экономическая или иная ин-

формация (в том числе составляющая секреты производства —

ноу-хау), которая имеет действительную или потенциальную ком-

мерческую ценность в силу неизвестности ее третьим лицам, к

которой нет свободного доступа на законном основании и в отно-

шении которой обладателем такой информации введен режим

коммерческой тайны (ст. 3 Федерального закона от 29 июля

2004

г.

№ 98-ФЗ «О коммерческой тайне» [46]).

Служебная информация ограниченного распространения {слу-

жебная тайна) — служебные сведения, доступ к которым огра-

ничен органами государственной власти в соответствии с Граж-

Свободно

распростра-

ИНФОРМАЦИЯ

Предоставляемая

по соглашению

сторон

Подлежащая

предоставлению

или

распространению

Распространяемая

ограниченно

или запрещаемая

к распространению

Рис. 4.1. Классификация информации в зависимости от порядка

предоставления или распространения

Информационные ресурсы

Открытая информация

Информация

ограниченного доступа

Сведения, составляющие государственную тайну

Персональные

данные

Служебная

Коммерческая

тайна

Профессиональная

тайна

Тайна следствия

и судопроизводства, а также

сведения о защищаемых лицах

Сведения о сущности

изобретения, полезной модели,

промышленного образца

до официального опубликования

Рис. 4.2. Классификация информационных ресурсов

по категориям доступа

данским кодексом Российской Федерации и федеральными зако-

нами (п. 3 Указа Президента Российской Федерации от 6 марта

1997 г. № 188).

Персональные данные — любая информация, относящаяся к

определенному или определяемому на основании такой инфор-

мации физическому лицу (субъекту персональных данных), в том

числе его фамилия, имя, отчество, год, месяц, дата и место рож-

дения, адрес, семейное, социальное, имущественное положение,

образование, профессия, доходы, другая информация (ст. 3 Феде-

рального закона от 27 июля

2006

г. № 152-ФЗ «О персональных

данных» [47]).

Структурная схема классификации информационных ресурсов

по категориям доступа представлена на рис. 4.2.

4.2.

Нормативно-правовые аспекты

определения состава защищаемой

информации

Определение состава защищаемой информации требует, по

крайней мере, решения трех задач.

Задана 1. Определение состава информации, ограничение до-

ступа к которой запрещено законодательством, и соответственно

вычленение ее из состава защищаемой информации.

Задача 2. Определение состава используемой (полученной)

информации, необходимость защиты которой обусловлена при-

чинами, не зависящими от предприятия. Такая информация вклю-

чает:

— государственную тайну;

—

коммерческую тайну контрагентов;

— служебную информацию ограниченного распространения,

полученную от органов государственной власти или других орга-

низаций;

— персональные данные;

—

различные виды профессиональных тайн (врачебную, нота-

риальную, адвокатскую и т.п.);

Задача 3. Определение состава информации, необходимость

защиты которой обусловлена интересами предприятия. Такая ин-

формация включает:

— коммерческую тайну предприятия;

— служебную информацию ограниченного распространения,

обладателем которой является предприятие.

4.2.1.

Решение задачи 1

Решение сводится к вычленению из состава информационных

ресурсов предприятия информации, ограничение доступа к которой

запрещают правовые акты Российской Федерации, а именно:

1. Постановление Правительства РСФСР от 5 декабря 1991 г.

№ 35 «О перечне сведений, которые не могут составлять коммер-

ческую тайну» (в ред. постановления Правительства Российской

Федерации от 3 октября

2002

№ 731):

«1.

Установить, что коммерческую тайну предприятия и пред-

принимателя не могут составлять:

учредительные документы (решение о создании предприятия

или договор учредителей) и Устав;

документы, дающие право заниматься предпринимательской

деятельностью (документы, подтверждающие факт внесения за-

писей о юридических лицах в Единый государственный реестр

юридических лиц, свидетельства о государственной регистрации

индивидуальных предпринимателей, лицензии, патенты);

сведения по установленным формам отчетности о финансово-

хозяйственной деятельности и иные сведения, необходимые для

проверки правильности исчисления и уплаты налогов и других

обязательных платежей в государственную бюджетную систему

РСФСР;

документы о платежеспособности;

сведения о численности, составе работающих, их заработной

плате и условиях труда, а также о наличии свободных рабочих

мест;

документы

об

уплате налогов

обязательных платежах;

сведения

загрязнении окружающей среды, нарушении анти-

монопольного законодательства, несоблюдении безопасных усло-

вий труда, реализации продукции, причиняющей вред здоровью

населения,

также других нарушениях законодательства РСФСР

и размерах причиненного

при

этом ущерба;

сведения об участии должностных лиц предприятия

коопера-

тивах, малых предприятиях, товариществах, акционерных обще-

ствах, объединениях и других организациях, занимающихся пред-

принимательской деятельностью.

2. Запретить государственным

муниципальным предприяти-

ям

до и в

процессе

их

приватизации относить

коммерческой

тайне данные:

о размерах имущества предприятия

и его

денежных средствах;

о вложении средств

доходные активы (ценные бумаги) дру-

гих предприятий,

процентные облигации

займы,

уставные

фонды совместных предприятий;

о кредитных, торговых

иных обязательствах предприятия,

вытекающих

из

законодательства РСФСР

заключенных

им до-

говоров;

о договорах

кооперативами, иными негосударственными пред-

приятиями, творческими

временными трудовыми коллектива-

ми,

также отдельными гражданами».

2. Федеральный закон

от 27

июля

2006 г. №

149-ФЗ

«Об ин-

формации, информационных технологиях

и о

защите информа-

ции»

[45]:

«4. Не

может быть ограничен доступ

к:

нормативным правовым актам, затрагивающим права, сво-

боды

обязанности человека

гражданина,

также устанавлива-

ющим правовое положение организаций

полномочия государ-

ственных органов, органов местного самоуправления;

2) информации

состоянии окружающей среды;

3) информации

деятельности государственных органов

и ор-

ганов местного самоуправления,

также

об

использовании бюд-

жетных средств

(за

исключением сведений, составляющих госу-

дарственную

или

служебную тайну);

4) информации, накапливаемой

открытых фондах библио-

тек, музеев

архивов,

также

государственных, муниципаль-

ных

иных информационных системах, созданных

или

предназ-

наченных для обеспечения граждан (физических лиц)

организа-

ций такой информацией;

5) иной информации, недопустимость ограничения доступа

которой установлена федеральными законами». (Статья

Право

на доступ

информации).

3. Закон Российской Федерации

от 21

июля

1993 г. № 5485-1

«О государственной тайне»:

«Не

подлежат отнесению к государственной тайне и засекре-

чиванию сведения:

о чрезвычайных происшествиях и катастрофах, угрожающих

безопасности и здоровью граждан, и их последствиях, а также о

стихийных бедствиях, их официальных прогнозах и последст-

виях;

о состоянии экологии, здравоохранения, санитарии, демогра-

фии, образования, культуры, сельского хозяйства, а также о со-

стоянии преступности;

о привилегиях, компенсациях и социальных гарантиях, предо-

ставляемых государством гражданам, должностным лицам, пред-

приятиям, учреждениям и организациям;

о фактах нарушения прав и свобод человека и гражданина;

о размерах золотого запаса и государственных валютных резер-

вах Российской Федерации;

о состоянии здоровья высших должностных лиц Российской

Федерации;

о фактах нарушения законности органами государственной

власти и их должностными лицами». (Статья 7. Сведения, не

подлежащие отнесению к государственной тайне и засекречива-

нию.)

4. Федеральный закон Российской Федерации от 29 июля

2004

г.

№ 98-ФЗ «О коммерческой тайне» [46]:

«Режим коммерческой тайны не может быть установлен лица-

ми, осуществляющими предпринимательскую деятельность, в от-

ношении следующих сведений:

1) содержащихся в учредительных документах юридического

лица, документах, подтверждающих факт внесения записей о юри-

дических лицах и об индивидуальных предпринимателях в соот-

ветствующие государственные реестры;

2) содержащихся в документах, дающих право на осуществле-

ние предпринимательской деятельности;

3) о составе имущества государственного или муниципального

унитарного предприятия, государственного учреждения и об ис-

пользовании ими средств соответствующих бюджетов;

4) о загрязнении окружающей среды, состоянии противопо-

жарной безопасности, санитарно-эпидемиологической и радиа-

ционной обстановке, безопасности пищевых продуктов и других

факторах, оказывающих негативное воздействие на обеспечение

безопасного функционирования производственных объектов, без-

опасности каждого гражданина и безопасности населения в це-

лом;

5) о численности, о составе работников, о системе оплаты тру-

да, об условиях труда, в том числе об охране труда, о показателях

производственного травматизма и профессиональной заболевае-

мости и о наличии свободных рабочих мест;

6) о задолженности работодателей по выплате заработной пла-

ты и по иным социальным выплатам;

7) о нарушениях законодательства Российской Федерации и

фактах привлечения к ответственности за совершение этих нару-

шений;

8) об условиях конкурсов или аукционов по приватизации

объектов государственной или муниципальной собственности;

9) о размерах и структуре доходов некоммерческих организа-

ций, о размерах и составе их имущества, об их расходах, о чис-

ленности и об оплате труда их работников, об использовании без-

возмездного труда граждан в деятельности некоммерческой орга-

низации;

10) о перечне лиц, имеющих право действовать без доверенно-

сти от имени юридического лица;

11)

обязательность раскрытия которых или недопустимость

ограничения доступа к которым установлена иными федеральны-

ми законами». (Статья 5. Сведения, которые не могут составлять

коммерческую тайну).

5. Положение о порядке обращения со служебной информа-

цией ограниченного распространения в федеральных органах испол-

нительной власти, утвержденное постановлением Правительства

РФ от 3 ноября 1994 г. № 1233 «Об утверждении положения о

порядке обращения со служебной информацией ограниченного

распространения в федеральных органах исполнительной власти

[31]:

«1.3. Не могут быть отнесены к служебной информации огра-

ниченного распространения:

акты законодательства, устанавливающие правовой статус го-

сударственных органов, организаций, общественных объединений,

а также права, свободы и обязанности граждан, порядок их реа-

лизации;

сведения о чрезвычайных ситуациях, опасных природных яв-

лениях и процессах, экологическая, гидрометеорологическая, гид-

рогеологическая, демографическая, санитарно-эпидемиологическая

и другая информация, необходимая для обеспечения безопасного

существования населенных пунктов, граждан и населения в це-

лом, а также производственных объектов;

описание структуры органа исполнительной власти, его функ-

ций, направлений и форм деятельности, а также его адрес;

порядок рассмотрения и разрешения заявлений, а также обра-

щений граждан и юридических лиц;

решения по заявлениям и обращениям граждан и юридиче-

ских лиц, рассмотренным в установленном порядке;

сведения об исполнении бюджета и использовании других го-

сударственных ресурсов, о состоянии экономики и потребностей

населения,