Вайнштейн Ю.В., Демин С.Л., Кирко И.Н. и др. Основы информационной безопасности

Подождите немного. Документ загружается.

В целях исключения возможности параллельного ведения данных на

налогоплательщиков вне государственных налоговых инспекций,

поставивших их на налоговый учет и несущих ответственность за

обеспечение конфиденциальности доверенных сведений, передача баз

данных внешним организациям действующим законодательством не

предусматривается.

Передача конфиденциальной информации о налогоплательщиках без

их согласия разрешается только в правоохранительные и судебные органы в

строго установленном порядке, то есть по официальным мотивированным

письменным запросам в связи с возбужденным уголовным делом.

Правоохранительным и судебным органам налоговые органы могут

представить следующие сведения о налогоплательщике:

- ИНН, присвоенный ему налоговым органом при постановке на учет;

- перечень расчетных, текущих и иных счетов;

- наименование и местонахождение банков и иных кредитных организаций,

в которых открыты счета;

- его местонахождение (если оно известно);

- уплата им налогов и иных обязательных платежей;

- его финансово-хозяйственная деятельность по установленным формам

отчетности.

Процедура передачи материалов о нарушении налогового

законодательства в органы МВД

регламентируется совместным приказом

Госналогслужбы России и Федеральной службы налоговой полиции РФ от 15

июля 1997 года № АП-3-167152 (№ 249) «Об утверждении порядка передачи

материалов о нарушениях налогового законодательства в федеральные

органы налоговой полиции» и предусматривает инициативную передачу

налоговыми органами при выявлении фактов уклонения от уплаты налогов в

крупных и особо крупных размерах в 10-дневный срок со дня принятия

решения по акту проверки налогоплательщика материалов для правовой

оценки и принятия по ним решения в соответствии с законодательством.

С органами таможенного контроля обмен конфиденциальной

информацией осуществляется на основании Таможенного кодекса РФ от 18

июня 1993 года № 5221 -1.

С 1 июля 2003 года, указом Президента Российской Федерации № 306 от 11 марта 2003 года, Федеральная

служба налоговой полиции упразднена. Функции ФСНП переданы Министерству внутренних дел.

Конфиденциальная информация арбитражным судам и судам общей

юрисдикции предоставляется согласно статье 9 Федерального Закона от 14

июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и

защите информации» осуществляется в соответствии с законодательством об

этой категории информации, т.е. по официальному письменному запросу

судьи информация представляется непосредственно в суд.

Согласно Федеральному Закону от 21 июля 1997 года № 119-ФЗ «Об

исполнительном производстве» судебным приставам-исполнителям в

трехдневный срок после получения письменного запроса представляются

сведения о наличии или об отсутствии у должника-организации счетов и

вкладов в банках и иных кредитных организациях (при этом представление

номеров счетов и других банковских реквизитов данным Законом не

предусмотрено). Подобная информация предоставляется взыскателям после

получения письменного заявления с приложенной копией исполнительного

листа с неистекшим сроком давности.

Информационный обмен с другими органами ГМУ (госкомитетами,

другими государственными организациями и официальными лицами)

осуществляется:

1. В соответствии с Федеральным Законом «О статусе депутата Совета

Федерации и статусе депутата Государственной Думы Федерального

Собрания РФ» в редакции Федерального Закона депутатам Совета

Федерации и Государственной Думы по запросам, внесенным на заседание

соответствующей палаты в письменной форме, предоставляется необходимая

информация.

2. Согласно Федеральному Закону «О Счетной палате РФ» налоговые

органы обязаны оказывать содействие деятельности Счетной палаты РФ,

предоставлять по ее запросам информацию о результатах проводимых

ревизий и проверок.

3. Органы государственной статистики и налоговые органы осуществляют

информационное взаимодействие в соответствии с приказом

Госналогслужбы России от 22 августа 1996 года № ВА-3-09/71.

4. Территориальным органам Федеральной службы России по делам о

Состоятельности и финансовому оздоровлению предоставление сведений о

балансах предприятий федеральной собственности и иных

предприятий с долей федеральной собственности, суммах задолженности

по уплате налогов и других обязательных платежах и регулируется приказом

Госналогслужбы России от 25 марта 1994 года № ВГ-3-13/79 «О порядке

взаимодействии органов Госналогслужбы России с территориальными

агентствами Федерального управления по делам о несостоятельности

(банкротстве) при Госкомимуществе России».

5. Территориальным органам по валютному и экспортному контролю

информация предоставляется на основании Соглашения между

Госналогслужбой России и Федеральной службой РФ по валютному и

экспортному контролю от 20 марта 1995 года.

6. На основании письменного запроса полномочного представителя

Президента России в федеральном округе РФ могут быть представлены

открытые сведения о проверках государственных налоговых инспекций

по субъекту РФ, о количестве проверок налогоплательщиков по вопросам

соблюдения налогового законодательства, о суммах доначислений в

бюджеты различных уровней по видам налогов (платежей), о видах

нарушений налогового законодательства.

7. Иностранным организациям и иностранным гражданам, не

зарегистрированным в налоговых органах РФ в качестве

налогоплательщиков, не допускается предоставлении служебной

информации.

8. В рамках международного сотрудничества информационное

взаимодействие осуществляется в порядке, установленном соответствующей

Инструкцией Госналогслужбы России.

Приведенные выше примеры действия нормативно-правовых

механизмов информационного обмена красноречиво свидетельствуют о

необходимости весьма деликатного обращения с конфиденциальной

информацией. Причем, по мере развития правового государства,

регламентация данной отрасли информационной сферы будет существенно

совершенствоваться.

Контрольные вопросы

1. Какая информация отнесена к конфиденциальной информации?

2. Дайте определение каждому виду конфиденциальной информации.

3. Что является объектом служебной тайны?

4. К каким видам информации не может быть ограничен доступ согласно

Федеральному закону от 27 июля 2006 года № 149-ФЗ «Об информации,

информационных технологиях и защите информации»?

5. Дайте определение технической защите конфиденциальной информации.

6. Перечислите лицензионные требования и условия при осуществлении

деятельности по технической защите конфиденциальной информации.

7. Какой орган государственного управления осуществляет лицензирование

деятельности по технической защите конфиденциальной информации?

8. Каков общий порядок предоставления сведений конфиденциального

характера в органах ГМУ?

9. Какую информацию и кому могут предоставить в строго установленном

порядке налоговые органы (в органы МВД, ФТС, суды, службу судебных

приставов)?

ГЛАВА 3. ОСНОВНЫЕ ПОНЯТИЯ И ОБЩЕМЕТОДОЛОГИЧЕСКИЕ

ПРИНЦИПЫ ТЕОРИИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

3.1. Управление и защита информации

в информационно-телекоммуникационных сетях

В этой главе обсуждаются основные причины, касающиеся

безопасности информации в сети. Эти основы полезны, с точки зрения

руководства предприятия, для выделения соответствующих ресурсов в

области безопасности, как указано в следующих главах. Эффективная

система защиты производственных операций в большой степени зависит от

точки зрения руководства на вопросы безопасности информации в сети.

Производственные отношения, вне всякого сомнения, требуют обеспечения

безопасности. В этом плане подход руководства может быть очень полезным

руководителю по безопасности или системному инженеру, работающему в

области безопасности сетей, по ряду причин, включая следующие:

- развитие политики предприятия в области безопасности сетевой

информации требует компетентного охвата этой проблемы;

- подтверждение ресурсов, направляемых на защиту сети, перед

руководством предприятия требует тщательного обоснования. В этом

отношении полезна развиваемая здесь концепция качества информации.

Некоторые руководители, возможно, не воспринимают безопасность,

как важный интегральный элемент процесса деловых операций. Но они,

безусловно, знают, что качественная информация абсолютно необходима для

эффективного управления в условиях конкуренции. Качество может быть

гарантированным только при соответствующем уровне защищенности. А

защита может быть эффективной только как часть общей информационной

программы.

Многие руководители знают, что информация требует защиты. Однако

немногие продумали процесс принятия решений, который необходим для

подтверждения затрат на информационную безопасность. Далее будут

специфицированы требования для работы сложной сети, предназначенной

для производственных операций. Отправным пунктом для выполнения таких

мер защиты должна быть поддержка со стороны руководства требований по

безопасности производственных операций. В этой главе с самого начала

рассматривается тщательно спланированный процесс, результатом которого

является решение в пользу обеспечения безопасности производственной

информации в сети.

3.2. Контроль качества информации

В сегодняшних условиях конкуренции в производственной сфере,

которая определяется правильной и своевременной информацией,

необходима уверенность в качестве информации, обрабатываемой

компьютером и получаемой по сети. Качество информации должно быть

основной заботой каждого руководителя, ответственного за развитие

прикладных программ, обеспечение служб обработки информации или

управление сетями, и каждого сотрудника на сетевом рабочем месте.

Качественная производственная информация обладает некоторыми

характеристиками. К ним относятся целостность, надежность и

конфиденциальность.

Понятие целостности означает, что информация имеет точность до

степени, ожидаемой пользователем, является законченной и свободна от

неавторизованных изменений. Отметим, что информация не свободна от

ошибок на все 100%, но качество информации оправдывает ожидания

пользователя. Целостность подразумевает, что информация защищена от

халатного обращения или преднамеренного неавторизованного изменения,

что она не обрабатывается с помощью ненадежных программ, и что данные

контролируются на разных этапах обработки. Такие проверки включают

нумерацию пакетов, посылку подтверждений, проверку достоверности,

общий контроль и меры обеспечения безопасности.

Понятие надежности означает, что информация получена

авторизованными пользователями, в нужном месте и в нужное время; что она

свободна от несанкционированного изменения, разрушения или копирования.

В случае сети это предполагает реальное управление на всех уровнях; при

невозможности прохождения некоторых участков система управления

должна быть в состоянии заменить или обойти соответствующий узел или

линию связи. Инфраструктура сети, линии связи, центральные компьютеры

или периферийные рабочие станции должны быть защищены от физического

или логического нападения, которое может воздействовать на качество

информации или прекратить ее использование предприятием. Надежность

также означает, что файлы пользователей сети и центральные базы данных

периодически реплицируются для предотвращения необратимой потери

данных. Основные производственные процессы должны быть обратимыми на

случай ошибок обработки или передачи с помощью запланированных

процедур восстановления системы.

Понятие конфиденциальности означает уверенность в том, что данные

во всех формах (письменной, электронной, ментальной) защищены от

похищения или неавторизованного наблюдения. В сетях это означает защиту

от проникновения в контролируемые сетевые устройства, файлы и контуры.

Для вычислительных сетей степень уязвимости является высокой, поскольку

каждая рабочая станция, серверы и кабельная структура могут

рассматриваться как потенциальные мишени для неавторизованного

наблюдения за данными. Конфиденциальность также означает, что для

защиты ценной информации используется шифрование при ее прохождении

по линиям связи, которые напрямую не контролируются обладателем

информации. Для важной информации, проходящей через межсетевые

соединения, шифрование является важнейшим производственным

требованием.

Качество информации достигается с помощью тщательно

разработанной системы действий руководства. Она охватывает полный цикл

получения, обработки и использования информации, от первоначального

сбора до прекращения использования. Безопасность лишь одно из ряда

управляющих действий, относящихся к качеству информации. Меры

безопасности логически вытекают из принятых решений руководства по

качеству информации. Вот действия, которые совместно образуют элементы

качества информации:

- управление производственной информацией, как важнейшим ресурсом;

- качественное проектирование системы для обеспечения эффективных

информационных процессов;

- эффективное руководство и контроль обработки и передачи информации;

- защита информации в системах обработки и передачи данных.

Далее эти элементы обсуждаются более подробно.

3.3. Управление информационными ресурсами

Управление производственными информационными ресурсами

означает, что руководство предприятия признает, что информация является

важнейшим ресурсом и предпринимает соответствующие действия по

управлению ею. Оно включает:

– определение производственной информационной базы через элементы

данных, существенные для производственного процесса;

– оценку или классификацию производственных данных для того, чтобы

позволить предпринять соответствующие меры защиты.

Ответственность по управлению информацией логически следует из

признания того, что информация является важным и дорогостоящим

средством производства. При этом большое значение имеет удобная

организационная структура и определение ответственности на разных

уровнях с помощью хорошо разработанных и опубликованных директив.

Нельзя правильным образом начать процесс оценки и контроля без

соответствующих распоряжений: требуется большое количество очень

важных решений и достаточно большой объем ресурсов для существенного

решения задачи. Таким образом, в первую очередь необходимо обсудить с

руководством предприятия вопросы доступа к обработке и передаче

информации.

Многие важные производственные ресурсы давно управляются

соответствующим образом. Они контролируются руководителями по работе с

кадрами, материалами, главным бухгалтером. Напротив, информация,

которая сегодня общепризнанно является наиболее важным

производственным ресурсом, часто остается без присмотра. Ограниченное

число передовых организаций имеют в своем штате информационных

руководителей высокого уровня (возможно, начальников информационных

отделов), но иногда эта позиция даже не упоминается среди работ,

сосредоточенных в основном на управлении компьютерным оборудованием и

разработкой приложений. Можно провести аналогию с ювелирным

магазином, в котором директор занят футлярами для драгоценностей и не

обращает внимания на ценность самих камней. Признание важности

информации и назначение руководителей высокого уровня для надзора за ее

использованием является предварительными условием для управления

информацией.

Можно спросить: «Какое отношение это имеет к защите информации

в сетях?». Ответ заключается в том, что, в данном случае, охраняется

информация, а не сама сеть, и, скорее всего, нельзя защитить всю

информацию. Вначале следует установить, какие производственные данные

имеют важное значение. А затем сознательно направить ограниченные

ресурсы для их защиты. Следует также убедиться, что защищена

информация в письменной форме, обычно получаемая на выходе сети.

Руководство информацией создает основу для хорошего выполнения этих

задач.

Руководство информацией устанавливает структуру для защиты

производства с помощью введения соответствующего уровня качества

информации.

3.3.1. Составляющие информационной базы

Перед началом своей работы заведующий складом должен знать, какие

материалы находятся в складе, и сколько стоит каждый из них? Аналогично,

управление информацией предполагает, что известен объем информации,

требуемый для управления производством. Невозможно, фактически,

подробно перечислить информационные объекты, но можно назвать

основные элементы информации, необходимые для производственных

операций. Элемент информации представляет собой основную часть

информации. Он может появляться в разных местах в ментальной,

письменной или электронной форме.

Основной элемент информации имеет следующие свойства:

- является существенным для производства;

- создается первичной производственной функцией;

- может находиться в разнообразных сочетаниях с другой информацией.

Примерами основных элементов информации являются:

- имя сотрудника (функция работы с персоналом, согласно штатному

расписанию);

- имя поставщика (функция отдела маркетинга, согласно ведомости по

кредитованию);

- название продукта (функция проектирования и разработки, согласно

перечню выпускаемой продукции);

- полученные счета (учетная функция, согласно бухгалтерской книге).

Список всех основных элементов информации, существенных для

производства, указывает на те элементы информации, которые являются

объектами управления и контроля. Решение о том, будет или нет

предприятие управлять соответствующим элементом информации, зависит от

его значения. Конечно, в случае создания новых элементов информации или

использования уже существующих в отчетах и служебных записках,

руководитель, посылающий документ, должен предпринять необходимые

действия, для того, чтобы эти элементы информации имели соответствующее

значение, что позволило бы, при необходимости, контролировать их

надлежащим образом.

Организованная информационная база позволяет получать важные

преимущества для информационных систем. Запросы на информацию

постоянно возрастают с увеличением количества людей, желающих получать

информацию с помощью персональных компьютеров и сетей. Почти

невозможно предвидеть требования на доступ к центральным базам данных,

а также приложения, с помощью которых будет обработана полученная

информация. Следовательно, важно, чтобы элементы информации были

отделены от производственных приложений и находились в форме,

позволяющей легко их использовать для разных приложений и целей.

Цена, которую платят за хранение избыточных элементов информации

в некоторых приложениях, давно уже стала проблемой. Администраторов баз

данных больше волнует проблема целостности и непротиворечивости данных

при получении их из централизованных баз и направлении в системы

поддержки принятия решений, информационные центры и системы

руководства. На самом же деле, согласно рассмотренным определениям,

следует беспокоиться о качестве данных в каждом случае их использования,

и об их соответствии реалиям производства. Эффективное руководство

информацией решает эту проблему, контролируя информационные ресурсы.

Кроме того, хорошее управление может сделать более эффективным

проектирование информационных систем. В большинстве производственных

операций необходимо также следить за старением информации.