Лекция 9. Нормативно-методическое обеспечение КСЗИ

9.1. Значение нормативно-методического обеспечения

В целях обеспечения комплексного подхода к формированию законодательства по проблемам защиты информации и информатизации в России в апреле 1992 г. была утверждена «Программа подготовки законодательного и нормативного обеспечения работ в области информатизации и защиты информации». В соответствии с этой Программой была намечена разработка базового Закона РФ в области информатизации «Об информации, информатизации и ЗИ», а также еще ряда специальных законов.

Реализация Программы должна была позволить создать правовые основы процесса информатизации в России, нормативно закрепить права граждан, организаций и государства на информацию и системы автоматизации с учетом правил охраны государственной и коммерческих тайн, порядка правовой, организационной и технической защиты информации и информационного ресурса в целом, основ защиты и правовых гарантий прав потребителя информации, защитить права собственника и автора и решить многие другие проблемы.

Нормативно-методическое обеспечение КСЗИ представляет собой комплекс положений законодательных актов, нормативов, методик, правил, регламентирующих создание и функционирование КСЗИ, взаимодействие подразделений и лиц, входящих в структуру системы, а также статус органов, обеспечивающих функционирование КСЗИ.

К содержанию нормативно-методических документов по ЗИ предъявляются требования. Информационная система должна быть защищена путем внедрения продуманных правил безопасности. СЗИ должна использовать набор правил для того, чтобы определить, может ли данный субъект получить доступ к данному объекту. Для предприятия целесообразно внедрение правил обеспечения безопасности и получение полномочий, с помощью которых можно было бы эффективно реализовать доступ к конфиденциальной информации. Пользователи, не обладающие соответствующими полномочиями, не должны получать доступ к конфиденциальной информации. Кроме того, необходимо применение дискриминационных методов управления, обеспечивающих доступ к данным только для некоторых пользователей или пользовательских групп, например, исходя из служебных обязанностей. Информационная система должна быть защищена с помощью правил безопасности, которые ограничивают доступ к объектам (файлы, приложения) со стороны субъектов (пользователи). Нормативные документы, определяющие порядок защиты, должны удовлетворять следующим требованиям:

1. соответствовать структуре, целям и задачам предприятия;

2. описывать общую программу обеспечения безопасности, включая вопросы эксплуатации и усовершенствования;

3. перечислять возможные угрозы информации и каналы ее утечки, результаты оценки опасностей и рекомендуемые защитные меры;

4. определять ответственных за внедрение и эксплуатацию всех средств защиты;

5. определять права и обязанности пользователей, причем таким способом, чтобы этот документ можно было использовать в суде при нарушении правил безопасности.

Прежде чем приступить к разработке документов, определяющих порядок ЗИ, нужно провести оценку угроз, определить информационные ресурсы, которые целесообразно защищать в первую очередь, и подумать, что необходимо для обеспечения их безопасности. Правила должны основываться на здравом смысле. Целесообразно обратить внимание на следующие вопросы:

1. принадлежность информации (об информации обязан заботиться тот, кому она принадлежит);

2. определение важности информации (пока не определена значимость информации, не следует ожидать проявлений должного отношения к ней);

3. значение секретности (как пользователи хотели бы защищать секретность информации? Нужна ли она им вообще?).

Если право на сохранение тайны будет признано в вашей организации, то может ли она выработать такие правила, которые обеспечивали бы права пользователей на защиту информации?

9.2. Состав нормативно-методического обеспечения

Состав нормативно-методического обеспечения может быть определен следующим образом: законодательная база, руководящие методические документы и информационно-справочная база. К первому компоненту относятся: законы, указы президента, постановления правительства, кодексы (гражданский, уголовный, административный), ГОСТы. Во второй компонент могут входить документы министерств и ведомств (Гостехкомиссия, ФСБ), а также документы, разработанные на предприятиях по вопросам защиты информации. В состав информационно-справочной базы входят словари, каталоги, специализированные журналы, справочники, электронные базы данных. Нормативно-методическая документация должна содержать следующие вопросы защиты информации:

— какие информационные ресурсы защищаются;

— какие программы можно использовать на служебных компьютерах;

— что происходит при обнаружении нелегальных программ или данных;

— дисциплинарные взыскания и общие указания о проведении служебных расследований;

— на кого распространяются правила;

— кто разрабатывает общие указания;

— точное описание полномочий и привилегий должностных лиц;

—кто может предоставлять полномочия и привилегии;

— порядок предоставления и лишения привилегий в области безопасности;

— полнота и порядок отчетности о нарушениях безопасности и преступной деятельности;

— особые обязанности руководства и служащих по обеспечению безопасности;

— объяснение важности правил (пользователи, осознающие необходимость соблюдения правил, точнее их выполняют);

— дата ввода в действие и даты пересмотра;

— кто и каким образом ввел в действие эти правила.

План защиты информации может содержать следующие сведения:

— назначение информационных систем (ИС);

— перечень решаемых ИС задач;

— конфигурация;

— характеристики и размещение технических средств и программного обеспечения;

— перечень категорий информации (пакетов, файлов, наборов и баз данных, в которых они содержатся), подлежащих защите в ИС;

— требования по обеспечению доступности, конфиденциальности, целостности различных категорий информации;

— список пользователей и их полномочий по доступу к ресурсам системы;

— цель защиты системы и пути обеспечения безопасности ИС и циркулирующей в ней информации;

— перечень угроз безопасности ИС, от которых требуется защита, и наиболее вероятных путей нанесения ущерба;

— основные требования к организации процесса функционирования ИС и мерам обеспечения безопасности обрабатываемой информации;

— требования к условиям применения и определение зон ответственности установленных в системе технических средств защиты от НСД;

—основные правила, регламентирующие деятельность персонала по вопросам обеспечения безопасности ИС (особые обязанности должностных лиц ИС);

— цель обеспечения непрерывности процесса функционирования ИС, своевременность восстановления ее работоспособности и чем она достигается;

— перечень и классификация возможных кризисных ситуаций;

— требования, меры и средства обеспечения непрерывной работы и восстановления процесса обработки информации (порядок создания, хранения и использования резервных копий информации и дублирующих ресурсов и т. п.);

— обязанности и порядок действий различных категорий персонала системы в кризисных ситуациях по ликвидации их последствий, минимизации наносимого ущерба и восстановлению нормального процесса функционирования системы;

— разграничение ответственности субъектов, участвующих в процессах обмена электронными документами;

— определение порядка подготовки, оформления, передачи, приема, проверки подлинности и целостности электронных документов;

— определение порядка генерации, сертификации и распространения ключевой информации (ключей, паролей и т. п.);

— определение порядка разрешения споров в случае возникновения конфликтов.

9.3. Порядок разработки и внедрения документов предприятия

Серьезное значение для обеспечения безопасности информационных ресурсов приобретают документы предприятия, регулирующие отношения с государством и с коллективом сотрудников на правовой основе.

К таким основополагающим документам можно отнести:

1. устав предприятия, закрепляющий условия обеспечения безопасности деятельности и защиты информации;

2. трудовые договоры с сотрудниками предприятия, содержащие требования по обеспечению защиты сведений, составляющих коммерческую тайну и др.;

3. правила внутреннего трудового распорядка рабочих и служащих;

4. должностные обязанности руководителей, специалистов и обслуживающего персонала.

Эти документы играют важную роль в обеспечении безопасности предприятия.

Для предприятия необходимо внести в устав следующие дополнения:

а) предприятие имеет право определять состав, объем и порядок защиты сведений, составляющих коммерческую тайну; требовать от своих сотрудников обеспечения ее сохранности;

б) обязано обеспечить сохранность коммерческой тайны;

в) состав и объем информации, являющейся конфиденциальной и составляющей коммерческую тайну, а также порядок защиты определяются руководителем предприятия;

г) имеет право не предоставлять информацию, содержащую коммерческую тайну;

д) руководителю предоставляется право возлагать обязанности, связанные с защитой информации, на сотрудников.

Внесение этих дополнений дает право администрации:

1. создавать организационные структуры по защите коммерческой тайны;

2. издавать нормативные и распорядительные документы, определяющие порядок выделения сведений, составляющих коммерческую тайну, и механизмы их защиты;

3. включать требования по защите коммерческой тайны в договора по всем видам деятельности;

4. требовать защиты интересов предприятия перед государственными и судебными органами;

5. распоряжаться информацией, являющейся собственностью, в целях извлечения выгоды и недопущения экономического ущерба коллективу предприятия и собственнику средств производства.

Кроме этого, предприятию нужно разработать «Перечень сведений, составляющих коммерческую тайну».

Начало работы по защите коммерческой тайны связано с разработкой перечня сведений составляющих коммерческую тайну. Перечень должен разрабатываться специальной комиссией, в которую включаются квалифицированные специалисты по всем направлениям деятельности предприятия. В состав комиссии должны входить руководители службы защиты информации (службы безопасности) и лицо, ответственное за конфиденциальное делопроизводство. Комиссия назначается приказом руководителя предприятия. В этом же приказе устанавливаются общий механизм и сроки разработки перечня. Разработка перечня может быть возложена и на экспертную комиссию предприятия, осуществляющую экспертизу ценности документов, если ее состав отвечает требованиям, предъявляемым к комиссии по составлению перечня.

На первом этапе работы комиссия должна на основе анализа всех направлений деятельности предприятия установить весь состав циркулирующей на предприятии информации, отображенной на любом носителе, любым способом и в любом виде, а также с учетом перспектив развития предприятия и его взаимоотношений с партнерами определить характер дополнительной информации, которая может возникнуть в результате деятельности предприятия. Эта информация классифицируется по тематическому признаку.

На втором этапе определяется, какая из установленной информации должна быть конфиденциальной, и отнесена к коммерческой тайне.

В соответствии со ст. 139 ГК РФ и другими нормами федеральных законов информация может составлять коммерческую тайну, если она отвечает следующим требованиям (критерии правовой охраны):

— имеет действительную или потенциальную коммерческую ценность в силу ее неизвестности третьим лицам;

— не подпадает под перечень сведений, доступ к которым не может быть ограничен, и перечень сведений, отнесенных к государственной тайне;

— к ней нет свободного доступа на законном основании;

— обладатель информации принимает меры к охране ее конфиденциальности.

Также следует заметить, что нецелесообразно относить информацию к коммерческой тайне, если затраты на ее защиту превысят количественные и качественные показатели преимуществ, получаемых при ее защите.

После установления состава коммерческой информации определяются сроки ее конфиденциальности либо указываются обстоятельства и события, при наступлении которых конфиденциальность снимается. Сроки конфиденциальности должны соответствовать срокам действия условий, необходимых и достаточных для признания данной информации конфиденциальной в соответствии с законодательством.

Работник обязан соблюдать конфиденциальность сведений, которые ему стали известны в процессе работы. В случае нарушения конфиденциальности работник несет материальную и административную ответственность в соответствии с действующим законодательством РФ и правилами внутреннего распорядка работодателя. Обязательства по соблюдению конфиденциальности остаются в силе и после прекращения срока действия настоящего договора в течение одного года.

Предприятие должно разработать «Обязательство о неразглашении коммерческой тайны».

Разглашение информации, составляющей коммерческую тайну,- это «действие или бездействие, в результате которых информация, составляющая коммерческую тайну, в любой возможной форме (устной, письменной, иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации либо вопреки трудовому или гражданско-правовому договору».

В обязательство должен быть включен пункт, который не позволял бы использо- вать любую информацию, полученную сотрудником в ходе выполнения им служебных обязанностей для осуществления любой деятельности не связанной с этим предприятием.

Предприятию необходимо разработать должностные инструкции сотрудников. Необходимым организационно-правовым документом с точки зрения защиты информации для предприятия является должностная инструкция сотрудника. Такой документ должен содержать следующие разделы:

1. Общие положения;

2. Должностные обязанности;

3. Права.

Утверждается должностная инструкция руководителем или иным должностным лицом, уполномоченным утверждать должностные инструкции.

И наконец, предприятию необходимо разработать «Подписку при увольнении с работы».

Очевидно, что некоторые сотрудники в силу обстоятельств могут покинуть фирму, соответственно необходимо учесть этот момент при правовом регулировании отношений с сотрудниками. В Обязательстве на этот счет сказано, что сотрудник обязуется в течение определенного времени после увольнения не разглашать сведения, ставшие известными ему по работе.

Политика по сохранению коммерческой тайны реализуется путем максимального ограничения круга лиц, физической сохранности документов, содержащих такие сведения, внесения требований по конфиденциальности конкретной информации в договоры с внутренними и внешнеторговыми партнерами и других мер по решению руководства.

В то же время, наряду с общим перечнем сведений, доступ к которым по закону не может быть ограничен, в действующем законодательстве установлен специальный перечень в отношении сведений, которые не могут составлять коммерческую тайну (ст. 5 закона о КТ).

Режим коммерческой тайны не может быть установлен лицами, осуществляющими предпринимательскую деятельность, в отношении следующих сведений:

1) содержащихся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры;

2) содержащихся в документах, дающих право на осуществление предпринематель-

ской деятельности;

3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;

4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;

5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест;

6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;

7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;

8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности;

9) о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации;

10) о перечне лиц, имеющих право действовать без доверенности от имени юридического лица;

11) обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами.