3.1. Правовая защита
Как известно, право — это совокупность общеобязательных правил и норм поведения, установленных или санкционированных государством в отношении определенных сфер жизни и деятельности государственных органов, предприятий (организаций) и населения (отдельной личности).
Правовая защита информации как ресурса признана на международном, государственном уровне и определяется межгосударственными договорами, конвенциями, декларациями и реализуется патентами, авторским правом и лицензиями на их защиту. На государственном уровне правовая защита регулируется государственными и ведомственными актами (рис. 11).
В нашей стране такими правилами (актами, нормами) являются Конституция, законы Российской Федерации, гражданское, административное, уголовное право, изложенные в соответствующих кодексах. Что касается ведомственных нормативных актов, то они определяются приказами, руководствами, положениями и инструкциями, издаваемыми ведомствами, организациями и предприятиями, действующими в рамках определенных структур (рис. 12).
Современные условия требуют и определяют необходимость комплексного подхода к формированию законодательства по защите информации, его состава и содержания, соотнесения его со всей системой законов и правовых актов Российской Федерации.
Требования информационной безопасности должны органически включаться во все уровни законодательства, в том числе и в конституционное законодательство, основные общие законы, законы по организации государственной системы управления, специальные законы, ведомственные правовые акты и другие. В литературе приводится такая структура правовых актов, ориентированных на правовую защиту информации.
Первый блок — конституционное законодательство. Нормы, касающиеся вопросов информатизации и защиты информации, входят в него как составные элементы.
Второй блок — общие законы, кодексы (о собственности, о недрах, о земле, о правах граждан>о гражданстве, о налогах, об антимонопольной деятельности), которые включают нормы по вопросам информатизации и информационной безопасности.
Третий блок — законы об организации управления, касающиеся отдельных структур хозяйства, экономики, системы государственных органов и определяющие их статус. Они включают отдельные нормы
по вопросам защиты информации. Наряду с общими вопросами информационного обеспечения и защиты информации конкретного органа эти нормы должны устанавливать его обязанности по формированию, актуализации и безопасности информации, представляющей общегосударственный интерес.
Четвертый блок — специальные законы, полностью относящиеся к конкретным сферам отношений,
Рис. 12
отраслям хозяйства, процессам. В их число входит и Закон РФ «Об информации, информатизации и защите информации». Именно состав и содержание этого блока законов и создает специальное законодательство как основу правового обеспечения информационной безопасности.
Пятый блок — законодательство субъектов Российской Федерации, касающееся защиты информации.
Шестой блок — подзаконные нормативные акты по защите информации.
Седьмой блок — это правоохранительное законодательство России, содержащее нормы об ответственности за правонарушения в сфере информатизации.
Специальное законодательство в области безопасности информационной деятельности может быть представлено совокупностью законов. В их составе особое место принадлежит базовому Закону «Об информации, информатизации и защите информации», который закладывает основы правового определения всех важнейших компонентов информационной деятельности:
■ информации и информационных систем;
■ субъектов — участников информационных процессов;
■ правоотношений производителей — потребителей информационной продукции;
■ владельцев (обладателей, источников) информации — обработчиков и потребителей на основе отношений собственности при обеспечении гарантий интересов граждан и государства.
Этот закон определяет основы защиты информации в системах обработки и при ее использовании с учетом категорий доступа к открытой информации и к информации с ограниченным доступом. Этот закон содержит, кроме того, общие нормы по организации и ведению информационных систем, включая банки данных государственного назначения, порядка государственной регистрации, лицензирования, сертификации, экспертизы, а также общие принципы защиты и гарантий прав участников информационного процесса.
В дополнение к базовому закону в мае 1992 г. были приняты Законы «О правовой охране программ для электронно-вычислительных машин и баз данных» и «О правовой охране топологии интегральных микросхем». Оба закона устанавливают охрану соответствующих объектов с помощью норм авторского права, включая в перечень объектов авторского права наряду с традиционными базами данных топологии интегральных микросхем и программы для ЭВМ.
Вопросы правового режима информации с ограниченным доступом реализуются в двух самостоятельных законах о государственной и коммерческой (проект) тайнах. Кроме того, этот аспект раскрывается и в Гражданском кодексе РФ статьей 139 «Служебная и коммерческая тайна».
1. Информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании и обладатель информации принимает меры к охране ее конфиденциальности. Сведения, которые не могут составлять служебную или коммерческую тайну, определяются законом и иными правовыми актами.
2. Информация, составляющая служебную или коммерческую тайну, защищается способами, предусмотренными настоящим кодексом и другими законами.
Вторая часть статьи 139 определяет правовые основы ответственности за несанкционированное получение информации или причинение ущерба. Звучит это так:
«Лица, незаконными методами получившие информацию, которая составляет служебную или коммерческую тайну, обязаны возместить причиненные убытки. Такая же обязанность возлагается на работников, разгласивших служебную или коммерческую тайну вопреки трудовому договору, в том числе контракту, и на контрагентов, сделавших это вопреки гражданско-правовому договору».
Указ Президента РФ от 6 марта 1997 г. № 188 определяет понятие и содержание конфиденциальной информации (см. таблицу 1).
Таблица 1
Таким образом, правовая защита информации обеспечивается нормативно-законодательными акта-
ми, представляющими собой по уровню иерархическую систему от Конституции РФ до функциональных обязанностей и контракта отдельного конкретного исполнителя, определяющих перечень сведений, подлежащих охране, и меры ответственности за их разглашение.
Одним из новых для нас направлений правовой защиты является страховое обеспечение. Оно предназначено для защиты собственника информации и средств ее обработки как от традиционных угроз (кражи, стихийные бедствия), так и от угроз, возникающих в ходе работы с информацией. К ним относятся: разглашение, утечка и несанкционированный доступ к конфиденциальной информации.
Целью страхования является обеспечение страховой защиты физических и юридических лиц от страховых рисков в виде полного или частичного возмещения ущерба и потерь, причиненных стихийными бедствиями, чрезвычайными происшествиями в различных областях деятельности, противоправными действиями со стороны конкурентов и злоумышленников путем выплат денежной компенсации или оказания сервисных услуг (ремонт, восстановление) при наступлении страхового события.
В основе российского страхового законодательства лежит Закон РФ «О страховании». Он призван гарантировать защиту интересов страхователей, определять единые положения по организации страхования и принципы государственного регулирования страховой деятельности.
Закон «О страховании» дает следующее понятие страхования: «Страхованиепредставляет собой отношения по защите имущественных интересов физических и юридических лиц при наступлении определенных событий (страховых случаев) за счет денежных фондов, формируемых из уплачиваемых ими страховых взносов».
Действия по защите информации от утечки по техническим каналам регламентируются следующими правовыми документами:
1. ГОСТ 29339-92 «Информационная технология. Защита информации от утечки за счет ПЭМИН при ее обработке СВТ». (ПЭМИН — побочные электромагнитные излучения и наводки.)
2. ГОСТ Р 50752 «Информационная технология. Защита информации от утечки за счет ПЭМИН при ее обработке средствами вычислительной техники. Методы испытаний».
3. Нормы эффективности и защиты АСУ и ЭВМ от утечки информации за счет ПЭМИН.
4. Специальные требования и рекомендации по защите объектов ЭВТII и III категории от утечки информации за счет ПЭМИН.
Действия по защите информации от несанкционированного доступа (НСД) регламентируют Постановление Правительства РФ от 15.09.93 № 912-51 «Положение о государственной системе защиты информации от иностранной технической разведки и от утечки по техническим каналам», а также Указы Президента РФ «О создании государственной технической комиссии при Президенте РФ» (от 05.01.92 № 9); «О защите информационно-телекоммуникационных систем и баз данных от утечки конфиденциальной информации по техническим каналам связи» (от 08.05.93 № 644); «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» (от 03.04.95 №334); «Положение о государственной системе защиты информации в Российской Федерации».
Правовыми документами являются и государственные стандарты на информационную деятельность с учетом обеспечения ее безопасности, в частности ГОСТ Р 50739-95 «СВТ. Защита от НСД к информации»; ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования»; ГОСТ Р.34.10-94 «Процедуры выработки и проверки электронной подписи на базе асимметрического криптографического алгоритма»; ГОСТ Р.34.11-94 «Функция хэширования»; ГОСТР.В.50170-92 «Противодействие ИГР. Термины и определения».
Опираясь на государственные правовые акты и учитывая ведомственные интересы на уровне конкретного предприятия (фирмы, организации), разрабатываются собственные нормативно-правовые документы, ориентированные на обеспечение информационной безопасности. К таким документам относятся:
■ Положение о сохранении конфиденциальной информации;
■ Перечень сведений, составляющих конфиденциальную информацию;
■ Инструкция о порядке допуска сотрудников к сведениям, составляющим конфиденциальную информацию;
■ Положение о специальном делопроизводстве и документообороте;
■ Перечень сведений, разрешенных к опубликованию в открытой печати;
■ Положение о работе с иностранными фирмами и их представителями;
■ Обязательство сотрудника о сохранении конфиденциальной информации;
■ Памятка сотруднику о сохранении коммерческой тайны.
Указанные нормативные акты направлены на предупреждение случаев неправомерного оглашения (разглашения) секретов на правовой основе, и в случае их нарушения должны приниматься соответствующие меры воздействия.
В зависимости от характера информации, ее доступности для заинтересованных потребителей, а также экономической целесообразности конкретных защитных мер могут быть избраны следующие формы защиты информации:
патентование;
авторское право;
признание сведений конфиденциальными;
товарные знаки;
применение норм обязательственного права.
В таблице 2а приводятся некоторые характеристики этих форм и анализируется взаимосвязь между ними, а в таблице 26 приведены определения и основные параметры коммерческой тайны.
Существуют определенные различия между авторским правом и коммерческой тайной. Авторское
право защищает только форму выражения идеи. Коммерческая тайна относится непосредственно к содержанию. Авторское право защищает от копирования независимо от конфиденциальных отношений с владельцем. К авторскому праву прибегают при широкой публикации своей информации, в то время как коммерческую тайну держат в секрете. Очевидно, что по сравнению с патентом и авторским правом, коммерческая и производственная тайны являются наиболее удобными, надежными и гибкими формами защиты информации.
Помимо вышеизложенных форм правовой защиты и права принадлежности информации находит широкое распространение официальная передача права на пользование ею в виде лицензии. Лицензия — это разрешение, выдаваемое государством на проведение некоторых видов хозяйственной деятельности, включая внешнеторговые операции (ввоз и вывоз) и предоставление права использовать защищенные патентами изобретения, технологии, методики. Лицензионные разрешения предоставляются на определенное время и на определенные виды товаров.
Таблица 26
Коммерческая тайна
Коммерческая тайна — не являющиеся государственными секретами сведения, связанные с производством, технологией, управлением, финансами и другой деятельностью, разглашение, утечка и несанкционированный доступ к которой может нанести ущерб их владельцам.
К коммерческой тайне не относятся:
охраняемые государством сведения;
общеизвестные на законных основаниях сведения;
общедоступные сведения, патенты, товарные знаки;
сведения о негативной стороне деятельности;
учредительные документы и сведения о хозяйственной деятельности.
На все эти формы защиты интеллектуальной собственности имеются соответствующие законы РФ — закон о патентах, закон об авторском праве, проект закона о коммерческой тайне, закон о товарных знаках и другие.
Создавая систему информационной безопасности, необходимо четко понимать, что без правового обеспечения защиты информации любые последующие претензии с вашей стороны к недобросовестному сотруднику, клиенту, конкуренту и должностному лицу окажутся просто беспочвенными.
Если перечень сведений конфиденциального характера не доведен своевременно до каждого сотрудника (естественно, если он допущен по должностным обязанностям) в письменном виде, то сотрудник, укравший важную информацию в нарушение установленного порядка работы с ней, скорее всего разведет руками: мол, откуда мне это знать! В этом случае никакие инстанции, вплоть до судебных, не смогут Вам помочь.
Правовые нормы обеспечения безопасности и защиты информации на конкретном предприятии (фирме, организации) отражаются в совокупности учредительных, организационных и функциональных документов.
Требования обеспечения безопасности и защиты информации отражаются в Уставе (учредительном договоре) в виде следующих положений:
предприятие имеет право определять состав, объем и порядок защиты сведений конфиденциального характера, требовать от своих сотрудников обеспечения их сохранности и защиты от внутренних и внешних угроз;
предприятие обязано обеспечить сохранность конфиденциальной информации.
Такие требования дают право администрации предприятия:
создавать организационные структуры по защите конфиденциальной информации;
издавать нормативные и распорядительные документы, определяющие порядок выделения сведений конфиденциального характера и механизмы их защиты;
включать требования по защите информации в договоры по всем видам хозяйственной деятельности;
требовать защиты интересов предприятия со стороны государственных и судебных инстанций;
распоряжаться информацией, являющейся собственностью предприятия, в целях извлечения выгоды и недопущения экономического ущерба коллективу предприятия и собственнику средств производства;
разработать «Перечень сведений конфиденциальной информации». Требования правовой обеспеченности защиты информации предусматриваются в коллективном договоре. Коллективный договор должен содержать следующие требования:
- Введение
- Часть I основные понятия и положения защиты информации в компьютерных системах
- 1 Предмет и объект защиты
- 1.1. Предмет защиты
- 3. Ценность информации изменяется во времени.
- 4. Информация покупается и продается.
- 5. Сложность объективной оценки количества информации.
- 1.2. Объект защиты информации
- 2 Криптографические системы защиты информации
- 2.1. Одноключевые криптографические системы
- 2.1.1. Блочные шифры
- 2.1.2. Шифры простой перестановки
- 2.1.3. Шифры сложной перестановки
- 2.1.4. Шифры замены (подстановки)
- 2.1.5. Одноалфавитные шифры.
- 2.1.6. Многоалфавитные шифры
- 2.2. Составные шифры
- 2.2.1. Шифры поточного (потокового) шифрования
- 2.2.1.1. Синхронные поточные шифры
- 2.2.1.2. Самосинхронизирующиеся поточные шифры
- 2.2.1.3. Комбинированные шифры
- 2.3. Двухключевые криптографические системы
- 2.3.1. Криптографические системы с открытым ключом
- 2.3.1.1. Метод возведения в степень
- 2.3.1.2. Метод укладки (упаковки) рюкзака (ранца)
- 2.3.1.3. Кодовые конструкции
- 2.4. Составные криптографические системы
- 2.5. Надежность использования криптосистем
- 3 Симметричные криптосистемы и блочные шифры
- 3.1 Определение блочного шифра
- 3.2. Принцип итерирования
- 3.3. Конструкция Фейстеля
- 3.4. Режимы шифрования блочных шифров
- 3.4 Стандарты блочного шифрования
- 3.4.1 Федеральный стандарт сша — des
- 3.4.2. Стандарт России — гост 28147-89
- 3.5 Атаки на блочные шифры
- 3.5.1 Дифференциальный криптоанализ
- 3.5.2. Дифференциальный криптоанализ на основе отказов устройства
- 3.6.3. Линейный криптоанализ
- 4.6.4.Силовая атака на основе распределенных вычислений
- 4.7. Другие известные блочные шифры
- 4 Угрозы безопасности информации в компьютерных системах
- 4.1. Случайные угрозы
- 2.2. Преднамеренные угрозы
- 2.2.2. Несанкционированный доступ к информации
- Направления обеспечения информационной безопасности
- Постулаты безопасности
- 3.1. Правовая защита
- Раздел «Предмет договора»
- Раздел «Порядок приема и увольнения рабочих и служащих»
- Раздел «Основные обязанности администрации»
- 3.2 Организационная защита
- 3.3. Инженерно-техническая защита
- 3.3.1. Общне положения
- 3.3.2. Физические средства защиты
- Охранные системы
- Охранное телевидение
- Запирающие устройства
- 3.3.3. Аппаратные средства защиты
- 3.3.4. Программные средства защиты
- Основные направления использования программной защиты
- Защита информации от несанкционированного доступа
- Защита от копирования
- Защита информации от разрушения
- 3.3.5. Криптографические средства защиты
- Технология шифрования речи
- 4 Способы защиты информации
- 4.1. Общие положения
- 4.2. Характеристика защитных действий
- Защита информации от утечки
- 5.1. Общие положения
- 5.2. Защита информации от утечки по визуально-оптическим каналам
- 5.2.1. Общие положения
- 5.2.2. Средства и способы защиты
- 5.3. Защита информации от утечки по акустическим каналам
- 5.3.1. Общие положения
- 5.3.2. Способы и средства защиты
- 5.4. Защита информации от утечки по электромагнитным каналам
- 5.4.1. Защита утечки за счет микрофонного эффекта
- 5.4.2. Защита от утечки за счёт электромагнитного излучения
- 5.4.3. Защита от утечки за счет паразитной генерации
- 5.4.4. Защита от утечки по цепям питания
- 5.4.5. Защита от утечки по цепям заземления
- 5.4.6. Защита от утечки за счет взаимного влияния проводов и линий связи
- 5.4.7. Защита от утечки за счет высокочастотного навязывании
- 5.4.8. Защита от утечки в волоконно-оптических линиях и системах связи
- 5.5. Защита информации от утечки по материально-вещественным каналам
- 6.1. Способы несанкционированного доступа
- 6.2. Технические средства несанкционированного доступа к информации
- Контроль и прослушивание телефонных каналов связи
- Непосредственное подключение к телефонной линии
- Подкуп персонала атс
- Прослушивание через электромагнитный звонок
- Перехват компьютерной информации, несанкционированное внедрение в базы данных
- 6.З. Защита от наблюдения и фотографирования
- 6.4 Защита от подслушивания
- 6.4.1. Противодействие подслушиванию посредством микрофонных систем
- Некоторые характеристики микрофонов
- Противодействие радиосистемам акустического подслушивания
- Общие характеристики современных радиозакладок
- Содержание введение
- Часть I основные понятия и положения защиты информации в компьютерных системах
- Угрозы безопасности информации в компьютер-ных системах
- Направления обеспечения информационной без-опасности
- 4. Способы защиты информации
- Противодействие несанкционированному досту-пу к источникам конфиденциальной информации