14.3 Структура правовой защиты компьютерной информации

Структуру правовой защиты компьютерной информации можно представить в следующем виде ³²:

нормативно-правовая база защиты компьютерной информации;

правоприменительная деятельность, обеспечивающая реализацию нормативно-правовой базы;

юридическая ответственность за совершение компьютерных правонарушений (данный вопрос рассмотрен отдельно в Теме 16 пособия).

Первый элемент структуры – нормативно-правовая база – представляет собой совокупность правовых норм, закрепленных в правовых актах, которые непосредственно регулируют правоотношения, возникающие при доступе к компьютерной информации, циркулирующей в информационных системах.

Можно выделить четыре направления правовой защиты компьютерной информации.

К первому направлению относится регулирование деятельности персонала информационных систем, связанной с разработкой и эксплуатацией средств защиты компьютерной информации. Для защиты компьютерной информации от несанкционированного доступа создается система защиты информации, включающая организационные, физические, программные и аппаратные средства защиты компьютерной информации.

Вторым направлением правовой защиты является правовое закрепление обязанностей персонала по защите компьютерной информации от несанкционированного доступа при организации выполнения работ на компьютерной технике. Так, общее руководство и контроль за организацией защиты компьютерной информации от несанкционированного доступа на объектах информационной системы осуществляет оператор информационной системы. Персонал и пользователи обязаны строго соблюдать установленный порядок работы на информационных комплексах и несут персональную ответственность за защиту компьютерной информации на своих рабочих местах.

Третьим направлением правовой защиты является планирование и проведение мероприятий по защите компьютерной информации. Для этого разрабатываются планы соответствующих мероприятий, в которых отражаются конкретные мероприятия и действия должностных лиц по защите компьютерной информации применительно к условиям эксплуатации системы, порядок проведения этих мероприятий и определяются ответственные лица. Все программные средства, базы данных закрепляются за должностными лицами либо за соответствующими отделами и службами. Закрепление технических средств общего и специального программного обеспечения, а также носителей компьютерной информации с информационным обеспечением и базами данных пользователей осуществляется актами администрации информационной системы или вышестоящего органа.

Руководитель структурного подразделения информационной системы организует постоянный контроль за защитой компьютерной информации, обрабатываемой техническими средствами. В состав разрабатываемых программных изделий запрещено включать программы, осуществляющие несанкционированные действия (так называемые компьютерные вирусы), в том числе для защиты программного продукта. Изменения в монтаже и размещении технических средств производятся только с разрешения начальника структурного подразделения.

Обрабатывание компьютерной информации ограниченного доступа одновременно с решением других задач допускается лишь при выполнении на объекте оговоренных в нормативных актах условий, а именно при функционировании в компьютерном комплексе программных средств защиты компьютерной информации от несанкционированного доступа, при наличии системы сигнализации о несанкционированном доступе к компьютерным устройствам.

Состояние обеспечения защиты компьютерной информации и его соответствие требованиям нормативных правовых актов ежегодно проверяется соответствующими комиссиями.

Четвертым направлением правовой защиты компьютерной информации является регламентация деятельности персонала информационной системы, связанная с обращением со средствами разграничения доступа к компьютерной информации (использование паролей пользователей, устройств блокировки и др.)

Средства разграничения доступа к защищаемым ресурсам периодически должны подвергаться проверке с помощью специальных тестовых программ.

Необходима также регламентация деятельности персонала и пользователей информационных систем по предупреждению внедрения в систему компьютерных вирусов. Защита системы от вирусов осуществляется путем применения организационно-профилактических мер, совокупность которых получила название «компьютерной гигиены». Выполнение ряда рекомендаций при использовании компьютеров в системах позволяет свести риск уничтожения, модификации компьютерных программ к минимуму.

Вторым элементом структуры правовой защиты компьютерной информации является деятельность по обеспечению точного применения нормативных актов. Именно строгое и точное исполнение правовых предписаний позволяет обеспечить высокий уровень организованности в деятельности органов и организаций, использующих информационные системы. Выделяются два направления, обеспечивающие реализацию требований нормативных правовых актов.

Первым направлением правоприменительной деятельности является деятельность должностных лиц по обеспечению контроля за неукоснительным применением нормативных правовых актов.

Так, общее руководство и контроль за организацией защиты компьютерной информации от несанкционированного доступа на объектах информационных систем осуществляет руководитель данной системы или вышестоящий орган управления. На него возлагаются принятие инструкций по защите компьютерной информации от несанкционированного доступа в информационной системе и осуществление контроля за выполнением требований указанных документов, а также организация проведения расследований по фактам несанкционированного доступа к компьютерной информации на объектах системы.

В подразделениях информационной системы ответственность за организацию и выполнение мероприятий по защите компьютерной информации возложена на начальника подразделения. Он координирует деятельность отделов, служб по этим вопросам и осуществляет следующие функции:

• обеспечивает планирование практических мероприятий по предотвращению несанкционированного доступа и контроль за их осуществлением;

• организует работу по выявлению возможных каналов утечки компьютерной информации и несанкционированного доступа к ней, принимает своевременные меры по их предотвращению;

• организует и проводит работу по внедрению средств защиты компьютерной информации.

Вторым направлением реализации нормативно-правовой базы по защите компьютерной информации является деятельность специальных служб обеспечения безопасности компьютерной информации. Для защиты компьютерной информации от несанкционированного доступа создаются специальные службы или назначаются лица, непосредственно занимающиеся такой работой.

Служба обеспечения безопасности информации (ОБИ) – это специальное штатное подразделение (одно или несколько должностных лиц), которое должно комплектоваться лицами, имеющими подготовку программиста, после сдачи зачета по знанию используемых на объекте средств защиты, правил их эксплуатации, требований документов по защите охраняемой законом тайны.

Основными функциями специалистов службы ОБИ являются защита компьютерной информации от несанкционированного доступа и обеспечение специальной защиты этой информации от утечки за счет побочных излучений.