Глава 14 Кодекса регулирует вопросы, связанные с защитой персональных данных работника.

Кодекс Российской Федерации об административных правонарушениях

(от 30 декабря 2001 г. № 195-ФЗ, с изменениями и дополнениями).

Задачами законодательства об административных правонарушениях являются защита личности, охрана прав и свобод человека и гражданина, охрана здоровья граждан, санитарно-эпидемиологического благополучия населения, защита общественной нравственности, охрана окружающей среды, установленного порядка осуществления государственной власти, общественного порядка и общественной безопасности, собственности, защита законных экономических интересов физических и юридических

лиц, общества и государства от административных правонарушений, а также предупреждение административных правонарушений.

Уголовный кодекс Российской Федерации

(от 13 июня 1996 г. № 63-ФЗ, с изменениями и дополнениями).

Устанавливает основание и принципы уголовной ответственности, определяет, какие опасные для личности, общества или государства деяния признаются преступлениями, и устанавливает виды наказаний и иные меры уголовно-правового характера за совершение преступлений.

Вопросы для самоконтроля:

1. Какие нормативные акты относят к законодательным актам федерального уровня?

2. В чем заключаются национальные интересы России в информационной сфере?

3. Что понимается под правовой сферой?

4. Какие статьи Конституции Российской Федерации определяю базовые принципы отношений в информационной сфере?

5. Какие нормативно-правовые акты Российской Федерации регламентируют вопросы информационной безопасности?

Тема 2.3 Национальная и ведомственная и нормативная правовая база в области информационной безопасности

Федеральный закон — федеральный законодательный акт Российской Федерации, принимаемый в соответствии с Конституцией Российской Федерации по предметам ведения Российской Федерации и по предметам совместного ведения Российской Федерации и её субъектов.

В настоящее время в Государственной Думе РФ за информационную безопасность отвечают три Комитета:

1. Комитет по информационной политике,

2. Комитет по безопасности,

3. Комитет по энергетике, транспорту и связи.

В положении о каждом из этих трех комитетов указано, что он отвечает за информационную безопасность.

Закон Российской Федерации от 9 июля 1993 г. № 5351-1 «Об авторском праве и смежных правах» (с изменениями и дополнениями в соответствии с Федеральным законом от 20 июля 2004 г. № 72-ФЗ).

Регулирует отношения, возникающие в связи с созданием и использованием произведений науки, литературы и искусства (авторское право), фонограмм исполнений, постановок, передач организаций эфирного или кабельного вещания (смежные права). Закон развивает основные принципы правового регулирования авторских и смежных прав.

Статья 4 определяет основные понятия. Среди них наиболее интересными в контексте данного издания являются следующие.

Автор – физическое лицо, творческим трудом которого создано произведение.

База данных – объективная форма представления и организации совокупности данных (статей, расчетов и так далее), систематизированных таким образом, чтобы эти данные могли быть найдены и обработаны с помощью электронной вычислительной машины (ЭВМ).

Программа для ЭВМ – объективная форма представления совокупности данных и команд, предназначенных для функционирования ЭВМ и других компьютерных устройств с целью получения определенного результата, включая подготовительные материалы, полученные в ходе разработки программы для ЭВМ, и порождаемые ею аудиовизуальные отображения.

Федеральный закон от 8 августа 2001 г. № 128-ФЗ «О лицензировании отдельных видов деятельности» (с изменениями и дополнениями) (вместо ФЗ от 25 сентября 1998 г. № 158-ФЗ).

Регулирует отношения, возникающие в связи с осуществлением лицензирования отдельных видов деятельности. Распространяется на все органы государственной власти, органы местного самоуправления, юридические лица и индивидуальных предпринимателей.

Определяет порядок лицензирования и виды деятельности, на осуществление которых требуются лицензии.

К лицензируемым видам деятельности относятся виды деятельности, осуществление которых может повлечь за собой нанесение ущерба правам, законным интересам, здоровью граждан, обороне и безопасности государства, культурному наследию народов Российской Федерации и регулирование которых не может осуществляться иными методами, кроме как лицензированием (статья 4).

Лицензирующие органы осуществляют следующие полномочия:

- предоставление лицензий; переоформление документов, подтверждающих наличие лицензий; приостановление действия лицензий; возобновление действия лицензий; аннулирование лицензий; ведение реестра лицензий;

- контроль за соблюдением лицензиатами при осуществлении лицензируемых видов деятельности соответствующих лицензионных требований и условий.

Перечень федеральных органов исполнительной власти, осуществляющих лицензирование, утвержден постановлением Правительства Российской Федерации от 11 февраля 2002 г. № 135.

Порядок осуществления полномочий лицензирующих органов устанавливается положениями о лицензировании конкретных видов деятельности.

В целях Федерального закона применяются следующие понятия:

Лицензия – специальное разрешение на осуществление конкретного вида деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю.

Лицензируемый вид деятельности – вид деятельности, на осуществление которого на территории Российской Федерации требуется получение лицензии в соответствии с Федеральным законом.

Лицензирование – мероприятия, связанные с предоставлением лицензий, переоформлением документов, подтверждающих выдачу лицензий, приостановлением действия лицензий в случае административного приостановления деятельности лицензиатов за нарушение лицензионных требований и условий, возобновлением или прекращением действия лицензий, аннулированием лицензий, контролем лицензирующих органов за соблюдением лицензиатами при осуществлении лицензируемых видов деятельности соответствующих лицензионных требований и условий, введением регистра лицензий, а также с предоставлением в установленном порядке заинтересованным лицам сведений из реестров лицензий и иной информации о лицензировании.

Лицензиат – юридическое лицо или индивидуальный предприниматель, имеющие лицензию на осуществление конкретного вида деятельности.

Лицензионные требования и условия – совокупность установленных положениями о лицензировании конкретных видов деятельности требований и условий, выполнение которых лицензиатом обязательно при осуществлении лицензируемого вида деятельности.

Лицензирующие органы – федеральные органы исполнительной власти, органы исполнительной власти субъектов Российской Федерации, осуществляющие лицензирование в соответствии с Федеральным законом.

Соискатель лицензии – юридическое лицо или индивидуальный предприниматель, обратившиеся в лицензирующий орган с заявлением о предоставлении лицензии на осуществление конкретного вида деятельности.

Реестр лицензий – совокупность данных о предоставлении лицензий, переоформлении документов, подтверждающих наличие лицензий, приостановлении и возобновлении действия лицензий и об аннулировании лицензий.

Срок действия лицензии не может быть менее чем пять лет. Срок действия лицензии по его окончании может быть продлен по заявлению лицензиата. Положениями о лицензировании конкретных видов деятельности может быть предусмотрено бессрочное действие лицензии.

Федеральный закон от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании».

Регулирует отношения, возникающие при разработке, принятии, применении и исполнении обязательных требований к продукции, процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнению работ или оказанию услуг; разработке, принятии, применении и исполнении на добровольной основе требований к продукции, процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнению работ или оказанию услуг; оценке соответствия.

Федеральный закон «О техническом регулировании» является системообразующим для построения принципиально новой системы сертификации и стандартизации, в которой бы учитывались демократические принципы нормативного регулирования, повышался бы уровень безопасности потребителей продукции и услуг, а также учитывались реалии рыночного устройства экономических отношений.

Основной упор в Федеральном законе «О техническом регулировании» делается на сужение сферы обязательной стандартизации и подтверждения соответствия и расширении добровольности таких действий. При этом подразумевается, что именно рыночная конъюнктура подтолкнет производителей осуществлять данную деятельность, чтобы обеспечить конкурентоспособность производимой продукции.

В законе даны определения ряда понятий.

Аккредитация – официальное признание органом по аккредитации компетентности физического или юридического лица выполнять работы в определенной области оценки соответствия.

Знак соответствия – обозначение, служащее для информирования приобретателей о соответствии объекта сертификации требованиям системы добровольной сертификации или национальному стандарту.

Сертификация – форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов или условиям договоров.

Сертификат соответствия – документ, удостоверяющий соответствие объекта требованиям технических регламентов, положениям стандартов или условиям договоров.

Стандарт – документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг. Стандарт также может содержать требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения.

Стандартизация – деятельность по установлению правил и характеристик в целях их добровольного многократного использования, направленная на достижение упорядоченности в сферах производства и обращения продукции и повышения конкурентоспособности продукции, работ или услуг.

Техническое регулирование – правовое регулирование отношений в области установления, применения и исполнения обязательных требований к продукции, процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнение работ или оказание услуг и правовое регулирование отношений в области оценки соответствия.

Технический регламент – документ, который принят международным договором Российской Федерации, ратифицированным в порядке, установленном законодательством, или федеральным законом, или указом Президента, или постановлением Правительства, и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования (продукции, в том числе зданиям, строениям и сооружениям, процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации).

Закон Российской Федерации от 21 июля 1993 г. № 5485-1 «О государственной тайне».

Определяет основные понятия, полномочия органов государственной власти и должностных лиц в области отнесения сведений к государственной тайне и их защиты. Дает перечень сведений, которые могут быть отнесены к государственной тайне.

Указывает принципы засекречивания сведений, перечисляет сведения, не подлежащие засекречиванию, устанавливает степени секретности сведений и грифы секретности носителей этих сведений. Описывает порядок отнесения сведений к государственной тайне, порядок рассекречивания сведений. Положения Закона обязательны для исполнения на территории Российской Федерации и за ее пределами органами законодательной, исполнительной и судебной властей, местного самоуправления, предприятиями, учреждениями и организациями независимо от их организационно-правовой формы и формы собственности, должностными лицами и гражданами Российской Федерации

Федеральный закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи».

Обеспечивает правовые условия использования электронной цифровой подписи (ЭЦП) в электронных документах. Приведены основные понятия, используемые в электронных документах, и условия использования ЭЦП.

Электро́нная по́дпись  — информация в электронной форме, присоединенная к другой информации в электронной форме или иным образом связанная с такой информацией. Используется для определения лица, подписавшего информацию.

По своему существу электронная подпись представляет собой реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП.

Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ «О персональных данных».

К закону было подготовлено Постановление Правительства Российской Федерации от 1 ноября 2012 г. N 1119 г. Москва "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" 

Регулирует отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

В Законе используются следующие основные понятия:

Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;

Обработка персональных данных – действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;

Распространение персональных данных – действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом

Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;

Блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;

Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;

Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;

Информационная система персональных данных – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;

Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания;

Трансграничная передача персональных данных – передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства;

Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

Методы и способы защиты информации в информационных системах устанавливаются Федеральной службой по техническому и экспортному контролю (ФСТЭК) и Федеральной службой безопасности (ФСБ) Российской Федерации в пределах их полномочий.

Федеральная служба по техническому и экспортному контролю (ФСТЭК России). Федеральный орган исполнительной власти России, осуществляющий реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности

Федеральная служба безопасности Российской Федерации. Федеральный орган исполнительной власти Российской Федерации, осуществляющий в пределах своих полномочий решение задач по обеспечению безопасности Российской Федерации.  Руководство деятельностью ФСБ России осуществляется Президентом Российской

Занимается обеспечением информационной безопасности:

- при формировании и реализации государственной и научно-технической политики в области обеспечения информационной безопасности, в том числе с использованием инженерно-технических и криптографических средств;

- при обеспечении криптографическими и инженерно-техническими методами безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в России и её учреждениях, находящихся за пределами России.

- при лицензировании и сертификации отдельных видов деятельности, предусматривающих допуск к государственной тайне Российской Федерации

Управление “К”. Подразделение Министерства внутренних дел России, осуществляющее борьбу с преступлениями в сфере информационных технологий, а также с незаконным оборотом радиоэлектронных средств и специальных технических средств. В субъектах Российской Федерации функционируют соответствующие структурные подразделения службы криминальной полиции — Отделы «К». Управление является одним из самых засекреченных подразделений МВД России. Входит в состав Бюро специальных технических мероприятий Министерства внутренних дел Российской Федерации.

Управление "К"  выявляет, предупреждает, пресекает и раскрывает преступления в сфере  информационных технологий, незаконного оборота радиоэлектронных средств (РЭС) и специальных технических средств (СТС)

Особенности построения информационных систем обработки персональных данных

В соответствии с Приказом № 55/86/20 информационные системы (ИС) персональных данных подразделяются на типовые и специальные.

Типовые ИС – «информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных».

Специальные ИС – «информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий)». В скобках указано общепринятое требование о целостности информации, но ничего не сказано, например, о доступности ее.

Особо подчеркнуто, что к специальным ИС должны быть отнесены те:

- в которых обрабатываются ПД, касающиеся состояния здоровья субъектов персональных данных;

- в которых предусмотрено принятие на основании исключительно автоматизированной обработки ПД решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Класс типовой ИС (К1, …, К4) определяется в соответствии с таблицей, в зависимости от двух параметров Х_пд (категория ПД) и Х_нпд (объем обрабатываемых ПД).

Классификация информационных систем обработки персональных данных

Типовой ИС присваивается один из следующих классов:

класс 1 (К1) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;

класс 2 (К2) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;

класс 3 (К3) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;

класс 4 (К4) – ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

Категории обрабатываемых персональных данных

Значения для Х_пд следующие:

категория 1 – ПД, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

категория 2 – ПД, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

категория 3 – ПД, позволяющие идентифицировать субъекта персональных данных;

категория 4 – обезличенные и (или) общедоступные персональные данные.

Деление информационных систем по объему обрабатываемых персональных данных

Второй параметр Х_нпд принимает следующие 3 значения:

1 – в ИС одновременно обрабатываются ПД более чем 100 000 субъектов или ПД субъектов в пределах субъекта РФ или РФ в целом;

2 – в ИС одновременно обрабатываются ПД от 1000 до 100 000 субъектов или ПД субъектов, работающих в отрасли экономики РФ, в органе государственной власти, проживающих в пределах муниципального образования;

3 – в ИС одновременно обрабатываются ПД менее чем 1000 субъектов или ПД субъектов персональных данных в пределах конкретной организации.

ОПРЕДЕЛЕНИЕ КЛАССА ТИПОВОЙ СИСТЕМЫ

Хнпд Хпд	3	2	1
Категория 4	К4	К4	К4
Категория 3	К3	К3	К2
Категория 2	К3	К2	К1
Категория 1	К1	К1	К1

Ответственность за нарушение закона

Кодекс Российской Федерации об административных нарушениях

Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) - влечет предупреждение или наложение административного штрафа

на должностных лиц - от 500 до 1000 рублей; на юридических лиц - от 5000 до 10 000 рублей.

(Статья 13.11)

Уголовный кодекс Российской Федерации

Незаконное собирание или распространение сведений о частной жизни лица либо распространение этих сведений - наказываются штрафом в размере от 100 000 до 300 000 рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырехдо шести месяцев. (Статья 137)

Вопросы для самоконтроля:

1. Дайте определение понятия «федеральный закон»?

2. Какие виды деятельности относят к лицензируемым видам деятельности?

3. Что такое «электронная цифровая подпись»?

4. Какие Кодексы Российской Федерации регламентируют вопросы информационной безопасности?

5. Какая ответственность предусмотрена Кодексами РФ за нарушение в области информационной безопасности?