Часть VI

Сущность и содержание

информационной

безопасности

Глава 22

Нормативно-правовое обеспечение информационной безопасности Российской Федерации

22.1. Законодательство Российской Федерации и «Доктрина информационной безопасности Российской Федерации» об основах государственной политики обеспечения информационной безопасности

В литературе широко используется определение информации как сведений о пред­метах, лицах, фактах, явлениях и процессах независимо от формы их представ­ления (закон РФ «Об информации, информатизации и защите информации»). Не менее значимо и понятие безопасности. Безопасность — это состояние защи­щенности жизненно важных интересов личности, предприятия, государства от внутренних и внешних угроз [86].

Информационная безопасность (ИБ) — это состояние защищенности инфор­мационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций и государств (закон РФ «Об уча­стии в международном информационном обмене»).

Закон — это главный и преимущественный по юридической силе нормативно-пра­вовой акт современного государства Он содержит правовые нормы, которые рег­ламентируют наиболее важные стороны общественной и государственной жизни.

Анализ нормативных правовых актов указывает на определенную закономер­ность. В федеральных законах, указах, распоряжениях, постановлениях, иных пра­вовых актах все больший вес приобретает термин «информация». Фундаменталь­ное право на информацию закреплено в ч. 1 ст. 29 Конституции РФ.

Конституция РФ официально признает право граждан на информацию (п. 4 ст. 29) и гласит: «Каждый имеет право свободно искать, получать, передавать, произво­дить и распространять информацию любым законным способом. Перечень све­дений, составляющих государственную тайну, определяется федеральным зако­ном». Ряд статей Конституции РФ косвенным образом касается проблем права на информацию и гарантий его реализации. Из ч. 3 ст. 171 следует, что осуществ­ление гражданином права на информацию не должно нарушать права и свободы других лиц. В случае нарушения права на информацию, как и в случае нарушения прочих прав и свобод, каждый вправе обращаться в межгосударственные органы по защите прав и свобод человека, если исчерпаны все имеющиеся внутригосу­дарственные средства правовой защиты (ст. 46). Затронуты и вопросы легитим­ности ограничения свободы (ст. 19). Прочтение этой статьи позволяет сделать вывод о невозможности злоупотребления информацией о социальной, расовой, национальной, религиозной, языковой принадлежности граждан. В ст. 55 опре­деляется принцип ограничения прав на информацию, составляющую государст­венную тайну, с учетом защиты основ конституционного строя, нравственности, прав и законных интересов других лиц, обеспечения обороны страны и безопас­ности государства, что значительно шире, нежели границы информации, отне­сенной к государственной собственности.

Закон «Об информации, информатизации и защите информации» дал легальное определение понятия «информация». В некоторых отраслях права используются также расширенные понятия информации, например, понятие служебной и ком­мерческой тайны. Уголовный кодекс, принятый в 1996 г., вводит в российское законодательство понятие «компьютерная информация». Определение «инфор­мация» используется в законах «Об акционерных обществах», «О безопасно­сти», «О внешней разведке», «О Конституционном суде Российской Федерации». Анализируя сущность информационной безопасности, нельзя не упомянуть об информации как объекте правоотношений. В Гражданском кодексе РФ (ст. 128) информация определяется как объект гражданских правоотношений. Рассматри­вая информацию с этих позиций, необходимо обращать внимание на аспект, свя­занный с юридической защитой информации как объекта права собственности. Такой подход к информации объясняется тем, что историческим и традицион­ным объектом права собственности является материальный объект. Доктрина информационной безопасности Российской Федерации представляет собой совокупность официальных взглядов на цели, задачи, принципы и основ­ные направления обеспечения И Б РФ.

Доктрина ИБ состоит из четырех разделов и включает в себя 11 глав. В ней рас­крывают понятия информационной безопасности Российской Федерации, нацио­нальных интересов в информационной сфере; рассматриваются виды и источ­ники угроз информационной безопасности Российской Федерации, состояние информационной безопасности РФ и основные задачи по ее обеспечению; общие методы обеспечения информационной безопасности РФ в различных сферах об­щественной жизни; международное сотрудничество РФ, основные элементы ор­ганизационной основы системы обеспечения информационной безопасности РФ.

Информационная безопасность Российской Федерации

1. Национальные интересы Российской Федерации в информационной сфере и их обеспечение

Под информационной безопасностью Российской Федерации понимается со­стояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, обще­ства и государства. Интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к инфор­мации, на использование информации в интересах осуществления не запрещен­ной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность. Интересы общества в информационной сфере заключаются в обеспечении интересов лич­ности в этой сфере, упрочении демократии, создании правового социального го­сударства, достижении и поддержании общественного согласия, в духовном об­новлении России. Интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гра­жданина в области получения информации и пользования ею в целях обеспече­ния незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Первая составляющая национальных интересов Российской Федерации в ин­формационной сфере включает в себя соблюдение конституционных прав и сво­бод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравствен­ных ценностей общества, традиций патриотизма и гуманизма, культурного и на­учного потенциала страны.

Вторая составляющая национальных интересов Российской Федерации в инфор­мационной сфере включает в себя информационное обеспечение государствен­ной политики Российской Федерации, связанное с доведением до российской и международной общественности достоверной информации о государственной политике Российской Федерации, ее официальной позиции по социально значи­мым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам. Третья составляющая национальных интересов Российской Федерации в инфор­мационной сфере включает в себя развитие современных информационных тех­нологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутрен­него рынка ее продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отече­ственных информационных ресурсов. В современных условиях только на этой основе можно решать проблемы создания наукоемких технологий, технологиче­ского перевооружения промышленности, приумножения достижений отечест­венной науки и техники. Россия должна занять достойное место среди мировых лидеров микроэлектронной и компьютерной промышленности.

Четвертая составляющая национальных интересов Российской Федерации в ин­формационной сфере включает в себя защиту информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и те­лекоммуникационных систем, как уже развернутых, так и создаваемых на терри­тории России.

Виды угроз информационной безопасности Российской Федерации

По своей общей направленности угрозы информационной безопасности Россий­ской Федерации подразделяются на следующие виды:

угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, груп­повому и общественному сознанию, духовному возрождению России;

угрозы информационному обеспечению государственной политики Россий­ской Федерации;

угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребно­стей внутреннего рынка ее продукцией и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного исполь­зования отечественных информационных ресурсов;

угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.

Источники угроз информационной безопасности Российской Федерации

Источники угроз информационной безопасности Российской Федерации под­разделяются на внешние и внутренние. К внешним источникам относятся:

деятельность иностранных политических, экономических, военных, разведы­вательных и информационных структур, направленная против интересов Российской Федерации в информационной сфере;

стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внут­реннего информационных рынков;

обострение международной конкуренции за обладание информационными технологиями и ресурсами;

деятельность международных террористических организаций;

увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию созданию конкурентоспособных рос­сийских информационных технологий;

деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;

разработка рядом государств концепций информационных войн, предусмат­ривающих создание средств опасного воздействия на информационные сфе­ры других стран мира, нарушение нормального функционирования информа­ционных и телекоммуникационных систем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.

Состояние информационной безопасности Российской Федерации и основные задачи по ее обеспечению

За последние годы в Российской Федерации реализован комплекс мер по совер­шенствованию обеспечения ее информационной безопасности.

Начато формирование базы правового обеспечения информационной безопасно­сти. Приняты закон Российской Федерации «О государственной тайне», Основы законодательства Российской Федерации об Архивном фонде Российской Феде­рации и архивах, федеральные законы «Об информации, информатизации и за­щите информации», «Об участии в международном информационном обмене», ряд других законов, развернута работа по созданию механизмов их реализации, подготовке законопроектов, регламентирующих общественные отношения в ин­формационной сфере.

Осуществлены мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах государственной власти субъектов Российской Федерации, на предприятиях, в учреждениях и органи­зациях независимо от формы собственности. Развернуты работы по созданию защищенной информационно-телекоммуникационной системы специального на­значения в интересах органов государственной власти.

Успешному решению вопросов обеспечения информационной безопасности Рос­сийской Федерации способствуют государственная система защиты информации, система защиты государственной тайны, системы лицензирования деятельности в области защиты государственной тайны и системы сертификации средств за­щиты информации.

Методы обеспечения информационной безопасности Российской Федерации

Общие методы обеспечения информационной безопасности Российской Федерации

Общие методы обеспечения информационной безопасности Российской Феде­рации разделяются на правовые, организационно-технические и экономические.

К правовым методам обеспечения информационной безопасности Российской Федерации относится разработка нормативных правовых актов, регламентирую­щих отношения в информационной сфере, и нормативных методических доку­ментов по вопросам обеспечения информационной безопасности Российской Федерации.

Особенности обеспечения информационной безотшсности Российской Федера­ции в различных сферах общественной жизни

Информационная безопасность Российской Федерации является одной из состав­ляющих национальной безопасности Российской Федерации и оказывает влияние на защищенность национальных интересов Российской Федерации в различных сферах жизнедеятельности общества и государства. Угрозы информационной безопасности Российской Федерации и методы ее обеспечения являются общи­ми для этих сфер.

В каждой из них имеются свои особенности обеспечения информационной безо­пасности, связанные со спецификой объектов обеспечения безопасности, степе­нью их уязвимости в отношении угроз информационной безопасности Россий­ской Федерации. В каждой сфере жизнедеятельности общества и государства наряду с общими методами обеспечения информационной безопасности Россий­ской Федерации могут использоваться частные методы и формы, обусловленные спецификой факторов, влияющих на состояние информационной безопасности Российской Федерации.

Международное сотрудничество Российской Федерации в области обеспечения информационной безопасности

Международное сотрудничество Российской Федерации в области обеспечения информационной безопасности — неотъемлемая составляющая политического, военного, экономического, культурного и других видов взаимодействия стран, входящих в мировое сообщество. Такое сотрудничество должно способствовать повышению информационной безопасности всех членов мирового сообщества, включая Российскую Федерацию.

Особенность международного сотрудничества Российской Федерации в области обеспечения информационной безопасности состоит в том, что оно осуществля­ется в условиях обострения международной конкуренции за обладание техноло­гическими и информационными ресурсами, за доминирование на рынках сбыта, в условиях продолжения попыток создания структуры международных отношений, основанной на односторонних решениях ключевых проблем мировой политики, противодействия укреплению роли России как одного из влиятельных центров формирующегося многополярного мира, усиления технологического отрыва ве­дущих держав мира и наращивания их возможностей для создания «информаци­онного оружия». Все это может привести к новому этапу развертывания гонки вооружений в информационной сфере, нарастанию угрозы агентурного и опера­тивно-технического проникновения в Россию иностранных разведок, в том чис­ле с использованием глобальной информационной инфраструктуры. Основные положения государственной политики обеспечения информацион­ной безопасности Российской Федерации

Основные положения государственной политики обеспечения информациднной безопасности Российской Федерации

Государственная политика обеспечения информационной безопасности Россий­ской Федерации определяет основные направления деятельности федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации в этой области, порядок закрепления их обязанностей по защите интересов Российской Федерации в информационной сфере в рамках направлений их деятельности и базируется на соблюдении баланса интересов личности, общества и государства в информационной сфере.

Организационная основа системы обеспечения информационной безопасности Российской Федерации

Основные функции системы обеспечения информационной безопасности Рос­сийской Федерации

Система обеспечения информационной безопасности Российской Федерации предназначена для реализации государственной политики в данной сфере.

Основные элементы организационной основы системы обеспечения информа­ционной безопасности Российской Федерации

Система обеспечения информационной безопасности Российской Федерации является частью системы обеспечения национальной безопасности страны.

Система обеспечения информационной безопасности Российской Федерации строится на основе разграничения полномочий органов законодательной, испол­нительной и судебной власти в данной сфере, а также предметов ведения феде­ральных органов государственной власти и органов государственной власти субъектов Российской Федерации.

Основными элементами организационной основы системы обеспечения инфор­мационной безопасности Российской Федерации являются: Президент Россий­ской Федерации, Совет Федерации Федерального Собрания Российской Феде­рации, Государственная Дума Федерального Собрания Российской Федерации, Правительство Российской Федерации, Совет Безопасности Российской Федера­ции, федеральные органы исполнительной власти, межведомственные и государ­ственные комиссии, создаваемые Президентом Российской Федерации и Прави­тельством Российской Федерации, органы исполнительной власти субъектов Российской Федерации, органы местного самоуправления, органы судебной власти, общественные объединения, граждане, принимающие в соответствии с законода­тельством Российской Федерации участие в решении задач обеспечения инфор­мационной безопасности Российской Федерации.

22.2. Негативные факторы и основные угрозы информационной безопасности Российской Федерации

Угрозы информационной безопасности РФ освещены в Доктрине ИБ РФ.

По своей общей направленности угрозы информационной безопасности Россий­ской Федерации подразделяются на следующие виды:

угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, груп­повому и общественному сознанию, духовному возрождению России;

угрозы информационному обеспечению государственной политики Россий­ской Федерации;

угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребно­стей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного исполь­зования отечественных информационных ресурсов;

угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.

Существуют и другие классификации видов угроз информационной безопасно­сти. Если под информационным процессом понимать все действия, так или ина­че связанные с преобразованием информации в жизнедеятельности активного субъекта: получение им сигналов из внешнего мира, выделение из них информа­ции, имеющей для него содержательное значение, хранение и обработку накап­ливаемой информации, принятие на основе новых знаний об окружающем мире решений о своих действиях (то есть воплощение их в действительность), — то именно в результате таких преобразований актуализируются основные качест­венные характеристики информации, наиболее важными из которых в практиче­ском плане являются ценность, достоверность и своевременность. Однако на каждом из этапов преобразование информации проходит в условиях действия различных факторов, стремящихся нарушить естественное, то есть бесконфликт­ное течение информационных процессов.

Обобщающим для различных факторов такого рода (объективных и субъектив­ных) является понятие угроз информационной безопасности. Известно большое количество определений угроз информационной безопасности, которые, несмот­ря на различия в деталях, едины в своей сути: под угрозами понимается опас­ность (существующая реально или потенциально) совершения какого-либо дея­ния (действия или бездействия), направленного на нарушение основных свойств информации — конфиденциальности, целостности, доступности. Остановимся на последнем более подробно. Практически все исследователи, рассматривая виды возможных нарушений основных свойств информации, приводят один и тот же перечень:

к угрозам нарушения конфиденциальности информации относят хищение (копирование) и утечку информации;

к угрозам доступности — блокирование информации;

к угрозам целостности — модификацию (искажение информации), отрицание подлинности информации или навязывание ложной информации.

Полномасштабный бизнес в электронном пространстве возможен, но для этого должен быть устранен целый ряд преград, порождающих угрозы информацион­ной безопасности. К ограничениям, сдерживающим реальное развитие сделок через Интернет, можно отнести следующие:

законодательные ограничения объективного характера, например, узаконен­ное требование оформления страхового полиса исключительно в бумажном виде или возможность открытия счетов в банке только на основании бу­мажных оригиналов учредительных и иных документов заявителя (процесс изменения действующего законодательства очень растянут во времени, это требует предельной концентрации сил властей в решении этих наиболее важ­ных для современной России вопросов);

отсутствие методологии построения открытых систем электронного бизнеса, в которых равно защищены все участники сделок;

некорректное применение электронной цифровой подписи (ЭЦП) и недоста­точность правового регулирования данного вопроса;

недостаточную регламентацию организационных, технологических и право­вые вопросов защиты участников сделок в Интернете;

трудности при идентификации сторон соглашения в виде электронной фор­мы договора и установлении его содержания;

отсутствие системного регулирования сделок как таковых и отсутствие еди­ной государственной политики в сфере электронной экономической деятель­ности;

невозможность только саморегулирования киберпространства, так как по аналогии к этой сфере применяется огромное количество действующих нор­мативных актов;

отсутствие единого и главного кодифицированного нормативного акта в сфере «сетевых» отношений, позволяющего исключить разбросанность норм права по различным правовым актам;

отсутствие выработанных фундаментальных принципов защиты прав потре­бителей, которых могли бы придерживаться все страны (сделка в Интернете, осуществляемая предпринимателями из разных стран, вызывает необходимость заключения международного соглашения о правилах электронных сделок);

адаптацию норм коллизионного права (правил конфликта) в сфере электрон­ной коммерции и многое другое.

Описанные выше примеры показывают, что собственно угрозы информацион­ной безопасности, несмотря на их негативное влияние, на новые информацион­ные процессы, являются диалектическим порождением последних: новые реалии информационного сообщества (прогресс) вызывают к жизни новые угрозы. Не­смотря на то что информационный процесс некоторого активного субъекта оста­ется неизменным и в киберпространстве, этому процессу сопутствуют иные (специфические) угрозы, связанные с особенностями существования и передачи информации в новой среде. Таким образом, с точки зрения любой отрасли права (гражданского, административного, уголовного и др.) современные угрозы ин­формационной безопасности не должны быть ограничены известной классифи­кацией, включающей в себя нарушения лишь конфиденциальности, доступности и целостности информации. Новые особенности информационного процесса в современном мире вызывают необходимость обновления содержательного зна­чения термина «угроза информационной безопасности».

Угрозы информационной безопасности в частном секторе можно выявить бла­годаря анализу тенденций финансирования программ в области ИБ, который показывает, что доля организаций, увеличивших за последние 4 года свои годо­вые затраты на обеспечение информационной безопасности до 1 млн долларов, возросла с 8% в 1998 г. до 27% в 2001 г., то есть более чем в 3 раза. При этом ко­личество организаций, затративших на ИБ менее 50 тыс. долларов в год, за этот же период снизилось с 52 до 22%, то есть более чем в 2 раза. Какие же угрозы ИБ побуждают предпринимателей расходовать деньги на их предотвращение?

В результате проведенных в США в период с июля по август 2001 г. исследова­ний на основе выборочного online-onpoca 2500 специалистов в области инфор­мационных технологий были получены следующие экспертные оценки характе­ра и степени внешних и внутренних угроз ИБ, которые вызывают повышенную озабоченность у всех категорий персонала, независимо от занимаемого положе­ния, возраста и пола. Среди внешних угроз ИБ за 2 года практически в 2 раза увеличилось количество инцидентов, связанных с использованием так называе­мых брешей в системном программном обеспечении для несанкционированного проникновения через Интернет в информационные ресурсы. На 10% увеличилось количество случаев нарушения нормальной работы под воздействием программ - вирусов, на 2% увеличилось количество отказов в обслуживании, связанных прак­тически на треть (до 32%) с переполнением буфера спамом, приходящим в элек­тронной почте. Наибольшую проблему представляют происшествия, связанные с отказом в обслуживании (DoS — Denial-of-Service), поскольку в результате их негативного проявления организация, как правило, на длительное время теряет доступ к ресурсам и услугам Интернета. Так, в процессе одного из проведенных в 2001 г. исследований в США в течение трех недель наблюдались и фиксирова­лись результаты и последствия свыше 12 тыс. атак (нападений, вторжений) на 5 тыс. хост-ЭВМ в Интернете, принадлежащих 2 тыс. организаций. Анализ этой статистики выявил, что в 90% случаев продолжительность отказа в обслужива­нии достигала 1 часа, что представляет серьезную опасность для предприятий так называемого непрерывного цикла работы (транспорт, энергетика, связь, не­отложная медицинская помощь и др.).

Анализируя структуру внутренних угроз, эксперты отмечают как наиболее серь­езные с точки зрения нарушения системы мероприятий в области ИБ такие не­гативные проявления человеческого фактора в работе персонала, как самоволь­ная установка и использование нерегламентированного ПО (до 78% внутренних происшествий), увеличение количества случаев использования оборудования и ре­сурсов в личных целях (за 2 года увеличилось на 10%). Одновременно отмечается снижение на 7% количества случаев установки и использования нерегламентиро­ванного оборудования вследствие ужесточения контроля со стороны админист­рации.

Интересно, что эти же тенденции проявляются и в военной области. Проводив­шаяся в феврале 2001 г. Службой генерального инспектора США выборочная проверка условий эксплуатации программного обеспечения, установленного на объектах информационной инфраструктуры МО, показала, что даже в Пентагоне, где действуют жесткая дисциплина и порядок, наблюдаются серьезные нарушения правил информационной безопасности. В частности, в нарушение официальных регламентирующих документов (DOD Instruction 5200.40, DOD Directive 5200.28), устанавливающих «личную ответственность со стороны персонала за каждым закрепленным программным продуктом», далеко не все используемые систем­ные и прикладные приложения имеют своих постоянных владельцев. Кроме того, несмотря на существующий порядок, определяющий сроки эксплуатации приложений после их обязательной сертификации, распространена практика ис­пользования так называемых «летучих голландцев» — не учтенных программ и программ с просроченными сертификатами.

Результаты проверки оказались для руководства Пентагона неутешительными: из 4939 приложений, учтенных в базе данных Управления информационных систем МО, были идентифицированы как уникальные (не повторяющиеся по названию) 1365, из которых только 36,7% полностью удовлетворяли требовани­ям ИБ (имели сертификаты и ответственных за эксплуатацию), 40% частично удовлетворяли этим требованиям, а 23,3% не удовлетворяли полностью. По мне­нию экспертов, наличие такого большого количества (288) программных продук­тов, не имеющих необходимых сертификатов и ответственных за их эксплуата­цию сотрудников, несет в себе потенциальную угрозу для безопасности не только военной, но и национальной инфраструктуры в целом.

Контрольные вопросы

Что такое информация? Какое значение играет информация в современной жизни человека?

Перечислите основные законодательные и нормативно-правовые документы, освещающие вопросы информационной безопасности и защиты информации.

Какие основные виды угроз информационной безопасности перечислены в Док­трине ИБ РФ? Перечислите основные угрозы ИБ каждого из видов.