32. Национальные интересы рф и стратегические национальные приоритеты.

Национальные интересы России - это совокупность сбалансированных интересов личности, общества и государства в различных сферах жизнедеятельности: экономической, внутриполитической, социальной, международной, информационной, военной, пограничной, экологической и других.

33. Понятие, сущность и виды защищаемой информации.

защищаемая информация – «информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации».

34. Права и обязанности обладателя информации.

обладатель информации вправе:

1) разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа;

2) использовать информацию, в том числе распространять ее, по своему усмотрению;

3) передавать информацию другим лицам по договору или на ином установленном законом основании;

4) защищать установленными законом способами свои права в случае незаконного получения информации или ее незаконного использования иными лицами;

5) осуществлять иные действия с информацией или разрешать осуществление таких действий.

Обязанности обладателя информации:

1) соблюдать права и законные интересы иных лиц;

2) принимать меры по защите информации;

3) ограничивать доступ к информации, если такая обязанность установлена федеральными законами.

35. Идентификация и аутентификация, управление доступом и авторизация, протоколирование и аудит.

Идентификация - позволяет субъекту (пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту) назвать себя (сообщить свое имя).

Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает.

Управление доступом. Обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.

Авторизация – предоставление определенных полномочий лицу (группе лиц) на выполнение некоторых действий в системе обработки данных.

36. Основные факторы влияющие на состояние иб рф.

Одним из основных негативных факторов, влияющих на состояние информационной безопасности, является наращивание рядом зарубежных стран возможностей информационно-технического воздействия на информационную инфраструктуру в военных целях.

Одновременно с этим усиливается деятельность организаций, осуществляющих техническую разведку в отношении российских государственных органов, научных организаций и предприятий оборонно-промышленного комплекса.

37. Основные объекты ИБ РФ

К объектам информационной безопасности Российской Федерации относятся:

1. Информационные ресурсы, вне зависимости от форм хранения, содержащие информацию, составляющую государственную тайну и ограниченного доступа, коммерческую тайну и другую конфиденциальную информацию, а также открытую (общедоступную) информацию и знания;

2. Система формирования, распространения и использования информационных ресурсов, включающая в себя информационные системы различного класса и назначения, библиотеки, архивы, базы и банки данных, информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, научно-технический и обслуживающий персонал;

3. Информационная инфраструктура, включающая центры обработки и анализа информации, каналы информационного обмена и телекоммуникации, механизмы обеспечения функционирования телекоммуникационных систем и сетей, в том числе системы и средства защиты информации;

4. Система формирования общественного сознания (мировоззрение, политические взгляды, моральные ценности и пр.), базирующаяся на средствах массовой информацией пропаганды;

5. Права граждан, юридических лиц и государства на получение, распространение и использование информации, защиту конфиденциальной информации и интеллектуальной собственности.

Информационная безопасность всех вышеуказанных объектов создает условия надежного функционирования государственных и общественных институтов, а также формирования общественного сознания, отвечающего прогрессивному развитию стран

38. Особенности обеспечения ИБ в оборонной сфере

К объектам обеспечения информационной безопасности Российской Федерации в сфере обороны относятся:

1. Информационная инфраструктура центральных органов военного управления и органов военного управления видов Вооруженных Сил Российской Федерации и родов войск, объединений, соединений, воинских частей и организаций, входящих в Вооруженные Силы Российской Федерации, научно-исследовательских учреждений Министерства обороны Российской Федерации;

2. Информационные ресурсы предприятий оборонного комплекса и научно-исследовательских учреждений, выполняющих государственные оборонные заказы либо занимающихся оборонной проблематикой;

3. Программно-технические средства автоматизированных и автоматических систем управления войсками и оружием, вооружения и военной техники, оснащенных средствами информатизации;

информационные ресурсы, системы связи и информационная инфраструктура других войск, воинских формирований и органов.

Внешними угрозами, представляющими наибольшую опасность для объектов обеспечения информационной безопасности Российской Федерации в сфере обороны, являются:

1. Все виды разведывательной деятельности зарубежных государств;

информационно-технические воздействия (в том числе радиоэлектронная борьба, проникновение в компьютерные сети) со стороны вероятных противников;

2. Диверсионно-подрывная деятельность специальных служб иностранных государств, осуществляемая методами информационно-психологического воздействия;

3. Деятельность иностранных политических, экономических и военных структур, направленная против интересов Российской Федерации в сфере обороны.

Внутренними угрозами, представляющими наибольшую опасность для указанных объектов, являются:

1. Нарушение установленного регламента сбора, обработки, хранения и передачи информации, находящейся в штабах и учреждениях Министерства обороны Российской Федерации, на предприятиях оборонного комплекса;

2. Преднамеренные действия, а также ошибки персонала информационных и телекоммуникационных систем специального назначения;

ненадежное функционирование информационных и телекоммуникационных систем специального назначения;

3. Возможная информационно-пропагандистская деятельность, подрывающая престиж Вооруженных Сил Российской Федерации и их боеготовность;

4. Нерешенность вопросов защиты интеллектуальной собственности предприятий оборонного комплекса, приводящая к утечке за рубеж ценнейших государственных информационных ресурсов;

5. Нерешенность вопросов социальной защиты военнослужащих и членов их семей.

Перечисленные внутренние угрозы будут представлять особую опасность в условиях обострения военно-политической обстановки.

Главными специфическими направлениями совершенствования системы обеспечения информационной безопасности Российской Федерации в сфере обороны являются:

1. Систематическое выявление угроз и их источников, структуризация целей обеспечения информационной безопасности в сфере обороны и определение соответствующих практических задач;

2. Проведение сертификации общего и специального программного обеспечения, пакетов прикладных программ и средств защиты информации в существующих и создаваемых автоматизированных системах управления военного назначения и системах связи, имеющих в своем составе элементы вычислительной техники;

3. Постоянное совершенствование средств защиты информации от несанкционированного доступа, развитие защищенных систем связи и управления войсками и оружием, повышение надежности специального программного обеспечения;

4. Совершенствование структуры функциональных органов системы обеспечения информационной безопасности в сфере обороны и координация их взаимодействия;

5. Совершенствование приемов и способов стратегической и оперативной маскировки, разведки и радиоэлектронной борьбы, методов и средств активного противодействия информационно-пропагандистским и психологическим операциям вероятного противника;

6. Подготовка специалистов в области обеспечения информационной безопасности в сфере обороны.

39.Особенности обеспечения ИБ в общегосударственных телекоммуникационных системах

Основными объектами обеспечения информационной безопасности Российской Федерации в общегосударственных информационных и телекоммуникационных системах являются:

1. Информационные ресурсы, содержащие сведения, отнесенные к государственной тайне, и конфиденциальную информацию;

2. Средства и системы информатизации (средства вычислительной техники, информационно-вычислительные комплексы, сети и системы), программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение), автоматизированные системы управления, системы связи и передачи данных, осуществляющие прием, обработку, хранение и передачу информации ограниченного доступа, их информативные физические поля;

3. Технические средства и системы, обрабатывающие открытую информацию, но размещенные в помещениях, в которых обрабатывается информация ограниченного доступа, а также сами помещения, предназначенные для обработки такой информации;

4. Помещения, предназначенные для ведения закрытых переговоров, а также переговоров, в ходе которых оглашаются сведения ограниченного доступа.

Основными угрозами информационной безопасности Российской Федерации в общегосударственных информационных и телекоммуникационных системах являются:

1. Деятельность специальных служб иностранных государств, преступных сообществ, организаций и групп, противозаконная деятельность отдельных лиц, направленная на получение несанкционированного доступа к информации и осуществление контроля за функционированием информационных и телекоммуникационных систем;

2. Вынужденное в силу объективного отставания отечественной промышленности использование при создании и развитии информационных и телекоммуникационных систем импортных программно-аппаратных средств;

3. Нарушение установленного регламента сбора, обработки и передачи информации, преднамеренные действия и ошибки персонала информационных и телекоммуникационных систем, отказ технических средств и сбои программного обеспечения в информационных и телекоммуникационных системах;

4. Использование несертифицированных в соответствии с требованиями безопасности средств и систем информатизации и связи, а также средств защиты информации и контроля их эффективности;

5. Привлечение к работам по созданию, развитию и защите информационных и телекоммуникационных систем организаций и фирм, не имеющих государственных лицензий на осуществление этих видов деятельности.

Основными направлениями обеспечения информационной безопасности Российской Федерации в общегосударственных информационных и телекоммуникационных системах являются:

1. Предотвращение перехвата информации из помещений и с объектов, а также информации, передаваемой по каналам связи с помощью технических средств;

2. Исключение несанкционированного доступа к обрабатываемой или хранящейся в технических средствах информации;

3. Предотвращение утечки информации по техническим каналам, возникающей при эксплуатации технических средств ее обработки, хранения и передачи;

4. Предотвращение специальных программно-технических воздействий, вызывающих разрушение, уничтожение, искажение информации или сбои в работе средств информатизации;

5. Обеспечение информационной безопасности при подключении общегосударственных информационных и телекоммуникационных систем к внешним информационным сетям, включая международные;

6. Обеспечение безопасности конфиденциальной информации при взаимодействии информационных и телекоммуникационных систем различных классов защищенности;

7. Выявление внедренных на объекты и в технические средства электронных устройств перехвата информации.

Основными организационно-техническими мероприятиями по защите информации в общегосударственных информационных и телекоммуникационных системах являются:

1. Лицензирование деятельности организаций в области защиты информации;

2. Аттестация объектов информатизации по выполнению требований обеспечения защиты информации при проведении работ, связанных с использованием сведений, составляющих государственную тайну;

3. Сертификация средств защиты информации и контроля эффективности их использования, а также защищенности информации от утечки по техническим каналам систем и средств информатизации и связи;

4. Введение территориальных, частотных, энергетических, пространственных и временных ограничений в режимах использования технических средств, подлежащих защите;

5. Создание и применение информационных и автоматизированных систем управления в защищенном исполнении.

40.Способы воздействия угроз на объекты ИБ РФ

Способы воздействия угроз на объекты информационной безопасности в Российской Федерации подразделяются на информационные, программно-математические, физические, радиоэлектронные, организационно-правовые.

К информационным способам относятся:

1. Нарушения адресности и своевременности информационного обмена, противозаконный сбор и использование информации;

2. Несанкционированный доступ к информационным ресурсам;

3. Манипулирование информацией. (дезинформация, сокрытие или искажение информации);

4. Незаконное копирование данных в информационных системах;

5. Использование средств массовой информации с позиций, противоречащих интересам граждан, организаций и государства;

6. Хищение информации из библиотек, архивов, банков и баз данных;

7. Нарушение технологии обработки информации.

Программно-математические способы включают:

1. Внедрение программ-вирусов;

2. Установку программных и аппаратных закладных устройств; уничтожение или модификацию данных в информационных системах. Физические способы включают:

3. Уничтожение или разрушение средств обработки информации и связи;

4. Уничтожение, разрушение или хищение машинных или других оригиналов носителей информации;

5. Хищение программных или аппаратных ключей и средств криптографической защиты информации;

6. Воздействие на персонал;

7. Поставка "зараженных" компонентов информационных систем.

Радиоэлектронными способами являются:

1. Перехват информации в технических каналах ее утечки;

2. Внедрение электронных устройств перехвата информации в технических средствах й помещениях;

3. Перехват, дешифрование и навязывание ложной информации в сетях передачи данных и линиях связи;

4. Воздействие на парольно-ключевые системы;

5. Радиоэлектронное подавление линий связи и систем управления.

Организационно-правовые способы включают:

1. Закупки несовершенных или устаревших информационных технологий и средств информатизации;

2. Невыполнение требований законодательства и задержки в принятии необходимых нормативно-правовых положений в информационной сфере;

3. Неправомерное ограничение доступа к документам, содержащим важную для граждан и организаций информацию.

41. Особенности обеспечения ИБ в сфере экономики

Утверждается, что воздействию угроз информационной безопасности Российской Федерации в сфере экономики наиболее подвержены:

- система государственной статистики;

- кредитно-финансовая система;

- информационные и учетные автоматизированные системы подразделений федеральных органов исполнительной власти, обеспечивающих деятельность общества и государства в сфере экономики;

- системы бухгалтерского учета предприятий, учреждений и организаций независимо от формы собственности;

- системы сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации и информации о внешнеэкономической деятельности государства, а также предприятий, учреждений и организаций независимо от формы собственности.

В качестве основных мер по обеспечению информационной безопасности Российской Федерации в сфере экономики Доктриной провозглашаются:

- организация и осуществление государственного контроля за созданием, развитием и защитой систем и средств сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;

- коренная перестройка системы государственной статистической отчетности в целях обеспечения достоверности, полноты и защищенности информации, осуществляемая путем введения строгой юридической ответственности должностных лиц за подготовку первичной информации, организацию контроля за деятельностью этих лиц и служб обработки и анализа статистической информации, а также путем ограничения коммерциализации такой информации;

- разработка национальных сертифицированных средств защиты информации и внедрение их в системы и средства сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;

- разработка и внедрение национальных защищенных систем электронных платежей на базе интеллектуальных карт, систем электронных денег и электронной торговли, стандартизация этих систем, а также разработка нормативной правовой базы, регламентирующей их использование;

- совершенствование нормативной правовой базы, регулирующей информационные отношения в сфере экономики;

- совершенствование методов отбора и подготовки персонала для работы в системах сбора, обработки, хранения и передачи экономической информации.

43. Федеральный закон от 8 августа 2001 г. № 128-ФЗ "О лицензировании отдельных видов деятельности" (с изменениями и дополнениями)

Регулирует отношения, возникающие в связи с осуществлением лицензирования отдельных видов деятельности. Распространяется на все органы государственной власти, органы местного самоуправления, юридические лица и индивидуальных предпринимателей.

Определяет порядок лицензирования и виды деятельности, на осуществление которых требуются лицензии.

На какие сферы его действие не распространяется:

деятельность кредитных организаций;

деятельность, связанная с защитой государственной тайны;

деятельность в области производства и оборота этилового спирта, алкогольной и спиртосодержащей продукции;

деятельность в области связи;

биржевая деятельность;

деятельность в области таможенного дела;

нотариальная деятельность;

страховая деятельность;

деятельность профессиональных участников рынка ценных бумаг;

осуществление внешнеэкономических операций;

осуществление международных автомобильных перевозок грузов и пассажиров;

приобретение оружия и патронов к нему;

использование результатов интеллектуальной деятельности;

использование орбитально-частотных ресурсов и радиочастот для осуществления телевизионного вещания и радиовещания (в том числе вещания дополнительной информации);

использование природных ресурсов, в том числе недр, лесного фонда, объектов растительного и животного мира;

деятельность, работы и услуги в области использования атомной энергии;

образовательная деятельность.

К лицензируемым видам деятельности относятся виды деятельности, осуществление которых может повлечь за собой нанесение ущерба правам, законным интересам, здоровью граждан, обороне и безопасности государства, культурному наследию народов Российской Федерации и регулирование которых не может осуществляться иными методами, кроме как лицензированием (статья 4).

В целях обеспечения единства экономического пространства на территории Российской Федерации Правительство Российской Федерации в соответствии с определенными Президентом Российской Федерации основными направлениями внутренней политики государства (статья 5):

утверждает положения о лицензировании конкретных видов деятельности;

определяет федеральные органы исполнительной власти, осуществляющие лицензирование конкретных видов деятельности;

устанавливает виды деятельности, лицензирование которых осуществляется органами исполнительной власти субъектов Российской Федерации.

Лицензирующие органы осуществляют следующие полномочия:

предоставление лицензий;

переоформление документов, подтверждающих наличие лицензий;

приостановление действия лицензий;

возобновление действия лицензий;

аннулирование лицензий;

ведение реестра лицензий;

контроль за соблюдением лицензиатами при осуществлении лицензируемых видов деятельности соответствующих лицензионных требований и условий.

В целях Федерального закона применяются следующие понятия:

Лицензия – специальное разрешение на осуществление конкретного вида деятельности при обязательном соблюдении лицензионных требований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю.

Лицензируемый вид деятельности – вид деятельности, на осуществление которого на территории Российской Федерации требуется получение лицензии в соответствии с Федеральным законом.

Лицензирование – мероприятия, связанные с предоставлением лицензий, переоформлением документов, подтверждающих выдачу лицензий, приостановлением действия лицензий в случае административного приостановления деятельности лицензиатов за нарушение лицензионных требований и условий, возобновлением или прекращением действия лицензий, аннулированием лицензий, контролем лицензирующих органов за соблюдением лицензиатами при осуществлении лицензируемых видов деятельности соответствующих лицензионных требований и условий, введением регистра лицензий, а также с предоставлением в установленном порядке заинтересованным лицам сведений из реестров лицензий и иной информации о лицензировании.

Лицензиат – юридическое лицо или индивидуальный предприниматель, имеющие лицензию на осуществление конкретного вида деятельности.

Лицензионные требования и условия – совокупность установленных положениями о лицензировании конкретных видов деятельности требований и условий, выполнение которых лицензиатом обязательно при осуществлении лицензируемого вида деятельности.

Лицензирующие органы – федеральные органы исполнительной власти, органы исполнительной власти субъектов Российской Федерации, осуществляющие лицензирование в соответствии с Федеральным законом.

Соискатель лицензии – юридическое лицо или индивидуальный предприниматель, обратившиеся в лицензирующий орган с заявлением о предоставлении лицензии на осуществление конкретного вида деятельности.

Реестр лицензий – совокупность данных о предоставлении лицензий, переоформлении документов, подтверждающих наличие лицензий, приостановлении и возобновлении действия лицензий и об аннулировании лицензий.

Срок действия лицензии не может быть менее чем пять лет. Срок действия лицензии по его окончании может быть продлен по заявлению лицензиата. Положениями о лицензировании конкретных видов деятельности может быть предусмотрено бессрочное действие лицензии.

Наряду с обычным порядком вводится и упрощенный порядок лицензирования. Он может применяться, если соискатель лицензии заключил договор страхования гражданской ответственности либо имеет сертификат соответствия осуществляемого им лицензируемого вида деятельности международным стандартам. При применении упрощенного порядка лицензирования срок рассмотрения предоставленных документов составляет не более 15 дней.

Лицензирующие органы имеют право:

-проводить проверки деятельности лицензиата на предмет ее соответствия лицензионным требованиям и условиям;

-запрашивать у лицензиата необходимые объяснения и документы при проведении проверок;

-составлять на основании результатов проверок акты (протоколы) с указанием конкретных нарушений;

-выносить решения, обязывающие лицензиата устранить выявленные нарушения, устанавливать сроки устранения таких нарушений;

-выносить предупреждение лицензиату.

Перечень лицензируемых видов деятельности. К защите информации среди них относятся:

-деятельность по распространению шифровальных (криптографических) средств;

-деятельность по техническому обслуживанию шифровальных (криптографических) средств;

-предоставление услуг в области шифрования информации;

-разработка, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем;

-деятельность по выдаче сертификатов ключей электронных цифровых подписей, регистрации владельцев электронных цифровых подписей, оказанию услуг, связанных с использованием электронных цифровых подписей, и подтверждению подлинности электронных цифровых подписей;

-деятельность по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);

-деятельность по разработке и (или) производству средств защиты конфиденциальной информации;

-деятельность по технической защите конфиденциальной информации;

-разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляющими предпринимательскую деятельность;

-деятельность по проведению экспертизы промышленной безопасности;

производство работ по монтажу, ремонту и обслуживанию средств обеспечения пожарной безопасности зданий и сооружений;

-деятельность по эксплуатации электрических сетей (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);

-негосударственная (частная) охранная деятельность;

-негосударственная (частная) сыскная деятельность;

-публичный показ аудиовизуальных произведений, если указанная деятельность осуществляется в кинозале;

-воспроизведение (изготовление экземпляров) аудиовизуальных произведений и фонограмм на любых видах носителей;

-аудиторская деятельность.

Здесь также перечислены виды деятельности, по отношению к которым может применяться упрощенный порядок лицензирования.

44. Постановление Правительства от 29 декабря 2007 г. N 957 «Об утверждении положений о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами» (вместо Постановления от 23 сентября 2002 г. N 691).

Постановление утверждает:

-Положение о лицензировании деятельности по распространению шифровальных (криптографических) средств;

-Положение о лицензировании деятельности по техническому обслуживанию шифровальных (криптографических) средств;

-Положение о лицензировании предоставления услуг в области шифрования информации;

-Положение о лицензировании разработки, производства шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем.

Термины:

К шифровальным (криптографическим) средствам (средствам криптографической защиты информации) относятся:

а) средства шифрования - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации от несанкционированного доступа при ее передаче по каналам связи и (или) при ее обработке и хранении;

б) средства имитозащиты - аппаратные, программные и аппаратно- программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;

в) средства электронной цифровой подписи - аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи;

г) средства кодирования - средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;

Основные положения:

1. Положения не распространяются на деятельность для:

- шифровальных (криптографических) средств, предназначенных для защиты информации, содержащей сведения, составляющие государственную тайну;

- шифровальных (криптографических) средств независимо от их назначения, реализующих симметричные криптографические алгоритмы и обладающих максимальной длиной криптографического ключа менее 56 бит, а также реализующих асимметричные криптографические алгоритмы, основанные либо на разложении на множители целых чисел, либо на вычислении дискретных логарифмов в мультипликативной группе конечного поля, либо на дискретном логарифме в группе, отличной от названной, и обладающих максимальной длиной криптографического ключа 128 бит;

- беспроводного оборудования, осуществляющего шифрование информации только в радиоканале с максимальной дальностью беспроводного действия без усиления и ретрансляции менее 400 м в соответствии с техническими условиями производителя (за исключением оборудования, используемого на критически важных объектах);

- шифровальных (криптографических) средств, используемых для защиты технологических каналов информационно-телекоммуникационных систем и сетей, не относящихся к критически важным объектам.

2. Уменьшилось число лицензионных требований, но теперь они могут быть дополнены требованиями ФСБ, которые в настоящее время неизвестны. (сюда же относится пункт с терминами прям весь)

3. Лицензирование деятельности по распространению шифровальных (криптографических) средств осуществляется Федеральной службой безопасности Российской Федерации (далее - лицензирующий орган).

4. Лицензионными требованиями и условиями при распространении шифровальных (криптографических) средств являются:

а) наличие у соискателя лицензии (лицензиата) на праве собственности или на ином законном основании помещений, технологического, испытательного, контрольно-измерительного оборудования, иных объектов и сооружений, необходимых для осуществления лицензируемой деятельности;

б) наличие в штате у соискателя лицензии (лицензиата) следующего квалифицированного персонала:

руководитель и (или) лицо, уполномоченное руководить работами по лицензируемой деятельности, имеющие высшее профессиональное образование и (или) профессиональную подготовку в области информационной безопасности, а также стаж работы в этой области не менее 5 лет;

инженерно-технические работники, имеющие высшее профессиональное образование или прошедшие переподготовку (повышение квалификации) в области информационной безопасности с получением специализации, необходимой для работы с шифровальными (криптографическими) средствами;

в) выполнение соискателем лицензии (лицензиатом) при осуществлении лицензируемой деятельности требований, устанавливаемых в соответствии со статьями 11.2 и 13 Федерального закона "О федеральной службе безопасности";

г) представление соискателем лицензии (лицензиатом) в лицензирующий орган перечня шифровальных (криптографических) средств, в том числе иностранного производства, не имеющих сертификата Федеральной службы безопасности Российской Федерации или Федерального агентства правительственной связи и информации при Президенте Российской Федерации, технической документации, определяющей состав, характеристики и условия эксплуатации этих средств, и (или) образцов шифровальных (криптографических) средств;

д) использование соискателем лицензии (лицензиатом) программ для электронно-вычислительных машин и баз данных на основании договора, заключенного с правообладателем, в соответствии со статьей 14 Закона Российской Федерации "О правовой охране программ для электронных вычислительных машин и баз данных".

Лицензионный контроль за соблюдением лицензиатом лицензионных требований и условий будет осуществляется в соответствии с Федеральным законом "О защите прав юридических лиц и индивидуальных предпринимателей при проведении государственного контроля (надзора)".

5. Осуществление лицензируемой деятельности с нарушением, в том числе с грубым нарушением, лицензионных требований и условий влечет за собой ответственность, установленную законодательством Российской Федерации.

6. Для получения лицензии соискатель лицензии представляет (направляет) в лицензирующий орган заявление о предоставлении лицензии и документы, предусмотренные пунктом 1 статьи 9 Федерального закона "О лицензировании отдельных видов деятельности", а также:

а) копии документов, подтверждающих наличие у руководителя (лица, уполномоченного руководить работами по осуществлению лицензируемой деятельности) и инженерно-технических работников высшего профессионального образования или прохождение ими переподготовки (повышение их квалификации) в области защиты информации с использованием криптографических методов и средств обеспечения информационной безопасности, а также необходимый стаж работы в области лицензируемой деятельности;

б) копии документов, подтверждающих наличие у соискателя лицензии на праве собственности или на ином законном основании помещений, технологического, испытательного, контрольно- измерительного оборудования, иных объектов и сооружений, необходимых для осуществления лицензируемой деятельности.

7. Копии документов, указанных в подпунктах "а" и "б" пункта 6 настоящего Положения, подписываются (заверяются) соискателем лицензии.

8. Лицензирующий орган проводит проверку полноты сведений, содержащихся в документах, представленных в соответствии с пунктом 6 настоящего Положения. В случае выявления неполноты сведений лицензирующий орган в срок, не превышающий 10 дней, направляет (вручает) соискателю лицензии уведомление о необходимости представления недостающих сведений.

9. При рассмотрении заявления о предоставлении лицензии лицензирующий орган проводит проверку достоверности сведений о соискателе лицензии, содержащихся в представленных в соответствии с пунктом 6 настоящего Положения документах.

10. В случае утраты документа, подтверждающего наличие лицензии, лицензирующий орган выдает его дубликат на основании письменного заявления лицензиата в течение 10 дней с даты получения заявления.

Дубликат оформляется в 2 экземплярах (на каждом проставляется пометка "дубликат"), один из которых направляется (вручается) лицензиату, а другой - хранится в лицензионном деле лицензиата.

В случае необходимости лицензирующий орган выдает заверенную им копию документа, подтверждающего наличие лицензии, на основании письменного заявления лицензиата и оригинала указанного документа в течение 10 дней с даты получения заявления.

11. Срок действия лицензии составляет 5 лет. Срок действия лицензии по его окончании может быть продлен по заявлению лицензиата в порядке, предусмотренном для переоформления документа, подтверждающего наличие лицензии.

12. Лицензионный контроль за соблюдением лицензиатом лицензионных требований и условий осуществляется в соответствии с Федеральным законом "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля".

13. Информация, относящаяся к осуществлению лицензируемой деятельности, предусмотренная пунктом 2 статьи 6 и пунктом 1 статьи 14 Федерального закона "О лицензировании отдельных видов деятельности", размещается в официальных электронных или печатных средствах массовой информации лицензирующего органа в течение 10 дней с даты:

а) официального опубликования нормативных правовых актов, устанавливающих обязательные требования к лицензируемой деятельности;

б) принятия лицензирующим органом решения о предоставлении лицензии, переоформлении документа, подтверждающего наличие лицензии, приостановлении или возобновлении действия лицензии;

в) получения сведений о ликвидации юридического лица или прекращении его деятельности в результате реорганизации, а также о прекращении физическим лицом деятельности в качестве индивидуального предпринимателя;

г) вступления в законную силу решения суда об аннулировании лицензии.

14. Доступ к указанной в пункте 13 настоящего Положения информации является свободным и безвозмездным.

15. Принятие лицензирующим органом решения о предоставлении лицензии (об отказе в предоставлении лицензии), переоформлении документа, подтверждающего наличие лицензии, приостановлении, возобновлении действия лицензии, а также ведение реестра лицензий и предоставление сведений, содержащихся в нем, осуществляются в порядке, установленном Федеральным законом "О лицензировании отдельных видов деятельности".

16. За предоставление лицензирующим органом лицензии, переоформление документа, подтверждающего наличие лицензии, выдачу дубликата документа, подтверждающего наличие лицензии, и продление срока действия лицензии уплачивается государственная пошлина в размерах и порядке, которые установлены законодательством Российской Федерации о налогах и сборах.

45. Федеральный закон от 27 декабря 2002 г. № 184-ФЗ "О техническом регулировании"

Федеральный закон "О техническом регулировании" является системообразующим для построения принципиально новой системы сертификации и стандартизации, в которой бы учитывались демократические принципы нормативного регулирования, повышался бы уровень безопасности потребителей продукции и услуг, а также учитывались реалии рыночного устройства экономических отношений.

Основной упор в Федеральном законе «О техническом регулировании» делается на сужение сферы обязательной стандартизации и подтверждения соответствия и расширении добровольности таких действий. При этом подразумевается, что именно рыночная конъюнктура подтолкнет производителей осуществлять данную деятельность, чтобы обеспечить конкурентоспособность производимой продукции.

В законе даны определения ряда понятий.

Аккредитация – официальное признание органом по аккредитации компетентности физического или юридического лица выполнять работы в определенной области оценки соответствия.

Знак соответствия – обозначение, служащее для информирования приобретателей о соответствии объекта сертификации требованиям системы добровольной сертификации или национальному стандарту.

Сертификация – форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов или условиям договоров.

Сертификат соответствия – документ, удостоверяющий соответствие объекта требованиям технических регламентов, положениям стандартов или условиям договоров.

Стандарт – документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг. Стандарт также может содержать требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения.

Стандартизация – деятельность по установлению правил и характеристик в целях их добровольного многократного использования, направленная на достижение упорядоченности в сферах производства и обращения продукции и повышения конкурентоспособности продукции, работ или услуг.

Техническое регулирование – правовое регулирование отношений в области установления, применения и исполнения обязательных требований к продукции, процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнение работ или оказание услуг и правовое регулирование отношений в области оценки соответствия.

Технический регламент – документ, который принят международным договором Российской Федерации, ратифицированным в порядке, установленном законодательством, или федеральным законом, или указом Президента, или постановлением Правительства, и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования (продукции, в том числе зданиям, строениям и сооружениям, процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации).

В качестве основных принципов технического регулирования в Законе приняты следующие:

-независимость органов по аккредитации и сертификации от изготовителей, продавцов, исполнителей и приобретателей;

-единая система и правила аккредитации;

-единство правил и методов исследований (испытаний) и измерений при проведении процедур обязательной оценки соответствия;

-единство применения требований технических регламентов независимо от видов или особенностей сделок;

-недопустимость совмещения одним органом полномочий на аккредитацию и сертификацию и др.

-В Законе предписано федеральным органам исполнительной власти издавать в сфере технического регулирования акты только рекомендательного характера, за исключением случаев, связанных с оборонной продукцией и продукцией, сведения о которой составляют государственную тайну.

-Основное новшество в новом Законе – технический регламент, который устанавливает минимально необходимые требования, обеспечивающие безопасность в различных сферах, а также электромагнитную совместимость в части обеспечения безопасности работы приборов и оборудования, а также единство измерений.

-В качестве основы технического регламента могут использоваться международные и/или национальные стандарты.

-Технический регламент принимается федеральным законом или постановлением Правительства РФ и вступает в силу не ранее чем через 6 месяцев со дня его официального опубликования.

Большое внимание в Законе уделено вопросам стандартизации. Определены цели и принципы стандартизации. Одним из принципов является добровольное применение стандартов.

К документам в области стандартизации, используемым на территории Российской Федерации, относятся:

-национальные стандарты;

-правила стандартизации, нормы и рекомендации в области стандартизации;

-общероссийские классификаторы технико-экономической и социальной информации;

-стандарты организаций.

Стандарты организаций, в том числе коммерческих, общественных, научных и саморегулируемых организаций, объединений юридических лиц могут разрабатываться в целях, не противоречащих настоящему закону. Проект стандарта может представляться в технический комитет по стандартизации, который проводит его экспертизу.

Четвертая глава закона посвящена подтверждению соответствия, означающему, что представляемая продукция, процессы и др. соответствует техническим регламентам, стандартам, условиям договоров. Подтверждение соответствия на территории РФ может носить добровольный или обязательный характер. Подробнее об этом будет сказано в 4 главе настоящего издания.

В пятой главе закона рассмотрены вопросы, связанные с аккредитацией органов по сертификации и испытательных лабораторий (центров).

Шестая глава посвящена государственному контролю (надзору) за соблюдением технических регламентов.

Седьмая глава посвящена ответственности за несоответствие продукции и др. требованиям технических регламентов и порядка отзыва продукции из обращения.

Восьмая глава "Информация о технических регламентах и документах по стандартизации" определяет порядок публикации информации о технических регламентах. Здесь также описано назначение Федерального информационного фонда технических регламентов и стандартов.

В заключительных положениях записано, что технические регламенты должны быть приняты в течение 7 лет со дня вступления в силу этого закона. Здесь также описан порядок работы до вступления в силу технических регламентов.

Реализация положений этого закона и контроль за их исполнением возложена на Федеральное агентство по техническому регулированию и метрологии.

46. Федеральный закон от 29 июля 2004 г. № 98-ФЗ "О коммерческой тайне". Основное содержание, общие положения. Термины и определения.

Регулирует отношения, связанные с отнесением информации к коммерческой тайне, передачей такой информации, охраной ее конфиденциальности в целях обеспечения баланса интересов обладателей информации, составляющей коммерческую тайну, и других участников регулируемых отношений, в том числе государства, на рынке товаров, работ, услуг и предупреждения недобросовестной конкуренции, а также определяет сведения, которые не могут составлять коммерческую тайну.

Положения Закона распространяются на информацию, составляющую коммерческую тайну, независимо от вида носителя, на котором она зафиксирована.

В Законе используются следующие основные понятия:

Коммерческая тайна – конфиденциальность информации, позволяющая ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду.

Информация, составляющая коммерческую тайну – научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны.

Режим коммерческой тайны – правовые, организационные, технические и иные принимаемые обладателем информации, составляющей коммерческую тайну, меры по охране ее конфиденциальности.

Обладатель информации, составляющей коммерческую тайну – лицо, которое владеет информацией, составляющей коммерческую тайну, на законном основании, ограничило доступ к этой информации и установило в отношении ее режим коммерческой тайне.

Доступ к информации, составляющей коммерческую тайну – ознакомление определенных лиц с информацией, составляющей коммерческую тайну, с согласия ее обладателя или на ином законном основании при условии сохранения конфиденциальности этой информации.

Разглашение информации, составляющей коммерческую тайну – действие или бездействие, в результате которых информация, составляющая коммерческую тайну, в любой возможной форме (устной, письменной, или иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации либо вопреки трудовому или гражданско-правовому договору.

Информация признаётся составляющей коммерческую тайну при наличии следующих признаков:

- информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности её третьим лицам;

- отсутствует свободный доступ к информации;

- обладатель информации принимает меры к охране её конфиденциальности.

47. Закон Российской Федерации от 21 июля 1993 г. № 5485-1 "О государственной тайне" (с изменениями и дополнениями). Основное содержание, общие положения. Термины и определения.

Определяет основные понятия, полномочия органов государственной власти и должностных лиц в области отнесения сведений к государственной тайне и их защиты. Дает перечень сведений, которые могут быть отнесены к государственной тайне. Указывает принципы засекречивания сведений, перечисляет сведения, не подлежащие засекречиванию, устанавливает степени секретности сведений и грифы секретности носителей этих сведений. Описывает порядок отнесения сведений к государственной тайне, порядок рассекречивания сведений.

Положения Закона обязательны для исполнения на территории Российской Федерации и за ее пределами органами законодательной, исполнительной и судебной властей, местного самоуправления, предприятиями, учреждениями и организациями независимо от их организационно-правовой формы и формы собственности, должностными лицами и гражданами Российской Федерации, взявшими на себя обязательства либо обязанными по своему статусу исполнять требования законодательства Российской Федерации о государственной тайне (статья 1).

В Законе используются следующие основные понятия:

государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации;

носители сведений, составляющих государственную тайну, – материальные объекты, в том числе физические поля, в которых сведения, составляющие государственную тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов;

система защиты государственной тайны – совокупность органов защиты государственной тайны, используемых ими средств и методов защиты сведений, составляющих государственную тайну, и их носителей, а также мероприятий, проводимых в этих целях;

допуск к государственной тайне – процедура оформления права граждан на доступ к сведениям, составляющим государственную тайну, а предприятий, учреждений и организаций – на проведение работ с использованием таких сведений;

доступ к сведениям, составляющим государственную тайну, – санкционированное полномочным должностным лицом ознакомление конкретного лица со сведениями, составляющими государственную тайну;

гриф секретности – реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемые на самом носителе и (или) в сопроводительной документации на него;

средства защиты информации – технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.

перечень сведений, составляющих государственную тайну, –совокупность категорий сведений, в соответствии с которыми сведения относятся к государственной тайне и засекречиваются на основаниях и в порядке, установленных федеральным законодательством.

В Законе определяются и законодательно закрепляются полномочия органов государственной власти и должностных лиц в области отнесения сведений к государственной тайне и их защиты (статья 4), а также задается в общем виде перечень сведений, которые могут быть отнесены к государственной тайне (статья 5 ).

Отнесение сведений к государственной тайне осуществляется в соответствии с их отраслевой, ведомственной или программно-целевой принадлежностью.

Обоснование необходимости отнесения сведений к государственной тайне в соответствии с принципами засекречивания сведений возлагается на органы государственной власти, предприятия, учреждения и организации, которыми эти сведения получены (разработаны).

Отнесение сведений к государственной тайне осуществляется руководителями органов государственной власти в соответствии с Перечнем должностных лиц, наделенных полномочиями по отнесению сведений к государственной тайне, утверждаемым Распоряжением Президента России от 17 января 2000 г. № 6-рп. Указанные лица несут персональную ответственность за принятые ими решения о целесообразности отнесения конкретных сведений к государственной тайне.

48. Федеральный закон от 7 июля 2003 г. № 126-ФЗ "О связи" (с изменениями и дополнениями). Основное содержание, общие положения. Термины и определения.

Устанавливает правовые основы деятельности в области связи на территории Российской Федерации и на находящихся под юрисдикцией Российской Федерации территориях, определяет полномочия органов государственной власти в области связи, а также права и обязанности лиц, участвующих в указанной деятельности или пользующихся услугами связи.

Статья 63 Закона устанавливает понятие тайны связи:

На территории Российской Федерации гарантируется тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи.

Ограничение права на тайну переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений, передаваемых по сетям электросвязи и сетям почтовой связи, допускается только в случаях, предусмотренных федеральными законами.

Операторы связи обязаны обеспечить соблюдение тайны связи.

49. Федеральный закон от 7 августа 2001 г. № 119-ФЗ "Об аудиторской деятельности" (с изменениями и дополнениями). Основное содержание, общие положения. Термины и определения.

Определяет правовые основы регулирования аудиторской деятельности в Российской Федерации.

Статья 8 Закона определяет понятие аудиторской тайны:

Аудиторские организации и индивидуальные аудиторы обязаны хранить тайну об операциях аудируемых лиц и лиц, которым оказывались сопутствующие аудиту услуги.

Аудиторские организации и индивидуальные аудиторы обязаны обеспечивать сохранность сведений и документов, получаемых и (или) составляемых ими при осуществлении аудиторской деятельности, и не вправе передавать указанные сведения и документы или их копии третьим лицам либо разглашать их без письменного согласия организаций и (или) индивидуальных предпринимателей, в отношении которых осуществлялся аудит и оказывались сопутствующие аудиту услуги, за исключением случаев, предусмотренных настоящим Федеральным законом и другими федеральными законами.

Федеральный орган исполнительной власти, осуществляющий государственное регулирование аудиторской деятельности, и иные лица, получившие доступ к сведениям, составляющим аудиторскую тайну в соответствии с настоящим Федеральным законом и другими федеральными законами, обязаны сохранять конфиденциальность в отношении таких сведений.

50. Федеральный закон от 27 июля 2006 г. № 149-ФЗ. "Об информации, информационных технологиях и о защите информации". Основное содержание, общие положения. Термины и определения.

Регулирует отношения, возникающие при осуществлении права на поиск, получение, передачу, производство и распространение информации, применении информационных технологий, обеспечении защиты информации.

Определяет условия для эффективного участия России в международном информационном обмене в рамках единого мирового информационного пространства, защиту интересов России, ее субъектов и муниципальных объединений, а также физических и юридических лиц при международном информационном обмене.

В настоящем Федеральном законе используются следующие основные понятия:

1) информация - сведения (сообщения, данные) независимо от формы их представления;

2) информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов;

3) информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;

4) информационно-телекоммуникационная сеть - технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники;

5) обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам;

6) доступ к информации - возможность получения информации и ее использования;

7) конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;

8) предоставление информации - действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц;

9) распространение информации - действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц;

10) электронное сообщение - информация, переданная или полученная пользователем информационно-телекоммуникационной сети;

11) документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель;

12) оператор информационной системы - гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных.

51. Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ “О персональных данных”. Основное содержание, общие положения. Термины и определения.

Регулирует отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами, юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.

Важно, что он не распространяется на отношения, возникающие при:

1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;

2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в РФ;

3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством РФ в связи с деятельностью физического лица в качестве индивидуального предпринимателя;

4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

В законе используются следующие основные понятия:

1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;

3) обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;

4) распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;

5) использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом, затрагивающих права и свободы субъекта персональных данных или других лиц;

6) блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;

7) уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;

8) обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;

9) информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;

10) конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания;

11) трансграничная передача персональных данных - передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства;

12) общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц, к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

52. Постановление Правительства РФ от 17 ноября 2007 г. N 781 «Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных». Основное содержание, общие положения. Термины и определения.

Положение устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах (ИС) персональных данных, представляющих собой совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации (далее - информационные системы).

Под техническими средствами, позволяющими осуществлять обработку персональных данных, понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.

Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий.

Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии.

Методы и способы защиты информации в информационных системах устанавливаются Федеральной службой по техническому и экспортному контролю (ФСТЭК) и Федеральной службой безопасности (ФСБ) Российской Федерации в пределах их полномочий. (Подготовлены в марте 2008года).

Безопасность персональных данных при их обработке в ИС обеспечивает оператор или уполномоченное лицо, которому на основании договора оператор поручает обработку персональных данных.

53. Нормативные документы и инструктивные материалы ФСТЭК (Гостехкомиссии) РФ.

1. «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информации». Руководящий документ Гостехкомиссии России,

2. «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники». Руководящий документ Гостехкомиссии России,

3. «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники». Руководящий документ Гостехкомиссии России,

4. «Защита информации. Специальные защитные знаки. Классификация и общие требования». Руководящий документ Гостехкомиссии России,

5. «Защита от несанкционированного доступа к информации. Термины и определения». Руководящий документ Гостехкомиссии России,

6. «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей». Руководящий документ Гостехкомиссии России,

7. Безопасность информационных технологий. Критерии оценки безопасности информационных технологий. Часть 1. Часть 2. Часть 3. Руководящий документ Гостехкомиссии России,

8. «Инструкция о порядке проведения специальных экспертиз предприятий, учреждений и организаций на право осуществления мероприятий и (или) оказания услуг в области противодействия иностранной технической разведке». Утверждена Председателем Гостехкомиссии 17 октября 1995 г.

9. «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации». Руководящий документ Гостехкомиссии России,

10. Решение Гостехкомиссии от 3 октября 1995 г. № 42 «О типовых требованиях к содержанию и порядку разработки руководства по защите информации от технических разведок и от ее утечки по техническим каналам на объекте»,

11. Положение по аттестации объектов информатизации по требованиям безопасности информации. Утверждено Председателем Гостехкомиссии России 25 ноября 1994 г.

12. Положение об аккредитации испытательных лабораторий и органов по сертификации средств защиты информации по требованиям безопасности информации. Утверждено Председателем Гостехкомиссии России 25 ноября 1994 г.

13. Типовое положение об органе по сертификации средств защиты информации по требованиям безопасности информации. Утверждено приказом председателя Гостехкомиссии России от 5 января 1996 года № 3,

14. Типовое положение об органе по аттестации объектов информатизации по требованиям безопасности информации. Утверждено приказом председателя Гостехкомиссии России от 5 января 1996 года № 3,

15. Типовое положение об испытательной лаборатории. Утверждено приказом председателя Гостехкомиссии России от 5 января 1996 года № 3,

16. «Перечень средств защиты информации, подлежащих сертификации в системе сертификации Гостехкомиссии России» (N РОСС RU.0001.01БИ00);

17. «Положение о государственном лицензировании деятельности в области защиты информации». Утверждено Решением Государственной технической комиссии при Президенте Российской Федерации и Федерального агентства правительственной связи и информации при Президенте Российской Федерации от 27.04.1994г. №10;

18. «Положение о сертификации средств защиты информации по требованиям безопасности информации». Введено в действие Приказом Председателя Гостехкомиссии России от 27.10.1995г. №199;

19. «Положение по аттестации объектов информатизации по требованиям безопасности информации». Утверждено Председателем Гостехкомиссии при Президенте Российской Федерации 25 ноября 1994 г.,

20. «Специальные требования и рекомендации по защите информации, составляющей государственную тайну, от утечки по техническим каналам (СТР-97)» от 23 мая 1997 г. № 55,

21. «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации». Руководящий документ Гостехкомиссии России,

22. «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации». Руководящий документ Гостехкомиссии России.

23. «Средства защиты информации. Защита информации в контрольно-кассовых машинах и автоматизированных кассовых системах. Классификация контрольно-кассовых машин, автоматизированных кассовых систем и требования по защите информации». Руководящий документ Гостехкомиссии России;

24. Нормативно-методический документ «Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР — К)»,

25. Средства защиты информации. Специальные и общие технические требования, предъявляемые к сетевым помехоподавляющим фильтрам. Руководящий документ Гостехкомиссии России,

26. «Положение о государственном лицензировании деятельности в области защиты информации». Утверждено решением Гостехкомиссии при Президенте Российской Федерации и ФАПСИ при Президенте Российской Федерации от 24 апреля 1994 г. № 10 (в редакции решения от 24 июня 1997 г. № 60);

54. Критерии безопасности компьютерных систем Министерства обороны США – "Оранжевая книга". Основное содержание, общие положения. Термины и определения.

Согласно "Оранжевой книге", безопасная компьютерная система – это система, поддерживающая управление доступом к обрабатываемой в ней информации таким образом, что только соответствующим образом авторизованные пользователи или процессы, действующие от их имени, получают возможность читать, писать, создавать и удалять информацию. Предложенные в этом документе концепции защиты и набор функциональных требований послужили основой для формирования всех появившихся впоследствии стандартов безопасности.

В "Оранжевой книге" предложены три категории требований безопасности – политика безопасности, аудит и корректность, в рамках которых сформулированы шесть базовых требований безопасности. Первые четыре требования направлены непосредственно на обеспечение безопасности информации, а два последних – на качество самих средств защиты. Рассмотрим эти требования подробнее.

Требование 1. Политика безопасности. Система должна поддерживать точно определенную политику безопасности. Возможность осуществления субъектами доступа к объектам должна определяться на основании их идентификации и набора правил управления доступом, позволяющая эффективно реализовать разграничение доступа к категорированной информации.

Требование 2. Метки. С объектами должны быть ассоциированы метки безопасности, используемые в качестве атрибутов контроля доступа. Для реализации нормативного управления доступом система должна обеспечивать возможность присваивать каждому объекту метку или набор атрибутов, определяющих степень конфиденциальности объекта и/или режимы доступа к этому объекту.

Требование 3. Идентификация и аутентификация. Все субъекты должны иметь уникальные идентификаторы. Контроль доступа должен осуществляться на основании результатов идентификации субъекта и объекта доступа, подтверждения подлинности их идентификаторов (аутентификация) и правил разграничения доступа. Данные, используемые для идентификации и аутентификации, должны быть защищены от несанкционированного доступа, модификации и уничтожения. Они должны быть ассоциированы со всеми активными компонентами компьютерной системы, функционирование которых критично с точки зрения безопасности.

Требование 4. Регистрация и учет. Для определения степени ответственности пользователей за действия в системе, все происходящие в ней события, имеющие значение с точки зрения безопасности, должны отслеживаться и регистрироваться в защищенном протоколе. Система регистрации должна осуществлять анализ общего потока событий и выделять из него только те события, которые оказывают влияние на безопасность. Это необходимо для сокращения объема протокола и повышения эффективности его анализа. Протокол событий должен быть надежно защищен от несанкционированного доступа, модификации и уничтожения.

Требование 5. Контроль корректности функционирования средств защиты. Средства защиты должны содержать независимые аппаратные функции защиты. Это означает, что все средства защиты, обеспечивающие политику безопасности, управление атрибутами и метками безопасности, идентификацию и аутентификацию, регистрацию и учет, должны находиться под контролем средств, проверяющих корректность их функционирования. Основной принцип контроля корректности состоит в том, что средства контроля должны быть полностью независимы от средств защиты.

Требование 6. Непрерывность защиты. Все средства защиты (в т.ч. и реализующие данное требование) должны быть защищены от несанкционированного вмешательства и/или отключения, причем эта защита должна быть постоянной и непрерывной в любом режиме функционирования системы защиты и компьютерной системы в целом. Данное требование распространяется на весь жизненный цикл компьютерной системы. Кроме того, его выполнение является одним из ключевых аспектов формального доказательства безопасности системы.

Приведенные выше базовые требования к безопасности служат основой для критериев, образующих единую шкалу оценки безопасности компьютерных систем, определяющую семь классов безопасности.

Все системы в соответствии с "Оранжевой книгой" распределяются по следующим классам защищенности (в порядке возрастания защищенности, более защищенный класс включает в себя все требования предыдущих классов):

Класс D – минимальная защита. Зарезервирован для отнесения систем, не удовлетворяющих ни одному из других классов защиты.

Класс С1 – защита, основанная на разграничении доступа (DAC). Обеспечивается разграничение пользователей и данных.

Класс С2 – защита, основанная на управляемом контроле доступом. Наличие усовершенствованных средств управления доступом и распространения прав, аудит событий, имеющих отношение к безопасности системы и разделению ресурсов. Общие ресурсы должны очищаться перед повторным использование другими процессами.

Класс В1 – мандатная защита, основанная на присваивании меток объектам и субъектам, находящимся под контролем ТСВ. Необходима реализация механизма присваивания меток экспортируемым данным.

Класс В2 – структурированная защита. Управление доступом распространяется на все субъекты и объекты системы. Анализ побочных каналов утечки информации. Специальные процедуры изменения конфигурации. Возможность тестирования и полного анализа ТСВ. Разбиение ее структуры на критические с точки зрения защиты и некритические элементы.

Класс В3 – домены безопасности. Реализация концепции монитора обращений, который гарантированно защищен от несанкционированного доступа, порчи и подделки, обрабатывает все обращения, прост для анализа и тестирования (предоставляется полная система тестов, полнота которой доказана).

Класс А1 – верифицированный проект. Проект ТСВ должен быть представлен в виде формализованной и верифицированной математическими методами спецификации.

Выбор класса защиты системы рекомендуется осуществлять на основе ее режима функционирования. Определяется пять таких режимов:

1. Режим, в котором система постоянно обрабатывает ценную информацию одного класса в окружении, которое обеспечивает безопасность для работы с этим классом.

2. Режим особой секретности самой системы. Все пользователи и элементы системы имеют один класс и могут получить доступ к любой информации.

3. Многоуровневый режим. Обработка информации разных классов, не все пользователи имеют доступ ко всем классам информации.

4. Контролирующий режим. Многоуровневый режим, в котором защищенность ТСВ полностью не гарантируется.

5. Режим изолированной безопасности. Изолированная обработка информации различных классов. Например, защищаться может лишь один класс информации, а остальные нет.

55. Классы защищенности в соответствии с "Оранжевой книгой" .

Требуемый уровень защищённости системы возрастает от группы A к группе D, а в пределах одной группы – с увеличением номера класса. Каждый класс характеризуется определённым фиксированным набором требований к подсистеме обеспечения информационной безопасности, реализованной в АС.

I. Группа D – минимальная защита.

К данной категории относятся те системы, которые были представлены для сертификации по требованиям одного из более высоких классов защищённости, но не прошли испытания.

II. Группа C - дискреционная защита.

Данная группа характеризуется наличием дискреционного управления доступом и регистрации действий субъектов.

- Класс C1 – дискреционная защита

Система включает в себя средства контроля и управления доступом, позволяющие задавать ограничения для отдельных пользователей. Класс C1 рассчитан на однопользовательские системы, в которых осуществляется совместная обработка данных одного уровня конфиденциальности.

- Класс C2 – управление доступом

Система обеспечивает более избирательное управление доступом путём применения средств индивидуального контроля за действиями пользователей, регистрации, учёта событий и выделения ресурсов.

3. Группа B – мандатная защита

Система обеспечивает мандатное управление доступом с использованием меток безопасности, поддержку модели и политики безопасности. Предполагается наличие спецификаций на функции ядра безопасности. Реализуется концепция монитора безопасности обращений, контролирующего все события в системе.

- Класс B1 – защита с применением меток безопасности

Помимо выполнения всех требований к классу C2, система должна поддерживать маркировку данных и мандатное управление доступом. При экспорте из системы информация должна подвергаться маркировке.

- Класс B2 – структурированная защита

Ядро безопасности должно поддерживать формально определённую и чётко документированную модель безопасности, предусматривающую дискреционное и мандатное управление доступом, которое распространяется на все субъекты. Должен осуществляться контроль скрытых каналов передачи информации. В структуре ядра безопасности должны быть выделены элементы, критичные с точки зрения безопасности. Интерфейс ядра безопасности должен быть чётко определён, а его архитектура и реализация должны быть выполнены с учётом возможности проведения тестовых испытаний. Управление безопасностью должно осуществляться администратором безопасности.

- Класс B3 – домены безопасности

Ядро безопасности должно поддерживать монитор безопасности обращений, который контролирует все типы доступа субъектов к объектам и который невозможно обойти. Ядро безопасности содержит исключительно подсистемы, отвечающие за реализацию функций защиты, и является достаточно компактным для обеспечения возможности эффективного тестирования. Средства аудита должны включать механизмы оповещения администратора о событиях, имеющих значение для безопасности системы. Необходимо наличие средств восстановления работоспособности системы.

4. Группа A – верифицированная защита

Группа характеризуется применением формальных методов верификации корректности функционирования механизмов управления доступом. Требуется дополнительная документация, демонстрирующая, что архитектура и реализация ядра безопасности отвечает требованиям безопасности. Функциональные требования совпадают с классом B3, однако на всех этапах разработки АС требуется применение формальных методов верификации систем защиты.

57.Цели Федеральных критериев безопасности информационных технологий

1. Определение универсального и открытого для дальнейшего развития базового набора требований безопасности, предъявляемых к современным информационным технологиям. Требования к безопасности и критерии оценки уровня защищенности должны соответствовать современному уровню развития информационных технологий и учитывать его прогресс в будущем. Стандарт в этой связи предлагает обоснованный и структурированный подход к разработке требований к продуктам информационных технологий с учетом областей их применения.

2. Совершенствование существующих требований и критериев безопасности. В связи с развитием информационных технологий назрела необходимость пересмотра фундаментальных принципов безопасности с учетом появления новых областей их применения как в государственном, так и в частном секторе.

3. Приведение в соответствие принятых в разных странах требований и критериев безопасности информационных технологий.

4. Нормативное закрепление основополагающих принципов информационной безопасности. Стандарт является обобщением основных принципов обеспечения безопасности информационных технологий, разработанных в 80-е годы, и обеспечивает преемственность по отношению к ним с целью сохранения достижений в области защиты информации.

Федеральные критерии безопасности информационных технологий (далее – Федеральные критерии) охватывают практически полный спектр проблем, связанных с защитой и обеспечением безопасности, т.к. включают все аспекты обеспечения конфиденциальности, целостности и доступности.

58. Понятие продукта ИТ.

Продукт ИТ (IT product): Совокупность программных, программно-аппаратных и/или аппаратных средств ИТ, предоставляющая определенные функциональные возможности и предназначенная для непосредственного использования или включения в различные системы ИТ(ГОСТ Р ИСО/МЭК 15408)

59. Понятие профиля защиты.

Профиль защиты – это нормативный документ, который регламентирует все аспекты безопасности ИТ-продукта в виде требований к его проектированию, технологии разработки и квалификационному анализу. Как правило, один профиль защиты описывает несколько близких по структуре и назначению ИТ-продуктов. Основное внимание в профиле защиты уделяется требованиям к составу средств защиты и качеству их реализации, а также их адекватности предполагаемым угрозам безопасности.

60. Общие критерии безопасности информационных технологий. Основное содержание, общие положения. Термины и определения.

Часть 1 стандарта включает методологию оценки безопасности ИТ, определяет виды требований безопасности (функциональные и доверия), основные конструкции (профиль защиты, задание по безопасности) представления требований безопасности в интересах трёх категорий пользователей: потребителей, разработчиков и оценщиков продуктов и систем ИТ.

В первой части определено от чего надо защищать информацию:

от несанкционированного раскрытия (конфиденциальность);

от модификации (целостность);

от потери возможности её использования (доступность).