Деятельность любого учреждения включает в себя получение информации, ее обработку, принятие решений на основе анализа информации и передачу принятых решений по каналам связи. Искажение информации, блокирование ее получения или внедрение ложной информации способствуют принятию ошибочных решений.
Информация — это специфический продукт, поэтому необходимы четкие границы, определяющие информацию как объект права, которые позволят применять к ней законодательные нормы.
Федеральный Закон "Об информации, информатизации и защите информации", направленный на регулирование взаимоотношений в информационной сфере совместно с Гражданским кодексом Российской Федерации, относит информацию к объектам права и дает ее определение:
"Информация — сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления".
Основными целями защиты информации, согласно Закону, являются:
По этому Закону защите подлежит информация ограниченного доступа, а степень ее защиты определяет собственник этой информации. Ответственность за выполнение мер защиты лежит не только на собственнике, но и на пользователе информации. Значит, прежде всего необходимо уяснить, используется ли в Вашем учреждении информация, быть может, Вам и не принадлежащая, но подлежащая обязательной защите.
Отметим, что защищается только документированная информация. Федеральный Закон "Об информации, информатизации и защите информации" определяет это понятие следующим образом:
"Документированная информация (документ) — зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать".
Документирование информации проводится по строго определенным правилам. Основные из них изложены в ГОСТ 6.38-90 "Система организационно-распорядительной документации. Требования к оформлению документов.", ГОСТ 6.10.4-84 "Унифицированные системы документации. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники.".
Надо отметить, что эти ГОСТы предполагают 31 реквизит, который делает информацию документом. Не обязательно, чтобы присутствовали сразу все реквизиты. Главным из них является текст документа, поэтому любая информация, изложенная в виде связного текста, без каких-либо дополнительных реквизитов уже может рассматриваться как документ. В то же время, для придания документу юридической силы одного текста недостаточно. Необходимы также такие важные реквизиты, как дата и подпись.
Для документов, полученных из автоматизированных информационных систем, существует особый порядок придания им юридической силы. При этом, в определенных случаях, применяется процедура заверения информации электронной подписью.
Защита информации — удовольствие дорогое, поэтому одним из принципов построения системы защиты должен стать принцип разумной достаточности, требующий учета степени важности и ценности защищаемой информации.
Закон выделяет три категории такой информации:
Информацией первой категории владеет само государство и, естественно, именно оно выдвигает требования по ее защите и контролирует их выполнение. Соответствующие положения закреплены в Законе Российской Федерации "О государственной тайне", принятом в 1993 году. Следует знать, что нарушение этих требований влечет за собой применение санкций, предусмотренных Уголовным кодексом.
В настоящее время разработан Перечень должностных лиц, имеющих право отнесения сведений к категории государственной тайны. Таких должностных лиц около сорока. Всем ведомствам, возглавляемым этими лицами, Правительством Российской Федерации поручено разработать конкретные перечни сведений, составляющих государственную тайну, которые являются развитием общероссийского Перечня. Такой перечень сформирован Гостехкомиссией России, согласован с заинтересованными министерствами и ведомствами и представлен в Правительство Российской Федерации. До его утверждения, наверное, рано говорить о его широком опубликовании, однако всегда можно получить исчерпывающую консультацию по вопросу отнесения сведений к категории государственной тайны, обратившись непосредственно в Гостехкомиссиию России или соответствующие министерства и ведомства.
Собственниками второй категории информации являемся мы с Вами, так как эта информация затрагивает нашу с Вами личную жизнь. Однако, понимая степень значимости этой информации и ее роль в обеспечении безопасности каждой отдельно взятой личности, государство взяло ее под свой патронаж и рассматривает ее защиту, как одну из своих важных задач.
К сожалению, правовая сторона этого вопроса на современном этапе проработана недостаточно. Только Закон "Об информации, информатизации и защите информации" относит персональную информацию к категории конфиденциальной и требует ее защиты наравне с информацией, составляющей государственную тайну, однако дальнейшего развития эти положения, в том числе и в плане конкретной ответственности за разглашение персональных данных, их утрату или искажение, пока не получили. Будем надеяться, что находящийся в настоящее время в Правительстве Российской Федерации законопроект "О персональных данных", который планируется рассмотреть и представить в Государственную Думу, решит эти вопросы.
Информацией третьей категории владеют сами учреждения, и поэтому они вправе ей распоряжаться, а, следовательно, и выбирать степень ее защиты. Правда, применить какие-либо санкции в случае нарушения конфиденциальности возможно, только если предварительно были выполнены особые формальности, оговоренные Гражданским кодексом Российской Федерации.
Суть этих формальностей, изложенных в статье 139 Гражданского кодекса Российской Федерации, заключается в том, что, во-первых, информация должна иметь действительную или потенциальную коммерческую ценность, во-вторых, учреждению необходимо принять определенные меры по охране конфиденциальности и, в-третьих, все сотрудники, знакомые с этими сведениями, должны быть официально предупреждены об их конфиденциальности. Только при соблюдении всех перечисленных условий закон будет на Вашей стороне, и Вы сможете потребовать возмещения убытков, понесенных от разглашения коммерческой тайны.
При отнесении информации к категории "коммерческая тайна" следует руководствоваться положениями Гражданского кодекса Российской Федерации (статья 139), Федерального Закона "Об информации, информатизации и защите информации" (часть 3, статья 10) и Постановления Правительства Российской Федерации от 5 декабря 1991 года за номером 35 "О перечне сведений, которые не могут составлять коммерческую тайну".
Сведения, относимые к категории "коммерческая тайна", можно разделить на две группы:
Чтобы отнесение к категории коммерческой тайны приобрело законную силу, оно должно быть оформлено в виде специального перечня, утвержденного руководителем учреждения. Только в этом случае можно говорить о придании конфиденциальной информации определенных вещных прав.
Более подробно все эти вопросы освещены в законопроекте "О коммерческой тайне", который уже более двух лет рассматривается Правительством и Федеральным собранием.
Нельзя не сказать и о том, что Гражданским кодексом Российской Федерации информация наделена правами товара. Она может представлять определенную ценность (даже не относясь к вышеперечисленным категориям), обмениваться, продаваться, дариться и т.п., поэтому, оценивая информацию с точки зрения важности ее защиты, следует учитывать и этот аспект.
Мы видим, что законодательство в области защиты информации пока далеко от совершенства, однако, при правильном использовании имеющихся законодательных и целого ряда подзаконных актов, можно добиться возмещения убытков, явившихся следствием нарушения режима информационной безопасности, и, в то же время, не попасть под карающий меч государства.
Совет 1 . Проанализируйте информацию, которая циркулирует в Вашем учреждении, выделите информацию ограниченного доступа, определите круг информации, составляющей государственную тайну, оцените коммерческую важность информации. Все это позволит Вам дифференцировать мероприятия по обеспечению безопасности информации и, тем самым, сократить расходы. Не забудьте утвердить Перечень сведений, составляющих коммерческую тайну, и ознакомить с ним исполнителей.
|
|
|
| Практические рекомендации по информационной безопасности | Содержание | Возможные угрозы информационной безопасности |
| Copyright ╘ 1993-2000, Jet Infosystems |