Правовые основы защиты информации

9.1. Правовые основы защиты информации. Нормативные правовые акты Российской Федерации

Правовая защита информации - защита информации правовыми методами, включающая в себя разработку законодательных и нормативных правовых документов (актов), регулирующих отношения субъектов по защите информации, применение этих документов (актов), а также надзор и контроль за их исполнением[80].

Для начала следует разобраться в структуре правовой системы Российской Федерации (рис 9.1).

Первоисточником права в РФ является Конституция РФ, принятая 12 декабря 1993 года. В ней закреплены основные права и свободы человека и гражданина РФ, в частности:

Законы РФ о поправках к Конституции принимаются аналогично федеральным конституционным законам, но кроме одобрения 3/4 голосов от общего числа членов Совета Федерации и не менее 2/3 голосов от общего числа депутатов Государственной Думы требуется одобрение ещё и законодательных органов 2/3 субъектов РФ. Закон должен быть подписан Президентом РФ в течение 14 дней и обнародован, после чего им в течение 1 месяца должны быть внесены изменения в текст Конституции.

Федеральные конституционные законы принимаются по вопросам, прямо обозначенным в Конституции РФ, и обладают большей юридической силой, чем федеральные законы[81].

Российская Федерация является активным участником международного обеспечения информационной безопасности. В частности, РФ присоединилась к таким документам как:

Также подписывается ряд соглашений о сотрудничестве в области обеспечения международной информационной безопасности с разными странами (Куба, Беларусь, Бразилия и пр). В соответствии с п.4 статьи 15 Конституции РФ:

При этом следует отметить, что международный договор считается вступившим в силу, если прошёл все необходимые стадии согласования и подписания, а также, при необходимости, ратификацию. Ратификация международных договоров осуществляется в форме федерального закона в соответствии со статьей 14 ФЗ от 15.07.1995 N 101-ФЗ "О международных договорах Российской Федерации". В статье 15 закона закреплено то, какие именно договора подлежат ратификации, в том числе:

По этим причинам международные договоры на рис 9.1 расположены под Конституцией и законов, ее изменяющих. Следует отметить, что существует другое мнение, которое опирается только на п.4 статьи 15 Конституции РФ и ставит Международные договоры и соглашения РФ выше Конституции РФ.

Федеральные законы - ключевой элемент законодательного регулирования в России и могут затрагивать любые вопросы, отнесённые Конституцией РФ к предметам ведения федерации либо совместного ведения федерации и субъектов РФ, и требующие государственного регулирования. Нормы федеральных законов являются обязательными для исполнения на всей территории страны, а все акты меньшей юридической силы не должны им противоречить.

Указы и распоряжения Президента РФ принимаются по вопросам предметов ведения федерации и не могут противоречить Конституции и федеральным законам (ст. 90 Конституции РФ).

К актам Правительства РФ относятся постановления и распоряжения.

Ведомственные нормативные акты - принимаются федеральными органами исполнительной власти для реализации требований федеральных законов и постановлений Президента РФ. К ним относятся постановления, приказы, распоряжения, правила, инструкции и положения.

9.2. Система документов в области ТЗИ, а также ТКЗИ. Нормативные правовые акты ФСТЭК России. Методические документы

Так как темой данного курса является техническая защита информации, ниже кратко будет рассмотрено законодательство РФ данной области. Перечень нормативно-правовых документов, относящихся к технической защите информации, взят с сайта ФСТЭК России: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/107-zakony

К федеральным законам в области технической защиты информации относятся:

Указы и распоряжения Президента РФ в области технической защиты информации:

Специальные нормативные документы:

9.3. Документы в области технического регулирования и стандартизации. Техническая документация

Основным нормативным документом в области технического регулирования в Российской Федерации является Федеральный закон от 27.12.2002 N 184 "О техническом регулировании". Закон направлен на создание единой политики в областях технического регулирования, стандартизации и сертификации, отвечающей современным международным требованиям, и определяет правомочную систему установления и применения требований к продукции, процессам производства, работам и услугам. Исходя из определений, данных в Законе:

Техническое регулирование - правовое регулирование отношений в области установления, применения и исполнения обязательных требований к продукции или к продукции и связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, а также в области применения на добровольной основе требований к продукции, процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнению работ или оказанию услуг и правовое регулирование отношений в области оценки соответствия.

Технический регламент - документ, который принят международным договором Российской Федерации, подлежащим ратификации в порядке, установленном законодательством Российской Федерации, или в соответствии с международным договором Российской Федерации, ратифицированным в порядке, установленном законодательством Российской Федерации, или указом Президента Российской Федерации, или постановлением Правительства Российской Федерации, или нормативным правовым актом федерального органа исполнительной власти по техническому регулированию и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования (продукции или к продукции и связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации);

Подтверждение соответствия - документальное удостоверение соответствия продукции или иных объектов, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, документам по стандартизации или условиям договоров.

В Законе выделены три формы подтверждения соответствия:

Сертификация - форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, документам по стандартизации или условиям договоров.

При декларировании соответствия заявитель на основании собственных доказательств самостоятельно формирует доказательственные материалы в целях подтверждения соответствия продукции требованиям технического регламента. В качестве доказательственных материалов используются техническая документация, результаты собственных исследований (испытаний) и измерений и (или) другие документы, послужившие основанием для подтверждения соответствия продукции требованиям технического регламента.

Техническая документация должна содержать:

Техническая документация также может содержать общее описание продукции, конструкторскую и технологическую документацию на продукцию, схемы компонентов, узлов, цепей, описания и пояснения, необходимые для понимания указанных схем, а также результаты выполненных проектных расчетов, проведенного контроля, иные документы, послужившие мотивированным основанием для подтверждения соответствия продукции требованиям технического регламента.

Техническая документация, используемая в качестве доказательственного материала, также может содержать анализ риска применения (использования) продукции. Состав доказательственных материалов определяется соответствующим техническим регламентом, состав указанной технической документации может уточняться соответствующим техническим регламентом.

В июле 2015 года был принят Федеральный закон №162 "О стандартизации в Российской Федерации". ФЗ устанавливает правовые основы стандартизации в Российской Федерации, в том числе функционирования национальной системы стандартизации, и направлен на обеспечение проведения единой государственной политики в сфере стандартизации.

Стандартизация - деятельность по разработке (ведению), утверждению, изменению (актуализации), отмене, опубликованию и применению документов по стандартизации и иная деятельность, направленная на достижение упорядоченности в отношении объектов стандартизации.

Национальный стандарт - документ по стандартизации, который разработан участником или участниками работ по стандартизации, по результатам экспертизы в техническом комитете по стандартизации или проектном техническом комитете по стандартизации утвержден федеральным органом исполнительной власти в сфере стандартизации и в котором для всеобщего применения устанавливаются общие характеристики объекта стандартизации, а также правила и общие принципы в отношении объекта стандартизации[88].

Общими целями стандартизации являются:

Основными результатами деятельности по стандартизации должны быть повышение степени соответствия продукта (услуги), процессов их функциональному назначению, устранение технических барьеров в международном товарообмене, содействие научно-техническому прогрессу и сотрудничеству в различных областях.

9.4. Система стандартов в области защиты информации

Система стандартов по защите информации (ССЗИ) - совокупность взаимосвязанных стандартов, устанавливающих характеристики продукции, правила осуществления и характеристики процессов, выполнения работ или оказания услуг в области защиты информации.

Национальные стандарты (ГОСТы) в общем случае являются рекомендательными. Однако в ряде случаев обязательность следования стандартам и спецификациям закреплена законодательно. В соответствии со ст.6 ФЗ №162 "О стандартизации в Российской Федерации" в том случае, если речь идет о "стандартизации в отношении оборонной продукции (товаров, работ, услуг) по государственному оборонному заказу, продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, продукции, сведения о которой составляют государственную тайну, продукции, для которой устанавливаются требования, связанные с обеспечением безопасности в области использования атомной энергии, а также в отношении процессов и иных объектов стандартизации, связанных с такой продукцией", стандарты являются обязательными к применению.

Основополагающим стандартом РФ в области защиты информации (некриптографическими методами) является ГОСТ Р 52069.0-2013 "Защита информации. Система стандартов. Основные положения".

Целью создания ССЗИ является достижение рациональной упорядоченности организации и содержания работ в области ЗИ, повышение эффективности ЗИ на основе установления общих правил и характеристик для их многократного использования, а также повышение эффективности работ по стандартизации за счет упорядочения структуры системы стандартов, процесса разработки стандартов, учета взаимосвязи стандартов различных систем.

Основными задачами по формированию и развитию ССЗИ являются:

Система стандартов по защите информации включает следующие виды документов в области стандартизации по ЗИ, используемых на территории Российской Федерации:

Структура ССЗИ представлена на рис 9.2:

Сокращения на рисунке:

В таблице 9.1 приведен перечень стандартов в области защиты информации в соответствии с сайтом ФСТЭК России (http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty/113-gosudarstvennye-standarty):

Следует отметить наличие стандартов Банка России, регулирующих защиту информации в банковской сфере. Стандарт Банка России по обеспечению информационной безопасности организаций банковской системы Российской Федерации (СТО БР ИББС) - это комплекс документов Банка России, описывающий единый подход к построению системы обеспечения информационной безопасности организаций банковской сферы с учётом требований российского законодательства:

Стандарты являются основным средством обеспечения взаимной совместимости аппаратно-программных систем и их компонентов. Они также являются средством накопления знаний и методологической платформой к комплексному решению проблем информационной безопасности.

В лекциях 18 и 19 будут подробно рассмотрены вопросы сертификации и аттестации в области защиты информации.