Управление информационной безопасностью на государственном уровне: Общие принципы и российская практика

Общая политика России в сфере информационной безопасности

Основой современной политики Российской Федерации в сфере информационной безопасности можно считать "Доктрину информационной безопасности РФ", утвержденную Президентом РФ Владимиром Путиным 9 сентября 2000г. Этот документ:

• описывает основные предпосылки формирования государственной политики в данной сфере (потребность в безопасности, существующие интересы, угрозы, источники угроз и т.п.);
• формулирует базовые задачи государства и общества, основанные непосредственно на необходимости выполнения требований Конституции, обеспечения суверенитета страны и т.п.;
• описывает состояние дел в сфере общегосударственного регулирования процессов информационной безопасности на момент утверждения Доктрины (основные достижения и недостатки);
• перечисляет приоритетные направления деятельности государства (задачи, требующие безотлагательного решения) по обеспечению информационной безопасности;
• формулирует основные методики, которые государство должно использовать для обеспечения информационной безопасности, а также специфику применения этих методов в отдельных областях общественной жизни;
• перечисляет основные информационные объекты (в различных сферах), на охрану которых должна быть направлена государственная политика;
• описывает основные направления международного сотрудничества в сфере информационной безопасности;
• перечисляет основные организационные инструменты, используемые для реализации государственной политики и осуществления государственного управления в сфере информационной безопасности;
• описывает распределение ответственности между основными органами государственной власти, решающими задачи в сфере информационной безопасности.

В соответствии с Доктриной государство должно уделять внимание информационной безопасности в таких основных сферах, как:

• экономика;
• внутренняя политика;
• внешняя политика;
• наука и техника;
• духовная жизнь;
• информационные системы государственного управления;
• оборона.

К числу первоочередных мероприятий, которые должны быть реализованы на государственном уровне, Доктрина относит:

• совершенствование законодательной базы в сфере информационных отношений;
• разработку механизмов управления государственными средствами массовой информации и реализации государственной информационной политики;
• подготовку кадров для работы в сфере информационной безопасности;
• совершенствование и развитие системы государственных стандартов в сфере информатизации и обеспечения информационной безопасности;
• принятие и реализацию федеральных программ, решающих определенные задачи информатизации и обеспечения информационной безопасности: создание информационных архивов и информационно-телекоммуникационных систем органов власти, развитие информационной культуры населения и т.п.

Как можно видеть из этого перечня, а также в целом из текста Доктрины, она предполагает определенное расширение понятия "информационная безопасность" и включение в него некоторых вопросов, которые связаны с деятельностью средств массовой информации и другими аспектами информационной политики, не имеющими прямого отношения к категории "информационная безопасность" в ее первоначальном понимании.

Помимо Доктрины также важным основополагающим документом, в значительной мере определяющим политику государства в сфере информатизации и обеспечения защиты информации, можно считать Федеральную целевую программу "Электронная Россия", реализация которой планируется в три этапа в период с 2002 по 2010 год. В частности, одной из заявленных целей реализации данной Программы является обеспечение реализации прав на "обеспечение конфиденциальности любой охраняемой законом информации, имеющейся в информационных системах". В целом предполагается, что весь комплекс мероприятий, предусмотренных Программой, должен обеспечить принципиально более высокий уровень надежности ключевых информационных потоков на государственном уровне.

Кроме того, важными организующими документами, действующими в этой сфере на государственном уровне, являются:

• Федеральный Закон "О государственной тайне";
• Федеральный Закон "Об информации, информационных технологиях и о защите информации";
• Федеральный Закон "Об участии в международном информационном обмене".

Структура органов государственной власти, обеспечивающих информационную безопасность в РФ

Основным государственным органом, определяющим политику РФ в сфере безопасности страны в целом и информационной безопасности в частности, является Совет безопасности РФ.

Ведущим государственным учреждением, непосредственно ответственным за реализацию государственной политики в сфере информационной безопасности и защиту государственных интересов на общенациональном уровне, является Федеральная служба по техническому и экспортному контролю – ФСТЭК. Важную роль в системе органов государственной власти, отвечающих за решение задач информационной безопасности, играет также Служба специальной связи и информации ("Спецсвязь России"), с 2004 года входящая в состав Федеральной службы охраны. Вопросы повышения качества информационной работы и информационной безопасности решают также другие федеральные органы (в пределах своей компетенции):

• Министерство связи и массовых коммуникаций РФ;
• Министерство внутренних дел РФ.

Также отдельные государственные ведомства, предъявляющие особые требования к уровню защищенности информации, реализуют собственные мероприятия по обеспечению защиты информации:

• ФСБ (Управление компьютерной и информационной безопасности, а также Центр по лицензированию, сертификации и защите государственной тайны, Управление специальной связи и НИИ информационных технологий);
• Минатом РФ и система подведомственных ему предприятий (в составе которого функционирует Центр "Атомзащитаинформ");
• Центральный банк РФ (в составе которого функционирует Главное управление безопасности и защиты информации)
• и некоторые другие.

Совет Безопасности РФ, возглавляемый Президентом РФ, состоит из ключевых министров и рассматривает вопросы внутренней и внешней политики Российской Федерации в области обеспечения безопасности, стратегические проблемы государственной, экономической, общественной, оборонной, информационной, экологической и иных видов безопасности. Основными функциями Совета Безопасности являются:

• подготовка решений Президента РФ по соответствующим вопросам, в т.ч. по вопросам информационной безопасности;
• рассмотрение законопроектов, в рамках своей компетенции;
• организация и координация разработки стратегии в области внутренней, внешней и военной политики, военно-технического сотрудничества и информационной безопасности РФ, осуществление контроля за реализацией этой стратегии органами власти, оценка внутренних и внешних угроз жизненно важным интересам объектов безопасности и выявление их источников и др.

Для решения задач, связанных с обеспечением информационной безопасности, в составе СБ функционирует созданное в 1997 году Управление информационной безопасности (одно из восьми профильных управлений), а также Межведомственная комиссия по информационной безопасности. Функциями Управления информационной безопасности являются:

• подготовка предложений Совету Безопасности по выработке и реализации основных направлений политики государства в области обеспечения информационной безопасности РФ;
• анализ и прогнозирование ситуации в области информационной безопасности РФ;
• выявление источников опасности, оценка внешних и внутренних угроз информационной безопасности и подготовка предложений Совету Безопасности по их предотвращению;
• рассмотрение в установленном порядке проектов федеральных целевых программ, направленных на обеспечение информационной безопасности РФ, подготовка соответствующих предложений;
• участие в подготовке материалов по вопросам обеспечения информационной безопасности РФ для ежегодного послания Президента РФ Федеральному Собранию и для докладов Президента РФ;
• подготовка предложений по проектам решений Совета Безопасности и информационно-аналитических материалов к его заседаниям по вопросам обеспечения информационной безопасности РФ;
• подготовка предложений Совету Безопасности по разработке проектов нормативных правовых актов, направленных на обеспечение информационной безопасности РФ.

Федеральная служба по техническому и экспортному контролю (ФСТЭК), до августа 2004 года известная как Государственная техническая комиссия при Президенте Российской Федерации (Гостехкомиссия РФ), была создана в январе 1992 года на базе Гостехкомиссии СССР по противодействию иностранным технологическим разведкам, которая, в свою очередь ведет отсчет своего существования с декабря 1973 года. Произошедшее в 1992 году преобразование было связано со сменой политических приоритетов, интенсивным развитием электронных коммуникаций и средств вычислительной техники, отменой государственной монополии на многие сферы экономической и технической деятельности, развитием рыночных отношений, расширением международных связей и другими факторами. ФСТЭК, ранее подчинявшаяся напрямую Президенту РФ, в процессе административной реформы была подчинена Министерству обороны. ФСТЭК является коллегиальным органом – в состав Коллегии входят около двадцати представителей различных министерств и ведомств (главным образом, в ранге заместителей министров и директоров департаментов), таких как МВД, МИД, ФСБ, Минатом, ФСО, СВР и других.

Основными функциями ФСТЭК являются:

• проведение единой технической политики и координация работ по защите информации;
• организация и контроль за проведением работ по защите информации в органах государственного управления, объединениях, концернах, на предприятиях, в организациях и учреждениях (независимо от форм собственности) от утечки по техническим каналам, от несанкционированного доступа к информации, обрабатываемой техническими средствами, и от специальных воздействий на информацию с целью ее уничтожения и искажения;
• поддержание системы лицензирования деятельности предприятий, организаций и учреждений по осуществлению мероприятий и (или) оказанию услуг в области защиты информации и сертификации средств защиты информации.

Для реализации функций по лицензированию в составе ФСТЭК функционируют 7 региональных управлений (по федеральным округам), а также 20 отраслевых аттестационных (лицензионных) центров.

Служба специальной связи и информации (Спецсвязь России), созданная в марте 2003 года в рамках Федеральной службы охраны на базе упраздненного Федерального агентства правительственной связи и информации (ФАПСИ), в целом призвана обеспечивать функционирование президентской связи, организацию, эксплуатацию и развитие специальной связи для государственных органов и решать другие аналогичные задачи.

При этом задачами Спецсвязи также являются:

• проведение работ по защите технических средств специальной связи, устанавливаемых в категорированных помещениях государственных органов, включая особо важные;
• организация в системе специальной связи шифровальной деятельности, отнесенной к компетенции Спецсвязи России;
• участие в разработке нормативной технической документации по вопросам защиты информации в системах специальной связи;
• участие в разработке и реализации мер по обеспечению информационной безопасности Российской Федерации, защите сведений, составляющих государственную тайну;
• участие в создании, обеспечении и развитии системы электронного документооборота государственных органов с использованием удостоверяющих центров;
• организация и проведение мероприятий по предотвращению утечки по техническим каналам информации в системах специальной связи, информационно-технологических, информационно-аналитических и информационно-телекоммуникационных системах, находящихся в ведении Спецсвязи России;
• выполнение требований обеспечения информационной безопасности объектов государственной охраны.

Министерство связи и массовых коммуникаций РФ в лице подчиняющегося ему Федерального агентства по информационным технологиям (Росинформтехнологии) осуществляет и организует следующие виды работ в сфере информационной безопасности:

• подтверждение подлинности электронных цифровых подписей уполномоченных лиц удостоверяющих центров в выданных ими сертификатах ключей подписей;
• ведение единого государственного реестра сертификатов ключей подписей удостоверяющих центров и реестра сертификатов ключей подписей уполномоченных лиц федеральных органов государственной власти, а также обеспечение доступа к ним граждан, организаций, органов государственной власти и органов местного самоуправления;
• выполнение функции государственного заказчика научно-технических и инвестиционных программ и проектов в сфере информационных технологий.

Уполномоченным органом по ведению реестра доверенных удостоверяющих центров является ФГУП НИИ "Восход".

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных. В полномочия данного органа входит пресечение нарушений, которые могут возникать при обработке персональных данных граждан РФ [72, 73].

В системе законодательной власти основным структурным подразделением, призванным решать вопросы формирования и реализации государственной политики в сфере информационной безопасности, является Комитет по безопасности Государственной думы Федерального собрания Российской Федерации. В составе этого Комитета функционирует Подкомитет по информационной безопасности. В законодательной работе в рамках этого Комитета принимают участие:

• специалисты и руководители профильных подразделений ФСБ, СВР, ФСТЭК, МВД и других ведомств;
• руководители Совета безопасности РФ и других правительственных органов;
• представители общественных организаций, фондов и профессиональных объединений;
• представители крупных коммерческих компаний – лидеров в развитии организации и технологий информационной безопасности (в том числе банков, технологических компаний и др.);
• представители ведущих научно-исследовательских учреждений и учебных заведений.