Обзор российского законодательства в области информационной безопасности
Обзор российского законодательства в области информационной безопасности.
Правовые акты общего назначения, затрагивающие вопросы информационной безопасности
Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года.
В соответствии со статьей 24 Конституции, органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
Статья 41 гарантирует право на знание фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, статья 42 - право на знание достоверной информации о состоянии окружающей среды.
В принципе, право на информацию может реализовываться средствами бумажных технологий, но в современных условиях наиболее практичным и удобным для граждан является создание соответствующими законодательными, исполнительными и судебными органами информационных серверов и поддержание доступности и целостности представленных на них сведений, то есть обеспечение их (серверов) информационной безопасности.
Статья 23 Конституции гарантирует право на личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, статья 29 - право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по компьютерным сетям, а также доступ к средствам защиты информации.
В Гражданском кодексе Российской Федерации (в своем изложении мы опираемся на редакцию от 15 мая 2001 года) фигурируют такие понятия, как банковская, коммерческая и служебная тайна. Согласно статье 139, информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности. Это подразумевает, как минимум, компетентность в вопросах ИБ и наличие доступных (и законных) средств обеспечения конфиденциальности.
Весьма продвинутым в плане информационной безопасности является Уголовный кодекс Российской Федерации (редакция от 14 марта 2002 года). Глава 28 - "Преступления в сфере компьютерной информации" - содержит три статьи:
· статья 272. Неправомерный доступ к компьютерной информации;
· статья 273. Создание, использование и распространение вредоносных программ для ЭВМ;
· статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
Первая имеет дело с посягательствами на конфиденциальность, вторая - с вредоносным ПО, третья - с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ. Включение в сферу действия УК РФ вопросов доступности информационных сервисов представляется нам очень своевременным.
Статья 138 УК РФ, защищая конфиденциальность персональных данных, предусматривает наказание за нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Аналогичную роль для банковской и коммерческой тайны играет статья 183 УК РФ.
Интересы государства в плане обеспечения конфиденциальности информации нашли наиболее полное выражение в Законе "О государственной тайне" (с изменениями и дополнениями от 6 октября 1997 года). В нем гостайна определена как защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Там же дается определение средств защиты информации. Согласно данному Закону, это технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну; средства, в которых они реализованы, а также средства контроля эффективности защиты информации. Подчеркнем важность последней части определения.
Закон "Об информации, информационных технологиях и о защите информации"
Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать закон "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 г. № 149-ФЗ (принят Государственной Думой 8 июля 2006 года). В нем даются основные определения и намечаются направления развития законодательства в данной области. В законе содержится 17 статей:
Статья 1. Сфера действия настоящего Федерального закона
Статья 2. Основные понятия, используемые в настоящем Федеральном законе
Статья 3. Принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации
Статья 4. Законодательство Российской Федерации об информации, информационных технологиях и о защите информации
1. Законодательство Российской
Федерации об информации, информационных
технологиях и о защите
2. Правовое регулирование
отношений, связанных с организацией
и деятельностью средств
3. Порядок хранения и
использования включенной в
Статья 5. Информация как объект правовых отношений
Статья 6. Обладатель информации
Статья 7. Общедоступная информация
Статья 8. Право на доступ к информации
Статья 9. Ограничение доступа к информации
Статья 10. Распространение информации или предоставление информации
Статья 11. Документирование информации
Статья 12. Государственное регулирование в сфере применения информационных технологий
Статья 13. Информационные системы
Статья 14. Государственные информационные системы
Статья 15. Использование информационно-
Статья 16. Защита информации
Статья 17. Ответственность за правонарушения в сфере информации, информационных технологий и защиты информации
Другие законы и нормативные акты
Следуя логике Закона "Об информации, информационных технологиях и о защите информации", мы продолжим наш обзор Законом "О лицензировании отдельных видов деятельности" от 8 августа 2001 года номер 128-ФЗ (Принят Государственной Думой 13 июля 2001 года). Начнем с основных определений.
Статья 17 Закона устанавливает перечень видов деятельности, на осуществление которых требуются лицензии. Нас будут интересовать следующие виды:
· распространение шифровальных (криптографических) средств;
· техническое обслуживание шифровальных (криптографических) средств;
· предоставление услуг в области шифрования информации;
· разработка и производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем;
· выдача сертификатов ключей электронных цифровых подписей, регистрация владельцев электронных цифровых подписей, оказание услуг, связанных с использованием электронных цифровых подписей и подтверждением подлинности электронных цифровых подписей;
· выявление электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);
· разработка и (или) производство средств защиты конфиденциальной информации;
· техническая защита конфиденциальной информации;
· разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляющими предпринимательскую деятельность.
Необходимо учитывать, что, согласно статье 1, действие данного Закона не распространяется на следующие виды деятельности:
· деятельность, связанная с защитой государственной тайны;
· деятельность в области связи;
· образовательная деятельность.
Основными лицензирующими органами в области защиты информации являются Федеральное агентство правительственной связи и информации (ФАПСИ) и Гостехкомиссия России. ФАПСИ ведает всем, что связано с криптографией, Гостехкомиссия лицензирует деятельность по защите конфиденциальной информации. Эти же организации возглавляют работы по сертификации средств соответствующей направленности. Кроме того, ввоз и вывоз средств криптографической защиты информации (шифровальной техники) и нормативно-технической документации к ней может осуществляться исключительно на основании лицензии Министерства внешних экономических связей Российской Федерации, выдаваемой на основании решения ФАПСИ. Все эти вопросы регламентированы соответствующими указами Президента и постановлениями Правительства РФ, которые мы здесь перечислять не будем.
10 января 2002 года Президентом был подписан очень важный закон "Об электронной цифровой подписи" номер 1-ФЗ (принят Государственной Думой 13 декабря 2001 года). Его роль поясняется в статье 1.
1. Целью настоящего Федерального закона является обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе.
2. Действие настоящего Федерального закона распространяется на отношения, возникающие при совершении гражданско-правовых сделок и в других предусмотренных законодательством Российской Федерации случаях. Действие настоящего Федерального закона не распространяется на отношения, возникающие при использовании иных аналогов собственноручной подписи.
Согласно Закону, электронная цифровая подпись в электронном документе равнозначна собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий:
· сертификат ключа подписи, относящийся к этой электронной цифровой подписи, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;
· подтверждена подлинность электронной цифровой подписи в электронном документе;
· электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи.
Закон определяет сведения, которые должен содержать сертификат ключа подписи:
· уникальный регистрационный номер сертификата ключа подписи, даты начала и окончания срока действия сертификата ключа подписи, находящегося в реестре удостоверяющего центра;
· фамилия, имя и отчество владельца сертификата ключа подписи или псевдоним владельца. В случае использования псевдонима запись об этом вносится удостоверяющим центром в сертификат ключа подписи;
· открытый ключ электронной цифровой подписи;
· наименование средств электронной цифровой подписи, с которыми используется данный открытый ключ электронной цифровой подписи;
· наименование и местонахождение удостоверяющего центра, выдавшего сертификат ключа подписи;
· сведения об отношениях, при осуществлении которых электронный документ с электронной цифровой подписью будет иметь юридическое значение.
Связь экономики с безопасностью жизнедеятельности
В связи с ухудшением техногенной обстановки в России можно ожидать, что во многих случаях отдельные, даже небольшие по своим масштабам производственные аварии и стихийные бедствия станут одной цепью, будут провоцировать и усиливать друг друга, а также вызывать системные эффекты, не поддающиеся локализации и имеющие огромные прямые и косвенные последствия, проявляющиеся на макроэкономическом уровне. Подобные чрезвычайные ситуации в той или иной мере оказывают влияние практически на все сферы существования человеческого общества и прежде всего на жизнедеятельность людей, а также и природную среду. Ущерб от чрезвычайных ситуаций носит разнообразный характер. Для его измерения используются различные показатели, среди которых ведущую роль играют экономические показатели и методы определения ущерба от чрезвычайных ситуаций. Большое внимание в настоящее время уделяется экономическому обеспечению мероприятий по предупреждению и ликвидации последствий чрезвычайных ситуаций как основному элементу обеспечения безопасности населения, объектов экономики и территорий в очагах поражения. Знание возможных экономических последствий (в денежных единицах) воздействия чрезвычайных ситуаций способствует правильному формированию и своевременному осуществлению экономических механизмов защиты объектов экономики, населения и территорий от их последствий, что позволяет значительно снизить социально-экономический ущерб и эффективно использовать ограниченные финансовые и материально-технические ресурсы для повышения уровня безопасности.
Статистика техногенных и природных аварий и катастроф, произошедших в России за последние 10–15 лет, показывает, что их последствия становятся все более опасными для объектов экономики, населения и окружающей среды. Уже в настоящее время прямые и косвенные ущербы от них составляют 4–5% от валового национального продукта.
По оценке МЧС России, уже сейчас ущерб от природных бедствий во много раз превышает возможности мирового сообщества по оказанию гуманитарной помощи пострадавшим. Эта проблема приобретает глобальный характер.
Подобное положение вещей вынуждает учитывать возможный экономический ущерб при разработке государственной экономической политики, прогнозов социально-экономического развития государства и макроэкономических программ. Его учет руководителями предприятий позволяет разрабатывать более реальные стратегические планы развития.
В целом к экономическим последствиям чрезвычайных ситуаций относятся:
сокращение основных производственных мощностей в результате полного или частичного их разрушения;
выбытие сельскохозяйственных, лесных и водных угодий из хозяйственного оборота;
потери объектов социально-культурной сферы;
сокращение трудовых ресурсов и рабочей силы;
снижение уровня жизни населения;
косвенные убытки и ущерб упущенной выгоды в сфере материального производства и услуг;
расходы общества на ликвидацию чрезвычайных ситуаций и т. п.
Реально на практике при оценке экономического ущерба принимаются во внимание только прямые потери материальных ценностей. С принятием федерального закона “О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера” от 11 ноября 1994 г. Россия сделала первые шаги к стандартизации понятия экономических последствий от чрезвычайных ситуаций. Одна из целей настоящего закона — снижение размеров ущерба и потерь от чрезвычайных ситуаций. В связи с этим научными кругами России начата разработка методологии и частных методик оценки экономического ущерба как важнейшего показателя экономических последствий чрезвычайных ситуаций.
Экономический ущерб
Оценку экономического ущерба от чрезвычайных ситуаций природного и техногенного характера затрудняет отсутствие единого подхода к содержанию данного показателя. Единственным законнодательным актом в нашей стране, в котором дается понятие ущерба, является Гражданский кодекс РФ. В гражданском праве под ущербом понимается уменьшение имущества, либо недополучение дохода, который мог быть получен при отсутствии правонарушений. Естественно, что такое определение ущерба не отвечает потребностям оценки экономического ущерба от чрезвычайных ситуаций. Специфика его заключается в необычайно широком содержании, многообразии проявлений, в том, что он не может быть адекватно измерен с помощью показателей материального ущерба или иных существующих правовых конструкций.
Экономический ущерб от техногенных и природных чрезвычайных ситуаций следует определять как совокупность непосредственных и отдаленных потерь общества в результате повреждения и разрушения материальных объектов производственного, социально-культурного и бытового назначения, культурных ценностей и убыли трудовых ресурсов, а также недополучения прибыли вследствие непредвиденного изменения условий и целей хозяйственной деятельности, затрат на ликвидацию чрезвычайных ситуаций и их последствий, выраженных в стоимостной форме. По сути, это определение совокупного социально-экономического ущерба. Именно такой подход целесообразен с точки зрения обеспечения защиты населения и территорий от техногенных и природных чрезвычайных ситуаций.
Исходя из данного определения экономический ущерб рассматривается как прямой ущерб, который разделяется на хозяйственный и демографический (социальный), косвенный ущерб, ущерб от упущенной выгоды и затраты, связанные с ликвидацией чрезвычайной ситуации и ее последствий. Внутри каждого вида ущерба принято выделять конкретные направления и элементы.
На макроэкономическом уровне экономический ущерб от аварий, катастроф, стихийных бедствий помимо ущерба, нанесенного промышленным и сельскохозяйственным предприятиям, дополнительно включает следующие элементы:
а) прямой экономический ущерб, состоящий из:
- затрат на выполнение аварийно-спасательных и других неотложных работ;
- единовременных выплат семьям погибших и пострадавших;
- расходов по приобретению необходимых медикаментов и оборудования;
- расходов по оплате труда спасателей, медицинских работников, пожарных и других участников ликвидации чрезвычайных ситуации;
- затрат на обеспечение жилым фондом лиц, потерявших кров;
- затрат на восстановление государственных предприятий и инфраструктуры, субсидии пострадавшим фирмам;
- расходов по выплате пособий лицам, ставшим в результате чрезвычайной ситуации инвалидами, сиротами и т. п.;
- затрат на немедленную ликвидацию экологически опасных последствий воздействия поражающих факторов чрезвычайной ситуации;
б) косвенный экономический ущерб государству, представ-ляющий собой не определенные четко, неадресные расходы, к которым относятся:
- расходы государственных внебюджетных фондов по медицинскому санаторно-курортному и социальному обеспечению, поддержанию и содержанию лиц, пострадавших вследствие чрезвычайной ситуации;
- снижение финансовых поступлений в доходную часть бюджетов всех уровней; в результате сокращения налогооблагаемой базы как непосредственно по предприятиям, пострадавшим от чрезвычайной ситуации, так и в результате снижения деловой активности предприятий, испытавших косвенное воздействие чрезвычайной ситуации.
Фонды безопасности
В целях упорядочения источников финансирования деятельности по защите объектов экономики, населения, территорий от чрезвычайных ситуаций создаются территориальные и местные фонды безопасности.
Территориальные фонды безопасности формируются на предприятиях, на которых возможны чрезвычайные ситуации, а также при органах самоуправления и исполнительной власти субъектов РФ.
Основными источниками территориальных фондов безопасности могут стать платежи предприятий за риск возникновения чрезвычайных ситуаций, нарушение технологических и технических параметров технологических процессов, аварийные выбросы (сбросы) АХОВ, РВ или других опасных веществ.
Кроме того, эти фонды могут получать средства за счет:
- платежей предприятий за сверхнормативное и некомпетентное использование, а также потери природных ресурсов и получаемого из них сырья;
- взыскания по искам в возмещение ущерба, причиненного государству, вследствие нарушения законодательства по предупреждению чрезвычайных ситуаций;
- штрафов, взыскиваемых в административном и судебном порядке с должностных лиц и отдельных граждан, виновных в таком нарушении;
- добровольных взносов предприятий, кооперативов, общественных организаций и граждан;
- доходов от проведения займов, лотерей и других коммерческих мероприятий, направленных на снижение риска чрезвычайных ситуаций.
Средства территориальных фондов безопасности, как правило, расходуются на строительство, техническое перевооружение, реконструкцию и капитальный ремонт объектов с целью предупреждения возникновения на них чрезвычайных ситуаций, уменьшения ущерба и ликвидацию их последствий, частичное или полное погашение кредитов банка, получение которых предусмотрено региональными, республиканскими и союзными программами, направленными на предупреждение чрезвычайных ситуаций, уменьшение ущерба и ликвидацию последствий чрезвычайных ситуаций.
Местные фонды безопасности формируются на уровне краев, областей и наиболее опасных в отношении чрезвычайных ситуаций городов.
Фонды безопасности могут образовываться и путем специального налогообложения опасных технологий, аварийно и потенциально опасных объектов, страхования предприятий, лиц, домашних и сельскохозяйственных животных, жилых и нежилых помещений, производственной и социальной инфраструктуры (земли, недр, воды, леса, растительного и животного мира) на случай их утраты в результате чрезвычайных ситуаций. Средства этих фондов должны идти на финансирование работ по прогнозированию, предотвращению и ликвидации последствий чрезвычайных ситуаций, в том числе на проведение спасательных операций, а также на оказание экономической помощи отдельным субъектам РФ и регионам для ликвидации чрезвычайных ситуаций.
Регулирование безопасности
Регулирование вопросов безопасности объектов экономики, населения и территорий от чрезвычайных ситуаций природного и техногенного характера осуществляется путем декларирования и лицензирования деятельности предприятий, организаций и учреждений, создающих угрозу населению и окружающей среде; экспертизы проектов на строительство и размещение потенциально опасных объектов экономики; надзора и контроля за выполнением требований безопасности в промышленности, строительстве и на транспорте.
Декларирование безопасности является обязательным процессом. Это закреплено статьей 14 п. 2 вышеуказанного закона: “...настоящим законом устанавливается обязательность разработки деклараций промышленной безопасности опасных производственных объектов...”.
Порядок разработки декларации определен приказом МЧС России и Госгортехнадзора России. Декларация является документом, содержащим техническую, организационную и технологическую информацию с указанием опасностей промышленного объекта и предупреждения негативного воздействия возможных аварий на людей и окружающую среду, утверждается руководителем предприятия. Лицо, утвердившее декларацию, несет полную юридическую ответственность за полноту и достоверность представленной в декларации информации.
Декларация должна пройти экспертизу. Разрабатываемая декларация безопасности представляется в соответствующие органы МЧС России, Госгортехнадзора России и органы местного самоуправления, на территории которого расположен декларируемый промышленный объект.
Деятельность, связанная с проектированием потенциально опасных объектов промышленности и транспорта, их строительством (реконструкцией), вводом и выводом из эксплуатации, эксплуатацией на данной территории, осуществляется на основе лицензии.
Лицензирование производится в целях ограничения доступа к опасным технологиям и производствам. Лицензия служит документом, удостоверяющим право ее владельца на осуществление определенного вида (видов) деятельности на данной территории в течение установленного срока при соблюдении им заранее оговоренных требований и условий. Положение о лицензировании деятельности промышленных объектов определено федеральным законом “О лицензировании отдельных видов деятельности”.
Основание для выдачи лицензии — заключение государственной экспертизы о соответствии технологии, оборудования и организации производственного процесса требованиям соответствующих стандартов и норм. Госэкспертиза создана при МЧС России.
Государственный надзор и контроль в области защиты объектов экономики, населения и территорий от чрезвычайных ситуаций проводятся в целях проверки полноты выполнения мероприятий по предупреждению чрезвычайных ситуаций, готовности органов управления, должностных лиц, сил и средств к действиям в случае их возникновения, а также выполнения соответствующими инстанциями установленных законодательных и нормативно-правовых актов в области защиты.
Государственный надзор и контроль в области защиты осуществляются МЧС России, а также органами исполнительной власти субъектов РФ, самоуправления, объектов экономики через их инспекции и надзорные службы в области защиты от чрезвычайных ситуаций. В их задачу входят контроль и оценка состояния аварийности, прогноз вероятности возникновения чрезвычайных ситуаций, разработка рекомендаций по необходимым защитным мерам для объекта экономики, населения и территорий.
Финансовое и материальное обеспечение мероприятий РСЧС
Финансовое обеспечение мероприятий РСЧС – это покрытие затрат общественных ресурсов (материальных, финансовых, технических, людских, информационных и т. д.) на предупреждение и ликвидацию чрезвычайных ситуаций за счет финансовых ресурсов, аккумулируемых государством, субъектами Федерации, муниципальными образованиями и объектами экономики.
Материальное обеспечение мероприятий РСЧС – это комплекс мероприятий по бесперебойному, полному и своевременному удовлетворению потребностей в материально-технических средствах, необходимых для предупреждения и ликвидации чрезвычайных ситуаций и их последствий, жизнеобеспечению персонала органов управления по делам ГО и ЧС, войск ГО, поисково-спасательных служб и пострадавшего населения.
Финансовое и материальное обеспечение мероприятий РСЧС осуществляется на основе федеральных законов “О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера” (1994), “О государственном материальном резерве” (1998), а также постановления Правительства “О порядке выделения средств резервного фонда Правительства РФ по предупреждению и ликвидации чрезвычайных ситуаций и последствий стихийных бедствий” (1997).
