Правовое обеспечение системы защиты
информации на предприятии
Предлагаемая Вашему вниманию статья является продолжением темы защиты информации, начатой нами в апрельском номере "КИ" статьей "Защита информации - проблема ╧ 1". Коротко напомним Вам, что в ней очень обобщенно давалось обоснование необходимости углубленного подхода к обеспечению информационной безопасности на предприятиях и в учреждениях как государственного, так и предпринимательского секторов российской экономики.
Столь острая потребность в обсуждении этой темы обусловлена прежде всего тем, что, как уже было отмечено в предыдущей статье, наша страна переживает интенсивный переход от ярко выраженного промышленно-индустриального характера развития экономики к рынку информационных технологий и ресурсов. При этом на ранних этапах перехода наблюдалось несколько хаотичное и авральное перемещение акцентов внимания и интереса общественности с получения прибыли непосредственно от материального производства или продаж на считавшийся ранее бесприбыльным, безучетным и неподдающимся никакому контролю информационный рынок. Это создало весьма благоприятную почву для развития в России так называемого "синдрома глобальной незащищенности" информации от несанкционированного доступа к ней и уязвимости е╦ по отношению к многочисленным угрозам.
Однако такая ситуация за последние 3-4 года значительно изменилась. Это выразилось в принятии российским руководством ряда законов и подзаконных актов, различных постановлений и указов, касающихся регламентации создания, использования, передачи и хранения информационных ресурсов, защиты государственной и коммерческой тайны, защиты прав собственника информации и авторских прав, порядка лицензирования деятельности в области защиты информации и пр. (см. врезку).
Некоторые документы, регламентирующие деятельность в области защиты информации.
В части, касающейся вопросов интеллектуальной собственности и защиты авторских прав, регулирование отношений находит место в следующих документах:
На основе перечисленных документов строится правовая защита информации, призванная обеспечить государственную законодательную базу и нормативное обоснование комплексной системы защиты информации на предприятии независимо от его формы собственности и категории защищаемых сведений. Кроме законов и других государственных нормативных документов, правовое обеспечение системы защиты конфиденциальной информации должно включать в себя комплекс внутренней нормативно-организационной документации, в которую могут входить такие документы предприятия, как:
Не углубляясь в содержание перечисленных документов, можно сказать, что во всех из них, в зависимости от их основного нормативного или юридического назначения, указываются требования, нормы или правила по обеспечению необходимого уровня информационной защищенности на предприятии или в его структурных подразделениях, обращенные, прежде всего, к персоналу и руководству предприятия.
Правовое обеспечение дает возможность урегулировать многие спорные вопросы, неизбежно возникающие в процессе информационного обмена на самых разных уровнях - от речевого общения до передачи данных в компьютерных сетях. Кроме того, образуется юридически оформленная система административных мер, позволяющая применять взыскания или санкции к нарушителям внутренней политики безопасности предприятия, а также устанавливать достаточно четкие условия по обеспечению конфиденциальности сведений, используемых или формируемых при сотрудничестве между субъектами экономики, выполнении ими договорных обязательств, осуществлении совместной деятельности и т. п. При этом стороны, не выполняющие эти условия, несут ответственность в рамках, предусмотренных как соответствующими пунктами межсторонних документов (договоров, соглашений, контрактов и пр.), так и российским законодательством.
Понятно, что для достижения полноты и комплексности защиты информации только разработкой и внедрением на предприятии даже самого совершенного и безупречного правового обеспечения ограничиваться не стоит. Любые законы или правила теряют свою работоспособность и перестают быть эффективными нормативными средствами регулирования различного рода взаимоотношений при отсутствии этих взаимоотношений, как таковых, без наличия субъектов взаимоотношений или вообще среды, на которую распространяется действие данных норм.
Короче говоря, для того, чтобы создать надежную правовую базу для системы защиты информации, нужно организовать эту систему, создать предпосылки для е╦ функционирования, разработать комплекс последовательно и согласованно проводимых мероприятий, определить входящие в не╦ компоненты и подсистемы. Для этих целей и предназначена организационная защита информации, к общему описанию которой мы сейчас приступим.
Организационная система защиты информации представляет собой совокупность организационных и организационно-технических мер по обеспечению информационной безопасности на предприятии, созданию общей политики безопасности и осуществлению контроля е╦ эффективности. Реализацию проекта по созданию комплексной системы защиты информации рекомендуется проводить поэтапно. Разработке и внедрению системы обязательно предшествуют тщательное исследование информационных ресурсов предприятия и вынесение обоснований и доводов в пользу создания системы защиты, предварительно прикидываются и распределяются ресурсы и трудозатраты на е╦ создание и функционирование, выбираются наиболее приоритетные пути и направления е╦ развития. Затем устанавливаются возможные причины, варианты проявления и последствия нарушений информационной безопасности, сбоев программ, технических средств и систем обработки и передачи информации, несанкционированного е╦ получения, модификации (уничтожения) и распространения, иными словами, рисуется информационно-функциональная модель предприятия и создается эскизная схема системы защиты. При этом организационная часть системы должна включать в себя:
Кроме того, должны проводиться регулярные профилактические беседы с персоналом для предупреждения фактов нарушения политики безопасности. Этими беседами необходимо достигнуть повышения уровня сознательности сотрудников по отношению к проблеме защиты информации до уровня понимания каждым из них полезности и необходимости проводимых мероприятий, направленных на обеспечение информационной безопасности, являющейся, в свою очередь, неотъемлемой частью общей безопасности предприятия. Только сознательное отношение сотрудников к этой проблеме может сделать систему защиты по-настоящему эффективной и надежной. Таким образом, в организационной системе защиты информации человеческий фактор занимает главенствующее положение. Как, впрочем, и во всей комплексной системе защиты человек далеко не последнее звено цепи решающих факторов и обстоятельств, определяющих положение предприятия относительно информационной защищенности и безопасности.