Главная | Обратная связь
МегаЛекции

Что такое законодательный уровень информационной безопасности и почему он важен

В деле обеспечения информационной безопасности успех может принести только комплексный подход. Мы уже указывали, что для защи­ты интересов субъектов информационных отношений необходимо соче­тать меры следующих уровней:

• законодательного;

• административного (приказы и другие действия руководства

организаций, связанных с защищаемыми информационными системами);

• процедурного (меры безопасности, ориентированные на людей);

• программно-технического.

Законодательный уровень является важнейшим для обеспечения информационной безопасности. Большинство людей не совершают про­тивоправных действий не потому, что это технически невозможно, а по­тому, что это осуждается и/или наказывается обществом, потому, что так поступать не принято.

Мы будем различать на законодательном уровне две группы мер:

• меры, направленные на создание и поддержание в обществе не­гативного (в том числе с применением наказаний) отношения к нарушениям и нарушителям информационной безопасности (назовем их мерами ограничительной направленности);

• направляющие и координирующие меры, способствующие по­вышению образованности общества в области информацион­ной безопасности, помогающие в разработке и распростране­нии средств обеспечения информационной безопасности (ме­ры созидательной направленности)^

На практике обе группы мер важны в равной степени, но нам хоте­лось бы выделить аспект осознанного соблюдения норм и правил И Б. Это важно для всех субъектов информационных отношений, поскольку рас­считывать только на защиту силами правоохранительных органов было бы наивно. Необходимо это и тем, в чьи обязанности входит наказывать нарушителей, поскольку обеспечить доказательность при расследовании и судебном разбирательстве компьютерных преступлений без специаль­ной подготовки невозможно.

Самое важное (и, вероятно, самое трудное) на законодательном уровне — создать механизм, позволяющий согласовать процесс разработ­ки законов с реалиями и прогрессом информационных технологий. Зако-ны не могут опережать жизнь, но важно, чтобы отставание не было слиш­ком большим, так как на практике, помимо прочих отрицательных мо­ментов, это ведет к снижению информационной безопасности.

Обзор российского законодательства в области информационной безопасности

Правовые акты общего назначения, затрагивающие вопросы информационной безопасности

Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года.

В соответствии со статьей 24 Конституции, органы государственной власти и органы местного самоуправления, их должностные лица обяза­ны обеспечить каждому возможность ознакомления с документами и ма­териалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.

Статья 41 гарантирует право на знание фактов и обстоятельств, со­здающих угрозу для жизни и здоровья людей, статья 42 — право на знание достоверной информации о состоянии окружающей среды.

В принципе, право на информацию может реализовываться средст­вами бумажных технологий, но в современных условиях наиболее прак­тичным и удобным для граждан является создание соответствующими за­конодательными, исполнительными и судебными органами информаци­онных серверов и поддержание доступности и целостности представлен­ных на них сведений, то есть обеспечение их (серверов) информационной безопасности.

Статья 23 Конституции гарантирует право наличную и семейную тай­ну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, статья 29 — право свободно искать, получать, переда­вать, производить и распространять информацию любым законным спосо­бом. Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по ком­пьютерным сетям, а также доступ к средствам защиты информации.

В Гражданском кодексе Российской Федерации (в своем изложении мы опираемся на редакцию от 15 мая 2001 года) фигурируют такие поня­тия, как банковская, коммерческая и служебная тайна. Согласно статье 139, информация составляет служебную или коммерческую тайну в слу­чае, когда информация имеет действительную или потенциальную ком­мерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности. Это подразумевает, как минимум, компетентность в вопросах ИБ и наличие доступных (и за­конных) средств обеспечения конфиденциальности.

Весьма продвинутым в плане информационной безопасности явля­ется Уголовный кодекс Российской Федерации (редакция от 14 марта 2002 года). Глава 28 - «Преступления в сфере компьютерной информа­ции» - содержит три статьи:

• статья 272. Неправомерный доступ к компьютерной информа­ции;

• статья 273. Создание, использование и распространение вредо­носных программ для ЭВМ;

• статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

Первая имеет дело с посягательствами на конфиденциальность, вто­рая — с вредоносным ПО, третья — с нарушениями доступности и целост­ности, повлекшими за собой уничтожение, блокирование или модифика­цию охраняемой законом информации ЭВМ. Включение в сферу дейст­вия УК РФ вопросов доступности информационных сервисов представ­ляется нам очень своевременным.

Статья 138 УК РФ, защищая конфиденциальность персональных данных, предусматривает наказание за нарушение тайны переписки, те­лефонных переговоров, почтовых, телеграфных или иных сообщений. Аналогичную роль для банковской и коммерческой тайны играет статья 183 УК РФ.

Интересы государства в плане обеспечения конфиденциальности информации нашли наиболее полное выражение в Законе «О государст­венной тайне» (с изменениями и дополнениями от 6 октября 1997 года). В нем гостайна определена как защищаемые государством сведения в об­ласти его военной, внешнеполитической, экономической, разведыва­тельной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Россий­ской Федерации. Там же дается определение средств защиты информа­ции. Согласно данному Закону, это технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну; средства, в которых они реализо­ваны, а также средства контроля эффективности защиты информации. Подчеркнем важность последней части определения.

 

Закон «Об информации, информатизации и защите информации»

Основополагающим среди российских законов, посвященных во­просам информационной безопасности, следует считать закон «Об ин-" формации, информатизации и защите информации» от 20 февраля 1995 года номер 24-фЗ (принят Государственной Думой 25 января 1995 года). В нем даются основные определения и намечаются направления развития законодательства в данной области.

Процитируем некоторые из этих определений:

• информация — сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления;

• документированная информация (документ) — зафиксированная на материальном носителе информация с реквизитами, позво­ляющими ее идентифицировать;

• информационные процессы — процессы сбора, обработки, на­копления, хранения, поиска и распространения информации;

• информационная система — организационно упорядоченная сово­купность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислитель­ной техники и связи, реализующих информационные процессы;

• информационные ресурсы — отдельные документы и отдельные массивы документов, документы и массивы документов в ин­формационных системах (библиотеках, архивах, фондах, бан­ках данных, других информационных системах);

• информация о гражданах (персональные данные) — сведения о фактах, событиях и обстоятельствах жизни гражданина, позво­ляющие идентифицировать его личность;

• конфиденциальная информация — документированная информа­ция, доступ к которой ограничивается в соответствии с законо­дательством Российской Федерации;

• пользователь (потребитель) информации — субъект, обращаю­щийся к информационной системе или посреднику за получе­нием необходимой ему информации и пользующийся ею.

Мы, разумеется, не будем обсуждать качество данных в Законе опре­делений. Обратим лишь внимание на гибкость определения конфиденци­альной информации, которая не сводится к сведениям, составляющим государственную тайну, а также на понятие персональных данных, закла­дывающее основу защиты последних.

Закон выделяет следующие цели защиты информации:

• предотвращение утечки, хищения, утраты, искажения, поддел­ки информации;

• предотвращение угроз безопасности личности, общества, госу­дарства;

• предотвращение несанкционированных действий по уничто­жению, модификации, искажению, копированию, блокирова­нию информации;

• предотвращение других форм незаконного вмешательства в ин­формационные ресурсы и информационные системы, обеспе­чение правового режима документированной информации как объекта собственности;

• защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имею­щихся в информационных системах;

• сохранение государственной тайны, конфиденциальности доку­ментированной информации в соответствии с законодательством;

• обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

Отметим, что Закон на первое место ставит сохранение конфиден­циальности информации. Целостность представлена также достаточно полно, хотя и на втором месте. О доступности (»предотвращение несанк­ционированных действий по ... блокированию информации») сказано до­вольно мало.

Продолжим цитирование:

«Защите подлежит любая документированная информация, непра­вомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу».

По сути, это положение констатирует, что защита информации направлена на обеспечение интересов субъектов информационных от­ношений.

Далее. «Режим защиты информации устанавливается:

• в отношении сведений, отнесенных к государственной тайне, - уполномоченными органами на основании Закона Российской Федерации «О государственной тайне»;

• в отношении конфиденциальной документированной инфор­мации — собственником информационных ресурсов или упол­номоченным лицом на основании настоящего Федерального закона;

• в отношении персональных данных — федеральным законом. Здесь явно выделены три вида защищаемой информации, ко второ­му из которых принадлежит, в частности, коммерческая информация. Поскольку защите подлежит только документированная информация, необходимым условием является фиксация коммерческой информации на материальном носителе и снабжение ее реквизитами. Отметим, что в данном месте Закона речь идет только о конфиденциальности; остальные аспекты ИБ забыты.

Обратим внимание, что защиту государственной тайны и персональ­ных данных берет на себя государство; за другую конфиденциальную ин­формацию отвечают ее собственники.

Как же защищать информацию? В качестве основного закон предла­гает для этой цели мощные универсальные средства: лицензирование и сертификацию. Процитируем статью 19.

1. Информационные системы, базы и банки данных, предназначенные для информационного обслуживания граждан и организаций, под­лежат сертификации в порядке, установленном Законом Россий­ской Федерации «О сертификации продукции и услуг».

2. Информационные системы органов государственной власти Рос­сийской Федерации и органов государственной власти субъектов Российской Федерации, других государственных органов, организа­ций, которые обрабатывают документированную информацию с ограниченным доступом, а также средства защиты этих систем подле­жат обязательной сертификации. Порядок сертификации определя­ется законодательством Российской Федерации.

3. Организации, выполняющие работы в области проектирования, произ­водства средств защиты информации и обработки персональных дан­ных, получают лицензии на этот вид деятельности. Порядок лицензи­рования определяется законодательством Российской Федерации.

4. Интересы потребителя информации при использовании импортной продукции в информационных системах защищаются таможенными органами Российской Федерации на основе международной систе­мы сертификации.

Здесь трудно удержаться от риторического вопроса: а есть ли в России информационные системы без импортной продукции? Получается, что на защите интересов потребителей стоит в данном случае только таможня...

И еще несколько пунктов, теперь из статьи 22:

2. Владелец документов, массива документов, информационных сис­тем обеспечивает уровень защиты информации в соответствии с за­конодательством Российской Федерации.

3. Риск, связанный с использованием несертифицированных инфор­мационных систем и средств их обеспечения, лежит на собственни­ке (владельце) этих систем и средств. Риск, связанный с использова­нием информации, полученной из несертифицированной системы, лежит на потребителе информации.

4. Собственник документов, массива документов, информационных систем может обращаться в организации, осуществляющие серти­фикацию средств защиты информационных систем и информаци­онных ресурсов, для проведения анализа достаточности мер защиты его ресурсов и систем и получения консультаций.

5. Владелец документов, массива документов, информационных сис­тем обязан оповещать собственника информационных ресурсов и (или) информационных систем о всех фактах нарушения режима за­щиты информации.

Из пункта 5 следует, что должны обнаруживаться все (успешные) атаки на ИС. Вспомним в этой связи один из результатов опроса (см. лек­цию 1): около трети респондентов-американцев не знали, были ли взло­маны их ИС за последние 12 месяцев. По нашему законодательству их можно было бы привлечь к ответственности...

Далее, статья 23 «Защита прав субъектов в сфере информационных процессов и информатизации» содержит следующий пункт:

2. Защита прав субъектов в указанной сфере осуществляется судом, ар­битражным судом, третейским судом с учетом специфики правона­рушений и нанесенного ущерба.

Очень важными являются пункты статьи 5, касающиеся юридичес­кой силы электронного документа и электронной цифровой подписи:

3. Юридическая сила документа, хранимого, обрабатываемого и пере­даваемого с помощью автоматизированных информационных и те­лекоммуникационных систем, может подтверждаться электронной цифровой подписью.

Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе про­граммно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования.

4. Право удостоверять идентичность электронной цифровой подписи осуществляется на основании лицензии. Порядок выдачи лицензий определяется законодательством Российской Федерации.

Таким образом, Закон предлагает действенное средство контроля целостности и решения проблемы «неотказуемости» (невозможности от­казаться от собственной подписи).

Таковы важнейшие, на наш взгляд, положения Закона «Об информа­ции, информатизации и защите информации». На следующей странице будут рассмотрены другие законы РФ в области информационной безопасности.

 

Другие законы и нормативные акты

Следуя логике Закона «Об информации, информатизации и защите информации», мы продолжим наш обзор Законом «О лицензировании отдельных видов деятельности» от 8 августа 2001 года номер 128-ФЗ V (Принят Государственной Думой 13 июля 2001 года). Начнем с основных определений.

«Лицензия — специальное разрешение на осуществление конкретно­го вида деятельности при обязательном соблюдении лицензионных тре­бований и условий, выданное лицензирующим органом юридическому лицу или индивидуальному предпринимателю.

Лицензируемый вид деятельности — вид деятельности, на осуществле­ние которого на территории Российской Федерации требуется получение лицензии в соответствии с настоящим Федеральным законом.

Лицензирование — мероприятия, связанные с предоставлением ли­цензий, переоформлением документов, подтверждающих наличие ли­цензий, приостановлением и возобновлением действия лицензий, анну­лированием лицензий и контролем лицензирующих органов за соблюде­нием лицензиатами при осуществлении лицензируемых видов деятельно­сти соответствующих лицензионных требований и условий.

Лицензирующие органы — федеральные органы исполнительной вла­сти, органы исполнительной власти субъектов Российской Федерации,

осуществляющие лицензирование в соответствии с настоящим Феде­ральным законом.

Лицензиат — юридическое лицо или индивидуальный предприни­матель, имеющие лицензию на осуществление конкретного вида дея­тельности.

Статья 17 Закона устанавливает перечень видов деятельности, на осуществление которых требуются лицензии. Нас будут интересовать следующие виды:

• распространение шифровальных (криптографических) средств;

• техническое обслуживание шифровальных (криптографичес­ких) средств;

• предоставление услуг в области шифрования информации;

• разработка и производство шифровальных (криптографичес­ких) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, теле­коммуникационных систем;

• выдача сертификатов ключей электронных цифровых подпи­сей, регистрация владельцев электронных цифровых подписей, оказание услуг, связанных с использованием электронных циф­ровых подписей и подтверждением подлинности электронных цифровых подписей;

• выявление электронных устройств, предназначенных для не­гласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятель­ность осуществляется для обеспечения собственных нужд юри­дического лица или индивидуального предпринимателя);

• разработка и (или) производство средств защиты конфиденци­альной информации;

• техническая защита конфиденциальной информации;

• разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляю­щими предпринимательскую деятельность.

Необходимо учитывать, что, согласно статье 1, действие данного За­кона не распространяется на следующие виды деятельности:

• деятельность, связанная с защитой государственной тайны;

• деятельность в области связи;

• образовательная деятельность.

Подчеркнем в этой связи, что данный Закон не препятствует органи­зации Интернет-Университетом учебных курсов по информационной бе­зопасности (не требует получения специальной лицензии; ранее подоб-

ная лицензия была необходима). В свою очередь, Федеральный Закон «Об образовании» не содержит каких-либо специальных положений, ка­сающихся образовательной деятельности в области ИБ.

Основными лицензирующими органами в области защиты инфор­мации являются Федеральное агентство правительственной связи и ин­формации (ФАПСИ) и Гостехкомиссия России. ФАПСИ ведает всем, что связано с криптографией, Гостехкомиссия лицензирует деятельность по защите конфиденциальной информации. Эти же организации возглавля­ют работы по сертификации средств соответствующей направленности. Кроме того, ввоз и вывоз средств криптографической защиты информа­ции (шифровальной техники) и нормативно-технической документации к ней может осуществляться исключительно на основании лицензии Ми­нистерства внешних экономических связей Российской Федерации, вы­даваемой на основании решения ФАПСИ. Все эти вопросы регламенти­рованы соответствующими указами Президента и постановлениями Пра­вительства РФ, которые мы здесь перечислять не будем.

В эпоху глобальных коммуникаций важную роль играет Закон «Об ^ участии в международном информационном обмене» от 4 июля 1996 го­да номер 85-ФЗ (принят Государственной Думой 5 июня 1996 года). В нем, как и в Законе «Об информации...», основным защитным средст­вом являются лицензии и сертификаты. Процитируем несколько пунк­тов из статьи 9.

2. Защита конфиденциальной информации государством распростра­няется только на ту деятельность по международному информаци­онному обмену, которую осуществляют физические и юридические лица, обладающие лицензией на работу с конфиденциальной ин­формацией и использующие сертифицированные средства между­народного информационного обмена.

Выдача сертификатов и лицензий возлагается на Комитет при Пре­зиденте Российской Федерации по политике информатизации, Го­сударственную техническую комиссию при Президенте Российской Федерации, Федеральное агентство правительственной связи и ин­формации при Президенте Российской Федерации. Порядок выдачи сертификатов и лицензий устанавливается Правительством Россий­ской Федерации.

3. При обнаружении нештатных режимов функционирования средств международного информационного обмена, то есть возникновения ошибочных команд, а также команд, вызванных несанкционирован­ными действиями обслуживающего персонала или иных лиц, либо ложной информацией собственник или владелец этих средств дол­жен своевременно сообщить об этом в органы контроля за осуществ­лением международного информационного обмена и собственнику

или владельцу взаимодействующих средств международного инфор­мационного обмена, в противном случае он несет ответственность за причиненный ущерб.

При желании здесь можно усмотреть обязательность выявления на­рушителя информационной безопасности — положение, вне всяких со­мнений, очень важное и прогрессивное.

Еще одна цитата — теперь из статьи 17 того же Закона. Статья 17: «Сертификация информационных продуктов, информа­ционных услуг, средств международного информационного обмена.

1. При ввозе информационных продуктов, информационных услуг в Российскую Федерацию импортер представляет сертификат, гаран­тирующий соответствие данных продуктов и услуг требованиям до­говора. В случае невозможности сертификации ввозимых на терри­торию Российской Федерации информационных продуктов, инфор­мационных услуг ответственность за использование данных продук­тов и услуг лежит на импортере.

2. Средства международного информационного обмена, которые обра­батывают документированную информацию с ограниченным досту­пом, а также средства защиты этих средств подлежат обязательной сертификации.

3. Сертификация сетей связи производится в порядке, определяемом Федеральным законом «О связи».

Читая пункт 2, трудно удержаться от вопроса: «А нужно ли сертифи­цировать средства защиты средств защиты этих средств?» Ответ, конечно, положительный...

10 января 2002 года Президентом был подписан очень важный закон «Об электронной цифровой подписи» номер 1-ФЗ (принят Государствен­ной Думой 13 декабря 2001 года), развивающий и конкретизирующий приведенные выше положения закона «Об информации...». Его роль поясняется в статье 1.

1. Целью настоящего Федерального закона является обеспечение правовых условий использования электронной цифровой подпи­си в электронных документах, при соблюдении которых элек­тронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумаж­ном носителе.

2. Действие настоящего Федерального закона распространяется на от­ношения, возникающие при совершении гражданско-правовых сде­лок и в других предусмотренных законодательством Российской Фе­дерации случаях. Действие настоящего Федерального закона не рас­пространяется на отношения, возникающие при использовании иных аналогов собственноручной подписи.

Закон вводит следующие основные понятия:

Электронный документ — документ, в котором информация представ­лена в электронно-цифровой форме.

Электронная цифровая подпись — реквизит электронного документа, предназначенный для защиты данного электронного документа от под­делки, полученный в результате криптографического преобразования ин­формации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата клю­ча подписи, а также установить отсутствие искажения информации в эле­ктронном документе.

Владелец сертификата ключа подписи - физическое лицо, на имя ко­торого удостоверяющим центром выдан сертификат ключа подписи и ко­торое владеет соответствующим закрытым ключом электронной цифро­вой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы).

Средства электронной цифровой подписи — аппаратные и (или) про­граммные средства, обеспечивающие реализацию хотя бы одной из сле­дующих функций: создание электронной цифровой подписи в электрон­ном документе с использованием закрытого ключа электронной цифро­вой подписи, подтверждение с использованием открытого ключа элек­тронной цифровой подписи подлинности электронной цифровой подпи­си в электронном документе, создание закрытых и открытых ключей эле­ктронных цифровых подписей.

Сертификат средств электронной цифровой подписи — документ на бу­мажном носителе, выданный в соответствии с правилами системы серти­фикации для подтверждения соответствия средств электронной цифро­вой подписи установленным требованиям.

Закрытый ключ электронной цифровой подписи — уникальная после­довательность символов, известная владельцу сертификата ключа подпи­си и предназначенная для создания в электронных документах электрон­ной цифровой подписи с использованием средств электронной цифровой подписи.

Открытый ключ электронной цифровой подписи — уникальная после­довательность символов, соответствующая закрытому ключу электрон­ной цифровой подписи, доступная любому пользователю информацион­ной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной циф­ровой подписи в электронном документе.

Сертификат ключа подписи — документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномо­ченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и выдаются удостоверяющим центром участнику информационной системы для подтверждения под­линности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.

Подтверждение подлинности электронной цифровой подписи в элект­ронном документе — положительный результат проверки соответствую­щим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электрон­ной цифровой подписи в электронном документе владельцу сертификата ключа подписи и отсутствия искажений в подписанном данной электрон­ной цифровой подписью электронном документе.

Пользователь сертификата ключа подписи — физическое лицо, ис­пользующее полученные в удостоверяющем центре сведения о сертифи­кате ключа подписи для проверки принадлежности электронной цифро­вой подписи владельцу сертификата ключа подписи.

Информационная система общего пользования — информационная система, которая открыта для использования всеми физическими и юри­дическими лицами и в услугах которой этим лицам не может быть отказа­но.

Корпоративная информационная система — информационная систе­ма, участниками которой может быть ограниченный круг лиц, определен­ный ее владельцем или соглашением участников этой информационной системы.

Пересказать такие определения своими словами невозможно... Об­ратим внимание на неоднозначное использование термина «сертифи­кат», которое, впрочем, не должно привести к путанице. Кроме того, дан­ное здесь определение электронного документа слабее, чем в Законе «Об информации...», поскольку нет упоминания реквизитов.

Согласно Закону, электронная цифровая подпись в электронном до­кументе равнозначна собственноручной подписи в документе на бумаж­ном носителе при одновременном соблюдении следующих условий:

• сертификат ключа подписи, относящийся к этой электронной цифровой подписи, не утратил силу (действует) на момент про­верки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;

• подтверждена подлинность электронной цифровой подписи в электронном документе;

• электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи.

Закон определяет сведения, которые должен содержать сертификат ключа подписи:

• уникальный регистрационный номер сертификата ключа подписи, даты начала и окончания срока действия сертификата ключа подписи, находящегося в реестре удостоверяющего центра;

• фамилия, имя и отчество владельца сертификата ключа подпи­си или псевдоним владельца. В случае использования псевдо­нима запись об этом вносится удостоверяющим центром в сер­тификат ключа подписи;

• открытый ключ электронной цифровой подписи;

• наименование средств электронной цифровой подписи, с кото­рыми используется данный открытый ключ электронной циф­ровой подписи;

• наименование и местонахождение удостоверяющего центра, выдавшего сертификат ключа подписи;

• сведения об отношениях, при осуществлении которых элек­тронный документ с электронной цифровой подписью будет иметь юридическое значение.

Интересно, много ли Федеральных законов, содержащих такое ко­личество технической информации и столь зависимых от конкретной технологии?

На этом мы заканчиваем обзор законов РФ, относящихся к инфор­мационной безопасности.

 

Обзор зарубежного законодательства в области информационной безопасности

Конечно, излишняя амбициозность заголовка очевидна. Разумеется, мы лишь пунктиром очертим некоторые законы нескольких стран (в пер­вую очередь — США), поскольку только в США таких законодательных актов около 500.

Ключевую роль играет американский «Закон об информационной безопасности» (Computer Security Act of 1987, Public Law 100-235 (H.R. 145), January 8, 1988). Его цель — реализация минимально достаточных действий по обеспечению безопасности информации в федеральных ком­пьютерных системах, без ограничений всего спектра возможных действий.

Характерно, что уже в начале Закона называется конкретный испол­нитель — Национальный институт стандартов и технологий (НИСТ), от­вечающий за выпуск стандартов и руководств, направленных на защиту от уничтожения и несанкционированного доступа к информации, а так­же от краж и подлогов, выполняемых с помощью компьютеров. Таким об­разом, имеется в виду как регламентация действий специалистов, так и повышение информированности всего общества.

Согласно Закону, все операторы федеральных ИС, содержащих кон­фиденциальную информацию, должны сформировать планы обеспечения ИБ. Обязательным является и периодическое обучение всего персо­нала таких ИС. НИСТ, в свою очередь, обязан проводить исследования природы и масштаба уязвимых мест, вырабатывать экономически оправ­данные меры защиты. Результаты исследований рассчитаны на примене­ние не только в государственных системах, но и в частном секторе.

Закон обязывает НИСТ координировать свою деятельность с други­ми министерствами и ведомствами, включая Министерство обороны, Министерство энергетики, Агентство национальной безопасности (АНБ) и т.д., чтобы избежать дублирования и несовместимости.

Помимо регламентации дополнительных функций НИСТ, Закон предписывает создать при Министерстве торговли комиссию по инфор­мационной безопасности, которая должна:

• выявлять перспективные управленческие, технические, адми­нистративные и физические меры, способствующие повыше­нию ИБ;

• выдавать рекомендации Национальному институту стандартов и технологий, доводить их до сведения всех заинтересованных ведомств.

С практической точки зрения важен раздел 6 Закона, обязывающий нее правительственные ведомства сформировать план обеспечения инфор­мационной безопасности, направленный на то, чтобы компенсировать ри­ски и предотвратить возможный ущерб от утери, неправильного использо­вания, несанкционированного доступа или модификации информации в федеральных системах. Копии плана направляются в НИСТ и АНБ.

В 1997 году появилось продолжение описанного закона — законо­проект «О совершенствовании информационной безопасности» (Computer Security Enhancement Act of 1997, H.R. 1903), направленный на усиление роли Национального института стандартов и технологий и уп­рощение операций с криптосредствами.

В законопроекте констатируется, что частный сектор готов предоста­вить криптосредства для обеспечения конфиденциальности и целостнос­ти (в том числе аутентичности) данных, что разработка и использование шифровальных технологий должны происходить на основании требова­ний рынка, а не распоряжений правительства. Кроме того, здесь отмечает­ся, что за пределами США имеются сопоставимые и общедоступные криптографические технологии, и это следует учитывать при выработке экспортных ограничений, чтобы не снижать конкурентоспособность аме­риканских производителей аппаратного и программного обеспечения.

Для защиты федеральных ИС рекомендуется более широко приме­нять технологические решения, основанные на разработках частного сек­тора. Кроме того, предлагается оценить возможности общедоступных за­рубежных разработок.

Очень важен раздел 3, в котором от НИСТ требуется по запросам ча­стного сектора готовить добровольные стандарты, руководства, средства и методы для инфраструктуры открытых ключей (см. выше Закон РФ об ЭЦП), позволяющие сформировать негосударственную инфраструктуру, пригодную для взаимодействия с федеральными ИС.

В разделе 4 особое внимание обращается на необходимость анализа средств и методов оценки уязвимых мест других продуктов частного сек­тора в области ИБ.

Приветствуется разработка правил безопасности, нейтральных по отношению к конкретным техническим решениям, использование в фе­деральных ИС коммерческих продуктов, участие в реализации шифро­вальных технологий, позволяющее в конечном итоге сформировать ин­фраструктуру, которую можно рассматривать как резервную для феде­ральных ИС.

Важно, что в соответствии с разделами 10 и далее предусматривается выделение конкретных (и немалых) сумм, называются точные сроки реа­лизации программ партнерства и проведения исследований инфраструк­туры с открытыми ключами, национальной инфраструктуры цифровых подписей. В частности, предусматривается, что для удостоверяющих цен­тров должны быть разработаны типовые правила и процедуры, порядок лицензирования, стандарты аудита.

В 2001 году был одобрен Палатой представителей и передан в Сенат новый вариант рассмотренного законопроекта — Computer Security Enhancement Act of 2001 (H.R. 1259 RFS). В этом варианте примечательно как то, что, по сравнению с предыдущей редакцией, было убрано, так и то, что добавилось.





©2015- 2017 megalektsii.ru Права всех материалов защищены законодательством РФ.