Фз о информации информационных. Фз об информационной безопасности. Право на получение сведений

1. Настоящий Федеральный закон регулирует отношения, возникающие при:

1) осуществлении права на поиск, получение, передачу, производство и распространение информации;

2) применении информационных технологий;

3) обеспечении защиты информации.

Некоторые из основных понятий, используемых в настоящем ФЗ.

1) информация - сведения (сообщения, данные) независимо от формы их представления;

2) информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов;

3) информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;

4) информационно-телекоммуникационная сеть - технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники;

5) обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам;

6) доступ к информации - возможность получения информации и ее использования;

7) конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;

Статья 5. Информация как объект правовых отношений

1. Информация может являться объектом публичных, гражданских и иных правовых отношений.

Статья 6. Обладатель информации

1. Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации, муниципальное образование.

Статья 7. Общедоступная информация

1. К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен.

Статья 8. Право на доступ к информации

1. Граждане (физические лица) и организации (юридические лица) (далее - организации) вправе осуществлять поиск и получение любой информации в любых формах и из любых источников при условии соблюдения требований, установленных настоящим Федеральным законом и другими федеральными законами.

Статья 9. Ограничение доступа к информации

1. Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Статья 10. Распространение информации или предоставление информации

1. В Российской Федерации распространение информации осуществляется свободно при соблюдении требований, установленных законодательством Российской Федерации.

Статья 13. Информационные системы

1) государственные информационные системы - федеральные информационные системы и региональные информационные системы, созданные на основании соответственно федеральных законов, законов субъектов Российской Федерации, на основании правовых актов государственных органов;

Статья 16. Защита информации

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа;

3) реализацию права на доступ к информации.

Статья 17. Ответственность за правонарушения в сфере информации, информационных технологий и защиты информации

1. Нарушение требований настоящего Федерального закона влечет за собой дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации.

В настоящее время действующее законодательство имеет в своей базе нормативный документ, который регламентирует порядок, правила и требования предоставления информации. Что это такое, знают немногие, а тем более те, кто не имеет ничего общего с юриспруденцией. Некоторые нюансы и нормы этого правового акта изложены в настоящей статье.

Словарь терминов, используемых в законе

Некоторые термины и определения, которые применяются в названном нормативном акте, более четко определены законодателем, чтобы у граждан не возникало сомнений или двоякого понимания. Так, среди этих определений имеются следующие:

Под информацией с точки зрения указанного документа подразумеваются любые сведения, которые могут быть выражены в форме сообщений или другом виде. Причем они могут предоставляться третьим лицам в любой форме.
Информационные технологии - всевозможные предусмотренные законом способы, методы, процессы, применяемые для обнаружения, сохранения, использования и применения информации.
Обладатель информации - это тот человек, который собственными силами произвел ее или получил на основании какой-либо предусмотренной законом сделки от других лиц. Обладателем может быть и юридическое лицо.
Предоставление информации - под этим определением подразумеваются любые действия, которые направлены на передачу ее от одного лица другому. При этом получателем может быть как конкретное лицо, так и неопределенный круг получателей.
Доступ к сведениям - юридически и физически обеспеченная возможность для получателей приобрести информацию. Виды и формы этого доступа определены соответствующими нормативными документами, которые регламентируют отдельные конкретные правоотношения в жизни людей.
Конфиденциальность - требование, которое предъявляется к лицам, получившим доступ к сведениям, и заключается в запрете на их разглашение без разрешения на то обладателя информации.

Здесь перечислены лишь некоторые из понятий. Для более полного получения информации обо всех определениях, используемых в нужно заглянуть непосредственно в него.

Виды информации

Итак, что же такое информация? Закон «Об информации, информационных технологиях и о защите информации» раскрывает ее суть как объекта правовых отношений. Она может быть непосредственным объектом не только гражданских правоотношений, но и публичных, и властных, и других. По общему правилу, полученная информация является свободной к распространению. То есть лицо, получившее ее, вправе передавать ее другим лицам. Однако данное правило действует лишь в тех случаях, когда она не является конфиденциальной. Конфиденциальность, в свою очередь, может устанавливаться как на основании заключенного между сторонами какого-либо соглашения, так и на основании законодательства. К примеру, законом, регулирующим оперативно-розыскную деятельность, устанавливается секретность информации. Доступ к ней могут получить только специально наделенные таким правом лица. Предоставление информации, которая имеет конфиденциальность, возможно только с согласия ее обладателя или на основании судебного акта.

Исходя из вышеизложенного, ее можно подразделить на следующие категории:

распространяемая свободно и без ограничений;
распространение которой возможно лишь в соответствии с договором;
распространение которой возможно только на основании законов;
распространение которой запрещено на территории РФ или ограничено.

Обладатели информации

Рассмотрим подробнее, кто является обладателем информации. регулирующим этот вопрос, установлено, что такими лицами могут быть физические лица, организации, а также сама Российская Федерация. Также обладателями могут быть субъекты РФ и муниципальные образования. Если рассматриваемым лицом являются последние три названных субъекта, то от их имени права и обязанности осуществляют соответствующие, уполномоченные на то должностные лица. В правомочия всех обладателей входят следующие правомочия:

предоставлять или частично предоставлять доступ к сведениям, устанавливать порядок предоставления информации и способы этого доступа;
применять находящуюся в собственности информацию по своему усмотрению;
осуществлять предоставление информации другим лицам путем заключения какого-либо соглашения или в случаях, определенных законом;
отстаивать свои права на информацию, если они нарушаются третьими лицами;
реализовывать другие права, предусмотренные или не запрещенные законодательством.

Помимо прав, на обладателя возлагаются и определенные обязанности. К таковым относят соблюдение интересов третьих лиц, их законных прав. Обладатель информации также должен защищать имеющиеся в его распоряжении сведения, а если они конфиденциальны, то ограничивать к ним доступ.

Общедоступная информация

К названному виду относятся все те сведения, которые находятся в свободном доступе. Обычно это а также сведения, которые не имеют ограниченного доступа. Предоставление информации, которая никем не ограничена, по сути является безвозмездной. Вместе с тем у нее может быть обладатель, который может потребовать, чтобы лица, ее использующие, указывали его как владельца.

Право на получение сведений

Граждане и юридические лица могут получать информацию любыми не запрещенными методами. Они могут проводить ее поиск во всех общедоступных ресурсах либо написать заявление о предоставлении информации. Примером может служить сеть Интернет, где в свободном доступе располагается не ограниченный объем свободных данных. Помимо этого, указанные лица вправе требовать получения необходимых им сведений от государственных органов или иных организаций. Запрос о предоставлении информации направляется им к обладателю интересующих сведений, тот, в свою очередь, рассматривает запрос, и если запрашиваемое не охраняется законом, не ограничено к распространению, то передает сведения заявителю. Подразумевается, что лицо вправе получать их в том случае, если они затрагивают его права и обязанности. установлен перечень, к которым доступ не может быть запрещен или иным способом ограничен. Это информация:

о состоянии окружающей среды;
об осуществлении государственными органами своей деятельности;
о законах и других нормативных актах;
находящаяся в библиотеках и прочих открытых для публики местах;
другая, разрешенная к распространению.

Чтобы их получить, нужно оформить письмо о предоставлении информации и передать в соответствующий орган.

Ограничение доступа

Общие положения ограничения доступа устанавливаются в ст. 9 рассматриваемого нормативного акта. В ней указано, что эти формы предоставления информации регламентированы законами РФ. Обусловлено это может быть различными факторами. Одними из них считаются: защита конституционного строя страны, здоровья и безопасности людей, их интересов, а также для сохранения обороноспособности России. Это, конечно, не все основания для ограничения доступа. Законодатель определил, что ограничение может быть подразделено в зависимости от того, какой характер конфиденциальности имеет информация. Так, она может обладать банковской, служебной или какой-либо иной. Соответственно, в зависимости от того, к какому виду относятся сведения, их регулирует специальный закон. Например, порядок защиты и распространения банковской тайны описан в законодательстве, регулирующем банковскую деятельность. Именно в нем описан порядок разглашения сведений, а также перечислены случаи и лица, которым можно ее передавать.

Распространение

В целях предоставления информации нормативным документом определено, что ее распространение происходит в России свободно, но исключительно в соответствии с законами. Также определено, что распространяемые сведения обязаны быть достоверными. Это требование относится не только к содержанию самих сведений, но и к информации об обладателе или распространителе. Другими словами, человек, получающий информацию, должен свободно (при желании) выяснить, кто распространил ее. К примеру, сайт, размещающий какое-либо сообщение в сети Интернет, обязан указать свое наименование (наименование организации или Ф.И.О. гражданина), место регистрации или расположения, по которому можно найти обладателя (распространителя), другие контактные данные, в том числе телефоны и адреса электронной почты. Особенные требования предъявляются к таким способам распространения, как передача путем направления электронных сообщений или почтовыми письмами. В таких случаях отправитель обязан предоставить получателю возможность отказа от получения этой информации. Наглядным примером может служить рекламная СМС-рассылка, которую отправители могут направлять своим клиентам только при получении от них соответствующего разрешения.

Фиксирование

Формы предоставления информации предусматривают, что в некоторых случаях передаваемые сторонами друг другу сведения должны быть задокументированы. Эта обязанность возлагается на контрагентов либо законом, либо подписанным между ними соглашением. В государственных органах документирование обязательно, и оно осуществляется в порядке, определенном правительством. С этой целью издаются специальные правила. Для целей реализации между гражданами, а также между организациями, в том числе и государственными, устанавливается порядок использования электронной подписи. В определенных ситуациях стороны обязаны производить передачу информации с использованием такой подписи.

Защита

Анализируемый закон «Об информации, информационных технологиях и о защите информации» устанавливает меры, которые должны осуществляться государством и остальными лицами с целью ее защиты. Так, среди перечня этих мер имеются организационные, технические и, конечно, правовые мероприятия. Они предпринимаются заинтересованными субъектами для:

сохранности сведений от посягательств на них третьих лиц, от совершения ими в последующем каких-либо неправомерных действий, от уничтожения, копирования или распространения сведений;
сохранения секретности;
обеспечения доступа к сведениям.

Государство, осуществляя свои функции, обязано предпринимать необходимые действия для защиты. Они выражаются в установлении минимальных требований к отношениям, связанным с получением сведений, а также в определении ответственности за их неправомерное разглашение или иные противоправные действия. К требованиям об обеспечении безопасности, в частности, относятся:

Предупреждение неправомерного доступа и последующей передачи третьим лицам, которые на то не имеют права.
По возможности - установление фактов неправомерного доступа.
Предотвращение негативных результатов, которые могут возникнуть в случае нарушения установленного порядка получения сведений.
Постоянный контроль.

Ответственность

Как было указано выше, одной из функций государства является установление мер, направленных на защиту информации. Для этих целей законодательным органом вводятся в действие законы и иные нормативные акты, которыми предусмотрена ответственность за неправомерное использование информации. Ответственность, конечно же, градируется в зависимости от степени общественно опасного деяния. Она может предусматриваться разными законами и кодексами. Так, если нарушение весьма серьезно, то к виновнику может быть применена уголовная ответственность. Чуть менее опасные действия могут повлечь за собой ответственность, установленную административным законодательством. Как правило, наказание за такие правонарушения ограничивается штрафами. Если же проступок виновного лица не имеет признаков ни уголовного, ни административного деяния, то ответственность может быть дисциплинарной (если нарушитель является работником).

Таким образом, рассмотренный закон определяет только основные положения, регулирующие отношения между сторонами. Более подробные сведения о том, как она распространяется, какие сроки предоставления информации и другие важные моменты определяются специальными нормативными актами, издаваемыми для тех или иных правоотношений. Следование всем нормам законодательства как обладателями, так и получателем информации в совокупности обеспечит надлежащий ее оборот, не допустит нарушение третьими лицами прав и интересов других граждан и организаций.

В соответствии со статьей 24 Конституции, органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.

Статья 41 гарантирует право на знание фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, статья 42 - право на знание достоверной информации о состоянии окружающей среды.

В принципе, право на информацию может реализовываться средствами бумажных технологий, но в современных условиях наиболее практичным и удобным для граждан является создание соответствующими законодательными, исполнительными и судебными органами информационных серверов и поддержание доступности и целостности представленных на них сведений, то есть обеспечение их (серверов) информационной безопасности.

Статья 23 Конституции гарантирует право на личную и семейную тайну , на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, статья 29 - право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по компьютерным сетям, а также доступ к средствам защиты информации .

В Гражданском кодексе Российской Федерации (в своем изложении мы опираемся на редакцию от 15 мая 2001 года) фигурируют такие понятия, как банковская , коммерческая и служебная тайна . Согласно статье 139, информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности. Это подразумевает, как минимум, компетентность в вопросах ИБ и наличие доступных (и законных) средств обеспечения конфиденциальности. (Примечание:Утратила силу с 1 января 2008 года. - Федеральный закон от 18.12.2006 N 231-ФЗ.)

Весьма продвинутым в плане информационной безопасности является Уголовный кодекс Российской Федерации (редакция от 14 марта 2002 года). Глава 28 - "Преступления в сфере компьютерной информации" - содержит три статьи:

статья 272. Неправомерный доступ к компьютерной информации;
статья 273. Создание, использование и распространение вредоносных программ для ЭВМ;
статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно- телекоммуникационных сетей .

Первая имеет дело с посягательствами на конфиденциальность, вторая - с вредоносным ПО, третья - с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ. Включение в сферу действия УК РФ вопросов доступности информационных сервисов представляется нам очень своевременным.

Статья 138 УК РФ, защищая конфиденциальность персональных данных, предусматривает наказание за нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Аналогичную роль для банковской и коммерческой тайны играет статья 183 УК РФ.

Интересы государства в плане обеспечения конфиденциальности информации нашли наиболее полное выражение в Законе "О государственной тайне " (с изменениями и дополнениями на 22 августа 2004 года). В нем гостайна определена как защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Там же дается определение средств защиты информации. Согласно данному Закону, это технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну ; средства, в которых они реализованы, а также средства контроля эффективности защиты информации. Подчеркнем важность последней части определения.

Закон "Об информации, информационных технологиях и о защите информации"

Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать закон "Об информации, информационных технологиях и о защите информации" от 27 июля 2006 года номер 149-ФЗ (принят Государственной Думой 8 июля 2006 года). В нем даются основные определения, намечаются направления, в которых должно развиваться законодательство в данной области, регулируются отношения, возникающие при:

осуществлении права на поиск, получение, передачу, производство и распространение информации;
применении информационных технологий;
обеспечении защиты информации.

Процитируем основные определения:

информация - сведения (сообщения, данные) независимо от формы их представления;
информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов;
информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;
информационно-телекоммуникационная сеть - технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники;
обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам;
доступ к информации - возможность получения информации и ее использования;
конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
предоставление информации - действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц;
распространение информации - действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц;
электронное сообщение - информация, переданная или полученная пользователем информационно-телекоммуникационной сети;
документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель;
оператор информационной системы - гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных.

Мы, разумеется, не будем обсуждать качество данных в Законе определений. Обратим лишь внимание на нетрадиционность определения конфиденциальности информации, приравнивающего конфиденциальность к неразглашению.

В статье 3 Закона сформулированы принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации:

свобода поиска, получения, передачи, производства и распространения информации любым законным способом;
установление ограничений доступа к информации только федеральными законами;
открытость информации о деятельности государственных органов и органов местного самоуправления и свободный доступ к такой информации, кроме случаев, установленных федеральными законами;
равноправие языков народов Российской Федерации при создании информационных систем и их эксплуатации;
обеспечение безопасности Российской Федерации при создании информационных систем, их эксплуатации и защите содержащейся в них информации;
достоверность информации и своевременность ее предоставления;
неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия;
недопустимость установления нормативными правовыми актами каких-либо преимуществ применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами.

Отметим, что в этих принципах явным образом фигурируют целостность (достоверность) и доступность (своевременность предоставления) информации.

В статье 9 Закона содержатся следующие положения:

Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами.
Защита информации, составляющей государственную тайну , осуществляется в соответствии с законодательством Российской Федерации о государственной тайне .
Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну , служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение.

Отметим, что в этой статье упор делается на конфиденциальность информации.

Статья 11 "Документирование информации" содержит следующие важные положения:

3 . Электронное сообщение, подписанное электронной цифровой подписью или иным аналогом собственноручной подписи, признается электронным документом, равнозначным документу, подписанному собственноручной подписью, в случаях, если федеральными законами или иными нормативными правовыми актами не устанавливается или не подразумевается требование о составлении такого документа на бумажном носителе.

4 . В целях заключения гражданско-правовых договоров или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано электронной цифровой подписью или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном федеральными законами, иными нормативными правовыми актами или соглашением сторон, рассматривается как обмен документами.

Статья 16 целиком посвящена вопросам защиты информации. Процитируем ее полностью.

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1. обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2. соблюдение конфиденциальности информации ограниченного доступа ;
3. реализацию права на доступ к информации.
Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1. предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2. своевременное обнаружение фактов несанкционированного доступа к информации;
3. предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4. недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5. возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6. постоянный контроль за обеспечением уровня защищенности информации.
Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.

В процитированной статье Закона фигурируют все три основных аспекта информационной безопасности: доступность, целостность и конфиденциальность. Кроме того, обязательным является отслеживание нарушений безопасности и постоянный контроль за обеспечением уровня защищенности информации.

Явным образом не упомянуты такие меры, как аккредитация, сертификация и лицензирование, но в пунктах 5 и 6 они, конечно, подразумеваются.

Таковы важнейшие, на наш взгляд, положения Закона "Об информации, информационных технологиях и о защите информации". На следующей странице будут рассмотрены другие законы РФ в области информационной безопасности.

Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать закон "Об информации, информатизации и защите информации" от 20 февраля 1995 года номер 24-ФЗ (принят Государственной Думой 25 января 1995 года). В нем даются основные определения и намечаются направления развития законодательства в данной области.

Процитируем некоторые из этих определений:

информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления;

документированная информация (документ) - зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать;

информационные процессы - процессы сбора, обработки, накопления, хранения, поиска и распространения информации;

информационная система - организационно упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы;

информационные ресурсы - отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах);

информация о гражданах (персональные данные) - сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность;

конфиденциальная информация - документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации;

пользователь (потребитель) информации - субъект, обращающийся к информационной системе или посреднику за получением необходимой ему информации и пользующийся ею.

Мы, разумеется, не будем обсуждать качество данных в Законе определений. Обратим лишь внимание на гибкость определения конфиденциальной информации, которая не сводится к сведениям, составляющим государственную тайну, а также на понятие персональных данных, закладывающее основу защиты последних.

Закон выделяет следующие цели защиты информации:

предотвращение утечки, хищения, утраты, искажения, подделки информации;

предотвращение угроз безопасности личности, общества, государства;

предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;

предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового режима документированной информации как объекта собственности;

защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;

обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

Отметим, что Закон на первое место ставит сохранение конфиденциальности информации. Целостность представлена также достаточно полно, хотя и на втором месте. О доступности ("предотвращение несанкционированных действий по... блокированию информации") сказано довольно мало.

Продолжим цитирование:

"Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу".

По сути, это положение констатирует, что защита информации направлена на обеспечение интересов субъектов информационных отношений.

в отношении сведений, отнесенных к государственной тайне, - уполномоченными органами на основании Закона Российской Федерации "О государственной тайне";

в отношении конфиденциальной документированной информации - собственником информационных ресурсов или уполномоченным лицом на основании настоящего Федерального закона;

в отношении персональных данных - федеральным законом."

Здесь явно выделены три вида защищаемой информации, ко второму из которых принадлежит, в частности, коммерческая информация. Поскольку защите подлежит только документированная информация, необходимым условием является фиксация коммерческой информации на материальном носителе и снабжение ее реквизитами. Отметим, что в данном месте Закона речь идет только о конфиденциальности; остальные аспекты ИБ забыты.

Обратим внимание, что защиту государственной тайны и персональных данных берет на себя государство; за другую конфиденциальную информацию отвечают ее собственники.

Как же защищать информацию? В качестве основного закон предлагает для этой цели мощные универсальные средства: лицензирование и сертификацию. Процитируем статью 19.

Информационные системы, базы и банки данных, предназначенные для информационного обслуживания граждан и организаций, подлежат сертификации в порядке, установленном Законом Российской Федерации "О сертификации продукции и услуг".

Информационные системы органов государственной власти Российской Федерации и органов государственной власти субъектов Российской Федерации, других государственных органов, организаций, которые обрабатывают документированную информацию с ограниченным доступом, а также средства защиты этих систем подлежат обязательной сертификации. Порядок сертификации определяется законодательством Российской Федерации.

Организации, выполняющие работы в области проектирования, производства средств защиты информации и обработки персональных данных, получают лицензии на этот вид деятельности. Порядок лицензирования определяется законодательством Российской Федерации.

Интересы потребителя информации при использовании импортной продукции в информационных системах защищаются таможенными органами Российской Федерации на основе международной системы сертификации.

Здесь трудно удержаться от риторического вопроса: а есть ли в России информационные системы без импортной продукции? Получается, что на защите интересов потребителей стоит в данном случае только таможня...

И еще несколько пунктов, теперь из статьи 22:

2. Владелец документов, массива документов, информационных систем обеспечивает уровень защиты информации в соответствии с законодательством Российской Федерации.

3. Риск, связанный с использованием несертифицированных информационных систем и средств их обеспечения, лежит на собственнике (владельце) этих систем и средств. Риск, связанный с использованием информации, полученной из несертифицированной системы, лежит на потребителе информации.

4. Собственник документов, массива документов, информационных систем может обращаться в организации, осуществляющие сертификацию средств защиты информационных систем и информационных ресурсов, для проведения анализа достаточности мер защиты его ресурсов и систем и получения консультаций.

5. Владелец документов, массива документов, информационных систем обязан оповещать собственника информационных ресурсов и (или) информационных систем о всех фактах нарушения режима защиты информации.

Из пункта 5 следует, что должны обнаруживаться все (успешные) атаки на ИС. Вспомним в этой связи один из результатов опроса (см. лекцию 1): около трети респондентов-американцев не знали, были ли взломаны их ИС за последние 12 месяцев. По нашему законодательству их можно было бы привлечь к ответственности...

2. Защита прав субъектов в указанной сфере осуществляется судом, арбитражным судом, третейским судом с учетом специфики правонарушений и нанесенного ущерба. Очень важными являются пункты статьи 5, касающиеся юридической силы электронного документа и электронной цифровой подписи :

3. Юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных информационных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью. Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе программно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования.

4. Право удостоверять идентичность электронной цифровой подписи осуществляется на основании лицензии. Порядок выдачи лицензий определяется законодательством Российской Федерации.

Таким образом, Закон предлагает действенное средство контроля целостности и решения проблемы "неотказуемости" (невозможности отказаться от собственной подписи).

Таковы важнейшие, на наш взгляд, положения Закона "Об информации, информатизации и защите информации". На следующей странице будут рассмотрены другие законы РФ в области информационной безопасности.

Закон РФ «Об информации, информатизации и защите информации .

Федеральный закон от 20 февраля 1995 г. N 24-ФЗ "Об информации, информатизации и защите информации" (с изменениями от 10 января 2003 г.). Принят Государственной Думой 25 января 1995 года.

1. Настоящий Федеральный закон регулирует отношения, возникающие при:

Формировании и использовании информационных ресурсов на основе создания, сбора, обработки, накопления, хранения, поиска, распространения и предоставления потребителю документированной информации;

Создании и использовании информационных технологий и средств их обеспечения;

Защите информации, прав субъектов, участвующих в информационных процессах и информатизации.

Государственная политика в сфере формирования информационных ресурсов и информатизации направлена на создание условий для эффективного и качественного информационного обеспечения решения стратегических и оперативных задач социального и экономического развития Российской Федерации.

Основными направлениями государственной политики в сфере информатизации являются:

· обеспечение условий для развития и защиты всех форм собственности на информационные ресурсы;

· формирование и защита государственных информационных ресурсов;

· создание и развитие федеральных и региональных информационных систем и сетей, обеспечение их совместимости и взаимодействия в едином информационном пространстве Российской Федерации;

· создание условий для качественного и эффективного информационного обеспечения граждан, органов государственной власти, органов местного самоуправления, организаций и общественных объединений на основе государственных информационных ресурсов;

· обеспечение национальной безопасности в сфере информатизации, а также обеспечение реализации прав граждан, организаций в условиях информатизации;

· содействие формированию рынка информационных ресурсов, услуг, информационных систем, технологий, средств их обеспечения;

· формирование и осуществление единой научно-технической и промышленной политики в сфере информатизации с учетом современного мирового уровня развития информационных технологий;

· поддержка проектов и программ информатизации;

· создание и совершенствование системы привлечения инвестиций и механизма стимулирования разработки и реализации проектов информатизации;

· развитие законодательства в сфере информационных процессов, информатизации и защиты информации.

Защита информации и прав субъектов в области информационных процессов и информатизации

Целями защиты являются:

1. предотвращение утечки, хищения, утраты, искажения, подделки информации;

2. предотвращение угроз безопасности личности, общества, государства;

3. предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового режима документированной информации как объекта собственности;

4. защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

5. сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;

6. обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

Защита информации.

1. Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу.

Режим защиты информации устанавливается:

· в отношении сведений, отнесенных к государственной тайне, - уполномоченными органами на основании Закона Российской Федерации "О государственной тайне";

· в отношении конфиденциальной документированной информации - собственником информационных ресурсов или уполномоченным лицом на основании настоящего Федерального закона;

· в отношении персональных данных - Федеральным законом.

2. Органы государственной власти и организации, ответственные за формирование и использование информационных ресурсов, подлежащих защите, а также органы и организации, разрабатывающие и применяющие информационные системы и информационные технологии для формирования и использования информационных ресурсов с ограниченным доступом, руководствуются в своей деятельности законодательством Российской Федерации.

3. Контроль за соблюдением требований к защите информации и эксплуатацией специальных программно-технических средств защиты, а также обеспечение организационных мер защиты информационных систем, обрабатывающих информацию с ограниченным доступом в негосударственных структурах, осуществляются органами государственной власти. Контроль осуществляется в порядке, определяемом Правительством Российской Федерации.

4. Организации, обрабатывающие информацию с ограниченным доступом, которая является собственностью государства, создают специальные службы, обеспечивающие защиту информации.

5. Собственник информационных ресурсов или уполномоченные им лица имеют право осуществлять контроль за выполнением требований по защите информации и запрещать или приостанавливать обработку информации в случае невыполнения этих требований.

6. Собственник или владелец документированной информации вправе обращаться в органы государственной власти для оценки правильности выполнения норм и требований по защите его информации в информационных системах. Соответствующие органы определяет Правительство Российской Федерации. Эти органы соблюдают условия конфиденциальности самой информации и результатов проверки.

Права и обязанности субъектов в области защиты информации.

1. Собственник документов, массива документов, информационных систем или уполномоченные им лица в соответствии с настоящим Федеральным законом устанавливают порядок предоставления пользователю информации с указанием места, времени, ответственных должностных лиц, а также необходимых процедур и обеспечивают условия доступа пользователей к информации.

3. Риск, связанный с использованием не сертифицированных информационных систем и средств их обеспечения, лежит на собственнике (владельце) этих систем и средств.

Риск, связанный с использованием информации, полученной из не сертифицированной системы, лежит на потребителе информации.

5. Владелец документов, массива документов, информационных систем обязан оповещать собственника информационных ресурсов или информационных систем о всех фактах нарушения режима защиты информации.

Защита права на доступ к информации.

1. Отказ в доступе к открытой информации или предоставление пользователям заведомо недостоверной информации могут быть обжалованы в судебном порядке.

Неисполнение или ненадлежащее исполнение обязательств по договору поставки, купли-продажи, по другим формам обмена информационными ресурсами между организациями рассматриваются арбитражным судом.

Во всех случаях лица, которым отказано в доступе к информации, и лица, получившие недостоверную информацию, имеют право на возмещение понесенного ими ущерба.

2. Суд рассматривает споры о необоснованном отнесении информации к категории информации с ограниченным доступом, иски о возмещении ущерба в случаях необоснованного отказа в предоставлении информации пользователям или в результате других нарушений прав пользователей.

3. Руководители, другие служащие органов государственной власти, организаций, виновные в незаконном ограничении доступа к информации и нарушении режима защиты информации, несут ответственность в соответствии с уголовным, гражданским законодательством и законодательством об административных правонарушениях.

Список используемой литературы.

Федеральный закон от 20 февраля 1995 г. N 24-ФЗ "Об информации, информатизации и защите информации" (с изменениями от 10 января 2003 г.).