Правовые режимы защиты информации и государственной тайны

1.

Правовые режимы защиты
информации и
государственной тайны
1/
52

2.

Государственная
безопасность
• уровень защищённости государства от
внешних и внутренних угроз.
• Комплекс политических, экономических,
социальных, военных и правовых мероприятий
по защите государственного и общественного
строя, территориальной неприкосновенности и
независимости государства от подрывной
деятельности разведывательных и иных
специальных служб иностранных государств, а
также от противников существующего строя
внутри страны.
2/
52

3.

Внешняя безопасность
• состояние защищённости интересов
государства от угроз, исходящих со
стороны иностранных государств,
организаций и граждан.
3/
52

4.

Внутренняя безопасность
• акт поддержания мира в пределах
границ государства путём соблюдения
национального законодательства и
защиты от угроз внутренней безопасности.
• Ответственность за внутреннюю
безопасность может варьироваться от
полиции до военизированных
формирований, а в исключительных
обстоятельствах - вооружённых сил.
4/
52

5.

Внутренние
информационные угрозы
• любые действия с данными, которые
нарушают хотя бы один из пунктов
информационной безопасности
(целостность, доступность и
конфиденциальность), исходят изнутри
информационной системы компании и
наносят ущерб компании.
5/
52

6.

Внешние информационные
угрозы
• несанкционированный доступ к данным
со стороны заинтересованных организаций
и отдельных лиц (промышленный шпионаж
конкуренты, сбор данных спецслужбами,
атаки хакеров и т. п.),
• вредоносные программы,
• стихийные бедствия и техногенные
катастрофы, нарушающие работу
компьютерных сетей или серверов (ураган,
пожар …).
6/
52

7.

Группы источников угроз
безопасности данных
1. Обусловленные действиями
субъекта (антропогенные источники
угроз – умышленные или случайные
преступления).
2. Обусловленные техническими
средствами.
3. Обусловленные стихийными
источниками (техногенные источники
угроз).
7/
52

8.

Наиболее опасные
источники угроз
1. Конкуренты,
2. Сотрудники информационной службы
предприятия, имеющие полный доступ
к его информационным ресурсам,
3. Рядовые сотрудники предприятия,
4. Отказы оборудования, отключения
электропитания, нарушения в сети
передачи данных,
5. Хакеры (взломщики).
8/
52

9.

Методы обеспечения
инфобезопасности
1. правовые,
2. организационные,
3. организационно-технические,
4. технические,
5. экономические.
9/
52

10.

Правовые методы
инфобезопасности
• разработка нормативных правовых
актов и нормативных ведомственных
документов по вопросам обеспечения
информационной безопасности.
10 /
52

11.

Правовой режим данных
• нормативно установленные правила,
определяющие степень открытости,
порядок документирования, доступа,
хранения, распространения и защиты
данных, а также исключительные права на
данные.
• Основной целью введения правового
режима на данные является обеспечение
информационной безопасности субъектов.
11 /
52

12.

Правовой уровень режима
защиты данных
• обеспечивает соответствие
государственным стандартам в сфере
защиты данных и включает:
– авторское право,
– указы,
– патенты,
– должностные инструкции.
• Грамотно выстроенная система защиты
не нарушает права пользователей и
12 / 52
нормы обработки данных.

13.

Правовая основа института
государственной тайны
1. Конституция Российской Федерации,
2. ФЗ N 5485-1 «О государственной тайне»,
3. ФЗ N 390 «О безопасности»,
4. ФЗ N 149 «Об информации, информационных
технологиях и о защите информации»,
5. Указы и распоряжения Президента РФ,
6. Постановления и распоряжения
Правительства РФ, регулирующие отношения
в области защиты государственной тайны.
13 /
52

14.

Экономические методы
инфобезопасности
1. разработка программ, обеспечивающих
информационную безопасность и
определение порядка их
финансирования;
2. совершенствование системы
финансирования работ, связанных с
реализацией правовых и организационнотехнических методов защиты данных,
3. создание системы страхования
информационных рисков физических и
юридических лиц.
14 / 52

15.

ГОСТ Р ИСО/МЭК 27002-2021
• Национальный стандарт Российской
Федерации. Информационные
технологии. Методы и средства
обеспечения безопасности. Свод норм и
правил применения мер обеспечения
информационной безопасности" (утв. и
введён в действие Приказом
Росстандарта от 20.05.2021 N 416-ст).
15 /
52

16.

ГОСТ Р 50922-2006
• Защита информации. Основные
термины и определения.
16 /
52

17.

Защита государственной
тайны
• Совокупность правовых, организационных
и технических мер, созданных для
соблюдения конфиденциальности данных и
защиты документов, содержащих
государственную тайну.
• Государственную тайну защищают от:
– неправомерных,
– контрразведывательных,
– разведывательных действий.
17 /
52

18.

Признаки государственной
тайны
1. Разглашение сведений может причинить
ущерб государственным интересам;
2. Перечень сведений, которые могут быть
отнесены к государственной тайне,
закрепляется федеральным законом;
3. Тайна охраняется мерами уголовной
ответственности (ст. 275, 276, 283 УК РФ) и
иными принудительными средствами;
4. Для охраны тайны создан специальный
административно-правовой режим
секретности.
18 /
52

19.

Система защиты
государственной тайны
• совокупность органов защиты
государственной тайны, используемых
ими средств и методов защиты данных,
составляющих ГТ, и их носителей, а
также мероприятий, проводимых в этих
целях.
19 /
52

20.

Государственную тайну
составляют (ФЗ N 5485-1)
• Закон о государственной тайне (ст. 5):
– сведения в военной области;
– сведения в области экономики, науки и
техники;
– сведения в области внешней политики и
экономики;
– сведения в области разведывательной,
контрразведывательной и оперативно—
розыскной деятельности.
20 /
52

21.

Информация не входит в
категорию ГТ (1/3)
1. Данные о ЧП, катастрофах, стихийных
бедствиях, которые несут опасность
для жизни и здоровья граждан.
2. Сведения об экологической
обстановке, уровне здравоохранения,
культуры, образования. Статистика о
преступности, сельском хозяйстве,
демографические данные.
21 /
52

22.

Информация не входит в
категорию ГТ (2/3)
3. Информация о привилегиях,
компенсационных выплатах,
государственных гарантиях, которые
положены по закону гражданам,
организациям.
4. Данные, подтверждающие нарушение
или неисполнение гражданских прав
и свобод.
22 /
52

23.

Информация не входит в
категорию ГТ (3/3)
5. Данные, подтверждающие нарушение
российского законодательства со
стороны госорганов, должностных лиц.
6. Сведения, дающие представление о
величине запаса золота в резервном
фонде.
7. Сведения, удостоверяющие состояние
здоровья высшего руководства
страны.
23 /
52

24.

Основания для
засекречивания сведений
• Для органов государственной власти,
предприятий, учреждений и организаций,
является соответствие действующим в
органах, на предприятиях, в учреждениях
и организациях перечням сведений,
подлежащих засекречиванию.
(Постановление Правительства РФ № 870,
в ред. 2021 г. № 1868).
24 /
52

25.

Засекречивать данные
имеют право
• исключительно органы
государственной власти и
учреждения, которым данные
полномочия доверил Президент России.
(Указ Президента РФ от 30.11.1995 №
1203 «Об утверждении перечня сведений,
отнесённых к государственной тайне»)
25 /
52

26.

Контроль защиты
государственной тайны
1. Президент РФ,
2. Правительство РФ,
3. Федеральная служба безопасности РФ,
4. Межведомственная комиссия по защите
государственной тайны,
5. Министерство обороны РФ,
6. Служба внешней разведки РФ;
7. Федеральная служба по техническому и
экспортному контролю РФ.
26 /
52

27.

Средства защиты
государственной тайны
• совокупность инженерно-технических,
электрических, электронных,
оптических и других устройств и
приспособлений, приборов и
технических систем, а также иных
элементов, используемые для решения
различных задач по защите ГТ, в том
числе предупреждение утечки и
обеспечение безопасности
защищаемых данных.
27 / 52

28.

Элементы защиты
государственной тайны
1. Сведения, относимые законодателем
к государственной тайне;
2. Механизм защиты сведений,
составляющих государственную тайну;
3. Санкции, применяемые за нарушение
режима государственной тайны.
28 /
52

29.

Допуск к государственной
тайне
• процедура оформления права граждан
на доступ к сведениям, составляющим
ГТ, а предприятий, учреждений и
организаций – на проведение работ с
использованием таких сведений.
29 /
52

30.

Допуск работников к
государственной тайне
• только те, чья трудовая функция
предусматривает доступ к сведениям,
составляющим гостайну.
• Допуск предоставляется работнику
только после того, как он пройдёт
специальную проверку.
• Оформление допуска осуществляется
по месту работы.
30 /
52

31.

Решение о допуске
сотрудника к ГТ
• Принимает руководитель
организации, в которой работает или
принимается на работу этот сотрудник.
• На него возлагается полная
ответственность за последствия
такого решения, включая ситуации
нарушения работником принятых на
себя обязательств.
31 /
52

32.

Основания для
прекращения доступа к ГТ
ст. 23 ФЗ №5485-1:
– сокращение штата и прочие
организационные мероприятия, в связи с
чем действие трудового договора
сотрудника прекращается;
– есть соответствующее решение
руководителя;
– разглашение гостайны сотрудником или
другое нарушение обязательств, связанных
с доступом.
32 /
52

33.

Формы допуска к
государственной тайне
• Для должностных лиц и граждан (степени
секретности сведений):
– сведения особой важности,
– секретные,
– совершенно секретные.
• Доступ к сведениям более низкой степени
секретности – при наличии у должностных
лиц и граждан допуска к сведениям более
высокой степени секретности.
33 /
52

34.

Основания для отказа в
допуске к ГТ
1. признание его судом недееспособным,
2. ограниченно дееспособным
3. особо опасным рецидивистом,
4. нахождение его под судом или
следствием за государственные и иные
тяжкие преступления,
5. наличие неснятой судимости за эти
преступления.
34 /
52

35.

Подготовка материалов для
оформления допуска к ГТ
• осуществляется кадровыми
подразделениями организации.
• Направлять граждан в режимносекретные подразделения и органы
безопасности по вопросам, связанным с
оформлением допуска к
государственной тайне, запрещается.
35 /
52

36.

Информационная среда
• Весь набор условий для переработки и
использования данных в виде
информационного ресурса:
1. аппаратные средства,
2. программы,
3. телекоммуникации,
4. подготовка кадров и пользователей,
5. формы контроля, методы и формы управления,
6. документопотоки,
7. регламенты,
8. юридические нормы и т.д.
36 /
52

37.

Безопасность
• Информационная безопасность –
защита всех данных организации
независимо от их типа (цифровые или
аналоговые) и места хранения.
• Кибербезопасность – защита
цифровых данных от компрометации
или атак. Часть информационной
безопасности.
37 /
52

38.

Составляющие
инфобезопасности
1. Доступность – возможность за
разумное время получить требуемую
информационную услугу;
2. Целостность – актуальность и
непротиворечивость данных, их
защищённость от разрушения и
несанкционированного изменения;
3. Конфиденциальность – защита от
несанкционированного прочтения.
38 /
52

39.

Информационная
безопасность (1/2)
• практика предотвращения
несанкционированного доступа,
использования, раскрытия, искажения,
изменения, исследования, записи или
уничтожения данных.
39 /
52

40.

Информационная
безопасность (2/2)
• защищённость данных и
поддерживающей её инфраструктуры
от случайных или преднамеренных
воздействий естественного или
искусственного характера, которые
могут нанести ущерб владельцам или
пользователям данных.
• Нанесение ущерба данным приводит к
материальным затратам.
40 /
52

41.

Основная задача
инфобезопасности
• сбалансированная защита
конфиденциальности, целостности и
доступности данных с учётом
целесообразности применения и без
какого-либо ущерба
производительности организации.
41 /
52

42.

Места хранения данных
• На различных носителях:
– в облачном хранилище,
– на серверах,
– на переносных накопителях,
– на обычной бумаге.
42 /
52

43.

Основные уровни защиты
данных
1. защита рабочего места пользователя,
2. защита подразделения предприятия,
3. защита предприятия.
43 /
52

44.

Процессы защиты от
доступа посторонних лиц
• Идентификация — процесс взятия
идентификаторов у пользователя.
• Аутентификация — процедура проверки
подлинности идентификаторов,
доказательство что пользователь
именно тот, за кого себя выдаёт.
• Авторизация — предоставление
пользователю определённых прав.
44 /
52

45.

Данные охраняют
• Антивредоносные программы,
– VPN,
– DLP,
– двойная аутентификация и др. меры.
• Защита нужна любой организации.
Особенно тем, которые связаны с
деньгами, персональными данными
людей, безопасностью, снабжением
жизненно важными ресурсами.
45 /
52

46.

VPN
• Виртуальная частная сеть.
• Технология, которая позволяет
установить безопасное подключение к
интернету.
• При подключении через VPN,
программа создаёт безопасное
соединение между устройством клиента
и VPN-сервером, шифруя данные
просмотра веб-страниц и скрывая IP46 / 52
адрес.

47.

IP-адрес
• Уникальное цифровое «имя»
компьютера в сети. (0-255)
• В адресе 192.168.0.3 первые три числа
– номер сети, последнее – номер узла
или устройства, подключённого к сети.
• Все устройства с одинаковым номером
сети могут связываться друг с другом.
• Если номер сети разный, то для связи
нужен роутер (маршрутизатор).
47 /
52

48.

DLP
• (Data Loss Prevention) – система,
защищающая организацию от утечек
конфиденциальных данных.
• Позволяет искать данные в
– файловых хранилищах организации,
– рабочих компьютерах сотрудников,
– базах данных и т. д.
48 /
52

49.

Принцип работы DLP
• Агент DLP устанавливается на компьютер
сотрудников и собирает трафик:
– сведения об активности,
– запущенных программах,
– подключаемых устройствах,
– открытых сайтах,
– отправленных сообщениях.
• На сервере DLP, трафик анализируется, и
выявляются нарушения безопасности.
49 /
52

50.

Двойная аутентификация
• Дополнительный (второй) фактор
аутентификации к паролю (первый
фактор).
• Является дополнительной защитой.
50 /
52

51.

Угрозы информационной
безопасности личности
1. Угроза конфиденциальности данных,
оставляемых человеком в различных сетевых
коммуникациях;
2. Угроза достоверности данных, получаемых
пользователем;
3. Угроза полноте данных, получаемых
пользователем;
4. Угроза актуальности данных, получаемых
пользователем;
5. Угроза «информационного голода»
6. Угроза избыточности данных.
51 /
52

52.

Спасибо за внимание
С удовольствием отвечу на вопросы
© Сергей Вячеславович Калитин, 2024
52 /
52