8. Нормативно-правовые документы и стандарты в области защиты информации и информационной безопасности

1. Нормативно-правовые документы и стандарты в области защиты информации и информационной безопасности

НОРМАТИВНО-ПРАВОВЫЕ
ДОКУМЕНТЫ И СТАНДАРТЫ В
ОБЛАСТИ ЗАЩИТЫ ИНФОРМАЦИИ И
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

2. Защита информации

Защита информации является одним из ключевых факторов обеспечения
национальной безопасности и стабильного функционирования экономики
любого государства. Государство регулирует процессы сбора, обработки,
передачи и защиты информации с целью минимизировать возможные
негативные последствия нарушения режима секретности, утраты важных
данных или несанкционированного доступа к ним.
Российская Федерация разработала комплекс нормативных правовых актов и
стандартов, регулирующих деятельность в области защиты информации и
информационной безопасности. Эти документы определяют правила и
процедуры, направленные на защиту конфиденциальной информации,
соблюдение законных интересов граждан и организаций, предотвращение
преступлений в цифровой среде.

3. Защита информации

Защиту информации можно определить как совокупность юридических норм,
технических средств и административных процедур, направленных на
обеспечение сохранности информации от случайных потерь, неправомерного
изменения, разглашения или уничтожения.
Основными целями правового регулирования являются:
• Охрана конституционных прав граждан на неприкосновенность частной
жизни, личную тайну и право на доступ к информации.
• Предотвращение несанкционированного вмешательства третьих лиц в
процесс обращения информации.
• Сохранение коммерческой тайны и иных видов конфиденциальной
информации.
• Поддержание стабильности работы информационных систем и
инфраструктурных элементов.

4. Понятия информационной безопасности и защиты информации

1. Информационная безопасность — состояние защищенности информации,
характеризуемое отсутствием недопустимых рисков утраты целостности,
доступности и конфиденциальности информации.
2. Защита информации — комплекс организационных, правовых и
технических мер, направленных на предупреждение угроз, устранение
уязвимостей и снижение негативных последствий для информации.
Основные термины в области защиты информации:
• Доступность — свойство, позволяющее иметь легитимный доступ к
информации.
• Целостность — сохранение точности и полноты информации.
• Конфиденциальность — ограничение доступа к информации лицам,
которым не дано разрешение на просмотр или изменение.
• Аутентичность — подтверждение подлинности владельца ресурса или
передаваемой информации.
• Интеграция — целостность и неизменность информации, отсутствие
фальсификаций.
• Гарантированность — гарантия отсутствия сбоев и ошибок в
функционировании системы.

5. Российское законодательство в области защиты информации

Далее рассмотрим основные нормативно-правовые акты и их статьи:
1. Федеральный закон № 149-ФЗ «Об информации, информационных
технологиях и о защите информации»
• Дата принятия: 27 июля 2006 года.
• Суть документа: устанавливает правовые рамки взаимодействия с
информацией, определение понятия «защита информации», требования к
владельцам информационных систем и обязанностей по защите данных.
Федеральный закон Российской Федерации № 149-ФЗ принят
Государственной Думой 8 июля 2006 года и подписан Президентом
Российской Федерации 27 июля 2006 года. Данный закон является ключевым
документом, регулирующим сферу обращения информации в Российской
Федерации.
Основной целью данного закона является установление порядка и условий
использования информации, информационных технологий и информационных
систем, а также обеспечение защиты информации.

6. Российское законодательство в области защиты информации

Основные положения закона:
• Предмет регулирования:
Закон регулирует общественные отношения, возникающие при создании,
хранении, передаче и использовании информации, а также устанавливает
правила защиты информации.
• Принципы правового регулирования:
1) Свобода поиска, получения, передачи, производства и распространения
информации любым законным способом.
2) Недопустимость цензуры и ограничений свободы информации, кроме
предусмотренных законом случаев.
3) Гарантия защиты информации от неправомерного доступа, модификации
и уничтожения.
• Виды информации:
Закон различает публичную, общедоступную, ограниченного доступа и
конфиденциальную информацию. Отдельно выделена государственная тайна и
служебная тайна.

7. Российское законодательство в области защиты информации

• Средства защиты информации:
Закон обязывает владельцев информационных систем предпринимать
надлежащие меры по защите информации от несанкционированного доступа,
копирования, искажения и разрушения.
• Права и обязанности владельцев информационных систем:
Владельцы информационных систем обязаны:
1) Использовать лицензированные средства защиты информации.
2) Проводить регулярный контроль состояния информационной
безопасности.
3) Немедленно сообщать правоохранительным органам о фактах
незаконного проникновения в информационные системы.
• Контроль и надзор:
Осуществляются уполномоченными федеральными органами исполнительной
власти (ФСТЭК, ФСБ и Роспотребнадзор), контролирующими исполнение
законодательства в области защиты информации.
• Нарушение закона и ответственность:
Нарушения законодательства влекут дисциплинарную, административную и
уголовную ответственность в соответствии с нормами КоАП РФ и Уголовного
кодекса РФ.

8. Российское законодательство в области защиты информации

2. Федеральный закон № 152-ФЗ «О персональных данных»
• Дата принятия: 27 июля 2006 года.
• Суть документа: регулирует обращение с персональными данными
граждан, накладывает обязательства на операторов обрабатывать такую
информацию ответственно и защищать её от несанкционированного
доступа.
Федеральный закон Российской Федерации № 152-ФЗ «О персональных
данных» был принят Государственной Думой 8 июля 2006 года и вступил в
силу 27 июля 2006 года. Данный закон призван регулировать обработку
персональных данных граждан Российской Федерации и установить гарантии
защиты этих данных от неправомерного использования.
Основная цель закона заключается в обеспечении защиты прав и свобод
граждан в процессе обработки их персональных данных, в частности права на
неприкосновенность частной жизни, личной и семейной тайны.

9. Российское законодательство в области защиты информации

Основные положения закона:
• Определения:
a) Персональные данные — любая информация, прямо или косвенно
относящаяся к физическому лицу (субъекту персональных данных).
b) Обработка персональных данных — любое действие (операция) или
совокупность действий с персональными данными, включая сбор, запись,
систематизацию, накопление, хранение, уточнение, извлечение, передачу,
обезличивание, блокирование, удаление и уничтожение данных.
c) Оператор — государственный орган, муниципальный орган, юридическое
лицо или физическое лицо, самостоятельно организующие и осуществляющие
обработку персональных данных.
• Основания для обработки персональных данных:
Закон допускает обработку персональных данных лишь при наличии согласия
субъекта данных или при выполнении определенных обязательств (например,
исполнения договора, судебного решения, требования законодательства).
• Права субъектов персональных данных:
Субъекты имеют право получать информацию о целях, способах и объёме
обработки своих данных, требовать исправления неверных данных,
оспаривать отказ в предоставлении данных, подавать жалобы на нарушение
своих прав.

10. Российское законодательство в области защиты информации

• Обязанности операторов:
1) Получать согласие субъекта на обработку данных.
2) Использовать персональные данные исключительно в заявленных целях.
3) Обеспечивать сохранность и защиту данных от несанкционированного
доступа.
4) Принимать меры по предупреждению и пресечению неправомерного
использования данных.
• Передача персональных данных третьим лицам:
Передача возможна только с согласия субъекта или в случаях, специально
оговоренных законом (судебные запросы, государственные органы).
• Контроль и надзор:
За соблюдением законодательства в области персональных данных следит
специальная организация — Роскомнадзор, наделённая правом проверять
деятельность операторов и привлекать нарушителей к административной
ответственности.
• Ответственность за нарушение закона:
Нарушение требований влечет за собой юридическую ответственность,
предусмотренную Гражданским кодексом РФ, Кодексом об административных
правонарушениях РФ и Уголовным кодексом РФ.

11. Российское законодательство в области защиты информации

3. Постановление Правительства РФ № 1119 «Требования к защите
персональных данных при их обработке в информационных системах
персональных данных»
• Дата утверждения: 1 ноября 2012 года.
• Суть документа: конкретизирует требования к технической и
организационной защите персональных данных, классификацию
информационных систем и меры защиты в зависимости от класса
обрабатываемых данных.
Постановление Правительства Российской Федерации № 1119 было принято 1
ноября 2012 года. Оно утверждает перечень обязательных требований к
защите персональных данных при их обработке в информационных системах
(ИС) персональных данных.
Основное назначение данного документа — закрепить минимальные
требования к мерам защиты персональных данных, обрабатываемых в
информационных системах, с целью предотвратить их утрату, повреждение,
модификацию или несанкционированный доступ.

12. Российское законодательство в области защиты информации

Основные положения Постановления:
• Категории информационных систем:
Информационные системы персональных данных подразделяются на четыре
класса в зависимости от объема и вида обрабатываемых данных:
1) Первый класс (самый высокий уровень защиты);
2) Второй класс;
3) Третий класс;
4) Четвертый класс (низший уровень защиты).
• Требования к защите информации:
Для каждой категории устанавливаются разные требования к техническим,
организационным и административным мерам защиты. В частности:
a) Физическая охрана помещений и оборудования.
b) Ограниченный доступ к данным.
c) Шифрование и контроль доступа.
d) Мониторинг безопасности и ведение журналов регистрации событий.
e) Антивирусная защита и фильтрация трафика.

13. Российское законодательство в области защиты информации

• Процедура аттестации информационных систем:
Согласно Постановлению, все информационные системы подлежат
обязательной процедуре аттестации, которая подтверждает соответствие
требованиям безопасности.
• Специальные меры для разных классов ИСПДн:
Чем выше класс информационной системы, тем строже требования. Так,
первая категория предполагает самые жесткие меры защиты (включая
двойную аутентификацию, обязательное шифрование данных и
круглосуточный мониторинг).
• Надзор и контроль:
Государственный контроль за исполнением требований возложен на
Роскомнадзор и ФСТЭК России. Данные ведомства вправе проводить
проверку на соответствие законодательству и нормам защиты информации.

14. Российское законодательство в области защиты информации

Другие важные документы
• Приказ ФСТЭК России № 21 «Об утверждении состава и содержания
организационных и технических мер по обеспечению безопасности
персональных данных при их обработке в информационных системах
персональных данных».
• Методические рекомендации ФСБ России по применению
криптографических средств защиты информации.
• Санитарные нормы и правила (СанПиН) в области электромагнитной
совместимости и излучения радиоэлектронных средств.

15. Международные стандарты и руководства

Семейство стандартов ISO/IEC серии 27000.
Наиболее известны и широко применяются следующие стандарты:
• ISO/IEC 27001:2013 — определяет систему управления информационной
безопасностью (Information Security Management System, ISMS). Это основа
сертифицированной системы защиты информации, признанная во всём мире.
• ISO/IEC 27002:2013 — содержит лучшие практики и рекомендации по
внедрению информационной безопасности. Используется совместно с ISO/IEC
27001 для оптимизации системы защиты.
• ISO/IEC 27005:2018 — посвящён управлению рисками информационной
безопасности, представляет собой важный инструмент для оценки
потенциальных угроз и уязвимостей.
Специализированные стандарты:
• PCI DSS (Payment Card Industry Data Security Standard) — применим для
компаний, работающих с платежными картами, обеспечивает защиту
платежных транзакций и клиентской финансовой информации.
• HIPAA (Health Insurance Portability and Accountability Act) — американский
акт, регулирующий защиту медицинских данных пациентов.
• FISMA (Federal Information Security Modernization Act of 2014) —
американская инициатива, направленная на укрепление информационной
безопасности правительственных учреждений.

16. Документы компаний

Помимо общих законов и стандартов, каждая отрасль имеет собственные
документы и методики, которыми руководствуются специалисты:
• Банковская сфера регулируется рядом специальных документов
Центрального банка РФ (Стандарты Банка России СТО БР ИББС-1.0-2014
и прочие).
• Компании здравоохранения применяют национальные и международные
стандарты для защиты медицинской информации (например, стандарт
HL7).
• Телекоммуникационные операторы обязаны соблюдать СанПиН и
региональные санитарные нормы.
Организациям рекомендуется разработать внутреннюю документацию, такую
как:
• Политику информационной безопасности.
• Инструкции по обращению с конфиденциальной информацией.
• План непрерывности бизнеса и аварийного восстановления.

17. Современные угрозы и проблемные зоны

Несмотря на наличие множества нормативно-правовых актов и стандартов,
перед специалистами остаются нерешёнными многие проблемы:
• Недостаточная осведомлённость персонала о мерах предосторожности.
• Отсутствие централизованной системы мониторинга угроз и быстрого
реагирования.
• Низкий уровень финансирования отделов информационной безопасности в
некоторых отраслях.
• Увеличение количества целенаправленных целевых атак (APT).

18. Задания

Практические задания:
Задача 1. Изучение законодательства
Ознакомьтесь с Федеральным законом № 149-ФЗ «Об информации,
информационных технологиях и о защите информации». Выполните
следующее задание:
• Выделите главные понятия и дайте их определение.
• Запишите пять статей, которые содержат принципиальное положение
закона, и укажите их содержание.
Задача 2. Работа с нормативными документами
Используя Приказ ФСТЭК России № 21 от 18 февраля 2013 года, составьте
отчет о рекомендуемых мерах защиты для второй категории информационных
систем персональных данных (ПДн). Включите описание следующих пунктов:
• Необходимость использования аппаратных средств защиты.
• Механизмы учета и регистрации событий безопасности.
• Обязательные меры по обучению сотрудников правилам работы с ПДн.

19. Задания

Практические задания:
Задача 3. Проанализируйте ситуацию
Предположим, ваша компания занимается разработкой мобильных
приложений. Вам поручено составить политику информационной
безопасности приложения, основанную на рекомендациях международного
стандарта ISO/IEC 27001:2013. Разработайте проект документа, включающий:
Цели и задачи политики.
• Основные элементы политики (организационные, технические и
физические меры).
• Процедура обновления и ревизии политики.
Задача 4. Выберите компанию, работающую в сфере услуг (например,
образовательное учреждение, медицинское учреждение или онлайн-магазин).
Исследуйте практику обработки персональных данных в выбранной компании
и подготовьте доклад, состоящий из следующих частей:
• Анализ действующей системы обработки и защиты персональных данных.
• Соответствие компании требованиям ФЗ № 152-ФЗ и другим нормативным
актам.
• Предложения по усовершенствованию системы защиты персональных
данных.

20. Благодарю за внимание