Общие положения законодательной и нормативно- правовой базы в области защиты информации презентация

Концептуальные документы
Стратегии,
Доктрины, Концепции
Цели и задачи;
Концептуальность и стратегия государства;
Основные направления деятельности.
1. Законодательно-правовые акты
Конституция
Законы
Указы
Постановления
Система защиты информации, правовое пространство
Категории информации
Права и обязанности обладателя информации
Распределение задач, функций, прав и обязанностей между органами гос. власти. Полномочия гос. регуляторов.
2. Специальные НМД гос. регуляторов и стандарты
Требования, Руководства, Методики, Нормы, Типовые инструкции, … ИСО и др.
3. Документы министерств, ведомств, субъектов РФ
Руководства, Приказы, Положения, Инструкции, Регламенты и др.
4. Внутренние документы организации (ОРД)
Приказы, Регламенты, Политики, Положения, Инструкции и др.

Законодательные акты РФ в сфере защиты информации

Федеральные законы в области защиты информации

ФЗ “Об информации, информационных технологиях
и о защите информации”
от 27 июля 2006 года ;149-ФЗ

Регулирует отношения, возникающие при:
осуществлении права на поиск, получение, передачу, производство и распространение информации;
применении информационных технологий;
обеспечении защиты информации.
Основные понятия:
ИНФОРМАЦИЯ – сведения (сообщения, данные) независимо от формы их представления;
доступ к информации - возможность получения информации и её использования;
предоставление информации - действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц;
распространение информации - действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц;
ФЗ “Об информации, информационных технологиях и о защите информации”

Классификация информации по категориям доступа
(ст.5) Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа)
(ст.9) Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Классификация информации по категориям доступа
Общедоступная
информация
Информация ограниченного доступа
(доступ к информации ограничен федеральными законами)
Информация,
составляющая
государственную тайну
Информация конфиденциального характера (КИ)
нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, правовое положение организаций и полномочия государственных органов, органов местного самоуправления;
информация о состоянии окружающей среды;
о деятельности органов гос. власти и органов местного самоуправления…
документы, накапливаемые в открытых фондах библиотек и архивов…
«Перечень сведений, отнесенных к государственной тайне»
(Ст. 5 Закона РФ
1993 г. № 5485-1
«О государственной тайне»)
(Ведомственные перечни сведений, подлежащих засекречиванию)
ФЗ-152 2006 г.
«О персональных данных»
ФЗ-98 2004 г.
«О коммерческой тайне»
ФЗ-126 2003 г.
«О связи»
… и др.

ФЗ “Об информации, информационных технологиях и о защите информации”
Федеральными законами устанавливаются условия отнесения информации к сведениям, составляющим коммерческую тайну, служебную тайну и иную тайну, обязательность соблюдения конфиденциальности такой информации, а также ответственность за ее разглашение.
Порядок доступа к персональным данным граждан (физических лиц) устанавливается федеральным законом о персональных данных.
Статья 9. Ограничение доступа к информации

ФЗ “Об информации, информационных технологиях и о защите информации”
Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
Статья 16. Защита информации
Конфиденциальность
Целостность
Доступность

Закон РФ «О государственной тайне»
от 21 июля 1993 г. № 5485-1

Определяет основные понятия, полномочия органов государственной власти и должностных лиц в области отнесения сведений к государственной тайне и их защиты.
Вводит перечень сведений, которые могут быть отнесены к государственной тайне.
Указывает принципы засекречивания сведений, перечисляет сведения, не подлежащие засекречиванию.
Устанавливает степени секретности сведений и грифы секретности носителей этих сведений.
Закон РФ «О государственной тайне»
государственная тайна - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации;

Степени секретности сведений
и грифы секретности носителей этих сведений
Степень секретности сведений, составляющих государственную тайну, должна соответствовать степени тяжести ущерба, который может быть нанесен безопасности РФ вследствие распространения указанных сведений.
особой важности
совершенно секретно
секретно
Гриф секретности - реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемые на самом носителе и (или) в сопроводительной документации на него;
Средства защиты информации - технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.

Закон РФ «О государственной тайне»
Средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности.
Организация сертификации средств защиты информации возлагается на ФСБ, ФСТЭК и МО в соответствии с функциями, возложенными на них законодательством Российской Федерации.
Порядок сертификации средств защиты информации
Постановление Правительства РФ от 20 июня 1995 г. № 608

Аккредитовано 8 органов по сертификации:
(ФГУП ГНИИИ ПТЗИ, ФГУП «Атомзащитаинформ»,
ЗАО НПП «БИТ», Секция ИБ РИА, ГУП РНИПКИ МПС, ООО ЦБИ,
ЗАО «Лаборатория ППШ», БИТК, НПО «Эшелон»)
Аккредитованные органы по сертификации средств защиты информации
Испытательные лаборатории ( 30 )
(Аккредитуются ФСТЭК России)
Заявители
Структура системы сертификации ФСТЭК России

Необходимость получения лицензии
Допуск предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, осуществляется путем получения ими лицензий на проведение работ со сведениями соответствующей степени секретности.
Постановление Правительства РФ от 15 апреля 1995 г. № 333

Межведомственная комиссия
по защите гостайны
Правительство Российской Федерации
ФСБ России
СВР России
ФСТЭК
России
Минобороны
России
Федеральные органы исполнительной власти,
уполномоченные на ведение лицензионной деятельности
Аттестационные центры
Соискатели лицензий (заявители)
Структура системы лицензирования

Порядок засекречивания
Основанием для засекречивания сведений, полученных в результате управленческой, производственной, научной и иных видов деятельности органов государственной власти, предприятий, учреждений и организаций, является их соответствие действующим в данных органах, на данных предприятиях, в данных учреждениях и организациях перечням сведений, подлежащих засекречиванию.
Порядок засекречивания сведений и их носителей

Перечни сведений, составляющих ГТ
Перечень сведений, составляющих государственную тайну - совокупность категорий сведений, в соответствии с которыми сведения относятся к ГТ и засекречиваются на основаниях и в порядке, установленных федеральным законодательством.
Государственную тайну составляют:
1) сведения в военной области.
2) сведения в области экономики, науки и техники.
3) сведения в области внешней политики и экономики.
4) сведения в области разведывательной, контрразведывательной и оперативно-розыскной деятельности.
Перечень сведений, составляющих ГТ

Система перечней
Перечень сведений, составляющих
государственную тайну
Раздел II Закона РФ от 21 июля 1993 года № 5485-1«О государственной тайне»
Перечень сведений, отнесенных к
государственной тайне
Указ Президента РФ от 30 ноября 1995 г.
N 1203"Об утверждении перечня сведений,
отнесенных к государственной тайне"
Развернутые перечни сведений,
подлежащих засекречиванию
Приказы руководителей соответствующих ведомств
Обобщенные классы сведений,
составляющих государственную тайну.
Правовая основа защиты сведений
Обобщенные категории сведений,
отнесенных к государственной тайне.
Распределение полномочий
по распоряжению сведениями
Категории сведений, подлежащих
засекречиванию в ведомствах РФ.
Степени секретности категорий
сведений. Дата или условия
рассекречивания сведений
Отдельные перечни сведений, подлежащих засекречиванию
Категории сведений, подлежащих
засекречиванию.
Степени секретности категорий
сведений. Дата или условия
рассекречивания сведений

Закон РФ «О государственной тайне»
Предприятия, учреждения или организации при проведении совместных и других работ (получении государственных заказов) и возникновении в связи с этим необходимости в использовании сведений, составляющих государственную тайну, могут заключать с государственными предприятиями, учреждениями или организациями договоры об использовании услуг их структурных подразделений по защите государственной тайны, о чем делается соответствующая отметка в лицензиях на проведение работ с использованием сведений, составляющих ГТ, обеих договаривающихся сторон.
Проведение совместных работ с использованием сведений, составляющих ГТ

ФЗ “Об обеспечении единства измерений”
от 26 июня 2008 года № 108-Ф3

Статья 1
Закон регулирует отношения, возникающие при выполнении измерений, установлении и соблюдении требований к измерениям, единицам величин, эталонам единиц величин, стандартным образцам, средствам измерений, применении стандартных образцов, средств измерений, методик (методов) измерений, а также при осуществлении деятельности по обеспечению единства измерений
ФЗ «Об обеспечении единства измерений»

ФЗ «Об обеспечении единства измерений»
Статья 5
Измерения, относящиеся к сфере государственного регулирования обеспечения единства измерений:
должны выполняться по аттестованным методикам (методам) измерений,
с применением средств измерений утвержденного типа,
прошедших поверку.

ФЗ «Об обеспечении единства измерений»
Федеральный информационный фонд
по обеспечению единства измерений
https://fgis.gost.ru/fundmetrology/registry

ФЗ «Об обеспечении единства измерений»
Реестр поверенных средств измерений

Перечень
измерений, относящихся к сфере гос. регулирования обеспечения единства измерений, в части компетенции ФСТЭК России:
ФЗ «Об обеспечении единства измерений»
1. Измерения параметров ВВТ, объектов информатизации, АС, информационно-телекоммуникационных систем, средств и систем связи и передачи данных, линий связи, выделенных помещений, АРМ, СВТ, основных и вспомогательных технических средств и систем в процессе контроля выполнения технических норм и требований в области ПДИТР и ТЗИ и (или) аттестации по требованиям безопасности информации.
2. Измерения параметров продукции, используемой в целях защиты сведений, составляющих гос. тайну или относимых к охраняемой в соответствии с законодательством РФ иной информации ограниченного доступа, а также продукции, сведения о которой составляют гос. в целях оценки выполнения обязательных требований в области технического регулирования.
(Приказ ФСТЭК 2009 г №65)

ФЗ “О безопасности критической
информационной инфраструктуры РФ”
от 26 июля 2017 года № 187-Ф3

Статья 1
ФЗ «О безопасности КИИ РФ»
Закон регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак.

ФЗ «О безопасности КИИ РФ»
объекты критической информационной инфраструктуры – информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления;
объекты критической информационной инфраструктуры могут функционировать в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.

ФЗ «О безопасности КИИ РФ»
объекты КИИ
Категория 1
Категория 2
Категория 3
Обнаружение, предупреждение и ликвидация последствий КА
Гос. контроль и надзор объектов КИИ
Требования по обеспечению безопасности объектов КИИ
Оценка безопасности КИИ
ФСБ
ФСТЭК

ФЗ «О безопасности КИИ РФ»
Определение категории объекта КИИ
Субъект КИИ
Объект КИИ
ФСТЭК
Направление сведений о категории объекта
Реестр значимых объектов КИИ
Возврат сведений (при неправильном определении категории)
Включение сведений в реестр
ГосСОПКА
Передача сведений
Категорирование объектов КИИ

НПБ по обеспечению безопасности ОКИИ
ФСБ
Порядок категорирования ОКИИ
Порядок использования сетей связи
Порядок гос. контроля и надзора
Порядок обмена
инф-цией о КИ
Положение о НКЦКИ
Методич. реком. по созданию центров ГосСОПКА
ФСТЭК
Требования к созданию систем безопасности ЗО КИИ
Требования по обеспечению безопасности ЗО КИИ
Форма представления сведений о категориях ЗО КИИ

Нормативные правовые акты РФ в сфере защиты информации

Иерархическая структура документов в сфере ИБ
Федеральные законы РФ
Постановления Правительства РФ
(требования к защите отдельных видов информации, порядок лицензирования, сертификации и др.
Нормативные правовые акты и методические документы уполномоченных органов исполнительной власти (гос. регуляторов)
Национальные и отраслевые стандарты РФ
по отдельным вопросам защиты информации

Нормативные правовые акты (указы) Президента РФ

Указы Президента Российской Федерации

Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» от 17 марта 2008 г. № 351
В целях обеспечения информационной безопасности РФ при использовании информационно-телекоммуникационных сетей (ИТС), позволяющих осуществлять передачу информации через гос. границу РФ, в том числе при использовании сети "Интернет", постановляю:
а) подключение информационных систем (ИС), ИТС и СВТ, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие гос.тайну, либо информации, обладателями которой являются государственные органы и которая содержит сведения, составляющие служебную тайну, к ИТС, позволяющим осуществлять передачу информации через государственную границу РФ, в том числе к сети "Интернет" не допускается;

Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» от 17 марта 2008 г. № 351
б) при необходимости подключения ИС, ИТС и СВТ, указанных в подпункте "а" настоящего пункта, к ИТС международного информационного обмена такое подключение производится только с использованием специально предназначенных для этого средств защиты информации (СЗИ), в том числе шифровальных (криптографических) средств, прошедших сертификацию в ФСБ РФ и (или) получивших подтверждение соответствия в ФСТЭК. Выполнение данного требования является обязательным для операторов ИС, владельцев ИТС и (или) СВТ.

Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» от 17 марта 2008 г. № 351
г) размещение технических средств, подключаемых к ИТС МИО, в помещениях, предназначенных для ведения переговоров, в ходе которых обсуждаются вопросы, содержащие сведения, составляющие государственную тайну, осуществляется только при наличии сертификата, разрешающего эксплуатацию таких технических средств в указанных помещениях.
Сертификат соответствия
В П

“Положение о Межведомственной комиссии по защите государственной тайны”
Утверждено Указом Президента Российской Федерации от 6 октября 2004 г. № 1286
Является коллегиальным органом, координирующим деятельность федеральных органов государственной власти и органов государственной власти субъектов РФ по защите государственной тайны в интересах разработки и выполнения государственных программ, нормативных правовых актов и методических документов, обеспечивающих реализацию федерального законодательства о государственной тайне.
Руководство деятельностью Межведомственной комиссии осуществляет Президент Российской Федерации.
В своей деятельности руководствуется Конституцией РФ, федеральными конституционными законами, Законом Российской Федерации "О государственной тайне", иными федеральными законами, актами Президента Российской Федерации и Правительства Российской Федерации, международными договорами Российской Федерации.

Основные полномочия Межведомственной комиссии;
Состав комиссии и полномочия её председателя:
В состав Межведомственной комиссии входят руководители федеральных органов исполнительной власти, Администрации Президента РФ, Аппарата Правительства РФ и (или) их заместители.
Состав Межведомственной комиссии по должностям утверждается Президентом Российской Федерации, а персональный состав - Правительством Российской Федерации.
В положении определены:
Вопросы организационно-технического обеспечения деятельности МВК (осуществляется центральным аппаратом ФСТЭК).
Периодичность заседания Межведомственной комиссии:
На плановой основе в соответствии с Регламентом, утверждаемым председателем Межведомственной комиссии.
В случае необходимости по решению председателя Межведомственной комиссии могут проводиться внеочередные заседания.

Полномочия МВК (всего 22 пункта):
В положении определены:
Координирует проведение работ по лицензированию деятельности организаций, связанной с использованием сведений, составляющих государственную тайну;
Координирует деятельность в области подготовки, переподготовки и (или) повышения квалификации специалистов по вопросам защиты государственной тайны;
Дает заключения на решения руководителей органов гос. власти, связанные с изменением действующих перечней сведений, подлежащих засекречиванию, которые могут привести к изменению перечня сведений, отнесенных к государственной тайне, приостанавливает или опротестовывает их решения;
Решает вопрос о продлении 30-летнего срока засекречивания сведений, составляющих государственную тайну;
рассматривает вопросы о возможности передачи сведений, составляющих гос. тайну, другим государствам и международным организациям и представляет в установленном порядке в Правительство РФ соответствующие экспертные заключения;
И др.

Нормативные правовые акты (постановления) Правительства РФ

Постановления Правительства Российской Федерации

Постановления Правительства Российской Федерации

К служебной информации ограниченного распространения относится несекретная информация, касающаяся деятельности организаций, ограничения на распространение которой диктуются служебной необходимостью, а также поступившая в организации несекретная информация, доступ к которой ограничен в соответствии с федеральными законами.
Постановление Правительства РФ от 3 ноября 1994 г. № 1233
Положение
о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти, уполномоченном органе управления использованием атомной энергии и уполномоченном органе по космической деятельности

Постановление Правительства РФ от 3 ноября 1994 г. № 1233
Положение определяет общий порядок обращения с документами и др. материальными носителями информации, содержащими служебную информацию ограниченного распространения, в федеральных органах исполнительной власти, уполномоченном органе управления использованием атомной энергии и уполномоченном органе по космической деятельности, а также на подведомственных им предприятиях, в учреждениях и организациях

На документах, содержащих служебную информацию ограниченного распространения, проставляется пометка «Для служебного пользования».
Служебная информация ограниченного распространения без санкции соответствующего должностного лица не подлежит разглашению (распространению).
За разглашение служебной информации ограниченного распространения, а также нарушение порядка обращения с документами, содержащими такую информацию, государственный служащий может быть привлечен к дисциплинарной или иной предусмотренной законодательством ответственности.
Постановление Правительства РФ от 3 ноября 1994 г. № 1233

Документы с пометкой "Для служебного пользования":
Печатаются в машинописном бюро. … Отпечатанные и подписанные документы вместе с черновиками и вариантами передаются для регистрации работнику, осуществляющему их учет. Черновики и варианты уничтожаются этим работником с отражением факта уничтожения в учетных формах;
Учитываются, как правило, отдельно от несекретной документации. При незначительном объеме таких документов разрешается вести их учет совместно с другими несекретными документами. К регистрационному индексу документа добавляется пометка "ДСП";
Передаются работникам подразделений под расписку;
Пересылаются сторонним организациям фельдъегерской связью, заказными или ценными почтовыми отправлениями;
Размножаются (тиражируются) только с письменного разрешения соответствующего руководителя. Учет размноженных документов осуществляется поэкземплярно;
Хранятся в надежно запираемых и опечатываемых шкафах (ящиках, хранилищах).

Постановление Прав-ва РФ от 3 ноября 1994 г № 1233
«Об утверждении Положения о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти и уполномоченном органе управления использованием атомной энергии»
Инструкция о порядке обращения со служебной информацией ограниченного распространения в Минобрнауки России
Инструкция о порядке обращения со служебной информацией ограниченного распространения в Ространснадзоре
Порядок обращения со служебной информацией ограниченного распространения в Росавиации
Инструкция о порядке обращения со служебной информацией ограниченного распространения в ФМБА России
Инструкция о порядке обращения со служебной информацией ограниченного распространения в Министерстве природных ресурсов РФ
И др.

О грифах и пометках …