Файл: 4. Правовое регулирование Информационного общества в России 8.docx

19. Правовые аспекты защиты персональных данных в России

Конституция РФ. Ч.1 ст. 24 запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия.

Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Сфера отношений, касающаяся персональных данных работника регулируется гл.14 Трудового кодекса РФ. Где установлен порядок работы с персональными данными работника и закрепляется ответственность работодателя за нарушение соответствующих норм.

В Уголовно-процессуальном кодексе РФ от 5.12.2001 г. также затрагивается сфера персональных данных. В ст. 13 говорится о тайне переписки, телефонных и иных переговоров, почтовых и иных сообщений.

2.02.2010 года вышел приказ ФСТЭК N 58 Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных. Данное положение устанавливает методы и способы защиты информации, применяемые для обеспечения безопасности персональных данных при их обработке в ИСПДн.

Основным Законом, регулирующим защиту персональных данных в РФ, является Федеральный Закон «О персональных данных». Закон «О персональных данных» устанавливает шесть принципов обработки ПДн:

• 
  ПД должны собираться и использоваться законно и добросовестно.
  
• 
  Заранее определенные цели использования ПД не должны изменяться.
  
• 
  Объем, характер и способы обрабатываемых ПД должны соответствовать целям обработки ПД.
  
• 
  Персональные данные должны быть достоверными.
  
• 
  Закон запрещает объединение ПД в единую ИСПДн, которые были собраны операторами персональных данных для разных целей.
  
• 
  Хранение ПД должно осуществляться в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели их обработки.
  

---

Постановление Правительства №1119 - Требования к защите ПДн при их обработке в ИС. Установлены категории персональных данных:

• 
  Специальные. Касающиеся расовой, национальной принадлежности, взглядов, убеждений, здоровья, интимной жизни;
  
• 
  Биометрические;
  
• 
  Общедоступные;
  
• 
  Иные.
  

Типы актуальных угроз: НДВ в системном ПО; в прикладном ПО; и не связанные с НДВ в прикладном и системном ПО.

Установлено 4 уровня защищенности.

20. «Великая стена» информационной безопасности Китае

В 2004 г. правительство Китая одобрило проект "S219", именуемый специалистами "Великой стеной", главной задачей которого является обеспечение стопроцентной безопасности китайских глобальных компьютерных сетей.

Проект "S219" разработан Министерством науки и технологии Китая, разработка была начата в феврале 2000 года. Он должен обеспечить информационную безопасность правительственных, финансовых и медийных компьютерных сетей.

В Китае в 2004 г было закрыто 12 575 нелегальных интернет-кафе. По мнению Министерства образования Китая, интернет-кафе мешают нормальной работе школ. МГБ КНР приступило к выплате денежных вознаграждений гражданам за информацию о порносайтах в Интернете. С июля 2004 года, когда в Китае развернулась массовая кампания по борьбе с порнографией в Интернете.

В Китае поощряется использование Интернета для образования и бизнеса. Размещение информации сексуального характера на китайских сайтах запрещено, а доступ пользователей к зарубежным узлам, которые, по мнению властей, носят порнографический или подрывной характер, блокируется. МГБ Китая совместно с Министерством образования и Министерством информационной индустрии объявили о начале совместной кампании, призванной положить конец спаму в стране, как рекламному, так и "реакционному" - направленному на дискредитацию существующего строя. Согласно заявлению МГБ, более половины сообщений электронной почты, получаемых китайскими пользователями интернета, являются спамом. Сейчас борьба со спамом в стране ограничивается тем, что специальная организация публикует "черный список" местных и зарубежных серверов, используемых для рассылки нежелательной почты, призывая провайдеров блокировать доступ к этим серверам.

---

Власти Китая намереваются в ближайшее время закрыть интернет-сайты, которые не прошли специальную процедуру регистрации в государственных органах.

Официальный Пекин в 2005 г. объявил о том, что поддерживающие какие-либо интернет-сайты граждане Китая должны зарегистрироваться в органах власти и предоставить информацию об ответственных за содержание сайта лицах. Как известно, сайты в Китае не должны содержать сведения, противоречащие политике компартии, а также порнографию, азартные игры и другие аналогичные материалы.

---

21. Основные направления государственной политики России в области обеспечения безопасности автоматизированных систем управления КВО

Целью государственной политики в области обеспечения безопасности АСУ КВО является снижение до минимально возможного уровня рисков неконтролируемого вмешательства в процессы функционирования данных систем, а также минимизация негативных последствий подобного вмешательства.

Основные направления государственной политики России в области обеспечения безопасности автоматизированных систем управления КВО:

1. 
   совершенствование нормативно-правовой базы;
   
2. 
   государственное регулирование;
   

• 
  развитие механизмов государственного управления и контроля;
  
• 
  выделение необходимых объемов и источников финансовых ресурсов на реализацию программ;
  
• 
  развитие международного сотрудничества в области ИБ
  
• 
  создание единой государственной системы обнаружения и предупреждения компьютерных атак.
  

3. 
   промышленная и научно-техническая политика;
   

• 
  проведение комплекса мероприятий по развитию систем, средств и методов технической оценки уровня реальной защищенности АСУ КВО;
  
• 
  создание хранилища эталонного программного обеспечения;
  
• 
  разработка и внедрение импортозамещающих технологий.
  

4. 
   фундаментальная и прикладная наука, технологии и средства обеспечения безопасности АСУ КВО и критической информационной инфраструктуры;
   

• 
  разработка методов и средств своевременного выявления угроз и оценки их опасности для АСУ КВО;
  
• 
  разработка и внедрение комплексных систем защиты и обеспечения безопасности АСУ КВО;
  
• 
  разработка и внедрение специализированных информационно-аналитических систем, комплексных систем защиты АСУ КВО.
  

5. 
   повышение квалификации кадров в области обеспечения безопасности АСУ КВО.
   

• 
  совершенствование системы подготовки, повышение общего уровня культуры ИБ граждан;
  
• 
  повышение общего уровня культуры информационной безопасности граждан;
  
• 
  формирование в общественном сознании нетерпимости к лицам, совершающим противоправные деяния с использованием информационных технологий.
  

---

22. Правовое регулирование политики информационной безопасности

Согласно ISO 17799 документированная политика ИБ должна заявлять о приверженности руководства и устанавливать подход к управлению информационной безопасностью, определять понятие ИБ, ее основные цели и область действия, содержать основные положения для определения целей и механизмов контроля, включая структуру оценки и управления рисками и многое другое.

Согласно ISO 27001 политика ИБ является подмножеством более общего документа - политики СМИБ, включающей в себя основные положения для определения целей СМИБ и устанавливающей общее направление и принципы деятельности по отношению к ИБ, учитывающей требования бизнеса, законодательной или нормативной базы, контрактные обязательства, устанавливающей критерии для оценивания рисков и т.д.

Политика ИБ должна полностью соответствовать требованиям международных стандартов ISO 27001/17799. Это необходимое условие для успешного прохождения сертификации.

ГОСТ 27003. Структура политики

Содержание политики основано на контексте, в котором работает организация. Нужно учитывать:

1) цели и задачи организации;

2) стратегии, адаптированные для достижения этих целей;

3) структуру и процессы, адаптированные организацией;

4) цели и задачи, связанные с предметом политики;

5) требования связанных политик более высокого уровня.

Политики могут иметь следующую структуру:

1. 
   Краткое изложение политики
   
2. 
   Введение - краткое объяснение предмета политики.
   
3. 
   Область действия
   
4. 
   Цели - описание назначения политики.
   
5. 
   Принципы - описание правил, касающихся действий и решений для достижения целей.
   
6. 
   Сферы ответственности
   
7. 
   Ключевые результаты
   
8. 
   Связанные политики.
   

---