Ответственность за нарушение правил защиты информации презентация

Государственная политика в области обеспечения информационной безопасности

КОНСТИТУЦИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ

ЗАКОНОДАТЕЛЬНАЯ БАЗА ЗАЩИТЫ ИНФОРМАЦИИ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА 2. Федеральный закон № 152-ФЗ, 2006 «О персональных данных»

ЗАКОНОДАТЕЛЬНАЯ БАЗА ЗАЩИТЫ ИНФОРМАЦИИ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА

Основные положения Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» Регулирует отношения, возникающие при: 1) осуществлении права на поиск, получение, передачу, производство и распространение информации; 2) применении информационных технологий; 3) обеспечении защиты информации.

ФЕДЕРАЛЬНЫЙ ЗАКОН от 27 июля 2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»

Основные положения Федерального закона «Об информации, информационных технологиях и о защите информации»

ВОПРОС 1. Правовые основы технической защиты информации конфиденциального характера

ВОПРОС 1. Правовые основы технической защиты информации конфиденциального характера

ВОПРОС 1. Правовые основы технической защиты информации конфиденциального характера

ВОПРОС 1. Правовые основы технической защиты информации конфиденциального характера

Основные положения Федерального закона «Об информации, информационных технологиях и о защите информации» относительно информационных систем

ФЕДЕРАЛЬНЫЙ ЗАКОН «Об информации, информационных технологиях и о защите информации»

Указ Президента Российской Федерации от 6 марта 1997 г. № 188 ПЕРЕЧЕНЬ сведений конфиденциального характера

Информация, содержащая сведения конфиденциального характера

Федеральный закон «О персональных данных» Информация, составляющая, служебную тайну, может иметь немалую стоимость, но не носить коммерческого характера. Пример 1. ФАКТ РАЗГЛАШЕНИЯ СЛУЖЕБНОЙ ТАЙНЫ Представим себе, что молоденькой работнице некого предприятия понравился новый и довольно симпатичный сотрудник, и она попросила кадровика дать номер его телефона. Если инспектор по кадрам поддастся на уговоры девушки, он, безусловно, разгласит персональные данные работника, которые в данном случае будут одновременно являться служебной тайной.

Федеральный Закон «О коммерческой тайне» от 29 июля 2004г. № 98-ФЗ (с изменениями и дополнениями от 2 февраля 2006 года № 19-ФЗ; от 24 июля 2007 года № 214-ФЗ) Статья 1. Цели и сфера действия настоящего Федерального закона Статья 2. Законодательство Российской Федерации о коммерческой тайне Статья 3. Основные понятия, используемые в настоящем Федеральном законе Статья 4. Право на отнесение информации к информации, составляющей коммерческую тайну, и способы получения такой информации Статья 5. Сведения, которые не могут составлять коммерческую тайну Статья 6. Предоставление информации, составляющей коммерческую тайну Статьи 7 - 9 утратили силу с 1 января 2008 года. - Федеральный закон от 18.12.2006 N 231-ФЗ. Статья 10. Охрана конфиденциальности информации Статья 11. Охрана конфиденциальности  информации в рамках трудовых отношений Статья 12 утратила силу с 1 января 2008 года. - Федеральный закон от 18.12.2006 N 231-ФЗ. Статья 13. Охрана конфиденциальности информации при ее предоставлении Статья 14. Ответственность за нарушение  настоящего Федерального закона Статья 15. Ответственность за непредоставление органам государственной власти, иным государственным органам, органам местного самоуправления информации, составляющей коммерческую тайну Статья 16. Переходные положения

Федеральный закон «О коммерческой тайне» Статья 3 п.1. КОММЕРЧЕСКАЯ ТАЙНА - режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду; (п. 1 в ред. Федерального закона от 18.12.2006 N 231-ФЗ). п.2. ИНФОРМАЦИЯ, СОСТАВЛЯЮЩАЯ КОММЕРЧЕСКУЮ ТАЙНУ (СЕКРЕТ ПРОИЗВОДСТВА), - сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны; (п. 2 в ред. Федерального закона от 18.12.2006 N 231-ФЗ)

Федеральный закон «О коммерческой тайне» Информация, составляющая коммерческую тайну, представляет большой интерес для конкурентов, так как, воспользовавшись ею, они могут лишить своего соперника на рынке неких преимуществ. Пример 1. ФАКТ РАЗГЛАШЕНИЯ КОММЕРЧЕСКОЙ ТАЙНЫ Воспользовавшись списком клиентов своего конкурента, фирма резко повысила объемы сбыта собственного товара и уменьшила их у конкурента, что принесло ему непоправимый финансовый урон. К коммерческой тайне, как правило, относятся: - содержание бизнес-планов предприятия; - ноу-хау; - оценки рынков сбыта и сегментов потребительских рынков; - торговые и финансовые секреты и т.д.

Федеральный закон «О коммерческой тайне» Статья 4. ПРАВО НА ОТНЕСЕНИЕ ИНФОРМАЦИИ К ИНФОРМАЦИИ, СОСТАВЛЯЮЩЕЙ КОММЕРЧЕСКУЮ ТАЙНУ, И СПОСОБЫ ПОЛУЧЕНИЯ ТАКОЙ ИНФОРМАЦИИ Право на отнесение информации к информации, составляющей коммерческую тайну, и на определение перечня и состава такой информации принадлежит обладателю такой информации с учетом положений настоящего Федерального закона. Утратил силу с 1 января 2008 года. - Федеральный закон от 18.12.2006 N 231-ФЗ. 3. Информация, составляющая коммерческую тайну, полученная от ее обладателя на основании договора или другом законном основании, считается полученной законным способом. 4. Информация, составляющая коммерческую тайну, обладателем которой является другое лицо, считается полученной незаконно, если ее получение осуществлялось с умышленным преодолением принятых обладателем информации, составляющей коммерческую тайну, мер по охране конфиденциальности этой информации, а также если получающее эту информацию лицо знало или имело достаточные основания полагать, что эта информация составляет коммерческую тайну, обладателем которой является другое лицо, и что осуществляющее передачу этой информации лицо не имеет на передачу этой информации законного основания.

Федеральный закон «О коммерческой тайне» Статья 5. СВЕДЕНИЯ, КОТОРЫЕ НЕ МОГУТ СОСТАВЛЯТЬ КОММЕРЧЕСКУЮ ТАЙНУ Режим коммерческой тайны не может быть установлен лицами, осуществляющими предпринимательскую деятельность, в отношении следующих сведений: 1) содержащихся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные реестры; 2) содержащихся в документах, дающих право на осуществление предпринимательской деятельности; 3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов; 4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом; 5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, и о наличии свободных рабочих мест; 6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам; 7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений; 8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности; 9) о размерах и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расходах, о численности и об оплате труда их работников, об использовании безвозмездного труда граждан в деятельности некоммерческой организации; 10) о перечне лиц, имеющих право действовать без доверенности от имени юридического лица; 11) обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами.

Федеральный закон «О коммерческой тайне» Статья 10. ОХРАНА КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ (КИ) п.1. Меры по охране КИ, принимаемые ее обладателем, должны включать: 1) определение перечня информации, составляющей коммерческую тайну; 2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка; 3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана; 4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров; 5) нанесение на материальные носители (документы), содержащие информацию, составляющую коммерческую тайну, грифа "Коммерческая тайна" с указанием обладателя этой информации (для юридических лиц - полное наименование и место нахождения, для индивидуальных предпринимателей - фамилия, имя, отчество гражданина, являющегося индивидуальным предпринимателем, и место жительства). п.2. Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи.

Федеральный закон «О коммерческой тайне» Статья 11. ОХРАНА КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ В РАМКАХ ТРУДОВЫХ ОТНОШЕНИЙ п.1. В целях охраны конфиденциальности информации работодатель обязан: ознакомить под расписку работника, доступ которого к информации, составляющей коммерческую тайну, необходим для выполнения им своих трудовых обязанностей, с перечнем информации, составляющей коммерческую тайну, обладателями которой являются работодатель и его контрагенты; 2) ознакомить под расписку работника с установленным работодателем режимом коммерческой тайны и с мерами ответственности за его нарушение; 3) создать работнику необходимые условия для соблюдения им установленного работодателем режима коммерческой тайны. п.2. Доступ работника к информации, составляющей коммерческую тайну, осуществляется с его согласия, если это не предусмотрено его трудовыми обязанностями.

Федеральный закон «О коммерческой тайне» Статья 13. ОХРАНА КОНФИДЕНЦИАЛЬНОСТИ ИНФОРМАЦИИ ПРИ ЕЕ ПРЕДОСТАВЛЕНИИ 1. Органы государственной власти, иные государственные органы, органы местного самоуправления в соответствии с настоящим Федеральным законом и иными федеральными законами обязаны создать условия, обеспечивающие охрану конфиденциальности информации, предоставленной им юридическими лицами или индивидуальными предпринимателями. 2. Должностные лица органов государственной власти, иных государственных органов, органов местного самоуправления, государственные или муниципальные служащие указанных органов без согласия обладателя информации, составляющей коммерческую тайну, не вправе разглашать или передавать другим лицам, органам государственной власти, иным государственным органам, органам местного самоуправления ставшую известной им в силу выполнения должностных (служебных) обязанностей информацию, составляющую коммерческую тайну, за исключением случаев, предусмотренных настоящим Федеральным законом, а также не вправе использовать эту информацию в корыстных или иных личных целях. 3. В случае нарушения конфиденциальности информации должностными лицами органов государственной власти, иных государственных органов, органов местного самоуправления, государственными и муниципальными служащими указанных органов эти лица несут ответственность в соответствии с законодательством Российской Федерации.

Основные положения Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» Федеральным законом регулируются отношения, связанные с обработкой персональных данных

Нормативные документы в области защиты персональных данных

Постановление Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных"

Постановление Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных"

Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают: определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз; разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем; проверку готовности средств защиты информации к использованию с составлением заключений о возможности их эксплуатации; установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией; обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними; учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных; учет лиц, допущенных к работе с персональными данными в информационной системе; контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией; разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений; описание системы защиты персональных данных.

Методические документы ФСТЭК России в области обеспечения безопасности персональных данных, при их обработке в ИСПД

Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных Базовая модель угроз предназначена для решения следующих задач: разработки частных моделей угроз безопасности персональных данных в конкретных информационных системах с учетом их назначения, условий и особенностей функционирования; анализа защищенности информационных систем персональных данных от угроз безопасности в ходе организации и выполнения работ по обеспечению безопасности персональных данных; разработки системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем персональных данных; проведения мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации; недопущения воздействия на технические средства информационных систем персональных данных, в результате которого может быть нарушено их функционирование; контроля за обеспечением уровня защищенности персональных данных.

Базовая модель угроз безопасности персональных данных содержит:

Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных Методика определения актуальных угроз безопасности предназначена для формирования перечня актуальных угроз безопасности персональным данным, обрабатываемым в информационных системах. Формирование перечня источников угроз персональным данным осуществляется методом экспертного опроса. На основе экспертного опроса и анализа результатов сетевого сканирования информационной системы формируется перечень ее уязвимых звеньев. По данным обследования информационной системы формируется перечень возможных технических каналов утечки информации. Путем анализа указанных перечней определяются условия существования в информационной системе угроз безопасности информации и составляется их полный перечень. На основании полного перечня угроз безопасности информации в соответствии с порядком определения актуальных угроз безопасности персональных данных в информационных системах персональных данных формируется перечень актуальных угроз безопасности персональным данным.

Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Меры по обеспечению безопасности персональных данных реализуются в рамках системы защиты персональных данных, создаваемой в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, и должны быть направлены на нейтрализацию актуальных угроз безопасности персональных данных. Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.

На стадии ввода информационных систем в эксплуатацию осуществляется оценка соответствия информационной системы требованиям безопасности На стадии ввода информационных систем в эксплуатацию осуществляется оценка соответствия информационной системы требованиям безопасности

РУКОВОДЯЩИЕ ДОКУМЕНТЫ ФСТЭК ПО ЗАЩИТЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ РД «РД «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» 1992 г. РД «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» 1992 г. РД «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» 1997 г. РД «Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники» 1992 г. РД «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» 2001 г. РД «Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» 2002 г. «Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР К)» 2002 г.

СПЕЦИАЛЬНЫЕ ТРЕБОВАНИЯ И РЕКОМЕНДАЦИИ ПО ТЕХНИЧЕСКОЙ ЗАЩИТЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ (СТР-К) Термины, определения и сокращения Общие положения Организация работ по защите конфиденциальной информации Требования и рекомендации по защите речевой конфиденциальной информации Требования и рекомендации по защите конфиденциальной информации, обрабатываемой в автоматизированных системах Рекомендации по обеспечению защиты конфиденциальной информации, содержащейся в негосударственных информационных ресурсах, при взаимодействии абонентов с информационными сетями общего пользования Приложения Методики

ПРИЛОЖЕНИЯ К СТР-К

Защите подлежит речевая информация и информация, обрабатываемая техническими средствами, а также представленная в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, магнито-оптической и иной основе. Защите подлежит речевая информация и информация, обрабатываемая техническими средствами, а также представленная в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, магнито-оптической и иной основе.

ОСНОВНЫЕ ПОЛОЖЕНИЯ «СПЕЦИАЛЬНЫХ ТРЕБОВАНИЙ И РЕКОМЕНДАЦИЙ» ПО ЗАЩИТЕ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ Защита информации на объекте информатизации достигается выполнением комплекса организационных мероприятий и применением (при необходимости) средств защиты информации от утечки информации или воздействия на нее по техническим каналам, за счет несанкционированного доступа к ней, по предупреждению преднамеренных программно-технических воздействий с целью нарушения целостности (модификации, уничтожения) информации в процессе ее обработки, передачи и хранения, нарушения ее доступности и работоспособности технических средств. Ответственность за обеспечение требований по технической защите конфиденциальной информации возлагается на руководителей организаций, эксплуатирующих объекты информатизации. Разработка мер и обеспечение защиты информации осуществляются подразделениями по защите информации или отдельными специалистами, назначаемыми руководителями организаций для проведения таких работ. Разработка мер защиты информации может осуществляться также сторонними организациями, имеющими лицензии ФСТЭК России. 4. Для защиты конфиденциальной информации используются сертифицированные по требованиям безопасности информации технические средства защиты информации.

Государственные стандарты ГОСТ Р 50739-95. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования. Госстандарт России ГОСТ Р 50922-2006. Защита информации. Основные термины и определения. Госстандарт России ГОСТ Р 51188-98. Защита информации. Испытания программных средств на наличие компьютерных вирусов. Типовое руководство. Госстандарт России ГОСТ Р 51275-2006. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения. Госстандарт России ГОСТ Р ИСО 7498-1-99. Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 1. Базовая модель. Госстандарт России ГОСТ Р ИСО 7498-2-99. Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 2. Архитектура защиты информации. Госстандарт России ГОСТ Р ИСО/МЭК 15408-1-2008. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Ведение и общая модель. Госстандарт России ГОСТ Р ИСО/МЭК 15408-2-2008. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. Госстандарт России ГОСТ Р ИСО/МЭК 15408-3-2008. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности. Госстандарт России

ДОКУМЕНТЫ ПЕРВОГО УРОВНЯ (Программа разработки технических регламентов на 2005-2006 годы, утверждена Правительством Российской Федерации от 6.11.2004 г. №1421-р) Включают технические регламенты: «О безопасности информационных технологий» «О требованиях к средствам обеспечения безопасности информационных технологий. Определяют: Основные понятия в области ИТ; Перечень объектов технического регулирования, для которых риск реализации угроз может быть недопустимо велик; Виды потенциальных угроз безопасности ИТ и способы их реализации; Порядок анализа и оценки рисков угроз безопасности ИТ; Категории объектов технического регулирования в зависимости от риска реализации угроз; Требования безопасности для каждой категории объектов технического регулирования; Порядок проведения контроля и надзора.

ДОКУМЕНТЫ ПЕРВОГО УРОВНЯ (Программа разработки технических регламентов на 2005-2006 годы) ПРОГРАММА РАЗРАБОТКИ ТЕХНИЧЕСКИХ РЕГЛАМЕНТОВ (утв. распоряжением Правительства Российской Федерации от 6 ноября 2004 г. № 1421-р) (с изменениями от 8 ноября 2005 г., 1 февраля, 29 мая 2006 г., 28 декабря 2007 г., 25 сентября, 10 декабря 2008 г., 1 апреля, 20 августа 2009 г.) (в редакции распоряжения Правительства Российской Федерации от 9 марта 2010 г. № 300-р).

ДОКУМЕНТЫ ВТОРОГО УРОВНЯ Включают: 1. «Концепция обеспечения безопасности изделий информационных технологий» (2005г) Основные понятия и общие положения по безопасности изделий ИТ. Назначение, структура и основное содержание документов по безопасности изделий ИТ (профиля защиты и задания по безопасности). Основные меры безопасности при разработке и эксплуатации изделий ИТ. 2. «ГОСТ Р ИСО/МЭК 15408-2008 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий». (Введен с 1 октября 2009 г.) Содержит функциональные требования к средствам ИТ и требования доверия. 3. Постановления Правительства Российской Федерации и положения «О стандартизации оборонной продукции» и «О порядке оценки соответствия оборонной продукции и продукции, используемой в целях ЗИ ограниченного доступа» (Срок разработки проектов 2005г.)

ДОКУМЕНТЫ ТРЕТЬЕГО УРОВНЯ Конкретизируют требования документов второго уровня: 1. Положение по обеспечения безопасности при разработке , испытаниях, поставке и эксплуатации изделий информационных технологий» Система положений по достижению требуемого уровня безопасности ИТ; Общие требования по безопасности на различных этапах изделий ИТ 2. РД « Безопасность информационных технологий. Критерии оценки безопасности информационных технологий». Соответствует ГОСТ Р ИСО ИСО/ МЭК 15408-2008 и предназначен для заказчиков, разработчиков, пользователей изделий ИТ, органов по оценке соответствия с обеспечением оперативного внесения изменений по опыту практического применения. 3. «Положение по разработке профилей защиты и заданий по безопасности» Определяет порядок разработки , оценки, регистрации и публикации профилей защиты и заданий по безопасности для изделий ИТ, предназначенных для обработки информации ограниченного доступа. 4. «Руководство по регистрации профилей защиты» Профиль защиты – НД со стандартизированным набором требований по безопасности изделий ИТ 5.«Положение по инспекционному контролю за деятельностью участников системы оценки соответствия» Определяет порядок и процедуры контроля за соблюдением органами по оценке соответствия критериев, методологии и процедур оценки изделий ИТ, формы и периодичность проверок.

ДОКУМЕНТЫ ЧЕТВЕРТОГО УРОВНЯ Определяют методы и способы достижения требований, задаваемых в документах первых трех уровней. «Базовая модель обеспечения безопасности в жизненном цикле ИТ» «Типовая программа обеспечения безопасности при разработке и сопровождении изделия ИТ» Определяют соответствующие этапу меры и работы по обеспечению безопасности с учетом принятой модели жизненного цикла средства ИТ 3. «Общая методология оценки безопасности изделий ИТ» Содержит совокупность типовых методик оценки выполнения требований безопасности ИТ. 4. «Базовая модель угроз безопасности изделий ИТ. Устанавливает структуру модели угроз, форму представления угроз в профилях защиты и заданиях по безопасности, описание типовых угроз для изделий ИТ. 5. «Руководство по формированию семейств профилей защиты» Устанавливает порядок формирования семейств профилей защиты, состав классов защищенности изделий ИТ и соответствующих им базовых пакетов требований доверия и уровней стойкости функций безопасности. 6. «Руководство по разработке профилей защиты и заданий по безопасности» Методический документ к РД «Безопасность ИТ. Критерии оценки безопасности ИТ. 7. Руководства для участников системы оценки соответствия. Определяют основные процедурные и методические аспекты деятельности участников системы оценки соответствия, их задачи и порядок взаимодействия.

ГОСТ Р ИСО/МЭК 17799-2005 "Информационные технологии. Методы безопасности. Руководство по управлению безопасностью информации" Вторая часть «Спецификации системы» - рассматривает аспекты информационной безопасности с точки зрения сертификации информационной системы на соответствие требованиям стандарта.

ГОСТ Р ИСО/МЭК 17799-2005 "Информационные технологии. Методы безопасности. Руководство по управлению безопасностью информации" Документальное оформление Политика информационной безопасности должна быть утверждена, издана и надлежащим образом доведена до сведения всех сотрудников организации. Она должна устанавливать ответственность руководства, а также излагать подход организации к управлению информационной безопасностью.

Примерная структура типовой политики безопасности организации и перечень инструкций в соответствии с ГОСТ Р ИСО/МЭК 17799-2005

Примерная структура типовой политики безопасности организации и перечень инструкций в соответствии с ГОСТ Р ИСО/МЭК 17799-2005

Основные положения стандарта Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» (СТО БР ИББС-1.0–2008)

ОСНОВНЫЕ НАКАЗУЕМЫЕ ДЕЯНИЯ В ИНФОРМАЦИОННОЙ СФЕРЕ

К О Д Е К С Российской Федерации об административных правонарушениях от 30.12.2001 №195-ФЗ Глава 13. Административные правонарушения в области связи и информации

Статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника Статья 90. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

ОСНОВАНИЯ И ПРОЦЕДУРА УВОЛЬНЕНИЯ ЗА РАЗГЛАШЕНИЕ КОММЕРЧЕСКОЙ ТАЙНЫ ОСНОВАНИЯ И ПРОЦЕДУРА УВОЛЬНЕНИЯ ЗА РАЗГЛАШЕНИЕ КОММЕРЧЕСКОЙ ТАЙНЫ Статьей 81 Трудового кодекса Российской Федерации предусмотрено такое основание для расторжения трудового договора, как разглашение охраняемой законом тайны: - государственной, - коммерческой, - служебной - иной, ставшей известной работнику в связи с исполнением им трудовых обязанностей.

ПРИМЕР: ПРИМЕР: В пункте 43 постановления Пленума Верховного Суда Российской Федерации № 2 "О применении судами Российской Федерации Трудового кодекса Российской Федерации" сказано, что в случае оспаривания работником увольнения по подпункту "в" пункта 6 статьи 81 Трудового кодекса Российской Федерации работодатель ОБЯЗАН ПРЕДОСТАВИТЬ ДОКАЗАТЕЛЬСТВА, свидетельствующие о том, что: - СВЕДЕНИЯ, КОТОРЫЕ РАБОТНИК РАЗГЛАСИЛ, ОТНОСЯТСЯ К ОХРАНЯЕМОЙ ЗАКОНОМ ТАЙНЕ; - ОНИ СТАЛИ ИЗВЕСТНЫ РАБОТНИКУ В СВЯЗИ С ИСПОЛНЕНИЕМ ИМ ТРУДОВЫХ ОБЯЗАННОСТЕЙ; - СОТРУДНИК ОРГАНИЗАЦИИ ОБЯЗЫВАЛСЯ НЕ РАЗГЛАШАТЬ КОНФИДЕНЦИАЛЬНУЮ ИНФОРМАЦИЮ.

Тем не менее, на практике особую сложность представляет подтверждение не вышеизложенных фактов, а того, что имело место само разглашение работником информации. Тем не менее, на практике особую сложность представляет подтверждение не вышеизложенных фактов, а того, что имело место само разглашение работником информации. Попробуй докажи, например, что кадровик сказал сотруднице чей-то номер телефона или начальник отдела маркетинга шепнул по секрету информацию о стратегических планах развития компании своему знакомому! Однако это не значит, что удостоверить эти факты документально абсолютно невозможно.

ПРИМЕР 3. ПРИМЕР 3. О РАЗГЛАШЕНИИ КОММЕРЧЕСКОЙ ТАЙНЫ Директор предприятия сделал вывод, что кто-то из его сотрудников разгласил коммерческую тайну, так как организация-конкурент объявила о выпуске продукции, по своим характеристикам полностью соответствующей его новым разработкам. Последние велись более 6 месяцев и доступ к данной информации имел ограниченный круг лиц. Директору не только необходимо было понять, кто стал "предателем", но и доказать факт передачи информации "противнику".

Сделать это помогли счета за телефонные переговоры начальника отдела маркетинга с представителями организации-конкурента, которая находилась в другом городе. Сделать это помогли счета за телефонные переговоры начальника отдела маркетинга с представителями организации-конкурента, которая находилась в другом городе. При этом в должностные обязанности данного работника такие переговоры входить не могли. Как выяснилось, начальник отдела маркетинга действительно передал секретную информацию, в том числе технологические схемы, конкурентам данной организации.

После этого на супругу работника была оформлена в собственность квартира в черте города. После этого на супругу работника была оформлена в собственность квартира в черте города. В данной ситуации работник добровольно сознался в содеянном и на него было наложено дисциплинарное взыскание. Однако стоит отметить, что при наличии таких доказательств, как телефонные счета, руководство предприятия имело значительные шансы выиграть дело в суде, даже если бы начальник отдела маркетинга не согласился на оформление "явки с повинной".

ВЫВОД: ВЫВОД: Если ваш работник разгласил служебную или коммерческую тайну, то с него в обязательном порядке должно быть затребовано письменное объяснение; а при отказе его дать, необходимо составить соответствующий акт. ОТКАЗ РАБОТНИКА ОТ ДАЧИ ПИСЬМЕННЫХ ОБЪЯСНЕНИЙ НЕ ЯВЛЯЕТСЯ ПРЕПЯТСТВИЕМ ДЛЯ НАЛОЖЕНИЯ ДИСЦИПЛИНАРНОГО ВЗЫСКАНИЯ.

ООО "Аленький цветочек" ООО "Аленький цветочек" Акт об отказе дать письменные объяснения по существу дисциплинарного проступка г. Москва 03 ноября 2005 г. Мною, генеральным директором ООО "Аленький цветочек" А.А. Кузнецовым, составлен настоящий акт о нижеследующем. Сегодня в 10 часов 30 минут в помещении ООО "Аленький цветочек", расположенном по адресу: город Москва, улица Тверская, дом 5, комната 13 - в присутствии работников ООО "Аленький цветочек" И.И. Ивановой и А.А. Петровой финансовый менеджер ООО "Аленький цветочек" С.С. Сидорова отказалась от предоставления письменных объяснений по поводу разглашения сведений, составляющих коммерческую тайну предприятия. Свой отказ от дачи письменных объяснений С.С. Сидорова не мотивировала. Присутствующие: _______________________ И.И. Иванова _______________________ А.А. Петрова Акт составил: _______________________ А.А. Кузнецов С актом _________ ознакомлена _____ "___" _______ г. От подписи об ознакомлении с актом С.С. Сидорова отказалась. Присутствующие: __________________ И.И. Иванова __________________ А.А. Петрова

Следует учитывать, что согласно трудовому законодательству, дисциплинарное взыскание можно наложить на работника не позднее одного месяца со дня обнаружения его проступка, не считая времени болезни работника или пребывания его в отпуске. Следует учитывать, что согласно трудовому законодательству, дисциплинарное взыскание можно наложить на работника не позднее одного месяца со дня обнаружения его проступка, не считая времени болезни работника или пребывания его в отпуске. Оно не может быть применено позднее 6 месяцев со дня совершения проступка, а по результатам ревизии или проверки финансово-хозяйственной деятельности - не позднее двух лет со дня его совершения.

По факту разглашения коммерческой или иной тайны издается приказ и вносится соответствующая запись в трудовую книжку работника. По факту разглашения коммерческой или иной тайны издается приказ и вносится соответствующая запись в трудовую книжку работника. Пример 5 ЗАПИСЬ В ТРУДОВУЮ КНИЖКУ РАБОТНИКА.

МАТЕРИАЛЬНАЯ ОТВЕТСТВЕННОСТЬ МАТЕРИАЛЬНАЯ ОТВЕТСТВЕННОСТЬ ЗА РАЗГЛАШЕНИЕ КОММЕРЧЕСКОЙ ТАЙНЫ Статья 243 ТК РФ устанавливает полную материальную ответственность работника за разглашение сведений, составляющих служебную, коммерческую или иную охраняемую законом тайну в случаях, предусмотренных федеральным законом. Материальная ответственность работника может иметь место при наличии следующих обязательных элементов состава правонарушения:

Материальная ответственность работника может иметь место при наличии следующих обязательных элементов состава правонарушения: Материальная ответственность работника может иметь место при наличии следующих обязательных элементов состава правонарушения: - прямого действительного ущерба; - противоправного поведения работника; - причинной связи между действиями (бездействиями) работника и причиненным ущербом; - вины работника в причиненном ущербе.

Говоря о наступлении материальной ответственности работника, стоит обратить внимание на следующее противоречие законодательства. Говоря о наступлении материальной ответственности работника, стоит обратить внимание на следующее противоречие законодательства. ПО ОБЩЕМУ ПРАВИЛУ, МАТЕРИАЛЬНАЯ ОТВЕТСТВЕННОСТЬ РАБОТНИКА ОГРАНИЧЕНА ЕГО СРЕДНЕМЕСЯЧНЫМ ЗАРАБОТКОМ. В ряде случаев, в том числе когда происходит разглашение охраняемой законом тайны, работник может нести полную материальную ответственность. Это значит, что правомерным будет "удержать" не одну, а две, три, четыре и т.д. его заработные платы, но лишь для возмещения прямого действительного ущерба! Неполученные доходы (упущенная выгода) взысканию с работника не подлежат согласно статье 238 ТК РФ.

В январе 1997 г. вступил в силу Уголовный кодекс Российской Федерации (УК РФ), в соответствии с которым в нашей стране криминализированы (т.е. признаны уголовно наказуемыми) определенные деяния в сфере компьютерной информации, несущие повышенную общественную опасность. В январе 1997 г. вступил в силу Уголовный кодекс Российской Федерации (УК РФ), в соответствии с которым в нашей стране криминализированы (т.е. признаны уголовно наказуемыми) определенные деяния в сфере компьютерной информации, несущие повышенную общественную опасность. В частности, нормы о преступлениях в означенной сфере зафиксированы в трех статьях УК РФ: — ст. 272 (Неправомерный доступ к компьютерной информации), — ст. 273 (Создание, использование и распространение вредоносных программ для ЭВМ) — ст. 274 (Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей)

Общим объектом названных преступлений являются общественные отношения в сфере обеспечения информационной безопасности, а к непосредственным объектам преступного посягательства относятся базы и банки данных конкретных компьютерных систем или сетей, их отдельные файлы, а также компьютерные технологии и программные средства их обеспечения, включая средства защиты компьютерной информации. Общим объектом названных преступлений являются общественные отношения в сфере обеспечения информационной безопасности, а к непосредственным объектам преступного посягательства относятся базы и банки данных конкретных компьютерных систем или сетей, их отдельные файлы, а также компьютерные технологии и программные средства их обеспечения, включая средства защиты компьютерной информации.

Согласно ст. 272 УК РФ, уголовная ответственность за неправомерный доступ к компьютерной информации наступает, если это деяние повлекло за собой хотя бы одно из следующих негативных последствий: Согласно ст. 272 УК РФ, уголовная ответственность за неправомерный доступ к компьютерной информации наступает, если это деяние повлекло за собой хотя бы одно из следующих негативных последствий: а) уничтожение, блокирование, модификацию либо копирование информации; б) нарушение работы ЭВМ или их сети.

СТАТЬЯ 272. Неправомерный доступ к компьютерной информации СТАТЬЯ 272. Неправомерный доступ к компьютерной информации 1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, - наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок от ста двадцати до ста восьмидесяти часов, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.

СТАТЬЯ 272. Неправомерный доступ к компьютерной информации СТАТЬЯ 272. Неправомерный доступ к компьютерной информации 2. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, - наказывается — штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, — либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, — либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, — либо лишением свободы на срок до пяти лет.

В отличие от описанной нормы ответственность по ч.1 ст. 273 УК РФ предусматривается вне зависимости от наступления общественно опасных последствий. Она предусмотрена за сам факт совершения одного из следующих действий: В отличие от описанной нормы ответственность по ч.1 ст. 273 УК РФ предусматривается вне зависимости от наступления общественно опасных последствий. Она предусмотрена за сам факт совершения одного из следующих действий: а) создание программы для ЭВМ или внесение изменений в существующие программы, заведомо приводящие к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети; б) использование либо распространение таких программ или машинных носителей с такими программами.

СТАТЬЯ 273. Создание, использование и распространение вредоносных программ для ЭВМ СТАТЬЯ 273. Создание, использование и распространение вредоносных программ для ЭВМ 1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами - наказываются — лишением свободы на срок до трех лет со штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев. 2. Те же деяния, повлекшие по неосторожности тяжкие последствия, - наказываются лишением свободы на срок от трех до семи лет.

Огромный вред наносят нарушения правил эксплуатации ЭВМ, системы ЭВМ или их сети. Это может не только привести к сбоям в работе оборудования, но в некоторых случаях и полностью парализовать работу предприятия, учреждения или организации.

Поэтому законодательно установлено, что в случае причинения существенного вреда в результате указанных действий, а также при наступлении по неосторожности тяжких последствий описанные деяния наказуемы в уголовном порядке, если они повлекли уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ (ст. 274 УК РФ). Поэтому законодательно установлено, что в случае причинения существенного вреда в результате указанных действий, а также при наступлении по неосторожности тяжких последствий описанные деяния наказуемы в уголовном порядке, если они повлекли уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ (ст. 274 УК РФ).

Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей 1. Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям, повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации, причинившее крупный ущерб, - наказывается — штрафом в размере до 500 000 рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, — либо исправительными работами на срок от шести месяцев до одного года, — либо ограничением свободы на срок до двух лет, — либо принудительными работами на срок до двух лет, — либо лишением свободы на тот же срок. 2. Деяние, предусмотренное частью первой настоящей статьи, если оно повлекло тяжкие последствия или создало угрозу их наступления, - наказывается принудительными работами на срок до пяти лет либо лишением свободы на тот же срок.

В случае противоправного использования возможностей компьютерной техники и современных средств связи уже сейчас достаточно трудно юридически верно определить место совершения преступления. В случае противоправного использования возможностей компьютерной техники и современных средств связи уже сейчас достаточно трудно юридически верно определить место совершения преступления. С учетом существующих технических возможностей и тенденций развития преступного мира можно прогнозировать осложнение ситуации. Представляется, что место расположения ЭВМ, с помощью которой злоумышленник совершает посягательство, крайне редко будет совпадать с местом расположения объекта посягательства.

Кроме того, для уголовно-правовой квалификации деяний иногда значимо место, где наступили вредные последствия общественно опасного деяния. Кроме того, для уголовно-правовой квалификации деяний иногда значимо место, где наступили вредные последствия общественно опасного деяния. Если объектом посягательства явилась компьютерная информация, то преступные последствия деяния, в свою очередь, могут наступить в месте, отличном от места хранения этой информации. С учетом возможностей, предоставляемых компьютерными сетями, нельзя исключить, что преступные последствия наступят либо в какой-то конкретной и единственной точке земного шара, либо на территории нескольких государств, либо на территории всех государств, имеющих доступ в сеть.