Общая характеристика организационных методов защиты информации в информационных системах

Законы и нормативные акты исполняются только в том случае, если они подкрепляются организаторской деятельностью соответствующих структур, создаваемых в государстве, в ведомствах, учреждениях и организациях. При рассмотрении вопросов безопасности информации такая деятельность относится к организационным методам защиты информации.

Организационные методы защиты информации включают меры, мероприятия и действия, которые должны осуществлять должностные лица в процессе создания и эксплуатации ИС для обеспечения заданного уровня безопасности информации.

Организационные методы защиты информации тесно связаны с правовым регулированием в области безопасности информации. В соответствии с законами и нормативными актами в министерствах, ведомствах, на предприятиях (независимо от форм собственности) для защиты информации создаются специальные службы безопасности (на практике они могут называться и иначе). Эти службы подчиняются, как правило, руководству учреждения. Руководители служб организуют создание и функционирование систем защиты информации. На организационном уровне решаются следующие задачи обеспечения безопасности информации в КС:

• организация работ по разработке системы защиты информации;

• ограничение доступа на объект и к ресурсам КС;

• разграничение доступа к ресурсам КС;

• планирование мероприятий;

• разработка документации;

• воспитание и обучение обслуживающего персонала и пользователей;

• сертификация средств защиты информации;

• лицензирование деятельности по защите информации;

• аттестация объектов защиты;

• совершенствование системы защиты информации;

• оценка эффективности функционирования системы защиты информации;

• контроль выполнения установленных правил работы в КС.

Организационные методы являются стержнем комплексной системы защиты информации в ИС. Только с помощью этих методов возможно объединение на правовой основе технических, программных и криптографических средств защиты информации в единую комплексную систему. Конкретные организационные методы защиты информации будут приводиться при рассмотрении парирования угроз безопасности информации. Наибольшее внимание организационным мероприятиям уделяется при изложении вопросов построения и организации функционирования комплексной системы защиты информации.

Опыт законодательного регулирования проблем защиты информации в других странах

Особенностью западного компьютерного права является то, что, оно формируется, как правило, по прецеденту и представляет собой, в основном, законодательные акты прямого действия, принимаемые на государственном (Великобритания, Франция, Германия) или федеративном и региональном уровнях (США).

Ответственность за правонарушения при работе с информацией, компьютерами и компьютерной информацией устанавливается

В США:

• Законом о безопасности компьютерных систем 1987 года;

• Актом о злоупотреблениях с использованием ЭВМ 1986 года;

• Законопроектом об искоренении компьютерного вируса 1988 года;

• Законом о свободе информации;

• Законом о соблюдении тайн 1974 года;

• Законом о справедливых кредитах;

• Законом о защите вычислительных средств небольших фирм и образовании 1984 года

В Канаде:

Законом о компьютерных и информационных преступлениях («Билл» С-18) 1985 года.

Во Франции:

Законом об информатике, картотеках и свободах 1978 года.

В Великобритании:

Законом о защите информации 1984 года.

В ФРГ:

• Законом о дальнейшем развитии электронной обработки и о защите данных 1990 года;

• Законом о хозяйственной преступности 1986 года;

• Германским Уголовным кодексом 1986 года;

• Германским Гражданским кодексом;

• Законом об авторском праве;

• Федеральным законом о защите данных 1978 года.

Федеральный закон ФРГ об охране данных обязывает учреждения и организации принимать необходимые технические и организационные меры по обеспечению сохранности указанных в законе данных. Действие закона не распространяется на широко известные или передаваемые устно сведения о том или ином лице, а также данные, хранящиеся в специальных актах и делах, доступ к которым строго ограничен.

Не подлежат охране данные, собираемые и обрабатываемые в целях их последующей публикации, показа или огласки средствами кино, радио и прессы. Порядок обращения с информацией в данной области регламентируется специальными законами.

В соответствии с законом об охране данных, объектом охраны являются содержащиеся в картотеках и памяти ЭВМ сведения, затрагивающие личные интересы граждан, и, будучи введенными в ЭВМ, легко могут быть доступны третьим лицам. Национальный совет Австрии принял закон о неразглашении персональных данных. В нем указывается, что каждый гражданин имеет право требовать сохранения в тайне касающихся его личности данных. Если эти данные обрабатываются с помощью автоматизированных средств, он имеет право на исправление неточностей и на изъятие данных, собранных и обработанных недоступными методами. Разглашение тайны относительно хранящихся персональных данных и неправомочное вмешательство в их обработку может повлечь за собой наказание с лишением свободы сроком до одного года.

При всем различии национальных законодательств в них имеется ряд общих моментов.

1. Практически во всех странах законодательно установлена ответственность за нарушение порядка обработки и использования персональных данных.

2. Информационные (компьютерные) преступления расцениваются как представляющие особую опасность для граждан, государства и общества в целом; характеризуются значительно более жесткими мерами наказания, чем аналогичные преступления, совершенные без использования компьютерной техники.

3. Квалифицируются как преступления также действия, создающие только предпосылки к нанесению ущерба, например попытка проникновения в систему, внедрение программы- вируса и т.д.