Международное право в области обеспечения информационной безопасности. Международные стандарты обеспечения информационной безопасности. Стандарт ISO 27001.
ISO/IEC 27001 — международный стандарт по информационной безопасности, разработанный совместно Международной организацией по стандартизации и Международной электротехнической комиссией. Стандарт содержит требования в области информационной безопасности для создания, развития и поддержания Системы менеджмента информационной безопасности (СМИБ).
Назначение стандарта. В стандарте ISO/IEC 27001 (ISO 27001) собраны описания лучших мировых практик в области управления информационной безопасностью. ISO 27001 устанавливает требования к системе менеджмента информационной безопасности для демонстрации способности организации защищать свои информационные ресурсы. Настоящий стандарт подготовлен в качестве модели для разработки, внедрения, функционирования, мониторинга, анализа, поддержки и улучшения Системы Менеджмента Информационной Безопасности (СМИБ).
Цель СМИБ - выбор соответствующих мер управления безопасностью, предназначенных для защиты информационных активов и гарантирующих доверие заинтересованных сторон.
Основные понятия. Информационная безопасность - сохранение конфиденциальности, целостности и доступности информации; кроме того, могут быть включены и другие свойства, такие как подлинность, невозможность отказа от авторства, достоверность.
Конфиденциальность - обеспечение доступности информации только для тех, кто имеет соответствующие полномочия (авторизированные пользователи).
Целостность - обеспечение точности и полноты информации, а также методов её обработки.
Доступность - обеспечение доступа к информации авторизированным пользователям, когда это необходимо (по требованию).
Стандарт ISO 27001 обеспечивает:
· определение целей и представление о направлении и принципах деятельности относительно информационной безопасности;
· определение подходов к оценке и управлению рисками в организации;
· управление информационной безопасностью в соответствии с применимым законодательством и нормативными требованиями;
· использование единого подхода при создании, внедрении, эксплуатации, мониторинге, анализе, поддержке и совершенствовании системы менеджмента с тем, чтобы цели в области информационной безопасности были достигнуты;
· определение процессов системы менеджмента информационной безопасности;
· определение статуса мероприятий по обеспечению информационной безопасности;
· использование внутренних и внешних аудитов для определения степени соответствия системы менеджмента информационной безопасности требованиям стандарта;
· предоставление адекватной информации партнерам и другим заинтересованным сторонам о политике информационной безопасности.
Принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации по содержанию ФЗ РФ от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Правовое регулирование отношений, возникающих в сфере информации, информационных технологий и защиты информации, основывается на следующих принципах:
1) свобода поиска, получения, передачи, производства и распространения информации любым законным способом;
2) установление ограничений доступа к информации только федеральными законами;
3) открытость информации о деятельности государственных органов и органов местного самоуправления и свободный доступ к такой информации, кроме случаев, установленных федеральными законами;
4) равноправие языков народов Российской Федерации при создании информационных систем и их эксплуатации;
5) обеспечение безопасности Российской Федерации при создании информационных систем, их эксплуатации и защите содержащейся в них информации;
6) достоверность информации и своевременность ее предоставления;
7) неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия;
8) недопустимость установления нормативными правовыми актами каких-либо преимуществ применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами.
Стратегия национальной безопасности Российской Федерации до 2020г.». Структура, задачи, методы и пути реализации государством своих функций по обеспечению информационной безопасности в «Доктрине информационной безопасности Российской Федерации».
Стратегия национальной безопасности Российской Федерации до 2020 года - официально признанная система стратегических приоритетов, целей и мер в области внутренней и внешней политики, определяющих состояние национальной безопасности и уровень устойчивого развития государства на долгосрочную перспективу.
Доктрина информационной безопасности Российской Федерации — совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации.
Составляющие национальных интересов Российской Федерации в информационной сфере в доктрине:
1) Обязательное соблюдение конституционных прав и свобод человека в области получения информации и пользования ею.
2) Информационное обеспечение государственной политики РФ (доведение до граждан РФ и международной общественности о государственной политике РФ, официальной позиции по значимым событиям в России и в мире) с доступом граждан к открытым государственным ресурсам.
3) Развитие современных ИТ отечественной индустрии (средств информатизации, телекоммуникации и связи). Обеспечение ИТ внутреннего рынка России и выход на мировые рынки.
4) Защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем.
Виды угроз информационной безопасности РФ в доктрине:
1. Угрозы, направленные на конституционные права и свободы человека в области информационной деятельности.
2. Угрозы информационному обеспечению государственной политики РФ.
3. Угроза развитию современных ИТ отечественной индустрии, а также выходу на внутренний и мировой рынок.
4. Угрозы безопасности информационных и телекоммуникационных средств и систем.
Методы обеспечения информационной безопасности РФ в доктрине:
Правовые методы
- Разработка нормативных правовых актов, регламентирующих отношения в сфере IT
Организационно-технические методы
- создание системы информационной безопасности РФ и её совершенствование
- привлечение лиц к ответственности, совершивших преступления в этой сфере
- создание систем и средств для предотвращения несанкционированного доступа к обрабатываемой информации
Экономические методы
- разработка программ обеспечения информационной безопасности и их финансирование
- финансирование работ, связанных с обеспечением информационной безопасности РФ