1.1 Нормативно-правовая база Российской Федерации в области защиты информации от несанкционированного доступа
Обеспечение защиты информации от несанкционированного доступа (НСД) на предприятиях Российской Федерации регулируется комплексом законодательных и нормативных правовых актов, образующих многоуровневую систему правового регулирования [1]. Данная система включает федеральные законы, указы Президента Российской Федерации, постановления Правительства Российской Федерации, а также нормативные документы федеральных органов исполнительной власти, уполномоченных в области обеспечения безопасности информации.
Иерархия нормативных правовых актов в области защиты информации представлена на рисунке 1.1.
Рисунок 1.1 – Иерархия нормативных правовых актов в области защиты информации от несанкционированного доступа
1.1.1. Федеральные законы в области защиты информации
Базовым законодательным актом в сфере информационных отношений является Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» [2]. Данный закон устанавливает основные понятия в сфере информационных технологий, определяет принципы правового регулирования отношений в сфере информации, закрепляет права и обязанности субъектов информационных отношений. В части 4 статьи 16 закона детально закреплены основные требования по обеспечению информационной безопасности, обязательные для исполнения всеми организациями, осуществляющими обработку информации.
Согласно положениям Федерального закона № 149-ФЗ, обладатель информации и оператор информационной системы обязаны обеспечить [2]:
предотвращение несанкционированного доступа к информации и (или) передачи её лицам, не имеющим права на доступ к информации;
своевременное обнаружение фактов несанкционированного доступа к информации;
предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
постоянный контроль за обеспечением уровня защищённости информации.
Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» [3] регулирует отношения, связанные с обработкой персональных данных, и устанавливает требования к их защите. Закон определяет понятие персональных данных как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Для машиностроительного предприятия, осуществляющего обработку персональных данных работников, контрагентов и иных физических лиц, выполнение требований данного закона является обязательным.
В соответствии со статьёй 19 Федерального закона № 152-ФЗ оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных [3].
В 2024 году в законодательство о персональных данных внесены существенные изменения, направленные на ужесточение ответственности за нарушение требований по защите персональных данных и расширение полномочий Роскомнадзора [4]. Введены новые требования к обезличиванию персональных данных, которые вступили в силу с 1 сентября 2025 года.
Федеральный закон от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне» [5] регламентирует отношения, связанные с установлением, изменением и прекращением режима коммерческой тайны. Для машиностроительного предприятия данный закон имеет особое значение, поскольку конструкторско-технологическая документация, производственные регламенты, сведения о ценообразовании и иная коммерчески значимая информация могут составлять коммерческую тайну предприятия.
Согласно статье 10 Федерального закона № 98-ФЗ, меры по охране конфиденциальности информации, составляющей коммерческую тайну, должны включать [5]:
определение перечня информации, составляющей коммерческую тайну;
ограничение доступа к информации, составляющей коммерческую тайну, путём установления порядка обращения с этой информацией и контроля за соблюдением такого порядка;
учёт лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана;
регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров;
нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, грифа «Коммерческая тайна».
Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [6] устанавливает организационные и правовые основы обеспечения безопасности критической информационной инфраструктуры (КИИ). Машиностроительные предприятия, функционирующие в сферах оборонной промышленности, могут являться субъектами КИИ, что обязывает их выполнять требования по категорированию объектов КИИ и обеспечению их безопасности [7].
АО «ПОЗиС», входящее в состав Государственной корпорации «Ростех» и осуществляющее производство продукции двойного назначения, относится к субъектам критической информационной инфраструктуры в сфере оборонно-промышленного комплекса [8]. Это обстоятельство обусловливает необходимость выполнения дополнительных требований по обеспечению безопасности значимых объектов КИИ в соответствии с Федеральным законом № 187-ФЗ [6].
1.1.2. Указы Президента Российской Федерации и стратегические документы
Доктрина информационной безопасности Российской Федерации, утверждённая Указом Президента Российской Федерации от 5 декабря 2016 года № 646 [9], определяет стратегические цели и основные направления обеспечения информационной безопасности государства. Доктрина устанавливает приоритеты государственной политики в информационной сфере и задаёт вектор развития системы обеспечения информационной безопасности на национальном уровне.
Указ Президента Российской Федерации от 1 мая 2022 года № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» [10] установил дополнительные требования к организациям, функционирующим в ключевых отраслях экономики. Указ предусматривает:
создание структурных подразделений, ответственных за обеспечение информационной безопасности;
определение заместителя руководителя организации, ответственного за информационную безопасность;
переход на использование отечественных средств защиты информации;
обеспечение непрерывного мониторинга защищённости информационных ресурсов.
Данные требования распространяются на АО «ПОЗиС» как на организацию, входящую в структуру Государственной корпорации «Ростех» [8].
1.1.3. Нормативные документы ФСТЭК России
Федеральная служба по техническому и экспортному контролю (ФСТЭК России) является федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры [11]. Нормативные документы ФСТЭК России устанавливают конкретные требования к защите информации в информационных системах различных классов.
Приказ ФСТЭК России от 11 февраля 2013 года № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» [12] устанавливает требования к обеспечению защиты информации ограниченного доступа в государственных информационных системах. Приказ определяет классы защищённости информационных систем, состав мер защиты информации и порядок их выбора.
Приказ ФСТЭК России от 18 февраля 2013 года № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» [13] устанавливает требования к защите персональных данных. Приказ определяет состав и содержание организационных и технических мер защиты для информационных систем персональных данных (ИСПДн) различных уровней защищённости.
В соответствии с Приказом ФСТЭК России № 21 выделяются четыре уровня защищённости персональных данных [13]:
1. уровень защищённости – максимальный, применяется для специальных категорий ПДн в крупных ИСПДн;
2. уровень защищённости – высокий, применяется для специальных категорий ПДн или биометрических ПДн;
3. уровень защищённости – средний, применяется для общедоступных ПДн или иных категорий ПДн;
4. уровень защищённости – базовый, применяется для общедоступных ПДн в небольших ИСПДн.
Для каждого уровня защищённости определён базовый набор мер защиты. Выбор мер защиты осуществляется на основе определённого уровня защищённости персональных данных с учётом актуальных угроз безопасности и используемых информационных технологий [13].
Приказ ФСТЭК России от 25 декабря 2017 года № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» [14] устанавливает требования к защите значимых объектов КИИ. Данный приказ применим к АО «ПОЗиС» как субъекту КИИ и определяет требования к созданию систем безопасности значимых объектов.
Методический документ ФСТЭК России «Методика оценки угроз безопасности информации» (утверждён 5 февраля 2021 года) [15] устанавливает порядок и содержание работ по моделированию угроз безопасности информации. Методика определяет последовательность действий при определении актуальных угроз и формировании модели угроз для конкретного объекта защиты.
1.1.4. Национальные стандарты в области информационной безопасности
Система национальных стандартов в области информационной безопасности включает ряд документов, устанавливающих терминологию, общие требования и методологические основы обеспечения защиты информации [16].
ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения» [17] устанавливает основные термины и их определения в области защиты информации. Стандарт обеспечивает единообразие терминологии и способствует взаимопониманию специалистов в данной области.
Серия стандартов ГОСТ Р ИСО/МЭК 27000 [18] представляет собой адаптированные международные стандарты в области информационной безопасности. Данные стандарты определяют требования к системам менеджмента информационной безопасности (СМИБ), методы управления рисками и практические рекомендации по реализации мер защиты.
ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования» [19] устанавливает требования к процессам разработки безопасного программного обеспечения и применяется при использовании специализированного программного обеспечения на предприятии.
Сравнительный анализ основных нормативных правовых актов в области защиты информации от несанкционированного доступа представлен в таблице 1.1.
Таблица 1.1 – Основные нормативные правовые акты в области защиты информации от несанкционированного доступа
№ п/п Наименование документа Сфера применения Основные требования
1 ФЗ от 27.07.2006 № 149-ФЗ «Об информации…» Все информационные системы Общие требования к защите информации, права и обязанности обладателей информации
2 ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных» ИСПДн Требования к защите ПДн, обязанности оператора, уведомление Роскомнадзора
3 ФЗ от 29.07.2004 № 98-ФЗ «О коммерческой тайне» Коммерческие организации Режим коммерческой тайны, меры по охране конфиденциальности
4 ФЗ от 26.07.2017 № 187-ФЗ «О безопасности КИИ» Субъекты КИИ Категорирование объектов КИИ, требования к безопасности
5 Приказ ФСТЭК № 17 от 11.02.2013 ГИС Классы защищённости, состав мер защиты для ГИС
6 Приказ ФСТЭК № 21 от 18.02.2013 ИСПДн Уровни защищённости ПДн, организационные и технические меры
7 Приказ ФСТЭК № 239 от 25.12.2017 Значимые объекты КИИ Требования к системам безопасности объектов КИИ
Таким образом, нормативно-правовая база Российской Федерации в области защиты информации от несанкционированного доступа формирует комплексную систему требований, обязательных к исполнению машиностроительными предприятиями [1]. АО «ПОЗиС» как оператор персональных данных и субъект критической информационной инфраструктуры обязано обеспечивать выполнение требований всех указанных нормативных правовых актов.
Анализ нормативно-правовой базы позволяет систематизировать требования, обязательные к исполнению на АО «ПОЗиС», с учётом специфики предприятия как субъекта критической информационной инфраструктуры и оператора персональных данных.
Федеральный закон № 149-ФЗ устанавливает общие обязанности обладателя информации по обеспечению защиты информации, включая предотвращение несанкционированного доступа, обнаружение инцидентов и восстановление информации. Для АО «ПОЗиС» данные требования распространяются на все информационные системы предприятия, в том числе на системы автоматизированного проектирования, ERP-систему и систему электронного документооборота.
Федеральный закон № 152-ФЗ и принятые в соответствии с ним подзаконные акты обязывают АО «ПОЗиС» как оператора персональных данных обеспечить защиту персональных данных работников, клиентов и контрагентов. Приказ ФСТЭК России № 21 определяет конкретный состав организационных и технических мер защиты персональных данных в зависимости от уровня защищённости информационной системы персональных данных. На предприятии функционируют несколько информационных систем персональных данных: кадровая система, бухгалтерская система, система контроля доступа, что требует реализации мер защиты в соответствии с установленными уровнями защищённости.
Федеральный закон № 187-ФЗ возлагает на АО «ПОЗиС» обязанности по категорированию объектов критической информационной инфраструктуры и обеспечению их безопасности. Приказ ФСТЭК России № 239 устанавливает требования к созданию систем безопасности значимых объектов КИИ, включая категорирование объектов КИИ, разработку мер по обеспечению безопасности и организацию реагирования на компьютерные инциденты. Для АО «ПОЗиС» значимыми объектами КИИ являются системы управления технологическими процессами, автоматизированные системы управления производством и информационные системы, обеспечивающие выполнение государственного оборонного заказа.
Указ Президента Российской Федерации № 250 от 1 мая 2022 года устанавливает дополнительные требования к организациям, осуществляющим деятельность в области критической информационной инфраструктуры. АО «ПОЗиС», входящее в структуру Государственной корпорации «Ростех», обязано создать структурное подразделение по обеспечению информационной безопасности, назначить заместителя руководителя, ответственного за информационную безопасность, обеспечить непрерывный мониторинг защищённости информационных ресурсов и перейти на использование отечественных средств защиты информации.
Постановление Правительства Российской Федерации от 17 февраля 2022 года № 225 утвердило требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования. Данное постановление детализирует требования ФЗ № 187-ФЗ и устанавливает порядок категорирования объектов КИИ, разработки мер обеспечения безопасности и организацию взаимодействия с ГосСОПКА.
Корпоративные нормативные документы Государственной корпорации «Ростех» устанавливают дополнительные требования к обеспечению информационной безопасности организациями, входящими в её структуру. Стандарт организации СТО 001-2021 «Информационная безопасность. Термины и определения» и иные корпоративные стандарты определяют единые подходы к защите информации на предприятиях оборонно-промышленного комплекса. АО «ПОЗиС» обязано обеспечивать соответствие системы информационной безопасности требованиям корпоративных стандартов ГК «Ростех» в части защиты информации ограниченного доступа, управления инцидентами информационной безопасности и контроля соблюдения требований безопасности.
Для АО «ПОЗиС» можно выделить следующий перечень обязательных требований к исполнению: реализация мер защиты информации в информационных системах персональных данных в соответствии с приказом ФСТЭК № 21; категорирование объектов КИИ и реализация мер обеспечения безопасности в соответствии с приказом ФСТЭК № 239; выполнение требований указа № 250 по созданию системы обеспечения информационной безопасности; обеспечение соответствия требованиям корпоративных стандартов ГК «Ростех»; реализация мер по охране конфиденциальности информации, составляющей коммерческую тайну, в соответствии с ФЗ № 98-ФЗ.
Таблица 1.2 – Применимость нормативных требований к АО «ПОЗиС»
Нормативный акт Применимость Основные обязательные требования Нормативный акт
ФЗ № 149-ФЗ Да, ко всем ИС Предотвращение НСД, обнаружение инцидентов, восстановление данных ФЗ № 149-ФЗ
ФЗ № 152-ФЗ Да, к ИСПДн Защита персональных данных, уведомление Роскомнадзора ФЗ № 152-ФЗ
ФЗ № 98-ФЗ Да, к коммерческой информации Режим коммерческой тайны, охрана конфиденциальности ФЗ № 98-ФЗ
ФЗ № 187-ФЗ Да, как субъект КИИ Категорирование объектов КИИ, безопасность объектов КИИ ФЗ № 187-ФЗ
Указ № 250 Да, как организация ОПК Создание подразделения ИБ, мониторинг, отечественное ПО Указ № 250
Приказ ФСТЭК № 17 При наличии ГИС Классы защищённости, меры защиты для ГИС Приказ ФСТЭК № 17
Приказ ФСТЭК № 21 Да, к ИСПДн Уровни защищённости, организационные и технические меры Приказ ФСТЭК № 21
Приказ ФСТЭК № 239 Да, к значимым объектам КИИ Система безопасности объектов КИИ Приказ ФСТЭК № 239
Корпоративные стандарты ГК «Ростех» Да, как организация Ростеха Корпоративные требования к защите информации Корпоративные стандарты ГК «Ростех»
- Курсовая работа
- Дипломная работа
- Контрольная работа
- Реферат
- Отчет по практике
- Магистерская работа
- Статья
- Эссе
- Научно-исследовательская работа
- Доклад
- Глава диплома
- Ответы на билеты
- Презентация
- Чертёж
- Диаграммы, таблицы
- ВАК
- Перевод
- Бизнес план
- Научная статья
- Рецензия
- Лабораторная работа
- Решение задач
- Диссертация
- Доработка заказа клиента
- Аспирантский реферат
- Монография
- ВКР
- Дипломная работа MBA
- Компьютерный набор текста
- Речь к диплому
- Тезисный план
