Институт правовой защиты служебной тайны. Правовые основы защиты служебной тайны

Служебная тайна
Вопросы:
1. Понятие «Служебная тайна».
2. Правовой режим защиты служебной информации.
3. Ответственность за нарушения режима работы со сведениями, составляющими служебную тайну.
4. Проект федерального закона «о служебной тайны»

Информация
Гос. тайна,
ФЗ «О гос. тайне»
Информация ограниченного доступа, не содержащая сведения, составляющие
гос. тайну
Профессиональная тайна, различные ФЗ в отдельных направлениях
Коммерческая тайна,
ГК РФ ч. 4,
ФЗ «О коммерческой тайне»
Персональные данные,
ФЗ «О персональных данных»
Открытая информация – государственный информационный ресурс
Служебная тайна,
ПП РФ 1233

Служебная тайна
Указ Президента РФ «Об утверждении перечня сведений конфиденциального характера» от 06.03.1997 № 188:
…
3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами (служебная тайна).
…

1. Информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании и обладатель информации принимает меры к охране ее конфиденциальности. Сведения, которые не могут составлять служебную или коммерческую тайну, определяются законом и иными правовыми актами.
2. Информация, составляющая служебную или коммерческую тайну, защищается способами, предусмотренными настоящим Кодексом и другими законами.
ГК РФ часть 1 Статья 139. Служебная и коммерческая тайна
Служебная тайна

Правовой институт защиты служебной тайны
Группа норм, регулирующих условия и критерии отнесения сведений к данной системе ограничения в доступе к информации
(субинститут тайнообразования)
Группа норм, определяющих меры, механизм защиты сведений от неправомерного распространения (субинститут мер защиты)
Группа норм, определяющих санкции за неправомерное рас­пространение защищаемых сведений (субинститут санкций)

Субинститут тайнообразования
Какую информацию следует относить к служебной тайне?
Группа норм, регулирующих условия и критерии отнесения сведений к данной системе ограничения в доступе к информации
(субинститут тайнообразования)

Субинститут тайнообразования
ПП РФ от 03.11.1994 № 1233
«Положение о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти»
К служебной информации ограниченного распространения относится несекретная информация, касающаяся деятельности организаций, ограничения на распространение которой диктуются служебной необходимостью.

Субинститут тайнообразования
Не могут быть отнесены к служебной информации ограниченного распространения(1/2):
акты законодательства, устанавливающие правовой статус государственных органов, организаций, общественных объединений, а также права, свободы и обязанности граждан, порядок их реализации;
сведения о чрезвычайных ситуациях, опасных природных явлениях и процессах, экологическая, гидрометеорологическая, гидрогеологическая, демографическая, санитарно-эпидемиологическая и другая информация, необходимая для обеспечения безопасного существования населенных пунктов, граждан и населения в целом, а также производственных объектов;
описание структуры органа исполнительной власти, его функций, направлений и форм деятельности, а также его адрес;

Субинститут тайнообразования
Не могут быть отнесены к служебной информации ограниченного распространения(2/2):
порядок рассмотрения и разрешения заявлений, а также обращений граждан и юридических лиц;
решения по заявлениям и обращениям граждан и юридических лиц, рассмотренным в установленном порядке;
сведения об исполнении бюджета и использовании других государственных ресурсов, о состоянии экономики и потребностей населения;
документы, накапливаемые в открытых фондах библиотек и архивов, информационных системах организаций, необходимые для реализации прав, свобод и обязанностей граждан.

Cубинститут мер защиты
Группа норм, определяющих меры, механизм защиты сведений от неправомерного распространения
Набор Федеральных законов
ПП РФ №1233

Cубинститут мер защиты
ФЗ «О кредитных историях» (от 30.12.2004 № 218-ФЗ).
Статья 17. Соблюдение коммерческой, служебной, банковской, налоговой тайны должностными лицами уполномоченного государственного органа
Должностные лица уполномоченного государственного органа не вправе использовать иначе, чем в целях, предусмотренных настоящим Федеральным законом, и разглашать в какой-либо форме информацию, составляющую коммерческую, служебную, банковскую, налоговую тайну бюро кредитных историй, источников формирования кредитных историй, субъектов кредитных историй и пользователей кредитных историй.

Cубинститут мер защиты
ФЗ «О защите конкуренции» (от 26.06.2007 № 135-ФЗ).
Статья 26. Обязанность антимонопольного органа по соблюдению коммерческой, служебной, иной охраняемой законом тайны
Информация, составляющая коммерческую, служебную, иную охраняемую законом тайну и полученная антимонопольным органом при осуществлении своих полномочий, не подлежит разглашению, за исключением случаев, установленных федеральными законами.
За разглашение информации, составляющей коммерческую, служебную, иную охраняемую законом тайну, работники антимонопольного органа несут гражданско-правовую, административную и уголовную ответственность.

Cубинститут мер защиты
ФЗ «О размещении заказов на поставки товаров, выполнения работ, оказания услуг для государственных и муниципальных нужд» (от 21.07.2005 № 94-ФЗ)
Статья 17.2. Обязанность органов, уполномоченных на осуществление контроля в сфере размещения заказов, по соблюдению государственной, коммерческой, служебной, иной охраняемой законом тайны
1. Информация, составляющая государственную, коммерческую, служебную, иную охраняемую законом тайну и полученная органами, уполномоченными на осуществление контроля в сфере размещения заказов, при осуществлении своих полномочий, не подлежит разглашению, за исключением случаев, предусмотренных федеральными законами.
2. За разглашение информации, составляющей государственную, коммерческую, служебную, иную охраняемую законом тайну, работники органов, уполномоченных на осуществление контроля в сфере размещения заказов, несут гражданско-правовую, административную, уголовную ответственность.

Cубинститут мер защиты
ФЗ «О размещении заказов на поставки товаров, выполнения работ, оказания услуг для государственных и муниципальных нужд» (от 21.07.2005 № 94-ФЗ)
Статья 17.2. Обязанность органов, уполномоченных на осуществление контроля в сфере размещения заказов, по соблюдению государственной, коммерческой, служебной, иной охраняемой законом тайны
1. Информация, составляющая государственную, коммерческую, служебную, иную охраняемую законом тайну и полученная органами, уполномоченными на осуществление контроля в сфере размещения заказов, при осуществлении своих полномочий, не подлежит разглашению, за исключением случаев, предусмотренных федеральными законами.
2. За разглашение информации, составляющей государственную, коммерческую, служебную, иную охраняемую законом тайну, работники органов, уполномоченных на осуществление контроля в сфере размещения заказов, несут гражданско-правовую, административную, уголовную ответственность.

Постановление Правительства РФ № 1233
1. Общие положения.
2. Порядок обращения с документами, содержащими служебную информацию ограниченного распространения

Постановление Правительства РФ № 1233
Руководитель федерального органа исполнительной власти в пределах своей компетенции определяет:
категории должностных лиц, уполномоченных относить служебную информацию к разряду ограниченного распространения;
порядок передачи служебной информации ограниченного распространения другим органам и организациям;
порядок снятия пометки «Для служебного пользования» с носителей информации ограниченного распространения;
организацию защиты служебной информации ограниченного распространения.

СПЕЦИАЛЬНЫЕ ТРЕБОВАНИЯ И РЕКОМЕНДАЦИИ
ПО ТЕХНИЧЕСКОЙ ЗАЩИТЕ
КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ
(СТР-К)
Гостехкомиссия России
НМД
Специальные требования и рекомендации
по технической защите
конфиденциальной информации
(СТР-К)
Москва
2002
Гостехкомиссия России
Сборник временных методик
оценки защищенности
конфиденциальной информации
от утечки по техническим каналам
Москва
2002

СТР-К
Устанавливает порядок организации работ, требования и рекомендации по обеспечению технической защиты информации с ограниченным доступом не содержащим сведения составляющие ГТ (конфиденциальная информация)
Является единственным НМД устанавливающий порядок проведения работ по созданию СЗИ
Является обязательным при работе с государственным информационным ресурсом

СТР-К
Защите подлежит
Информация,
речевая
обрабатываемая ТС
информативных электрических сигналов
физических полей
носителей на бумажной, магнитной, оптической и иной основе
информационных массивов и баз данных в АС
представленная в виде

СТР-К
составляют основу для планирования и осуществления мероприятий, направленных на защиту информации на объекте информатизации
Выявляют факторы воздействующих или могущих воздействовать на защищаемую информацию в конкретных условиях
!
с учетом реальных возможностей ее перехвата и раскрытия ее содержания
Перечень необходимых мер защиты информации, определяется
по результатам обследования объекта информатизации
с учетом соотношения затрат на защиту информации с возможным ущербом для нее

Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах
от 11 февраля 2013 г. № 17

ПРИКАЗ №17
Устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней при обработке указанной информации в государственных информационных системах.

МЕРОПРИЯТИЯ
формирование требований к защите информации, содержащейся в информационной системе
разработка системы защиты информации информационной системы
внедрение системы защиты информации информационной системы
аттестация информационной системы по требованиям защиты информации и ввод ее в действие
обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы
обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации

СОСТАВ И СОДЕРЖАНИЕ МЕР ЗИ
идентификация и аутентификация субъектов доступа и объектов доступа;
управление доступом субъектов доступа к объектам доступа;
ограничение программной среды;
защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные ;
регистрация событий безопасности;
антивирусная защита;
обнаружение (предотвращение) вторжений;
контроль (анализ) защищенности персональных данных;

СОСТАВ И СОДЕРЖАНИЕ МЕР ЗИ
обеспечение целостности информационной системы и персональных данных;
обеспечение доступности персональных данных;
защита среды виртуализации;
защита технических средств;
защита информационной системы, ее средств, систем связи и передачи данных;
выявление инцидентов, которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных, и реагирование на них;
управление конфигурацией информационной системы и системы защиты персональных данных

ФОРМИРОВАНИЕ ТРЕБОВАНИЙ
Модель угроз безопасности информации
описание ИС и ее структурно-функциональных характеристик
описание УБИ, включающее описание возможностей нарушителей (модель нарушителя)
возможных уязвимостей ИС
способов реализации угроз безопасности информации
последствий от нарушения свойств безопасности информации
Методика определения актуальных угроз безопасности ПДн при их обработке, в ИСПДн
Базовая модель угроз безопасности ПДн при их обработке, в ИСПДн
НПА, принятые в соответствии с ч. 5 ст. 19 152-ФЗ

Класс защищенности ИС
Уровень значимости
степень возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности, целостности или доступности информации
Масштаб информационной системы
федеральный, региональный, объектовый
ФОРМИРОВАНИЕ ТРЕБОВАНИЙ
Классификация (Приложение 1)
Класс защищенности ИС должен быть не ниже УЗ ИСПДн

МЕРЫ ПО ЗИ В ИС
Угрозы БИ
Информационные технологии
Структурно функциональные характеристики
ОРГАНИЗАЦИОННЫЕ И ТЕХНИЧЕСКИЕ МЕРЫ
13 групп мер, с кратким описанием – всего мер 113
Конкретизация мер осуществляется в соответствии с МД «Меры ЗИ в ГИС»,

Класс защищенности
Структурно-функциональные характеристики ИС, ИТ,
особенности функционирования
Угрозы БИ, включенные в
модель УБИ
Требования НПА (иных)
Базовый набор мер ЗИ
Адаптированный базовый
набор мер ЗИ
Уточненный адаптированный базовый набор мер ЗИ
Дополненный уточненный адаптированный базовый набор мер ЗИ
ВЫБОР МЕР ПО ЗИ В ИС
1.
2.
3.
4.

Ответственность за нарушения режима работы со сведениями, составляющими служебную тайну
Дисциплинарная
Административная
Уголовная

Ответственность за нарушения режима работы со сведениями, составляющими служебную тайну
Административная ответственность:
Статья 13.14. Разглашение информации с ограниченным доступом
Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 настоящего Кодекса, влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц - от четырех тысяч до пяти тысяч рублей.