О текущем состоянии российского законодательства в области информационной безопасности.
Как уже отмечалось, самое
важное (и, вероятно, самое трудное) на законодательном уровне - создать
механизм, позволяющий согласовать процесс разработки законов с реалиями и
прогрессом информационных технологий. Пока такого механизма нет и, увы, не
предвидится. Сейчас бессмысленно задаваться вопросом, чего не хватает
российскому законодательству в области ИБ, это все равно что интересоваться у
пунктирного отрезка, чего тому не хватает, чтобы покрыть всю плоскость. Даже
чисто количественное сопоставление с законодательством США показывает, что наша
законодательная база явно неполна.
Справедливости ради необходимо
отметить, что ограничительная составляющая в российском законодательстве
представлена существенно лучше, чем координирующая и направляющая. Глава 28
Уголовного кодекса достаточно полно охватывает основные аспекты информационной
безопасности, однако обеспечить реализацию соответствующих статей пока еще
сложно.
Положения базового Закона
"Об информации, информационных технологиях и о защите информации"
носят весьма общий характер, а основное содержание статей, посвященных
информационной безопасности, сводится к необходимости использовать
исключительно сертифицированные средства, что, в общем, правильно, но далеко не
достаточно. Характерно, что Закон разъясняет вопросы ответственности в случае
использования несертифицированных средств, но что делать, если нарушение ИБ
произошло в системе, построенной строго по правилам? Кто возместит ущерб
субъектам информационных отношений? Поучителен в этом отношении рассмотренный
выше закон ФРГ о защите данных.
Законодательством определены
органы, ведающие лицензированием и сертификацией. (Отметим в этой связи, что
Россия - одна из немногих стран (в список еще входят Вьетнам, Китай, Пакистан),
сохранивших жесткий государственный контроль за производством и
распространением внутри страны средств обеспечения ИБ, в особенности продуктов
криптографических технологий.) Но кто координирует, финансирует и направляет
проведение исследований в области ИБ, разработку отечественных средств защиты,
адаптацию зарубежных продуктов? Законодательством США определена главная
ответственная организация - НИСТ, которая исправно выполняет свою роль. В
Великобритании имеются содержательные добровольные стандарты ИБ, помогающие
организациям всех размеров и форм собственности. У нас пока ничего такого нет.
В области информационной
безопасности законы реально преломляются и работают через нормативные
документы, подготовленные соответствующими ведомствами. В этой связи очень
важны Руководящие документы Гостехкомиссии России, определяющие требования к
классам защищенности средств вычислительной техники и автоматизированных
систем. Особенно выделим утвержденный в июле 1997 года Руководящий документ по
межсетевым экранам, вводящий в официальную сферу один из самых современных
классов защитных средств.
В современном мире глобальных
сетей нормативно-правовая база должна быть согласована с международной
практикой. Особое внимание следует обратить на то, что желательно привести
российские стандарты и сертификационные нормативы в соответствие с
международным уровнем информационных технологий вообще и информационной
безопасности в частности. Есть целый ряд оснований для того, чтобы это сделать.
Одно из них - необходимость защищенного взаимодействия с зарубежными
организациями и зарубежными филиалами российских компаний. Второе (более
существенное) - доминирование аппаратно-программных продуктов зарубежного
производства.
На законодательном уровне
должен быть решен вопрос об отношении к таким изделиям. Здесь необходимо
выделить два аспекта: независимость в области информационных технологий и
информационную безопасность. Использование зарубежных продуктов в некоторых
критически важных системах (в первую очередь, военных), в принципе, может
представлять угрозу национальной безопасности (в том числе информационной),
поскольку нельзя исключить вероятности встраивания закладных элементов. В то же
время, в подавляющем большинстве случаев потенциальные угрозы информационной
безопасности носят исключительно внутренний характер. В таких условиях
незаконность использования зарубежных разработок (ввиду сложностей с их
сертификацией) при отсутствии отечественных аналогов затрудняет (или вообще
делает невозможной) защиту информации без серьезных на то оснований.
Проблема сертификации
аппаратно-программных продуктов зарубежного производства действительно сложна,
однако, как показывает опыт европейских стран, решить ее можно. Сложившаяся в
Европе система сертификации по требованиям информационной безопасности
позволила оценить операционные системы, системы управления базами данных и
другие разработки американских компаний. Вхождение России в эту систему и
участие российских специалистов в сертификационных испытаниях в состоянии снять
имеющееся противоречие между независимостью в области информационных технологий
и информационной безопасностью без какого-либо ущерба для национальной
безопасности.
Подводя итог, можно наметить
следующие основные направления деятельности на законодательном уровне: