Угрозы, риски, правонарушения в области информационной безопасности

Понятия угроз, рисков, правонарушений

Наиболее общим понятием, объединяющим все виды нарушений безопасности информационных ресурсов, информационных технологий и прав субъекта на информацию, является понятие «несанкционированный доступ» к объекту защиты от факторов нарушения безопасного функционирования. Причинами нарушения безопасности являются: неудовлетворительная работа по организации охраны, защиты и использования соответствующего ресурса самим субъектом, ответственным за обеспечение информационной безопасности.

Нарушениями в области информационной безопасности могут быть угрозы, риски, правонарушения — проступки и преступления, различаемые по степени общественной опасности, последствий и виновности нарушителя.

К угрозам обычно относят умышленные воздействия, включая и несанкционированный доступ со стороны внешних сил, относительно конкретной организации или информационной системы.

Угрозы в интернет-среде могут исходить от ряда субъектов. В отношениях по обеспечению информационной безопасности в этом случае участвуют: операторы интернетсвязи, абоненты, другие пользователи, правоохранительные органы. Например, к угрожающим действиям оператора относятся такие действия, как: незаконный сбор сведений об информационном общении абонента, умышленное изменение времени и скорости обмена информацией, фильтрация содержимого текста в сети и т. д.^[1]

К классификации угроз в области обеспечения безопасности могут быть применены различные подходы. Обратим внимание на два из них: во-первых, угрозы состоянию всего комплекса ИКТ и его составляющих, угрозы внутрисистемные и внешние; во-вторых, угрозы от самой информации и средств ее обработки и передачи для сфер, в которых используют эти ресурсы. Это области национальной безопасности: оборонная, экономическая, производственная, социальная, научная, управленческая и т. п. Особенно чувствительными являются области обращения социально значимой, личной информации, а также области использования информации и информационных технологий двойного назначения и критически важных объектов.

Риск как возможное наступление неблагоприятных последствий возникает, чаще всего, в результате отступлений от установленных правил поведения и организации отношений субъектов, самостоятельно обеспечивающих безопасность своих информационных систем, допускающих нарушение правового режима информационных ресурсов, информационных технологий. Распространение, например, информации порнографического характера, о наркотиках и т. п. влечет неотвратимость уголовной ответственности за нарушение закона для тех, кто распространяет такую информацию и создает угрозы для общества в целом.

К области рисков следует отнести и промахи в законодательной практике. Федеральный закон «О персональных данных», принятый в 2006 г., не имел подготовленной базы для его исполнения. Соответственно, в 2009 г. возник риск того, что он не будет действовать в полной мере, так как информационные системы персональных данных, созданные до вступления его в силу, не могут быть до 1 января 2010 г. приведены в соответствие с этим законом. Поэтому указанный срок был продлен до 1 января 2011 г. Такая ситуация объясняется поспешностью принятия закона, но одновременно с этим и неготовностью системы отношений и инфраструктуры к его реализации^[2].

Упущения в правовом обеспечении мер безопасности, небрежность в оформлении документов и их баз данных, неправильное оформление трудовых отношений с работниками, соприкасающимися с информацией ограниченного доступа, обязательно создают возможность возникновения угроз, идущих изнутри самой организации. Эти же ситуации могут возникнуть и в результате небрежного оформления отношений с контрагентами или иными субъектами информационного взаимодействия.

Правонарушения могут быть реализованы в форме должностного проступка, административного правонарушения, преступления. Напомним, что административным правонарушением признается противоправное, виновное действие (бездействие) физического или юридического лица, за которое устанавливается административная ответственность в соответствии с действующим КоАП РФ. Уголовные преступления в информационной сфере предусмотрены УК РФ.

Для осмысления того, какое значение имеет ситуация нарушения обеспечения информационной безопасности, может быть интересен тот факт, что только 27% организаций используют системы защиты от утечки информации, 47% - не используют, а 24,7% - не знают об этом, что дает основания говорить об их безразличном отношении к данному вопросу. Все же создание центров управления безопасностью (SOS — Security Operation Center) является весьма полезным для предупреждения угроз, рисков и правонарушений в информационной сфере^[3].

• [1] См.: Крылов Г. О. Международный опыт правового регулирования информационной безопасности и его применение в Российской Федерации: автореф, дис. … канд. юрид. наук. М., 2007. С. 16−17.
• [2] См.: Яппаров Т. Отсрочка 152-ФЗ — время, которое можно потратить с пользой // Профиль. 2010. 25 янв.
• [3] См.: Москаленко А. Под защитой // Там же.