Безопасность корпоративной учетной записи
Узнать большеДалеко не вся информация имеет свободный характер использования и хранения. Существуют отдельные виды данных, которые подлежат защите со стороны закона и требуют выполнения обязательных мер по защите. Сюда относится информация ограниченного доступа, которая может быть представлена государственной тайной, ПДн граждан и другими видами, подлежащими контролю и управлению.
Классификация информации в соответствии с законодательством РФ
Согласно 149-ФЗ от 27.07.2006 информация разделяется на несколько групп:
-
Свободно распространяемая. Сведения, которые находятся в открытом доступе и могут быть использованы любыми лицами в соответствии с федеральным законодательством. Например, информация, представленная в СМИ, интернете.
-
Предоставляемая по соглашению сторон, которые ее используют в своих отношениях. Например, условия сотрудничества двух компаний описанные в договоре.
-
Предоставляемая и распространяемая на основании федерального законодательства РФ. Любые сведения, которые используются для оказания услуг гражданам, выполнения обязательств со стороны госорганов, коммерческих структур. Например, справка о доходах гражданина с места работы.
- Ограниченная или запрещенная к распространению в РФ. Противоречит законодательству и несет опасность для граждан. Например, призывы к насилию.
Также информация подразделяется согласно уровню доступа на:
-
Общедоступную. Объединяет группы сведений, носящих общеизвестный характер или лишенных ограничений по распространению. Сюда относят информацию, представленную в интернете, сведения о состоянии окружающей среды, данные, накопленные в библиотечных и справочных фондах.
-
Информация ограниченного доступа. Представлена государственной тайной и сведениями конфиденциального характера по типу коммерческой тайны, ПДн и других видов. Находится под защитой законодательства РФ, не может свободно распространятся.
Что такое информация ограниченного доступа?
В эту категорию включены сведения, которые не предназначены для общего и открытого пользования. Такие данные часто связаны с одним из видов тайн, государственной и коммерчески ценной информацией, которые важны с точки зрения поддержания национальной безопасности, экономики, бизнеса. Именно конфиденциальность подобных сведений многократно повышает их ценность и важность. Данные высокой значимости дополнительно маркируются грифом секретности. В общей сложности информация ограниченного доступа включает множество видов данных, подробный перечень которых отражен в 149-ФЗ.
Виды информации ограниченного доступа
-
Государственная тайна. Наиболее ценная категория информации, т.к. обеспечивает поддержание безопасности страны, ее граждан. Согласно закону РФ «О государственной тайне» № 5485-I от 21.07.1993 включает сведения, связанные с военной, экономической, внешнеполитической, разведывательной деятельностью.
-
Конфиденциальная информация. Содержит широкий перечень информации различного содержания и происхождения. Сюда относятся Персональные данные (ПДн) граждан – любые данные, которые позволяют установить личность человека. Коммерческая тайна – информация, отражающая специфику и секреты деятельности, присущие той или иной компании. Служебная, налоговая, адвокатская, врачебные тайны – данные закрытого типа, которые появляются при оказании услуг гражданам или несении службы. Конфиденциальная информация носит достаточно широкое понимание, поэтому отдельные категории таких сведений часто пересекаются друг с другом, могут одновременно представлять несколько категорий тайн.
Носители информации ограниченного доступа
При обработке информации конфиденциального характера используются различные носители бумажного или машинного типов. Чаще всего это:
-
Дисковые накопители.
-
Бумажные документы.
-
Флэш-диски.
-
Магнитные ленты.
Любые носители подлежат учету и контролю доступа. Перед этим требуется провести подготовительные мероприятия. Если используются бумажные носители вроде блокнотов, тетрадей они должны быть помечены как «Спецблокнот» с помощью соответствующего штампа. Также в верхнем правом углу документа на титульной странице проставляется гриф секретности. Если степень критичности информации ниже – допускается использование пометок на документах «Для служебного пользования». Это справедливо для конфиденциальной информации, но не для государственной тайны. При отсутствии первоначальной нумерации страниц документа эта процедура выполняется силами сотрудника, ведущего конфиденциальное делопроизводство.
Носители информации машинного типа подлежат занесению в специальный журнал учета или заносятся в персональные карточки. Если носители относятся к разным видам тайн и различаются ценностью информации ограниченного доступа – необходимо вести отдельные журналы и карточки для каждого вида тайн, например, коммерческой и служебной. Журнал содержит списки носителей с присвоенными им регистрационными номерами, а карточка подкалывается к каждому носителю, хранится вместе с ним.
Распространение информации ограниченного доступа
Любая информация меняет свой статус и значимость со временем, в силу обстоятельств и утраты ценности после целевого использования. Также она подлежит уничтожению после использования, с целью снижения рисков компрометации. Это правомерно и в случае информации ограниченного доступа. Первоначально такие сведения подлежат запрету на создание и хранение копий, использованию совместно с документами и носителями открытого типа, обработку без использования средств защиты информации (СЗИ) или в присутствие лиц без прав доступа к информации.
Распространение информации ограниченного доступа допускается только если она используется для исполнения государством международных обязательств, утраты статуса тайны и снятия грифа секретности. В остальных случаях к нарушителям могут быть применены наказания согласно ГК, УК РФ.
Одним из способов обеспечения безопасности информации ограниченного доступа является грамотное ограничение доступа к ней. Для этих целей применяют IdM/IGA-решения. Например, Solar inRights подходит для управления доступом к информационным ресурсам организации. С его помощью разграничиваются права доступа к системам и приложениям согласно ролевой модели, создаются, согласовываются и исполняются заявки на доступ к информации от персонала работающего с ресурсами компании. Тем самым автоматизируется большинство процессов, снижается риск несанкционированного доступа, становится видна полная картина доступа к информационным активам и осуществляется управление рисками.
