Соответствие технической защиты информации и обеспечения единства измерений действующим нормативно-правовым актам

Во-вторых, в определении Н. Винера указывается, что информация – это определенное содержание, то есть сведения, факты, получаемые из внешнего мира в процессе приспособления, то есть в процессе взаимодействия с внешним миром. Подобное определение можно найти и в словаре С.И. Ожегова, где информация – это «сведения об окружающем мире и протекающих в нем процессах, воспринимаемых человеком или специальным устройством» [2]. Там же раскрывается понятие сведения – это познания в какой-либо области, известия, сообщения, знания, представление о чем-либо.

Остановимся более подробно на определении информации в различных нормативных актах (Табл.1).

Итак, понятие информации как таковое употребляется только тогда, когда оно связывается с возможностью (или запретом) передачи (получения) сведений (сообщений, данных) третьим лицам независимо от формы их представления. Иными словами, понятие информации связано с движением. Отсюда возникает проблема свободы передачи информации о чем-то или запрета на такую передачу (незаконного получения), называемая тайной соответствующей информации.

Табл. 1. Определение понятия информация в различных нормативных актах

Уже хрестоматийным стал пример эффектной демонстрации в 1985 году возможностей радиоперехвата изображений с дисплея. Участники Международного конгресса по вопросам безопасности ЭВМ, проходившего в Каннах, были ошеломлены тем, что с помощью простого устройства, размещенного в припаркованной машине, была снята информация с дисплея, находящегося на восьмом этаже здания. Причина утечки информации – ПЭМИН (побочные электромагнитные излучения и наводки).

Ранее авторами были опубликованы статьи, посвященные проблемам выбора средств измерения в области ПЭМИН – программно-аппаратных комплексов (анализаторов спектра) и измерительных антенн. Проблемы, вскрытые в этих  публикациях, возникли как раз из-за неурегулированности нормативно-правовых актов в области ТЗИ и метрологии. Зачастую акты противоречат друг другу или вообще отсутствуют в области ТЗИ в части проведения корректных измерений с точки зрения метрологии как науки. Поэтому далее в статье предпринята попытка осмысления проблемы формирования нормативной правовой базы системы защиты от ПЭМИН.

Иерархия нормативно-правовых актов и их взаимосвязь

Для исполнительной власти нормотворчество играет первостепенную роль, так как издание нормативных актов – значимая правовая форма исполнительно-распорядительной деятельности. Нормотворческий процесс представляет собой процедуру, состоящую из отдельных стадий: подготовки, утверждения и опубликования конкретных нормативных правовых актов. Иными словами, это технология нормативно-правового акта, состоящая из последовательных операций, в результате осуществления которых акт оформляется и начинает официально действовать, вливается в общую систему законодательства [3]. И.Н. Ананов отмечал, если соответствие закону в смысле содержания актов – первое условие, которое предъявляют к актам министерств, то вторым твердо установленным условием является издание министрами актов в пределах компетенции соответствующего министерства. И далее пояснял: говоря о компетенции министерства, нередко подменяют это понятие – о рамках его деятельности, объема полномочий, прав и обязанностей – другим, более широким понятием «задач» министерства [4].

Существенный недостаток организации нормотворческой деятельности федеральных органов исполнительной власти заключается в отсутствии четкой законодательной базы. В 1996 г. Государственная Дума предприняла попытку принять федеральный закон «О нормативных правовых актах Российской Федерации». Однако законопроект был принят только в первом чтении. Целесообразность принятия подобного акта вызывает и сегодня споры законодателей, представителей исполнительной власти, правоприменителей и ученых. Ныне эта деятельность регулируется постановлениями Правительства и приказами Министерства юстиции Российской Федерации. Важным шагом в совершенствовании работы по подготовке нормативных правовых актов министерств и иных  фе­де­раль­ных органов исполнительной власти стало утверждение постановлением Правительства от 13.08.1997 г. № 1009 «Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации». Одним из существенных недостатков «Правил…» было то, что они не определяли понятие «нормативный правовой акт» и ограничивались лишь перечислением их видов. Этот пробел был восполнен изданными Минюстом России разъяснениями «О применении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации», утвержденными приказом от 14.07.1999 г. № 217. При подготовке нормативных правовых актов рекомендовано использовать постановление Государственной Думы от 11.11.1996 г. № 781-II ГД «Об обращении в Конституционный Суд Российской Федерации». В нем даны определения нормативного правового акта и правовой нормы.

Нормативный правовой акт – это письменный официальный документ, принятый (изданный) в определенной форме правотворческим органом в пределах его компетенции и направленный на установление, изменение или отмену правовых норм. Нормативные акты, имеющие меж­ведомственный характер, независимо от срока их действия, в том числе акты, содержащие сведения, составляющие государственную тайну, или сведения конфиденциального характера, подлежат государственной регистрации в Министерстве юстиции России, которое ведет Государственный реестр нормативных правовых актов федеральных органов исполнительной власти.

Согласно п.11 «Правил…», государственная регистрация нормативного правового акта включает в себя:

• юридическую экспертизу соответствия этого акта законодательству Российской Федерации;
• принятие решения о необходимости государственной регистрации данного акта;
• присвоение регистрационного номера;
• занесение в Государственный реестр нормативных правовых актов федеральных органов исполнительной власти.

В соответствии с Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям. В соответствии с Указами Президента РФ от 16.08.2004 г. № 1085 «Вопросы Федеральной службы по техническому и экспортному контролю» и от 11.08.2003 г. № 960 «Вопросы Федеральной службы безопасности Российской Федерации», федеральными органами исполнительной власти, правомочными осуществлять нормотворческую деятельность в области технической защиты информации, являются ФСБ и ФСТЭК России.

Федеральный закон от 27.12.2002 г. № 184-ФЗ «О техническом регулировании» установил, что базовым элементом нормативно-правового регулирования признается технический регламент как документ, который принят международным договором РФ, ратифицированным в порядке, установленном законодательством РФ, или федеральным законом, или указом Президента РФ, или постановлением Правительства РФ, и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования.

Главное – регламент принимается федеральным законом в порядке, установленном для принятия федеральных законов, с учетом положений Закона о техническом регулировании. Разработчиком проекта технического регламента может быть любое лицо. О разработке проекта технического регламента должно быть опубликовано уведомление в печатном издании федерального органа исполнительной власти по техническому регулированию и в информационной системе общего пользования в электронно-цифровой форме.

Распоряжением Правительства РФ от 29.05.2006 г. № 781-р принято предложение Минпромэнерго России, согласованное с заинтересованными федеральными органами исполнительной власти, об изложении Программы разработки технических регламентов, утвержденной распоряжением Правительства Российской Федерации от 6.11.2004 г. № 1421-р [5]. В соответствии с распоряжением от 29.05.2006 г. № 781-р должны быть разработаны специальные технические регламенты «О безопасности информационных технологий» и «О требованиях к средствам обеспечения безопасности информационных технологий».

В процессе работы над указанными техническими регламентами планируется:

• определить границы действия технических регламентов;
• определить основные понятия в области информационных технологий (ИТ);
• провести анализ нормативно-правовых актов, международных и национальных стандартов, других нормативно-методических документов, регламентирующих требования безопасности в области ИТ, а также проанализировать опыт их практического использования;
• сформировать перечень международных и национальных стандартов, а также других нормативно-методических документов, используемых при разработке технических регламентов;
• провести анализ информации об инцидентах безопасности, относящихся к предметной области технических регламентов;
• определить перечень объектов технического регулирования, для которых риск реализации угроз может быть недопустимо велик;
• определить виды потенциальных угроз безопасности ИТ и основные способы их реализации;
• определить порядок анализа и оценки рисков для угроз безопасности ИТ;
• определить категории объектов технического регулирования в зависимости от риска реализации угроз;
• определить правила отнесения объектов технического регулирования к установленным категориям;
• определить требования безопасности для каждой категории объектов технического регулирования;
• определить и сформулировать необходимые формы и схемы подтверждения соответ­ствия в зависимости от категорий объектов технического регулирования;
• определить и сформулировать порядок проведения контроля и надзора;
• определить особенности вступления в силу технических регламентов и сформулировать требования к переходному периоду.

Кроме этого, необходимо иметь в виду, что существует система нормативно-правовых и нормативно-технических актов по метрологии, как  совокупность актов, принимаемых на базе и во исполнение основного законодательства и представляющая единую систему правовых основ метрологии в Российской Федерации, построенную на принципах иерархии [6]. Схематически существующую систему нормативно-правовых и технических актов можно изобразить в виде пирамиды, верхушку которой занимает статья 71 «р» Конституции РФ; следующую ступень – Закон РФ «Об обеспечении единства измерений»; далее следуют важнейшие подзаконные акты, принимаемые в виде указов Президента РФ и решений Правительства РФ; основание пирамиды составляет самый значительный по объему массив нормативно-правовых и нормативно-технических актов межотраслевого значения, утверждаемых федеральным органом исполнительной власти, осуществляющим руководство вопросами метрологии в стране (Рис.1.) Закон РФ от 27.04.1993 г.

Рис.1. Схема существующей системы нормативноправовых и технических актов

№ 4871-I «Об обеспечении единства измерений» устанавливает правовые основы обеспечения единства измерений в Российской Федерации, регулирует отношения государственных органов управления Российской Федерации с юридическими и физическими лицами по вопросам изготовления, выпуска, эксплуатации, ремонта, продажи и импорта средств измерений и направлен на защиту прав и законных интересов граждан, установленного правопорядка и экономики Российской Федерации от отрицательных последствий недостоверных результатов измерений.

Известно, что в общей системе метрологических предписаний удельный вес технических актов и технических (метрологических) норм чрезвычайно велик, что обусловлено спецификой и сложностью принимаемых технических, методических, процедурных и иных решений, необходимых для реализации метрологических задач.

Рекомендации федерального органа обозначаются, как известно, буквой «Р», а рекомендации метрологических институтов – «МИ».

Так, например, на официальном сайте ФСТЭК в качестве официальных материалов  для проведения мероприятий защиты от ПЭМИН приведены следующие документы:

1. «Временная методика оценки защищенности конфиденциальной информации, обрабатываемой основными техническими сред­ства­ми и системами, от утечки за счет наводок на вспомогательные технические средства и системы и их коммуникации», Гостехкомиссия России, Москва, 2002.
2. Нормативно-методический документ. «Специальные требования и рекомендации по технической защите конфиденциальной информации». Утвержден приказом Гостехкомиссии России от 30 августа 2002 г. № 282.
3. ГОСТ 29216-91. Совместимость технических средств электромагнитная. Радиопомехи индустриальные от оборудования информационной техники. Нормы и методы испытаний.
4. ГОСТ 30373-95/ГОСТ Р 50414-92 Совместимость технических средств электромагнитная. Оборудование для испытаний. Камеры экранированные. Классы, основные параметры, технические требования и методы испытаний.
5. ГОСТ Р 50752-95. Информационная технология. Защита информации от утечки за счет побочных электромагнитных излучений при ее обработке средствами вычислительной техники. Методы испытаний.
6. ГОСТ Р 51320-99. Совместимость технических средств электромагнитная. Радиопомехи индустриальные. Методы испытаний технических средств – источников индустриальных радиопомех.
7. ГОСТ Р 51319-99. Совместимость технических средств электромагнитная. Приборы для измерения индустриальных радиопомех. Технические требования и методы испытаний.
8. ГОСТ Р 50628-2000. Совместимость технических средств электромагнитная. Устойчивость машин электронных вычислительных персональных к электромагнитным помехам. Требования и методы испытаний.
9. МИ 2377-98. Рекомендация. Государственная система обеспечения единства измерений. Разработка и аттестация методик выполнения измерений.
10. МИ 1317-86. Методические указания. Государственная система обеспечения единства измерений. Результаты и характеристики погрешности измерений. Формы представления. Способы использования при испытаниях образцов продукции и контроля их параметров.

Причем вышеуказанные ГОСТы и методические указания основаны и содержат ссылки на:

1. ГОСТ 14777 – 76 Радиопомехи индустриальные. Термины и определения.
2. ГОСТ 8.009-84 Государственная система обеспечения единства измерений. Нормируемые метрологические характеристики средств измерений.
3. ГОСТ 22261-94 Средства измерений электрических и магнитных величин. Общие технические условия.
4. ГОСТ 8.417-2002 Государственная система обеспечения единства измерений. Единицы величин.
5. ГОСТ 8.568-97 Государственная система обеспечения единства измерений. Аттестация испытательного оборудования. Основные положения.
6. ГОСТ 8.009-84 Государственная система обеспечения единства измерений. Нормируемые метрологические характеристики средств измерений.
7. ГОСТ Р 8.596-2002 Государственная система обеспечения единства измерений. Метрологическое обеспечение измерительных систем. Основные положения.
8. ГОСТ 11001-80  Приборы для измерения индустриальных радиопомех. Технические требования и методы испытаний. (Устанавливает технические требования и методы испытаний приборов, предназначенных для измерения индустриальных радиопомех в полосе частот от 9 кГц до 1000 МГц).
9. РД 50-453-84 Руководящий документ отрасли. Методические указания. Характеристики погрешности средств измерений в реальных условиях эксплуатации. Методы расчета. (Устанавливает методы расчета характеристик составляющей погрешности прямых однократных измерений по нормируемым в соответствии с ГОСТ 8.009-84 метрологическим характеристикам СИ, известным характеристикам влияющих величин и входного сигнала).
10. ГОСТ 30428-96  Совместимость технических средств электромагнитная. Радиопомехи индустриальные от аппаратуры проводной связи. Нормы и методы испытаний. (Устанавливает нормы и методы измерения индустриальных радиопомех в полосе частот 0,15-1000 МГц).
11. ГОСТ 30429-96  Совместимость технических средств электромагнитная. Радиопомехи индустриальные от оборудования и аппаратуры, устанавливаемых совместно со служебными радиоприемными устройствами гражданского назначения. Нормы и методы испытаний. (Устанавливает нормы и методы измерения индустриальных радиопомех в полосе частот от 0,009 до 1000 МГц).
12. ГОСТ Р 8.563-96 Методики выполнения измерений. (Устанавливает общие положения и требования к разработке, аттестации, стандартизации и метрологическому надзору за методиками выполнения измерений).
13. РМГ 29-99 Государственная система обеспечения единства измерений. Метрология. Основные термины и определения.
14. МИ 2439-97 «Государственная система обеспечения единства измерений. Метрологические характеристики измерительных систем. Номенклатура. Принципы регламентации, определения и контроля».
15. МИ 2440-97 «Государственная система обеспечения единства измерений. Методы экспериментального определения и контроля характеристик погрешности измерительных каналов измерительных систем и измерительных комплексов».
16. МИ 2441-97 «Государственная система обеспечения единства измерений. Испытания для целей утверждения типа измерительных систем. Общие требования».
17. МИ 2539-99 «Государственная система обеспечения единства измерений. Измерительные каналы контроллеров, измерительно-вычислительных, управляющих, программно-технических комплексов. Методика поверки».
18. МИ 1317-2004 «Государственная система обеспечения единства измерений. Результаты и характеристики погрешности измерений. Формы представления. Способы использования при испытаниях образцов продукции и контроле их параметров».
19. МИ 1967-89 «Государственная система обеспечения единства измерений. Выбор методов и средств измерений при разработке методик выполнения измерений. Общие положения».
20. МИ 1730-87 «Государственная система обеспечения единства измерений. Погрешности косвенных измерений характеристик процессов. Методы расчета».
21. МИ 641-84 «Расчет значений критериев качества поверки средств измерений методами программного моделирования».
22. МИ 187-86 «Государственная система обеспечения единства измерений. Средства измерений. Критерии достоверности и параметры методик поверки».
23. МИ 188-86 «Государственная система обеспечения единства измерений. Средства измерений. Установление значений параметров методик поверки».
24. РД 50-453-84 «Характеристики погрешности средств измерений в реальных условиях эксплуатации. Методы расчета».

То есть очевидно, что при выполнении требований нормативно-правовой базы по защите от ПЭМИН, необходимо соблюдать и требования законодательства по метрологии.

Принимая во внимание большое количество стандартов, попытаемся обосновать необходимость соблюдения их требований.

Обязательная сила государственных стандартов впервые была определена постановлением СНК СССР от 15.09.1925 г., утвердившим положение о Комитете стандартов при Совете Труда и Обороны, согласно которому Комитет разрабатывает и утверждает обязательные и рекомендательные стандарты. Впервые было проведено деление стандартов на обязательные и рекомендательные, что впоследствии переросло в деление на обязательные и рекомендуемые показатели стандартов. Закон РФ от 10.06.1993 г. № 5154-1 (ныне утратил силу) «О стандартизации» в качестве нормативных документов по стандартизации утвердил: государственные стандарты, стандарты отраслей, стандарты предприятий и стандарты научно-технических, инженерных обществ и других общественных объединений (ст.6). В этом же нормативно-правовом акте была сделана первая попытка разделить требования стандартов на обязательные и добровольные (рекомендательные). Согласно ст.7 данного закона обязательными стали лишь те требования стандартов, которые касаются вопросов технической и информационной совместимости. Но поскольку в действующих стандартах не указывалось, какие из требований являются обязательными, а какие – добровольными, то участники рыночных отношений трактовали их по-разному. Это осложняло и замедляло развитие экономики, поэтому назрела необходимость на законодательном уровне разделить требования на обязательные к исполнению и применению и добровольные. В соответствии с Законом РФ «О стандартизации» к нормативным документам по стандартизации, действующим на территории Российской Федерации, относились:

• государственные стандарты;
• международные стандарты;
• правила, нормы и рекомендации по стандартизации;
• общероссийские классификаторы технико-экономической информации;
• стандарты отраслей;
• стандарты предприятий;
• стандарты научно-технических обществ и других общественных объединений.

Ныне действующий Федеральный закон от 24.12.2004г №184-ФЗ «О техническом регулировании» отменил целый ряд документов, оставив:

• национальные стандарты;
• правила стандартизации, нормы и рекомендации в области стандартизации;
• общероссийские классификаторы технико-экономической и социальной информации;
• стандарты организаций.

Термин национальный стандарт, в отличие от государственного стандарта, подчеркивает его негосударственный (добровольный в применении) характер, а с другой стороны – распространяет область действия стандарта на всю территорию Российской Федерации. Если национальный стандарт может применяться в общероссийском масштабе, то стандарты организаций являются нормативными документами локального значения, разрабатываемыми в конкретной организации и являющиеся объектом авторского права. И национальные стандарты, и стандарты организаций должны способствовать осуществлению целей стандартизации и соответствовать ее основным принципам.

Федеральным законом от 24.12.2004 г. №184-ФЗ «О техническом регулировании» установлено, что до вступления в силу соответствующих технических регламентов требования к продукции, установленные нормативно-правовыми актами РФ и нормативными документами федеральных органов исполнительной власти, подлежат обязательному исполнению в части предупреждения действий, вводящих в заблуждение приобретателя. При этом постановлением Госстандарта РФ от 30.01.2004г №4 «О национальных стандартах РФ» принято, что национальными стандартами являются государственные и межгосударственные стандарты, введенные в действие Госстандартом РФ до 1.07.2003г. Кроме этого, в случае отсутствия требований технических регламентов в отношении оборонной продукции (работ, услуг), поставляемой для федеральных государственных нужд по государственному оборонному заказу, продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, продукции (работ, услуг), сведения о которой составляют государственную тайну, – обязательными являются требования к продукции, ее характеристикам и требования к процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации, установленные федеральными органами исполнительной власти, являющимися в пределах своей компетенции государственными заказчиками оборонного заказа, и (или) государственным контрактом (статья 5 Федерального закона «О техническом регулировании»). Порядок разработки, принятия и применения документов о стандартизации в отношении продукции (работ, услуг), указанной выше, устанавливается Правительством Российской Федерации. Постановлением Правительства РФ от 8.12.2005 г. № 750 «О стандартизации оборонной продукции (работ, услуг), продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, и продукции (работ, услуг), сведения о которой составляют государственную тайну» установлено, что деятельность по стандартизации, осуществляемая на основе принципов планирования, единого информационного обеспечения и научно-исследовательского сопровождения работ с учетом достижений и перспектив развития науки и техники, оборонно-промышленного комплекса, направлена на обеспечение:

1. обороноспособности и безопасности Российской Федерации;
2. научно-технического прогресса;
3. качества, конкурентоспособности и безопасности оборонной и федеральной продукции;
4. эффективного использования средств производства оборонной и федеральной продукции, оптимизации расходов финансовых и материальных средств;
5. совместимости и взаимозаменяемости составных частей, комплектующих изделий и материалов оборонной продукции, федеральной продукции, оптимизации ее номенклатуры;
6. сопоставимости результатов исследований (испытаний) и единства измерений.

Документы по стандартизации оборонной и федеральной продукции, принятые до 1.07.2003 г. и включенные в сводный перечень, указатель государственных (национальных) военных стандартов и указатель государственных (национальных) стандартов ограниченного распространения, применяются до их пересмотра или отмены без ограничения срока действия.

Принятие, регистрация, изменение и отмена документов по стандартизации оборонной и федеральной продукции осуществляются в порядке, определяемом Федеральным агентством по техническому регулированию и метрологии. Это агентство является федеральным органом исполнительной власти, осуществляющим функции по оказанию государственных услуг, управлению государственным имуществом в сфере технического регулирования и метрологии. Оно находится в ведении Министерства промышленности и энергетики Российской Федерации.

Таким образом, несогласованное изобилие нормативно-правовых актов, издаваемых различными Федеральными органами исполнительной власти как в открытой, так и в закрытой печати, может привести к недостоверным результатам при проведении измерений в части ПЭМИН. Так, в паспортной документации на средства измерения и нормативно-правовых актах приводятся различные единицы измерения одной и той же величины ([мкВ], [мкВ/м], [дБ мкВ/(м*)], [дБ мкВ/(м*)] и т.д. Отсутствие в паспортной документации условий и характеристик, при которых были получены декларируемые параметры, а также ссылок на ГОСТы, которым соответствуют подобные средства измерения, делают невозможным корректный пересчет соответствующих величин. В итоге получаем некорректные измерения приборами, предназначенными для других целей, нежели измерения в области ПЭМИН.

Литература

1. Винер Н. Кибернетика и общество. М., 1968. с.201.
2. Ожегов С.И. Словарь русского языка. М., 1989. с.253.
3. Пиголкин А.С. Процессуальная форма в правотворчестве. Юридическая процессуальная форма: теория и практика. Сборник под ред. П.Е. Недбайло и В.М. Горшенева. – М., 1976. – с.85.
4. Ананов И.Н. Министерства в СССР.- М.: Госюриздат, 1960. с.232, 233.
5. Собрание законодательства Российской Федерации, 2004, N 46, ст. 4551; 2005, N 46, ст. 4804; 2006, N 7, ст. 801.
6. Х. Маликова. Проблемы оптимизации нормативно-технических основ обеспечения единства измерений. Законодательство и прикладная метрология № 5, 2006г.