О нормотворчестве в области технической защиты информации и обеспечении единства измерений.

Нагорный С.И.
Донцов В.В. к.т.н, с.н.с

Для того, чтобы приступить непосредственно к обсуждению нормативной правовой базы «технической защиты информации», определимся в самом понятии «информация». Определить понятие «информация» с точки зрения правовой науки, исходя из такой многоаспектности подходов, достаточно сложно. В латинском языке «informatio» означает «разъяснение», «изложение», «осведомление». Именно поэтому первично понятие «информация» функционировало как элемент языка повседневно-бытовой коммуникации. Впервые объектом глубокого научного исследования оно стало с появлением кибернетики. Основатель этой науки Н. Винер определил, что информация - это не энергия и не материя, а обозначение содержания, полученного от внешнего мира в процессе приспособления к нему /Винер Н. Кибернетика и общество. М., 1968. с.201/. Здесь отражены два важных признака этого понятия, которые признаются большинством исследователей информации как феномена.

Во-первых, устанавливается, что информация нематериальна. Именно этот признак обусловливает специфику правового регулирования информационных отношений.

Во-вторых, в определении Н. Винера указывается, что информация - это определенное содержание, то есть сведения, факты, получаемые из внешнего мира в процессе приспособления, а следовательно, в процессе взаимодействия с внешним миром. Подобное определение можно найти и в словаре С.И. Ожегова, где информация - это «сведения об окружающем мире и протекающих в нем процессах, воспринимаемых человеком или специальным устройством» /Ожегов С.И. Словарь русского языка. М., 1989. с.253/. Там же раскрывается понятие «сведения» - это познания в какой-либо области, известия, сообщения, знания, представление о чем-либо.

Остановимся более подробно на определении «информация» в различных нормативных актах (см. табл.1).

Таблица  1

Таким образом, понятие информации как таковое употребляется только тогда, когда оно связывается с возможностью передачи (получения) сведений (сообщений, данных) независимо от формы их представления. И напротив, запретом на ее передачу (получение) третьим лицам (третьими лицами). Иными словами, понятие информации связано с движением. Отсюда возникает проблема свободы передачи информации о чем-то или запрета на такую передачу (незаконного получения), называемая тайной соответствующей информации.

Уже хрестоматийным стал пример эффектной демонстрации в 1985 году возможностей радиоперехвата изображений с дисплея. Участники Международного конгресса по вопросам безопасности ЭВМ, проходившего в Каннах, были ошеломлены тем, что с помощью простого устройства, размещенного в припаркованной машине, была снята информация с дисплея, находящегося на восьмом этаже здания. Причина утечки информации - ПЭМИН.

Ранее авторами были опубликованы статьи, посвященные проблемам выбора средств измерения в области ПЭМИН (анализаторов спектра и измерительных антенн). Проблемы, вскрытые в указанных статьях, возникли как раз из-за неурегулированности нормативно-правовых актов в области ТЗИ и метрологии. Зачастую акты противоречат друг другу или вообще отсутствуют в области ТЗИ в части проведения корректных измерений с точки зрения метрологии, как науки. Поэтому далее в статье предпринята попытка осмысления проблемы формирования нормативной правовой базы системы защиты от ПЭМИН.

Для исполнительной власти нормотворчество играет первостепенную роль, так как издание нормативных актов - значимая правовая форма исполнительно-распорядительной деятельности. Нормотворческий процесс представляет собой процедуру, состоящую из отдельных стадий: подготовки, утверждения и опубликования конкретных нормативных правовых актов. Иными словами, это - технология нормативно-правового акта, состоящая из последовательных операций, в результате осуществления которых акт оформляется и начинает официально действовать, вливается в общую систему законодательства. /Пиголкин А.С. Процессуальная форма в правотворчестве. Юридическая процессуальная форма: теория и практика. Сборник под ред. П.Е. Недбайло и В.М. Горшенева. - М., 1976. - с.85./ И.Н. Ананов отмечал, если соответствие закону в смысле содержания актов - первое условие, которое предъявляют к актам министерств, то вторым твердо установленным условием является издание министрами актов в пределах компетенции соответствующего министерства. И далее пояснял: говоря о компетенции министерства, нередко подменяют это понятие - о рамках его деятельности, объема полномочий, прав и обязанностей - другим, более широким понятием «задач» министерства. /Ананов И.Н. Министерства в СССР.- М.: Госюриздат, 1960. с.232, 233/.

Существенный недостаток организации нормотворческой деятельности федеральных органов исполнительной власти – в отсутствии четкой законодательной базы. В 1996 г. Государственная Дума предприняла попытку принять федеральный закон «О нормативных правовых актах Российской Федерации». Однако законопроект был принят только в первом чтении. Целесообразность принятия подобного акта вызывает и сегодня споры законодателей, представителей исполнительной власти, правоприменителей и ученых. Ныне эта деятельность регулируется постановлениями Правительства и приказами Министерства юстиции Российской Федерации. Важным шагом в совершенствовании работы по подготовке нормативных правовых актов министерств и иных федеральных органов исполнительной власти стало утверждение постановлением Правительства от 13.08.1997 г. № 1009 «Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации». Одним из существенных недостатков «Правил…» было то, что они не определяли понятие «нормативный правовой акт» и ограничивались лишь перечислением их видов. Этот пробел был восполнен изданными Минюстом России разъяснениями «О применении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации», утвержденными приказом от 14.07.1999 г. № 217. При подготовке нормативных правовых актов рекомендовано использовать постановление Государственной Думы от 11.11.1996 г. № 781-II ГД «Об обращении в Конституционный Суд Российской Федерации». В нем даны определения нормативного правового акта и правовой нормы.

Нормативный правовой акт - это письменный официальный документ, принятый (изданный) в определенной форме правотворческим органом в пределах его компетенции и направленный на установление, изменение или отмену правовых норм. Нормативные акты, имеющие межведомственный характер, независимо от срока их действия, в том числе акты, содержащие сведения, составляющие государственную тайну, или сведения конфиденциального характера, подлежат государственной регистрации в Минюсте России, которое ведет Государственный реестр нормативных правовых актов федеральных органов исполнительной власти. Согласно п.11 «Правил…», государственная регистрация нормативного правового акта включает в себя:

• юридическую экспертизу соответствия этого акта законодательству Российской Федерации;
• принятие решения о необходимости государственной регистрации данного акта;
• присвоение регистрационного номера;
• занесение в Государственный реестр нормативных правовых актов федеральных органов исполнительной власти.

В соответствии с Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем, используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям. В соответствии с Указами Президента РФ от 16.08.2004 г. № 1085 «Вопросы Федеральной службы по техническому и экспортному контролю» и от 11.08.2003 г. № 960 «Вопросы Федеральной службы безопасности Российской Федерации», федеральными органами исполнительной власти, правомочными осуществлять нормотворческую деятельность в области технической защиты информации, являются ФСБ и ФСТЭК России.

Федеральный закон от 27.12.2002 г. № 184-ФЗ «О техническом регулировании» установил, что базовым элементом нормативно-правового регулирования признается технический регламент как документ, который принят международным договором РФ, ратифицированным в порядке, установленном законодательством РФ, или федеральным законом, или указом Президента РФ, или постановлением Правительства РФ, и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования.

Главное - регламент принимается федеральным законом в порядке, установленном для принятия федеральных законов, с учетом положений Закона о техническом регулировании. Разработчиком проекта технического регламента может быть любое лицо. О разработке проекта технического регламента должно быть опубликовано уведомление в печатном издании федерального органа исполнительной власти по техническому регулированию и в информационной системе общего пользования в электронно-цифровой форме.

Распоряжением Правительства РФ от 29.05.2006 г. № 781-р принято предложение Минпромэнерго России, согласованное с заинтересованными федеральными органами исполнительной власти, об изложении Программы разработки технических регламентов, утвержденной распоряжением Правительства Российской Федерации от 6.11.2004 г. № 1421-р /Собрание законодательства Российской Федерации, 2004, N 46, ст. 4551; 2005, N 46, ст. 4804; 2006, N 7, ст. 801/. В соответствии с распоряжением от 29.05.2006 г. № 781-р  должны быть разработаны специальные технические регламенты «О безопасности информационных технологий» и «О требованиях к средствам обеспечения безопасности информационных технологий».

В процессе работы над указанными техническими регламентами планируется:

• определить границы действия технических регламентов;
• определить основные понятия в области информационных технологий (ИТ);
• провести анализ нормативно-правовых актов, международных и национальных стандартов, других нормативно-методических документов, регламентирующих требования безопасности в области ИТ, а также проанализировать опыт их практического использования;
• сформировать перечень международных и национальных стандартов, а также других нормативно-методических документов, используемых при разработке технических регламентов;
• провести анализ информации об инцидентах безопасности, относящихся к предметной области технических регламентов;
• определить перечень объектов технического регулирования, для которых риск реализации угроз может быть недопустимо велик;
• определить виды потенциальных угроз безопасности ИТ и основные способы их реализации;
• определить порядок анализа и оценки рисков для угроз безопасности ИТ;
• определить категории объектов технического регулирования в зависимости от риска реализации угроз;
• определить правила отнесения объектов технического регулирования к установленным категориям;
• определить требования безопасности для каждой категории объектов технического регулирования;
• определить и сформулировать необходимые формы и схемы подтверждения соответствия в зависимости от категорий объектов технического регулирования;
• определить и сформулировать порядок проведения контроля и надзора;
• определить особенности вступления в силу технических регламентов и сформулировать требования к переходному периоду.

Кроме этого, необходимо иметь в виду, что существует система нормативно-правовых и нормативно-технических актов по метрологии, как  совокупность актов, принимаемых на базе и во исполнение основного законодательства и представляющая единую систему правовых основ метрологии в Российской Федерации, построенную на принципах иерархии. /Х. Маликова. Проблемы оптимизации нормативно-технических основ обеспечения единства измерений. Законодательство и прикладная метрология № 5, 2006г/. Схематически существующую систему нормативно-правовых и технических актов можно изобразить в виде пирамиды, верхушку которой занимает статья 71 «р» Конституции РФ; следующую ступень - Закон РФ «Об обеспечении единства измерений»; далее следуют важнейшие подзаконные акты, принимаемые в виде указов Президента РФ и решений Правительства РФ; а основание пирамиды составляет самый значительный по объему массив нормативно-правовых и нормативно-технических актов межотраслевого значения, утверждаемых федеральным органом исполнительной власти, осуществляющим руководство вопросами метрологии в стране. Закон РФ от 27.04.1993 г. № 4871-I «Об обеспечении единства измерений» устанавливает правовые основы обеспечения единства измерений в Российской Федерации, регулирует отношения государственных органов управления Российской Федерации с юридическими и физическими лицами по вопросам изготовления, выпуска, эксплуатации, ремонта, продажи и импорта средств измерений и направлен на защиту прав и законных интересов граждан, установленного правопорядка и экономики Российской Федерации от отрицательных последствий недостоверных результатов измерений.

Рис.1. Схема существующей системы нормативно-правовых и технических актов

Известно, что в общей системе метрологических предписаний удельный вес технических актов и технических (метрологических) норм чрезвычайно велик, что обусловлено спецификой и сложностью принимаемых технических, методических, процедурных и иных решений, необходимых для реализации метрологических задач. Рекомендации федерального органа обозначаются, как известно, буквой «Р», а рекомендации метрологических институтов - «МИ».

Так, например на официальном сайте ФСТЭК в качестве официальных материалов  для проведения мероприятий защиты от ПЭМИН приведены следующие документы:

1. «Временная методика оценки защищённости конфиденциальной информации, обрабатываемой основными техническими средствами и системами, от утечки за счёт наводок на вспомогательные технические средства и системы и их коммуникации», Гостехкомиссия России, Москва, 2002.
2. Нормативно-методический документ. «Специальные требования и рекомендации по технической защите конфиденциальной информации». Утвержден приказом Гостехкомиссии России от 30 августа 2002 г. № 282.
3. ГОСТ 29216-91. Совместимость технических средств электромагнитная. Радиопомехи индустриальные от оборудования информационной техники. Нормы и методы испытаний.
4. ГОСТ 30373-95/ГОСТ Р 50414-92 Совместимость технических средств электромагнитная. Оборудование для испытаний. Камеры экранированные. Классы, основные параметры, технические требования и методы испытаний.
5. ГОСТ Р 50752-95. Информационная технология. Защита информации от утечки за счёт побочных электромагнитных излучений при её обработке средствами вычислительной техники. Методы испытаний.
6. ГОСТ Р 51320-99. Совместимость технических средств электромагнитная. Радиопомехи индустриальные. Методы испытаний технических средств - источников индустриальных радиопомех.
7. ГОСТ Р 51319-99. Совместимость технических средств электромагнитная. Приборы для измерения индустриальных радиопомех. Технические требования и методы испытаний.
8. ГОСТ Р 50628-2000. Совместимость -технических средств электромагнитная. Устойчивость машин электронных вычислительных персональных к электромагнитным помехам. Требования и методы испытаний.
9. МИ 2377-98. Рекомендация. Государственная система обеспечения единства измерений. Разработка и аттестация методик выполнения измерений.
10. МИ 1317-86. Методические указания. Государственная система обеспечения единства измерений. Результаты и характеристики погрешности измерений. Формы представления. Способы использования при испытаниях образцов продукции и контроля их параметров.

Причем вышеуказанные ГОСТы и методические указания основаны на:

1. ГОСТ 14777 - 76 Радиопомехи индустриальные. Термины и определения.
2. ГОСТ 8.009-84 Государственная система обеспечения единства измерений. Нормируемые метрологические характеристики средств измерений.
3. ГОСТ 22261-94 Средства измерений электрических и магнитных величин Общие технические условия.
4. ГОСТ 8.417-2002 Государственная система обеспечения единства измерений. Единицы величин.
5. ГОСТ 8.568-97 Государственная система обеспечения единства измерений. Аттестация испытательного оборудования. Основные положения.
6. ГОСТ 8.009-84 Государственная система обеспечения единства измерений. Нормируемые метрологические характеристики средств измерений.
7. ГОСТ Р 8.596-2002 Государственная система обеспечения единства измерений. Метрологическое обеспечение измерительных систем. Основные положения.
8. ГОСТ 11001-80  Приборы для измерения индустриальных радиопомех. Технические требования и методы испытаний. (Устанавливает технические требования и методы испытаний приборов, предназначенных для измерения индустриальных радиопомех в полосе частот от 9 кГц до 1000 МГц).
9. РД 50-453-84 Руководящий документ отрасли. Методические указания. Характеристики погрешности средств измерений в реальных условиях эксплуатации. Методы расчета. (Устанавливает методы расчета характеристик составляющей погрешности прямых однократных измерений по нормируемым в соответствии с ГОСТ 8.009-84 метрологическим характеристикам СИ, известным характеристикам влияющих величин и входного сигнала).
10. ГОСТ 30428-96  Совместимость технических средств электромагнитная. Радиопомехи индустриальные от аппаратуры проводной связи. Нормы и методы испытаний. (Устанавливает нормы и методы измерения индустриальных радиопомех в полосе частот 0,15-1000 МГц).
11. ГОСТ 30429-96  Совместимость технических средств электромагнитная. Радиопомехи индустриальные от оборудования и аппаратуры, устанавливаемых совместно со служебными радиоприемными устройствами гражданского назначения. Нормы и методы испытаний. (Устанавливает нормы и методы измерения индустриальных радиопомех в полосе частот от 0,009 до 1000 МГц).
12. ГОСТ Р 8.563-96 Методики выполнения измерений. (Устанавливает общие положения и требования к разработке, аттестации, стандартизации и метрологическому надзору за методиками выполнения измерений).
13. РМГ 29-99 Государственная система обеспечения единства измерений. Метрология. Основные термины и определения.
14. МИ 2439-97 «Государственная система обеспечения единства измерений. Метрологические характеристики измерительных систем. Номенклатура. Принципы регламентации, определения и контроля».
15. МИ 2440-97 «Государственная система обеспечения единства измерений. Методы экспериментального определения и контроля характеристик погрешности измерительных каналов измерительных систем и измерительных комплексов».
16. МИ 2441-97 «Государственная система обеспечения единства измерений. Испытания для целей утверждения типа измерительных систем. Общие требования».
17. МИ 2539-99 «Государственная система обеспечения единства измерений. Измерительные каналы контроллеров, измерительно-вычислительных, управляющих, программно-технических комплексов. Методика поверки».
18. МИ 1317-2004 «Государственная система обеспечения единства измерений. Результаты и характеристики погрешности измерений. Формы представления. Способы использования при испытаниях образцов продукции и контроле их параметров».
19. МИ 1967-89 «Государственная система обеспечения единства измерений. Выбор методов и средств измерений при разработке методик выполнения измерений. Общие положения».
20. МИ 1730-87 «Государственная система обеспечения единства измерений. Погрешности косвенных измерений характеристик процессов. Методы расчета».
21. МИ 641-84 «Расчет значений критериев качества поверки средств измерений методами программного моделирования».
22. МИ 187-86 «Государственная система обеспечения единства измерений. Средства измерений. Критерии достоверности и параметры методик поверки».
23. МИ 188-86 «Государственная система обеспечения единства измерений. Средства измерений. Установление значений параметров методик поверки».
24. РД 50-453-84 «Характеристики погрешности средств измерений в реальных условиях эксплуатации. Методы расчета».

Таким образом, становится очевидно, что при выполнении требований нормативно правовой базы по защите от ПЭМИН, необходимо соблюдать и требования законодательства по метрологии.

Принимая во внимание большое количество стандартов, попытаемся обосновать необходимость соблюдения их требований.

Обязательная сила государственных стандартов впервые была определена постановлением СНК СССР от 15.09.1925 г., утвердившим положение о Комитете стандартов при Совете Труда и Обороны, согласно которому Комитет разрабатывает и утверждает обязательные и рекомендательные стандарты. Впервые прозвучало деление стандартов на обязательные и рекомендательные, что впоследствии перерастет в деление на обязательные и рекомендуемые показатели стандартов. Закон РФ от 10.06.1993 г. № 5154-1 (ныне утратил силу) «О стандартизации» в качестве нормативных документов по стандартизации утвердил: государственные стандарты, стандарты отраслей, стандарты предприятий и стандарты научно-технических, инженерных обществ и других общественных объединений (ст.6). В этом же нормативно-правовом акте была сделана первая попытка разделить требования стандартов на обязательные и добровольные (рекомендательные). Согласно ст.7 данного Закона обязательными стали лишь те требования стандартов, которые касаются вопросов технической и информационной совместимости. Но поскольку в действующих стандартах не указывалось, какие из требований являются обязательными, а какие - добровольными, то участники рыночных отношений трактовали их по-разному. Это осложняло и замедляло развитие экономики. Поэтому назрела необходимость на законодательном уровне разделить требования на обязательные к исполнению и применению, и на добровольные. В соответствии с Законом РФ «О стандартизации» к нормативным документам по стандартизации, действующим на территории Российской Федерации, относились:

• государственные стандарты;
• международные стандарты;
• правила, нормы и рекомендации по стандартизации;
• общероссийские классификаторы технико-экономической информации;
• стандарты отраслей;
• стандарты предприятий;
• стандарты научно-технических обществ и других общественных объединений.

Ныне действующий Федеральный закон от 24.12.2004г №184-ФЗ «О техническом регулировании» отменил целый ряд документов, оставив:

• национальные стандарты;
• правила стандартизации, нормы и рекомендации в области стандартизации;
• общероссийские классификаторы технико-экономической и социальной информации;
• стандарты организаций.

Термин «национальный стандарт», в отличие от «государственного стандарта», подчеркивает его негосударственный (добровольный в применении) характер, а с другой стороны - распространяет область действия стандарта на всю территорию Российской Федерации. Если национальный стандарт может применяться в общероссийском масштабе, то стандарты организаций являются нормативными документами локального значения, разрабатываемыми в конкретной организации, и являющиеся объектом авторского права. И национальные стандарты, и стандарты организаций должны способствовать осуществлению целей стандартизации и соответствовать ее основным принципам.

Федеральным законом от 24.12.2004г №184-ФЗ «О техническом регулировании» установлено, что до вступления в силу соответствующих технических регламентов, требования к продукции, установленные нормативно правовыми актами РФ и нормативными документами федеральных органов исполнительной власти, подлежат обязательному исполнению в части предупреждения действий, вводящих в заблуждение приобретателя. При этом постановлением Госстандарта РФ от 30.01.2004г №4 «О национальных стандартах РФ принято, что национальными стандартами являются государственные и межгосударственные стандарты, введенные в действие Госстандартом РФ до 1.07.2003г. Кроме этого, в случае отсутствия требований технических регламентов в отношении оборонной продукции (работ, услуг), поставляемой для федеральных государственных нужд по государственному оборонному заказу; продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа; продукции (работ, услуг), сведения о которой составляют государственную тайну, - обязательными являются требования к продукции, ее характеристикам и требования к процессам производства, эксплуатации, хранения, перевозки, реализации и утилизации, установленные федеральными органами исполнительной власти, являющимися в пределах своей компетенции государственными заказчиками оборонного заказа, и (или) государственным контрактом. (статья 5 Федерального закона «О техническом регулировании»). Порядок разработки, принятия и применения документов о стандартизации в отношении продукции (работ, услуг), указанной выше, устанавливается Правительством Российской Федерации. Постановлением Правительства РФ от 8.12.2005 г. № 750 «О стандартизации оборонной продукции (работ, услуг), продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, и продукции (работ, услуг), сведения о которой составляют государственную тайну» установлено, что деятельность по стандартизации, осуществляемая на основе принципов планирования, единого информационного обеспечения и научно-исследовательского сопровождения работ с учетом достижений и перспектив развития науки и техники, оборонно-промышленного комплекса, направлена на обеспечение:

1. обороноспособности и безопасности Российской Федерации;
2. научно-технического прогресса;
3. качества, конкурентоспособности и безопасности оборонной и федеральной продукции;
4. эффективного использования средств производства оборонной и федеральной продукции, оптимизации расходов финансовых и материальных средств;
5. совместимости и взаимозаменяемости составных частей, комплектующих изделий и материалов оборонной продукции, федеральной продукции, оптимизации ее номенклатуры;
6. сопоставимости результатов исследований (испытаний) и единства измерений.

Документы по стандартизации оборонной и федеральной продукции, принятые до 1.07.2003 г. и включенные в сводный перечень, указатель государственных (национальных) военных стандартов и указатель государственных (национальных) стандартов ограниченного распространения, применяются до их пересмотра или отмены без ограничения срока действия.

Принятие, регистрация, изменение и отмена документов по стандартизации оборонной и федеральной продукции осуществляются в порядке, определяемом Федеральным агентством по техническому регулированию и метрологии. Федеральное агентство по техническому регулированию и метрологии является федеральным органом исполнительной власти, осуществляющим функции по оказанию государственных услуг, управлению государственным имуществом в сфере технического регулирования и метрологии. Федеральное агентство по техническому регулированию и метрологии находится в ведении Министерства промышленности и энергетики Российской Федерации.

Таким образом, несогласованное изобилие нормативно-правовых актов, издаваемых различными Федеральными органами исполнительной власти, как в открытой, так и в закрытой печати, может привести к недостоверным результатам при проведении измерений в части ПЭМИН. Так, в паспортной документации на средства измерения и нормативно-правовых актах приводятся различные единицы измерения одной и той же величины ([мкВ], [мкВ/м], [дБ мкВ/(м)], [дБ мкВ/(м)] и т.д. Отсутствие в паспортной документации условий и характеристик, при которых были получены декларируемые параметры, а так же ссылок на ГОСТы, которым соответствуют подобные средства измерения, делают невозможным корректный пересчет соответствующих величин. В итоге получаем некорректные измерения приборами, предназначенными для других целей, нежели измерения в области ПЭМИН.

Статья опубликована на сайте: 23.05.2008