Какие законы регулируют защиту информации в России

Чтобы определить, какие законы регулируют защиту информации в России применительно к вашей работе, начните с характера информации и системы, в которой она обрабатывается. Общая основа — 149-ФЗ «Об информации, информационных технологиях и о защите информации». Его ст. 16 связывает защиту с правовыми, организационными и техническими мерами. Значит, задача касается и правил обращения с информацией, и организации работы, и технических решений.

Что именно нужно защищать? Речь идёт о предотвращении неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения информации. Для информации ограниченного доступа требуется соблюдать конфиденциальность. Ещё одна цель защиты — обеспечить право на доступ к информации. Защита не сводится к запрету доступа для всех: закон охраняет и возможность получить информацию правомерно — ч. 1 ст. 16 149-ФЗ (информация).

Если вы обладатель информации или оператор информационной системы, учитывайте обязанности, предусмотренные для установленных законодательством случаев. Нужно предотвращать доступ посторонних и передачу им информации, своевременно замечать нарушения доступа и предупреждать их неблагоприятные последствия. Защита должна также препятствовать воздействию на технические средства, которое нарушает их работу. Это обязанности по организации защиты системы в процессе её использования — ч. 4 ст. 16 149-ФЗ (информация).

Что предусмотреть на случай уничтожения или изменения информации при неправомерном доступе? Должна быть возможность незамедлительно её восстановить. Одновременно требуется постоянный контроль уровня защищённости. Для баз данных, используемых при сборе, записи, хранении и других перечисленных в законе операциях с персональными данными граждан Российской Федерации, предусмотрено нахождение на территории России — ч. 4 ст. 16 149-ФЗ (информация).

Для общедоступной информации цели установления требований ограничены. Такие требования могут служить защите от неправомерных действий и реализации права на доступ. Поэтому открытость информации не исключает её защиты, например от неправомерного изменения или уничтожения. При этом режим общедоступной информации нужно отличать от соблюдения конфиденциальности сведений ограниченного доступа — ч. 3 ст. 16 149-ФЗ (информация).

Если система относится к государственным информационным системам либо другим системам государственных органов, государственных унитарных предприятий или государственных учреждений, действуют специальные требования к методам и способам защиты. Их устанавливают уполномоченные федеральные органы в пределах своих полномочий. Для операторов этих систем также предусмотрено взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, включая информирование о соответствующих компьютерных инцидентах — ч. 5 и 7 ст. 16 149-ФЗ (информация).

Когда вопрос касается критической информационной инфраструктуры, применяется также 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Сокращённо её называют КИИ. Этот закон регулирует отношения по обеспечению её безопасности ради устойчивого функционирования при компьютерных атаках. Различие с общей защитой информации состоит в предмете регулирования: здесь в центре внимания безопасность КИИ в условиях таких атак — ст. 1 187-ФЗ (КИИ).