О концепции защиты информации, страница 2

Характерно, что самая большая путаница в определении целей защиты содержится в законе "Об информации, информатизации и защите информации".

Думается, что защита информации как и любой вид деятельности, должна иметь двухуровневые цели: непосредственные и конечные (опосредованные). При этом первые должны быть "привязаны" к самой информации, а вторые - к субъектам информационных отношений. Определение и нормативное закрепление таких целей позволит, в частности, всесторонне раскрыть значение защиты информации, показать ее место в системе информационной и национальной безопасности. Опубликованные по этим вопросам данные нуждаются в систематизации и обобщении, к тому же нет единого мнения не только о соотношении защиты информации и информационной безопасности, но и о самом понятии "информационная безопасность".

Важным концептуальным положением является ответ на вопрос: какую информацию необходимо защищать, каковы критерии отнесения ее к защищаемой, при каких условиях эти критерии могут реализоваться.

В нормативных документах и литературе содержатся неоднозначные ответы на данный вопрос как в методологических подходах, так и по конкретным критериям. Методологические подходы к определению состава защищаемой информации имеются в законе "Об информации, информатизации и защите информации" и в ГОСТ 50922-96 "Защита информации. Основные термины и определения". Однако они различаются между собой, сформулированы слишком общо, без учета специфики защиты открытой и конфиденциальной информации и поэтому не могут являться достаточными основаниями для отнесения информации к защищаемой.

В научной литературе определены и некоторые общие критерии отнесения информации к защищаемой, хотя нередко к критери- ям причислены условия, при которых возможна реализация критериев, или критериями названо то, что не имеет к ним никакого отношения (обладатель информации принимает меры для ее защиты, информация должна быть понятным образом обозначена и зафиксирована в письменной или иной материальной форме, информация должна являться собственностью предприятия и др.).

Таким образом, необходимы как конкретизация методологических подходов к определению состава защищаемой информации, так и уточнение конкретных критериев отнесения информации к защищаемой.

Далее. Является аксиомой, что защита информации должна быть дифференцированной, с учетом видов тайны, к которым отнесена информация, ее собственников, носителей, в которых она отображена. От этого зависят и организация, и технология, и уровень защиты информации. Однако единых подходов к разделению защищаемой информации по различным показателям пока нет. В первую очередь это относится к классификации информации по видам тайны и обусловлено тем, что сами виды тайны информации не имеют четкой правовой регламентации с указанием необходимых параметров каждого из них. По действующим нормативным актам насчитывается свыше трех десятков тайн, но далеко не все из них являются видами тайны.

Представляется бесспорной необходимость государственной, коммерческой, личной, семейной видов тайны. Требует научной проработки вопрос о служебной и профессиональной видах тайны — либо оба эти вида имеют право на существование и в этом случае должна быть установлена четкая сфера их действия, либо их под тем или другим названием целесообразно объединить в один вид тайны, но и в таком варианте нужно определить параметры данного вида тайны, причем параметры обоснованные, отличающиеся от Гражданского кодекса РФ, где изложены одни и те же критерии отнесения информации и к коммерческой, и к служебной тайне, что по существу не делает различия между этим видами тайны, а это уже нонсенс.

Думается, что основаниями разделения информации по видам тайны должны быть: собственники информации (по отдельным видам тайны они могут частично совпадать); области деятельности, в которых может быть информация, составляющая данный вид тайны; на кого возложена защита данного вида тайны (по некоторым видам тайны здесь также возможно совпадение). Еще один критерий требует дополнительной проработки. Либо это констатация последствий, которые могут наступить в случае утечки информации, составляющей каждый вид тайны, как это сформулировано применительно к гостайне в законе "О государственной тайне", либо указание преимуществ, которые получает собственник при защите данного вида тайны, либо какой третий критерий. Эти критерии должны найти отражение в определении понятия каждого вида тайны.

Остальные упоминаемые в нормативных документах тайны "вписываются" в перечисленные виды тайны и должны рассматриваться как подвиды (разновидности) определенного вида тайны.

С классификацией информации по видам тайны тесно увязан вопрос о классификации информации каждого вида тайны по степеням конфиденциальности. Применительно к государственной тайне такая классификация имеется, однако в утвержденных правительством "Правилах отнесения сведений, составляющих государственную тайну, к различным степеням секретности" (постановление от 04.09.95 N 870) границы степеней секретности обозначены слишком упрощенно, без качественных и количественных характеристик этих степеней и потому не могут быть достаточными основаниями для практической деятельности. По остальным видам тайны нет ни названия степеней конфиденциальности, ни разделения информации по ним.