ПРАВОВАЯ И ОРГАНИЗАЦИОННАЯ ЗАЩИТА ИНФОРМАЦИИ

LEGAL AND ORGANIZATIONAL PROTECTION OF INFORMATION

Antonova Valeria Evgenievna

student, Faculty of Mechanics and Mathematics, Department of Information Systems Security, Samara State University,

Russia, Samara

АННОТАЦИЯ

Рассмотрены вопросы правовой и организационной защиты информации в Российской Федерации.

Показаны роль и значение документов разного правового уровня, обеспечивающих информационную безопасность граждан и организаций.

Отмечена важность организационных документов, разрабатываемых на предприятии.

ABSTRACT

The article discusses the legal and organizational protection of information in the Russian Federation.

It highlights the role and significance of documents at various legal levels that ensure the information security of citizens and organizations.

The article also emphasizes the importance of organizational documents developed within an enterprise.

Ключевые слова: информационная безопасность, организационная и правовая защита информации.

Keywords: information security, organizational and legal protection of information.

Введение

Обеспечение информационной безопасности достигается целым комплексом мер, из которых наибольшую важность имеют правовая и организационная защита.

Правовая защита представляет собой множество документов, действие которых распространяется на всех граждан, государственные органы и организации.

Организационная защита — комплекс документов, действующих в масштабах отрасли или отдельного предприятия.

Иерархия правовых документов в области защиты информации

Правовые документы Российской Федерации в области защиты информации имеют свою иерархическую структуру.

Конституция, концептуальные и международные документы

Конституция РФ [1] является правовым фундаментом всей системы нормативно-правового регулирования в сфере ИБ. В ней закреплены базовые права и обязанности, на которых строится всё последующее законодательство об информации и её защите.

Концептуальные документы — это стратегические и доктринальные документы, утверждаемые указами Президента и постановлениями Правительства, задающие вектор развития законодательства в области ИБ. Основным таким документом является «Доктрина информационной безопасности РФ» [2].

После вышеперечисленных нормативных актов следуют международные документы, задающие общие принципы международного сотрудничества в ИБ.

Законы и кодексы

Далее идут законы:

1. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» [3];
2. № 5485-1 «О государственной тайне» [4];
3. № 98-ФЗ «О коммерческой тайне» [5];
4. № 152-ФЗ «О персональных данных» [6];
5. № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» [7].

Следующий правовой уровень — кодексы:

1. «Гражданский кодекс Российской Федерации» часть 4 [8];
2. «Уголовный кодекс Российской Федерации» [9];
3. «Кодекс РФ об административных правонарушениях» [10];
4. «Трудовой кодекс Российской Федерации» [11].

Кодексы устанавливают ответственность за нарушение различных профессиональных тайн (врачебная, адвокатская, тайна следствия, тайна переписки и т.д.

Документы регуляторов

Следующим правовой уровень имеют нормативные документы Регуляторов (Правительство, ФСБ, ФСТЭК, и т.д.):

1. Постановление Правительства РФ № 1119 [12];
2. Приказ ФСТЭК № 21 [13];
3. Приказ ФСБ РФ № 378 [14];
4. Приказ ФСТЭК № 117 [15];
5. Приказ ФСБ РФ № 117 [16].

Национальные стандарты

Далее идут документы по стандартизации, носящие добровольный характер, но широко применяемые на практике:

1. ГОСТ Р ИСО/МЭК 27000–2021 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология» [17];
2. ГОСТ Р 59709-2022 «Защита информации. Управление компьютерными инцидентами. Термины и определения» [18];
3. ГОСТ Р ИСО/МЭК 27033-1-2011 «Информационная технология. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 1. Обзор и концепции» [19].

Все перечисленные выше документы действуют на всей территории РФ, образуя иерархическую систему правового регулирования ИБ, в которой обязательность исполнения определяется юридической силой документа и сферой его действия.

Документы уровня предприятия

На основании приведенных выше документов каждое предприятие разрабатывает свои внутренние документы по информационной безопасности, являющиеся базой организационной защиты информации.

1. Обязательные документы:

К обязательным документам относятся следующие:

1) Политика информационной безопасности — основной документ, в котором закрепляются цели, принципы, требования к защите информации, процедуры и ссылки на другие документы. Определяет общие подходы к обеспечению ИБ в организации;

2) Модель угроз безопасности — документ, в котором описаны потенциальные угрозы, нарушители и объекты защиты;

3)Модель нарушителя — определяет квалификацию и ресурсы возможного нарушителя.

2. Приказы:

1) о назначении ответственного за обеспечение информационной безопасности;

2) о введении в действие политики ИБ;

3)о назначении ответственного за обработку персональных данных;

4)о проведении внутреннего аудита ИБ;

5) о внедрении новых ИТ-средств защиты.

3. Положения и регламенты:

1) положение об ИБ;

2) регламент обработки информации;

3) порядок разграничения прав доступа;

4) регламент резервного копирования;

5) положение о защите персональных данных;

6) положение о правилах пользования внутренней информационной сетью и использования интернет-ресурсов.

4. Инструкции:

1) инструкция по работе с информацией ограниченного доступа;

2) инструкция по работе с персональными данными;

3) инструкция по использованию электронной почты, уничтожению носителей и т.д.;

4) инструкция по работе с носителями информации.

5. Журналы учёта:

1) журнал ознакомления с ИБ-документами — для фиксации того, что сотрудники ознакомились с инструкциями;

2) журналы входа в информационные системы, инструктажей, проверок, инцидентов, уничтожения документов.

6. Соглашения о конфиденциальности (NDA) — юридически закрепляют обязанность сотрудников не разглашать служебную информацию.

7. План мероприятий по ИБ на год — перечень конкретных действий по обеспечению безопасности с указанием сроков и ответственных.

8. План реагирования на инциденты (BCP/DRP) — пошаговый алгоритм действий при утечке данных, DDoS-атаке, вирусном заражении и т.д.

9. Технические паспорта информационных систем, схемы сетей, перечень оборудования и помещений с ИТ-инфраструктурой.

10. Дополнительные документы:

В зависимости от специфики деятельности могут потребоваться:

1) документы, связанные с использованием криптографических средств;

2) локальные акты по обработке, использованию и хранению персональных данных; 

3) акты проверки;

4) памятки для сотрудников.

Общие требования к документам предприятия

Все документы должны:

1) быть утверждены руководителем организации;

2) быть доступны сотрудникам;

3) актуализироваться при изменениях в законодательстве, структуре компании, внедрении нового ПО или технологий;

4) соответствовать реальной практике работы организации.

Выводы

1. Создание комплексной системы защиты информации требует системного подхода, который реализуется через правовой и организационный компоненты.
2. Правовой уровень устанавливает обязательные к исполнению правовые нормы, которые имеют строгую иерархию: от Конституции РФ до локальных документов организаций. Правовой уровень является фундаментом всей системы обеспечения информационной безопасности.
3. Разработка нормативных документов уровня предприятия является важной и обязательной частью защиты информации.

Список литературы:

1. Конституция Российской Федерации, статья 79 [Электронный ресурс]. – Режим доступа: http://www.kremlin.ru/acts/constitution/item (дата обращения: 29.04.26).
2. Доктрина информационной безопасности Российской Федерации (утверждена Указом Президента РФ № 646 от 5 декабря 2016 г.) [Электронный ресурс]. Режим доступа: https://ivo.garant.ru/#/basesearch/доктрина%20информационной%20безопасности/all:5 (дата обращения 29.04.2026).
3. Федеральный закон от 27 июля 2006 года № 149-ФЗ "Об информации, информационных технологиях и о защите информации" [Электронный ресурс]. – Режим доступа: http://www.kremlin.ru/acts/bank/24157 (дата обращения: 29.04.26).
4. Закон РФ от 21 июля 1993 г. N 5485-I "О государственной тайне" [Электронный ресурс]. Режим доступа: https://ivo.garant.ru/#/document/10102673/paragraph/51952:1 (дата обращения: 29.04.26).
5. Федеральный закон от 29 июля 2004 года № 98-ФЗ " О коммерческой тайне" [Электронный ресурс]. – Режим доступа: http://www.kremlin.ru/acts/bank/21227 (дата обращения: 29.04.2026).
6. Федеральный закон от 27 июля 2006 года № 152-ФЗ " О персональных данных" [Электронный ресурс]. – Режим доступа: http://www.kremlin.ru/ acts/bank/24154 (дата обращения: 29.04.26).
7. Федеральный закон от 26 июля 2017 г. № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации" [Электронный ресурс]. – Режим доступа: https://ivo.garant.ru/#/basesearch/•№%20187-ФЗ%20«О%20безопасности%20критической%20информационной%20инфраструктуры%20РФ»:0 (дата обращения: 29.04.2026).
8. Гражданский кодекс Российской Федерации. Часть четвертая: от 18 декабря 2006 г. № 230-ФЗ (ред. от 30.04.2021). [Электронный ресурс]. Режим доступа: https://www.consultant.ru/document/cons_doc_LAW_5142/ (дата обращения 29.04.2026).
9. Уголовный кодекс Российской Федерации: от 13 июня 1996 г. № 63-ФЗ (ред. от 28.04.2023). [Электронный ресурс]. Режим доступа: https://www.consultant.ru/document/cons_doc_LAW_10699/ (дата обращения 29.04.2026).
10. Кодекс Российской Федерации об административных правонарушениях: от 30 декабря 2001 г. № 195-ФЗ (ред. от 24.07.2023). [Электронный ресурс]. Режим доступа: https://www.consultant.ru/document/cons_doc_LAW_34661/ (дата обращения 29.04.2026).
11. Трудовой кодекс Российской Федерации. От 13 декабря 2001 г. № 197-ФЗ (ред. от 29.12.2025). [Электронный ресурс]. Режим доступа: https://www.consultant.ru/document/cons_doc_LAW_34683/ (дата обращения 29.04.2026).
12. Нормативно-правовой акт. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 [Электронный ресурс]. – Режим доступа: https://base.garant.ru/ 70252506 (дата обращения: 29.04.2026).
13. Нормативно-правовой акт. Приказ ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» [Электронный ресурс]. Режим доступа: https://fstec.ru/dokumenty/vse-dokumenty/ prikazy/prikaz-fstek-rossii-ot-18-fevralya-2013-g-n-21 (дата обращения:29.04.2026).
14. Нормативно-правовой акт. Приказ ФСБ РФ от 10 июля 2014 г. № 378 [Электронный ресурс]. Режим доступа: https://base.garant.ru/70727118/ (дата обращения: 29.04.2026).
15. Нормативно-правовой акт. Приказ ФСТЭК России от 11 апреля 2025 г. № 117 «Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений» [Электронный ресурс]. Режим доступа: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/trebovaniya-utverzhdeny-prikazom-fstek-rossii-ot-11-aprelya-2025-g-n-117 (дата обращения:29.04.2026).
16. Нормативно-правовой акт. Приказ ФСБ РФ от 18 марта 2025 г. № 117 "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, с использованием шифровальных (криптографических) средств" [Электронный ресурс]. Режим доступа: https://ivo.garant.ru/#/basesearch/Приказ%20ФСБ%20РФ%20№%20117/all:2 (дата обращения: 29.04.2026).
17. ГОСТ Р ИСО/МЭК 27000-2021 Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология" утверждён и введён в действие Приказом Росстандарта от 19.05.2021 № 392 [Электронный ресурс]. Режим доступа:  https://docs.cntd.ru/ (дата обращения 29.04.2026).
18. ГОСТ Р 59709-2022 — «Защита информации. Управление компьютерными инцидентами. Термины и определения» утверждён и введён в действие Приказом Росстандарта от 29.11.2022 № 1375 [Электронный ресурс]. Режим доступа: https://docs.cntd.ru/ (дата обращения 29.04.2026).
19. ГОСТ Р ИСО/МЭК 27033-1-2021 — «Информационная технология. Методы и средства обеспечения безопасности. Безопасность сетей. Часть 1. Обзор и концепции» утверждён и введён в действие Приказом Росстандарта от 01.12.2011 № 638 [Электронный ресурс]. Режим доступа: https://docs.cntd.ru/ (дата обращения 29.04.2026).