Организационные меры защиты персональных данных в основном направлены на предотвращение утечки защищаемой информации в печати и возникновении других условий, создающих объективные предпосылки появления каналов утечки информации. Основное их назначение — предотвратить несанкционированный доступ к защищаемой информации, ее разглашение или раскрытие. В каждом конкретном случае организационные мероприятия имеют специфическую для данной организации форму и содержание, обусловленные особенностями защищаемых сведений, существующих угроз информации, имеющихся средств защиты и др.
Технические меры защиты персональных данных — это использование различных технических, программных и аппаратных средств для защиты информации от несанкционированного доступа, копирования, модификации или уничтожения. Технические меры защиты включают в себя различные методы, применение которых может осуществляться как индивидуально, так и в совокупности.
Программно-технические методы основываются на мерах по предотвращению несанкционированного доступа к обрабатываемым персональным данным и специальных воздействий, вызывающих их разрушение, уничтожение, искажение или сбои в работе информационных систем, выявление "вредных" технических устройств и программ, исключение перехвата конфиденциальной информации техническими средствами, применение средств защиты информации, в том числе криптографических, при передаче по каналам связи.
Инженерно-технические методы представляют собой совокупность специальных органов, технических средств и мероприятий, используемых в интересах защиты информации.
По функциональному назначению средства технической защиты подразделяются на физические, аппаратные, программные и криптографические средства.
Физические средства — различные инженерные сооружения, препятствующие проникновению злоумышленников на объекты защиты. Эти средства применяются для решения следующих задач:
охрана территории учреждения и наблюдение за ней;
охрана зданий, внутренних помещений и контроль за ними;
осуществление контролируемого доступа в здания и помещения, в которых осуществляется обработка персональных данных.
Все физические средства защиты можно разделить на три категории: средства предупреждения, обнаружения и ликвидации угроз.
Аппаратные средства — приборы, устройства, приспособления и различные технические решения, используемые для обеспечения надежной защиты персональных данных от утечки, копирования и уничтожения. По функциональному назначению аппаратные средства подразделяются на средства обнаружения, средства поиска и детальных измерений, средства активного и пассивного противодействия угрозам защищаемой информации. Аппаратные средства не обладают достаточной гибкостью, поэтому часто теряют свои защитные свойства при раскрытии принципов их действия и в дальнейшем не могут быть использованы.
Программные средства — специальные программы, программные комплексы и системы защиты персональных данных в информационных системах различного назначения, в автоматизированных средствах сбора, накопления, хранения, обработки и передачи данных, предназначенные для решения следующих задач:
идентификации технических средств, файлов и аутентификации пользователей;
регистрации и контроля работы технических средств и пользователей;
обслуживания режимов обработки защищаемой информации;
защиты операционных средств ЭВМ и прикладных программ пользователей;
уничтожения информации в запоминающем устройстве после ее использования;
выявления нарушений использования ресурсов ЭВМ или компьютерной сети.
Программные средства используются в основном для защиты персональных данных в средствах вычислительной техники с целью разграничения доступа пользователей информационных сетей к соответствующим категориям защищаемой информации, защиты от хакерских атак и вредоносных программ (вирусов) и т.д. Они весьма надежны, и период их гарантированного использования без перепрограммирования достаточно продолжителен.
Криптографические средства — специальные математические и алгоритмические средства защиты персональных данных, передаваемых по системам и сетям связи, хранимых и обрабатываемых в ЭВМ, с использованием различных методов шифрования.
Для защиты конфиденциальной информации разработано множество устройств шифрования и криптозащиты телефонных и радиопереговоров, передачи текстовых файлов. Широкое распространение получили скремблеры и маскираторы, заменяющие речевой сигнал цифровой передачей данных. Производятся средства защиты телетайпов, телексов и факсов. Они занимают важное место в системе инженерно-технических средств защиты информации и выступают надежным средством обеспечения защиты информации на длительный период.
К инженерно-техническим средствам защиты информации предъявляются следующие требования:
состояние постоянной готовности к применению;
высокая степень вероятности обнаружения попыток несанкционированного проникновения на режимный объект, к носителям защищаемой информации; высокая аппаратная надежность;
малое энергопотребление и возможность автономного электроснабжения аппаратуры; малые габаритные размеры, обеспечивающие малозаметность технических средств защиты информации;
минимальные затраты на техническое обслуживание[22].
2. Согласно требованиям ст.17 ФЗ "О лицензировании отдельных видов деятельности" деятельность по технической защите конфиденциальной информации подлежит обязательному лицензированию в порядке и на условиях, определяемых Положением о лицензировании деятельности по технической защите конфиденциальной информации, утвержденным Постановлением Правительства РФ от 30 апреля 2002г. N 290. Реализация оператором обязанности по обеспечению безопасности персональных данных при их обработке с применением технических мер и использованием шифровальных (криптографических) средств, кроме того, требует, в свою очередь, оформления последним лицензий:
на техническое обслуживание шифровальных (криптографических) средств, при условии что такого рода деятельность осуществляется оператором самостоятельно;
на выявление электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд оператора).
3. Обеспечение безопасности персональных данных при их обработке требует неуклонного соблюдения эталонных требований к работе информационных систем, автоматизированных средств обработки, материальным носителям биометрических персональных данных и технологиям их хранения. Разработку указанных требований законодатель возлагает на Правительство РФ, соответствующее постановление которого предположительно должно быть принято до вступления в силу настоящего Закона.
4. Указом Президента РФ от 16 августа 2004г. N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю"[23] реализация государственной политики, организация межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:
1) обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры;
2) противодействия иностранным техническим разведкам на территории РФ;
3) обеспечения защиты (некриптографическими методами) информации с ограниченным доступом, предотвращения ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории РФ;
4) защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;
5) осуществления экспортного контроля возлагается на Федеральную службу по техническому и экспортному контролю (ФСТЭК России).
ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, а также специально уполномоченным органом в области экспортного контроля. ФСТЭК России в своей деятельности руководствуется Конституцией РФ, федеральными конституционными законами, федеральными законами, актами Президента РФ и Правительства РФ, международными договорами РФ, приказами и директивами министра обороны РФ в части, касающейся ФСТЭК России, а также другими нормативными правовыми актами РФ, касающимися деятельности ФСТЭК России. Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения аппаратами федеральных органов государственной власти и органов государственной власти субъектов РФ, федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления и организациями. ФСТЭК России осуществляет свою деятельность непосредственно и (или) через свои территориальные органы.