«Деятельность по технической защите» как процесс есть, а защищаемого объекта «конфиденциальной информации» нет. - Форум по вопросам информационной безопасности

Скачал материал «искушением законом» размещенный в части 2 главы 1 по адресу http://istok-tver.ru/index.php?option=com_content&view=article&id=34
раздел «Техническая защита информации Нормативный аспект».
Авторы материала предложили следующую интересную логическую цепочку.
Известный российский правовед проф. Н.Г. Александров под объектом правоотношения понимал «тот имущественный объект, по поводу которого существует данное отношение между субъектами». Федеральный закон от 04.05.2011 N 99-ФЗ «О лицензировании отдельных видов деятельности» статья 12.отнес к «Перечню видов деятельности, на которые требуются лицензии» «деятельность по технической защите конфиденциальной информации». Федеральный закон от 11.07.2011 N 200-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона «Об информации, информационных технологиях и о защите информации» произвел замену следующих понятий:
«конфиденциальной информации» на «информацию, в отношении которой установлено требование об обеспечении ее конфиденциальности»;
«получаемой конфиденциальной информации» на «информацию, которую они получают и в отношении которой установлено требование об обеспечении ее конфиденциальности»;
«конфиденциальность информации, составляющей государственную, коммерческую и другую охраняемую законом тайну» на «защиту информации, составляющей государственную, коммерческую, иную охраняемую законом тайну, а также другой информации ограниченного доступа» при этом необходимо иметь ввиду что «конфиденциальность информации» это всего лишь «обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя».
Если следовать определению проф. Н.Г. Александрова «деятельность по технической защите» как процесс есть, а объекта «конфиденциальной информации» нет. Трактовка «конфиденциальной информации» в варианте СТР-К в расчет приниматься не может, так как это не нормативный акт в законом установленном виде (не прошел регистрацию см: Постановление Правительства РФ от 13.08.1997 N 1009 «Об утверждении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации»). Кроме этого «Требования о защите информации» установленные регуляторами распространяются в обязательном порядке исключительно на:
«государственные информационные системы» п.5 ст.16 Федерального закона от 27.07.2006 N 149-ФЗ"Об информации, информационных технологиях и о защите информации";
«объекты информатизации обрабатывающие государственную тайну» ст.27 Закона РФ от 21.07.1993 N 5485-1"О государственной тайне";
«информационные системы персональных данных» ст.19 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных";
То есть выходит вся остальная информация защищаться может по собственному усмотрению и без привлечения лицензиата!?

Ну, как бы эта тема здесь обсуждалась, дай бог памяти, лет шесть назад - примерно с тем же выводом.

"СТР-К в расчет приниматься не может, так как это не нормативный акт в законом установленном виде (не прошел регистрацию см: Постановление Правительства РФ от 13.08.1997 N 1009 «Об утверждении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации»)" - прояснит кто нибудь ситуацию эту? регулятор обязывает защищать в соответствии с стр-к, а этот документ какой бы он плохой или хороший не был, не прошел должным образом согласование через минюст, следовательно достаточно написать регулятору запрос о наличии этой самой процедуры и вежливо улыбнуться, пусть сначала причешут свою писанину а потом требуют что то с других, или не так?

Как можно спорить со ФСТЭК по поводу СТР-К. Это спор без фактов. Спор на темпераменте. Спор, переходящий от голословного утверждения на личность партнера. Что может говорить хромой об искусстве Герберта фон Караяна? Если ему сразу заявить, что он хромой, он признает себя побежденным. О чем может спорить человек, который не поменял паспорт? Какие взгляды на архитектуру может высказать мужчина без прописки? Пойманный с поличным, он сознается и признает себя побежденным.
А с другой стороны. Попросите зафиксировать выявленный «недостаток» базируясь исключительно на СТР-К. А далее обратитесь в суд или прокуратуру с запросом о правомерности применения СТР-К. Если Вас наказывают, терять все равно не чего! А проще на заключительной стадии (подписание акта) пусть проверяющие общаются исключительно с юристом. Поверьте ситуация сразу перейдет в плоскость взаимного понимания.
Проблема Российской действительности в дилетантизме. Кого у нас готовят больше всего – менеджеров. Людей готовых управлять всем не зная процесса. Яркий пример обсуждаемый Федеральный закон от 11 июля 2011 г. N 200-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона "Об информации, информационных технологиях и о защите информации" Смотрите Закон "Об информации, информационных технологиях и о защите информации"принят в 2006 году а приводим в соответствие с ним акты только в 2011 году.!!! И это в рамках борьбы с правовым нигилизмом. А что творится с законом «О персональных данных». Парадокс он тоже принят в в один день с Законом "Об информации, информационных технологиях и о защите информации" и одновременно с вышеупомянутом законом претерпел грандиозные изменения.
Наверное пора приглашать шаманов, магов на заседания государственной думы может ситуация изменится к лучшему – поправят карму законодателям…

Ошибка первая. Источник информации размещен по адресу: http://istok-tver.ru/index.php?option=com_content&view=article&id=33&Itemid=33
Ошибка вторая. «Россия, без преувеличения, это страна правового нигилизма. К сожалению, и это я вынужден констатировать как человек, который давно занимается правом, таким уровнем пренебрежения к праву не может «похвастаться» ни одна другая европейская страна, и это явление, уходящее в нашу седую древность. (Текст выступления первого вице-премьера Дмитрия Медведева на II Гражданском форуме «Роль гражданских инициатив в развитии России в XXI веке»)
А теперь попытаюсь пояснить свою мысль. Если законотворчество это процесс направленный на результат, а результат понять мы не можем то попытаемся понять процесс. Пример - в 2006 году принят закон «О персональных данных» - народ усиленно благодарил власть за заботу. Шесть раз вносили изменения шестью федеральными законами в один федеральный закон. В конце каждой сессии депутаты отчитывались, озвучивая количество принятых законов – электорат положительно воспринимал результаты (количество законов) работы депутатского корпуса. В июле переписали закон «о персональных данных» и утвердили изменения новым федеральным законом – вернулись по существу в 2006 год. Вывод: Но если никто не признал вину за бардак, значит все правильно – законодатель перевел защиту персональных данных на новый качественный уровень. Просто мы опять поняли все неправильно.
Представьте ситуацию, прияли закон, и он как назло работает, вносить изменения в него не надо. А как же отчетность? Со стороны электората процесс законотворчества будет выглядеть некрасиво типа - пришли, посидели и ушли. Не хорошо. То есть мы сами и стимулируем депутатов на такой процесс, а по том возмущаемся полученным результатом.
Ошибка третья. Приказ Минюста РФ от 04.05.2007 №88 установил, что «нормативным правовым акт - это письменный официальный документ, принятый (изданный) в определенной форме правотворческим органом в пределах его компетенции и направленный на установление, изменение или отмену правовых норм». СТР-К для автоматизированных систем вводит понятие аттестация. Ранее принятое «Положение по аттестации объектов информатизации по требованиям безопасности информации» утвержденное директором ФСТЭК не распространяется на объекты регулируемые СРТ-К. (Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров. В остальных случаях аттестация носит добровольный характер (добровольная аттестация) и может осуществляться по инициативе заказчика или владельца объекта информатизации.) Таким образом, противоречие двух приказов приводит только к одному – не к чему для СТР-К! И еще один риторический вопрос – кто видел эталонный СТР-К, а не перепечатку с чего либо? Думая уже никто. Кстати новый СТР по слухам перед введение пройдет регистрацию в Минюсте. Поэтому ни так все плохо.

Коллеги в России два регулятора ФСТЭК и ФСБ. У одного все документы «общедоступны», у другого «ограниченного доступа». В чьих нормативных актах легче искать ошибки? В связи с этим коллеги будем корректны.

Для циника: "Наверное пора приглашать шаманов, магов на заседания государственной думы может ситуация изменится к лучшему – поправят карму законодателям… " - какие персональные данные о чем вы говорите, посмотрел фотки в нете с заседания ГД, там где спортсменки заячьи ушки изображают, и не удивляюсь почему то теперь что изменений в законы столько)) хорошо что хоть не как на украине деруться, это была бы вообще жара) если вернуться к тем же персональным данным то листал как то книжку американскую 80-х годов, так там уже об этом речь велась, а у нас только через четверть века закон появился такой, придумать то особо ничего и не надо, бери, переводи и применяй с некоторыми штрихами, так же и с другими законами уверен, все уже придумано и обкатано давно, осталось применить лучшие практики

На сайте ФСТЭК России в качестве основополагающих документов фигурируют:
документы определяющие терминологию ТЗИ:
ГОСТ Р 50922-96. Защита информации. Основные термины и определения. Госстандарт России
Руководящий документ. Защита от несанкционированного доступа к информации. Термины и определения
Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации
документы переводные:
Руководящий документ. Безопасность информационных технологий. Критерии оценки безопасности информационных технологий
Руководящий документ. Безопасность информационных технологий. Руководство по регистрации профилей защиты
Руководящий документ. Безопасность информационных технологий. Руководство по формированию семейств профилей защиты
Руководство по разработке профилей защиты и заданий по безопасности
В связи с этим возникает вопрос – Как этим можно пользоваться, действуя в рамках закона «О техническом регулировании»? Ответ - никак! Система живет не в правовом поле, а в системе правового нигилизма. Почему эта система живет? Ответ прост- это документы по мнению разработчиков введенные в ранг «правовых актов» но при с точки зрения закона носят рекомендательный характер – примерно как учебное пособие или комментарий к закону. Читать можно но ссылаться нельзя. А для непонятливых могут процитировать следующую норму:
«5. ФСТЭК России в своей деятельности руководствуется Конституцией Российской Федерации, федеральными конституционными законами, федеральными законами, актами Президента Российской Федерации и Правительства Российской Федерации, международными договорами Российской Федерации, приказами и директивами Министра обороны Российской Федерации в части, касающейся ФСТЭК России, настоящим Положением, а также другими нормативными правовыми актами Российской Федерации, касающимися деятельности ФСТЭК России.
Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения аппаратами федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации, федеральными органами исполнительной власти, органами исполнительной власти субъектов Российской Федерации, органами местного самоуправления и организациями». /Вопросы Федеральной Службы по Техническому и Экспортному Контролю Указ Президента Российской Федерации от 16 августа 2004 г. № 1085/ При этом апеллировать к Конституции и соответствующих нормативным актам регламентирующим п ведомственный процесс нормотворчества как это не принято. Ну невежливо. Тем более такой нормы как у ФСТЭК у ФСБ нет. На вопрос почему адресую к цитате Д. Медведева приведенного Юрием о правовом нигилизме. Он президент с ним не поспоришь.

К вопросу о природе директив, методических указаний, информационных писем, обобщения, официальных разъяснений.
По общему правилу издание нормативных правовых актов в виде писем и телеграмм не допускается. Таким образом, акты, изданные в ином виде, чем определено в Постановлении Правительства РФ N 1009 и в законодательстве (например, различного рода директивы, методические указания, информационные письма, обобщения, официальные разъяснения и др.), не должны носить нормативный правовой характер.
Так, например, по вопросу правовой природы письменных разъяснений финансовых органов по запросам конкретных заявителей сложилась устойчивая позиция судов о непризнании за ними нормативного характера. Суды обусловливают свои решения тем, что данные разъяснения не содержат правовых норм, носят рекомендательный характер, обязательной силы не имеют и не влекут для налогоплательщиков каких-либо правовых последствий (См.: Постановление Президиума ВАС РФ от 16 января 2007 г. N 12547/06; Определение Верховного Суда РФ от 27 декабря 2005 г. N ГКПИ05-1625; Постановления ФАС Восточно-Сибирского округа от 16.11.2005 N А19-4508/05-15-Ф02-5631/05-С1, от 01.07.2004 N А78-552/04-С2-28/74-Ф02-2381/04-С1; ФАС Московского округа от 17.11.2005 N КА-А40/11103-05, ФАС Северо-Западного округа от 14.05.2007 N А56-56076/2005 и др). По мнению самого Минфина России, его письменные разъяснения по вопросам применения налогового законодательства, которые в силу статьи 34.2 НК РФ дают Минфин России, финансовые органы субъектов РФ и муниципальных образований, не содержат правовых норм и не направлены на установление, изменение или отмену правовых норм, не являются нормативными правовыми актами, не подлежат подготовке, регистрации и обязательной публикации в соответствии с Правилами подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации, установленными Постановлением Правительства РФ от 13 августа 1997 г. N 1009. Содержащиеся в различных правовых базах данных и прочих изданиях письменные разъяснения Минфина России, Департамента налоговой и таможенно-тарифной политики Минфина России, предоставленные по запросам конкретных налогоплательщиков, публикуются в неофициальном порядке. Как считает последний, опубликованные письменные разъяснения должны восприниматься субъектами налоговых правоотношений наряду с иными публикациями специалистов в этой области (см. Письмо Минфина России от 7 августа 2007 г. N 03-02-07/2-138 "О порядке применения письменных разъяснений Минфина России по вопросам применения законодательства РФ о налогах и сборах, предоставляемых в соответствии со ст. 34.2 НК РФ" // Документы и комментарии. 2007. N 17; Письмо Минфина России от 03.03.2006 N 03-02-07/1-47 "Об основаниях и условиях освобождения от ответственности за совершение налогового правонарушения" // Документы и комментарии. 2006. N 8.)
Что же касается письменных разъяснений Минфина России, адресованных в порядке ведомственной подчиненности налоговым органам, то в ряде случаев суды констатируют их нормативный характер. Так, например, широкую известность приобрели решение ВАС РФ от 6 марта 2007 г. N 15182/06 по заявлению открытого акционерного общества "Чепецкий механический завод" о признании недействующим письма Минфина России от 16 января 2006 г. N 03-04-15/01 "О порядке определения после 1 января 2006 года налоговой базы по налогу на добавленную стоимость при выполнении строительно-монтажных работ для собственного потребления и вычетов этого налога по товарам (работам, услугам), приобретенным в 2005 году для выполнения данных работ после 1 января 2006 года" и уже упоминавшееся выше Постановление Президиума ВАС РФ от 9 октября 2007 г. N 7526/07 об оставлении данного решения без изменения <2>. Суть этих решений в следующем: ФНС России сопроводительным письмом от 25.01.2006 N ММ-6-03/63@ направила письмо Минфина России от 16.01.2006 N 03-04-15/01 нижестоящим налоговым органам для использования в работе и информирования о нем налогоплательщиков, что, по мнению Президиума ВАС РФ, "не исключает возможности многократного применения содержащегося в нем предписания, порождает правовые последствия для неопределенного круга лиц и может быть использовано в работе налоговых органов при проведении мероприятий налогового контроля". При этом Суд указал: "Министерство финансов, полагая, что разъясняет пункт 2 статьи 159 Кодекса, в действительности создало норму права, не соответствующую содержанию положений главы 21 Кодекса, относящихся к порядку определения налогоплательщиком налоговой базы, осуществляющим строительство объектов основных средств собственными силами... Таким образом, письмо Минфина России от 16.01.2006 N 03-04-15/01 в оспариваемой части подлежит признанию не соответствующим статье 6 и статье 159 НК РФ, поскольку оно изменяет определенное Кодексом содержание обязанностей, оснований и порядка действий налогоплательщиков, установленных главой 21 К

При этом Суд указал: "Министерство финансов, полагая, что разъясняет пункт 2 статьи 159 Кодекса, в действительности создало норму права, не соответствующую содержанию положений главы 21 Кодекса, относящихся к порядку определения налогоплательщиком налоговой базы, осуществляющим строительство объектов основных средств собственными силами... Таким образом, письмо Минфина России от 16.01.2006 N 03-04-15/01 в оспариваемой части подлежит признанию не соответствующим статье 6 и статье 159 НК РФ, поскольку оно изменяет определенное Кодексом содержание обязанностей, оснований и порядка действий налогоплательщиков, установленных главой 21 Кодекса, по определению налоговой базы при выполнении ими строительно-монтажных работ для собственного потребления". В итоге оспариваемое положение письма Минфина России было квалифицировано судом "как нормативное правовое предписание, изданное федеральным органом исполнительной власти, уполномоченным осуществлять функции по выработке государственной политики и нормативно-правовому регулированию в сфере налогов и сборов".
Вывод: Пользуясь несовершенством существующего законодательства, государственные органы берут на себя роль толкователей норм права, что противоречит российской судебной практике. Следовательно, необходимо на законодательном уровне запретить федеральным органам государственной власти истолковывать нормы права в свою пользу.