Угрозы риски правонарушения в области информационной безопасности: Угрозы, риски, правонарушения в области информационной безопасности.

24.3. Угрозы, риски, правонарушения в области информационной безопасности

Понятия угроз, рисков, правонарушений

Наиболее общим понятием, объединяющим
все виды на­рушений безопасности
информационных ресурсов, инфор­мационных
технологий и прав субъекта на информацию,
является понятие «несанкционированный
доступ» к объ­екту защиты от факторов
нарушения безопасного функцио­нирования.
Причинами нарушения безопасности
являются: неудовлетворительная работа
по организации охраны, за­щиты и
использования соответствующего ресурса
самим субъектом, ответственным за
обеспечение информацион­ной
безопасности.

Нарушениями в области информационной
безопасно­сти могут быть угрозы,
риски, правонарушения — проступ­ки
и преступления, различаемые по степени
общественной опасности, последствий и
виновности нарушителя.

К угрозам обычно относят умышленные
воздействия, включая и несанкционированный
доступ со стороны внеш­них сил,
относительно конкретной организации
или инфор­мационной системы.

Угрозы в интернет-среде могут исходить
от ряда субъек­тов. В отношениях по
обеспечению информационной без­опасности
в этом случае участвуют: операторы
интернет-связи, абоненты, другие
пользователи, правоохранительные
органы. Например, к угрожающим действиям
оператора относятся такие действия,
как: незаконный сбор сведений об
информационном общении абонента,
умышленное изме­нение времени и
скорости обмена информацией, фильтра­ция
содержимого текста в сети и т.д.

К классификации угроз в области
обеспечения безопас­ности могут быть
применены различные подходы. Обра­тим
внимание на два из них: во-первых, угрозы
состоянию всего комплекса ИКТ и его
составляющих, угрозы внутри­системные
и внешние; во-вторых, угрозы от самой
инфор­мации и средств ее обработки и
передачи для сфер, в ко­торых используют
эти ресурсы. Это области национальной
безопасности: оборонная, экономическая,
производствен­ная, социальная, научная,
управленческая и т.п. Особенно
чувствительными являются области
обращения социально значимой, личной
информации, а также области использо­вания
информации и информационных технологий
двойно­го назначения и критически
важных объектов.

Риск как возможное наступление
неблагоприятных по­следствий возникает,
чаще всего, в результате отступлений
от установленных правил поведения и
организации отно­шений субъектов,
самостоятельно обеспечивающих
без­опасность своих информационных
систем, допускающих нарушение правового
режима информационных ресурсов,
информационных технологий. Распространение,
например, информации порнографического
характера, о наркотиках и т.п. влечет
неотвратимость уголовной ответственности
за нарушение закона для тех, кто
распространяет такую ин­формацию и
создает угрозы для общества в целом.

К области рисков следует отнести и
промахи в законо­дательной практике.
Федеральный закон «О персональных
данных», принятый в 2006 г., не имел
подготовленной базы для его исполнения.
Соответственно, в 2009 г. возник риск того,
что он не будет действовать в полной
мере, так как ин­формационные системы
персональных данных, созданные до
вступления его в силу, не могут быть до
1 января 2010 г. приведены в соответствие
с этим законом. Поэтому указан­ный
срок продлен до 1 января 2011 г. Такое
явление объ­ясняется поспешностью
принятия закона, но одновременно с этим
и неготовностью системы отношений и
инфраструк­туры к его реализации.

Упущения в правовом обеспечении мер
безопасности, небрежность в оформлении
документов и их баз данных, неправильное
оформление трудовых отношений с
работ­никами, соприкасающимися с
информацией ограниченного доступа,
обязательно создают возможность
возникновения угроз, идущих изнутри
самой организации. Эти же ситуа­ции
могут возникнуть и в результате небрежного
оформ­ления отношений с контрагентами
или иными субъектами информационного
взаимодействия.

Правонарушения могут быть реализованы
в форме должностного проступка,
административного правонару­шения,
преступления. Напомним, что административным
правонарушением признается противоправное,
виновное действие (бездействие)
физического или юридического лица, за
которое устанавливается административная
ответ­ственность в соответствии с
действующим КоЛП РФ. Уго­ловные
преступления в информационной ссрере
предусмо­трены УК РФ.

Для осмысления того, какое значение
имеет ситуация нарушения обеспечения
информационной безопасности, может
быть интересен тот факт, что только 27%
организа­ций используют системы
защиты от утечки информации, 47% — не
используют, а 24,7% — не знают об этом, что
дает основания говорить об их безразличном
отношении к данному вопросу. Все же
создание центров управления безопасностью
(SOS—SecurityOperationCenter)
является весьма полезным для предупреждения
угроз, рисков и пра­вонарушений в
информационной сфере.

Конфликты в области информационных
отношений — причина нарушения
информационной безопасности

Исследования проблем обеспечения
информационной безопасности и методов
предотвращения нарушений в этой области
обозначили необходимость более глубоко
разо­браться в вопросах информационных
конфликтов, часто приводящих к более
серьезным последствиям, чем просто
фиксация очевидного конфликта и ожидание
его затухания или перерастания в
правонарушение. В этой связи в 2008 г. в
ИГП РАН был проведен теоретический
семинар на тему «Конфликты в информационной
сфере», материалы кото­рого опубликованы
в одноименном сборнике статей и
вы­ступлений его участников.

«Конфликт в переводе с латинского, —
говорила про­фессор Т. А. Полякова, —
это столкновение противополож­но
направленных целей, интересов, позиций,
мнений или взглядов оппонентов или
субъектов взаимодействия». Та­кие
противоречия при построении информационного
обще­ства неизбежны, многообразны и
всеобъемлющи.

Рассматривая конфликты как объективированную
в от­ношениях субъектов форму
противоречий, мы обратили внимание на
то, что конфликты возникают как в области
социальной сферы, так и в системе
информатизации, в информационной
инфраструктуре. Они могут быть по
значи­мости и отрицательными
относительно решаемых обще­ством
задач, и позитивными, наталкивая
ответственных субъектов на поиск новых
или более совершенных реше­ний.
Конфликт может выполнять роль мотива
правонару­шения, если он не учтен в
процессе его выявления. Чаще всего
конфликты проявляются в самом
законодательстве в силу его слабой
согласованности и недостаточно
тщатель­ной подготовленности проектов
нормативных актов, а так­же упущений
в процессах правоприменения и исполнения
законодательных актов.

Весьма существенны конфликты в области
правотвор­чества в условиях культурного
разнообразия и игнорирова­ния
исторических факторов при реализации
установленных правил, непонимания
баланса и согласованности действий в
области отношений органов государственной
власти и местного самоуправления,
юридических лиц и граждан. Конфликты
возникают по причинам несоблюдения
правил работы с информационными
технологиями, информаци­онными
ресурсами, невыполнения требований к
системам коммуникаций. Способы разрешения
конфликтов различ­ны и зависят от
причин и области их возникновения. Они
могут быть погашены в административном,
служебном порядке, путем мирного
взаимодействия сторон, но могут быть
доведены и до судебного рассмотрения.
В любом слу­чае наличие конфликта,
выявленного и зафиксированного, является
условием предотвращения более серьезных
ситуа­ций. Можно сказать, что за каждой
формой нарушения пра­вил обеспечения
информационной безопасности скрыты
выявленные или невыявленные конфликты
объективного или субъективного характера.

С учетом значимости конфликта в
рассматриваемой об­ласти общественных
отношений важно сформулировать по­нятие
юридически значимого конфликта в
информационной среде (сфере) следующим
образом. Юридически значимым конфликтом
является создание ситуации нестабильности
законных прав и интересов граждан,
государства, общества, отдельных
организаций в их информационной среде,
ситуа­ции, снижающей уровень обеспечения
безопасности, в том числе ведущей к
созданию угроз, рисков и разрушений в
самой информационной инфраструктуре
или в области прав субъектов — участников
информационных отношений и процессов.
Отметим, что конфликты ведут к подрыву
зна­чимости информации в процессе
развития информацион­ного, гражданского,
демократического, социального,
устой­чивого правового и гуманного
общества.

Внешние и внутренние угрозы и их
источники

Информационное развитие стран в XX и XXI
вв. сфор­мировало два направления
деятельности в области обеспе­чения
информационной безопасности. Это
деятельность по обеспечению безопасности
информационной инфраструк­туры в
масштабе государства и деятельность
по проведе­нию мер информационного
противоборства с другими госу­дарствами.

Например, в США Национальный план
обеспечения безопасности информационных
систем сопровождается из­данием книг
с разноцветной обложкой, где излагаются
тре­бования к обеспечению безопасности
в информационной сфере. Они содержат
от 8 до 10 конкретных программ. Ана­логичная
книга («Зеленая») была одобрена в ФРГ,
Велико­британии, Франции, Голландии.
На ее основе в ЕС создана система
критериев оценки угроз ITSE(Критерии оценки защищенности
информационных технологий). В более
поздней книге — «Белой» — перечислены
восемь компо­нентов безопасности.

Как правило, они касаются таких направлений
деятель­ности, как: определение
критически важных ресурсов ин­фраструктуры,
их взаимосвязей и стоящих перед ними
угроз; обнаружение нападений и
несанкционированных вторжений; разработка
разведывательного обеспечения и правовых
актов по защите критических информационных
систем; своевременный обмен информацией
предупрежде­ния; создание возможностей
по реагированию, реконфигу­рации и
восстановлению. Более подробно эти
вопросы рас­смотрены в работах А. А.
Стрельцова и В. Н. Лопатина.

Аналогичные программы существуют и в
других странах. Их реализация мобилизует
государственные и обществен­ные
структуры, субъектов корпоративных и
персональных информационных систем на
выработку концепций и мер борьбы с
внутренними угрозами и рисками в сфере
их ин­формационной безопасности.

Наряду с программами обеспечения
информационной безопасности разрабатываются
и планы информационного противоборства.
В зарубежной практике эта часть работ
на­зывается «информационными
операциями». Печать и теле­радиовещание
середины 2008 г. сообщают об ужесточении
таможенных правил и правил контроля за
багажом авиа­пассажиров в США. Контроль
касается всех средств ин­формационных
технологий и связи (ноутбуков, мобильных
телефонов, других носителей информации).
Ноутбуки из­ымаются на две-три недели,
и в каком состоянии они будут возвращены
владельцу, не ясно. Все это делается во
имя борьбы с угрозами так называемого
терроризма. Контролю подлежат носители
информации, принадлежащие не толь­ко
туристам, но и гражданам США.

В процессе реализации программ и
законодательства в этой области
обосновываются системы внешних угроз
для других стран и субъектов. Это могут
быть реализуемые в разных формах
информационные войны, спам, распростра­нение
ложной или незаконной рекламы, ложных
сведений и т.д. В этом плане весьма
показательны ситуации, пред­ставленные
в публикации немецкого журнала «DerSpiegel» о практике конфликтов
китайских пользователей с амери­канским
интернет-концерномGoogleпо поводу использо­вания его продукта
в китайской информационной практике.
Выявляются двусторонние нарушения и
просчеты, а также меры по выходу из
сложившегося критического положения.
Одновременно этот инцидент обнаружил
и наличие жестко соблюдаемого режима
конкуренции между разными компа­ниями,
обеспечивающими функционирование
Интернета.

В уже упомянутой коллективной работе,
посвященной «информационным операциям»,
упоминается документ США 1998 г. «Объединенная
доктрина борьбы с система­ми управления»
и директива S3600.
«Информационные операции». В соответствии
с этими и подобными докумен­тами
предполагается, что американские
вооруженные силы могут получить в свое
распоряжение интегрированную си­стему
принятия решений, базирующуюся на
технологиях искусственного интеллекта,
использовании нанотехнологий, эффективном
анализе информации и т.п., что позволит
обе­спечить к 2020 г. принятие решений
в реальном времени. Естественно, что
подобные планы, и особенно в военной
об­ласти, должны вызвать соответствующую
реакцию защиты.

Меры по противостоянию внешним
информационным угрозам должны быть
дифференцированы относительно степени
их вредности в области реализации
конституци­онных прав и свобод человека
и гражданина, в сфере за­щиты интересов
государства и общества в целом. При этом
важно сосредоточить внимание не столько
на прямом уча­стии в информационных
войнах, сколько на профилактике
противостояния, предотвращении внешних
угроз. Прежде всего — на укреплении
правовой основы пресечения, пре­дотвращения
вредных для общества форм информацион­ной
борьбы — «холодных» и «горячих» войн.
А для этого необходимо уделять наибольшее
внимание правовому, ор­ганизационному
и техническому уровню обеспечения
ин­формационной безопасности
национальных систем инфор­матизации,
организации каждой информационной
системы в отдельности.

При организации и оценке деятельности
в области обе­спечения информационной
безопасности важно учитывать следующие
условия: 1) точное определение
информацион­ного объекта, безопасность
которого обеспечивается; 2) ин­формационный
статус субъекта, безопасность прав
которо­го обеспечивается; 3) правовой
статус субъектов, которые обеспечивают
информационную безопасность; 4) знание
угроз, рисков, правонарушений в зоне
обеспечения инфор­мационной
безопасности, а также источников, от
которых эти угрозы исходят; 5) наличие
установки, как, какими спо­собами
(мерами) может быть обеспечен необходимый
уро­вень безопасности конкретного
информационного объекта и прав субъектов,
которые связаны с этим информацион­ным
объектом.

Основные направления повышения уровня
защищен­ности объектов общей
информационно-технологической
инфраструктуры федеральных органов
государствен­ной власти на основе
распоряжения Правительства РФ от
27.09.2004 № 1244-р освещены в работе Л. В.
Короткова и его соавторов. Они включают:

1) обеспечение комплексного подхода к
решению задач информационной безопасности
с учетом необходимости дифференциации
ее уровня в различных федеральных
ор­ганах государственной власти;

2) разработку модели угроз информационной
безопас­ности;

3) определение технических требований
и критери­ев установления критических
объектов информационно-технологической
инфраструктуры, создание реестра
критиче­ски важных объектов, разработку
мер по их защите и средств надзора за
соблюдением соответствующих требований;

4) обеспечение эффективного мониторинга
состояния информационной безопасности;

5) совершенствование нормативной правовой
и мето­дической базы в области защиты
государственных инфор­мационных
систем и ресурсов, формирование единого
по­рядка согласования технических
заданий на обеспечение информационной
безопасности государственных
информа­ционных систем и ресурсов;

6) проведение уполномоченными федеральными
орга­нами государственной власти
аттестации государственных информационных
систем и ресурсов, используемых в
дея­тельности федеральных органов
государственной власти, и контроль их
соответствия требованиям информационной
безопасности;

7) создание физически обособленного
телекоммуника­ционного сегмента
специального назначения, обеспечиваю­щего
возможность обмена в электронном виде
информаци­ей, содержащей государственную
тайну, для ограниченного круга органов
государственной власти;

8) развитие средств защиты информации
систем обеспе­чения безопасности
электронного документооборота, систе­мы
контроля действия государственных
служащих по работе с информацией;
развитие и совершенствование защищенных
средств обработки информации общего
применения, систем удостоверяющих
центров в области электронной цифровой
подписи, а также систем их сертификации
и аудита

.

Предупреждение и пресечение правонарушений в области информационной безопасности

Информационная эра привела к драматическим изменениям в способе выполнения своих обязанностей для большого числа профессий. Теперь нетехнический специалист среднего уровня может выполнять работу, которую раньше делал высококвалифицированный программист. Служащий имеет в своем распоряжении столько точной и оперативной информации, сколько никогда не имел.

Но использование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства организацией. Компьютеры, часто объединенные в сети, могут предоставлять доступ к колоссальному количеству самых разнообразных данных. Поэтому люди беспокоятся о безопасности информации и наличии рисков, связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным, персональным или другим данным. Все увеличивается число компьютерных преступлений, что может привести в конечном счете к подрыву экономики. И поэтому должно быть ясно, что информация – это ресурс, который надо защищать.

Понятие информационной безопасности

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Под информационной безопасностью будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Угрозы информационной безопасности – это оборотная сторона использования информационных технологий.

Из этого положения можно вывести два важных следствия:

Трактовка проблем, связанных с информационной безопасностью, для разных категорий субъектов может существенно различаться.

Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие.

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал.

Обратим внимание, что в определении ИБ перед существительным «ущерб» стоит прилагательное «неприемлемый». Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба.

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

Доступность – это возможность за приемлемое время получить требуемую информационную услугу.

Целостность – актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Конфиденциальность – это защита от несанкционированного доступа к информации.

Подводя итог вышесказанному, можно утверждать, что обеспечение информационной безопасности является неотъемлемой задачей руководства компании (субъектов информационных отношений), независимо от стадии развития, так как защищённость жизненно необходимой информации от угроз, внутренних или внешних, есть ни что иное, как фундамент для более эффективного протекания бизнес-процессов, а так же развития той или иной отрасли.

Преступления в области информационной безопасности

Вчера контроль за технологией работы был заботой технических администраторов. Сегодня контроль за информацией стал обязанностью каждого нетехнического конечного пользователя. Когда компьютеры впервые появились, они были доступны только небольшому числу людей, которые умели их использовать. Сегодня все изменилось. Число служащих в организации, имеющих доступ к компьютерному оборудованию и информационной технологии, постоянно растет. Доступ к информации больше не ограничивается только узким кругом лиц из верхнего руководства организации. Этот процесс привел к тому, что произошла «демократизация преступления». Чем больше людей получало доступ к информационной технологии и компьютерному оборудованию, тем больше возникало возможностей для совершения компьютерных преступлений.

Типичный компьютерный преступник – это служащий, которому разрешен доступ к системе, нетехническим пользователем которой он является.

Анализ зарубежных и отечественных отчетов о выявленных компьютерных преступлениях позволяет описать основные технологии их совершения. В большей части случаев это мошенничества и злоупотребления информацией – ею манипулировали, ее создавали, ее использовали.

Существует так же ряд признаков, который свидетельствует о наличии уязвимых мест в информационной безопасности. В то время как признаки могут помочь выявить преступление или злоупотребление, меры защиты могут помочь предотвратить его.

Угрозы информационной безопасности

Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и/или несанкционированными и/или непреднамеренными воздействиями на нее.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые.

Меры защиты

Меры защиты – это меры, вводимые руководством, для обеспечения безопасности информации – административные руководящие документы (приказы, положения, инструкции), аппаратные устройства или дополнительные программы – основной целью которых является предотвратить преступления и злоупотребления, не позволив им произойти. Меры защиты могут также выполнять функцию ограничения, уменьшая размер ущерба от преступления.

1. Меры защиты информационной безопасности

К мерам информационной защиты относиться разработка определённого количества необходимых процедур: идентификация пользователей, аутентификация пользователей, а так же другие меры защиты (разработка процедур авторизации, администрирование паролей). Так же необходима защита целостности информации, защита программного обеспечения. Меры защиты должны быть адекватными, для чего может быть привлечена специальная организация, занимающаяся тестированием информационной безопасности.

2. Меры физической безопасности

Физическая безопасность означает лишь содержание компьютера и информации в нем, в безопасности от физических опасностей. Физическая безопасность связана с внедрением мер защиты, которые защищают от стихийных бедствий (пожаров, наводнений, и землетрясений), а также всяких случайных инцидентов. Меры физической защиты должны отвечать требованиям современной действительности и сочетать эффективность с невысокой ценой.

3. Законы, регулирующие информационную безопасность

До последнего времени проблема обеспечения безопасности компьютерной информации в нашей стране не только не выдвигалась на передний край, но фактически полностью игнорировалась. Считалось, что путем тотальной секретности, различными ограничениями в сфере передачи и распространения информации, можно решить проблему обеспечения информационной безопасности.

Существуют, так называемые, правовые меры обеспечения информационной безопасности. К ним относится регламентация законом и нормативными актами действий с информацией и оборудованием, и наступление ответственности за нарушение правильности таких действий.

Использование технологий, которые входят в понятие информационная система – залог успешной деятельности любой организации и ее управленческого звена.

Информационные процессы и деятельность, связанная с ними, должны регламентироваться стандартизтрованными нормами. Для упрощения обмена информацией, защиты коммерческой тайны и авторских прав, статистического анализа, планирования и эффективного управления по всем иерархическим уровням глобальной информационной системы страны необходимо законодательное регулирование информационной деятельности организаций.

Что касается защиты информации, то хотя рассмотренные нами средства не всегда надежны, т.к. на сегодняшний день быстрыми темпами развивается не только техника (в нашем случае компьютерная), постоянно совершенствуется не только сама информация, но и методы, позволяющие эту информацию добывать, этими средствами не следует пренебрегать. Наш век часто называют информационной эпохой, и он несет с собой огромные возможности, связанные с экономическим ростом, технологическими новшествами.

На данный момент обладание электронными данными, которые становятся наибольшей ценностью информационной эры, возлагает на своих владельцев права и обязанности по контролю их использования. Файлы и сообщения, хранимые на дисках и пересылаемые по каналам связи, имеют иногда большую ценность, чем сами компьютеры, диски. Поэтому перспективы информационного века могут быть реализованы только в том случае, если отдельные лица, предприятия и другие подразделения, владеющие информацией, которая все чаще имеет конфиденциальный характер или является особо важной, смогут соответствующим образом защитить свою собственность от всевозможных угроз, выбрать такой уровень защиты, который будет соответствовать их требованиям безопасности, основанным на анализе степени угрозы и ценности хранимой собственности.

А.Н. Калёнов

Риски информационной безопасности. Обеспечение информационной безопасности. Аудит информационной безопасности :: BusinessMan.ru

На данный момент риски информационной безопасности представляют большую угрозу для нормальной деятельности многих предприятий и учреждений. В наш век информационных технологий добыть какие-либо данные практически не составляет труда. С одной стороны, это, конечно, несет много положительных моментов, но для лица и бренда многих фирм становится проблемой.

Защита информации на предприятиях становится сейчас чуть ли не первоочередной задачей. Специалисты считают, что, только вырабатывая определенную осознанную последовательность действий, можно достичь этой цели. В данном случае возможно руководствоваться лишь достоверными фактами и использовать продвинутые аналитические методы. Определенную лепту вносит развитость интуиции и опыт специалиста, ответственного за данное подразделение на предприятии.

Этот материал расскажет про управление рисками информационной безопасности хозяйствующего субъекта.

Какие существуют виды возможных угроз в информационной среде?

Видов угроз может быть множество. Анализ рисков информационной безопасности предприятия начинается с рассмотрения всех возможных потенциальных угроз. Это необходимо для того, чтобы определиться со способами проверки в случае возникновения данных непредвиденных ситуаций, а также сформировать соответствующую систему защиты. Риски информационной безопасности подразделяются на определенные категории в зависимости от различных классификационных признаков. Они бывают следующих типов:

• физические источники;
• нецелесообразное пользование компьютерной сетью и Всемирной паутиной;
• утечка из закрытых источников;
• утечка техническими путями;
• несанкционированное вторжение;
• атака информационных активов;
• нарушение целостности модификации данных;
• чрезвычайные ситуации;
• правовые нарушения.

Что входит в понятие «физические угрозы информационной безопасности»?

Виды рисков информационной безопасности определяются в зависимости от источников их возникновения, способа реализации незаконного вторжения и цели. Наиболее простыми технически, но требующими все же профессионального исполнения, являются физические угрозы. Они представляют собой несанкционированный доступ к закрытым источникам. То есть этот процесс по факту является обыкновенной кражей. Информацию можно достать лично, своими руками, попросту вторгнувшись на территорию учреждения, в кабинеты, архивы для получения доступа к техническому оборудованию, документации и другим носителям информации.

Кража может заключаться даже не в самих данных, а в месте их хранения, то есть непосредственно самого компьютерного оборудования. Для того чтобы нарушить нормальную деятельность организации, злоумышленники могут попросту обеспечить сбой в работе носителей информации или технического оборудования.

Целью физического вторжения может также является получение доступа к системе, от которой и зависит защита информации. Злоумышленник может изменить опции сети, отвечающей за информационную безопасность с целью дальнейшего облегчения внедрения незаконных методов.

Возможность физической угрозы могут обеспечивать и члены различных группировок, имеющих доступ к закрытой информации, которая не имеет гласности. Их целью является ценная документация. Таких лиц называют инсайдерами.

На этот же объект может быть направлена деятельность внешних злоумышленников.

Как сами сотрудники предприятия могут стать причиной возникновения угроз?

Риски информационной безопасности часто возникают из-за нецелесообразного использования сотрудниками сети Интернет и внутренней компьютерной системы. Злоумышленники прекрасно играют на неопытности, невнимательности и необразованности некоторых людей в отношении информационной безопасности. Для того чтобы исключить этот вариант похищения конфиденциальных данных, руководство многих организаций проводит специальную политику среди своего коллектива. Её целью является обучение людей правилам поведения и пользования сетями. Это является достаточно распространенной практикой, так как и угрозы возникающие таким образом достаточно распространены. В программы получения навыков информационной безопасности сотрудниками предприятия входят следующие моменты:

• преодоление неэффективного использования средств аудита;
• уменьшение степени пользования людьми специальных средств для обработки данных;
• снижение применения ресурсов и активов;
• приучение к получению доступа к сетевым средствам только установленными методами;
• выделение зон влияния и обозначение территории ответственности.

Когда каждый сотрудник понимает, что от ответственного выполнения, возложенных на него задач зависит судьба учреждения, то он пытается придерживаться всех правил. Перед людьми необходимо ставить конкретные задачи и обосновывать получаемые результаты.

Каким образом нарушаются условия конфиденциальности?

Риски и угрозы информационной безопасности во многом связаны с незаконным получением информации, которая не должна быть доступна посторонним лицам. Первым и наиболее распространенным каналом утечки являются всевозможные способы связи и общения. В то время, когда, казалось бы, личная переписка доступна лишь двум сторонам, её перехватывают заинтересованные лица. Хотя разумные люди понимают, что передавать что-либо чрезвычайно важное и секретное необходимо другими путями.

Так как сейчас много информации хранится на переносных носителях, то злоумышленники активно осваивают и перехват информации через данный вид техники. Очень популярным является прослушивание каналов связи, только теперь все усилия технических гениев направлены на взлом защитных барьеров смартфонов.

Конфиденциальная информация может быть неумышленно раскрыта сотрудниками организации. Они могут не напрямую выдать все «явки и пароли», а лишь навести злоумышленника на верный путь. Например, люди, сами того не ведая, сообщают сведения о месте хранения важной документации.

Не всегда уязвимыми являются лишь подчиненные. Выдать конфиденциальную информацию в ходе партнерских взаимоотношений могут и подрядчики.

Как нарушается информационная безопасность техническими способами воздействия?

Обеспечение информационной безопасности во многом обусловлено применением надежных технических средств защиты. Если система обеспечения работоспособна и эффективна хотя бы в самом оборудовании, то это уже половина успеха.

В основном утечка информации таким образом обеспечивается с помощью управления различными сигналами. К подобным методам относится создание специализированных источников радиоизлучения или сигналов. Последние могут быть электрическими, акустическими или вибрационными.

Достаточно часто применяются оптические приборы, которые позволяют считывать информацию с дисплеев и мониторов.

Разнообразие приспособлений обуславливает широкий круг методов внедрения и добычи информации злоумышленниками. Помимо вышеперечисленных способов существуют еще телевизионная, фотографическая и визуальная разведка.

По причине таких широких возможностей аудит информационной безопасности в первую очередь включает в себя проверку и анализ работы технических средств по защите конфиденциальных данных.

Что считается несанкционированным доступом к информации предприятия?

Управление рисками информационной безопасности невозможно без предотвращения угроз несанкционированного доступа.

Одним из наиболее ярких представителей данного способа взлома чужой системы безопасности является присвоение идентификатора пользователя. Такой метод носит название «Маскарад». Несанкционированный доступ в этом случае заключается в применении аутентификационных данных. То есть цель нарушителя — добыть пароль или любой другой идентификатор.

Злоумышленники могут оказывать воздействие изнутри самого объекта или с внешней стороны. Получать необходимые сведения они могут из таких источников, как журнал аудита или средства аудита.

Часто нарушитель пытается применить политику внедрения и использовать на первый взгляд вполне легальные методы.

Несанкционированный доступ применяется в отношении следующих источников информации:

• веб-сайт и внешние хосты;
• беспроводная сеть предприятия;
• резервные копии данных.

Способов и методов несанкционированного доступа бесчисленное множество. Злоумышленники ищут просчеты и пробелы в конфигурации и архитектуре программного обеспечения. Они получают данные путем модификации ПО. Для нейтрализации и усыпления бдительности нарушители запускают вредоносные программы и логические бомбы.

Что представляют собой юридические угрозы информационной безопасности компании?

Менеджмент рисков информационной безопасности работает по различным направлениям, ведь его главная цель – это обеспечение комплексной и целостной защиты предприятия от постороннего вторжения.

Не менее важным, чем техническое направление, является юридическое. Таким образом, который, казалось бы, наоборот, должен отстаивать интересы, получается добыть очень полезные сведения.

Нарушения относительно юридической стороны могут касаться прав собственности, авторских и патентных прав. К этой категории относится и нелегальное использование программного обеспечения, в том числе импорт и экспорт. Нарушить юридические предписания можно лишь, не соблюдая условия контракта или законодательной базы в целом.

Как установить цели информационной безопасности?

Обеспечение информационной безопасности начинается собственно с установления области протекции. Необходимо четко определить, что нужно защищать и от кого. Для этого определяется портрет потенциального преступника, а также возможные способы взлома и внедрения. Для того чтобы установить цели, в первую очередь нужно переговорить с руководством. Оно подскажет приоритетные направления защиты.

С этого момента начинается аудит информационной безопасности. Он позволяет определить, в каком соотношении необходимо применять технологические приемы и методы бизнеса. Результатом данного процесса является конечный перечень мероприятий, который и закрепляет собой цели, стоящие перед подразделением по обеспечению защиты от несанкционированного вторжения. Процедура аудита направлена на выявление критических моментов и слабых мест системы, которые мешают нормальной деятельности и развитию предприятия.

После установления целей вырабатывается и механизм по их реализации. Формируются инструменты контроля и минимизации рисков.

Какую роль в анализе рисков играют активы?

Риски информационной безопасности организации непосредственно влияют на активы предприятия. Ведь цель злоумышленников заключается в получении ценной информации. Её потеря или разглашение непременно ведет к убыткам. Ущерб, причиненный несанкционированным вторжением, может оказывать прямое влияние, а может лишь косвенное. То есть неправомерные действия в отношении организации могут привести к полной потере контроля над бизнесом.

Оценивается размер ущерба согласно имеющимся в распоряжении организации активам. Подверженными являются все ресурсы, которые каким-либо образом способствуют реализации целей руководства. Под активами предприятия подразумеваются все материальные и нематериальные ценности, приносящие и помогающие приносить доход.

Активы бывают нескольких типов:

• материальные;
• человеческие;
• информационные;
• финансовые;
• процессы;
• бренд и авторитет.

Последний тип актива страдает от несанкционированного вторжения больше всего. Это связано с тем, что любые реальные риски информационной безопасности влияют на имидж. Проблемы с данной сферой автоматически снижают уважение и доверие к такому предприятию, так как никто не хочет, чтобы его конфиденциальная информация стала достоянием общественности. Каждая уважающая себя организация заботится о защите собственных информационных ресурсов.

На то, в каком объеме и какие активы будут страдать, влияют различные факторы. Они подразделяются на внешние и внутренние. Их комплексное воздействие, как правило, касается одновременно нескольких групп ценных ресурсов.

На активах построен весь бизнес предприятия. Они присутствуют в каком-либо объеме в деятельности любого учреждения. Просто для одних более важным являются одни группы, и менее – другие. В зависимости от того, на какой вид активов удалось повлиять злоумышленникам, зависит результат, то есть причиненный ущерб.

Оценка рисков информационной безопасности позволяет четко идентифицировать основные активы, и если задеты были именно они, то это чревато невосполнимыми потерями для предприятия. Внимание этим группам ценных ресурсов должно уделять само руководство, так как их безопасность находится в сфере интересов владельцев.

Приоритетное направление для подразделения по информационной безопасности занимают вспомогательные активы. За их защиту отвечает специальный человек. Риски относительно них не являются критическими и задевают лишь систему управления.

Каковы факторы информационной безопасности?

Расчет рисков информационной безопасности включает в себя построение специализированной модели. Она представляет собой узлы, которые соединены друг с другом функциональными связями. Узлы – это и есть те самые активы. В модели используется следующие ценные ресурсы:

• люди;
• стратегия;
• технологии;
• процессы.

Ребра, которые связывают их, являются теми самыми факторами риска. Для того чтобы определить возможные угрозы, лучше всего обратиться непосредственно к тому отделу или специалисту, который занимается работой с этими активами. Любой потенциальный фактор риска может являться предпосылкой к образованию проблемы. В модели выделены основные угрозы, которые могут возникнуть.

Относительно коллектива проблема заключается в низком образовательном уровне, нехватке кадров, отсутствии момента мотивирования.

К рискам процессов относятся изменчивость внешней среды, слабая автоматизация производства, нечеткое разделение обязанностей.

Технологии могут страдать от несовременного программного обеспечения, отсутствия контроля над пользователями. Также причиной могут быть проблемы с гетерогенным информационно-технологическим ландшафтом.

Плюсом такой модели является то, что пороговые значения рисков информационной безопасности не являются четко установленными, так как проблема рассматривается под разным углом.

Что такое аудит информационной безопасности?

Важной процедурой в сфере информационной безопасности предприятия является аудит. Он представляет собой проверку текущего состояния системы защиты от несанкционированных вторжений. В процессе аудита определяется степень соответствия установленным требованиям. Его проведение обязательно для некоторых типов учреждений, для остальных он носит рекомендательный характер. Экспертиза проводится в отношении документации бухгалтерского и налогового отделов, технических средств и финансово-хозяйственной части.

Аудит необходим для того, чтобы понять уровень защищенности, а в случае его несоответствия проведения оптимизирования до нормального. Эта процедура также позволяет оценить целесообразность финансовых вложений в информационную безопасность. В конечном итоге эксперт даст рекомендации о норме финансовых трат для получения максимальной эффективности. Аудит позволяет регулировать средства контроля.

Экспертиза в отношении информационной безопасности делится на несколько этапов:

1. Установка целей и способов их достижения.
2. Анализ информации, необходимой для вынесения вердикта.
3. Обработка собранных данных.
4. Экспертное заключение и рекомендации.

В конечном итоге специалист выдаст свое решение. Рекомендации комиссии направлены чаще всего на изменение конфигураций технических средств, а также серверов. Часто проблемному предприятию предлагают выбрать другой метод обеспечения безопасности. Возможно, для дополнительного усиления экспертами будет назначен комплекс защитных мер.

Работа после получения результатов аудита направлена на информирование коллектива о проблемах. Если это необходимо, то стоит провести дополнительный инструктаж в целях повышения образованности сотрудников относительно защиты информационных ресурсов предприятия.

42.Понятие информационной безопасности.

Информационная
безопасность— это состояние защищённости
информационной среды.Под безопасностью
информации понимается состояние
защищенности информации от внутренних
или внешних угроз. Другими словами — это
состояние устойчивости информации к
случайным или преднамеренным воздействиям,
исключающее недопустимые риски ее
уничтожения, искажения и раскрытия,
которые приводят к материальному ущербу
владельца или пользователя информации.Защита
информации представляет собой деятельность
по предотвращению утечки защищаемой
информации, несанкционированных и
непреднамеренных воздействий на
защищаемую информацию, то есть процесс,
направленный на достижение этого
состояния.Информационная безопасность
государства— состояние сохранности
информационных ресурсов государства
и защищенности законных прав личности
и общества в информационной сфере.

43.Угрозы, риски, правонарушения в области информационной безопасности.

44.Понятие ответственности в информационном праве

Ответственность
в информационной сфере. Юридическая
ответственность реализуется с учетом
специфических методов информационного
права при возникновении конфликтных
противоправных ситуаций. Дисциплинарная
ответственность наступает за противоправные
действия, совершаемые субъектами
информационного права в связи с
исполнением своих прав и обязанностей
(п. 6 ст. 9 Закона «О правовой охране
топологий интегральных микросхем»,
ст. 46 Конституции РФ — ответственность
служащих за представление недоброкачественной
информации). Административная
ответственность устанавливается в гл.
13 КоАП РФ — за использование
несертифицированных услуг связи,
нарушение правил защиты информации,
разглашение информации с ограниченным
доступом, злоупотребление свободой
массовой информации. Гражданско-правовая
ответственность предусматривается ч.
2 ст. 139 ГК РФ: за нарушение норм, регулирующих
информационно-имущественные отношения
(исключительные права в авторском
праве), а также возмещение морального
вреда и имущественного вреда в случае
разглашения порочащих сведений. Уголовная
ответственность устанавливается УК
РФ: ст. 237 «Сокрытие, искажение
информации, касающиеся здоровья, жизни
населения»; ст. 283 и 284 — правонарушения,
связанные с разглашением государственной
тайны; глава о правонарушениях в
компьютерной сфере (ст. 272, 273 и 274).
Ответственность средств массовой
информации предусмотрена за злоупотребления
правами журналиста; нарушение
неприкосновенности частной жизни;
клевету и оскорбление; нарушение более
2 раз в год ст. 4 Закона «О средствах
массовой информации» (о публикации
различного рода запрещенной информации).

45.Виды и формы правонарушений в информационной сфере

Информационное
преступление — общественно опасное,
противоправное, влекущее за собой
уголовную ответственность, виновное
деяние (действие или бездействие) деликт
способного лица, совершенное в
информационной сфере и (или) с использованием
информационных средств и технологий
работы с информацией независимо от ее
формы, либо в иной области человеческой
деятельности в условиях информационной
среды.

Административное
информационное правонарушение —
посягающее на установленный порядок
государственного управления общественно
опасное, противоправное, виновное деяние
(действие или бездействие) деликт
способного лица, совершенное в
информационной сфере и (или) с использованием
информационных средств и технологий
работы с информацией независимо от ее
формы, либо в иной области человеческой
деятельности в условиях информационной
среды.

Гражданское
информационное правонарушение —
посягающее на имущественные и
неимущественные блага общественно
вредное, противоправное, виновное деяние
деликт способного лица, совершенное в
информационной сфере и (или) с использованием
информационных средств и технологий
работы с информацией независимо от ее
формы, либо в иной области человеческой
деятельности в условиях информационной
среды.

Дисциплинарное
информационное правонарушение —
посягающее на установленный трудовой
или служебный правопорядок общественно
вредное, противоправное, виновное деяние
деликт способного лица, совершенное в
информационной сфере и (или) с использованием
информационных средств и технологий
работы с информацией независимо от ее
формы, либо в иной области человеческой
деятельности в условиях информационной
среды.

Актуальные проблемы юридической ответственности в сфере обеспечения информационной безопасности (понятие, основания возникновения, виды) Текст научной статьи по специальности «Право»

УДК 002:004.056+347.775.03 ББК Ч865.2

DOI: 10.14529/law180314

АКТУАЛЬНЫЕ ПРОБЛЕМЫ ЮРИДИЧЕСКОЙ ОТВЕТСТВЕННОСТИ В СФЕРЕ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ (ПОНЯТИЕ, ОСНОВАНИЯ ВОЗНИКНОВЕНИЯ, ВИДЫ)

Т. А. Полякова

Институт государства и права РАН, г. Москва, Д. Д. Савенкова

Управление противодействия кибермошеничеству ПАО «Сбербанк», г. Москва

Авторы статьи предлагают определить понятие юридической ответственности, основания наступления и виды юридической ответственности за совершение правонарушений в области информационной безопасности, а также рассматривают актуальные вопросы правоприменения. Актуальность затрагиваемой темы связана с объективными процессами массового перехода существенной части правоотношений в цифровую среду, тенденцией «цифровой трансформации» преступности и незащищенностью рядовых граждан от противоправных действий в цифровой среде. Проведен анализ такого вида юридической ответственности, как административная, а также регулирующих ее норм. Предлагается совершенствование нормативно-правовой базы, продолжение научных исследований в области информационного права, направленных на изучение общих вопросов ответственности в области информационной безопасности.

Ключевые слова: информационная безопасность, информационные правонарушения, кибератаки, цифровое развитие, юридическая ответственность, административная ответственность.

Проблема обеспечения информационной безопасности в условиях перехода к глобальному информационному обществу приобрела особую актуальность1. Все большее количество систем принятия решений и бизнес-процессов в ведущих отраслях экономики и сфере государственного управления реализуется либо планируется к реализации с использованием информационных технологий. В настоящее время в различных информационных системах консолидируется значительный объем информации, в том числе касающийся вопросов государственной политики и обороны, финансовой и научно-технической сферы, а также частной жизни граждан Российской Федерации.

При формировании информационного общества одним из принципов является верховенство права, а соответственно актуальными являются и вопросы юридической ответственности за правонарушения в информационной сфере [7, с. 287]. При этом вся сис-

Статья написана в рамках государственного задания по теме «Новые вызовы и угрозы в информационном пространстве: правовые проблемы обеспечения информационной безопасности».

тема правового регулирования отношений в информационной сфере нацелена на обеспечение эффективности отношений, укрепление гарантий соблюдения прав субъектов правоотношений [6, с. 373].

В современных условиях развития циф-ровизации и глобализации особенно справедливо утверждение выдающегося юриста В. Ф. Яковлева, о том что право постоянно развивается и становится все более сложным и дифференцированным. Совершенствуется правовая ответственность, появляются новые ее варианты. Но для того, чтобы вопросы ответственности решались правильно и законодателем, и правоприменителем, следует исходить из того, что есть общее понятие ответственности как общеправовой категории. Однако ответственность в разных отраслях права отличается большим своеобразием [10, с. 5].

Представляется, что в условиях развития информационного общества, появления новых вызовов и угроз вопросы юридической ответственности приобретают особое значение. Многим ученым различных отраслей права, занимавшимся исследованиями в данной области, так и не удалось привести к об-

щему знаменателю единое, общее понятие юридической ответственности. Так, по мнению С. С. Алексеева, «ответственность — государственное принуждение, выраженное в праве, выступает как внешнее воздействие на поведение, основанное на организованной силе государства…» [1, с. 106]. В целом же на этот счет в общей теории права имеется множество точек зрения. Есть точка зрения, что юридическая ответственность — это «прежде всего, государственное принуждение к исполнению требований права, содержащее осуждение деяний правонарушителя государством и обществом» [9, с. 6]. С. Н. Братусь считал, что юридическая ответственность — это «исполнение обязанности посредством государственного принуждения, например уплата суммы долга заемщиком на основе решения суда» [3, с. 85, 94]. Н. В. Витрук полагал, что «юридическая ответственность как мера государственного принуждения осуществляется на основе и в рамках закона, то есть она является правовой формой государственного принуждения» [4, с. 432].

Отдельного внимания заслуживает точка зрения И. Л. Бачило, которая определяла юридическую ответственность как «применение компетентным государственным органом санкции правоохранительной нормы и наступление отрицательных последствий в рамках закона для правонарушителя в виде установленных вида и меры наказания, соразмерных нанесенному ущербу (вреду)» [6, с. 373-374].

Однако, несмотря на различные позиции известных ученых-правоведов и дискуссий, ведущихся в российской науке, мы полагаем, что юридическую ответственность в информационной сфере можно рассматривать как реакцию государства на совершенное правонарушение в зависимости от тяжести содеянного, имеющую общеобязательный и принудительный характер.

Информационные технологии приобрели глобальный трансграничный характер и стали неотъемлемой частью всех сфер деятельности личности, общества и государства. Их эффективное применение является фактором ускорения экономического развития государства и формирования информационного общества. Информационная сфера играет важную роль в обеспечении реализации стратегических национальных приоритетов Российской Федерации.

Исходя из положений Доктрины информационной безопасности Российской Федера-

ции, утвержденной Указом Президента РФ от 5 декабря 2016 г. № 646, институт юридической ответственности в информационной сфере необходимо рассматривать как систему норм и процедур, реализуемых в целях пресечения правонарушений и установления вида, формы и мер наказания за совершенные и доказанные преступления или иные правонарушения, посягающие на информацию, объекты информатизации, информационные системы, сайты в информационно-телекоммуникационной сети «Интернет», сети связи, информационные технологии, субъекты, деятельность которых связана с формированием и обработкой информации, развитием и использованием названных технологий, обеспечением информационной безопасности, с учетом их социального вреда и вины правонарушителя.

Доктрина содержит перечень угроз, совокупность средств, способных обеспечить надежную защиту информационной безопасности государства, а также прямое указание на то, что общественные отношения в области обеспечения информационной безопасности как никогда нуждаются в правовом регулировании в связи с динамикой развития информационного общества, институализацией правовых институтов в области обеспечения информационной безопасности, являющейся важной составляющей национальной безопасности Российской Федерации.

26 октября 2017 г. на расширенном заседании Совета Безопасности Президентом Российской Федерации В. В. Путиным отмечено: «Мы должны четко представлять тенденции развития глобальной информационной сферы, прогнозировать потенциальные угрозы и риски. И главное — наметить дополнительные меры, которые позволят нам не просто своевременно выявлять угрозы, а активно реагировать на них» [5]. Вместе с тем рост угроз в информационном пространстве повышается, число рисков увеличивается, а негативные последствия разного рода компьютерных атак носят уже не локальный, а действительно глобальный характер и масштаб. Неслучайно Глава государства выражает обеспокоенность по поводу современных киберугроз и состояния защищенности информационного пространства.

Обращает на себя внимание и Стратегия научно-технологического развития Российской Федерации, утвержденная Указом Президента РФ от 1 декабря 2016 г. № 642, в которой прямо указывается на то, что новые

внешние угрозы национальной безопасности, обусловленные ростом международной конкуренции и конфликтности, глобальной и региональной нестабильностью, и усиление их взаимосвязи с внутренними угрозами национальной безопасности, являются одними из наиболее значимых больших вызовов с точки зрения научно-технологического развития Российской Федерации.

Данные обстоятельства формируют актуальность совершенствования и развития правового регулирования в области противодействия новым вызовам и угрозам национальной безопасности, информационной безопасности личности и общества в целом, которое нежизнеспособно без использования передовых цифровых технологий.

Государственная программа «Информационное общество» (2011-2020 годы), утвержденная Постановлением Правительства РФ от 15 апреля 2014 г. № 313 (далее по тексту -Программа), разработана для создания целостной и эффективной системы использования информационных технологий, при которой граждане получают максимум выгод. Ожидаемые результаты реализации Программы впечатляют — это и осуществление взаимодействия государства, граждан и бизнеса преимущественно на основе применения информационно-телекоммуникационных технологий, и обеспечение высокой степени интеграции Российской Федерации в мировое информационное общество, и создание на всей территории Российской Федерации современной информационно-телекоммуникационной инфраструктуры, обеспечивающей доступность качественных услуг связи и широкополосного доступа к информационно-телекоммуникационной сети «Интернет» не менее чем для 95 % граждан страны, а также обеспечение прав и основных свобод человека в информационном обществе, достижение такого уровня развития технологий защиты информации, который обеспечивает неприкосновенность частной жизни, личной и семейной тайны, безопасность информации ограниченного доступа.

Положительные стороны реализации Программы, безусловно, очевидны — государство создает все необходимые условия для интенсивного развития информационного общества. В то же время такая всеобщая информатизация и стремительные изменения в данной сфере требуют повышенного внима-

ния к себе со стороны научных исследований в области правового обеспечения информационной безопасности. Новые вызовы и угрозы, трансграничность глобального информационного общества обусловливают актуальность научных исследований, поиск и развитие новых подходов к их противодействию.

Стремительное развитие информационных технологий и глобальной сети Интернет уже сегодня поставило под угрозу не только отдельно взятых ее пользователей, но и информационную безопасность целых государств, поскольку и государство, и граждане становятся уязвимыми для посягательств из любой точки земного шара в условиях транс-граничности и развития информационного обмена посредством Интернета.

В связи с этим увеличиваются и факторы риска. Во-первых, неизбежно увеличивается зависимость общества от информационных технологий, что в свою очередь обусловливает его уязвимость к различным видам информационных посягательств. Во-вторых, с ростом количества пользователей всемирной сети Интернет возрастает потенциальная возможность стать жертвой использования информационных технологий в преступных целях.

Таким образом, транснациональный характер угроз и ущерб от их применения формируют у государства и общества в целом отношение к проблеме обеспечения информационной безопасности как к действительно глобальной проблеме, требующей больших совместных усилий со стороны всеобщего мирового сообщества.

Принятие ряда новых нормативных правовых актов информационного законодательства Российской Федерации обозначило заложение правового фундамента для дальнейших практических шагов в направлении обеспечения информационной безопасности, предупреждения и пресечения правонарушений в информационной сфере, в том числе и путем установления юридической ответственности за их совершение.

Несмотря на то, что компьютерная преступность (киберпреступность) возникла относительно недавно, с развитием информационных технологий это явление превратилось в глобальную проблему, поставив под угрозу не только отдельно взятых пользователей всемирной сети Интернет, но и информационную безопасность целых государств, поскольку и государство, и граждане становятся уязвимы-

ми для посягательств из любой точки земного шара в условиях трансграничности и развития информационного обмена посредством Интернета. В мае 2017 года всего за три дня вирус-шифровальщик WannaCry атаковал 200 тыс. компьютеров в 150 странах мира и прошелся по сетям университетов в Китае, заводов Renault во Франции и Nissan в Японии, телекоммуникационной компании Telefonica в Испании и железнодорожного оператора Deutsche Bahn в Германии. Указанные примеры подтверждают, что традиционных мер безопасности уже недостаточно для защиты промышленных сред от киберугроз [2].

Следует отметить, что правонарушения, совершаемые в Интернете, не требуют особых усилий и затрат. Злоумышленникам достаточно иметь компьютер, программное обеспечение и подключение к информационной сети. В настоящее время не требуется даже глубоких технических познаний: в Интернете существуют специальные форумы, закрытые чаты в мессенджерах, которые, к сожалению, позволяют приобрести вредоносное компьютерное программное обеспечение для совершения правонарушений, похищенные номера кредитных карт, персональные и идентификационные данные пользователей, а также воспользоваться услугами по помощи в совершении электронных хищений и атак на компьютерные системы различных объектов.

Открытый доступ к сети Интернет позволяет совершать компьютерные преступления именно с ее использованием, поскольку установить лицо, совершившее правонарушение, достаточно затруднительно. Анонимность сети Интернет, уязвимость беспроводного доступа и использование прокси-серверов дают возможность существенно затруднить обнаружение злоумышленников — для совершения преступления может использоваться так называемая «цепочка серверов», о чем также есть масса информации в открытом доступе в Интернете, и этому навыку легко можно научиться [8]. Также противоправные деяния могут быть совершены и при помощи выхода в Интернет через точки общего доступа (рестораны, кафе, общественный транспорт). Современные технологии используются для взлома чужой беспроводной сети Wi-Fi.

Расследование правонарушений, совершенных в глобальной сети, обычно требует быстрого анализа и сохранения электронных данных, которые по своей природе достаточ-

но уязвимы и могут быть быстро уничтожены злоумышленниками. Это обусловлено одной из отличительных черт, присущих компьютерной преступности, — для совершения такого деяния, порой, злоумышленнику требуется времени меньше минуты. Кроме того, никто не ограничивает преступника в выборе места, где он будет использовать свои технические устройства при совершении противоправных действий. И это является еще одной особенностью, присущей компьютерной преступности, — как правило, компьютерные преступления носят трансграничный характер.

В этой связи актуальным является вопрос о территориальной юрисдикции в случае совершения правонарушения на территории другого государства. Это определяет необходимость привлечения к ответственности за противоправные действия компьютерного злоумышленника как со стороны государства, на территории которого он использовал технические устройства при совершении противоправных действий, так и со стороны государства, которому или гражданам которого причинен ущерб. Данные обстоятельства прямо указывают на необходимость совершенствования и модернизации нормативно-правовой базы. Если говорить о таком основании привлечения к ответственности, то в данном случае здесь подразумевается наличие / отсутствие в деянии (как действии, так и бездействии) правонарушителя состава правонарушения в информационной сфере, предусмотренного соответствующего нормами права.

Основополагающие положения законодательства в информационной сфере содержатся в Конституции Российской Федерации. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» является основным в силу того, что именно в его ч. 1 ст. 10 закреплено положение о разрешении на территории Российской Федерации свободного распространения информации при соблюдении требований, установленных законодательством Российской Федерации. Этот же закон содержит отдельную ст. 17, которая так и называется: «Ответственность за правонарушения в сфере информации, информационных технологий и защиты информации».

Нарушение положений иных нормативных правовых актов, регулирующих общественные отношения в информационной сфере, также может повлечь за собой наступление

юридической ответственности (к примеру, федерального законодательства о банках и банковской деятельности, о связи, о персональных данных, о доступе к информации, о средствах массовой информации).

Правонарушения в информационной сфере разграничиваются по степени опасности и квалифицируются с токи зрения наступления общественно-опасных последствий, которые такие деяния могут за собой повлечь. Разделить по данному критерию информационные правонарушения возможно на преступления, административные правонарушения и проступки (служебные и дисциплинарные). При квалификации действий виновного субъекта информационного правонарушения важно разграничивать его прямой умысел с действиями, которые по неосторожности в результате повлекли за собой наступлений общественно-опасных последствий. По нашему мнению, именно цели и мотив деяния субъекта определяют вид применяемой к такому субъекту юридической ответственности, а именно: уголовная, административная или гражданско-правовая.

Административная и гражданско-правовая ответственность, в отличие от уголовной ответственности, не предусматривают наказание в виде лишения свободы за противоправную информационную деятельность.

Как и УК РФ, КоАП РФ разграничивает составы информационных правонарушений по разным разделам. Наибольшее число составов (более 40), охватывающих проблемы информации и средств связи, содержится в главе 13 «Административные правонарушения в области связи и информации».

Анализ составов информационных правонарушений показал, что все правонарушения, за которые главой 13 КоАП РФ установлена административная ответственность, в зависимости от области воздействия субъекта можно разделить на три группы: в области связи; в области средств массовой информации; посягающие на установленный законом порядок сбора, хранения, использования, распространения и защиты информации ограниченного доступа, а также порядок применения информационных технологий.

Однако нормы, предусматривающие юридическую ответственность за правонарушения в информационной сфере, содержатся и в других главах КоАП РФ. К ним можно отнести следующие: «Отказ в предоставлении

информации» (ст. 5.39), «Сокрытие или искажение экологической информации» (ст. 8.5), «Использование служебной информации на рынке ценных бумаг» (ст. 15.21), «Разглашение сведений о мерах безопасности» (ст. 17.13) и др.

Анализ показывает, что ответственность за отказ в предоставлении информации предусмотрена не только ст. 5.39 КоАП РФ, но и ст. 140 УК РФ, за отказ в предоставлении гражданину информации предусмотрена уголовная ответственность. Таким образом, приведенный пример свидетельствует о необходимости разграничения административной и уголовной ответственности. Полагаем, что в данном случае разграничение следует проводить по объективной стороне, прежде всего по последствиям правонарушающих деяний. Для состава преступления необходимо, чтобы подобные деяния причинили вред правам и законным интересам граждан. Такая формулировка уголовно-правовых последствий недостаточно четкая и корректная, поскольку неправомерный отказ в предоставлении гражданину информации, образующий состав административного правонарушения, тоже причиняет вред его праву на получение информации.

За последние несколько лет глава 13 Ко-АП РФ была существенно обновлена, дополнена новыми составами административных правонарушений. С 1 июля 2017 г. было введено семь новых составов правонарушений в ст. 13.11 (вместо одного ранее). Суть данных новелл сводится к тому, что штрафы за нарушения порядка обработки персональных данных стали крупнее, а диспозиция нарушений, за которые назначается ответственность, -более конкретной.

Указанные изменения, внесенные в главу «Административные правонарушения в области связи и информации», свидетельствуют о том, что сохраняется тренд усиления на государственном уровне жесткости административных наказаний; законодатель реагирует на изменения в обществе, и меры административной ответственности за правонарушения в области связи и информации постоянно находятся в развитии.

С появлением объектов критической информационной инфраструктуры Российской Федерации, вслед за уголовной ответственностью, установленной в качестве наказания за неправомерное воздействие на такие объекты, нуждается в научных исследованиях вопрос о

целесообразности введения соответствующей статьи и в КоАП РФ. Необходимо продолжать научные исследования информационного права, направленные на изучение общих вопросов ответственности информационной безопасности, субъектов и объектов исследования. Также необходимо активное вовлечение органов государственной власти в части внедрения и разработки новых учебных программ на всех уровнях образовательной системы, что будет способствовать формированию правового фундамента для дальнейших практических шагов в направлении обеспечения информационной безопасности.

Литература

1. Алексеев, С. С. Социальная ценность права в советском обществе / С. С. Алексеев. — М., 1971. — 223 с.

2. Аудитория пользователей интернета в России в 2017 году составила 87 млн. человек. URL: http://2017.russianinternetforum. ru.

3. Братусь, С. Н. Юридическая ответственность и законность / С. Н. Братусь. — М., 1978. — 208 с.

4. Витрук, Н. В. Общая теория юридической ответственности / Н. В. Витрук. — М., 2009. -432 с.

5. Заседание Совета Безопасности. URL: http://www.kremlin.ru/events/president/news/24.

6. Информационное право: учебник / под ред. И. Л. Бачило. — М.: Издательство Юрайт, 2016. — 419 с.

7. Организационное и правовое обеспечение информационной безопасности: учебник и практикум / под ред. Т. А. Поляковой, А. А. Стрельцовой. — М.: Издательство Юрайт, 2016. — 325 с.

8. Прокси в цепочке. URL: https://xakep.ru/2001/08/24/13400/.

9. Самощенко, И. С. Сущность юридической ответственности в советском обществе / И. С. Самощенко, М. Х. Фарукшин. — М., 1974. — 44 с.

10. Сачков, И. Почему WannaCry оказался опасней других вирусов-шифровальщиков. URL: https://www.group-ib.ru/blog/wanna-cryptor.

11. Яковлев, В. Ф. О понятии правовой ответственности / В. Ф. Яковлев // Журнал российского права. — 2014. — № 1. — С. 5-7.

Полякова Татьяна Анатольевна — доктор юридических наук, главный научный сотрудник, и.о. заведующего сектором информационного права и международной информационной безопасности Института государства и права РАН, г. Москва. E-mail: [email protected].

Савенкова Дарья Дмитриевна — менеджер департамента безопасности Управления противодействия кибермошеничеству ПАО «Сбербанк», г. Москва. E-mail: [email protected].

Статья поступила в редакцию 7 июня 2018 г.

DOI: 10.14529/law180314

TOPICAL PROBLEMS OF LEGAL RESPONSIBILITY IN THE SPHERE OF PROVIDING INFORMATION SECURITY (CONCEPT, BASIS OF EMERGENCE, TYPES)

T. A. Polyakova,

Institute of State and Law of the Russian Academy of Sciences, Moscow, Russian Federation

D. D. Savenkova

Security Department of Sberbank, Moscow, Russian Federation

The author proposes to define the concept of legal liability, the grounds for the offense and the types of legal responsibility for committing offenses in the field of information security, and considers current issues of law enforcement.

The problem is now becoming ever more relevant and related to the objective processes of mass transition of a significant part of the legal relationship in the digital environment, the trend of «digital transformation» of crime and the vulnerability of ordinary citizens from illegal actions in the digital environment. An analysis of this type of legal responsibility as an administrative one, as well as regulating its norms, has been carried out. It is proposed to improve the regulatory and legal framework, continue research in the field of information law aimed at studying general issues of responsibility in the field of information security.

Keywords: information security, information offenses, cyberattacks, digital development, legal liability, administrative responsibility.

References

1. Alekseev S. S. Social’naya cennost’prava v sovetskom obshchestve [Social value of law in Soviet society]. Moscow, 1971, 223 p.

2. Auditoriyapol’zovatelej interneta v Rossii v 2017 godu sostavila 87 mln. chelovek [The audience of Internet users in Russia in 2017 amounted to 87 million people]. Available at: http://2017.russianinternetforum.ru.

3. Bratus’ S. N. Yuridicheskaya otvetstvennost’ i zakonnost’ [Legal responsibility and legality]. Moscow, 1978, 208 p.

4. Vitruk N. V. Obshchaya teoriyayuridicheskoj otvetstvennosti [General theory of legal liability]. Moscow, 2009, 432 p.

5. Zasedanie Soveta Bezopasnosti [Security Council meeting]. Available at: http://www.kremlin.ru/events/president/news/55924.

6. Bachilo I. L. Informacionnoepravo [Information law]. Moscow, 2016, 419 p.

7. Polyakova T. A., Strel’cova A. A. Organizacionnoe i pravovoe obespechenie informacionnoj bezopasnosti [Organizational and legal support of information security]. Moscow, 2016, 325 p.

8. Proksi v cepochke [Chain proxy]. Available at: https://xakep.ru/2001/08/24/13400/.

9. Samoshchenko I. S., Farukshin M. H. Sushchnost’ yuridicheskoj otvetstvennosti v sovetskom obshchestve [The essence of legal responsibility in the Soviet society]. Moscow, 1974, 44 p.

10. Sachkov I. Pochemu WannaCry okazalsya opasnej drugih virusov-shifroval’shchikov. Available at: https://www.group-ib.ru/blog/wannacryptor.

11. Yakovlev V. F. [On the concept of legal responsibility]. Zhurnal rossijskogoprava [Journal of Russian law], 2014, no. 1, pp. 5-7. (in Russ.)

Tatyana Anatolyevna Polyakova — Doctor of Law, chief research officer, acting. Head of the Information Law Branch of the Institute of State and Law of the Russian Academy of Sciences, Moscow, Russian Federation. E-mail: [email protected].

Daria Dmitrievna Savenkova — Manager the Security Department of Sberbank, the Division of counter-computer fraud, Moscow, Russian Federation. E-mail: [email protected].

Received 7 June 2018.

ОБРАЗЕЦ ЦИТИРОВАНИЯ

Полякова, Т. А. Актуальные проблемы юридической ответственности в сфере обеспечения информационной безопасности (понятие, основания возникновения, виды) / Т. А. Полякова, Д. Д. Савенкова // Вестник ЮУрГУ. Серия «Право». — 2018. — Т. 18, № 3. -С. 88-94. БО!: 10.14529/^180314.

FOR CITATION

Polyakova T. A., Savenkova D. D. Topical problems of legal responsibility in the sphere of providing information security (concept, basis of emergence, types). Bulletin of the South Ural State University. Ser. Law, 2018, vol. 18, no. 3, pp. 88-94. (in Russ.) DOI: 10.14529/law180314.

Определение уровней риска | Отдел ИТ-безопасности и политики

Анализ системных рисков

Информация, позволяющая установить личность | Политика классификации данных | Управление данными об университете | Рекомендации по классификации данных | Системный анализ рисков |

В соответствии с политикой IT-19, Institutional Data Access , владельцы бизнеса (как определено в IT-16, Роли и обязанности по политике информационной безопасности ) будут оценивать институциональные риски и угрозы данным, за которые они несут ответственность.Затем этот анализ риска используется владельцами бизнеса для классификации систем (конечных точек, серверов, приложений) по одной из трех категорий риска:

• Низкий риск
  • Система обрабатывает и / или хранит общедоступные данные
  • Система легко восстанавливается и воспроизводится

  Система

  • предоставляет информационную / некритическую услугу
• Средний риск
  • Система обрабатывает и / или хранит данные закрытого или внутреннего пользования
  • Системе внутренне доверяют другие сетевые системы
  • Система предоставляет обычные или важные услуги
• Высокий риск
  • Система обрабатывает и / или хранит конфиденциальные или ограниченные данные

  Системе

  • доверяют сетевые системы пользовательского интерфейса

  Система

  • предоставляет критически важные услуги или услуги в масштабах всего кампуса.

Анализ рисков должен учитывать конфиденциальность данных, обрабатываемых и хранимых системой, а также вероятность и влияние событий потенциальной угрозы.Мы используем простую методологию для перевода этих вероятностей в уровни риска и общий уровень риска системы.

Оценка событий угрозы

Оценка риска — это совокупность рисков, связанных с различными событиями потенциальной угрозы. «Событие угрозы» — это любое событие, которое может вызвать потерю конфиденциальности, целостности или доступности системы и данных, которые она хранит и / или обрабатывает.

Хотя могут быть сотни событий, связанных с потенциальной угрозой, связанных с системой, их обычно можно разделить на три основные категории:

• Утрата конфиденциальности:
  • Система и ее данные взломаны внешними хакерами
  • Система и ее данные публикуются без одобрения
  • Система и ее данные ошибочно публикуют данные о публичных частях системы (т.е. веб-страница) без авторизации
• Нарушение целостности:
  • Системе и ее данным больше нельзя доверять
  • Система и ее данные неполные или неверные
• Утрата доступности:
  • Система и ее данные больше не существуют (например, сбой жесткого диска, система разрушена)
  • Система и ее данные больше не отвечают на действительные запросы пользователя или пользователей (системная ошибка)
  • Система и ее данные не могут быть получены авторизованным пользователем (например,г. Атака отказа в обслуживании)

Эти категории событий угроз можно затем использовать для расчета связанного с ними уровня риска, а также общего риска системы:

Расчет уровней риска

Уровни риска рассчитываются как произведение ВЕРОЯТНОСТИ и ВОЗДЕЙСТВИЯ (для университета) события потенциальной угрозы / события угрозы Категория:

Например, событие угрозы, вероятность которого «маловероятна», а воздействие «умеренное», приравнивается к оцененному риску «умеренному»:

Как правило, сетевые системы, обрабатывающие данные, защищенные федеральным законодательством или законодательством штата (HIPAA, FERPA, FISMA, ITAR, et.др.) или отраслевые стандарты (PCI-DSS) считаются системами высокого риска. Это связано с тем, что вероятность компрометации (как минимум) возможна, в то время как воздействие (из-за нарушения нормативных требований или отраслевых стандартов) считается серьезной потерей конфиденциальности.

Затем рассчитывается уровень риска для каждой категории событий угрозы. Общий уровень риска для системы равен наивысшему уровню риска для любого рискового события. Например:

Поскольку одно из событий риска было оценено как «Высокий риск», общий уровень риска для системы высокий.

Дополнительные примеры

Конечные точки

Серверы

Приложения

.

CCNA Security v2.0 Глава 1 Ответы

.

Как следует реагировать на случайное нарушение HIPAA?

Опубликовано HIPAA Journal 12 октября 2017 г.

Поделиться этой статьей на:

Большинство организаций, имеющих покрытие HIPAA, деловых партнеров и медицинских работников уделяют большое внимание обеспечению соблюдения правил HIPAA, но что происходит, если происходит случайное нарушение HIPAA? Как должны реагировать работники здравоохранения, организации, на которые распространяется действие страховки, и деловые партнеры?

Как сотрудники должны сообщать о случайном нарушении HIPAA?

Аварии случаются.Если медицинский работник случайно просматривает записи пациента, если факс отправляется неверному получателю, электронное письмо, содержащее PHI, отправлено не тому лицу или произошло любое другое случайное раскрытие PHI, важно, чтобы инцидент был сообщил вашему сотруднику по конфиденциальности.

Ваш сотрудник по вопросам конфиденциальности должен будет определить, какие действия необходимо предпринять для снижения риска и снижения вероятности нанесения ущерба. Инцидент необходимо будет расследовать, может потребоваться оценка риска и, возможно, потребуется отправить отчет о нарушении в Управление по гражданским правам (OCR) Министерства здравоохранения и социальных служб.

Вы должны объяснить, что была допущена ошибка и что произошло. Вам нужно будет объяснить, какие записи пациентов были просмотрены или раскрыты. Несвоевременное сообщение о таком нарушении может превратить простую ошибку в серьезный инцидент, который может привести к дисциплинарным взысканиям и, возможно, штрафам для вашего работодателя.

Как следует реагировать на случайное нарушение HIPAA юридическим лицам?

Любое случайное нарушение HIPAA должно рассматриваться серьезно и требует оценки риска для определения вероятности компрометации PHI, уровня риска для лиц, PHI которых потенциально была скомпрометирована, а также риска дальнейшего раскрытия PHI.

Оценка риска должна определить:

• Характер нарушения
• Лицо, просмотревшее или получившее PHI
• Типы задействованной информации
• Пациенты, потенциально пострадавшие
• Кому раскрыта информация
• Возможность повторного раскрытия информации
• Была ли PHI фактически получена или просмотрена
• Степень снижения риска

После оценки риска необходимо управлять риском и снижать его до соответствующего и приемлемого уровня.Правило уведомления о нарушении HIPAA (45 CFR §§ 164.400-414) также требует отправки уведомлений. Не обо всех нарушениях PHI можно сообщить. Есть три исключения, когда имело место случайное нарушение HIPAA.

1) Непреднамеренное получение, доступ или использование PHI сотрудником или лицом, действующим под руководством организации или делового партнера, если такое приобретение, доступ или использование были сделаны добросовестно и в пределах объем полномочий.

Пример: факс или электронное письмо отправлено сотруднику по ошибке. Информация доступна и просматривается, но ошибка осознается, и факс надежно уничтожается, или электронное письмо удаляется, и дальнейшее раскрытие не производится.

2) Непреднамеренное раскрытие PHI лицом, имеющим право доступа к PHI, в покрываемой организации или деловом партнере другому лицу, имеющему право доступа к PHI в покрываемой организации или деловом партнере, или в организованном медицинском учреждении, в котором охваченная организация участвует.

Пример: предоставление медицинской информации о пациенте другому лицу, уполномоченному на ее получение, но совершается ошибка и раскрывается информация о другом пациенте.

3) Если охваченное юридическое лицо или деловой партнер добросовестно полагает, что неуполномоченное лицо, которому было передано недопустимое раскрытие, не смогло бы сохранить информацию.

Пример. Врач дает рентгеновские снимки или медицинскую карту лицу, не уполномоченному просматривать информацию, но понимает, что была допущена ошибка, и извлекает информацию до того, как появится вероятность того, что какая-либо ЗМИ была прочитана и информация сохранена.

В каждом случае, хотя уведомления о нарушениях не требуются, любой сотрудник, оказавшийся в одной из вышеупомянутых ситуаций, должен все же сообщить об инциденте своему сотруднику по конфиденциальности.

Во всех других случаях, когда имело место нарушение незащищенной PHI, об инциденте необходимо сообщить в OCR в течение 60 дней с момента обнаружения нарушения, а лица, пострадавшие от нарушения, должны быть уведомлены. Здесь кратко изложены требования к отчетности о нарушениях HIPAA.

Примеры непреднамеренных нарушений HIPAA

Утерянные или украденные USB-накопители могут рассматриваться некоторыми как примеры непреднамеренных нарушений HIPAA, поскольку никто не планировал потерять или украсть USB-накопители.Однако потерю или кражу можно было разумно предвидеть, а потенциальных нарушений ePHI можно было избежать с помощью шифрования. Следующие ниже примеры непреднамеренных нарушений HIPAA были менее предсказуемыми.

В мае 2017 года Оливия О’Лири, двадцатичетырехлетний медицинский техник, утверждает, что ее уволили с работы в Мемориальной больнице Онслоу в Джексонвилле, Северная Каролина, после того, как она прокомментировала сообщение в Facebook. Ее предупреждение о том, что жертва автомобильной аварии должна была пристегнуться ремнем безопасности, было воспринято ее работодателем не как напоминание о необходимости всегда пристегиваться ремнем безопасности, как утверждает О’Лири, а скорее как нарушение HIPAA.

В апреле 2016 года ортопедическая клиника Роли в Северной Каролине была оштрафована на 750 000 долларов за заключение контракта с внешним поставщиком на преобразование рентгеновских пленок в цифровую форму, а затем предоставление поставщику возможности получать серебро с пленок. Ошибка клиники заключалась в отсутствии соглашения о деловом сотрудничестве; и, помимо штрафа, клиника была вынуждена выполнить План корректирующих действий под надзором OCR.

В качестве еще одного примера непреднамеренного нарушения HIPAA, указанного на веб-сайте OCR, сотрудники должны были пройти обучение HIPAA, когда один из сотрудников обсуждал процедуры тестирования на ВИЧ с пациентом в зале ожидания — раскрывая PHI пациента другому пациенты в зале ожидания.После расследования OCR, компьютерные мониторы также были перемещены, чтобы предотвратить случайное раскрытие PHI.

Как должны бизнес-партнеры реагировать на случайное нарушение HIPAA?

Правильный ответ на случайное нарушение HIPAA должен быть подробно описан в соглашении с вашим деловым партнером.

Правила

HIPAA требуют, чтобы обо всех случайных нарушениях HIPAA и утечках данных сообщалось покрываемому лицу в течение 60 дней с момента обнаружения, хотя покрываемое лицо должно быть уведомлено как можно скорее, и уведомление не должно без необходимости откладываться.

Деловые партнеры должны предоставить своему покрытому субъекту как можно больше подробностей случайного нарушения или нарушения HIPAA, чтобы оно могло принять решение о том, какие действия следует предпринять.

Инфографика соответствия HIPAA

.