Правовое обеспечение безопасности информационной инфраструктуры в Российской Федерации

Переход Российской Федерации к обществу цифровой формации Стратегия развития информационного общества в Российской Федерации на 2017-2030 годы. Утв. Указом Президента РФ от 9 мая 2017 г. № 203 // СЗ РФ. 2017. № 20. Ст. 2901., основанному на внедрении цифровых технологий и платформенных решений в сферах государственного управления, бизнеса и общества, создает условия для их применения в области автоматизации принятия решений в ключевых отраслях экономики, научно-технической сфере, частной жизни граждан, сфере государственного управления, государственной политике и обороне.

В послании Президента Федеральному Собранию Российской Федерации в 2018 г. определены в том числе такие стратегические направления развития России, как "разработка и применение национальных стандартов безопасного информационного взаимодействия, которые к 2025 г. должны будут внедрены на практике для более чем 75% субъектов страны; разработка общей стратегии информационной безопасности компаний и процесса реагирования на кибератаки"1.

Развитие информационных технологий, образующих информационное технологическое пространство как одно из основных направлений информатизации российского общества, было определено еще в 1995 г. в долговременной концептуальной программе "Концепция формирования и развития единого информационного пространства России и соответствующих государственных информационных ресурсов" (одобрена решением Президента РФ от 23 ноября 1995 г. № Пр-1694)Послание Президента Федеральному Собранию Российской Федерации от 1 марта 2018 г. иКЬ: http://www.kremlin.ru СПС "КонсультантПлюс".. В дальнейшем шел постепенный переход от информатизации российского общества к информационному обществу через обеспечение информационной безопасности используемых информационных технологий, в том числе открытого государственного управления, создание открытого общества и использование интероперабельных информационных технологий. Так, постановлением Правительства РФ от 15 апреля 2014 г. № 313 "Об утверждении государственной программы Российской Федерации "Информационное общество (2011-2020 годы)"СЗ РФ. 2014. № 18 (ч. 2). Ст. 2159. утверждена подпрограмма "Информационно-телекоммуникационная инфраструктура информационного общества и услуги, оказываемые на ее основе", в которой ожидаемым результатом реализации Программы "Информационное общество" определено взаимодействие государства, граждан и бизнеса преимущественно на основе применения информационно телекоммуникационных технологий.

В 2017 г. представлен следующий этап развития информационного общества - общества знаний. В Стратегии развития информационного общества в Российской Федерации на 2017-2030 годы, утвержденной указом Президента РФ от 9 мая 2017 г. № 203, определены условия формирования в Российской Федерации общества знаний, которые связаны с "целями, задачами и мерами по реализации внутренней и внешней политики Российской Федерации в сфере применения информационных и коммуникационных технологий, направленные на развитие информационного общества, формирование национальной цифровой экономики".

Стратегия развития информационного общества в Российской Федерации на 2017-2030 годы определяет в качестве задачи - развитие информационной и коммуникационной инфраструктуры Российской Федерации путем обеспечения свободного доступа граждан и организаций, органов государственной власти Российской Федерации, органов местного самоуправления к информации на всех этапах ее создания и распространения.

Для чего предусматривается создание эффективной системы обеспечения информационной безопасности на уровне программного обеспечения и сервисов, предоставляемых с использованием Интернета; информационных систем и центров обработки данных; сетей связи; российских криптоалгоритмов и средств шифрования.

Понятие информационная инфраструктура

Развитие информационных технологий привело к созданию сложно организованных систем - информационных инфраструктур, отличающихся большим разнообразием в областях их применения. В настоящее время информационная инфраструктура это не столько совокупность взаимодействующих между собой информационных технологий, а скорее сложное уравнение со многими переменными, включающее в том числе: защиту персональных данных и их конфиденциальность; криптографическую политику, безопасность информационных систем и защиту интеллектуальной собственности; юридические, технические и административные средства регулирования, используемые для достижения указанных целей; национальный, международный и глобальный контекстСм.: http://www.ranepa.ru.

Понятие информационная инфраструктура упоминается в пятидесяти правовых актах Российской Федерации, направленных на обеспечение условий формирования отношений в ИКТ среде. С точки зрения российского законодательства информационные инфраструктуры состоят из различных видов информационно-телекоммуникационных инфраструктур, баз данных, сетей связи, корпоративных и государственных систем. С позиции математики ее можно определить, как суперпозиционную сложную систему с независимыми элементами. Именно так информационную инфраструктуру понимает Доктрина информационной безопасности Российской Федерации" (утв. указом Президента Российской Федерации от 5 декабря 2016 г. № 646)1. В соответствии с данным правовым актом информационная инфраструктура Российской Федерации - это "совокупность объектов информатизации, информационных систем, сайтов в сети "Интернет" и сетей связи, расположенных на территории Российской Федерации, а также на территориях, находящихся под юрисдикцией Российской Федерации или используемых на основании международных договоров Российской Федерации". правовой информационный безопасный

Информационная инфраструктура имеет искусственное происхождение, чем и определяется ее принадлежность - государственная, корпоративная или частная информационная инфраструктура. Однако, все вышеуказанные инфраструктуры обладают определенными свойствами, определяющие их различия, например, принадлежностью к собственнику, методами обеспечения информационной безопасности, участниками отношений, промышленной применимостью и др.

О. Хансет рассматривает информационную инфраструктуру как "общую, эволюционирующую, открытую, стандартизованную и гетерогенную установленную базу"C3 PO 2016 r. № 50. Ct. 7074. Aanestad M., Grisot M., Hanseth O., Vassilakopoulou P. (eds.) (2017) Information Infrastructures within European Health Care: Working with the Installed Base // http://b - ok.cc/book. В 1996 г. авторы статьи "История информационной инфраструктуры" пришли к выводу, что разработка информационной супермагистрали будет завершающим практическим достижением информационной наукиBowker, G.C. The history of information infrastructures: The case of the international classification of diseases // Information Processing & Management. Vol. 32. Iss. 1. 1996. P. 49-61.. Предложенная ими концепция информационной инфраструктуры в дальнейшем использовалась для составления ряда обширных зарубежных тематических исследований, в частности, для разработки альтернативного подхода к проектированию информационных систем.

Правовое регулирование создания и использования информационной инфраструктуры

Создание и использование информационных инфраструктур определяется принципами их правового регулирования, которые должны быть закреплены в правовом акте. Анализируя состояние правового регулирования информационных инфраструктур, можно прийти к выводу, что правовые принципы, определяющие отношения в области создания и использования информационной инфраструктуры в законодательстве Российской Федерации не определены. Общие принципы создания и использования информационных инфраструктур должно определить государство. Закреплены только принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации в Федеральном законе "Об информации, информационных технологиях и о защите информации"1 (ст. 3) (далее, Закон об информации), однако этого недостаточно. Не только информационные технологии, но и информационные системы, нормы регулирования и обеспечения информационной безопасности, в том числе защиты интеллектуальной собственности, а также криптографическая политика обеспечивают функционирование информационной инфраструктуры. Взаимодействие информационных технологий в информационных инфраструктурах определяется нормами технического регулирования.

В п. 8 ст. 3 Закона об информации закреплен принцип использования информационных технологий, в котором определено "недопустимость установления нормативными правовыми актами каких-либо преимуществ применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами".

К принципу создания и использования информационных систем, как составляющих информационной инфраструктуры можно отнести п. 5 ст. 3 в котором определено требование "обеспечения безопасности Российской Федерации при создании информационных систем, их эксплуатации и защиты содержащейся в них информации".

Не только обеспечение безопасности Российской Федерации и недопустимость установления каких-либо преимуществ применения одних информационных технологий перед другими являются важными принципами обеспечения правового регулирования отношений в области использования и создания информационных инфраструктур, но и обеспечение информационной безопасности в контексте глобальной информационной инфраструктуры и включенных в нее информационных систем, является стратегической задачей.

Так, анализ зарубежных исследований, посвященных проблемам правового регулирования создания и использования информационных инфраструктур, позволяет выделить основные принципы информационных инфраструктур, которые были отмечены в данных исследованиях. Например, А. Кларк выделяет пять основных принципов информационной инфраструктуры: интеграция, прозрачность, область охвата, обучение, связь с сообществами практикиСПС "КонсультантПлюс". См.: Clarke A. The Social Worlds Framework: A Theory / Methods Package, 1996 // https://www.researchgate.net.

В связи с тем, что функционирование информационной инфраструктуры обеспечивается посредством объединения множества информационных и компьютерных технологий встает вопрос об обеспечении их устойчивости и надежности посредством принятия нормативных правил правового и технического регулирования. Наряду с принципами обеспечения безопасности информационной инфраструктуры, необходимо также закрепить принципы трансграничной передачи данных и предоставления компьютеризированных информационных услуг, обеспечения безопасности трансграничных потоков данных, принципы добросовестного использования персональных данных участниками информационной инфраструктуры.

26 июня 2017 г. в Российской Федерации законодательно закреплен статус "новой" информационной инфраструктуры - критической информационной инфраструктуры. Федеральный закон № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"1, определяет критическую информационную инфраструктуру как совокупность информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления субъектов критической информационной инфраструктуры, в том числе сети электросвязи, используемые для организации взаимодействия таких объектов.

Сравнение дефиниций "информационная инфраструктура" и "критическая информационная инфраструктура", определенных в Доктрине информационной безопасности Российской Федерации" и Федеральном законе "О безопасности критической информационной инфраструктуры Российской Федерации" схожи между собой. Однако, исходя из анализа их формулировок можно заключить, что критическая информационная инфраструктура отличается от информационной инфраструктуры включением "автоматизированной системы управления субъектов критической информационной инфраструктуры" и "систем электросвязи" в качестве объектов критической информационной инфраструктуры.

На территории Российской Федерации функционируют и другие ее виды, например, инфраструктура пространства доверияСЗ РФ 2017 г. № 31 (ч. I). Ст. 4736. Решение Совета Евразийской экономической комиссии от 05.12.2018 г. № 96 "О требованиях к созданию, развитию и функционированию трансграничного пространства доверия" (вместе с "Положением о комиссии по проверке компонентов общей инфраструктуры документирования информации в электронном виде на соответствие требованиям к созданию, развитию и функционированию трансграничного пространства доверия"), инфраструктура цифрового профиля 1, инфраструктура единой сети электросвязиЗаконопроект № 747513-7 "О внесении изменений в отдельные законодательные акты (в части уточнения процедур идентификации и аутентификации)" // https://sozd.duma.gov.ru Постановление Правительства РФ от 8 июня 2019 г. № 743 "Об утверждении Правил подготовки и использования ресурсов единой сети электросвязи Российской Федерации для обеспечения функционирования значимых объектов критической информационной инфраструктуры" // СЗ РФ 2019. № 24. Ст. 3099. и др. Так, в требованиях к созданию, развитию и функционированию трансграничного пространства доверия, принятых решением Совета Евразийской экономической комиссии от 5 декабря 2018 г № 96Решении Совета Евразийской экономической комиссии от 05.12.2018 № 96 "О требованиях к созданию, развитию и функционированию трансграничного пространства доверия" (вместе с "Положением о комиссии по проверке компонентов общей инфраструктуры документирования информации в электронном виде на соответствие требованиям к созданию, развитию и функционированию трансграничного пространства доверия") определены условия надежности и устойчивости функционирования трансграничного межгосударственного обмена данными и электронными документами органов государственной власти государств - членов Союза между собой и с Евразийской экономической комиссией.

Инфраструктура цифрового профиля состоит из совокупности информационных систем в единой системе идентификации и аутентификации, обеспечивающих доступ к цифровому профилюhttps://sozd.duma.gov.ru.

Таким образом, информационная инфраструктура представляет собой сложную систему взаимосвязанных информационных технологий и систем, а также норм, обеспечивающих конфиденциальность, защиту персональных данных и интеллектуальной собственности, криптографическую политику и безопасность информационных систем, включенных в информационную инфраструктуру. При этом следует иметь в виду, что в связи с усложнением информационной инфраструктуры, новым методам сбора, хранения и обмена больших объемов данных может потребоваться специальное правовое регулирование и новые средства правовой защиты.

Так, например, в 2014 г. в Великобритании был разработан рекомендательный документ, включающий девять принципов обеспечения идентичности человека. В нем определен подход правительства к обеспечению идентичности пользователя услуг в Интернете и содержатся описание принципов и требования, предъявляемые к этим принципам, обеспечивающим приватность и потребительские ожидания пользователей услуг:

1) пользовательский контроль. Пользователь может осуществлять контроль за деятельностью других лиц, обеспечивающих идентичность пользователя. Данная деятельность может осуществляться только на основании согласия, полученного от пользователя;

2) прозрачность. Идентификация пользователя может осуществляться, если он понимает цель данных действий и полностью информирован о данном процессе;

3) кратность. Пользователь может пользоваться услугами и выбирать любых удостоверяющих провайдеров столько раз, сколько ему будет необходимо;

4) минимизация данных. В технологическом процессе взаимодействия пользователя с другими лицами должно использовать только минимальное количество данных, необходимых для достижения цели взаимодействия;

5) качество данных. Пользователь сам выбирает, когда он обновляет свои данные;

6) обслуживание. Пользователю должны быть предоставлены данные обо всех его запросах в Интернета, а также право перемещения (удаления) его данных;

7) сертификация. Пользователь должен быть уверен в надежности Службы идентичности Великобритании, деятельность которой основывается на обязательной сертификации;

8) разрешение споров. Пользователь должен иметь технологическую возможность обратиться к независимой третьей стороне для разрешения спора;

9) исключительные обстоятельства. Пользователь должен быть уверен, что любое исключение из правил будет предварительно согласовано с ним.

Мы можем отметить позитивные сдвиги в части закрепления принципов правового регулирования информационной инфраструктуры. Например, законопроектом № 747513-7 "О внесении изменений в отдельные законодательные акты (в части уточнения процедур идентификации и аутентификации)" предлагается закрепить только специальные принципы правового регулирования создания и использования информационной инфраструктуры. Так, "в случаях, предусмотренных законодательством Российской Федерации, согласие гражданина или юридического лица на получение сведений о них с использованием инфраструктуры цифрового профиля или региональных цифровых профилей не требуется. В иных случаях, предусматривающих получение сведений с использованием инфраструктуры цифрового профиля или региональных цифровых профилей, сведения о гражданине или юридическом лице с использованием инфраструктуры цифрового профиля или региональных цифровых профилей предоставляются с согласия гражданина или юридического лица, если иное не установлено законом или принятыми в соответствии с ним иными нормативным правовым актом либо соглашением сторон" Проект федерального закона № 747513-7 "О внесении изменений в отдельные законодательные акты (в части уточнения процедур идентификации и аутентификации)" // СПС "КонсультантПлюс".. Однако общие принципы правового регулирования создания и использования информационной инфраструктуры не определены.

Проблема обеспечения информационной безопасности остается основной и самой сложной в области создания и использования информационных инфраструктур. Для ее решения необходимо стандартизировать порядок разработки информационных технологий и их взаимодействия, а также информационных систем. В настоящее время область стандартизации в данном направлении только набирает обороты. Особенно это актуально в связи с требованием о переходе на собственные информационные технологии в целях импортозамещения в Российской Федерации.

В связи с этим, к общим принципам правового регулирования создания и использования информационной инфраструктуры необходимо отнести также и принцип обеспечения стандартизации цифрового взаимодействия пользователей информационной инфраструктуры и электронного документирования взаимодействия информационных систем.

Понимая сложность проблемы стандартизации и разнообразие участников данного процесса, Правительство Российской Федерации 29 октября 2019 г. утвердило правила предоставления субсидий из федерального бюджета на достижение следующих важных для государства результатов реализации федерального проекта "Информационная безопасность" национальной программы "Цифровая экономика РФ". В данных правилах из восьми направлений достижения результатов первые 3 связаны со стандартизацией. Так, это "разработка требований к операторам промышленного Интернета и проектов стандартов безопасности для киберфизических систем, включая устройства "Интернета вещей", а также системы отраслевого регулирования их использования, в том числе установление требований по идентификации участников информационного взаимодействия и регистрации оборудования сетей устройств "Интернета вещей". Разработка и принятие комплекса стандартов информационной безопасности, обеспечивающего минимизацию рисков и угроз безопасного функционирования сетей связи общего пользования".

Заключение

Поскольку информационная инфраструктура является сложной информационно-технологической структурой, включающей нормы обеспечивающие защиту персональных данных и их конфиденциальность, криптографическую политику, безопасность информационных систем и защиту интеллектуальной собственности, юридические, технические и административные средства регулирования, используемые для достижения указанных целей, национальный, международный и глобальный контекст, то вопросы стандартизации информационных технологий для обеспечения информационной безопасности функционирования российской информационной инфраструктуры являются неотъемлемой частью данного обеспечения. Регулирование информационной безопасности информационной инфраструктуры должно строиться объединением правовых и технических норм и это позволит достичь желаемого результата.

Наряду с принципами обеспечения безопасности информационной инфраструктуры, целесообразно закрепить в Законе об информации принципы обеспечения безопасности информационной инфраструктуры:

1) обеспечение ответственного поведения участников международных отношений, связанных с созданием и использованием информационной инфраструктуры, на основе механизмов правового регулирования;

2) осуществление мониторинга и анализа состояния проблем обеспечения информационной безопасности информационной инфраструктуры;

3) обеспечение стандартизации цифрового взаимодействия пользователей информационной инфраструктуры и электронного документирования взаимодействия информационных систем;

4) обеспечение стратегического планирования на федеральном уровне, на уровне субъектов РФ и на уровне муниципальных образований в области создания и использования информационных инфраструктур для обеспечения целеполагания, прогнозирования, планирования и программирования цифрового развития Российской Федерации.