Задачи обеспечения информационной безопасности ФСБ РФ решаются в двух плоскостях – собственная защита конфиденциальной информации и выстраивание системы информационной безопасности в целом по стране. Практика деятельности ведомства выражается в организационных мерах – лицензировании, сертификации, аккредитации – и проведении оперативно-розыскных мероприятий.

Правовое регулирование

Основы построения системы информационной безопасности в стране и роль в этом органов ФСБ РФ указаны в Конституции, где оговорены и общие задачи защиты суверенитета и права граждан на охрану персональной информации. На втором уровне регулирования задачи ведомства определяются законами «Об информации», «О ФСБ», «О защите персональных данных».

С точки зрения самостоятельного регулирования ведомство вправе издавать в пределах своей компетенции нормативные акты, обязательные для применения организациями, осуществляющими разработку средств обеспечения безопасности информации, содержащей государственную тайну, и криптографических средств защиты данных. Полномочия ФСБ в сфере привлечения к уголовной ответственности хакеров и обеспечения безопасности информационных сетей страны определяются законодательством об оперативно-розыскной деятельности.

Построение систем информационной безопасности в органах ФСБ

Единая информационная система государства предполагает, что данные правоохранительных органов должны охраняться в максимальной степени, здесь не возникает различия между органами прокуратуры и ФСБ РФ. Но повышенные требования применяются к информационным массивам, которые содержат сведения, относящиеся к государственной тайне. К отдельным категориям информации повышенной степени конфиденциальности, возникающей в деятельности ведомства, относятся данные о совершенных правонарушениях, затрагивающих вопросы обеспечения информационной безопасности РФ, а также сведения о разведывательной и иной деятельности специальных служб и организаций иностранных государств.

Основные принципы работы систем ИБ в органах ведомства определяются ст. 20 закона «О Федеральной службе безопасности». Для осуществления своей деятельности ведомство вправе самостоятельно без лицензирования разрабатывать, создавать и эксплуатировать информационные системы, системы связи и системы передачи данных, а также средства защиты информации, включая СКЗИ – средства криптографической защиты. Если в системах ведомства обрабатываются персональные данные граждан, оно не должно ограничивать их права, предоставленные Федеральным законом «О персональных данных».

Задачи ФСБ РФ по созданию системы ИБ в масштабах страны

На масштабном уровне задачи построения единой системы безопасности данных и сетей в стране определяются Концепцией информационной безопасности, отражающей системное видение угроз и способов реагирования на них. Документ разработан Советом безопасности, он описывает две угрозы ИБ, в отражении которых задействуется ведомство:

• противодействие деятельности иностранных разведок и иных служб иностранных государств, способных причинить ущерб суверенитету и безопасности страны;
• противодействие работе политического аппарата иностранных государств, размывающего социальные ценности и влияющего на настроения населения.

Закон определяет полномочия ведомства в конкретных сферах безопасности, которые помогают ему решать поставленные глобальные задачи:

• участие в формировании и реализации государственной и научно-технической политики в области обеспечения информационной безопасности, в том числе с использованием инженерно-технических средств и СКЗИ;
• организация работы с криптографическими и инженерно-техническими методами безопасности ИС, а также систем шифрованной, засекреченной и иных видов специальной связи в России и ее учреждениях, находящихся за рубежом;
• лицензирование и сертификация отдельных видов деятельности, предусматривающих допуск к государственной тайне.

Эти функции Федеральной службы безопасности РФ обеспечиваются бюджетным финансированием и подбором квалифицированного персонала. Подразделение информационного обеспечения оперативно-розыскной деятельности отвечает за создание систем работы с информацией для нужд ведомства. Выдача лицензий компаниям, специализирующимся на разработке средств защиты и обеспечения безопасности данных, осуществляется Центром по лицензированию, сертификации и защите государственной тайны (ЦЛСЗ ФСБ России). 

Им лицензируются следующие виды деятельности:

• работа с данными, содержащими гостайну;
• деятельность по созданию средств информационной защиты для данных, в которых присутствует государственная тайна;
• осуществление отдельных мероприятий, связанных с безопасностью данных;
• разработка, создание, производство СКЗИ;
• разработка, создание и продажа технических устройств, которые помогают получать информацию;
• деятельность по выявлению подслушивающих устройств;
• разработка и производство средств защиты информационных массивов с повышенным уровнем конфиденциальности.

Помимо лицензирования, в функции Центра входит аккредитация лабораторий по испытанию СКЗИ. Сертификация средств обеспечения безопасности информации также стала одной из функций ведомства, перечень сертифицированных средств можно найти на сайте. В рамках лицензирования Центр подтверждает степень секретности данных, с которыми предполагает работать компания.

Также это подразделение организации отвечает за обеспечение безопасности при ввозе в страну и вывозе из страны шифровальных средств и средств, обеспечивающих тайное получение информации, выдавая разрешение на такие действия. Отдельной функцией является образовательная. Для сотрудников компаний, желающих получить лицензию на разработку систем информационной безопасности, ведомство организует программу профессиональной переподготовки.

Отдельным подразделением ФСБ РФ, отвечающим за поддержание надлежащего уровня ИБ в стране, стал ЦИБ, или так называемый 18-й Центр. Он создан на основе Управления компьютерной и информационной безопасности департамента контрразведки ФСБ и входит в структуру службы контрразведки ФСБ России. Подразделение размещено в бывшем здании ГИЦ КГБ СССР, оно занимается расследованием преступлений, совершаемых в сфере информационной безопасности, незаконного распространения персональных данных и электронной коммерции.
Среди известных дел подразделения в сфере электронной безопасности – расследование в 2013 году дела руководителя компании Chronopay, сервис электронных платежей организовал ряд DDoS-атак на серверы Аэрофлота. 

Также можно назвать следующие интересные дела службы в области защиты информации:

• в 2019 году в Красноярске программиста осудили по ст. 273 УК РФ за использование вредоносных программ, направленных на нарушение безопасности сетей и сбор информации. Суду в апелляционной инстанции было доказано, что программа не обладает признаками вредоносности, так как используется для поиска уязвимостей в собственной сети. В качестве свидетеля, подтверждающего отсутствие в программе признаков вредоносности, в суде выступил офицер ФСБ России. Апелляция не была удовлетворена, суд признал, что средства поиска уязвимостей относятся к категории вредоносных программ, и решение стало прецедентным;
• в 2018 году в Волгограде был осужден хакер, использовавший программу, предназначенную для нейтрализации средств защиты информации. Созданное им ПО предприняло 2320 компьютерных воздействия на веб-серверы, принадлежащие информационным ресурсам правительства. Кроме того, хакер совершил 181 попытку внедрения SQL-кода в передаваемые интернет-ресурсу запросы, содержащие команды и параметры для сервера информационного ресурса «Электронного правительства». Попытки взлома не удались ввиду высокой степени информационной безопасности серверов органов исполнительной власти.

Работа ведомства проявляется на многих уровнях, что подчеркивает ее значимость в сфере безопасности данных.

06.02.2020