Правовые аспекты информационной безопасности в органах исполнительной власти на примере Смоленской области

Информационная безопасность органов государственной власти Российской Федерации и населения является приоритетным направлением, одним из важнейших компонентов национальной безопасности. От эффективности системы защиты и обеспечения правовыми и техническими средствами, от взаимодействия органов исполнительной власти в данной сфере, зависит степень сохранности критически важных данных власти и граждан. Предпринимаемые решения должны полноценно противостоять информационным угрозам, которые требуют постоянного внимания и выстраивания алгоритмов противодействия. Главной целью является «защита прав граждан и организаций, формирование условий, нацеленных на реализацию прав и свобод человека и гражданина, закреплённых в законодательстве» [1, c.67].

Главным нормативно-правовым актом выступает Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 года № 149-ФЗ [2]. Информационная безопасность является критически важной сферой для деятельности органов исполнительной власти Смоленской области, требующей строгого соблюдения нормативных актов и правовых регуляций. Анализ правового регулирования в данной области выявляет несколько ключевых аспектов. В соответствии с законодательством Российской Федерации и нормативными актами Правительства Смоленской области, в области информационной безопасности устанавливаются основные принципы и требования [3]. Основу правового поля составляют федеральные законы, включая Указ Президента РФ от 05.12.2016 № 646 «Доктрина информационной безопасности Российской Федерации» [4] и Указ Президента РФ от 1 мая 2022 г. N 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» [5].

На уровне регионального законодательства Правительства Смоленской области принимает меры по адаптации и конкретизации требований федерального законодательства в контексте региональных особенностей. Важным аспектом является разработка и внедрение местных нормативных актов, учитывающих специфику информационной инфраструктуры и особенности управления данными на территории области.

Основные нормативно-правовые акты, регулирующие информационную безопасность в Смоленской области, включают положения о защите конфиденциальной информации, обязанности органов исполнительной власти по обеспечению безопасности информации. Кроме того, часто регламентируется также и ответственность за нарушения в области информационной безопасности [6].

Необходимо также отметить, что на региональном уровне уделено много внимания проведению эффективной политики в сфере правовой поддержки борьбы с потерей данных. Так, принята особая программа развития, а именно «Концепция защиты информации на территории Смоленской области на 2022 – 2030 годы». В ней обозначена трактовка понятий, которыми оперируют органы исполнительной власти в ведении своей деятельности в сфере обеспечения безопасности информации.

Кроме того, данная концепция приводит конкретные шаги по реализации федеральной Доктрины информационной безопасности Российской Федерации. Также в данной концепции описан алгоритм реализации федеральных программ на региональном уровне, а также решения по обеспечению данных программ.

Региональное законодательство устанавливает конкретные органы, ответственные за ведение деятельности в сфере информационной безопасности. Примером этому может послужить Распоряжение Администрации Смоленской области от 20.04.2018 № 409-р/адм. «О возложении на смоленское областное государственное автономное учреждение «Центр информационных технологий» функций органа криптографической защиты информации органов исполн ительной власти Смоленской области, удостоверяющего центра органов исполнительной власти Смоленской области и об утверждении Положения об органе криптографической защиты информации органов исполнительной власти Смоленской области».

Важно отметить, что в рамках правового регулирования важным является учет не только национальных стандартов, но и международных норм в области информационной безопасности, что способствует обеспечению соответствия международным стандартам и повышению уровня защиты данных. Это также находит отражение в НПА, которыми руководствуются органы исполнительной власти. Так, в упомянутой выше Концепции одним из важных факторов необходимости ведения эффективной деятельности в сфере защиты данных является размещение на территории Смоленской области дипломатических и консульских учреждений, международных организаций и их представительств.

Эффективное применение правовых инструментов в области информационной безопасности требует системного подхода и взаимодействия между различными уровнями власти, бизнес-сообществом и общественными организациями. Важно обеспечить не только соблюдение формальных требований законодательства, но и развитие культуры информационной безопасности, повышение осведомленности сотрудников и граждан об угрозах и методах защиты информации.

Необходимость постоянного обновления и совершенствования нормативной базы подчеркивает важность дальнейшего развития правовых механизмов, способствующих эффективной защите информации на региональном уровне.

Важно также уделять внимание совершенствованию локальных правовых норм, которые призваны помогать лучше реагировать на те вызовы в сфере информационной безопасности, с которыми сталкивается именно Смоленская область.

Обращает на себя внимание и совершенствование применяемых технологий, когда «защита информации становится одной из важнейших задач, требующей системного подхода и непрерывного совершенствования» [7].

При анализе текущего состояния систем защиты информации в региональных органах показывает, что несмотря на применение основных мер защиты включая антивирусные программы и межсетевые экраны, имеются существенные недостатки. «Они включают ограниченные ресурсы для обновления и модернизации, а также недостаточную адаптацию к современным киберугрозам» [8, с.236].

Первоочередной задачей модернизации является обновление технической инфраструктуры. Прежде всего, это переход к актуальным версиям программного обеспечения, прежде всего отечественного, внедрение современных средств защиты (таких как DLP и системы шифрования) и применение облачных технологий с высоким уровнем безопасности.

Необходимо обратить внимание на усиление организационных мер. Создание и внедрение строгих практик информационной безопасности, регулярное обучение персонала, переподготовка кадров в случае необходимости, формирование культуры безопасности персонала все эти направления будут способствовать повышению уровня защиты данных.

Важной частью обеспечения сохранности данных является создание и внедрение соответствующих систем мониторинга угроз и превентивного реагирования на них. Необходимо использовать специальные средства защиты, в дополнение к используемым антивирусным программам. Это очень актуальная тема в контексте появления угроз, которые несет в себе искусственный интеллект. Потенциально он может серьёзно облегчить проведение DDoS-атак на серверы органов власти, создать массовые фейковые рассылки и найти пути обхода защитных алгоритмов, используемые службами безопасности.

Вместе с тем, искусственный интеллект может помогать и предупреждать появление подобных угроз. Здесь следует обратить внимание на опыт коммерческих предприятий, которые проводят исследования в сфере возможностей ИИ для аудита систем безопасности [9]. ИИ может также использоваться как замена т.н. «белым хакерам», проводя испытания систем безопасности органов исполнительной власти на прочность. Следует обратить внимание и на сотрудничество с ведущими региональными университетами, которые и готовят кадры для органов власти. Сотрудничество с университетами также может привнести большое количество позитивных изменений, связанных с исследованием самых актуальных технических вызовов, и стоит анализировать и внедрять этот опыт одновременно привлекая высококвалифицированные кадры в службы безопасности. Возможным путём совершенствования является создание особых совместных лабораторий, где учёные будут не только вести обособленное изучение технических вопросов, но и подготавливать решения для конкретного заказчика, которым может выступить государство или региональные власти.

Внедрение систем управления информационной безопасностью (СУИБ), также способно существенно повысить устойчивость к киберугрозам. Необходимо внедрять отечественные СУИБ, которые могут быть использованы в разных организациях в зависимости от их потребностей и специфики и не уступающие западным аналогам. Например, ОС Astra Linux Special Edition — сертифицированная отечественная ОС со встроенными средствами защиты информации. Позволяет обрабатывать любую информацию ограниченного доступа — от персональных данных до государственной тайны «особой важности». Что очень важно в современных условиях, соответствует требованиям безопасности всех регуляторов к ПО для импортозамещения. «InfoWatch Traffic Monitor» - Российская DLP-система, представляющая собой инструмент предотвращения утечек, обнаружения и устранения угроз. Визитной карточкой российской DLP-системы компании InfoWatch являются технологии контентного анализа и обработки больших объемов информации с помощью искусственного интеллекта.

Выбор СУИБ зависит от потребностей и возможностей конкретной организации. Некоторые из этих продуктов могут быть интегрированы друг с другом для обеспечения более комплексной защиты информации [10].

В 2024 году РАНХиГС провел исследование, целью которого было определение уровня «цифровой зрелости» органов власти в России. По результатам анализа было выявлено, что, начиная с 2022 года падает активность внедрения технологий искусственного интеллекта в государственных органах, из 52 проанализированных ведомства только половина готова к внедрению искусственного интеллекта в свою деятельность. Эффективная работа органов власти невозможна без решения ключевых проблем, препятствующих созданию эффективного регионального управления в России. Проблемными остаются вопросы «разрозненности методов перевода государственных и муниципальных услуг в цифровую среду; низкий уровень «цифрового образования» государственных и муниципальных служащих; технически сложное оформление государственных официальных сайтов; отсутствие единой правовой базы для регулирования вопросов деятельности государственных и муниципальных органов в цифровой среде» [11, c. 44].

Решение большей части указанных проблем видится в совершенствовании нормативно-правового регулирования. Необходимо законодательное закрепление порядка раскрытия информации цифровыми сервисами, а также порядка сбора и хранения данных. Законодательно закрепить установление запрета на ограничение информационного суверенитета человека. Отсутствие единых стандартов пользовательских соглашений и политики цифровых сервисов для отечественных цифровых сервисов также нуждается в дальнейшей правовой проработке. Актуальными проблемами правового регулирования остаются задачи минимизации состава обрабатываемых персональных данных, необходимых для решения различных вопросов, возлагаемых на государственные и иные органы исполнительной власти.