Правовые аспекты обеспечения информационной безопасности в органах местного самоуправления

Введение

Современная деятельность органов местного самоуправления неразрывно связана с обработкой значительных объемов информации, включая персональные данные граждан, сведения ограниченного доступа, данные информационных систем и сервисов. В условиях роста цифровизации муниципального управления обеспечение информационной безопасности становится одним из ключевых факторов устойчивости и законности функционирования органов местного самоуправления.

Методы и организация исследования

Информационная безопасность в органах местного самоуправления представляет собой систему правовых, организационных и технических мероприятий, направленных на защиту информации, обеспечивающую выполнение муниципальных функций, а также прав и законных интересов граждан и организаций. Правовое регулирование данной сферы строится на основе федерального законодательства, нормативных актов субъектов Российской Федерации и муниципальных правовых актов. Ключевым документом, определяющим государственную политику в сфере информационной безопасности, является Доктрина информационной безопасности Российской Федерации, утвержденная Указом Президента РФ от 05 декабря.2016 года № 646. На федеральном уровне фундамент регулирования также формируют Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных».

Органы местного самоуправления, создавая и эксплуатируя информационные системы, обязаны обеспечивать защиту содержащихся в них данных в соответствии с требованиями федерального законодательства. В Федеральном законе от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» прямо установлено, что защита информации включает комплекс правовых, организационных и технических мер, направленных на предотвращение несанкционированного доступа, уничтожения, модифицирования и иных неправомерных действий с информацией. Кроме того, оператор информационной системы обязан обеспечивать предотвращение несанкционированного доступа, своевременное обнаружение инцидентов, предупреждение возможных последствий нарушения режима доступа и контроль эффективности применяемых мер защиты [1].

При обработке персональных данных органы местного самоуправления выступают операторами персональных данных и обязаны обеспечивать их безопасность. В соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» оператор обязан применять необходимые правовые, организационные и технические меры для предотвращения неправомерного или случайного доступа, уничтожения, изменения, блокирования или распространения персональных данных. Данные меры включают в себя назначение ответственного лица за организацию обработки персональных данных, принятие локальных актов, определяющих политику обработки персональных данных. [2]. Помимо установленных федеральными законами № 149-ФЗ и № 152-ФЗ требований по обеспечению безопасности информации и защите персональных данных, правовое регулирование в сфере информационной безопасности органов местного самоуправления детализируется подзаконными нормативными актами. Наиболее значимую роль здесь играют документы Федеральной службы по техническому и экспортному контролю России (ФСТЭК России), которые устанавливают обязательные для исполнения меры по защите информации в государственных и муниципальных информационных системах.

К числу ключевых требований относится необходимость классификации информационных систем и определения уровня защищенности. Важным этапом выступает выявление и анализ актуальных угроз, формирование модели угроз и определение возможных сценариев воздействия на обрабатываемую информацию [3]. Далее осуществляется выбор и внедрение комплекса организационных и технических мер защиты, предусмотренных нормативными документами ФСТЭК России [3, 4]. Эти документы определяют общий порядок создания системы защиты информации и конкретный перечень требований, обязательных для государственных и муниципальных органов. После реализации мер проводится испытание системы защиты информации, позволяющее оценить корректность функционирования средств защиты и их способность обеспечивать требуемый уровень безопасности. На основании результатов испытаний формируется комплект эксплуатационной и рабочей документации [3]. Завершающим этапом является оценка соответствия (аттестация) объекта информатизации, проводимая для подтверждения выполнения требований по защите информации и получения аттестата соответствия [5]. Аттестация подтверждает, что комплекс реализованных мер действительно обеспечивает необходимый уровень безопасности и соответствует установленным требованиям.

Основные этапы построения системы защиты информации и соответствующие им нормативные документы ФСТЭК России представлены в таблице (табл.).

Таблица

Основные этапы построения системы защиты информации и соответствующие им нормативные документы ФСТЭК России

Практика обеспечения информационной безопасности в органах местного самоуправления предполагает наличие определенного организационно-технического комплекса мер, который закрепляется как федеральным законодательством, так и региональными нормативными актами. В стандартный перечень входит назначение ответственных должностных лиц, а также разработка и утверждение организационно-распорядительных документов, регламентирующих обеспечение информационной безопасности, включая работу с информационными системами, персональными данными и средствами криптографической защиты информации.

Одним из базовых требований является назначение заместителя руководителя, ответственного за организацию защиты информации, обрабатываемой в органе местного самоуправления. В соответствии с Типовым положением о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации), утвержденном постановлением Правительства Российской Федерации от 15 июля 2022 года № 1272 на такого сотрудника возлагается участие в формировании политики органа, организация реализации мероприятий по защите информации, контроль соблюдения нормативных требований и координация деятельности структурных подразделений по информационной безопасности [9]. Как правило, нормативные документы предусматривают, что назначенное лицо должно иметь профильное образование в сфере информационной безопасности либо пройти профессиональную переподготовку.

В целях реализации Федерального закона от 27 июля 2006 года № 152‑ФЗ «О персональных данных» назначается должностное лицо, ответственное за организацию обработки персональных данных. Оно контролирует соблюдение законодательства о персональных данных и требований к их защите, информирует сотрудников о соответствующих положениях и локальных актах, а также организует прием и обработку обращений и запросов субъектов данных или их представителей [2].

В соответствии с подпунктом д) пункта 1 Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами», утвержденных постановлением Правительства Российской Федерации от 21 марта 2012 года № 211, органы местного самоуправления, являясь операторами персональных данных, организуют проведение внутреннего контроля соответствия обработки персональных данных установленным требованиям к защите персональных данных, установленным Законом о персональных данных, принятыми в соответствии с ним нормативными правовыми актами и локальными актами органа местного самоуправления [8]. Внутренний контроль является ключевым инструментом для оценки соответствия деятельности органов местного самоуправления требованиям законодательства в сфере информационной безопасности. Он обеспечивает своевременное выявление нарушений и позволяет корректировать процессы до возникновения инцидентов. В современных условиях цифровизации внутренний контроль включает не только проверку соблюдения локальных нормативных актов и оценку защищенности каналов передачи данных, но и тестирование эффективности применяемых средств защиты информации.

В целях повышения устойчивости и безопасности функционирования информационных ресурсов органа местного самоуправления утверждается политика информационной безопасности, включающая организационные и технические меры по защите информации, порядок реагирования на инциденты, контроль за соблюдением требований законодательства и локальных актов, а также мероприятия по обучению и информированию сотрудников о правилах работы с информационными системами и персональными данными.

Во исполнение требований Федерального закона от 27 июля 2006 года № 152‑ФЗ «О персональных данных» издается Политика в отношении обработки персональных данных, которая устанавливает порядок сбора, хранения, обработки и защиты персональных данных, регламентирует права и обязанности сотрудников при работе с такими данными, определяет меры по предотвращению несанкционированного доступа, а также порядок реагирования на инциденты и обработку обращений субъектов персональных данных.

Кроме того, в соответствии с Указом Президента Российской Федерации от 01 мая 2022 года № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» предусмотрено создание структурного подразделения, осуществляющего функции по обеспечению информационной безопасности органа (организации), а также установлен запрет на использование иностранных средств защиты информации и соответствующих сервисов, работ или услуг [6]. Реализация курса на импортозамещение предполагает, что органы местного самоуправления обязаны отдавать приоритет отечественным решениям в области защиты информации и обеспечивать соответствие внутренних политик и нормативных документов новым требованиям.

Разработка локальных нормативных актов обеспечивает формирование правовой базы информационной безопасности в органе местного самоуправления. Однако эффективная защита информации предполагает не только наличие документов, но и реализацию более широкого круга мероприятий. Основные направления обеспечения информационной безопасности в органах местного самоуправления представлены ниже (рис.).

Рис. Основные направления обеспечения информационной безопасности в органах местного самоуправления

Однако, несмотря на наличие формализованных обязанностей и утвержденных локальных актов, органы местного самоуправления сталкиваются с рядом актуальных правовых проблем. Одной из таких проблем является необходимость постоянного согласования внутренних нормативных документов с федеральным законодательством и подзаконными актами, учитывая частые изменения нормативной базы. Это требует регулярного обновления локальных актов, инструкций и регламентов, что создает дополнительную нагрузку на муниципальные органы и может приводить к временным пробелам в их применении.

Еще одной актуальной проблемой является реализация курса на импортозамещение. В соответствии с Указом Президента Российской Федерации от 01 мая 2022 года № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации», органы местного самоуправления обязаны отдавать приоритет отечественным средствам защиты информации и оборудованию. На практике это означает ограниченные возможности по закупке компьютерной техники, сетевого оборудования и программного обеспечения, соответствующих требованиям информационной безопасности. При этом использование иностранных решений, ранее широко применявшихся для обеспечения ИБ, теперь запрещено, что создает необходимость поиска и внедрения отечественных аналогов, которые либо еще не полностью развиты, либо отсутствуют на рынке в необходимом объеме.

Немаловажно отметить, что актуальной задачей остается соблюдение установленных правовых требований по обеспечению информационной безопасности и защите персональных данных. Несоблюдение этих требований создает риски для функционирования информационных систем, ставит под угрозу конфиденциальность данных граждан и может повлечь неблагоприятные последствия для органов местного самоуправления.

С точки зрения правового регулирования, нарушение законодательства в области информационной безопасности и персональных данных влечет административную ответственность. В соответствии со статьей 13.12 КоАП РФ для органов местного самоуправления наибольшее значение имеют два состава правонарушений: использование несертифицированных информационных систем и средств защиты информации, если они подлежат обязательной сертификации, а также общее несоблюдение установленных требований по обеспечению защиты информации. Размер административных штрафов за такие нарушения может составлять до 50 тыс. рублей для должностных лиц и до 100 тыс. рублей для юридических лиц, что подчеркивает необходимость строгого соблюдения нормативных предписаний в сфере информационной безопасности. За нарушение правил обработки персональных данных предусмотрены меры воздействия согласно статье 13.11 Кодекса Российской Федерации об административных правонарушениях, включая предупреждения и штрафы для должностных лиц и организаций [7].

Заключение

Таким образом, правовое регулирование информационной безопасности в органах местного самоуправления строится на сочетании федеральных законов, нормативных актов субъектов РФ и внутренних локальных документов органов местного самоуправления. Основное внимание уделяется защите информации, персональных данных, соблюдению требований ФСТЭК России. В настоящее время политика государства направлена на приоритетное использование отечественных технологий, оборудования и программного обеспечения во всех ключевых сферах, снижая зависимость от иностранных поставщиков и повышая устойчивость функционирования инфраструктуры. Для органов местного самоуправления это предполагает адаптацию внутренних политик, регламентов и процедур с учетом национальных стандартов и требований, обеспечивая соответствие законодательству и стратегическим целям развития цифровой и технологической независимости.