В современном мире информация стала одним из самых ценных стратегических ресурсов. Ее роль неуклонно растет во всех сферах общественной жизни — от государственного управления и национальной безопасности до частной жизни граждан и коммерческой деятельности. В связи с этим формируется сложная система правовых норм, регулирующих общественные отношения в сфере информации, а также механизмов ее защиты. Данная статья посвящена комплексному анализу информационного права как отрасли и институту информационного обеспечения защиты.

Информационное право: понятие, предмет и метод регулирования

Понятие и место в системе права

Информационное право, это сложная (пересеctoral) отрасль права, представляющая собой совокупность правовых норм, регулирующих общественные отношения, возникающие в процессе создания, сбора, обработки, хранения, распространения и использования информации.

Оно занимает особое место в правовой системе РФ, переплетаясь с конституционным, гражданским, административным, уголовным, трудовым и иными отраслями. Некоторые юристы рассматривают его как самостоятельную отрасль, другие — как комплексную подотрасль или межотраслевой институт.

Правовая база (Источники)

Нормативная правовая база информационного права в РФ имеет иерархическую структуру:

• Конституция РФ (ст. 24, 29, 42, 44) — гарантирует право на поиск, получение, передачу, производство и распространение информации, право на тайну переписки и коммуникаций, доступ к сведениям о себе.
• Федеральные конституционные законы (например, ФКЗ «О Гостайне», ФКЗ «О внесении изменений в ФКЗ «О судебной системе РФ» в части информатизации судебной деятельности).
• Федеральные законы (ключевые):
  • ФЗ «Об информации, информационных технологиях и о защите информации» (базовый закон).
  • ФЗ «О персональных данных».
  • ФЗ «О государственной тайне».
  • ФЗ «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления».
  • ФЗ «О связи», ФЗ «О средствах массовой информации», ФЗ «Об электронной подписи»;
  • ФЗ «О критической информационной инфраструктуре Российской Федерации».
• Акты Президента и Правительства РФ (указы, постановления, стратегии — например, Стратегия национальной безопасности РФ, Доктрина информационной безопасности РФ).
• Международные договоры (Конвенция 108 Совета Европы, ГДПР — в части применимости, соглашения в рамках СОД/БРИКС).
• Технические регламенты и стандарты (ГОСТы, ФСТЭК, ФСБ руководящие документы).

Принципы информационного права

1. Законности — строгое соблюдение норм права.
2. Правоверности и справедливости — баланс интересов государства, общества и личности.
3. Гласности и открытости информации — презумпция доступности информации, если иное не установлено законом.
4. Конфиденциальности — защита тайны частной жизни, персональных, коммерческих и иных охраняемых законом тайн.
5. Достоверности и полноты информации — требование к субъектам, предоставляющим сведения.
6. Ответственности за нарушение законодательства — неминуемость наказания за правонарушения.

Классификация информации в правовом аспекте

Для понимания режимов правовой охраны критически важна классификация информации по критерию доступности (ст. 7 ФЗ «Об информации…»):

Информационное обеспечение защиты: концепция и структура

Понятие информационной безопасности

Согласно ст. 2 ФЗ «Об информации…», информационная безопасность — это состояние защищенности жизненно важных интересов личности, общества и государства в информационной сфере, обеспечивающее устойчивое функционирование и развитие информационных систем.

Информационное обеспечение защиты — это система организационных, правовых, технических, программных и криптографических мер, направленных на предотвращение утечек конфиденциальной информации, защиту от несанкционированного доступа (НСД), воздействия вредоносного ПО, сохранение целостности, конфиденциальности и доступности информации.

Объекты защиты (Критическая информационная инфраструктура — КИИ)

ФЗ от № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» выделяет объекты КИИ в категории значимости (1, 2, 3). К ним относятся:

• Объекты энергетики, атомной отрасли, транспорта, связи, финансов, здравоохранения, водохозяйства.
• Автоматизированные системы управления технологическими процессами (АСУ ТП).
• Информационно-телекоммуникационные сети общего пользования (в т.ч. сегмент «Рунет»).

Субъекты КИИ обязаны создавать системы обнаружения, предотвращения и ликвидации последствий компьютерных атак (СОПКА), уведомлять ФСБ и ФСТЭК об инцидентах.

Уровни и контуры защиты

Защита строится по принципу «глубинной обороны» (Defense in Depth):

1. Нормативно-правовой контур: разработка локальных нормативных актов (ЛНА) — политик безопасности, инструкций, регламентов, должностных инструкций с разделом по ИБ.
2. Организационный контур: режим доступа (разделение прав доступа, принцип минимальных привилегий), учет и инвентаризация активов, управление инцидентами, обучение персонала, аттестация объектов защиты.
3. Физический контур: охрана серверных, ЦОД, контроль доступа сотрудников, защита от утечки по побочным каналам (акустические, электромагнитные излучения — АЭИ/ПЭМИН).
4. Программно-технический контур: СЗИ (средства защиты информации): межсетевые экраны, IDS/IPS, антивирусы, DLP-системы, SIEM, средства контроля целостности, VPN-шлюзы (сертифицированные ФСБ/ФСТЭК).
5. Криптографический контур: применение средств криптографической защиты информации (СКЗИ) с сертификатами ФСБ для защиты передаваемых и хранимых данных (ТЛС, шифрование дисков, ЭЦП).

Ключевые правовые режимы защиты информации

Защита персональных данных (ПДн)

Регулируется ФЗ-152 «О персональных данных». Основные требования к операторам:

• Назначение ответственного за обработку ПДн.
• Разработка и утверждение ЛНА (Политика конфиденциальности, Положение о защите ПДн, модель согласия).
• Оценка вреда от НСД и определение модели угроз (по методике ФСТЭК).
• Выбор и внедрение СЗИ соответствующего класса (К1–К4 для ГИС, УК1–УК4 для неГИС).
• Уведомление Роскомнадзора об обработке ПДн (с 2022 г. для большинства операторов уведомление не требуется, но учет внутри организации обязателен).
• Обеспечение прав субъектов ПДн (доступ, исправление, удаление, отзыв согласия).
• Локализация баз данных с ПДн граждан РФ на территории РФ (ст. 18 ФЗ-152).

Защита государственной тайны

Регулируется ФЗ «О государственной тайне», актами Президента, Правительства, ФСБ, ФСТЭК.

• Лицензирование деятельности по защите гостайны (ФСБ).
• Аттестация объектов информатизации (ОИ) — определение класса секретности (Особой важности, Совершенно секретно, Секретно).
• Создание системы защиты гостайны: физическая защита, заградительные средства, сертифицированные СКЗИ (ФСБ), контроль за персоналом (допуск).
• Режим работы с носителями гостайны (учет, хранение, уничтожение).

Коммерческая тайна (Коммерческая тайна / Ноу-хау)

Регулируется ст. 139 ГК РФ, ФЗ «О коммерческой тайне». Условия признания:

1. Имеет действительную или потенциальную коммерческую ценность.
2. Не является в свободном доступе.
3. Владелец принял меры по сохранению тайны (режим КТ: перечень сведений, перечень лиц с доступом, НДА/соглашения о неразглашении, маркировка документов «Коммерческая тайна», технические меры).

Важно: Без введения режима коммерческой тайны (ЛНА, организационно-технических мер) суды не признают информацию охраняемой, и защита прав нарушается.

Ответственность за нарушение информационного законодательства

Нарушения в информационной сфере влекут за собой четыре вида юридической ответственности:

Административная (КоАП РФ)

• Ст. 13.11 КоАП РФ: нарушение законодательства о персональных данных (штрафы до 18 млн руб. для юрлиц за повторные/грубые нарушения, в т.ч. за утечки).
• Ст. 13.12 КоАП РФ: нарушение порядка предоставления информации (открытых данных, госорганами).
• Ст. 13.15 КоАП РФ: нарушение правил эксплуатации средств связи, сетей.
• Ст. 19.7.10 КоАП РФ: несоблюдение требований по защите КИИ.
• Ст. 20.25 КоАП РФ: распространение запрещенной информации (экстремизм, фейки, ЛГБТ-пропаганда и т.д.).

Уголовная (УК РФ)

• Ст. 137 УК РФ: нарушение неприкосновенности частной жизни.
• Ст. 183 УК РФ: незаконное получение и разглашение коммерческой/налоговой/банковской тайны.
• Ст. 272–274 УК РФ: компьютерные преступления (НСД, создание вредоносных программ, нарушение правил эксплуатации).
• Ст. 283 УК РФ: разглашение государственной тайны.
• Ст. 207.3, 280.3, 284.2 УК РФ: фейки о ВС РФ, дискредитация, саботаж (включая киберсаботаж).

Гражданско-правовая (ГК РФ)

• Возмещение убытков (реальный ущерб + упущенная выгода).
• Возмещение морального вреда (ст. 151, 1100 ГК РФ), для физлиц при утечке ПДн, разглашении тайны врача и т.д.
• Защита деловой репутации (ст. 152 ГК РФ), опровержение недостоверных сведений.
• Исключительные права на результаты интеллектуальной деятельности (авторское право, патентное право) — защита программ для ЭВМ, баз данных.

Дисциплинарная (ТК РФ)

Применяется к работникам, виновным в нарушении режима защиты информации (утечка ПДн, гостайны, комтайны), зафиксированному в ЛНА и трудовом договоре (вплоть до увольнения по ст. 81 ч. 6 п. «в» ТК РФ — грубое нарушение трудовых обязанностей).

Современные вызовы и тренды правового регулирования

Суверенизация интернета и «Рунете»

ФЗ от № 90-ФЗ (поправки к ФЗ «О связи») ввел требования по обеспечению устойчивости и безопасности функционирования интернета в РФ. Внедряются технические средства противодействия угрозам (ТСПУ) у операторов связи для централизованного управления трафиком в случае угроз целостности Рунета. Регулируется деятельность DNS-серверов, корневых серверов.

Искусственный интеллект и большие данные (Big Data)

Появляются правовые коллизии: автоматическое принятие решений (профилирование), обучение нейросетей на персональных/авторских данных, ответственность за вред, причиненный ИИ. Разрабатываются этический кодекс ИИ, концепции регулирования (риск-ориентированный подход).

Кибербезопасность и международное право

Вопросы атрибуции кибератак, применения ст. 51 Устава ООН (право на самооборону) в киберпространстве, норм ответственного поведения государств (ГОЭ ООН). Россия продвигает Конвенцию ООН по борьбе с киберпреступностью.

Трансграничная передача данных

После ухода РФ из Конвенции 108 (Совет Европы) и сложностей с GDPR, актуальны вопросы адекватности защиты в третьих странах, использование стандартных договорных условий (СДУ), Binding Corporate Rules (BCR) для передачи ПДн за рубеж.

Практическая реализация: алгоритм построения системы ИБ в организации

Для обеспечения правопорядка в информационной сфере организация должна пройти следующий цикл:

1. Инвентаризация активов: реестр информационных систем (ИС), баз данных, носителей, категорий информации (ПДн, комтайна, гостайна, открытая).
2. Категорирование объектов: определение класса защищенности (для ПДн — по методике ФСТЭК; для КИИ — категория значимости; для гостайны — класс секретности).
3. Моделирование угроз: анализ источников угроз, уязвимостей, путей реализации НСД/утечек (Методика ФСТЭК, Методика ФСБ для гостайны).
4. Разработка документации (ЛНА): Политика ИБ, Положения, Инструкции, Планы реагирования на инциденты, Договоры с подрядчиками (обработчиками).
5. Подбор и внедрение СЗИ: только сертифицированные ФСТЭК/ФСБ средства (реестры на сайтах регуляторов). Соответствие классу защищенности.
6. Аттестация / Обследование: проведение работ лицензированными аттестаторами (ФСТЭК/ФСБ) для подтверждения соответствия требованиям.
7. Эксплуатация и мониторинг: работа SOC (Security Operations Center), управление уязвимостями (патч-менеджмент), регулярное обучение персонала (социальная инженерия, фишинг-тесты).
8. Управление инцидентами: детектирование, локализация, ликвидация, расследование, уведомление регуляторов (Роскомнадзор, ФСБ, ФСТЭК, Банк России) в установленные сроки.
9. Непрерывное улучшение: аудит, пересмотр модели угроз при изменении ИТ-ландшафта или законодательства.

Информационное право и информационное обеспечение защиты представляют собой неразрывную единство. Правовые нормы задают цели, принципы и границы дозволенного, а технические и организационные меры обеспечивают их фактическое исполнение.

В условиях цифровой трансформации, роста киберугроз и геополитического напряжения, требования законодательства жестко усиливаются: повышаются штрафы, вводится персональная ответственность руководителей, расширяется перечень объектов КИИ, обязательна локализация данных. Эффективная модель защиты информации сегодня невозможна без правовой экспертизы (legal compliance) на этапе проектирования ИТ-систем (Privacy by Design, Security by Design) и постоянного взаимодействия юристов, ИБ-специалистов и бизнес-заказчиков.

Нарушение информационного законодательства несет не только финансовые и репутационные риски, но и угрозы национальной безопасности, поэтому соблюдение режимов защиты информации является стратегической задачей для любого современного субъекта права.