Вопросы 111 - 120 | Защита служебной информации ограниченного распространения, содержащейся в паспорте безопасности

Вопрос #111

За какие нарушения обращения со служебной информацией ограниченного распространения может наступать предусмотренная законодательством ответственность в организации, подведомственной федеральному органу исполнительной власти?

За утрату подлинников документов, если у организации отсутствуют сохранённые копии.

За разглашение сведений, повлёкшее подтверждённый имущественный ущерб организации.

За разглашение сведений и нарушение порядка обращения с документами, включая их уничтожение.

За передачу бумажных документов, если получатель не участвует в выполнении исходного поручения.

Пояснение: Ответственность предусмотрена за разглашение и за нарушение порядка обращения с документами ДСП, включая уничтожение. Фактические основания и вид ответственности устанавливаются применимым законодательством. Отсутствие доказанной утечки не устраняет необходимости оценить процедурное нарушение; одновременно нельзя объявлять каждую ошибку преступлением. При проверке необходимо установить нарушенную обязанность, полномочия участника и обстоятельства совершённого действия.

Вопрос #112

Какое основание ограничения доступа необходимо установить при оценке административной ответственности за разглашение служебно доверенной информации?

Ограничение доступа федеральным законом с учётом условий и исключений состава правонарушения.

Ограничение доступа условием договора при установлении любой служебной необходимости.

Ограничение доступа внутренним приказом после подписания работником обязательства о неразглашении.

Ограничение доступа резолюцией руководителя после регистрации документа в организации.

Пояснение: Для состава значимы установленное федеральным законом ограничение, разглашение и получение доступа в связи со служебными или профессиональными обязанностями. Учитываются исключения статьи и отсутствие уголовной ответственности за соответствующее деяние. Одна внутренняя пометка организации не позволяет автоматически признать выполненными все юридические признаки правонарушения.

Вопрос #113

При каких условиях нарушение защиты сведений паспорта относится к нарушению обязательных требований антитеррористической защищённости?

Нарушено условие программы учебного центра и имеется письменное подтверждение непрохождения предложенного курса.

Нарушено предложение внутренней проверки и работник не согласовал с её участниками иной порядок выполнения.

Нарушена рекомендация разработчика паспорта и руководство признало её полезной для деятельности объекта.

Нарушена применимая к объекту обязательная норма и установлены признаки соответствующего состава с учётом исключений.

Пояснение: Необходимо установить конкретное обязательное требование, сферу его действия и обстоятельства нарушения. Статья содержит условия и исключения, в том числе отсутствие признаков уголовно наказуемого деяния. Рекомендации и коммерческие программы не становятся обязательными требованиями АТЗ сами по себе. Правовая оценка должна связывать действие или бездействие с применимой нормой, а не с общим впечатлением о качестве работы.

Вопрос #114

Как оценить использование общедоступного облачного хранилища для электронного документа ДСП в организации, на которую распространяется Положение № 1233?

Допустить размещение, если файл назван нейтрально и не содержит слова «паспорт».

Допустить размещение при условии, что ссылка будет передана только одному сотруднику.

Проверить соответствие выбранной системы применимым требованиям информационной безопасности и установленному порядку размещения документов, не допуская неправомерного доступа.

Считать любой интернет-сервис допустимым, поскольку документ существует в электронной форме.

Пояснение: Сам факт наличия пароля или закрытой ссылки ещё не подтверждает соответствие используемого решения требованиям защиты информации. Для электронных документов ДСП организация должна выбирать и применять предусмотренные средства и обеспечивать защиту от передачи лицам без права доступа.

Вопрос #115

Какое обстоятельство свидетельствует о риске утечки при работе с защищаемым электронным документом?

Документ хранится в системе с ограниченным доступом и проверяемыми полномочиями пользователей.

Работник имеет доступ только к сведениям, необходимым для порученной работы.

К файлу предоставлены права чтения пользователям, для которых не установлено основание доступа.

При передаче документа используются предусмотренные организацией процедуры согласования.

Пояснение: Риск связан не только с копированием или отправкой файла, но и с несанкционированной возможностью ознакомиться с ним. Необходимо исключать доступ и передачу информации тем лицам, у которых нет соответствующего права. Проверка прав доступа относится к базовым мерам предупреждения утечек.

Вопрос #116

Почему простое удаление ярлыка или ссылки на электронный документ не является надлежащим уничтожением защищаемой информации?

Потому что при таком действии содержимое файла и возможные копии могут сохраняться на носителях и оставаться доступными.

Потому что уничтожение документов допускается только до их регистрации.

Потому что хранение электронных документов запрещено при наличии бумажных экземпляров.

Потому что после удаления ярлыка файл автоматически переводится в категорию государственной тайны.

Пояснение: Удаление ярлыка убирает лишь способ обращения к файлу и не гарантирует удаления самого содержания. Применимый порядок уничтожения электронных документов ДСП требует такого воздействия на данные или носитель, которое исключает считывание либо восстановление, а также соблюдения правил оформления уничтожения.

Вопрос #117

Уполномоченный сотрудник обнаружил, что паспорт безопасности был направлен не тому адресату. Какое решение соответствует целям защиты информации?

Считать отправку несущественной, если получатель обещает не читать вложение.

Ограничить дальнейшее распространение в доступных пределах, сообщить по установленному порядку и организовать оценку нарушения и меры предотвращения последствий.

Разослать файл другим адресатам, чтобы ошибочная передача не выделялась в переписке.

Изменить название файла и продолжить рассылку без проверки полномочий получателей.

Пояснение: Ошибочная отправка может создать неправомерный доступ. Реагирование должно быть направлено на прекращение дальнейшей доступности, выяснение обстоятельств и предупреждение неблагоприятных последствий. Для организаций в сфере Положения № 1233 при разглашении предусмотрены также информирование руководителя и расследование.

Вопрос #118

Как проверить, действительно ли подразделение выполняет утверждённый порядок защиты паспортов безопасности, а не только имеет формальную инструкцию?

Пояснение: Постоянный контроль предполагает реальную проверку состояния защиты, а не наличие одного документа. Должны работать процедуры, обеспечивающие законный доступ, управляемое обращение, проверку наличия и реагирование на нарушения. Конкретный состав контрольных действий зависит от сферы действия требований.

Считать наличие подписанной инструкции достаточным подтверждением защищённости.

Оценивать фактическое соблюдение правил доступа, учёта, передачи, хранения и реагирования на выявленные нарушения.

Проверять только внешний вид титульного листа каждого паспорта.

Проводить проверку исключительно после наступления срока уничтожения документов.