В Российской Федерации система нормативного регулирования в сфере защиты информации (ЗИ) имеет четкую иерархическую структуру. Несмотря на распространенное мнение‚ что единственным разработчиком руководящих документов (РД) является «министерство»‚ на практике этот процесс распределяется между несколькими ключевыми федеральными органами исполнительной власти‚ каждый из которых обладает своей зоной ответственности и компетенцией. На актуальной схемой является взаимодействие ФСТЭК России‚ ФСБ России‚ Гостехкомиссии (ГТК) и отраслевых министерств/ведомств.

Ключевые федеральные разработчики руководящих документов

Согласно действующему законодательству и информации из открытых источников‚ основную массу федеральных руководящих документов (РД ФСТЭК‚ РД ФСБ) разрабатывают не министерства в привычном понимании‚ а специально уполномоченные федеральные службы:

• ФСТЭК России (Федеральная служба по техническому и экспортному контролю) — является главным разработчиком технических и организационных стандартов защиты информации‚ не составляющей государственную тайну. Именно ФСТЭК утверждает РД по защите от несанкционированного доступа (НСД)‚ требования к средствам защиты информации (СЗИ)‚ порядку аттестации объектов информатизации и многое другое. В предоставленных данных прямо указано: «Руководящие документы ФСТЭК и ФСБ России задают технические стандарты защиты от НСД и определяют…».
• ФСБ России (Федеральная служба безопасности), разрабатывает нормативные акты и руководящие документы в области криптографической защиты информации‚ защиты государственной тайны‚ а также лицензирует соответствующие виды деятельности.
• Государственная техническая комиссия (ГТК) при Президенте РФ, разрабатывает и утверждает руководящие документы для объектов‚ связанных с государственной тайной и особой важностью (например‚ Приказ председателя Гостехкомиссии России от 19 июня 2002 г. № 187 «Руководящий документ. Защита информации»).

Роль министерств и ведомств: отраслевые и ведомственные документы

Именно здесь проявляется роль министерств. Они не разрабатывают федеральные РД (как РД ФСТЭК)‚ но создают отраслевые (ведомственные) нормативные документы‚ обязательные для подведомственных организаций.

Механизм работы выглядит следующим образом:

1. Министерство/ведомство разрабатывает проект отраслевого документа (инструкцию‚ положение‚ методику).
2. Проект согласовывается с ФСТЭК России (и/или ФСБ России в зависимости от сферы).
3. После согласования документ утверждается приказом/распоряжением министра/руководителя ведомства.

Пример из практики: «организуют и координируют проведение НИОКР в области защиты информации в соответствии с государственными (отраслевыми) программами; разрабатывают по согласованию с ФСТЭК отраслевые документы по защите информации». Это подтверждает‚ что министерства — инициаторы и разработчики отраслевой нормативной базы‚ но в строгом соответствии с федеральными стандартами.

Типовые инструкции и организационно-распорядительные документы

На базе федеральных РД и отраслевых документов в конкретных организациях (включая центральные аппараты министерств‚ территориальные органы и подведомственные организации) разрабатываются локальные акты.

Пример структуры локальной документации (на примере типовой инструкции):

• Типовая инструкция о защите информации в АС (например‚ РД 21-02-2006 для профильных ведомств).
• На ее основе разрабатываются:
  • Инструкции по защите информации для всех категорий должностных лиц‚ допущенных к информации ограниченного доступа.
  • Организационно-распорядительные документы (Положения‚ Порядки‚ Регламенты).
  • Руководство по защите информации (Руководство) — основной документ на объекте информатизации.

Порядок разработки Руководства по защите информации (Руководство):

Процесс регламентирован и включает этапы:

1. Разработка подразделением защиты информации (или ответственным исполнителем).
2. Согласование с заинтересованными структурами (служба безопасности‚ ИТ-отдел‚ юристы).
3. Утверждение руководителем организации.
4. Корректировка приложений при изменении характера работ‚ разведобстановки‚ введения новых нормативных актов или уточнении легенд прикрытия.

Состав и содержание политики информационной безопасности

Состав организационно-распорядительных документов политики ИБ существенно зависит от типа информационной системы (ИС) и предъявляемых к ней требований:

• Требования федерального законодательства (152-ФЗ‚ 149-ФЗ‚ Закон о Гостайне и др.).
• Руководящие документы полномочных органов (ФСТЭК‚ ФСБ‚ ГТК).
• Отраслевые стандарты и ведомственные акты.

Компании-разработчики СЗИ и интеграторы (например‚ SearchInform‚ Инфотекс Интернет Траст‚ Falcongaze‚ ФГУП НПП «Гамма») формируют комплекты типовых документов‚ адаптированные под конкретные классы защищенности и классы ИС (К1–К4‚ 1Г–4Г‚ УС–КС)‚ опираясь именно на эту иерархию нормативов.

Ответственные лица и контроль

В структуре организации за организацию разработки и внедрения документов отвечает Начальник отдела (лаборатории‚ сектора) по защите информации. Его должностные обязанности включают:

• Организацию разработки и внедрения организационных и технических мероприятий по ЗИ.
• Контроль за соблюдением требований Руководства‚ Инструкций и иных документов.
• Взаимодействие с аккредитованными аттестаторами и регуляторами (ФСТЭК‚ ФСБ).

Контроль за выполнением требований закона осуществляют три ключевых ведомства: ФСТЭК России (разрабатывает нормативные акты‚ проводит контроль в сфере НСД)‚ ФСБ России (криптозащита‚ гостайна) и Роскомнадзор (персональные данные).

Актуальные нормативно-методические материалы (справочно)

Для практической работы специалистами по ЗИ используются сборники‚ такие как:

• Справочник законодательства РФ в области информационной безопасности (актуальные версии‚ напр.‚ от ).
• Критерии оценки безопасности информационных технологий (Часть 1‚ 2‚ 3).
• База уязвимостей ФСТЭК (создается и поддерживается для борьбы с киберугрозами).

Резюмируя: утверждение «Разработчиком руководящих документов является министерство» верно только в контексте ведомственной (отраслевой) документации. На федеральном уровне‚ устанавливающем обязательные для всех стандарты защиты критической инфраструктуры‚ госсистем и персональных данных‚ ведущими разработчиками являются ФСТЭК России и ФСБ России‚ а для особо важных объектов, ГТК при Президенте РФ. Министерства адаптируют эти федеральные требования к специфике своей отрасли‚ выпуская приказы и инструкции‚ обязательные для своих подведомственных организаций. Понимание этой иерархии критически важно для корректного построения системы документации на предприятии и успешного прохождения аттестации объектов информатизации.