Защита государственной тайны: режим секретности, органы, требования к СЗИ

Государственная тайна — защищаемые государством сведения в военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной областях, распространение которых может нанести ущерб безопасности России (ст. 2 Закона РФ от 21.07.1993 № 5485-1 «О государственной тайне»). Защита гостайны — это не гриф на документе, а система: органы защиты, средства и методы защиты, а также мероприятия, которые эти органы проводят (та же статья даёт этому системе отдельное определение).

Для рынка СЗИ ключевое отличие гостайны от остальной регуляторики в том, что она живёт по собственному закону, а не по приказам ФСТЭК №117, №235, №239 или 152-ФЗ — те прямо регулируют защиту информации, не составляющей гостайну. Продукт, сертифицированный для ГИС, значимых объектов КИИ или ИСПДн, не получает автоматического права работать в контуре гостайны: для этого нужны отдельная сертификация, отдельная лицензия и отдельная аттестация объекта, о которых ниже.

Закон № 5485-1 определяет государственную тайну как «защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации» (ст. 2). Он же задаёт «гриф секретности» — реквизиты на носителе или в сопроводительной документации, свидетельствующие о степени секретности сведений; использовать грифы для сведений, не отнесённых к гостайне, закон прямо запрещает (ст. 2, ст. 8).

Статья 5 делит сведения, составляющие гостайну, на четыре области: военную (стратегические и оперативные планы, боевая и мобилизационная готовность войск, характеристики вооружения); экономическую, научную и техническую (мобилизационные мощности промышленности, гособоронзаказ, стратегические запасы); внешнюю политику и экономику (внешнеполитическая деятельность, финансовая политика в отношении иностранных государств); разведывательную, контрразведывательную и оперативно-розыскную деятельность, включая противодействие терроризму.

Детальный перечень сведений, отнесённых к гостайне, формирует межведомственная комиссия и утверждает президент; он подлежит открытому опубликованию и пересматривается по мере необходимости (ст. 9).

Статья 8 закона устанавливает три степени секретности и соответствующие им грифы — «особой важности», «совершенно секретно» и «секретно» — и требует, чтобы степень соответствовала тяжести возможного ущерба безопасности России. Разграничительные признаки степеней раскрывает постановление правительства от 04.09.1995 №870:

↔ таблицу можно прокрутить вбок

Статья 20 закона № 5485-1 перечисляет органы защиты государственной тайны: межведомственную комиссию по защите государственной тайны; федеральный орган, уполномоченный в области обеспечения безопасности (ФСБ); федеральный орган, уполномоченный в области обороны (Минобороны); федеральный орган, уполномоченный в области внешней разведки (СВР); федеральный орган, уполномоченный в области противодействия техническим разведкам и технической защиты информации (ФСТЭК); а также структурные подразделения по защите гостайны в органах власти, на предприятиях, в учреждениях и организациях.

Межведомственная комиссия — коллегиальный орган, который координирует деятельность органов власти по защите гостайны в интересах разработки и выполнения государственных программ и нормативных актов. Действующее положение о ней утверждено указом президента от 06.10.2004 №1286 (с последующими изменениями, включая правки 2024 года — точное содержание положения по последней редакции стоит свериться на kremlin.ru перед цитированием).

Комиссия формирует перечень сведений, отнесённых к гостайне (ст. 9), и координирует работы по организации сертификации средств защиты информации (ст. 28) — эта норма прямая точка пересечения с рынком СЗИ.

↔ таблицу можно прокрутить вбок

Ведомственный пример подразделения по защите гостайны — Служба защиты государственной тайны Вооружённых Сил РФ, созданная приказом министра обороны в феврале 2003 года; её центральный орган — Восьмое управление Генерального штаба. уточняется Дата создания и функции службы подтверждены по независимому вторичному источнику (Wikipedia), прямой доступ к официальной странице истории на mil.ru в рамках подготовки материала не удался технически — перед цитированием в юридических целях стоит свериться напрямую на zgt.mil.ru.

Ключевой подзаконный акт о режиме секретности — «Инструкция по обеспечению режима секретности в Российской Федерации», утверждённая постановлением правительства от 05.01.2004 №3-1. Инструкция имеет гриф ограниченного доступа и не публикуется в открытых правовых системах, поэтому её содержание ниже дано по согласованным вторичным источникам (учебные материалы профильных центров), а не по дословной норме уточняется.

По совокупности прямых статей закона № 5485-1 и практике применения Инструкции режим секретности принято раскладывать на четыре элемента.

• Допуск и доступ. Допуск — разрешительная процедура на входе: должностное лицо или организация получают право работать со сведениями определённой степени секретности (ст. 21, 27). Доступ — конкретный факт ознакомления с конкретными сведениями в рамках уже имеющегося допуска: руководитель организует его так, чтобы сотрудник знакомился только с тем, что необходимо для его должностных обязанностей (ст. 25). Подробный разбор форм допуска, проверочных мероприятий и ограничений прав — в отдельном материале «Допуск к государственной тайне».
• Секретное делопроизводство. Отдельный от общего документооборота порядок составления, учёта, размножения, хранения, пересылки и уничтожения секретных документов и носителей — ведут его режимно-секретные подразделения организации.
• Режимные помещения. Выделенные и аттестованные помещения для хранения носителей гостайны, работы с секретными документами и совещаний по секретным вопросам, с контролем доступа.
• Защита от утечек по техническим каналам. Противодействие техническим разведкам — ПЭМИН, акустические и иные каналы утечки. За организацию и методическое обеспечение этого направления в системе защиты гостайны отвечает ФСТЭК России — именно так закон и называет её: «федеральный орган, уполномоченный в области противодействия техническим разведкам и технической защиты информации» (ст. 20).

Отдельно закон закрепляет: заключение трудового договора с лицом, которое оформляет допуск, до окончания проверки компетентными органами не допускается (ст. 21); руководитель организации несёт персональную ответственность за то, чтобы сотрудник знакомился только с необходимыми ему по должности сведениями (ст. 25) — по сути, законодательная формулировка принципа минимальных привилегий, знакомого рынку ИБ по несекретному контуру.

Статья 28 закона № 5485-1 требует: «Средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности». Организацию сертификации закон возлагает на ФСТЭК, ФСБ и Минобороны — каждый в пределах своей компетенции, порядок устанавливает правительство, а координирует работы межведомственная комиссия.

Сертификат «для несекретного контура» (по требованиям приказов ФСТЭК для ГИС, значимых объектов КИИ, ИСПДн) и сертификат «для гостайны» — не одно и то же: сертификация под гриф проводится по отдельным, более строгим требованиям, привязанным к конкретной степени секретности, и часть методик по ней закрыта грифом ДСП оценка.

Отдельно от сертификата продукта закон требует лицензию на проведение работ с гостайной (ст. 27): «Допуск предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, осуществляется путём получения ими лицензий на проведение работ со сведениями соответствующей степени секретности».

Порядок раскрывает постановление правительства от 15.04.1995 №333: лицензии на работы с использованием сведений, составляющих гостайну, выдают ФСБ (на территории России) и СВР (за рубежом); лицензии на создание СЗИ и оказание услуг по защите гостайны — ФСБ, ФСТЭК и СВР, каждый в пределах своей компетенции. Это отдельная лицензия от привычной рынку лицензии ФСТЭК на техническую защиту конфиденциальной информации (ПП №79) — организация с одной лицензией ТЗКИ не вправе автоматически выполнять работы с гостайной.

Третий слой требований — уровень доверия. Приказ ФСТЭК от 02.06.2020 №76 задаёт шесть уровней доверия, где уровень 1 самый строгий, а уровень 6 самый базовый; уровни 1, 2 и 3 применяются только для защиты гостайны, и детали требований по ним не публикуются в открытом доступе (см.

«Уровни доверия ФСТЭК и классы защиты СЗИ»). Если СЗИ позиционируется как применимое в контуре гостайны, у него должен быть уровень доверия 1–3, а не 4–6 — это наглядный маркер, который отделяет гостайновские продукты от массового рынка ГИС, КИИ и ИСПДн оценка.

Четвёртый слой — аттестация самого объекта, а не только сертификация продукта. Объекты, предназначенные для обработки сведений, составляющих гостайну, подлежат обязательной аттестации, но вне сферы действия основного массового порядка — приказа ФСТЭК от 29.04.2021 №77, который сам в своём названии выведен из-под гостайны («…требованиям о защите информации ограниченного доступа, не составляющей государственную тайну»).

Для гостайны действует отдельная процедура аттестации по подзаконным актам, часть из которых закрыта — подробнее в материале «Аттестация объектов информатизации».

↔ таблицу можно прокрутить вбок

На практике сертифицированные для гостайны продукты чаще всего приходят из тех же классов СЗИ, что и несекретный контур, но с отдельной, более строгой сертификацией: СКЗИ для криптографической защиты каналов, СЗИ от НСД для разграничения доступа, СДЗ для доверенной загрузки и инфраструктура открытых ключей и электронной подписи для секретного документооборота.

Наличие продукта в открытом реестре ФСТЭК само по себе не означает, что он сертифицирован под гриф — это нужно проверять по конкретному сертификату и уровню доверия, а не по факту присутствия в общем каталоге.

Статья 26 закона № 5485-1 формулирует общую норму: «Должностные лица и граждане, виновные в нарушении законодательства Российской Федерации о государственной тайне, несут уголовную, административную, гражданско-правовую или дисциплинарную ответственность в соответствии с действующим законодательством». Основная уголовная ответственность закреплена в статьях 283 и 283.1 УК РФ:

↔ таблицу можно прокрутить вбок

От разглашения по ст. 283 закон отделяет более тяжкий состав — государственную измену (ст. 275 УК РФ): выдачу гостайны иностранному государству или организации во вред безопасности России. Разбор состава ст. 275 выходит за рамки этого материала — важно только разграничение: «просто» разглашение и передача сведений иностранному адресату квалифицируются по разным статьям с разной тяжестью санкций.

На рынке ИБ гостайну, конфиденциальную информацию и персональные данные иногда выстраивают в одну шкалу строгости — от самого закрытого режима к самому открытому. Это упрощение мешает: перед вами не одна шкала, а три разных правовых режима с разными регуляторами, разными основаниями засекречивания и разными требованиями к СЗИ. Понятие «информация ограниченного доступа», на которое опираются все три режима, задаёт статья 9 149-ФЗ «Об информации» — базового рамочного закона.

↔ таблицу можно прокрутить вбок

Практический вывод: продукт, сертифицированный или лицензированный для работы с персональными данными или конфиденциальной информацией, не получает автоматического права применяться в контуре гостайны. Нужен отдельный, более тяжёлый комплаенс-трек — сертификат под степень секретности, уровень доверия 1–3, лицензия по ПП №333 и отдельная аттестация объекта (см. таблицу выше в разделе о требованиях к СЗИ). Общий каталог регуляторики по всем этим режимам — на странице «Комплаенс».