Алматы облысының цифрлық технологиялар басқармасы

Ақпараттық жүйеге заңсыз қол жеткізу — қылмыстық құқықбұзушылық болып саналады және қолданыстағы заңнамаға сәйкес қатаң жазаланады. Мұндай әрекет үшін кінәлі тұлғаға айыппұл салу, түзеу жұмыстарына жіберу, бостандығын шектеу немесе бас бостандығынан айыру сияқты жаза түрлері қолданылады. Егер заңсыз қол жеткізу салдарынан ақпараттың жойылуы, бұрмалануы, көшірілуі немесе ақпараттық жүйенің жұмысы бұзылса, онда жаза мөлшері ауырлатылады. Мемлекеттік құпияларға немесе маңызды мемлекеттік ақпараттық ресурстарға қол сұғу жағдайында жауапкершілік одан да қатаң болып, ұзақ мерзімді бас бостандығынан айыру жазасы тағайындалуы мүмкін. Жаза нақты жағдайдың ауырлығына, келтірілген залалдың көлеміне және құқықбұзушының әрекеттерінің дәрежесіне байланысты белгіленеді.

Ақпараттық қауіпсіздік талаптары ең алдымен ISO/IEC 27001 стандартына негізделеді, ол ақпараттық қауіпсіздік басқару жүйесін (ISMS) құруға, енгізуге және жетілдіруге қойылатын талаптарды анықтайды. Сонымен қатар, ISO/IEC 27002 стандарты ақпараттық қауіпсіздік шараларының практикалық ұсыныстарын береді. АҚШ-тың Ұлттық стандарттар және технологиялар институтының (NIST) әзірлеген NIST SP 800-53 сияқты құжаттары да ақпараттық жүйелер үшін қауіпсіздік бақылауларын белгілейді. COBIT әдістемесі IT басқару және бақылау процестеріне назар аударады, ал ITIL кітапханасы IT қызметтерін басқарудағы қауіпсіздік элементтерін қамтиды. Бұл халықаралық стандарттар мен әдістемелер ұйымдардың ақпараттық қауіпсіздігін жүйелі түрде қамтамасыз етуге және халықаралық талаптарға сәйкестендіруге мүмкіндік береді.

Ақпараттық жүйелердегі қауіпсіздік қатерлері арнайы бағдарламалық құралдармен жүйелі түрде мониторинг жүргізу, осалдықтарды автоматты түрде сканерлеу, ақпараттық жүйелерге пентест (кіру тестілеуі) жасау арқылы анықталады. Сонымен қатар, оқиғалар журналдары мен жүйелік логтар үнемі талданып, күдікті белсенділіктер мен шабуыл әрекеттері бақыланады. Қауіпсіздік сарапшылары жүйедегі аномалияларды, рұқсатсыз кіру әрекеттерін немесе техникалық әлсіздіктерді уақтылы анықтау үшін түрлі талдау әдістерін қолданады. Бұған қоса, сыртқы ақпараттық қауіптер туралы дереккөздерден алынған мәліметтер негізінде алдын ала ескерту және қатерлерді бағалау жұмыстары жүргізіледі.

Ақпараттық қауіпсіздік талаптарын бұзған жағдайда түрлі деңгейдегі жауапкершілік қолданылады. Тәртіптік жауапкершілік — қызметтік міндеттерді орындамау немесе ішкі ережелерді бұзу үшін ескерту, сөгіс немесе жұмыстан босату түрінде қарастырылады. Әкімшілік жауапкершілік — ақпараттық қауіпсіздік ережелерін бұзғаны үшін айыппұл немесе басқа да әкімшілік жазаларды қамтиды. Азаматтық-құқықтық жауапкершілік — келтірілген материалдық немесе моральдық зиянды өтеуді көздейді. Ал егер заң бұзушылық ауыр зардаптарға әкелсе, мысалы, деректердің жаппай таралуы немесе мемлекеттік құпияның жариялануы сияқты жағдайлар болса, қылмыстық жауапкершілік тағайындалады, оған айыппұл, бас бостандығын шектеу немесе бас бостандығынан айыру жазалары кіруі мүмкін. Жауапкершіліктің нақты түрі бұзушылықтың сипаты мен ауырлығына байланысты анықталады.

Ақпараттық қауіпсіздік инциденттері кезінде ең алдымен инцидент туралы жауапты тұлғаларға хабарланады және оқиғаның көлемі мен ықтимал зардаптары бағаланады. Қауіп-қатер дереу оқшауланады: зиянды әрекеттерді тоқтату үшін жүйелерге немесе желілерге қолжетімділік шектеледі. Оқиғаның себептері мен салдары зерттеліп, тиісті техникалық және ұйымдық шаралар қабылданады. Ақпараттық жүйелер мен деректер резервтік көшірмелер арқылы қалпына келтіріледі. Кейін инцидентке қатысты толық талдау жасалып, осындай оқиғалардың қайталануын болдырмау үшін қауіпсіздік саясаты мен ішкі процестер жетілдіріледі. Қажет болған жағдайда уәкілетті мемлекеттік органдар мен зардап шеккен тұлғаларға хабарлама беріледі.

Дербес деректерді қорғау азаматтардың жеке ақпаратының рұқсатсыз қол жеткізуден, өзгертуден, жария етуден немесе жойылудан қорғалуын қамтамасыз етуге бағытталған. Бұл процесс деректерді жинау, өңдеу және сақтау кезінде қолданыстағы заңнамалардың талаптарын сақтау арқылы жүзеге асады. Деректерді қорғау үшін техникалық құралдар (шифрлау, қол жеткізу шектеулері), ұйымдық шаралар (қызметкерлерді оқыту, ішкі ережелер енгізу) және құқықтық негіздер (пайдаланушылардың келісімі, дербес деректерді қорғау саясаты) қолданылады. Сонымен бірге субъектілерге өз деректерін қарау, өзгерту немесе жою құқығы беріледі, ал деректерді өңдейтін ұйымдар деректердің қауіпсіздігін қамтамасыз етуге міндетті.