Конфиденциальная информация о безопасности - Sensitive security information

Дальнейшая информация: Конфиденциальная информация о безопасности

Конфиденциальная информация о безопасности или же SSI это термин, используемый в Соединенные Штаты для обозначения конфиденциальной, но несекретной информации, полученной или созданной в ходе деятельности по обеспечению безопасности, публичное раскрытие которой будет представлять собой необоснованное вторжение в частную жизнь, раскрыть коммерческую тайну, конфиденциальную или конфиденциальную информацию или нанести ущерб безопасности транспортировки. Это не форма классификации согласно Постановлению Правительства № 12958 с поправками. SSI - это нет секретная информация о национальной безопасности в смысле Совершенно секретно, Секретно или Конфиденциально. Защита и совместное использование SSI регулируется Раздел 49 Свод федеральных правил (CFR) части 15 и 1520. Это обозначение присвоено информации, чтобы ограничить доступ к информации только тем лицам, которые "нужно знать "для того, чтобы участвовать в защите национальной транспортной системы или контролировать ее. К числу тех, кому это необходимо знать, могут относиться лица, не входящие в TSA, например операторы аэропортов, операторы самолетов, железнодорожные перевозчики, железнодорожные перевозчики и получатели опасных материалов, суда и морские перевозки владельцы и операторы портов, судовладельцы иностранных судов и другие лица.[1]

Информация, обозначенная как SSI, не может быть передана широкой публике, и она не подлежит разглашению в соответствии с Закон о свободе информации (FOIA).[2]

Предыстория: история законодательства и регулирования

После 11 сентября 2001 г. террористических атак в Соединенных Штатах, Конгресс принял Закон об авиационной и транспортной безопасности (Pub. L. No. 107-71), известный как ATSA, который установил DOT администрация транспортной безопасности (TSA). Закон также передал ответственность за безопасность гражданской авиации от FAA к TSA. 22 февраля 2002 г. FAA и TSA опубликовали совместное окончательное правило, передающее большую часть правил авиационной безопасности FAA, в том числе правила FAA SSI, в TSA как 49 CFR Part 1520. В нем также более подробно указывается, какая информация является SSI, и оценки защищенных уязвимостей. для всех видов транспорта. В Закон о внутренней безопасности 2002 г. (Pub. L. No. 107-296) учредил Департамент внутренней безопасности (DHS) и перевел TSA из DOT в DHS. Закон также внес поправки в раздел 49 U.S.C. § 40119, чтобы сохранить полномочия SSI для министра транспорта, и добавил подраздел (я) в 49 U.S.C. § 114, подтверждающий полномочия TSA в соответствии с DHS предписывать правила SSI. TSA и DOT расширили правила SSI, включив в них меры безопасности на море, реализуемые правилами береговой охраны США, и разъяснили ранее существовавшие положения SSI во временном окончательном правиле (IFR), выпущенном 18 мая 2004 года. Правила DOT SSI изложены в 49 CFR Part 15, и Регламент TSA SSI остается на уровне 49 CFR Part 1520.

Закон 2005 г. о РЕАЛЬНОМ ИДЕНТИФИКАЦИИ (Pub. L. № 109–13) требовал от DHS установить стандарты для водительских прав, которые федеральные агентства могли принимать для целей официальной идентификации, включая «посадку на коммерческие воздушные суда, регулируемые федеральным законодательством». Раздел 6 CFR Part 37 был опубликован 29 января 2008 г. и требует наличия плана безопасности и соответствующих оценок уязвимостей, которые определены как SSI и регулируются 49 CFR 1520.

Закон 2006 года об ассигнованиях на внутреннюю безопасность (Pub. L. No. 109-90, кодифицированный в 6 USC § 114) требовал от DHS предоставления общеотделительной политики для обозначения, защиты и маркировки документов как SSI, а также процедур аудита и отчетности. . Закон также требовал, чтобы DHS сообщало Конгрессу о количестве координаторов SSI в DHS и предоставляло список документов, обозначенных как SSI в целом. Также требовалось, чтобы DHS предоставил руководство, которое включает обширные примеры SSI для дальнейшего определения отдельных категорий, указанных в 49 CFR, раздел 1520.5 (b) (1) - (16). Закон предписывал, чтобы такое руководство служило основной основой и авторитетом для защиты, обмена и маркировки информации как SSI.

Закон 2007 года об ассигнованиях на внутреннюю безопасность (Pub. L. No. 109-295) требовал от DHS пересмотреть свои директивы SSI и предписывал своевременное рассмотрение запросов SSI. Он также содержал требования к отчетности, требовал расширенного доступа к SSI в судебных процессах и требовал, чтобы все SSI старше трех лет, не относящиеся к текущим категориям SSI, предоставлялись по запросу, если секретарь DHS [или назначенное ему лицо] не дает письменного определения, что информация должен оставаться SSI.

Окончательное правило безопасности железнодорожного транспорта, опубликованное в Федеральном реестре 26 ноября 2008 г., добавляет в Часть 1520 термины, связанные с железнодорожным транспортом, и лиц, подпадающих под действие страхового покрытия, включая железнодорожных перевозчиков, железнодорожные объекты, железнодорожных перевозчиков и получателей опасных материалов и железнодорожные транзитные системы, которые подробно в новой Части 1580. Хотя оценки уязвимости железных дорог и информация об угрозах уже были SSI в соответствии с Частью 1520, это окончательное правило железных дорог указывает, что информация о расследованиях и проверках безопасности железных дорог, мерах безопасности, учебных материалах по безопасности, критических активах железнодорожной инфраструктуры и исследованиях и разработка тоже SSI.

Категории

Как указано в 49 CFR §1520.5 (b), существует 16 категорий SSI, из которых есть три типа. Четыре категории называются «категориальными» и автоматически обозначаются как SSI. Одиннадцать категорий требуют заключения или анализа для получения статуса SSI, а одна категория называется «другой» и определяется по письменному запросу из уполномоченного офиса.[3]

Определение конфиденциальной информации о безопасности

Обозначение SSI для получения информации включает, но не ограничивается:

  • Программы безопасности и планы на случай непредвиденных обстоятельств в отношении любого оператора воздушного судна, оператора аэропорта или программы обеспечения безопасности оператора стационарной базы.
  • Планы на случай непредвиденных обстоятельств в отношении любого судна, морского объекта или портовой зоны.
  • Национальные или территориальные планы безопасности.
  • Планы реагирования на инциденты безопасности.
  • Директивы по безопасности, изданные TSA[1]
  • Дизайн безопасности водительских прав, описание функций безопасности и закрытые ключи для зашифрованных машиночитаемые данные содержащиеся в нем.
  • Информация, касающаяся современных методов проверки подлинности выданных государством водительских прав и удостоверений личности.
  • Планы обеспечения безопасности водительских прав и удостоверений личности правительства штата.
  • Методы оценки уязвимостей в защищенных государственных документах

Критика и похвала политики SSI

В сентябре 2004 года два члена Комитета по ассигнованиям Палаты представителей обратились к аудиторам с просьбой проанализировать, как Министерство внутренней безопасности использует свои полномочия для сокрытия информации о безопасности транспорта от общественности. Беспокойство заключается в том, что материалы должны быть защищены, но общественность также необходимо информировать об информации, которая влияет на их безопасность.

Вот некоторые из рассматриваемых примеров:

  • У TSA были письменные ответы на вопросы, которые были определены как конфиденциальная информация о безопасности, но она не считалась конфиденциальной за месяц до этого.
  • TSA сообщила, что определенная информация, относящаяся к электронной проверке зарегистрированного багажа в аэропортах, принадлежит SSI, где эта информация уже стала достоянием общественности.

Было установлено, что применение TSA правил SSI привело к некоторым спорам по поводу процедур безопасности в аэропорту, ответственности сотрудников, досмотра пассажиров и соглашений о секретности аэропорта. Некоторые считают, что слишком много информация о некоторых из этих обстоятельств утаивалась от общественности.[4]

В результате возникло мнение, что конфиденциальные материалы должны быть защищены, но общественность также должна быть информирована об информации, которая влияет на безопасность и защищенность ». Хотя раскрытие определенной конфиденциальной информации может поставить под угрозу граждан страны и инфраструктуру, федеральное правительство должно помнить о законном интересе общества и его праве знать информацию, касающуюся угроз для транспортной системы и связанных с ними уязвимостей. Соответственно, доступ к этой информации должен быть ограничен только в том случае, если необходимо принять меры против тех, кто представляет угрозу, и их способность разрабатывать методы для подрыва мер безопасности ". [5]

В отчете Конгрессу от 30 ноября 2007 г., озаглавленном Процессы Управления транспортной безопасности для обозначения и публикации конфиденциальной информации безопасности, Счетная палата правительства (GAO) заявила:

«DHS, в первую очередь через Управление SSI TSA, выполнило все законодательные положения Закона об ассигнованиях DHS 2007 года и предприняло действия для выполнения всех рекомендаций нашего отчета за июнь 2005 года. DHS пересмотрело свой MD (т. Е. Директиву управления), чтобы удовлетворяют потребность в обновлении руководства по SSI, и TSA установила более подробные критерии и примеры SSI, которые соответствуют требованиям Закона об ассигнованиях DHS 2007 года, и нашей рекомендации 2005 года TSA установить руководство и процедуры для использования правил TSA для определения того, что составляет SSI. Кроме того, TSA задокументировала критерии и примеры в различных публикациях, чтобы служить руководством для определения и обозначения SSI. TSA также поделилась своей документацией с критериями и примерами с другими агентствами DHS ».

В показаниях Конгресса об обмене информацией для внутренней безопасности и контролируемой несекретной информации (CUI), представленных 28 июля 2008 г., GAO пошло еще дальше, заявив:

«Программа Управления транспортной безопасности (TSA) по управлению информацией, которую оно определяет как конфиденциальную информацию безопасности, может служить моделью для руководства внедрением CUI другими агентствами».

Рекомендации

  1. ^ а б «Политика и процедуры в отношении обозначения SSI» (PDF). 2003-10-08. Получено 2008-06-26.
  2. ^ «Руководство по конфиденциальной информации о безопасности». Получено 2008-06-26.
  3. ^ «Для обозначения конфиденциальной информации о безопасности необходимы четкие политики и надзор» (PDF). Получено 2008-06-26.
  4. ^ «Отчет CRS для Конгресса» (PDF). Получено 2008-06-26.
  5. ^ «Критика политики SSI». Получено 2008-06-26.