1.3. Законодавство України

Нормативно-правове забезпечення організації і проведення заходів щодо захисту інформації являє собою сукупність законів, нормативних актів і правил, що регламентують як загальну організацію робіт, так і створення і функціонування конкретних систем захисту інформації. В даний час в Україні, як і в інших країнах СНД, нормативно-правова база захисту інформації знаходиться в стадії формування.

Однієї з найбільше важливих складових частин правового забезпечення системи безпеки інформації є стандартизація і сертифікація, що повинні вирішувати такі задачі.

• Створення пакета основних стандартів організаційно-методичного і термінологічного забезпечення системи захисту інформації.

• Стандартизація вимог по захисту інформації в засобах обчислювальної техніки, в автоматизованих системах, інформаційних мережах і засобах телекомунікації.

• Нормативне і метрологічне забезпечення сертифікації й атестації технічних засобів захисту інформації і контролю їхньої ефективності.

Закон України "Про інформацію" установлює загальні правові основи одержання, використання, поширення і збереження інформації.

Закон закріплює право особистості на інформацію у всіх сферах суспільного і державного життя України, а також систему інформації, її джерела, визначає статус учасників інформаційних відношень, регулює доступ до інформації і забезпечує її охорону, захищає особистість і товариство від помилкової інформації. Чинність закону поширюється на інформаційні відношення, що виникають у всіх сферах життя і діяльності товариства і держави при одержанні, використанні, поширенні і збереженні інформації. Суб'єктами інформаційних відношень є громадяни України, юридичні особи, держава Україна, а також інші держави, їхні громадяни і юридичні особи, міжнародні організації й особи без громадянства.

Категорії інформації і режим доступу до неї визначаються такими статтями Закону.

Стаття 28. Режим доступу до інформації

Режим доступу до інформації – це передбачений правовими нормами порядок одержання, використання, поширення і збереження інформації.

По режиму доступу інформація ділиться на відкриту та інформацію з обмеженим доступом.

Держава здійснює контроль за режимом доступу до інформації.

Стаття 30. Інформація з обмеженим доступом

Інформація з обмеженим доступом по своєму правовому режимі ділиться на конфіденційну і секретну.

Конфіденційна інформація це зведення, що знаходяться у володінні, користуванні або розпорядженні окремих фізичних або юридичних осіб і що поширюються по їхньому бажанню відповідно до передбачених ними умов.

Громадяни, юридичні особи, що володіють інформацією фахового, ділового, виробничого, банківського, комерційного й іншого характеру, отриманої на власні засоби, або яка є предметом їх фахового, ділового, виробничого, банківського, комерційного й іншого інтересу і порушуючи не передбаченої законом таємниці, самостійно визначають режим доступу до неї, включаючи приналежність її до категорії конфіденційної, і встановлюють для неї систему (засоби) захисту.

Виняток складає інформація комерційного і банківського характеру, а також інформація, правовий режим якої установлений Верховною Радою України по уявленню Кабінету Міністрів України (із питань статистики, екології, банківських операцій, податків і т.п.), і інформація, утаювання якої являє загрозу життя і здоров'ю людей.

До секретної інформації відноситься інформація, що містить зведення, що складають державну й іншу передбачену законом таємницю, розголошення якої завдає шкоди особі, товариству і державі,

Віднесення інформації до категорії секретних зведень, що складають державну таємницю, і доступ до неї громадян здійснюється відповідно до закону про цю інформацію.

Стаття 53. Інформаційний суверенітет

Основою інформаційного суверенітету України є національні інформаційні ресурси.

До інформаційних ресурсів України відноситься вся приналежна їй інформація, незалежно від утримання, форм, часу і місця створення.

Україна самостійно формує інформаційні ресурси на своїй території і вільно розпоряджається ними, за винятком випадків, передбачених законами і міжнародними договорами.

Стаття 54. Гарантії інформаційного суверенітету України

Інформаційний суверенітет України забезпечується: виключним правом власності України на інформаційні ресурси, що формуються за рахунок засобів державного бюджету; створенням національних систем інформації;

установленням режиму доступу інших держав до інформаційних ресурсів України;

використанням інформаційних ресурсів на основі рівноправного співробітництва з іншими державами.

Метою Закону України "Про захист інформації в автоматизованих системах" є встановлення основ регулювання правових відношень у захисті інформації в автоматизованих системах за умови дотримання права власності громадян України і юридичних осіб на інформацію і права доступу до неї, права власника інформації на її захист, а також установленого чинним законодавством обмеження на доступ до інформації.

Чинність Закону поширюється на будь-яку інформацію, оброблювану в автоматизованих системах. У Законі під автоматизованою системою (АС) розуміється система, що здійснює автоматизоване опрацювання даних, до складу якої входять технічні засоби опрацювання (засоби обчислювальної техніки і зв'язку), а також методи, процедури і програмне забезпечення.

Інформація в АС – сукупність усіх даних і програм, використовуваних в АС незалежно від засобу їх фізичного і логічного уявлення.

Опрацювання інформації – сукупність операцій (збір, уведення, запис, перетворення, зчитування, зберігання, знищення, реєстрація), здійснюваних за допомогою технічних і програмних засобів, включаючи обмін по каналах передачі даних.

Захист інформації – сукупність організаційно-технічних заходів і правових норм для попередження заподіяння збитку інтересам власника інформації або АС і осіб, що користуються інформацією.

Відповідно до Закону об'єктами захисту є інформація, оброблювана в АС, права власників цієї інформації і власників АС, права користувача. Захисту підлягає будь-яка інформація в АС, необхідність захисту якої визначається її власником або чинним законодавством.

Доступ до інформації, що зберігається, опрацьовується і передається в АС, здійснюється лише відповідно до правил розмежування доступу, установленим власником інформації або уповноваженою їм особою. Без дозволу власника доступ до інформації, що опрацьовується в АС, здійснюється лише у випадках, передбачених чинним законодавством.

Стаття 10. Забезпечення захисту інформації в АС

Захист інформації в АС забезпечується шляхом: дотримання суб'єктами правових відношень норм, вимог і правил організаційного і технічного характеру по захисту оброблюваної інформації; використання засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку й АС у цілому, засобів захисту інформації, що відповідають установленим вимогам по захисту інформації (маючих відповідний сертифікат);

перевірки відповідності засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку й АС в цілому установленим вимогам по захисту інформації (сертифікація засобів обчислювальної техніки, засобів зв'язку й АС);

здійснення контролю по захисту інформації.

Також в Україні розроблений цілий ряд інших нормативних документів. Зокрема, ДСТУ 3396.1-96. – Захист інформації. Технічний захист інформації. Порядок проведення робіт» встановлює вимоги до порядку проведення робіт з технічного захисту інформації.

Відносини у сфері захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах встановлює Закон України Про захист інформації в інформаційно-телекомунікаційних системах.

ДСТУ ГОСТ 31078 : 2004 – Захист інформації. Випробування програмних засобів на наявність комп'ютерних вірусів. Типова настанова (ГОСТ 31078 – 2002, IDT) регламентує порядок перевірки наявності вірусів у системі.

НД ТЗІ 2.5-010-03 «Вимоги до захисту інформації WEB-сторінки від несанкціонованого доступу» встановлює вимоги до технічних та організаційних заходів захисту інформації WEB-сторінки в мережі Інтернет.

Окремо слід виділити документи, що стосуються криптографічного захисту, який є невід’ємною частиною захищених телекомунікаційних систем та мереж:

ДСТУ 4145 – 2002 – Інформаційні технології. Криптографічний захист інформації. Цифровий підпис, шо грунтується на еліптичних кривих. Формування та перевіряння

ДСТУ ISO 9160 – 2003 – Інформаційні технології. Шифрування даних. Вимоги до взаємодії на фізичному рівні (ISO 9160 : 1988, IDТ)

ДСТУ ISO/IEC 9798 – 1 – 2002 – Інформаційні технології. Методи захисту. Автентифікація суб'єктів. Частина 1. Загальні положення (ISO/IЕС 9798 – 1 : 1997, IDТ)

ДСТУ ISO/IEC 9798 – 3 – 2002 – Інформаційні технології. Методи захисту. Автентифікація суб'єктів. Частина 3. Механізми з використанням методу цифрового підпису (ISO/IEC 9798 – 3 : 1998, IDТ)

ДСТУ ISO/IEC 10118 – 1 : 2003 – Інформаційні технології. Методи захисту. Геш-функції. Частина 1. Загальні положення (ISO/IEC 10118 – 1 : 2000, IDТ)

ДСТУ ISO/IEC 10118 – 2 : 2003 – Інформаційні технології. Методи захисту. Геш-функції. Частина 2. Геш-функції з використанням n-бітового блокового шифру (ІSO/IЕС 10118 – 2 : 2000, IDТ)