1.2 Система технічного захисту інформації в Україні: етапи розвитку

Як уже зазначалося метою технічного захисту інформації є запобігання загрозам витоку інформації, порушення її цілісності, авторства, спостережності та доступності.

Мета ТЗІ може бути досягнута шляхом побудови системи ТЗІ, що є сукупністю суб’єктів, об'єднаних цілями та завданнями захисту інформації інженерно-технічними заходами (організаційна структура), нормативно-правової та матеріально-технічної бази.

Основними суб’єктами системи ТЗІ в Україні є:

• Державна служба спеціального зв’язку та захисту інформації, як спеціальний уповноважений центральний орган виконавчої влади, що відповідальний за формування та реалізацію державної політики у сфері ТЗІ (Держспецзв’язок України);

• органи державної влади та місцевого самоврядування, органи управління Збройних Сил України та інших військових формувань, військові частини, підприємства, установи та організації усіх форм власності щодо яких здійснюється ТЗІ;

• підприємства, установи та організації всіх форм власності й громадяни-підприємці, які провадять діяльність з технічного захисту інформації за відповідними дозволами або ліцензіями.

Основними функціями суб’єктів системи ТЗІ є:

• оцінка стану ТЗІ в державі, визначення пріоритетних напрямів його розвитку;

• розвиток правових засад удосконалення системи ТЗІ;

• виявлення та прогнозування загроз безпеці інформації;

• забезпечення інженерно-технічними заходами захисту інформації, що підлягає технічному захисту;

• створення умов для ТЗІ, що здійснюється суб'єктами інформаційних відносин на власний розсуд;

• формування та забезпечення реалізації державної політики щодо створення та впровадження вітчизняних засобів забезпечення ТЗІ;

• створення національної системи стандартизації та нормування у галузі ТЗІ;

• організація фундаментальних і прикладних науково-дослідних робіт та розробок у галузі ТЗІ;

• забезпечення взаємодії організаційних структур системи ТЗІ з іншими системами захисту інформації та системами забезпечення інформаційної та національної безпеки;

• організація створення та виконання програм розвитку ТЗІ;

• забезпечення ліцензування підприємницької діяльності в галузі ТЗІ;

• організація контролю за якістю засобів забезпечення ТЗІ шляхом їх сертифікації;

• організація контролю за відповідністю вимогам ТЗІ об'єктів, діяльність яких пов'язана з інформацією, що підлягає технічному захисту, шляхом їх атестації;

• організація контролю за ефективністю ТЗІ на об'єктах, діяльність яких пов'язана з інформацією, що підлягає технічному захисту;

• забезпечення підготовки фахівців для роботи у галузі ТЗІ;

• сприяння залученню інвестицій і вітчизняного товаровиробника у галузь ТЗІ;

• організація міжнародного співробітництва в галузі ТЗІ, представлення інтересів України у відповідних міжнародних організаціях;

• забезпечення (кадрове, фінансове, нормативне, матеріально-технічне, інформаційне тощо) життєдіяльності складових організаційних структур системи ТЗІ.

Система ТЗІ в Україні стала формуватись фактично з часу отримання незалежності і пройшла певні етапи трансформації.

Так ще у грудні 1992 року Указом Президента України №593/92 був визначений спеціальний уповноважений орган у галузі ТЗІ – Державна служба України з питань технічного захисту інформації.

У період з 1992 по 1996 роки були сформовані основні засади технічного захисту інформації в Україні. Однак, економічні, політичні та соціальні зміни, які проходили у суспільстві вимагали розробки нових підходів до вирішення проблем захисту інформації. З метою найшвидшого і якісного вирішення цього завдання у липні 1996 року Державна служба України з питань технічного захисту інформації була ліквідована. Натомість на її базі, а також на базі Державного комітету України з питань державних секретів було створено Державний комітет України з питань державних секретів та технічного захисту інформації.

З липня 1998 року відбувається черговий етап реформування системи ТЗІ України. Державний комітет України з питань державних секретів та технічного захисту інформації був ліквідований. Натомість функції технічного захисту інформації та охорони державної таємниці були передані до окремих підрозділів Служби безпеки України. Реалізація державної політики у сфері захисту державних інформаційних ресурсів у мережах передачі даних, криптографічного та технічного захисту інформації, згідно з Указом Президента від 10 квітня 2000 року № 582/2000 «Про заходи щодо захисту інформаційних ресурсів держави» була покладена на Департамент спеціальних телекомунікаційних систем та захисту інформації (ДСТСЗІ) Служби безпеки України та його підрозділи на місцях. Функції охорони державної таємниці було покладено на Управління охорони державної таємниці СБ України.

Надання ДСТСЗІ Служби безпеки України статусу органу державного управління було зумовлено тим, що ряд його функцій мали загальнодержавне значення, а рішення Департаменту, прийняті в рамках його компетенції, стали обов’язковими для виконання іншими суб’єктами системи ТЗІ.

У листопаді 2005 року, згідно з Указом Президента України від 07.11.2005 №1556/2005 був розпочатий процес реформування ДСТСЗІ СБ України, який безпосередньо вплинув і на розвиток галузі ТЗІ в Україні, який триває до цього часу.

У межах розпочатих процесів реформування, 25 травня 2006 року на базі Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України, який був ліквідований, було утворено Державну службу спеціального зв’язку та захисту інформації як центральний орган виконавчої влади у галузях технічного і криптографічного захисту інформації.

Еволюційний розвиток системи ТЗІ в Україні був пов'язаний з формуванням нормативно-правової бази галузі ТЗІ, яка складається з норм Законів України, постанов КМУ та наказів Держспецзв’язку України, державних стандартів України тощо.

Нормативна база становить собою організаційно-функціональний образ системи ТЗІ, виражений юридичною мовою, який відповідає її цільовому призначенню. Основним завданням правових норм є моделювання системи ТЗІ та її підсистем, нормування і формалізація їх функціональних, організаційних та інформаційних структур. Крім того, такі норми самі виконують інформаційну функцію.

Нормативно-правові акти України в галузі ТЗІ можна розділити по декільком ознакам.

По-перше, в залежності від напрямів діяльності з технічного захисту, а саме:

• захист електронної інформації в ІТС від загроз несанкціонованого доступу до інформації та її витоку за рахунок ПЕМВН – нормативно-правові акти визначають вимоги до методів, засобів та порядку побудови комплексів ТЗІ в ІТС;

• захист мовної інформації на ОІД від загроз її витоку акустичними, віброакустичними та електроакустичними каналами – нормативно-правові акти визначають вимоги до методів, засобів та порядку побудови комплексів ТЗІ на ОІД;

• захист телекомунікаційних систем загального користування від загроз несанкціонованого доступу до інформації – нормативно-правові акти визначають вимоги до методів та засобів ТЗІ на програмно-керованих АТС (автоматизованих телефонних станцій) загального користування, в абонентських телефонних лініях та інш.;

• протидія іноземним технічним розвідкам (ПДІТР) – нормативно-правові акти визначають вимоги військових формувань щодо організації та забезпечення комплексної протидії засобам технічної розвідки.

Зазначені нормативні документи системи ТЗІ є фактично стандартами методів, засобів та заходів технічного захисту інформації. На сьогоднішній день (станом на 2012 рік), із деякими з них можна ознайомитися на сайті Держспецзв’язку України (http://www.dstszi.gov.ua), або ж придбати у повному обсязі в ТОВ «НікС» (http:// www.nics.com.ua).

Однак, на сьогоднішній день (станом на 2012 рік), офіційний статус державного стандарту України отримали лише наступні документи:

• ДСТУ 3396.0-96 «Захист інформації. Технічний захист інформації. Основні положення»;

• ДСТУ 3396.1-96 «Захист інформації. Технічний захист інформації. Порядок проведення робіт»;

• ДСТУ 3396.2-96 «Захист інформації. Технічний захист інформації. Терміни та визначення»;

• ДСТУ 2226-93 «Автоматизовані системи. Терміни та визначення».

По-друге, нормативно-правові акти України в галузі ТЗІ можна розділити також на:

1. Законодавство, що визначає загальні засади формування і реалізації державної політики у галузі ТЗІ, наприклад:

   • «Концепція технічного захисту інформації в Україні», затверджена постановою КМУ від 08.10.97 р. №1126;

   • Закон України «Про Державну службу спеціального зв'язку та захисту інформації України»;

   • «Положення про технічний захист інформації в Україні», затверджено Указом Президента України від 27.09.99 р. № 1229;

   • Закон України «Про захист інформації в інформаційно-телекомунікаційних системах»;

   • Постанова Кабінету Міністрів України від 29 березня 2006 р. № 373 «Про затвердження Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах»;

   • «Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі», НД ТЗІ 3.7-003-05;

   • «Типове положення про службу захисту інформації в автоматизованій системі», НД ТЗІ 1.4-001-2000;

   • «Захист інформації на об’єктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Основні положення», НД ТЗІ 1.1-005-07;

   • «Захист інформації на об’єктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Передпроектні роботи», НД ТЗІ 3.1-001-07;

   • «Захист інформації на об’єктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Порядок розроблення та впровадження заходів із захисту інформації», НД ТЗІ 3.3-001-07;

   • «Захист інформації на об’єктах інформаційної діяльності. Випробування комплексу технічного захисту інформації. Основні положення», НД ТЗІ 2.1-002-07;

   • «Положення про контроль за функціонуванням системи технічного захисту інформації», затверджено наказом ДСТСЗІ СБ України від 22.12.99 №61;

   • «Критерії, за якими оцінюється ступінь ризику від провадження господарської діяльності у галузях криптографічного та технічного захисту інформації і визначається періодичність проведення планових заходів, пов’язаних з державним наглядом (контролем)», затверджена постановою КМУ від 6 серпня 2008 р. № 698;

   • «Інструкція про порядок оформлення та складання Державною службою спеціального зв’язку та захисту інформації України матеріалів про адміністративні правопорушення», затверджена наказом Держспецзв’язку України від 29 травня 2007 р. № 100;

До цієї групи належить також Кодекс України про адміністративні правопорушення:

• ст. 188-31 – «Невиконання законних вимог посадових осіб органів Державної служби спеціального зв’язку та захисту інформації України»;

• ст. 212-2 – «Порушення законодавства про державну таємницю» (п. 9 ч. 1 «Невиконання норм і вимог криптографічного та технічного захисту секретної інформації, внаслідок чого виникає реальна загроза порушення її конфіденційності, цілісності і доступності»);

• ст. 164 (у частині правопорушень у галузі господарської діяльності, ліцензії на проведення якої видає Держспецзв’язку України).

Ці статті містять перелік порушень у галузі ТЗІ, за які винні особи можуть бути притягнуті до адміністративної відповідальності, відповідно до вимог ст. 254 КУпАП.

2. Законодавство, що визначає загальні засади адміністративно-правового регулювання господарської діяльності у галузі ТЗІ, наприклад:

• «Положення про дозвільний порядок проведення робіт з технічного захисту інформації для власних потреб», затверджено наказом ДСТСЗІ СБ України від 23.02.2002 р. № 9;

• «Ліцензійні умови провадження господарської діяльності з розроблення, виробництва, впровадження, обслуговування, дослідження ефективності систем і засобів технічного захисту інформації, надання послуг у галузі технічного захисту інформації», затверджені Наказом Адміністрації Держспецзв’язку України від 20.01.2009 № 5/9;

• «Положення про державну експертизу в сфері технічного захисту інформації», затверджене Наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України 16.05.2007 № 93.

По-третє, окремою групою нормативно-правових актів України в галузі ТЗІ можна виділити документи, пов’язані з укладенням міжнародних угод, наприклад:

• Закон України «Про ратифікацію Угоди між Кабінетом Міністрів України та Урядом Республіки Білорусь про співробітництво в галузі технічного захисту інформації»;

• Закон України «Про ратифікацію Угоди між Кабінетом Міністрів України та Урядом Республіки Таджикистан про співробітництво в галузі технічного захисту інформації».