Розділ 2. Нормативні посилання

Закон України «Про інформацію»

В цьому законі слід виділити наступне:

Стаття 1. Визначення термінів

документ – матеріальний носій, що містить інформацію, основними функціями якого є її збереження та передавання у часі та просторі;

захист інформації – сукупність правових, адміністративних, організаційних, технічних та інших заходів, що забезпечують збереження, цілісність інформації та належний порядок доступу до неї;

інформація – будь-які відомості та/або дані, які можуть бути збережені на матеріальних носіях або відображені в електронному вигляді;

суб'єкт владних повноважень – орган державної влади, орган місцевого самоврядування, інший суб'єкт, що здійснює владні управлінські функції відповідно до законодавства, у тому числі на виконання делегованих повноважень.

Стаття 5.

1.Гарантія права на інформацію.

2.Відкритість і доступність інформації.

3.Об`активність інформації.

4.Повнота і точність.

5.Законність отримання і використання, збереження і передачі.

Стаття 28.

Режим доступу до інформації поділяється на відкриту інформацію та ІзОД.

Будь-яка інформація є відкритою, крім тієї, що віднесена законом до інформації з обмеженим доступом.

Закон України «Про доступ до публічної інформації»

Стаття 6. Публічна інформація з обмеженим доступом

Інформацією з обмеженим доступом є:

1) конфіденційна інформація;

2) таємна інформація;

3) службова інформація.

3. Інформація з обмеженим доступом має надаватися розпорядником інформації, якщо він правомірно оприлюднив її раніше.

Стаття 7. Конфіденційна інформація

Конфіденційна інформація – інформація, доступ до якої обмежено фізичною або юридичною особою, крім суб'єктів владних повноважень, та яка може поширюватися у визначеному ними порядку за їхнім бажанням відповідно до передбачених ними умов. Не може бути віднесена до конфіденційної інформація, зазначена в частині першій і другій статті 13 цього Закону.

Стаття 8. Таємна інформація

Таємна інформація – інформація, доступ до якої обмежується відповідно до частини другої статті 6 цього Закону, розголошення якої може завдати шкоди особі, суспільству і державі. Таємною визнається інформація, яка містить державну, професійну, банківську таємницю, таємницю досудового розслідування та іншу передбачену законом таємницю.

Стаття 9. Службова інформація

Відповідно до вимог частини другої статті 6 цього Закону до службової може належати така інформація:

1) що міститься в документах суб'єктів владних повноважень, які становлять внутрівідомчу службову кореспонденцію, доповідні записки, рекомендації, якщо вони пов'язані з розробкою напряму діяльності установи або здійсненням контрольних, наглядових функцій органами державної влади, процесом прийняття рішень і передують публічному обговоренню та/або прийняттю рішень;

2) зібрана в процесі оперативно-розшукової, контррозвідувальної діяльності, у сфері оборони країни, яку не віднесено до державної таємниці.

Закон України «Про основи національної безпеки»

Стаття 1. Визначення термінів

Загрози національній безпеці – наявні та потенційно можливі явища і чинники, що створюють небезпеку життєво важливим національним інтересам України.

Стаття 7. Загрози національним інтересам і національній безпеці України

На сучасному етапі основними реальними та потенційними загрозами національній безпеці України, стабільності в суспільстві є:

- в інформаційній сфері:

- прояви обмеження свободи слова та доступу громадян до інформації;

- поширення засобами масової інформації культу насильства, жорстокості, порнографії;

- комп'ютерна злочинність та комп'ютерний тероризм;

- розголошення інформації, яка становить державну та іншу, передбачену законом, таємницю, а також конфіденційної інформації, що є власністю держави або спрямована на забезпечення потреб та національних інтересів суспільства і держави;

- намагання маніпулювати суспільною свідомістю, зокрема, шляхом поширення недостовірної, неповної або упередженої інформації.

Закон України «Про державну таємницю»

Цей Закон регулює суспільні відносини, пов'язані з віднесенням інформації до державної таємниці, засекречуванням, розсекречуванням її матеріальних носіїв та охороною державної таємниці з метою захисту національної безпеки України..

Стаття 18. Основні організаційно-правові заходи щодо охорони державної таємниці

З метою охорони державної таємниці впроваджуються:

-єдині вимоги до виготовлення, користування, збереження, передачі, транспортування та обліку матеріальних носіїв секретної інформації;

- обмеження оприлюднення, передачі іншій державі або поширення іншим шляхом секретної інформації;

- обмеження щодо перебування та діяльності в Україні іноземців, осіб без громадянства та іноземних юридичних осіб, їх доступу до державної таємниці, а також розташування і переміщення об'єктів і технічних засобів, що їм належать;

- режим секретності державних органів, органів місцевого самоврядування, підприємств, установ і організацій, що провадять діяльність, пов'язану з державною таємницею;

- спеціальний порядок допуску та доступу громадян до державної таємниці;

- технічний та криптографічний захисти секретної інформації.

Закон України «Про Державну службу спеціального зв'язку та захисту інформації України»

Стаття 2. Статус Державної служби спеціального зв'язку та захисту інформації України

Державна служба спеціального зв'язку та захисту інформації України є державним органом, який призначений для забезпечення функціонування і розвитку державної системи урядового зв'язку, Національної системи конфіденційного зв'язку, захисту державних інформаційних ресурсів в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, криптографічного та технічного захисту інформації.

Указ Президента України «Про Положення про технічний захист інформації в Україні»

Це Положення визначає правові та організаційні засади технічного захисту важливої для держави, суспільства і особи інформації, охорона якої забезпечується державою відповідно до законодавства.

Державна політика технічного захисту інформації формується згідно із законодавством і реалізується Державною службою спеціального зв'язку та захисту інформації України (далі – Держспецзв'язку України) у взаємодії з органами, щодо яких здійснюється ТЗІ.

Суб'єктами системи технічного захисту інформації є:

Держспецзв'язку України; {Абзац другий пункту 8 із змінами, внесеними згідно з Указом Президента N 333/2008 ( 333/2008 ) від 11.04.2008 }

органи, щодо яких здійснюється ТЗІ;

науково-дослідні та науково-виробничі установи Держспецзв'язку України, державні підприємства, що перебувають в управлінні Держспецзв'язку України та виконують завдання з питань технічного захисту інформації; {Абзац четвертий пункту 8 в редакції Указу Президента N 333/2008 (333/2008) від 11.04.2008 }

військові частини, підприємства, установи та організації всіх форм власності й громадяни-підприємці, які провадять діяльність з технічного захисту інформації за відповідними дозволами або ліцензіями;

навчальні заклади з підготовки, перепідготовки та підвищення кваліфікації фахівців з технічного захисту інформації.

Контроль у сфері технічного захисту інформації полягає в перевірці виконання вимог цього Положення, інших нормативно-правових актів з питань технічного захисту інформації та в оцінюванні захищеності інформації на об'єкті, де вона циркулюватиме або циркулює.

Оцінювання захищеності інформації здійснюється шляхом атестації або експертизи комплексів технічного захисту інформації та інспекційних перевірок. За результатами атестації або експертизи комплексів технічного захисту інформації визначається можливість введення в експлуатацію об'єкта, де циркулюватиме інформація, охорона якої забезпечується державою.

Постанова Кабінету Міністрів України «Про затвердження Концепції технічного захисту інформації в Україні»

Загальні положення

Ця Концепція визначає основи державної політики у сфері захисту інформації інженерно-технічними заходами. Технічний захист інформації (далі – ТЗІ) є складовою частиною забезпечення національної безпеки України.

Система ТЗІ - це сукупність суб'єктів, об'єднаних цілями та завданнями захисту інформації інженерно-технічними засобами (далі - організаційні структури), нормативно-правова та матеріально-технічна база.

Основними функціями організаційних структур системи ТЗІ є:

- оцінка стану ТЗІ в державі, визначення пріоритетних напрямів його розвитку;

- розвиток правових основ вдосконалення системи ТЗІ;

- виявлення та прогнозування загроз безпеці інформації;

- забезпечення інженерно-технічними засобами захисту інформації, що підлягає технічному захисту;

- створення умов для ТЗІ, що здійснюється суб'єктами інформаційних відносин на свій розсуд.

Першочерговими заходами щодо реалізації державної політики у сфері ТЗІ є:

-створення правових засад реалізації державної політики у сфері ТЗІ, визначення послідовності та порядку розроблення відповідних нормативно-правових актів;

- налагодження згідно з визначеною номенклатурою виробництва засобів обчислювальної техніки та базового програмного забезпечення, оргтехніки, обладнання мереж зв'язку із захистом інформації, інших вітчизняних засобів забезпечення ТЗІ;

- завершення створення та розвиток системи сертифікації вітчизняних та закордонних засобів забезпечення ТЗІ;

- визначення реальних потреб системи ТЗІ у фахівцях, розвиток та вдосконалення системи підготовки, перепідготовки та підвищення кваліфікації фахівців з питань ТЗІ.

Державний стандарт України 3396.0-96 «Захист інформації. Технічний захист інформації. Основні положення»

3 Загальні положення

3.1 Об’єктом технічного захисту є інформація, що становить державну або іншу передбачену законодавством України таємницю, конфіденційна інформація, що є державною власністю чи передана державі у володіння, користування, розпорядження (далі – інформаціяз обмеженим доступом, ІзОД).

3.3 Носіями ІзОД можуть бути фізичні поля, сигнали, хімічні речовини, що утворюються в процесі інформаційної діяльності, виробництва й експлуатації продукції різного призначення (далі – інформаційнадіяльність).

3.5 Витік або порушення цілісності IзОД (спотворення, модифікація, руйнування, знищення) можуть бути результатом реалізації загроз безпеці інформації (далі – загроза).

3.6 Метою ТЗІ є запобігання витоку або порушенню цілісності ІзОД.

3.7 Мета ТЗІ може бути досягнута побудовою системи захисту інформації, що є організованою сукупністю методів і засобів забезпечення ТЗІ. Технічний захист інформації здійснюється поетапно:

1 етап – визначення й аналіз загроз;

2 етап – розроблення системи захисту інформації;

3 етап – реалізація плану захисту інформації;

4 етап – контроль функціювання та керування системою захисту інформації.

Державний стандарт України 3396.1-96 «Захист інформації. Технічний захист інформації. Порядок проведення робіт»

Галузь використання

Цей стандарт установлює вимоги до порядку проведення робіт з технічного захисту інформації (ТЗІ).

3.Загальні положення

3.1 Інформація з обмеженим доступом (ІзОД) в процесі інформаційної діяльності (ІД), основними видами якої є одержання, використання, поширення та зберігання ІзОД, може зазнавати впливу загроз її безпеці (далі - загроза), у результаті чого може відбутися її витік або порушення цілісності інформації.

3.2 Можливі такі варіанти захисту інформації:

- досягнення необхідного рівня захисту ІзОД за мінімальних затрат і допустимого рівня обмежень видів ІД;

- досягнення необхідного рівня захисту ІзОД за допустимих затрат і заданого рівня обмежень видів ІД;

- досягнення максимального рівня захисту ІзОД за необхідних затрат і мінімального рівня обмежень видів ІД.

Захист інформації, яка не є державною таємницею, забезпечується, як правило, застосуванням першого чи другого варіанту.

Захист інформації, яка становить державну таємницю, забезпечується, як правило, застосуванням третього варіанту.

4 Організація проведення обстеження

4.1 Метою обстеження підприємства є вивчення його ІД, визначення об`єктів захисту - ІзОД, виявлення загроз, їхній аналіз та побудова окремої моделі загроз.

4.4 За результатами обстеження слід скласти акт, який повинен бути затверджений керівником підприємства.

4.5 Матеріали обстеження необхідно використовувати під час розроблення окремої моделі загроз, яка повинна включати:

- генеральний та ситуаційний плани підприємства, схеми розташування засобів і систем забезпечення ІД, а також інженерних комунікацій, які виходять за межі контрольованої території;

- схеми та описи каналів витоку інформації, каналівспеціального впливу і шляхів несанкційованого доступу до ІзОД;

- оцінку шкоди, яка передбачається від реалізації загроз.

Нормативний документ системи технічного захисту інформації НД ТЗІ 2.5-010-03 «Вимоги до захисту інформації WEB-сторінки від несанкціонованого доступу»

Галузь використання

Цей нормативний документ системи технічного захисту інформації (НД ТЗІ) встановлює вимоги до технічних та організаційних заходів захисту інформації WEB-сторінки в мережі Інтернет.

Характеристика типових умов функціонування та вимоги до захисту інформації WEB-сторінки

До складу АС, яка забезпечує функціонування WEB-сторінки, входять: ОС, фізичне середовище, в якому вона знаходиться і функціонує, середовище користувачів, оброблювана інформація, у тому числі й технологія її оброблення. Під час забезпечення захисту інформації мають бути враховані всі характеристики зазначених складових частин, які впливають на реалізацію політики безпеки WEB-сторінки.

У випадку, якщо WEB-сторінка містить посилання на інформаційні ресурси іншої WEB-сторінки, умови функціонування останньої не повинні порушувати встановлену для даної WEB-сторінки політику безпеки.

7 Політика реалізації послуг безпеки інформації WEB-сторінки

Склад та вимоги до профілів захищеності інформації

Політика безпеки інформації в АС повинна поширюватися на об’єкти комп’ютерної системи, які безпосередньо чи опосередковано впливають на безпеку інформації.

До таких об’єктів належать:

- адміністратор безпеки та співробітники СЗІ;

- користувачі, яким надано повноваження забезпечувати управління АС;

- користувачі, яким надано право доступу до загальнодоступної інформації;

- інформаційні об’єкти, що містять загальнодоступну інформацію;

- системне та функціональне ПЗ, яке використовується в АС для оброблення інформації або для забезпечення функцій КЗЗ;

- технологічна інформація КСЗІ (дані про мережеві адреси, імена, персональні ідентифікатори та паролі користувачів, їхні повноваження та права доступу до об’єктів, встановлені робочі параметри окремих механізмів або засобів захисту, інша інформація баз даних захисту, інформація журналів реєстрації дій користувачів тощо);

- засоби адміністрування і управління обчислювальною системою АС та технологічна інформація, яка при цьому використовується;

- обчислювальні ресурси АС (наприклад, дисковий простір, тривалість сеансу роботи користувача із засобами АС, час використання центрального процесора і т. ін.), безконтрольне використання або захоплення яких окремим користувачем може призвести до блокування роботи інших користувачів, компонентів АС або АС в цілому.