Тема 16. 17. Інформаційна безпека в електронному урядуванні.

Система органів влади, що відповідають за інформаційну безпеку та

• і •••

захист інформації

Інформаційна безпека держави та технічний захист інформації в умовах розвитку інформаційного суспільства та впровадження технологій електронного урядування стають повсякденними та відповідальними завданнями держави. Новітні інформаційні технології можуть бути одночасно «засобами виробництва» та кіберзброєю. Для держав, які не володіють власними розробками та виробництвом засобів і продукції у ІТ-сфері, загрози від використання таких технологій збільшуються.

Державна політика інформаційної безпеки

У сучасному світі інформація є найціннішим глобальним ресурсом, вартість та значимість якого важко оцінити. З огляду на це, забезпечення інформаційної безпеки є виключно важливою функцією державного управління. Економічний потенціал держави переважно визначається обсягом інформаційних ресурсів та рівнем розвитку інформаційної інфраструктури. Інформація постійно ускладнюється, змінюється якісно, зростає кількість її джерел і споживачів. Водночас збільшується уразливість сучасного інформаційного суспільства від недостовірної (а іноді й шкідливої) інформації, її несвоєчасного надходження, промислового шпигунства, кіберзлочинності, неналежної реклами та шахрайства у віртуальному просторі.

В цих умовах держава повинна створювати адекватні існуючим загрозам правові, організаційні, технічні та інші засоби та методи захисту інформаційного простору та безпосередньо важливої інформації, які є відображенням державної політики інформаційної безпеки.

В умовах розвитку інформаційного суспільства, впровадження електронного урядування вимоги до безпеки інформації та безпечного застосування інформаційних технологій швидко зростають. Недостовірна інформація в системах підтримки прийняття управлінських рішень може призвести до стратегічних помилок, а в системах управління у реальному часі - до аварій та катастроф.

В основі системи нормативно-правового забезпечення інформаційної безпеки знаходиться Конституція України. Стаття 17 Конституції України встановлює пріоритетність захисту інформаційної безпеки, визначає це як найважливіше завдання українського народу, основну функцію держави. Гарантування інформаційної безпеки держави виступає однією з форм забезпечення та здійснення інформаційного суверенітету.

Категорійно-понятійний апарат з питань інформаційної безпеки та захисту інформації

• доступ до інформації в системі - одержання користувачем можливості обробляти інформацію в системі;

• захист інформації в системі - діяльність, спрямована на запобігання несанкціонованим діям щодо інформації в системі;

• знищення інформації в системі - дії, внаслідок яких інформація в системі зникає;

• користувач інформації в системі (далі - користувач) - фізична або юридична особа, яка в установленому законодавством порядку отримала право доступу до інформації в системі;

• несанкціоновані дії щодо інформації в системі - дії, що проводяться з порушенням порядку доступу до цієї інформації, установленого відповідно до законодавства;

• обробка інформації в системі - виконання однієї або кількох операцій, зокрема: збирання, введення, записування, перетворення, зчитування, зберігання, знищення, реєстрації, приймання, отримання, передавання, які здійснюються в системі за допомогою технічних і програмних засобів;

• порушення цілісності інформації в системі - несанкціоновані дії щодо інформації в системі, внаслідок яких змінюється її вміст;

• комплексна система захисту інформації - взаємопов'язана сукупність організаційних та інженерно-технічних заходів, засобів і методів захисту інформації;

• одержання інформації - це набуття, придбання, накопичення відповідно до чинного законодавства України документованої або публічно оголошуваної інформації громадянами, юридичними особами або державою;

• використання інформації - це задоволення інформаційних потреб громадян, юридичних осіб і держави;

• поширення інформації - це розповсюдження, обнародування, реалізація у встановленому законом порядку документованої або публічно оголошуваної інформації;

• зберігання інформації - це забезпечення належного стану інформації та її матеріальних носіїв;

• блокування інформації в системі - дії, внаслідок яких

унеможливлюється доступ до інформації в системі;

• аутентифікація - процедура встановлення належності користувачеві пред'явленого ним ідентифікатора;

• ідентифікація - процедура розпізнавання користувача в системі як правило за допомогою наперед визначеного імені (ідентифікатора) або іншої апріорної інформації про нього, яка сприймається системою;

• конфіденційність - властивість інформації бути захищеною від несанкціонованого ознайомлення;

• цілісність - властивість інформації бути захищеною від

несанкціонованого спотворення, руйнування або знищення;

• доступність - властивість інформації бути захищеною від

несанкціонованого блокування;

• комплекс технічного захисту інформації - сукупність заходів та засобів, призначених для реалізації технічного захисту інформації в інформаційній системі або на об'єкті;

• виток інформації - результат дій, внаслідок яких інформація в системі стає відомою чи доступною фізичним та/або юридичним особам, що не мають права доступу до неї;

• державна політика інформаційної безпеки України - діяльність державно-правових інституцій щодо управління реальними та потенційними загрозами та небезпеками з метою задоволення інформаційних потреб людини та громадянина, а також реалізації національних інтересів.

Незважаючи на актуальність інформаційної складової національної безпеки України, на сьогодні в законодавстві відсутня норма, яка б містила дефініцію поняття «інформаційна безпека» та враховувала різницю між інформаційною безпекою та безпекою інформації.

Загальна структура нормативно-правової бази забезпечення інформаційної безпеки

Ієрархічна структура нормативно-правових документів на основі яких будується система інформаційної безпеки України представлена на рис.4.

Рис. 4 - Ієрархічна структура нормативно-правових документів на основі яких будується система інформаційної безпеки України

Доктрина - узагальнені основні положення, відповідно до яких

вирішуються найважливіші питання існування й розвитку тієї чи іншої держави або міжнародних відносин.

Концепція - сукупність правових норм, які утворюють основу для визначення стратегії тієї чи іншої діяльності.

Стратегія - сукупність правових норм, що визначають систему

офіційних поглядів на місце і роль держави у сучасному світі, її життєво важливі національні цінності, сили, засоби та методи протидії загрозам.

Програма - сукупність правових норм, правил поведінки, що

безпосередньо регулюють діяльність суб'єктів забезпечення національної безпеки в конкретних умовах.

План - деталізація діяльності суб'єктів забезпечення національної безпеки в конкретній обстановці.

Доктрина інформаційної безпеки

Доктрина інформаційної безпеки України, затверджена Указом

Президента України від 8 липня 2009 р. В ній зазначено, що інформаційна безпека є невід'ємною складовою кожної зі сфер забезпечення національної безпеки. Водночас, інформаційна безпека є її важливою самостійною складовою. Саме тому розвиток України як суверенної, демократичної, правової та економічно стабільної держави можливий тільки за умови забезпечення належного рівня її інформаційної безпеки.

Доктрина інформаційної безпеки України дає основу діяльності органів державної влади, а також інститутів громадянського суспільства у забезпеченні інформаційної безпеки України, з формування та реалізації державної інформаційної політики та визначає принципи інформаційної безпеки, а саме: свобода збирання, зберігання, використання та поширення інформації; достовірність, повнота та неупередженість інформації; обмеження доступу до інформації виключно на підставі закону; гармонізація особистих, суспільних і державних інтересів; запобігання правопорушенням в інформаційній сфері; економічна доцільність; гармонізація українського законодавства в інформаційній сфері з міжнародним; пріоритетність національної інформаційної продукції.

Доктрина передбачає три основні напрями забезпечення державою національного інформаційного суверенітету:

1. Законодавче визначення стратегічних шляхів розвитку та захисту національних ринків інформаційних та телекомунікаційних послуг на основі єдиної державної політики.

2. Формування норм, засад і меж діяльності зарубіжних та міжнародних суб’єктів в національному інформаційному просторі.

3. Визначення та захист національних інтересів у світовому інформаційному просторі та міжнародних інформаційних відносинах.

Державна політика в інформаційній сфері включає життєво важливі інтереси держави:недопущення інформаційної залежності, інформаційної блокади України, інформаційної експансії з боку інших держав та міжнародних структур; ефективну взаємодію органів державної влади та інститутів громадянського суспільства під час формування, реалізації та коригування державної політики в інформаційній сфері; побудову та розвиток інформаційного суспільства; забезпечення економічного та науково-технологічного розвитку України; формування позитивного іміджу України; інтеграцію України у світовий інформаційний простір.

Доктрина визначає реальні та потенційні загрози інформаційній безпеці України у таких сферах: зовнішньополітичній; сфері державної безпеки; воєнній сфері; внутрішньополітичній сфері; економічній сфері; соціальній та гуманітарній сферах; екологічній; науково-технічній.

Відповідно до сформульованих у Доктрині загроз визначено напрями державної політики у сфері інформаційної безпеки України.

У Прикінцевих положеннях Доктрини зазначено, що вона спрямована на забезпечення необхідного рівня інформаційної безпеки України в конкретних умовах історичного періоду. Вона є основою для: формування державної політики в сфері забезпечення інформаційної безпеки України; розробки концепцій, стратегій, цільових програм і планів дій із забезпечення інформаційної безпеки України; підготовки пропозицій щодо подальшого системного вдосконалення законодавчого, правового, методичного, науково- технічного і організаційного забезпечення інформаційної безпеки України.

Положення Доктрини можуть уточнюватися і доповнюватися під час формування і реалізації державної політики у сфері інформаційної безпеки з урахуванням змін обстановки, характеру і змісту загроз національній безпеці України в інформаційній сфері, умов реалізації державної інформаційної політики та формування інформаційного простору.

Тенденції інтеграції у світове співтовариство та вступу до Європейського Союзу зумовлюють необхідність участі в процесах створення та використання єдиних принципів формування та управління інформаційною сферою. Загалом у Європейському Союзі ІТ-стандартизацію розглядають через вимоги набору Директив, які безпосередньо впливають на гармонізацію локального законодавства країн-членів ЄС. ІТ-стандарти є спільними для всіх країн-членів.

Нині чинні такі Директиви ЄС щодо інформаційних технологій:

• Директива 95/46/ЄС про захист фізичних осіб при обробці

персональних даних і про вільне переміщення таких даних (стаття 17);

• Директива 1999/93/ЄС про систему електронних підписів, що

застосовується в межах Співтовариства;

• Директива 98/34/ЄС про встановлення процедури надання

інформації у сфері технічних стандартів та регламентів;

• Директива 2002/21 /ЄС про спільні правові рамки для електронних комунікаційних мереж та послуг;

• Конвенція №108 Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних.

Для України, яка прагне увійти до європейського співтовариства, особливо важливим є приведення чинного законодавства до європейських стандартів, що передбачає прийняття нових законів, удосконалення й доопрацювання чинної нормативно-правової бази. Особливо варто виділити задачу створення системи національної стандартизації в сфері

інформаційної безпеки з урахуванням міжнародних вимог інформаційного обміну і захисту інформації. Нажаль, сьогодні Україна ще далека від реальної гармонізації з міжнародною і європейською системою стандартизації.

Концепція технічного захисту інформації визначає основи державної політики у сфері технічних заходів захисту інформації. Технічний захист інформації (далі - ТЗІ) є складовою частиною забезпечення інформаційної безпеки України.

Технічний захист інформації - це діяльність, спрямована на забезпечення інженерно-технічними заходами порядку доступу, цілісності та доступності (унеможливлення блокування) інформації з обмеженим доступом, а також цілісності та доступності відкритої інформації, важливої для особи, суспільства і держави.

Основними функціями організаційних структур системи ТЗІ є: оцінка стану ТЗІ в державі, визначення пріоритетних напрямів його розвитку; розвиток правових засад удосконалення системи ТЗІ; виявлення та прогнозування загроз безпеці інформації; забезпечення інженерно- технічними засобами захисту інформації, що підлягає технічному захисту; створення умов для ТЗІ, що здійснюється суб'єктами інформаційних відносин на власний розсуд; формування та забезпечення реалізації державної політики щодо створення та впровадження вітчизняних засобів забезпечення ТЗІ; створення національної системи стандартизації та нормування у сфері ТЗІ; організація фундаментальних і прикладних науково-дослідних робіт та розробок у сфері ТЗІ; забезпечення взаємодії організаційних структур системи ТЗІ з іншими системами захисту інформації та системами забезпечення інформаційної та національної безпеки; організація створення та виконання програм розвитку ТЗІ; забезпечення ліцензування підприємницької діяльності в сфері ТЗІ; організація контролю за якістю засобів забезпечення ТЗІ шляхом їх сертифікації; організація контролю за відповідністю вимогам ТЗІ об'єктів, діяльність яких пов'язана з інформацією, що підлягає технічному захисту, шляхом їх атестації; організація контролю за ефективністю ТЗІ на об'єктах, діяльність яких пов'язана з інформацією, що підлягає технічному захисту; забезпечення підготовки фахівців для роботи у сфері ТЗІ; сприяння залученню інвестицій і вітчизняного товаровиробника у сферу ТЗІ; організація міжнародного співробітництва в сфері ТЗІ, представлення інтересів України у відповідних міжнародних організаціях; забезпечення (кадрове, фінансове, нормативне, матеріально-технічне, інформаційне тощо) життєдіяльності складових організаційних структур системи ТЗІ.

Стратегія національної безпеки в інформаційній сфері

Стратегія національної безпеки визначає наступні заходи з забезпечення інформаційної безпеки:

• стимулювання впровадження новітніх інформаційних технологій та виробництва конкурентоспроможного національного інформаційного продукту, зокрема, сучасних засобів і систем захисту інформаційних ресурсів;

• захист інформаційно-телекомунікаційних систем, що функціонують в інтересах управління державою, забезпечують потреби оборони та безпеки держави, кредитно-банківської та інших сфер економіки, систем управління об'єктами критичної інфраструктури;

• розробку та впровадження національних стандартів і технічних регламентів застосування інформаційно-комунікаційних технологій, гармонізованих із відповідними стандартами ЄС, у тому числі згідно з вимогами Конвенції про кіберзлочинність;

• створення національної системи кібербезпеки.

Стратегія є основою для комплексного планування діяльності органів державної влади у сфері національної безпеки. Органи державної влади керуються Стратегією при розробленні та реалізації законодавчих актів, концепцій, доктрин, стратегій, програм, планів та окремих заходів, укладенні міжнародних договорів і угод, інших міжнародно-правових документів, звітують про стан виконання Стратегії.

Посадові особи державних органів несуть персональну відповідальність за реалізацію Стратегії та виконання визначених нею завдань.

Основні принципи та задачі захисту інформації

Технічний захист інформації здійснюється щодо інформації органів державної влади, органів місцевого самоврядування, органів управління Збройних Сил України та інших військових формувань, утворених згідно з законодавством України, відповідних підприємств, установ, організацій та їх інформаційної інфраструктури.

Технічний захист інформації включає:

• захист витоку технічними каналами, до яких належать канали побічних електромагнітних випромінювань і наведень, акустично- електричних та інших каналів, що утворюються під впливом фізичних процесів підчас функціонування засобів обробки інформації, інших технічних засобів і комунікацій;

• захист від несанкціонованих дій з інформацією, у тому числі з використанням комп'ютерних вірусів;

• протидія спеціальному впливу на засоби обробки інформації, який здійснюється шляхом формування фізичних полів і сигналів та може призвести до порушення її цілісності та несанкціонованого блокування;

• захист інформації від витоку технічними каналами забезпечується в системі у разі, коли в ній обробляється інформація, що становить державну таємницю, або коли відповідне рішення щодо необхідності такого захисту прийнято власником (розпорядником) інформації;

• захист інформації від несанкціонованих дій, у тому числі від комп'ютерних вірусів, забезпечується в усіх системах;

• захист інформації від спеціального впливу на засоби обробки інформації забезпечується в системі, якщо рішення про необхідність такого захисту прийнято власником (розпорядником) інформації.

Об'єктами захисту в системі є інформація, що обробляється в ній, та програмне забезпечення, яке призначено для обробки цієї інформації. Основними технологічними елементами, до яких повинні впроваджуватися заходи з технічного захисту інформації є: телекомунікаційні мережі; інформаційні системи органів влади; інформаційні ресурси органів влади, у тому числі сайти (портали); системи здійснення електронних платежів та надання послуг; національна система управління доменними адресами в домені иА.

Загрози особі, суспільству та державі, обумовлені впровадженням інформаційно-комунікаційних технологій

Загрози інформаційній безпеці - сукупність умов і факторів, що створюють небезпеку життєво важливим інтересам особистості, суспільства й держави в інформаційній сфері. Основні загрози інформаційній безпеці поділяють на три групи:

• загрози впливу неякісної інформації (недостовірної, фальшивої, дезінформації) на особистість, суспільство, державу;

• загрози несанкціонованого та неправомірного впливу сторонніх осіб на інформацію, інформаційні ресурси та інформаційні системи (їх виробництво, використання);

• загрози інформаційним правам і свободам особистості (праву на виробництво інформації, її поширення, пошук, одержання, передавання та використання; праву на інтелектуальну власність на інформацію, в тому числі й речову).

Фактори загроз за видовою ознакою поділяються на політичні, економічні і організаційно-технічні.

Явища та процеси природного й штучного походження, що породжують інформаційні загрози, називають дестабілізуючими факторами. Джерелами дестабілізуючих факторів можуть бути як окремі особи, так й організації та їх об'єднання. Особливу групу джерел складають інформаційні системи та засоби, оскільки вони одночасно є знаряддям приведення в дію інформаційних загроз, каналом їх проникнення у свідомість особистості або суспільну свідомість і генератором спонтанних загроз, що виникають внаслідок технічних несправностей та інших причин. Джерелом дестабілізуючих факторів може бути також природне середовище. Кожному джерелу властиві певні види дестабілізуючих факторів, які можна поділити на міждержавні та внутрішньодержавні.

До внутрішньодержавних дестабілізуючих факторів відносять: правовий вакуум у більшості питань забезпечення інформаційної безпеки; порушення законодавства з питань інформаційної безпеки; політичні конфлікти; відмови, збої, технічні помилки інформаційних систем, дії користувачів систем, природні явища, що ускладнюють передачу, прийом і зберігання інформації або руйнують інформаційні системи.

Міждержавні дестабілізуючі фактори - це конфлікти різноманітних масштабів і проявів в економіці, політиці, ідеології, дипломатії тощо.

Державне управління інформаційною безпекою спрямовується на вирішення наступних завдань.

1. Впровадження автоматизованого моніторингу стану інформаційної безпеки (інформаційних загроз та вірусної активності) в інформаційних системах органів влади.

2. Впровадження автоматизованої системи обліку елементів інформаційної інфраструктури (інформаційних систем) органів влади для формування реєстру (відповідно до Постанови КМУ №688).

3. Формування корпоративних правил щодо супроводження життєвого циклу інформаційних систем органів влади (регламенти функціонування, обслуговування, модернізації, розвитку, впровадження змін) з урахуванням забезпечення необхідного рівня інформаційної безпеки.

4. Впровадження критеріїв загроз в інформаційних системах органів влади на різних етапах життєвого циклу (з урахуванням вимог до обраного рівня обслуговування та умов можливих інцидентів, наприклад, відмов в обслуговуванні, несанкціонованого знищення інформації, спотворення інформації, затримки надання послуг, витоку персональних даних або даних з обмеженим доступом).

5. Відновлення функціонування державного центру інформаційної безпеки (ситуаційного центру інформаційної безпеки), як складової забезпечення національної безпеки в інформаційній сфері.

6. Впровадження кодів бюджетної класифікації робіт та послуг в ІТ сфері (відповідно до переліку робіт, що відносяться до інформатизації, у т.ч. грошовий облік нематеріальних активів).

7. Забезпечення розробки типових проектних рішень в сфері технічного захисту інформації.

8. Впровадження системного підходу до формування структури державних інформаційних ресурсів та забезпечення їх захисту (як стратегічних ресурсів держави).

9. Формування стратегії розвитку інформаційної інфраструктури держави в умовах розвитку інформаційного суспільства та електронного урядування.

10. Забезпечення впровадження сталої інформаційної взаємодії органів влади та захисту інформації (документообіг, електронного цифрового підпису, захист персональних даних, функціонування системи державних інформаційних ресурсів, адміністративних послуг, електронних грошових систем).

11. Впровадження національних розробок в сфері ІТ, програмного забезпечення з відкритими кодами, рішень в сфері захисту інформації.

Систему органів державного управління національною безпекою в інформаційній сфері, визначено в Законі України «Про основи національної безпеки України». Відповідно до ст. 4 Закону до складу такої системи входять такі суб'єкти забезпечення національної безпеки в інформаційній сфері: Президент України; Верховна Рада України; Кабінет Міністрів України; Рада національної безпеки і оборони України; міністерства та інші центральні органи виконавчої влади, Національна рада України з питань телебачення і радіомовлення, Державний комітет телебачення і радіомовлення України, Національна експертна комісія України з питань захисту суспільної моралі та ін.); суди загальної юрисдикції; прокуратура України; місцеві державні адміністрації та органи місцевого самоврядування; Збройні сили України, Служба безпеки України, Державна служба спеціального зв'язку та захисту інформації України, Служба зовнішньої розвідки України, МВС України, а також інші правоохоронні органи та військові формування, утворені відповідно до законів України.

Загальними функціями суб'єктів забезпечення національної безпеки України в інформаційній сфері є:

• постійний моніторинг впливу на національну безпеку процесів, що відбуваються в першу чергу в інформаційній, політичній, соціальній, економічній, екологічній, науково-технологічній, воєнній та інших сферах, релігійному середовищі, міжетнічних стосунках; прогнозування змін, що відбуваються в них, та потенційних загроз національній безпеці;

• систематичне спостереження за станом і проявами міжнародного та інших видів тероризму (зокрема, кібертероризму);

• прогнозування, виявлення та оцінка можливих загроз, дестабілізуючих чинників і конфліктів, причин і умов їх виникнення та наслідків прояву;

• комплексне інформаційно-аналітичне забезпечення діяльності вищих органів державної влади та інших суб'єктів забезпечення національної безпеки України в інформаційній сфері;

• розроблення науково-обґрунтованих пропозицій і рекомендацій щодо прийняття управлінських рішень з метою захисту національних інтересів України;

• запобігання та нейтралізація впливу загроз і дестабілізуючих чинників на національну безпеку та національні інтереси в інформаційній сфері;

• локалізація, деескалація та врегулювання конфліктів, ліквідація їх негативних наслідків або впливу дестабілізуючих чинників;

• оцінка результативності дій щодо забезпечення національної безпеки в інформаційній сфері та визначення витрат на ці цілі;

• участь у двосторонньому і багатосторонньому співробітництві в галузі інформаційної безпеки, якщо це відповідає національним інтересам;

• спільне проведення планових та оперативних заходів з компетентними структурами іноземних держав у рамках міжнародних організацій та договорів у галузі безпеки.

Державний контроль за станом технічного захисту інформації здійснюється Державною службою спеціального зв'язку та захисту інформації України. Ця установа є державним органом, який призначений для забезпечення функціонування і розвитку державної системи урядового зв'язку, Національної системи конфіденційного зв'язку, захисту державних інформаційних ресурсів в інформаційно-телекомунікаційних системах, криптографічного та технічного захисту інформації.