Організаційно-правові засади захисту інформації

2
ЗАХИСТ ІНФОРМАЦІЇ
Інформація, яка є важливою для особи, суспільства та держави і втрата якої може спричинити шкоду особі, суспільству або національним інтересам держави в економічній, політичній, військової або інших сферах, повинна захищатися від несанкціонованого ознайомлення спотворення, знищення та блокування.
Об'єктом захисту є інформація, обов'язковість захисту якої встановлено законом

3
ОБ'ЄКТ ЗАХИСТУ
Встановлює обов'язковість захисту інформації, що становить державну таємницю
(секретної інформації)
Інформація, яка є секретною, визначається Законом України “Про державну таємницю” та Зводом відомостей, що становлять державну таємницю (ЗВДТ), затвердженим наказом СБУ № 440 від 12.08.2005 та зареєстрованим в Міністерстві юстиції України 17.09.2005 за № 902/11182

4
ОБ'ЄКТ ЗАХИСТУ
Встановлює, що об'єктом захисту в ІТС (АС)
є інформація, що обробляється в ній, та програмне забезпечення, яке призначено для обробки цієї інформації
обов'язковому захисту підлягає інформація, яка відноситься до державних інформаційних ресурсів, та інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, при її обробці в ІТС (АС)

5
ОБ'ЄКТ ЗАХИСТУ
Державні інформаційні ресурси – це систематизована інформація, що є доступною за допомогою інформаційних технологій, право на володіння, використання або розпорядження якою належить державним органам, військовим формуванням, утвореним відповідно до законів України, державним підприємствам, установам та організаціям, а також інформація, створення якої передбачено законодавством та яка обробляється фізичними або юридичними особами відповідно до наданих їм повноважень суб’єктами владних повноважень

6
ОБ'ЄКТ ЗАХИСТУ
Інформація, яка становить державну або іншу передбачену законом таємницю;
Службова інформація;
Відкрита інформація, яка належить до державних інформаційних ресурсів, а також про діяльність суб'єктів владних повноважень, військових формувань, яка оприлюднюється в Інтернеті, інших глобальних інформаційних мережах і системах або передається телекомунікаційними мережами;
Конфіденційна інформація, яка перебуває у володінні розпорядників інформації, визначених частиною першою статті 13 Закону України "Про доступ до публічної інформації";
Інформація, вимога щодо захисту якої встановлена законом (зокрема, персональні дані)
Правила забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах,
затверджено постановою Кабінету Міністрів України від 29.03.2006 № 373
Детальний перелік видів інформації, яка має захищатися, при її обробці в ІТС (АС):

7
СЛУЖБОВА ІНФОРМАЦІЯ
інформація, що міститься у документах суб'єктів владних повноважень, що становлять внутрівідомчу службову кореспонденцію, доповідні записки, рекомендації, якщо вони пов'язані з розробкою напряму діяльності установи або здійсненням контрольних, наглядових функцій органами державної влади, процесом прийняття рішень і передують публічному обговоренню та/або прийняттю рішень;
інформація, зібрана в процесі оперативно-розшукової, контррозвідувальної діяльності, у сфері оборони країни, яку не віднесено до державної таємниці
До службової інформації може належати така інформація:
документам, що містять інформацію, яка становить службову інформацію, присвоюється гриф "для службового користування"

8
СЛУЖБОВА ІНФОРМАЦІЯ
Перелік відомостей, що становлять службову інформацію, який складається органами державної влади, органами місцевого самоврядування, іншими суб'єктами владних повноважень, у тому числі на виконання делегованих повноважень, не може бути обмеженим у доступі
Інструкція про порядок обліку, зберігання і використання документів, справ, видань та інших матеріальних носіїв інформації, які містять службову інформацію,
затверджено постановою Кабінету Міністрів України від 27.11.1998 № 1893
Переліки відомостей, які містять службову інформацію, затверджуються міністерствами, іншими центральними органами виконавчої влади, обласними та Київською міською держадміністраціями

9
ЗАХИСТ ІНФОРМАЦІЇ
Захист інформації – діяльність із забезпечення конфіденційності, цілісності та доступності важливої для особи, суспільства та держави інформації, яка обробляється в інформаційно-телекомунікаційних (автоматизованих) системах або озвучується на об’єктах інформаційної діяльності, а також із забезпечення використання інформації у відповідності з встановленими правилами
Конфіденційність, цілісність та доступність – це властивості, які характеризують інформацію як об’єкт захисту

10
ВЛАСТИВОСТІ ІНФОРМАЦІЇ
Конфіденційність – властивість інформації, яка характеризує
захищеність інформації від несанкціонованого
ознайомлення
Цілісність – властивість інформації, яка характеризує
захищеність інформації від несанкціонованого
спотворення, руйнування або знищення
Доступність – властивість інформації, яка характеризує
захищеність інформації від несанкціонованого
блокування
Захищеність інформації – стан інформації, при якому забезпечена відповідність показників захищеності інформації нормам та вимогам захищеності інформації

11
СИСТЕМА ЗАХИСТУ ІНФОРМАЦІЇ
Нормативно-правова база
Закони України,
нормативно-правові акти,
нормативно-технічні документи,
ДСТУ у сфері захисту інформації
Матеріально-технічна база
засоби ТЗІ,
засоби КЗІ,
засоби спецзв'язку,
засоби пошуку ЗП
Організаційна-інфраструктура
об'єкт захисту;
органи, де здійснюється ЗІ;
суб'єкти системи ЗІ;
об'єкти, де здійснюється ЗІ
Для захисту інформації в Україні створена система захисту інформації

12
ОРГАНИ, ДЕ ЗДІЙСНЮЄТЬСЯ ТЕХНІЧНИЙ ЗАХИСТ ІНФОРМАЦІЇ
органи державної влади,
органи місцевого самоврядування,
органи управління Збройних Сил України та інших військових формувань, утворених згідно із законодавством України,
підприємства, установи, організації, військові частини
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229

13
ОБ'ЄКТИ, ДЕ ЗДІЙСНЮЄТЬСЯ ТЕХНІЧНИЙ ЗАХИСТ ІНФОРМАЦІЇ
Об'єкти інформаційної діяльності
Інформаційні, телекомунікаційні, інформаційно-телекомунікаційні системи (автоматизовані системи)
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229

14
ОБ'ЄКТИ, ДЕ ЗДІЙСНЮЄТЬСЯ ТЕХНІЧНИЙ ЗАХИСТ ІНФОРМАЦІЇ
Об'єкт інформаційної діяльності – це приміщення, споруда, визначена територія, зона, транспортний засіб, де здійснюється діяльність з інформацією, що підлягає захисту
Інформаційно-телекомунікаційна система (автоматизована система) – це організаційно-технічна система, в якій реалізується технологія обробки інформації з використанням технічних і програмних засобів, в якій передбачена можливість реалізації програмних процедур розмежування доступу користувачів і яка об’єднує обчислювальну систему, фізичне середовище, де розташована ця система, персонал і оброблювану інформацію

15
КЛАСИ АВТОМАТИЗОВАНИХ СИСТЕМ
За сукупністю характеристик автоматизованої системи (конфігурації апаратних засобів обчислювальної системи, їх фізичного розміщення, кількості різноманітних категорій оброблюваної інформації, кількості користувачів і категорій користувачів) виділяється три ієрархічні класи АС
НД ТЗІ 2.5-005 -99 Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу
АС класу «1» — одномашинний однокористувачевий комплекс, який обробляє інформацію однієї або кількох категорій конфіденційності

16
КЛАСИ АВТОМАТИЗОВАНИХ СИСТЕМ
АС класу «2» — локалізований багатомашинний багатокористувачевий комплекс, який обробляє інформацію різних категорій конфіденційності

17
КЛАСИ АВТОМАТИЗОВАНИХ СИСТЕМ
АС класу «3» — розподілений багатомашинний багатокористувачевий комплекс, який обробляє інформацію різних категорій конфіденційності
Неконтрольований простір

18
ОСНОВНІ ЗАВДАННЯ ДЕРЖАВНИХ ОРГАНІВ
забезпечення технічного захисту інформації
згідно з вимогами НПА та НД ТЗІ;
видання у межах своїх повноважень
нормативно-правових актів (НПА) з
питань ТЗІ;
здійснення відомчого контролю за станом
технічного захисту інформації
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229
Організація технічного захисту інформації в державних органах покладається на їх керівників
!

19
створюють або визначають підрозділи, на які покладається забезпечення ТЗІ та контроль за його станом;
погоджують з Адміністрацією Держспецзв'язку України проведення НДР, ДКР, спрямованих на розвиток нормативно-правової та матеріально-технічної бази системи ТЗІ, які здійснюються за рахунок коштів державного бюджету;
створюють або визначають за погодженням з Адміністрацією Держспецзв'язку України підприємства, установи та організації, що забезпечують ТЗІ;
забезпечують підготовку, перепідготовку та підвищення кваліфікації кадрів з ТЗІ;
надають Адміністрації Держспецзв'язку України за його запитами відомості про стан ТЗІ
ДЕРЖАВНІ ОРГАНИ ВІДПОВІДНО ДО ПОКЛАДЕНИХ НА НИХ ЗАВДАНЬ:
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229

20
дослідження загроз для інформації на об'єктах, де здійснюється захист інформації;
створення та виробництво засобів технічного захисту інформації;
розроблення, впровадження, супроводження
комплексів технічного захисту інформації та комплексних систем захисту інформації;
підвищення кваліфікації фахівців з технічного захисту інформації
ЗАВДАННЯ ІНШИХ СУБ'ЄКТІВ СИСТЕМИ ТЗІ
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229

21
Роботи з технічного захисту інформації для власних потреб мають паво виконувати в органах державної влади та у сфері їх управління відповідні підрозділи цих органів або військові частини, підприємства, установи, організації, на які в установленому порядку покладено забезпечення технічного захисту інформації, за наявності у відповідного органа державної влади дозволу на виконання робіт з технічного захисту інформації для власних потреб
ПРАВО ВИКОНАННЯ РОБІТ З ТЗІ
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229
Дозвіл надається Адміністрацією Держспецзв’язку за умов виконання органам державної влади вимог щодо наявності підрозділу з ТЗІ, фахівців з відповідною підготовкою, нормативної та матеріальної бази з ТЗІ

22
До виконання робіт з технічного захисту інформації в державних органах можуть бути залучені суб'єкти підприємницької діяльності, що мають відповідні ліцензії у сфері технічного захисту інформації
ПРАВО ВИКОНАННЯ РОБІТ З ТЗІ
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229

23
Під час впровадження заходів з технічного захисту інформації повинні використовуватися засоби ТЗІ, які мають документ (сертифікат відповідності або експертний висновок у сфері ТЗІ), що засвідчує їх відповідність вимогам нормативних документів з питань ТЗІ, і які дозволені Адміністрацією Держспецзв’язку України для застосування та включені до переліку таких засобів (перелік дозволених для використання засобів ТЗІ знаходиться на сайті Держспецзв’язку)
УМОВИ ВИКОРИСТАННЯ ЗАСОБІВ ТЗІ
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229

24
ФІНАНСУВАННЯ ЗАХОДІВ З ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ
Роботи з технічного захисту інформації в органах, де здійснюється ТЗІ, здійснюються за рахунок коштів, що виділяються на їх утримання, прибутку та інших джерел, не заборонених законодавством
При будівництві (реконструкції) об'єктів витрати на заходи з технічного захисту інформації включаються до кошторисної вартості робіт
Положення про технічний захист інформації в Україні,
затверджено Указом Президента України від 27.09.1999 № 1229
!
В бюджетному запиті на утримання відповідного державного органу необхідно передбачати витрати на захист інформації і забезпечення необхідного стану ТЗІ у відповідному органі і у сфері його управління

25
ЗАГРОЗИ ІНФОРМАЦІЇ
Основними загрозами для інформації, що обробляється в ІТС (АС), є:
Основними загрозами для інформації, що озвучується на ОІД, є:
витік інформації технічними каналами
витік інформації технічними каналами;
несанкціоновані дій з інформацією (у тому
числі з використанням комп'ютерних вірусів та
кібератак);
спеціальний вплив на засоби обробки
інформації, який здійснюється шляхом
формування фізичних полів і сигналів та може
призвести до порушення її цілісності та до
несанкціонованого блокування

26
КОМПЛЕКСИ ТА СИСТЕМИ ЗАХИСТУ ІНФОРМАЦІЇ ВІД ЗАГРОЗ
в інформаційно-телекомунікаційних (автоматизованих) системах, для захисту інформації, що обробляється, створюються
Комплексні системи захисту інформації (КСЗІ)
на об’єктах інформаційної діяльності для захисту інформації, що озвучується, створюються
Комплекси технічного захисту мовної інформації
Блокування загроз
КСЗІ складається з:
комплексу технічного захисту інформації – для захисту інформації від витоку технічними каналами;
комплексу засобів захисту від несанкціонованих дій з інформацією;
комплексу засобів захисту від спеціальних впливів

27
КОМПЛЕКСИ ТА СИСТЕМИ ЗАХИСТУ ІНФОРМАЦІЇ
Комплекс технічного захисту інформації – це взаємопов’язана сукупність організаційних та інженерних заходів та засобів технічного захисту інформації, що озвучується на ОІД та обробляється в ІТС, призначена для захисту інформації від витоку відповідними технічними каналами
Комплексна система захисту інформації – це взаємопов’язана сукупність організаційних та інженерних заходів та засобів технічного і криптографічного захисту інформації, що обробляється в ІТС, призначена для захисту інформації від витоку технічними каналами, від несанкціонованих дій з інформацією та від спеціальних впливів на інформацію та на засоби її обробки
Організація захисту інформації на об'єктах інформаційної діяльності та в інформаційно-телекомунікаційних-системах, а також порядок створення комплексів технічного захисту інформації та комплексних систем захисту інформації буде розглянуто у подальшому

28
ЗАХИСТ ІНФОРМАЦІЇ
Розглянуті вище організаційно-правові засади як сукупність основних положень, норм, правил, вимог та порядку організації та здійснення захисту інформації забезпечують правову основу функціонування системи захисту інформації