АДМІНІСТРАТИВНО-ПРАВОВІ ЗАСАДИ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ Автореферат

У вступі обґрунтовано актуальність теми дослідження, ступінь наукової розробки проблеми, вказано на зв’язок роботи з напрямами наукових досліджень, визначено мету і завдання дослідження, його об’єкт, предмет, використані методи, висвітлено наукову новизну роботи, її значення у практичній, науково-дослідній та навчально-науковій діяльності, наведено дані про апробацію і публікації результатів дослідження, відображено структуру дисертації.

Розділ 1 „Технічний захист інформації в Україні” складається з трьох підрозділів і присвячений висвітленню теоретичних і методологічних аспектів ТЗІ в Україні, визначенню поняття „технічний захист інформації” та його відмежуванню від інших споріднених понять.

У підрозділі 1.1 „Становлення та розвиток технічного захисту інформації в Україні” здійснено аналіз основних етапів становлення та розвитку технічного захисту інформації в Україні.

Незважаючи на численні публікації з цієї тематики, існує низка питань, які потребують дослідження і наукового вирішення. Інтеграція України до міжнародного співтовариства потребує дотримання вимог міжнародних документів у галузі забезпечення прав людини, зокрема документів стосовно захисту персональних даних під час обробки інформації в автоматизованих системах. Процеси розв’язання найважливіших міжнародних проблем, реалізація міжнародних угод вимагають такого вирішення питань ТЗІ, як це відбувається у розвинених країнах світу.

Автором розроблено етапи розвитку ТЗІ в Україні. На основі аналізу розвитку організаційно-правової складової технічного захисту інформації в Україні детально розкрито кожен із чотирьох етапів розвитку, а саме: на першому етапі, який тривав з 1992 до 1996 року, було закладено основи розвитку ТЗІ в Україні; другий етап (1996–1998 рр.) зумовлено створенням Державного комітету України з питань державних секретів та ТЗІ, прийняттям Концепції ТЗІ і визначенням порядку технічного захисту конфіденційної інформації, що є власністю держави; третій етап (з 1998 до 2005 року) – етап реформування системи ТЗІ України, коли було ліквідовано Державний комітет України з питань державних секретів та ТЗІ, функції ТЗІ покладено на Департамент спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України, а функції охорони державної таємниці передано Управлінню охорони державної таємниці Служби безпеки України. З листопада 2005 року починається четвертий етап – етап розвитку технічного захисту інформації, який триває до нині. Саме 2005 року вперше в нормативних актах з’являється положення про те, що необхідно створити Державну службу спеціального зв’язку та захисту інформації України як центральний орган виконавчої влади зі спеціальним статусом, що й було реалізовано внаслідок прийняття відповідного закону України в лютому 2006 року.

Історично-правове дослідження правовідносин, які виникали у процесі становлення та розвитку ТЗІ, дало змогу дійти висновку, що ґрунтовні перетворення системи ТЗІ України тривають донині. Останні пов’язані здебільшого з визначенням місця ТЗІ серед інших споріднених напрямів діяльності. Йдеться, насамперед, про вирішення питання співвідношення ТЗІ та діяльності з охорони державної таємниці.

Визначено, що відокремлення від Служби безпеки України органу, який відповідає за реалізацію державної політики у сфері технічного захисту інформації (Держспецзв’язку України), зумовлено демократичними перетвореннями нашій державі, а також потребою у подальшій її інтеграції до європейської та міжнародної спільноти, і є складовою загальнодержавних процесів реформування правоохоронної системи України.

У підрозділі 1.2 „Поняття та зміст технічного захисту інформації в Україні” досліджено теоретичні основи технічного захисту інформації в Україні.

У цій сфері проведено значну кількість ґрунтовних наукових досліджень. Частина дослідників уживає у своїх працях доктринальні визначення ТЗІ (П. Д. Біленчук, Б. В. Романюк, В. С. Цимбалюк та ін.). Інші науковці або взагалі не визнають ТЗІ як окремий напрям діяльності (здебільшого це стосується зарубіжних учених, таких як: Г. А. Бузов, С. В. Калінін, А. В. Кондратьєв, А. А. Малюк), або вживають для позначення аналогічної діяльності інші терміни (зокрема, Л. І. Северин, С. Л. Северин, А. В. Дудатьєв досліджують поняття “організаційно-технічний захист інформації”).

Акцентовано увагу на відсутності єдиного уніфікованого підходу до визначення поняття „технічний захист інформації” й запропоновано дослідження організації ТЗІ в Україні розпочинати зі з’ясування змісту термінологічної одиниці „технічний захист інформації”. Для цього автором проаналізовано нормативно закріплені визначення вказаного терміна.

Як підсумок дослідження було висунуто обґрунтовану тезу про необхідність нормативно закріпити єдине поняття „технічний захист інформації” як діяльність, спрямовану на забезпечення інженерно-технічними заходами порядку доступу, цілісності та доступності (унеможливлення блокування) інформації, яка становить державну та іншу передбачену законом таємницю, конфіденційної інформації, а також цілісності та доступності відкритої інформації, важливої для особи, суспільства і держави. Доведено, що запропоноване визначення нині використовується у частині нормативних документів і є найбільш повним і таким, що найточніше відповідає сутності досліджуваного виду захисту інформації, оскільки воно охоплює всі основні аспекти діяльності у сфері ТЗІ.

Окрему увагу в підрозділі приділено питанням зумовленості існування ТЗІ як відокремленого та відносно самостійного з-поміж інших виду захисту інформації.

Аналіз системи захисту інформації як цілісного утворення, призначеного для досягнення певної мети (а саме – забезпечення окремих характеристик охоронюваної інформації, таких як: конфіденційність, цілісність, доступність), надав можливість на якісно новому рівні дослідити систему ТЗІ, що є її складовою.

Наслідком теоретичних напрацювань стали: додаткова аргументація стосовно існування ТЗІ як окремої сфери суспільної діяльності й обґрунтування необхідності вживання терміна „технічний захист інформації” для позначення цієї галузі. Загальна сутність досліджуваного виду роботи полягає у: попередженні загроз безпеці інформації, що підлягає технічному захисту; своєчасному виявленні таких загроз; оперативній їх нейтралізації; виявленні причин і умов, які сприяють таким загрозам; усуненні зазначених причин та умов.

У дисертації акцентовано увагу на недопущенні фактів реалізації загроз або припиненні їх на стадії підготовки, коли це можливо; нейтралізації загроз для захищуваної інформації; мінімізації шкоди від випадків реалізації загроз; недопущенні аналогічних загроз у майбутньому.

У підрозділі 1.3 „Правове регулювання технічного захисту інформації в Україні” проаналізовано проблеми нормативно-правового регулювання технічного захисту інформації.

Зроблено висновок про те, що винятковестановище правового регулювання суспільних відносин галузі ТЗІ зумовлено переліком об’єктивних чинників. З’ясовано головні завдання, що вирішуються шляхом регуляторного впливу правових норм у сфері ТЗІ, зокрема: впровадження правових механізмів забезпечення захищеності інформації, що ґрунтуються на засадах доцільності, раціональності та достатності впроваджуваних засобів і заходів, установлення єдності та системності підходів у процесі забезпечення захищеності інформації у поєднанні з наданням права визначення вимог до захисту інформації залежно від збитків, що можуть бути завдані власникам, розпорядникам і користувачам інформації та/або об’єктів, на яких здійснюється діяльність, пов’язана з інформацією, що підлягає захисту, установлення норм правового регулювання дозвільною діяльністю та особливостей ліцензування у сфері захисту інформації, що забезпечує здійснення захисту інформації як власниками об’єктів у порядку виконання ними робіт для власних потреб, так і суб’єктами господарської діяльності у сфері захисту інформації за умов отримання ними відповідної ліцензії, визначення порядку й механізмів нормативного, кадрового, метрологічного, фінансового та науково-технічного забезпечення захисту інформації в Україні.

Зазначено, що зміни, які відбуваються в державі й супроводжуються зростанням ролі інформаційних технологій, потребують своєчасного перегляду державної політики у сфері ТЗІ та постійного вдосконалення правового регулювання відносин у цій сфері.

У процесі дослідження правової системи традиційним є застосування системного підходу. Використання цього методологічного інструментарію надало можливість сформулювати дефініцію „система нормативно-правових актів з питань технічного захисту інформації” як: „упорядкована сукупність нормативно-правових документів різної юридичної сили, які створюють нормативно-правове поле функціонування системи технічного захисту інформації”. Такі акти є обов’язковим інструментом, допомогою якого здійснюється правове регулювання.

Основою системи нормативно-правових документів з питань ТЗІ є Конституція України. Далі йдуть закони України: „Про інформацію”, „Про державну таємницю”, „Про захист інформації в інформаційно-телекомунікаційних системах”, „Про Державну службу спеціального зв’язку та захисту інформації України”, „Про Національну систему конфіденційного зв’язку”, „Про захист персональних даних” тощо. Положення чинного законодавства набули свого розвитку у системі підзаконних нормативно-правових актів органів державної влади. Йдеться про укази Президента України, постанови Кабінету Міністрів України, накази Державної служби спеціального зв’язку та захисту інформації, державні стандарти, міжвідомчі нормативні документи системи технічного захисту інформації. Окрему групу становлять внутрішні накази, розпорядження та вказівки, що регулюють організацію ТЗІ на відомчому рівні.

З урахуванням отриманих результатів автором запропоновано підхід до визначення системи нормативних актів, якими врегульовується ТЗІ в Україні, за такими рівнями. На першому – Конституція України як Основний Закон, який має вищу юридичну силу і якому повинні відповідати, в тому числі й міжнародні угоди, які ратифікуються Верховною Радою України. На другому – угоди України з іншими державами з питань ТЗІ, а також закони України. На третьому рівні – підзаконні нормативно-правові акти органів державної влади, що видаються останніми відповідно до їх компетенції, функцій, прав і обов’язків та є обов’язковими для виконання всіма суб’єктами системи ТЗІ. На четвертому рівні – внутрішні накази, розпорядження та вказівки, що регулюють організацію технічного захисту інформації на відомчому рівні.

Слід зауважити, що здебільшого одна й та сама сфера суспільних відносин регулюється нормами різних галузей права. Не є винятком і ТЗІ. Проте, як засвідчив аналіз системи нормативно-правових актів, провідну роль у регулюванні суспільних відносин сфери ТЗІ відіграє адміністративне право. Саме адміністративно-правові джерела є обов’язковим інструментом, допомогою якого здійснюється правове регулювання в галузі ТЗІ.

Розділ 2 „Адміністративно-правове регулювання технічного захисту інформації” складається з трьох підрозділів і присвячений дослідженню особливостей адміністративно-правового регулювання ТЗІ.

У підрозділі 2.1 „Технічний захист інформації як об’єкт адміністративно-правового регулювання” наголошується на соціальному значенні інформації, обґрунтовується необхідність її державного захисту технічними засобами, підкреслюється роль адміністративно-правового регулювання в забезпеченні ефективного використання відомостей.

Дослідження технічного захисту інформації як об’єкта адміністративно-правового регулювання передбачає аналіз цього виду діяльності через розкриття суспільних відносин, що виникають у галузі ТЗІ та врегулювання яких здійснюється адміністративно-правовими засобами. Інакше кажучи, дослідження цього питання потрібно реалізувати, проаналізувавши адміністративно-правові відносини у сфері технічного захисту інформації.

Суспільно-владні відносини як предмет наукового дослідження характеризуються складністю і багатоплановістю, органічним поєднанням об’єктивних і суб’єктивних чинників, спонтанних і мобілізаційних тенденцій тощо.

З урахуванням результатів, отриманих автором, найбільш вагомим для розуміння змісту ТЗІ як об’єкта адміністративно-правового регулювання є підхід, відповідно до якого суспільні відносини у сфері ТЗІ потрібно досліджувати в розрізі основних напрямів реалізації державної політики для цієї галузі. Такими є: протидія технічним розвідкам, захист інформації в інформаційно-телекомунікаційних системах, науково-технічна діяльність, захист мовної інформації та даних у лініях і середовищах, організація та координація розвитку системи ТЗІ.

Проведений науковий аналіз ТЗІ як об’єкта адміністративно-правового регулювання дав змогу дійти висновку про важливу роль у діяльності з ТЗІ органів державної влади, насамперед Адміністрації Державної служби спеціального зв’язку та захисту інформації України.

У підрозділі 2.2 „Система органів регулювання технічного захисту інформації України” досліджено місце та роль органів державної влади у системі ТЗІ України.

Обґрунтовано, що чинними нормативними документами органи державної влади визначені як суб’єкти системи ТЗІ України. До їх основних завдань належать: забезпечення ТЗІ згідно з вимогами нормативно-правових актів з питань ТЗІ; видання у межах своїх повноважень нормативно-правових актів у цій сфері; контроль за станом ТЗІ.

Складовою наукового дослідження стали питання співвідношення діяльності державних органів щодо ТЗІ з погляду реалізації основних функцій органів державної влади.

Визначено, що на сучасному етапі доцільно виділити три класичні ланки в системі органів державної влади, що реалізують функції стосовно системи ТЗІ України: законодавча, судова, виконавча.

З огляду на виняткове становище серед інших суб’єктів системи ТЗІ Державної служби спеціального зв’язку та захисту інформації України автором детально досліджено основні засади діяльності цього державного органу. Обґрунтовано висновок про те, що провідна роль Держспецзв’язку України зумовлена його основними завданнями та функціями, а також особливим становищем Адміністрації Державної служби спеціального зв’язку та захисту інформації України як спеціально уповноваженого центрального органу виконавчої влади, у тому числі з питань ТЗІ.

У дослідженні підкреслено, що нині в Україні створилася складна багаторівнева система правового регулювання сферою ТЗІ. Причому органи державної влади обіймають у галузі ТЗІ подвійне становище: з одного боку, вони є суб’єктами системи ТЗІ України, а з другого – реалізуючи власні, передбачені відповідними нормативними документами завдання, здійснюють окремі функції управління вказаною системою.

За цих умов важливого значення набуває якісна організація взаємодії між різними державними інституціями у сфері ТЗІ. З огляду на те, що центральним органом системи управління в досліджуваній галузі виступає Держспецзв’язку України, зроблено такий висновок: саме вона має забезпечити організацію ефективної взаємодії між різними інституціями у сфері технічного захисту інформації.

Нормативним підґрунтям для цього має стати стаття 6 Положення про Адміністрацію Держспецзв’язку України, відповідно до якої остання, виконуючи покладені на неї завдання, взаємодіє з іншими центральними та місцевими органами виконавчої влади, органами місцевого самоврядування, військовими формуваннями, підприємствами, установами й організаціями незалежно від форм власності, а також з відповідними органами іноземних держав.

У підрозділі 2.3 „Взаємодія суб’єктів системи технічного захисту інформації” детально розглянуто окремі чинники, якими зумовлена необхідність взаємодії між різними державними інституціями як суб’єктами системи ТЗІ.

Дослідження таких чинників дало змогу дійти висновку, згідно з яким перед суб’єктами системи ТЗІ поставлені спільні завдання з протидії загрозам інформації обмеженого доступу (у тому числі – державній таємниці), які кожний із суб’єктів виконує, відповідно до з наданих повноважень щодо забезпечення безпеки інформації з урахуванням особливостей наявних сил і засобів. У підсумку визначено, що досягнення певного рівня безпеки інформації в країні є результатом спільних зусиль.

Важливого значення набуває діяльність з удосконалення організації взаємодії суб’єктів системи ТЗІ загалом і державних органів зокрема. Основне завдання, яке потрібно вирішити, полягає у підвищенні ефективності спільної діяльності.

З огляду на це, насамперед потрібно з’ясувати змістовне навантаження поняття „взаємодія” стосовно обраного предмета дослідження. Запропоновано використовувати таку дефініцію: поняття „взаємодія у сфері ТЗІ” – це здійснювана у певних правових й організаційних формах спільна, узгоджена за метою, часом і місцем діяльність підрозділів Держспецзв’язку України, а також інших суб’єктів системи ТЗІ України, спрямована на вирішення завдань ТЗІ.

Наступними кроками у процесі дослідження спільної діяльності суб’єктів системи ТЗІ стало з’ясування принципів, мети й форм такої взаємодії.

Здійснено інтерпретацію стосовно обраного предмета дослідження таких загальних принципів взаємодії, як науковість, законність, плановість, безперервність, „головна ланка”, „резерв”, маневреність, оптимальне використання можливостей взаємодіючих елементів, пропорційна відповідальність за наслідки взаємодії. Сформульовано мету взаємодії суб’єктів системи технічного захисту інформації України: попередження, своєчасне виявлення і припинення фактів реалізації загроз для інформації, яка становить державну та іншу передбачену законом таємницю, конфіденційної інформації, а також відкритої інформації, важливої для особи, суспільства і держави; виявлення та усунення причин і умов, які спричинюють їх виникнення, шляхом застосування інженерно-технічних засобів. Обґрунтовано форми взаємодії між суб’єктами системи ТЗІ, зокрема: обмін інформацією, яка становить взаємний інтерес, між суб’єктами системи ТЗІ; сумісне розроблення управлінських рішень; реалізація розроблених управлінських рішень.

Результати, одержані під час дослідження змісту поняття „взаємодія” стосовно суб’єктів системи ТЗІ України, принципів, мети й форм такої спільної діяльності, запропоновано використати для покращання організації ТЗІ в Україні.

У розділі 3 „Напрями вдосконалення адміністративно-правових засад технічного захисту інформації” проаналізовано тенденції подальшого розвитку сфери ТЗІ в Україні, а також подано пропозиції щодо підвищення рівня цього виду захисту.

У підрозділі 3.1 „Удосконалення державної політики технічного захисту інформації” викладено авторські пропозиції щодо подальшого розвитку державної політики стосовно технічного захисту інформації.

Шляхом критичного перегляду відповідних положень Концепції ТЗІ та інших нормативно-правових актів дисертантом сформовано актуальний перелік основних напрямів покращання державної політики. Зокрема, до них віднесено: удосконалення нових нормативно-правових актів щодо захисту інформації, яка становить державну та іншу передбачену законом таємницю, конфіденційної інформації, що належить державі; розроблення нормативно-правових актів щодо захисту відкритої інформації, важливої для особи, суспільства та держави; покращання правових механізмів організаційного забезпечення ТЗІ; удосконалення нормативно-правових актів стосовно умов і правил провадження діяльності у сфері ТЗІ; оновлювання нормативно-правових актів щодо здійснення контролю за імпортом з метою впровадження в Україні зарубіжних інформаційних технологій із захисту інформації та засобів забезпечення ТЗІ; розроблення нормативних документів із питань формування і розвитку моделі загроз для інформації; розроблення нормативних документів стосовно сертифікації засобів забезпечення ТЗІ та атестації на відповідність вимогам ТЗІ об’єктів, діяльність яких пов’язана з інформацією, що підлягає технічному захисту; модернізація чинних та розроблення нових нормативних документів із питань ТЗІ; покращання організаційного забезпечення; удосконалення науково-технічної та виробничої діяльності.

Резюмуючи отримані результати, слід зробити наголос на тому, що основні шляхи покращання організації технічного захисту інформації було відображено у відповідних напрямах державної політики та закріплено чинною нормативно-правовою базою.

Обґрунтовано, що особливої уваги потребують такі аспекти досліджуваного виду діяльності, як підвищення ефективності правового регулювання технічного захисту інформації та вдосконалення системи підготовки фахівців з технічного захисту інформації.

У підрозділі 3.2 „Підвищення ефективності правового регулювання технічного захисту інформації” здійснено науковий аналіз основних напрямів підвищення ефективності правового регулювання ТЗІ.

З огляду на те, що значна частина суспільних відносин із питань ТЗІ, які входять до сфери правового регулювання, має бути включена до групи відносин із владного управління, найважливішим їх регулятором виступає саме адміністративне право. Таким чином удосконалення адміністративно-правової бази технічного захисту інформації є обов’язковою складовою загального процесу покращання правового регулювання ТЗІ в Україні.

Нині існує кілька напрямів підвищення ефективності правового регулювання сфери ТЗІ, акцентується увага на регламентації захисту інформації, яка становить державну та іншу передбачену законом таємницю, конфіденційної інформації, що належить державі. До нагальних проблем, які треба розв’язати, належить розроблення основного міжвідомчого нормативного акта з питань взаємодії між Службою безпеки України і Держспецзв’язку України щодо технічного захисту інформації, яка становить державну та іншу передбачену законом таємницю, а також конфіденційної інформації, що належить державі. Необхідність розроблення такого документа зумовлена невідповідністю нормативно-правового забезпечення взаємодії між підрозділами зазначених державних органів потребам сучасності.

З урахуванням отриманих під час дослідження результатів автором розроблено проект Інструкції про порядок взаємодії Служби безпеки України і Держспецзв’язку України щодо технічного захисту інформації, яка становить державну та іншу передбачену законом таємницю, а також конфіденційної інформації, що належить державі. Указаний документ визначає: мету, рівні, принципи та форми взаємодії; права та обов’язки кожної зі сторін; розмежування компетенції.

Інструкція репрезентується автором як нормативне підґрунтя більш ефективної організації спільної діяльності підрозділів Служби безпеки України і Державної служби спеціального зв’язку та захисту інформації України, а також як документ, що дозволить заповнити наявні прогалини нормативно-правової бази взаємодії вказаних суб’єктів у сфері ТЗІ.

У підрозділі 3.3 „Удосконалення системи підготовки фахівців з технічного захисту інформації” визначено основні напрями покращання системи підготовки спеціалістів у цій галузі.

Професійний рівень працівників у сфері ТЗІ для виконання практичних завдань з попередження чи нейтралізації наявних загроз інформаційної безпеки є основоположною ознакою, якою переважно визначається попит на спеціалістів такої кваліфікації. Достатнього рівня їх підготовки можна досягти тільки через засвоєння ними базових знань у сфері правового регулювання різноманітної діяльності, кінцева мета якої полягає у захисті законних інтересів учасників інформаційних процесів. Це є гарантією не тільки законності такої роботи, а й, що також важливо, її ефективності.

Разом із тим, коли йдеться про організацію та забезпечення вивчення питань правового регулювання суспільних відносин у галузі технічного захисту інформації, потрібно визнати відсутність єдиного розуміння з боку суб’єктів освітнього процесу не лише сутності вказаного курсу, а й навіть необхідності його викладання.

Таким чином, існує гостра потреба розроблення науково обґрунтованих пропозицій щодо змісту й основних засад викладання дисципліни „Правове регулювання технічного захисту інформації в Україні” для майбутніх фахівців із ТЗІ. У зв’язку з цим автором досліджено основні підходи до формування змісту зазначеного курсу та методології його викладання. Запропоновано також проект робочої навчальної програми для дисципліни „Правове регулювання технічного захисту інформації в Україні”.

Отримані результати можуть бути покладені в основу формування концептуального підходу до викладання необхідних знань у галузі правового забезпечення ТЗІ, які підлягають вивченню у процесі підготовки кадрів для підрозділів захисту інформації у відповідних ВНЗ.