Закон України ПРО ЗАХИСТ ІНФОРМАЦІЇ В АВТОМАТИЗОВАНИХ СИСТЕМАХ

Від 5 липня 1994 p. № 80/94-ВР

(Введений в дію Постановою Верховної Ради України віЗакон України «Про захист інформації в автоматизованих системах»д 5 лип­ня 1994 p. № 81/94-ВР)

Метою цього Закону є встановлення основ регулювання правових від­носин щодо захисту інформації в автоматизованих системах за умови до­тримання права власності громадян України і юридичних осіб на інфор­мацію та права доступу до неї, права власника інформації на її захист, а також встановленого чинним законодавством обмеження на доступ до ін­формації.

Дія Закону поширюється на будь-яку інформацію, що обробляється в автоматизованих системах.

Розділ І ЗАГАЛЬНІ ПОЛОЖЕННЯ

Стаття 1. Визначення термінів

У цьому Законі терміни вживаються в такому значені:

автоматизована система (АС) — система, що здійснює автомати­зовану обробку даних і до складу якої входять технічні засоби їх об­робки (засоби обчислювальної техніки і зв'язку), а також методи і процедури, програмне забезпечення;

інформація в АС — сукупність усіх даних і програм, які використовуються в АС незалежно від засобу їх фізичного та логічного представлення;

обробка інформації — вся сукупність операцій (збирання, введення, записування, перетворення, зчитування, зберігання, знищення, реє­страція), що здійснюються за допомогою технічних і програмних засобів, включаючи обмін по каналах передачі даних;

захист інформації — сукупність оранізаційно-технічниї заходів і пра­вових норм для запобігання заподіянню шкоди інтересам власника інформації чи АС та осіб, які користуються інформацією;

несанкціонований доступ — доступ до інформації, що здійснюється з порушенням встановлених в АС правил розмежування доступу;

розпорядник АС — фізична або юридична особа, яка має право розпоря­джання АС за угодою з її власником або за його дорученням;

персонал АС — фізичні особи, яких власник АС або уповноважена ним особа чи розпорядник АС визначили для здійснення функцій управ­ління та обслуговування АС;

користувач АС — фізична або юридична особа, яка має право вико­ристання АС за угодою із розпорядником АС;

порушник — фізична або юридична особа, яка навмисно чи ненавмисне здійснює неправомірні дії щодо АС та інформації в ній;

витік інформації — результат дій порушника, внаслідок яких інфор­мація стає відомою (доступною) суб'єктам, що не мають права до­ступу до неї;

втрата інформації — дія, внаслідок якої інформація в АС перестає існувати для фізичних або юридичних осіб, які мають право влас­ності на неї в повному чи обмеженому обсязі;

підробка інформації — навмисні дії, що призводять до перекручення інформації, яка повинна оброблятися або зберігатися в АС;

блокування інформації — дії, наслідком яких є припинення доступу де інформації;

порушення роботи АС — дії або обставини, які призводять до спотво­рення процесу обробки інформації.

Стаття 2. Об'єкти захисту

Об'єктами захисту є інформація, що обробляється в АС, права влас­ників цієї інформації та власників АС, права користувача.

Захисту підлягає будь-яка інформація в АС, необхідність захисту якої визначається її власником або чинним законодавством.

Стаття 3. Суб'єкти відносин

Суб'єктами відносин, пов'язанних з обробкою інформації в АС, є:

•  власники інформації чи уповноважені ними особи;

•  власники АС чи уповноважені ними особи;

•  користувачі інформації;

•  користувачі АС.

Стаття 4. Право власності на інформацію під час її обробки

Право власності на інформацію, створену як вторинну в процесі об­робки в АС, встановлюється з урахуванням норм авторського права на під­ставі угоди між власником вхідної інформації і користувачем АС. Якщо такої угоди немає, то така інформація належить користувачу АС, який здійснив цю обробку. Користувач АС може проводити обробку інформації лише за наявності згоди на те її власника або уповноваженої ним особи, якщо ця інформація не віднесена до категорії загальнодоступної.

Стаття 5. Гарантія юридичного захисту

Суб'єкти права власності, визначені авторським правом або договір­ними відносинами, мають право на юридичний захист від заподіяння шко­ди власнику інформації чи АС внаслідок навмисної чи ненавмисної втра­ти, знищення, підроблення, спотворення, блокування інформації та інших неправомірних дій.

Стаття 6. Доступ до інформації

Доступ до інформації, яка зберігається, обробляється і передається в АС, здійснюється лише згідно з правилами розмежування доступу, вста­новленими власником інформації чи уповноваженою ним особою.

Без дозволу власника доступ до інформації, яка обробляється в АС, здійснюється лише у випадках, передбачених чинним законодавством.

Розділ II ВІДНОСИНИ МІЖ СУБ'ЄКТАМИ В ПРОЦЕСІ ОБРОБКИ ІНФОРМАЦІЇ В АС

Стаття 7. Відносини між власником інформації та власником АС

Власник АС повинен забезпечити захист інформації згідно з вимогами і правилами, що обумовлюються угодою з власником інформації або упов­новаженою ним особою, та зобов'язаний повідомити його про всі факти порушення її захисту.

Якщо інформація є власністю держави або належить до державної та­ємниці чи окремих видів інформації, захист яких гарантується держа­вою, то власник АС повинен забезпечити захист інформації згідно з вимо­гами і правилами, що їх визначає уповноважений Кабінетом Міністрів України орган.

Власник АС не несе відповідальності за шкоду, заподіяну власнику інформації, якщо при цьому не було порушено встановлені власником ін­формації правила її захисту.

Згідно з укладеною угодою власник або уповноважені ним особи мають право здійснювати контроль за дотриманням вимог щодо захисту інфор­мації та забороняти чи зупиняти обробку інформації у разі порушення цих вимог.

Стаття 8. Відносини між власником інформації та користувачем

Власник інформації, уповноважені ним на те особи визначають корис­тувачів належної йому інформації та встановлюють їх повноваження.

Стаття 9. Відносини між власником АС і користувачем АС

Власник або розпорядник АС дає користувачам можливість доступу до інформації, що обробляється в АС, згідно з повноваженнями, встановле­ними власником інформації.

Власник або розпорядник АС регламентує порядок взаємодії корис­тувачів з АС за погодженням з власником інформації.

Власник або розпорядник АС повинен інформувати власника і корис­тувача інформації про властивості методів обробки інформації та межі її використання, а власник і користувач інформації повинні підтвердити свою згоду на застосування пропонованих методів обробки та відсутність претензій.

Розпорядник АС в обов'язковому порядку інформує власника інфор­мації про технічні можливості захисту інформації в його АС, типові пра­вила, встановлені для персоналу АС.

Розділ III

ЗАГАЛЬНІ ВИМОГИ ЩОДО ЗАХИСТУ ІНФОРМАЦІЇ

Стаття 10. Забезпечення захисту інформації в АС

Захист інформації в АС забезпечується шляхом:

дотримання суб'єктами правових відносин норм, вимог та правил орга­нізаційного і технічного характеру щодо захисту оброблюваної ін­формації;

використання засобів обчислювальної техніки, програмного забезпе­чення, засобів зв'язку і АС в цілому, засобів захисту інформації, які відповідають встановленим вимогам щодо захисту інформації (мають відповідний сертифікат);

перевірки відповідності засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку і АС в цілому встановленим вимогам щодо захисту інформації (сертифікація засобів обчислювальної тех­ніки, засобів зв'язку і АС);

здійснення контролю щодо захисту інформації.

Стаття 11. Встановлення вимог і правил щодо захисту інформації

Вимоги і правила щодо захисту інформації, яка є власністю держави, або інформації, захист якої гарантується державою, встановлюються дер­жавним органом, уповноваженим Кабінетом Міністрів України. Ці вимо­ги і правила є обов'язковими для власників АС, де така інформація об­робляється, і мають рекомендаційний характер для інших суб'єктів права власності на інформацію.

Стаття 12. Умови обробки інформації

Інформація, яка є власністю держави, або інформація, захист якої гарантується державою, повинна оброблятись в АС, що має відповідний сертифікат (атестат) захищеності, в порядку, який визначається упов­новаженим Кабінетом Міністрів України органом.

У процесі сертифікації (атестації) цих АС здійснюються також пере­вірка, сертифікація (атестація) розроблених засобів захисту інформації.

Інформація, яка є власністю інших суб'єктів, може оброблятися у за­значених АС за розсудом власника інформації. Власник інформації може звернутися до органів сертифікації з клопотанням про проведення аналізу можливостей АС щодо належного захисту його інформації та одержання відповідних консультацій.

Розділ IV

ОРГАНІЗАЦІЯ ЗАХИСТУ ІНФОРМАЦІЇ В АС

Стаття 13. Політика в галузі захисту інформації

Політика в галузі захисту інформації в АС визначається Верховною Радою України.

Стаття 14. Державне управління захистом інформації в АС

Уповноважений Кабінетом Міністрів України орган здійснює управ­ління захистом інформації шляхом:

проведення єдиної технічної політики щодо захисту інформації;

розроблення концепції, вимог, нормативно-технічних документів і нау­ково-методичних рекомендацій щодо захисту інформації в АС;

затвердження порядку організації, функціонування та контролю за ви­конанням заходів, спрямованих на захист оброблюваної в АС інфор­мації, яка є власністю держави, а також рекомендацій щодо захисту інформації — власності юридичних та фізичних осіб;

організації випробувань і сертифікації засобів захисту інформації в АС, в якій здійснюється обробка інформації, яка є власністю держави;

створення відповідних структур для захисту інформації в АС;

проведення атестації сертифікаційних (випробувальних) органів, цент­рів і лабораторій, видачі ліцензії на право проведення сервісних робіт в галузі захисту інформації в АС;

здійснення контролю захищеності оброблюваної в АС інформації, яка є власністю держави;

визначення порядку доступу осіб і організацій зарубіжних держав до інформації в АС, яка є власністю держави, або до інформації — влас­ності фізичних та юридичних осіб, щодо поширення і використання якої державою встановлено обмеження. Міністерства, відомства та інші центральні органи державної виконав­чої влади забезпечують вирішення питань захисту інформації в АС у ме­жах своїх повноважень.

Стаття 15. Служби захисту інформації в АС

У державних установах та організаціях можуть створюватись підроз­діли, служби, які організують роботу, пов'язану із захистом інформації, підтримкою рівня захисту інформації в АС і несуть відповідальність за ефективність захисту інформації відповідно до вимог цього Закону.

Стаття 16. Фінансування робіт

Фінансування робіт, пов'язаних із захистом інформації, яка оброб­ляється в АС, здійснюється власником АС.

Роботи, пов'язані з виконанням додаткових вимог щодо захисту інфор­мації, відмінного від сертифікаційного, фінансуються фізичною чи юри­дичною особою, що їх визначила, або на договірній основі.

Розділ V

ВІДПОВІДАЛЬНІСТЬ ЗА ПОРУШЕННЯ ЗАКОНУ ПРО ЗАХИСТ ІНФОРМАЦІЇ

Стаття 17. Відповідальність за порушення порядку і правил захисту інформації

Особи, винні в порушенні порядку і правил захисту оброблюваної в АС інформації, несуть дисциплінарну, адміністративну, кримінальну чи ма­теріальну відповідальність згідно з чинним законодавством України.

Стаття 18. Відшкодування шкоди

Шкода, заподіяна суб'єктам відносин, визначеним статтею 3 цього За­кону, внаслідок незаконного створення перешкод для доступу до інфор­мації, витоку чи втрати інформації в АС, відшкодовується особами, яких визнано винними в цьому.

Розділ VI МІЖНАРОДНА ДІЯЛЬНІСТЬ В ГАЛУЗІ ЗАХИСТУ ІНФОРМАЦІЇ В АС

Стаття 19. Взаємодія в питаннях захисту інформації в АС

З метою забезпечення міждержавної взаємодії обчислювальних мереж і АС уповноважені Кабінетом Міністрів України органи координують свою роботу щодо захисту інформації з органами захисту інформації інших держав.

Стаття 20. Забезпечення інформаційних прав України

Фізичні та юридичні особи в Україні на підставі Закону України «Про інформацію» можуть встановлювати взаємозв'язки з АС інших держав з метою обробки, обміну, продажу, купівлі відкритої інформації. Такі вза­ємозв'язки повинні виключати можливість несанкціонованого доступу з боку інших держав або їх представників — резидентів України чи осіб без громадянства до інформації, що є в АС України, незалежно від форм влас­ності і підпорядкування, стосовно якої встановлено вимоги нерозповсю-дження її за межі України без спеціального дозволу.

Іноземні держави, іноземні фізичні та юридичні особи можуть висту­пати власниками АС в Україні, власниками інформації, що розповсюджу­ється та обробляється в АС України, або засновувати спільні з українськими юридичними та фізичними особами підприємства з метою створення АС, постачання інформації до АС України, обміну інформацією між АС Ук­раїни та АС інших держав. Окремі види такої діяльності здійснюються на підставі спеціального дозволу (ліцензії), що видається уповноваженим на це органом.

ЗАТВЕРДЖЕНО Наказ Міністерства освіти і науки України

13.08.2004 р. №657