ЗАКОН УКРАЇНИ Про захист інформації в автоматизованих системах (Відомості Верховної Ради (ВВР), 1994, № 31, ст.286)(Вводиться в дію Постановою ВР № 81/94-ВР від 05.07.94, ВВР, 1994, № 31, ст.287)Метою цього Закону є встановлення основ регулювання правових відносин щодо захисту інформації в автоматизованих системах за умови дотримання права власності громадян України і юридичних осіб на інформацію та права доступу до неї, права власника інформації на її захист, а також встановленого чинним законодавством обмеження на доступ до інформації. Дія Закону поширюється на будь-яку інформацію, що обробляється в автоматизованих системах. Розділ I. ЗАГАЛЬНІ ПОЛОЖЕННЯСтаття 1. Визначення термінівУ цьому Законі терміни вживаються в такому значенні: автоматизована система (АС) – система, що здійснює автоматизовану обробку даних і до складу якої входять технічні засоби їх обробки (засоби обчислювальної техніки і зв'язку), а також методи і процедури, програмне забезпечення; інформація в АС – сукупність усіх даних і програм, які використовуються в АС незалежно від засобу їх фізичного та логічного представлення; обробка інформації – вся сукупність операцій (збирання, введення, записування, перетворення, зчитування, зберігання, знищення, реєстрація), що здійснюються за допомогою технічних і програмних засобів, включаючи обмін по каналах передачі даних; захист інформації – сукупність організаційно-технічних заходів і правових норм для запобігання заподіянню шкоди інтересам власника інформації чи АС та осіб, які користуються інформацією; несанкціонований доступ – доступ до інформації, що здійснюється з порушенням встановлених в АС правил розмежування доступу; розпорядник АС – фізична або юридична особа, яка має право розпоряджання АС за угодою з її власником або за його дорученням; персонал АС – фізичні особи, яких власник АС або уповноважена ним особа чи розпорядник АС визначили для здійснення функцій управління та обслуговування АС; користувач АС – фізична або юридична особа, яка має право використання АС за угодою із розпорядником АС; порушник – фізична або юридична особа, яка навмисно чи ненавмисно здійснює неправомірні дії щодо АС та інформації в ній; витік інформації – результат дій порушника, внаслідок яких інформація стає відомою (доступною) суб'єктам, що не мають права доступу до неї; втрата інформації – дія, внаслідок якої інформація в АС перестає існувати для фізичних або юридичних осіб, які мають право власності на неї в повному чи обмеженому обсязі; підробка інформації – навмисні дії, що призводять до перекручення інформації, яка повинна оброблятися або зберігатися в АС; блокування інформації – дії, наслідком яких є припинення доступу до інформації; порушення роботи АС – дії або обставини, які призводять до спотворення процесу обробки інформації. Стаття 2. Об'єкти захисту Об'єктами захисту є інформація, що обробляється в АС, права власників цієї інформації та власників АС, права користувача. Захисту підлягає будь-яка інформація в АС, необхідність захисту якої визначається її власником або чинним законодавством. Стаття 3. Суб'єкти відносинСуб'єктами відносин, пов'язаних з обробкою інформації в АС, є: – власники інформації чи уповноважені ними особи; – власники АС чи уповноважені ними особи; – користувачі інформації; – користувачі АС. Стаття 4. Право власності на інформацію під час її обробкиПраво власності на інформацію, створену як вторинну в процесі обробки в АС, встановлюється з урахуванням норм авторського права на підставі угоди між власником вхідної інформації і користувачем АС. Якщо такої угоди немає, то така інформація належить користувачу АС, який здійснив цю обробку. Користувач АС може проводити обробку інформації лише за наявності згоди на те її власника або уповноваженої ним особи, якщо ця інформація не віднесена до категорії загальнодоступної. Стаття 5. Гарантія юридичного захистуСуб'єкти права власності, визначені авторським правом або договірними відносинами, мають право на юридичний захист від заподіяння шкоди власнику інформації чи АС внаслідок навмисної чи ненавмисної втрати, знищення, підроблення, спотворення, блокування інформації та інших неправомірних дій. Стаття 6. Доступ до інформаціїДоступ до інформації, яка зберігається, обробляється і передається в АС, здійснюється лише згідно з правилами розмежування доступу, встановленими власником інформації чи уповноваженою ним особою. Без дозволу власника доступ до інформації, яка обробляється в АС, здійснюється лише у випадках, передбачених чинним законодавством. Розділ IIВідносини між суб'єктами в процесі обробки інформації в АС Стаття 7. Відносини між власником інформації та власником АСВласник АС повинен забезпечити захист інформації згідно з вимогами і правилами, що обумовлюються угодою з власником інформації або уповноваженою ним особою, та зобов'язаний повідомити його про всі факти порушення її захисту. Якщо інформація є власністю держави або належить до державної таємниці чи окремих видів інформації, захист яких гарантується державою, то власник АС повинен забезпечити захист інформації згідно з вимогами і правилами, що їх визначає уповноважений Кабінетом Міністрів України орган. Власник АС не несе відповідальності за шкоду, заподіяну власнику інформації, якщо при цьому не було порушено встановлені власником інформації правила її захисту. Згідно з укладеною угодою власник інформації або уповноважені ним особи мають право здійснювати контроль за дотриманням вимог щодо захисту інформації та забороняти чи зупиняти обробку інформації у разі порушення цих вимог. Стаття 8. Відносини між власником інформації та користувачемВласник інформації, уповноважені ним на те особи визначають користувачів належної йому інформації та встановлюють їх повноваження. Стаття 9. Відносини між власником АС і користувачем АСВласник або розпорядник АС дає користувачам можливість доступу до інформації, що обробляється в АС, згідно з повноваженнями, встановленими власником інформації. Власник або розпорядник АС регламентує порядок взаємодії користувачів з АС за погодженням з власником інформації. Власник або розпорядник АС повинен інформувати власника і користувача інформації про властивості методів обробки інформації та межі їх використання, а власник і користувач інформації повинні підтвердити свою згоду на застосування пропонованих методів обробки та відсутність претензій. Розпорядник АС в обов'язковому порядку інформує власника інформації про технічні можливості захисту інформації в його АС, типові правила, встановлені для персоналу АС. Розділ IIIЗагальні вимоги щодо захисту інформаціїСтаття 10. Забезпечення захисту інформації в АСЗахист інформації в АС забезпечується шляхом: дотримання суб'єктами правових відносин норм, вимог та правил організаційного і технічного характеру щодо захисту оброблюваної інформації; використання засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку і АС в цілому, засобів захисту інформації, які відповідають встановленим вимогам щодо захисту інформації (мають відповідний сертифікат); перевірки відповідності засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку і АС в цілому встановленим вимогам щодо захисту інформації (сертифікація засобів обчислювальної техніки, засобів зв'язку і АС); здійснення контролю щодо захисту інформації. Стаття 11. Встановлення вимог і правил щодо захисту інформаціїВимоги і правила щодо захисту інформації, яка є власністю держави, або інформації, захист якої гарантується державою, встановлюються державним органом, уповноваженим Кабінетом Міністрів України. Ці вимоги і правила є обов'язковими для власників АС, де така інформація обробляється, і мають рекомендаційний характер для інших суб'єктів права власності на інформацію. Стаття 12. Умови обробки інформаціїІнформація, яка є власністю держави, або інформація, захист якої гарантується державою, повинна оброблятись в АС, що має відповідний сертифікат (атестат) захищеності, в порядку, який визначається уповноваженим Кабінетом Міністрів України органом. У процесі сертифікації (атестації) цих АС здійснюються також перевірка, сертифікація (атестація) розроблених засобів захисту інформації. Інформація, яка є власністю інших суб'єктів, може оброблятися у зазначених АС за розсудом власника інформації. Власник інформації може звернутися до органів сертифікації з клопотанням про проведення аналізу можливостей АС щодо належного захисту його інформації та одержання відповідних консультацій. Розділ IVОрганізація захисту інформації в АССтаття 13. Політика в галузі захисту інформаціїПолітика в галузі захисту інформації в АС визначається Верховною Радою України. Стаття 14. Державне управління захистом інформації в АСУповноважений Кабінетом Міністрів України орган здійснює управління захистом інформації шляхом: проведення єдиної технічної політики щодо захисту інформації; розроблення концепції, вимог, нормативно-технічних документів і науково-методичних рекомендацій щодо захисту інформації в АС; затвердження порядку організації, функціонування та контролю за виконанням заходів, спрямованих на захист оброблюваної в АС інформації, яка є власністю держави, а також рекомендацій щодо захисту інформації – власності юридичних та фізичних осіб; організації випробувань і сертифікації засобів захисту інформації в АС, в якій здійснюється обробка інформації, яка є власністю держави; створення відповідних структур для захисту інформації в АС; проведення атестації сертифікаційних (випробувальних) органів, центрів і лабораторій, видачі ліцензії на право проведення сервісних робіт в галузі захисту інформації в АС; здійснення контролю захищеності оброблюваної в АС інформації, яка є власністю держави; визначення порядку доступу осіб і організацій зарубіжних держав до інформації в АС, яка є власністю держави, або до інформації – власності фізичних та юридичних осіб, щодо поширення і використання якої державою встановлено обмеження. Міністерства, відомства та інші центральні органи державної виконавчої влади забезпечують вирішення питань захисту інформації в АС у межах своїх повноважень. Стаття 15. Служби захисту інформації в АСУ державних установах та організаціях можуть створюватись підрозділи, служби, які організують роботу, пов'язану із захистом інформації, підтримки рівня захисту інформації в АС і несуть відповідальність за ефективність захисту інформації відповідно до вимог цього Закону. Стаття 16. Фінансування робітФінансування робіт, пов'язаних із захистом інформації, яка обробляється в АС, здійснюється власником АС. Роботи, пов'язані з виконанням додаткових вимог щодо захисту інформації, відмінного від сертифікаційного, фінансуються фізичною чи юридичною особою, що їх визначила, або на договірній основі. Розділ VВідповідальність за порушення закону про захист інформації Стаття 17. Відповідальність за порушення порядку і правил захисту інформації Особи, винні в порушенні порядку і правил захисту оброблюваної в АС інформації, несуть дисциплінарну, адміністративну, кримінальну чи матеріальну відповідальність згідно з чинним законодавством України. Стаття 18. Відшкодування шкодиШкода, заподіяна суб'єктам відносин, визначеним статтею 3 цього Закону, внаслідок незаконного створення перешкод для доступу до інформації, витоку чи втрати інформації в АС, відшкодовується особами, яких визнано винними в цьому. Розділ VIМіжнародна діяльність в галузі захисту інформації в АССтаття 19. Взаємодія в питаннях захисту інформації в АСЗ метою забезпечення міждержавної взаємодії обчислювальних мереж і АС уповноважені Кабінетом Міністрів України органи координують свою роботу щодо захисту інформації з органами захисту інформації інших держав. Стаття 20. Забезпечення інформаційних прав України Фізичні та юридичні особи в Україні на підставі Закону України «Про інформацію» можуть встановлювати взаємозв'язки з АС інших держав з метою обробки, обміну, продажу, купівлі відкритої інформації. Такі взаємозв'язки повинні виключати можливість несанкціонованого доступу з боку інших держав або їх представників – резидентів України чи осіб без громадянства до інформації, що є в АС України, незалежно від форм власності і підпорядкування, стосовно якої встановлено вимоги нерозповсюдження її за межі України без спеціального дозволу. Іноземні держави, іноземні фізичні та юридичні особи можуть виступати власниками АС в Україні, власниками інформації, що розповсюджується та обробляється в АС України, або засновувати спільні з українськими юридичними та фізичними особами підприємства з метою створення АС, постачання інформації до АС України, обміну інформацією між АС України та АС інших держав. Окремі види такої діяльності здійснюються на підставі спеціального дозволу (ліцензії), що видається уповноваженим на це органом.