Закони України «Про Національну програму інформатизації», «Про Концепцію Національної програми інформатизації». Національна програма інформатизації, невід'ємною частиною якої є інфомаційна безпека, визначає стратегію розв'язання проблеми забезпечення інформаційних потреб та інформаційної підтримки соціально-економічної, екологічної, науково-технічної, оборонної, національно-культурної та іншої діяльності у сферах загальнодержавного значення.

Закон України «Про електронні документи та електронний документообіг» встановлює основні організаційно-правові засади електронного документообігу та використання електронних документів.

Спеціальні нормативно-правові акти визначають конкретні методи та засоби захисту інформації, порядок розроблення та експлуатації захищених систем.

Закон України «Про захист інформації в автоматизованих системах». Метою цього Закону є встановлення основ регулювання правових відносин щодо захисту інформації в автоматизованих системах за умови дотримання права власності громадян України і юридичних осіб на інформацію та права доступу до неї, права власника інформації на її захист, а також встановленого чинним законодавством обмеження на доступ до інформації.

Закон України «Про електронний цифровий підпис» визначає правовий статус електронного цифрового підпису та регулює відносини, що виникають при використанні електронного цифрового підпису.

Постанова Кабінету міністрів України від 29.03.2006 р. № 373 «Про затвердження правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах». Ці правила визначають загальні вимоги і організаційні основи забезпечення захисту інформації, що є власністю держави або інформацією з обмеженим доступом.

Указ Президента України «Про Положення про технічний захист інформації в Україні». Це Положення визначає правові та організаційні засади технічного захисту важливої для держави, суспільства і особи інформації, охорона якої забезпечується державою відповідно до законодавства.

Постанова Кабінету міністрів України «Про затвердження Концепції технічного захисту інформації в Україні». Ця Концепція визначає основи державної політики у сфері захисту інформації інженерно-технічними заходами.

Указ Президента України «Про деякі заходи щодо захисту державних інформаційних ресурсів у мережах передачі даних», метою якого є підвищення рівня захисту державних інформаційних ресурсів у мережах передачі даних, забезпечення інформаційної безпеки держави.

Указ Президента України «Про Положення про порядок здійснення криптографічного захисту інформації в Україні». Це Положення визначає порядок здійснення криптографічного захисту інформації з обмеженим доступом, розголошення якої завдає (може завдати) шкоди державі, суспільству або особі.

Ліцензійні умови провадження господарської діяльності з розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг в галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису), торгівлі криптосистемами і засобами криптографічного захисту інформації, затверджені Наказом Державного комітету України з питань регуляторної політики та підприємництва, Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (далі Департамент) від 29.12.2000, № 88/66 (далі - Ліцензійні умови).

Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України «Про внесення змін до Положення «Про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту конфіденційної інформації» від 30.04.2004, № 30 (далі Наказ).

Інструкція «Про порядок забезпечення режиму безпеки, що повинен бути створений на підприємствах, установах та організаціях, які здійснюють господарську діяльність у галузі криптографічного захисту конфіденційної інформації, що є власністю держави», затверджена Наказом Департаменту спеціальних телекомунікаційних систем та захисту інформації СБ України від 22.10.99,№ 45(далі - Інструкція). Цей нормативний документ визначає конкретні вимоги щодо режиму безпеки, який повинен бути створений при проведенні робіт з криптографічного захисту конфіденційної інформації, що є власністю держави.

Тимчасова інструкція «Про порядок постачання і використання ключів до засобів криптографічного захисту інформації», затверджена спільним наказом Держстандарту України та Служби безпеки України від 28 листопада 1997 р., № 708/156. Цей документ встановлює порядок постачання і використання ключів, що внесені до п.1.7. ГОСТ 28147-89 та визначають заповнення ключових запам'ятовуючих пристроїв і таблиць блоку підстановки.

ДСТУ 4145-2002 Криптографічний захист інформації. Цифорвий підпис, що грунтується на еліптичних кривих. Формування та перевіряння».

Російські стандарти:

ГОСТ 28147-89 Системы обработки инфоромации. Защита крипто-графическая. Алгоритм криптографического преобразования.

ГОСТ 34.311-95 Информационная технология. Криптографическая функция хеширования.

Ці стандарти визначають конкретні способи та механізми крипто-графічних перетворень для захисту інформації.

4.2. Основні поняття та положення

Згідно зі ст. 1 Закону України «Про інформацію» інформація - це документовані або публічно оголошені відомості про події та явища, що відбуваються у суспільстві, державі та навколишньому природному середовищі.

Основними принципами інформаційних відносин є:

- гарантованість права на інформацію;

- відкритість, доступність інформації та свобода її обміну;

- об'єктивність, вірогідність інформації;

- повнота і точність інформації;

- законність одержання, використання, поширення та зберігання інформації (ст. 5 цього Закону).

Інформаційна безпека є невід'ємною частиною політичної, економічної, оборонної та інших складових національної безпеки. Об'єктами інформаційної безпеки є інформаційні ресурси, канали інформаційного обміну і телекомунікації, механізми забезпечення функціонування телекомунікаційних систем і мереж та інші елементи інформаційної інфраструктури країни (п. 3 розділу 6 Закону України «Про Крнцепцію Національної програми інформатизації»).

Режим доступу до інформації - це передбачений правовими нормами порядок одержання, використання, поширення і зберігання інформації.

За режимом доступу інформація поділяється на відкриту інформацію та інформацію з обмеженим доступом.

Держава здійснює контроль за режимом доступу до інформації (ст. 28 Закону «Про інформацію»).

Інформація з обмеженим доступом за своїм правовим режимом поділяється на конфіденційну і таємну.

Конфіденційна інформація - це відомості, які знаходяться у володінні, користуванні або розпорядженні окремих фізичних чи юридичних осіб і поширюються за їх бажанням відповідно до передбачених ними умов (ст. 30).

До таємної інформації належить інформація, що містить відомості, які становлять державну та іншу передбачену законом таємницю, розголошення якої завдає шкоди особі, суспільству і державі.

Віднесення інформації до категорії таємних відомостей, які становлять державну таємницю, і доступ до неї громадян здійснюється відповідно до закону про цю інформацію.

Порядок обігу таємної інформації та її захисту визначається відповідними державними органами за умови додержання вимог, встановлених цим Законом.

Порядок і терміни обнародування таємної інформації визначаються відповідним законом.

Інформація з обмеженим доступом може бути поширена без згоди її власника, якщо ця інформація є суспільно значимою, тобто якщо вона є предметом громадського інтересу і якщо право громадськості знати цю інформацію переважає право її власника на її захист (ст. 30).

Державна таємниця - вид таємної інформації, що охоплює відомості у сфері оборони, економіки, науки і техніки, зовнішніх відносин, державної безпеки та охорони правопорядку, розголошення яких може завдати шкоди національній безпеці України та які визнані у порядку, встановленому цим Законом, державною таємницею і підлягають охороні державою (ст. 1 Закону України «Про державну таємницю»).

Дамо визначення таким важливим поняттям, як допуск та доступ до секретної інфориації (ст. 1 того ж Закону):

Допуск до державної таємниці - оформлення права громадянина на доступ до секретної інформації.

Доступ до державної таємниці - надання повноважною посадовою особою дозволу громадянину на ознайомлення з конкретною секретною інформацією та провадження діяльності, пов'язаної з державною таємницею, або ознайомлення з конкретною секретною інформацією та провадження діяльності, пов'язаної з державною таємницею, цією посадовою особою відповідно до її службових повноважень.

Охорона державної таємниці - комплекс організаційно-правових, інженерно-технічних, криптографічних та оперативно-розшукових заходів, спрямованих на запобігання розголошенню секретної інформації та втратам її матеріальних носіїв (ст. 1).

Криптографічний захист секретної інформації - вид захисту, що реалізується шляхом перетворення інформації з використанням спеціальних даних (ключових даних) з метою приховування (або відновлення) змісту інформації, підтвердження її справжності, цілісності, авторства тощо (та ж стаття).

Технічний захист секретної інформації - вид захисту, спрямований на забезпечення інженерно-технічними заходами конфіденційності, цілісності та унеможливлення блокування інформації (та ж стаття).

З метою охорони державної таємниці впроваджуються:

- єдині вимоги до виготовлення, користування, збереження, передачі, транспортування та обліку матеріальних носіїв секретної інформації;

- дозвільний порядок провадження органами державної влади, органами місцевого самоврядування, підприємствами, установами та організаціями діяльності, пов'язаної з державною таємницею;

- обмеження оприлюднення, передачі іншій державі або поширення іншим шляхом секретної інформації;

- обмеження щодо перебування та діяльності в Україні іноземців, осіб без громадянства та іноземних юридичних осіб, їх доступу до державної таємниці, а також розташування і переміщення об'єктів і технічних засобів, що їм належать;

- особливості здійснення органами державної влади їх функцій щодо органів державної влади, органів місцевого самоврядування, підприємств, установ і організацій, діяльність яких пов'язана з державною таємницею;

- режим секретності органів державної влади, органів місцевого самоврядування, підприємств, установ і організацій, що провадять діяльність, пов'язану з державною таємницею;

- спеціальний порядок допуску та доступу громадян до державної таємниці;

- технічний та криптографічний захисти секретної інформації (ст. 18 того ж Закону).

Органи державної влади, органи місцевого самоврядування, підприємства, установи, організації мають право провадити діяльність, пов'язану з державною таємницею, після надання їм Службою безпеки України спеціального дозволу на провадження діяльності, пов'язаної з державною таємницею (ст. 20).

Відповідальність за порушення законодавства про інформацію несуть особи, винні у вчиненні таких порушень, як:

- розголошення державної або іншої таємниці, що охороняється законом, особою, яка повинна охороняти цю таємницю;

- порушення порядку зберігання інформації;

- навмисне знищення інформації;

- необгрунтоване віднесення окремих видів інформації до категорії відомостей з обмеженим доступом;

- порушення порядку обліку, зберігання і використання документів та інших носіїв інформації, які містять конфіденційну інформацію, що є власністю держави (ст. 47 Закону України «Про інформацію»).

Електронний документ - документ, інформація в якому зафіксована у вигляді електронних даних, включаючи обов'язкові реквізити документа (ст.5 Закону України «Про електронні документи та електронний докумнтообіг»). Суб'єкти електронного документообігу, які здійснюють його на договірних засадах, самостійно визначають режим доступу до електронних документів, що містять конфіденційну інформацію, та встановлюють для них систему (способи) захисту.

Перевірка цілісності електронного документа проводиться шляхом перевірки електронного цифрового підпису (ст. 12). Електронний підпис є обов'язковим реквізитом електронного документа, який використовується для ідентифікації автора та/або підписувача електронного документа іншими суб'єктами електронного документообігу (ст. 6). Це дані в електронній формі, які додаються до інших електронних даних або логічно з ними пов'язані та призначені для ідентифікації підписувача цих даних. Електронний цифровий підпис - вид електронного підпису, отриманого за результатом криптографічного перетворення набору електронних даних, який додається до цього набору або логічно з ним поєднується і дає змогу підтвердити його цілісність та ідентифікувати підписувача. Електронний цифровий підпис накладається за допомогою особистого ключа та перевіряється за допомогою відкритого ключа. Де особистий ключ - це параметр криптографічного алгоритму формування електронного цифрового підпису, доступний тільки підписувачу, а відкритий ключ - це параметр криптографічного алгоритму перевірки електронного цифрового підпису, доступний суб'єктам відносин у сфері використання електронного цифрового підпису (ст. 1 Закону України «Про електронний цифровий підпис»).

Електронний цифровий підпис за правовим статусом прирівнюється до власноручного підпису (печатки) у разі, якщо:

- електронний цифровий підпис підтверджено з використанням посиленого сертифіката ключа за допомогою надійних засобів цифрового підпису;

- під час перевірки використовувався посилений сертифікат ключа, чинний на момент накладення електронного цифрового підпису;

- особистий ключ підписувача відповідає відкритому ключу, зазначеному у сертифікаті (ст. 3). Тобто у документі, що виданий центром сертифікації ключів, який засвідчує чинність і належність відкритого ключа підписувачу. Сертифікати ключів можуть розповсюджуватися в електронній формі або у формі документа на папері та використовуватися для ідентифікації особи підписувача (ст. 1).

Захист інформації в автоматизованих системах(далі АС) забезпечується шляхом:

- дотримання суб'єктами правових відносин норм, вимог та правил організаційного і технічного характеру щодо захисту оброблюваної інформації;

- використання засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку і АС в цілому, засобів захисту інформації, які відповідають встановленим вимогам щодо захисту інформації (мають відповідний сертифікат);

- перевірки відповідності засобів обчислювальної техніки, програмного забезпечення, засобів зв'язку і АС в цілому встановленим вимогам щодо захисту інформації (сертифікація засобів обчислювальної техніки, засобів зв'язку і АС);

- здійснення контролю щодо захисту інформації (ст. 10 Закону України «Про захист інформації в автоматизованих системах»).

Криптографічна система (криптосистема) - сукупність засобів криптографічного захисту інформації (далі КЗІ), необхідної ключової, нормативної, експлуатаційної, а також іншої документації (у тому числі такої, що визначає заходи безпеки), використання яких забезпечує належний рівень захищеності інформації, що обробляється, зберігається та (або) передається (п. 2 Положення «Про порядок здійснення криптогрфічнго захисту інформації в Україні»).

Державну політику щодо КЗІ відповідно до Указу Президента України від 11 лютого 1998 року N 110 (110/98) реалізує Департамент спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України (п. 3).

Для КЗІ, що становить державну таємницю, та службової інформації, створеної на замовлення державних органів або яка є власністю держави, використовуються криптосистеми і засоби криптографічного захисту, допущені до експлуатації.

Зазначені криптосистеми і засоби перебувають у державній власності.

Засоби криптографічного захисту службової інформації та криптосистеми з відповідного дозволу можуть перебувати і в недержавній власності (п. 7).

Порядок розроблення, виготовлення, розповсюдження, експлуатації, збереження, використання, випробування, сертифікації та допуску до експлуатації криптосистем і засобів криптографічного захисту інформації, контролю за додержанням вимог безпеки при проведенні цих робіт визначається відповідними положеннями.

Діяльність, пов'язана зі створенням і експлуатацією систем криптографічного захисту секретної інформації, забезпеченням безпеки інформації, що циркулює в цих системах, регламентується Інструкцією (п. 9 цього Положення).

Діяльність, пов'язану з розробкою, виготовленням, ввезенням, вивезенням, реалізацією та використанням засобів КЗІ, а також з наданням послуг із КЗІ, можуть здійснювати суб'єкти підприємницької діяльності, зареєстровані в порядку, встановленому законодавством (п. 11). До користування криптосистемами та засобами криптографічного захисту секретної інформації допускаються особи, які у встановленому законодавством України порядку одержали допуск до державної таємниці (п. 12).

Суб'єкт господарювання, який має намір провадити господарську діяльність у галузі КЗІ та відповідає цим Ліцензійним умовам, подає до Департаменту заяву про видачу ліцензії за встановленою формою.

У разі забезпечення суб'єктом господарювання криптографічного захисту інформації клієнтів (юридичних або фізичних осіб) шляхом надання послуг з шифрування, дія цих Ліцензійних умов поширюється на суб'єкт господарювання, який організовує використання, експлуатацію засобів КЗІ, та встановлює відповідний режим безпеки і порядок доступу до засобів захисту інформації. Клієнти, які отримують послуги з шифрування, ліцензію на право здійснення діяльності в галузі КЗІ не одержують (п. 3.1 Ліцензійних умов).

Порядок проведення розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг у галузі КЗІ визначається окремими нормативно-правовими актами та є обов'язковим до виконання всіма суб'єктами господарювання (п. 3.2).

Вимоги для провадження господарськоїдіяльності у галузі КЗІ.

1. Кваліфікаційні вимоги.

- Суб'єкт господарювання має бути укомплектований штатними спеціалістами, які відповідають заявленому виду діяльності та обсягу робіт (за кількістю, освітою, професійною підготовкою, кваліфікацією, досвідом роботи).

- Спеціалісти повинні забезпечувати:

Проведення повного циклу розроблення криптосистем і засобів КЗІ, що може включати або бути пов'язаний з прикладними науковими дослідженнями, вибором напрямків та проведенням теоретичних (експериментальних) досліджень (фундаментальних наукових досліджень), ескізним (технічним) проектуванням і макетуванням, проектно-пошуковими роботами та технологічним проектуванням, створенням і виготовленням конструкторської документації (п. 5.1).

2. Організаційні вимоги.

Для провадження господарської діяльності у галузі КЗІ:

2.1 Суб'єкт господарювання повинен мати затверджені керівником документи, у яких визначені:

- підрозділ (підрозділи) або група співробітників, які безпосередньо організовуватимуть та забезпечуватимуть проведення робіт у галузі КЗІ, його структура (склад) та завдання;

- інструкції щодо порядку проведення робіт у галузі КЗІ;

- функціональні обов'язки та кваліфікаційні вимоги до спеціалістів, які залучаються до виконання робіт у галузі КЗІ;

- відповідальність спеціалістів, які забезпечуватимуть проведення робіт у галузі КЗІ, за забезпечення збереження інформації з обмеженим доступом при виконанні робіт (п. 5.2.1).

2.2 Суб'єкт господарювання повинен мати визначений у документальному вигляді перелік відомостей, які відносяться до інформації з обмеженим доступом (п. 5.2.2).

3. Технологічні та інші вимоги.

Суб'єкт господарювання повинен мати власні (або такі, що використовуються на інших законних підставах) приміщення, виробничі потужності (зокрема, дослідне виробництво, випробувальну базу, обладнані робочі місця для збирання та налагодження макетів розроблених криптосистем і засобів КЗІ, налагоджувальні стенди, призначені для здійснення моделювання роботи апаратури, інформаційно-обчислювальні комплекси, оснащені сучасними апаратними та програмними засобами, перевірені згідно з діючими нормативними вимогами технічні засоби вимірювання і контролю, інструмент, оснащене виробництво, ліцензійне програмне забезпечення), потрібні для провадження господарської діяльності у галузі КЗІ.

Для провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю, суб'єкт господарювання повинен мати спеціальний дозвіл на провадження діяльності, пов'язаної з державною таємницею, атестовані на відповідність вимогам нормативних документів з питань технічного захисту інформації приміщення та (або) об'єкти електронно-обчислювальної техніки (п. 5.3).

4. Особливі вимоги провадження господарської діяльності у галузі КЗІ.

Залежно від важливості інформації для особистості, суспільства, держави та правового режиму доступу до інформації встановлюються особливі умови провадження робіт у межах господарської діяльності у галузі КЗІ, які відображаються у ліцензії, що видається суб'єкту господарювання:

- з наданням права провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю;

- з наданням права провадження робіт у галузі криптографічного захисту конфіденційної інформації, що є державною власністю;

- з наданням права провадження робіт у галузі криптографічного захисту конфіденційної інформації.

Для провадження робіт у галузі криптографічного захисту інформації, що становить державну таємницю, суб'єкти господарювання повинні забезпечити встановлений режим секретності, а також мати матеріали, які відповідно до завдань, програм та замовлень державних органів підтверджують залучення заявника до їх виконання. Провадження цих робіт дозволяється лише в межах терміну дії дозволу на здійснення діяльності, пов'язаної з державною таємницею (п. 6).

Суб'єкти господарювання, які здійснюють господарську діяльність у галузі криптографічного захисту конфіденційної інформації, що є власністю держави, в разі використання бойових кодів, паролів доступу, шифрів для засобів криптографічного захисту інформації повинні забезпечити режим безпеки (секретності) відповідно до вимог нормативно-правових актів Департаменту (п. 7 Інструкції).

Суб'єкти господарювання, які здійснюють розроблення, виробництво, сертифікаційні випробування (експертні роботи) та експлуатацію засобів КЗІ, повинні мати відповідні ліцензії Департаменту на розроблення, виробництво, сертифікаційні випробування, експертизу та експлуатацію криптосистем та засобів КЗІ, крім випадків, передбачених законодавством України (п. 1.7 Наказу).

Розроблення засобів КЗІ здійснюється відповідно до вимог нормативно-правових актів і національних стандартів у сфері КЗІ, а також нормативних документів з питань розроблення та поставлення продукції на виробництво.

Розроблення засобів КЗІ здійснюється шляхом поставлення та виконання відповідних науково-дослідних робіт (далі -- НДР) з розробки нових принципів побудови і функціонування засобів КЗІ та дослідно-конструкторських робіт (далі -- ДКР) зі створення нових або модернізації існуючих зразків засобів КЗІ.

НДР з розробки нових принципів побудови і функціонування засобів КЗІ виконуються згідно з технічним завданням (далі -- ТЗ), яке погоджується виконавцем НДР.

Погоджене виконавцем ТЗ на НДР надсилається на погодження до Департаменту, який протягом одного місяця його погоджує або надає мотивовану відмову. Після затвердження ТЗ замовником один його примірник надсилається до Департаменту.

За результатами НДР готується ТЗ на ДКР з розробки нового або модернізації існуючого зразка засобу КЗІ з підготовкою, за необхідності, техніко-економічного обґрунтування ДКР.

У ТЗ на ДКР з розробки нового типу або модернізації існуючого зразка засобу КЗІ включаються:

- відомості про замовника та виконавця ДКР, а також про випробувальну лабораторію (експертний заклад), яка провадитиме сертифікаційні випробування (експертні роботи) засобу КЗІ;

- відомості про тип і клас засобу та відомості про його застосування (у тому числі типова схема організації зв'язку із зазначенням способу застосування засобу КЗІ, максимальна кількість абонентів у мережі, вид інформації, що підлягає обробці, швидкість обробки, необхідний рівень захисту інформації, тип виконання і конструктивні особливості реалізації виробу);

- вимоги до криптоалгоритму та його реалізації (у тому числі вимоги щодо завадостійкості і криптостійкості алгоритму, вимоги до імітозахисту повідомлень, порядок моделювання і верифікації моделей, порядок реалізації і тестування програмного забезпечення засобу);

- вимоги до ключової системи та її організації (у тому числі вид та кількість ключів, періодичність їх зміни, вимоги до носіїв ключової інформації);

- вимоги до управління ключовими даними (у тому числі їх генерації) та дещо інше.

Засоби КЗІ розробляються з урахуванням можливих загроз з боку середовища, у якому передбачається їх застосування.

У засобах КЗІ, що розробляються, реалізуються механізми їх захисту від несанкціонованого доступу, контролю цілісності мікропрограм (змісту постійних запам'ятовувальних пристроїв), які конфігурують логічну інтегральну мікросхему, що програмується, тощо (для програмних засобів КЗІ - контролю цілісності програмного забезпечення), надійного тестування засобу на правильність функціонування та блокування його роботи в разі виявлення порушень.

Розроблення програмних засобів КЗІ здійснюється з використанням тільки ліцензійного програмного забезпечення (п. 2).

Виробництво засобів КЗІ здійснюється тільки за наявності сертифіката відповідності (позитивного експертного висновку) на засіб, проекту технічних умов (далі - ТУ) та інструкції із забезпечення безпеки експлуатації засобів КЗІ.

Виробники засобів КЗІ повинні:

- ужити заходів щодо своєчасної сертифікації або експертизи засобів КЗІ (у тому числі повторної -- після закінчення строку дії раніше отриманого сертифіката відповідності або експертного висновку);

- погодити зміни, які вносяться у вироби та документацію на них, із замовником та Департаментом;

- забезпечити виконання усіх вимог ТУ, включаючи спеціальні параметри;

- визначити, за наявності вимог у ТУ, контрольний еталонний зразок від партії виробів, що виготовляється, та утримувати його відповідно до встановлених вимог;

- забезпечити технічне обслуговування та гарантійний ремонт засобів КЗІ, а також випуск і поставку запасних частин для цих засобів відповідно до Закону України “Про захист прав споживачів" (п. 3).

Для криптографічного захисту інформації використовуються засоби КЗІ, які мають сертифікат відповідності або експертний висновок Департаменту.

До початку експлуатації керівник організації, яка здійснює експлуатацію засобів КЗІ, затверджує проекти інструкції із забезпечення безпеки експлуатації засобу КЗІ та інструкції щодо порядку генерації ключових даних та поводження з ключовими документами.

Експлуатація засобів КЗІ здійснюється відповідно до вимог експлуатаційної документації, інструкції із забезпечення безпеки експлуатації засобів КЗІ, а також інструкції щодо порядку генерації ключових даних та поводження з ключовими документами.

Унесення змін до інструкції щодо порядку генерації ключових даних та поводження з ключовими документами, які отримані від Департаменту, здійснюється за погодженням з Департаментом.

Ключові документи, що постачаються Департаментом, не можуть тиражуватися або використовуватися для засобів КЗІ, які не обумовлені договором про постачання ключових документів.

Користувачі засобів КЗІ повинні бути ознайомлені з інструкцією щодо порядку генерації ключових даних та поводження з ключовими документами в частині, що їх стосується, та виконувати вимоги цієї інструкції .

Застосування засобів КЗІ під час міжнародного обміну інформацією здійснюється відповідно до законодавства та міжнародних угод (договорів) України (п. 4).

Висновки

Таким чином, захисту інформації приділяється дуже велика увага з боку держави шляхом прийняття відповідних нормативго-правових актів, контролю за їх виконанням, застосування до порушників порядку користування інформацією різних санкцій. Це пов'язано з тим, що захищається, як правило, і нформація з обмеженим доступом, виток якої може спричинити державі значні збитки (розмір цих збитків залежить від важливості інформації). Тому так чітко регламнтований порядок проведення розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення захищених систем, засобів криптографічного, технічного, організаційного захисту інформації, причому не одним нормативно-правовим актом. До суб'єктів цієї діяльності пред'являються жорсткі організаційні, кваліфікаційні, технологічні, особливі та інші вимоги.

Висновки

В даній роботі мною ставилася мета провести системний аналіз роботи криптографічних протоколів і створити математичні імовірнісні моделі елементів криптографічних систем і самих протоколів з метою формалізації оцінок стійкості криптопротоколів.

Для досягнення мети я вирішив наступні завдання.

1. Проаналізував структуру захищених систем, що використовують криптографічні протоколи. В загальному вигляді її можна описати так.

На передавальному кінці є два джерела інформації - джерело повідомлення і джерело ключів. Джерело ключів відбирає конкретний ключ серед всіх можливих ключів даної системи. Цей ключ передається деяким способом на приймальний кінець, причому передбачається, що його не можна перехопити (наприклад, ключ передається посильним). Джерело повідомлень формує деяке повідомлення (незашифроване), яке потім зашифровується, і готова криптограма передається на приймальний кінець, причому криптограма може бути перехоплена. На приймальному кінці шифрувальник за допомогою ключа по криптограмі відновлює початкове повідомлення.

2. Проаналізував методики оцінки стійкості криптографічних шифрів і протоколів.

Вирішуючи цю задачу я зробив висновок, що криптографічний алгоритм вважається стійким, якщо для його злому супротивник повинен витратити практично недосяжні обчислювальні ресурси або мати недосяжного обсягу перехопленого шифр матеріалу. В свою чергу оскільки в основі багатьох криптопротоколів лежать криптографічні алгоритми, зрозуміло, що остаточна стійкість протоколів буде не більше стійкості використовуваних криптографічних алгоритмів. Вона може бути понижена в наступних випадках:

- використання слабких криптографічних алгоритмів і некоректна реалізація деяких його складових;

- некоректна логіка роботи криптопротокола;

- некоректне використання криптографічних алгоритмів.

3. Розробив пропозицій по формалізації завдання оцінки стійкості протоколів, заснованої на імовірнісних моделях, привів приклад аналізу стійкості протоколу з нульовим розголошенням на основі його імовірнісної моделі.

Для того, щоб попередити атаки, що мають декілька рівнів загроз, необхідно визначити більш строге поняття стійкості. Необхідно правильно формалізувати задачу. Безпека криптографічної системи повинна мати кількісну оцінку, яка зв'язує безпеку криптосистеми з визначеною задачею, що не вирішується. Стандартний спосіб доказу високої стійкості системи передбачає вираження успіхів зловмисника при спробі злому криптографічної системи у вигляді величин, які вимірюють, як часто і як швидко зловмиснику вдається вирішити одну із задач, що важко вирішуються. Ці величини є оціноками імовірності і обчислювальної складності злому.

Криптосистема, що аналізується повинна обиратися і розроблятися досить ретельно. Аналіз повинен показати, що обрана система відповідає висунутим вимогам, які також повинні бути строго формалізовані.

Формальні методи системного аналізу використовують систематичні процедури, строгість яких забезпечується математичними засобами. Ці процедури дозволяють або розробляти системи, що володіють наперед заданими властивостями, або перевіряти вже існуючі системи, щоб виявити можливі приховані помилки. Уразливість криптографічних систем загальновизнана, тому в теперішній час майже всі досліджувачі вважають, що системи повинні розроблятися за допомогою формальних методів. Формальне описання криптографічних протоколів необхідне для більш точного їх аналізу.

Список літератури

1. Фомичев В. М. Дискретная математика и криптология. Курс лекцій / Под общ. ред. д-ра физ.-мат. н. Н. Д. Подуфалова. - М.: Диалог - МИФИ, 2003 - 400 с.

2. Шнайер Б. Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке Си. - М: Издательство Триумф, 2003 - 816 с.

3. Математические и компьютерные основы криптологии: Учеб. пособие / Ю. С. Харин, В. И. Берник, Г. В. Матвеев, С. В. Агиевич. - Мн.: Новое знание, 2003 - 382 с.

4. Столлингс В. Криптографія и защита сетей: принципы и практика, 2-е издание.: Пер. С англ. - М.: Издательский дом «Вильямс», 2001 - 672 с.

5. Шнаер Б. Секреты и ложь. Безопасность даннях в цифровом мире. - СПб.: Питер, 2003 - 368 с.

6. Бабичев С. Г., Гончаров В. В., Серов Р. Е. Основы современной криптографии. - М.: Горячая линия - Телеком, 2001 - 120 с.

7. Шеннон К. Работы по теории информации и кибернетике.: Пер. с англ. - М.: Издательство иностранной литературы, 1963 - 830 с.

8. Петров А. А. Компьютерная безопасность. Криптографические методы защиты. - М.: ДМК, 2000 - 448 с.

9. Ирвин Дж., Харль Д. Передача даннях в сетях: инженерный поход.: Пер. с англ. - СПб.: БХВ - Петербург, 2003 - 448 с.

10. Молдован А. А. Криптография: скоростные шифры. - СПб.: БХВ - Петербург, 2002 - 496 с.

11. Венбо Мао. Современная криптографія: теорія и практика.: Пер. с англ. - М.: Издательский дом «Вильямс», 2005 - 768 с.

12. Кельтон В., Лоу А. Имитационное моделирование. Класcика CS. 3-е изд. - СПб.: Питер; Киев: Издательская группа BHV, 2004 - 847 с.

13. Рябко. Б. Я., Фионов А. Н. Криптографические методы защиты информации: Учебние пособие для вузов. - М.: Горячая линия - Телеком, 2005 - 229 с.

14. Скляров Д. В. Искусство защиты и взлома информации. - СПб.: БХВ - Петербург, 2004 - 288 с.

15. Программиование алгоритмов защиты информации: Учебное пособие. - М.: «Нолидж», 2000 - 288 с.

16. Романец Ю. В. , Тимофеев П. А., Шаньгин В. Ф. Защита информации в компьютерных системах и сетях / Под ред. В. Ф. Шаньгина. - М.: Радио и связь, 1999 - 328 с.

17. Носов В. В., Орлов П. И., Громыко И. А. организация т обеспечениебезопасности информации. Учебное пособие. - Харьков, 2004 - 141 с.

18. Мафтик С. Механизмы защиты в сетях ЭВМ. - М.: Издательство «Мир», 1993 - 343 с.

19. Воробьёв С. Защита информации в персональных ЭВМ. - М.: Издательство «Мир», 1993 - 312 с.

20. Сапегин Л. Н. Специальная техника средств связи, Выпуск 1, Серия «Системы, сети и технические средства конфиденциальной связи», 1996.

21. Диффи, Хэллман. ”Новые направления в криптографии”.: ТИИЭР, т.67, №3, 1979.

22. Теория и практика обеспечения информационной безопасности / Под ред. П. Д. Зегжды. - М.: Яхтсмен, 1996.

23. Ларс Кландер. Hacker Proof: Полное руководство по безопасности компьютера. - Минск: Издательство «Белорусский Дом печати», 2002 - 688 с.

24. Соколов А. В., Степанюк О. М. Зашита от компьютерного терроризма: Справочное пособие. - СПб.: БХВ -Петербург, 2002 - 496 с.

25. Ломакин П., Шрейн Д. Антихакинг. - М.: Издательство «Майор», 2002 510 с.

26. Медведовский И. Д., Семьянов П. В., Леонов Д. Г., Атака на Internet, - М.: Издательство ДМК, 1999 - 453 с.

27. Ростовцев А. Г. Элементы криптологии. - СПб.: Издательство СПбГТУ, 1995 - 378 с.

28. Мельников В. Защита информации в компьютерных системах. - М.: Финансы и статистика; Электроинформ, 1997 - 432 с.

29. Мак-Клар С., Скембрей Дж., Курц Дж. Секреты хакеров. Безопасность сетей - готовые решения, 3-е издание.: Пер. с англ. - М.: Издательский дом «Вильямс», 2002. - 736 с.

30. Защита информации в персональных ЭВМ. А. В Спесивцев, В. А. Вегнер и др. - М.: Радио и связь, 1993 - 193 с.

31. Черёмушкин А. В. Лекции по арифметическим алгоритмам в криптографии. - М.: МЦНМО, 2002 - 103 с.

32. Ростовцев А. Алгебраические основы криптографии. - СПб.: Мир и семья - Интерлайн, 2000 - 289 с.

33. Закон України «Про інформацію» //ВВР, 1992, № 48, ст. 650.

34. Закон України «Про державну таємницю» //ВВР, 1994, №16, ст. 94.

35. Закон України «Про Національну програму інформатизації» //ВВР, 1998, № 27-28, ст. 181.

36. Закон України «Про Концепцію Національної програми інформа-тизації» // ВВР, 1998, № 27-28, ст. 182.

37. Закон України «Про електронні документи та електронний документообіг» // ВВР, 2003, № 36, ст. 275.

38. Закон України «Про електронний цифровий підпис» // ВВР, 2003, № 36, ст. 276.

39. Закон України «Про захист інформації в автоматизованих системах» // ВВР, 1994, № 31, ст.. 286.

40. Указ Президента України «Про Положення про технічний захист інформації в Україні» від 27.09.1999 р., № 1229/99.

41. Указ Президента України «Про Положення про порядок здійснення криптографічного захисту інформації в Україні» від 22.05.1998 р., № 505/98.

42. Наказ Державного комітету України з питань регуляторної політики та підприємництва, Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 29.12.2000, № 88/66 «Про затвердження Ліцензійних умов провадження господарської діяльності з розроблення, виробництва, використання, експлуатації, сертифікаційних випробувань, тематичних досліджень, експертизи, ввезення, вивезення криптосистем і засобів криптографічного захисту інформації, надання послуг в галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису), торгівлі криптосистемами і засобами криптографічного захисту інформації».

43. Наказ Департаменту спеціальних телекомунікаційних систем та за-хисту інформації Служби безпеки України «Про внесення змін до Положення «Про порядок розроблення, виробництва та експлуатації засобів крипто-графічного захисту конфіденційної інформації» від 30.04.2004, № 31.

44. Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації СБ України від 22.10.99,№ 45 «Про затвердження Інструк-ція Про порядок забезпечення режиму безпеки, що повинен бути створений на підприємствах, установах та організаціях, які здійснюють господарську діяльність у галузі криптографічного захисту конфіденційної інформації, що є власністю держави».

45. Наказ Держстандарту України та Служби безпеки України від 28.11.1997 р., № 708/156 «Про затвердження Тимчасової інструкції Про порядок постачання і використання ключів до засобів криптографічного захисту інформації».

Array

Страницы: 1, 2, 3, 4