ІТ право: проблеми і перспективи розвитку в Україні (четверта міжнародна щорічна конференція)

Черниш Р.Ф.,

кандидат юридичних наук, доцент,

експерт із забезпечення інформаційної безпеки держави

Аналіз поширених у засобам масової інформації даних свідчить про стрімке зростання кількості фактів несанкціонованого втручання в сталу роботу офіційних веб-ресурсів органів державної влади та органів місцевого самоврядування [2], об’єктів критичної інфраструктури [1], правоохоронних органів [3] тощо, що призводить до спотворення процесу обробки інформації, її несанкціонованої маршрутизації та, можливо, використання в протиправних цілях (в тому числі й на шкоду національній безпеці України).

На нашу думку, вищевказане обумовлено як об’єктивними (відсутність належного фінансування, застарілість обладнання та програмного забезпечення тощо), так і суб’єктивними чинниками (призначення на посади осіб, відповідальних за технічну безпеку, без досвіду роботи та належного фахового рівня, нехтування положеннями чинних нормативно-правових актів у інформаційній сфері тощо).

Зазначені фактори призводять до того, що, подекуди, відповідальні особи, в першу чергу, органів влади та управління, а також об’єктів критичної інфраструктури звертаються за допомогою для оптимізації роботи ПЕОМ, налаштування відповідних програмних продуктів тощо до сторонніх суб’єктів, як здійснюють вказані дії як безпосередньо у відповідних службових приміщеннях, так і шляхом віддаленої підтримки (використовуючи можливості програм віддаленого доступу («TeamViewer», «AnyDesk», «Microsoft Remote Desktop» тощо)).

Однак, вказані дії суперечать положенням діючих нормативно-правових актів у частині обов’язкової автентифікації та ідентифікації користувача, захисту інформації, яка належить до державних інформаційних ресурсів, характеризує діяльність суб’єктів владних повноважень, військових формувань та оприлюднюється в мережі Інтернет, інших глобальних інформаційних мережах і системах або передається телекомунікаційними мережами. 

Відповідно до ст. 5 «Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах» затверджених постановою Кабінету Міністрів України від 29.03.2006 №373 (далі Правила): «Усім користувачам повинен бути забезпечений доступ до ознайомлення з відкритою інформацією. Модифікувати або знищувати відкриту інформацію можуть лише ідентифіковані та автентифіковані користувачі, яким надано відповідні повноваження. Автентифікація - процедура встановлення належності користувачеві інформації в системі пред’явленого ним ідентифікатора; ідентифікація - процедура розпізнавання користувача в системі як правило за допомогою наперед визначеного імені (ідентифікатора) або іншої апріорної інформації про нього, яка сприймається системою».

Водночас, відповідно до ст. 4 Правил, захисту в системі підлягає: «…відкрита інформація, яка належить до державних інформаційних ресурсів, а також відкрита інформація про діяльність суб’єктів владних повноважень, військових формувань, яка оприлюднюється в Інтернеті, інших глобальних інформаційних мережах і системах або передається телекомунікаційними мережами» [5]. 

Тобто, у разі використання можливостей зазначених програм, сторонні особи отримують віддалений доступ до інформаційної системи органів державної влади чи об’єктів критичної інфраструктури, усього масиву даних, який знаходиться на ПЕОМ, з можливістю її зміни та модифікації.

За свідченням фахівців, на увагу заслуговує той факт, що вказані програмні продукти розробляються на території іноземних держав або ж іноземні спеціальні служби (в т.ч. й РФ), зважаючи на норми власного національного законодавства, мають доступ до відповідних масивів даних.

Так, на прикладі дослідження роботи програмного забезпечення «TeamViewer» нами було встановлено, що Інтернет-, Хостинг провайдери та Data-центри, які залучені до маршрутизації та роботи згаданого софту частину серверів розміщують на території Російської Федерації. 

За результатами опрацювання окремих аспектів діяльності спеціальних служб РФ та національного законодавства країни-агресора у вказаній сфері встановлено, що ще з 2010р. у ФСБ РФ почали працювати інформаційно-аналітичні системи для моніторингу інтернет-ЗМІ, блогосфери і соцмереж. Перші роки вони вміли працювати лише з відкритою інформацією: тобто, якщо інтернет-користувач приховував про себе інформацію за допомогою налаштувань соцмережі, інтернет-робот ці дані не міг обробити. Зазначена проблема була вирішена зміною ліцензійних умов: кожного провайдера зобов’язали встановити обладнання, що дозволяє спецслужбам перехоплювати веб-трафік (тобто моніторити інформацію на етапі її додавання). Однак дані, розміщені на закордонних серверах, все ще були недоступними. У зв’язку з цим, найбільші російські соцмережі («Mail.ru», «Однокласники», «ВКонтакте») в 2012-2013рр. були поглинені бізнес-групами, власників яких російські ЗМІ пов’язують із вищим керівництвом РФ (самі вони цей зв’язок заперечують).

У відповідності до офіційних даних, у 2012р. Служба зовнішньої розвідки Російської Федерації почала використовувати новітні інформаційні технології для моніторингу Інтернет - мережі. Так, ними було оголошено три закриті тендери на суму понад 30 мільйон рублів із задекларованою метою вироблення нових методик моніторингу блогосфери (дослідження з кодовими позначеннями «Шторм-12», «Монітор-3» і «Диспут»). Однак, на думку експертів, вже тоді існувала ймовірність використання розробок на отримання персональних даних користувачів у російських та іноземних соціальних мережах [9, с. 220].

Водночас, відповідно до п. 4 «Правил взаємодії операторів зв’язку з уповноваженими органами, що здійснюють оперативно-розшукову діяльність», що введені в дію Постановою уряду РФ від 27.08.2005 №538 (далі Постанова): «Мережі та засоби зв’язку, що використовуються оператором, повинні відповідати вимогам, що висуваються до них для проведення оперативно-розшукових заходів та встановлені Міністерством цифрового розвитку, зв’язку та масових комунікацій РФ за погодженням з ФСБ РФ». Також, пункти 7 та 9 вищевказаної Постанови визначають: «Введення у експлуатацію технічних засобів в мережі зв’язку оператора зв’язку здійснюється у відповідності до розробленого органом Федеральної служби безпеки спільно з оператором зв’язку планом заходів із впровадження технічних засобів, у якому зазначається, зокрема, термін введення в експлуатацію технічних засобів»; «при введенні в експлуатацію нових засобів зв’язку оператора зв’язку, введення нових технологічних рішень, виводу із експлуатації чи модернізації застарілих засобів зв’язку органом Федеральної служби безпеки спільно з оператором зв’язку приймається рішення щодо розробки нового плану» [6].

Поряд з тим, вимоги до діяльності на території РФ Інтернет-, Хостинг провайдерів та Data-центрів встановлюються «Правилами застосування обладнання систем комунікації, враховуючи програмне забезпечення, що забезпечує виконання встановлених дій при проведенні оперативно-розшукових заходів» введеними в дію Наказом Міністерства зв’язку та масових комунікацій РФ від 27.02.2018 №86. Відповідно до змісту вказаних правил, опрацювання всіх пакетів даних, що надходять на інтерфейси підключення технічних засобів оперативно-розшукових заходів до мережі передачі даних, з метою запису на буфер, відбір та передачу на технічні засоби інформації, що відносяться до контрольованих з’єднань та/або повідомленням електрозв’язку, в процесі здійснення з’єднання та/або передачі повідомлень електрозв’язку, у відповідності до заданих технічних засобів повинні відповідати чітко визначеним параметрами контролю [4].

Також, необхідно взяти до уваги той факт, що 01.08.2016 у РФ вступив у дію так званий «антитерористичний пакет» законів, який складається із трьох нормативно-правових актів – один дозволяє обшукувати громадян лише за першої підозри поліції, другий контролює електроні платежі, а третій контролює обмін інформації в Інтернеті. Експерти переконані, що саме закон про інформацію може зашкодити українцям, адже відтепер ФСБ має безперешкодний доступ до приватної переписки та персональних даних українських користувачів. 

Уряд РФ зобов’язав власників соціальних мереж встановити обладнання і програмне забезпечення, за допомогою якого спецслужби можуть в автоматичному режимі отримувати інформацію про дії користувачів, дистанційно знімати інформацію та здійснювати стеження «в режимі реального часу». Поряд з тим, відомості про діяльність учасників тієї чи іншої спільноти (учасниками якої є громадяни РФ) повинні зберігатися безпосередньо на території вказаної країни [8, с. 209-210].

Таким чином, аналіз вказаної інформації дає можливість стверджувати, що вся діяльність Інтернет-, Хостинг-провайдерів та Data-центрів на території РФ ліцензується та регулюється ФСБ, яка має безперешкодний доступ до інформації, що циркулює в них. З урахування непоодиноких випадків використання в органах державної влади та місцевого самоврядування, на об’єктах критичної інфраструктури України програмного забезпечення для віддаленого доступу, існує реальна можливість з боку спецслужб РФ отримати доступ до інформації, яка циркулює у інформаційних системах зазначених об’єктів з подальшим її використанням в протиправних цілях.

З урахуванням викладеного, з метою належного захисту офіційних електронних ресурсів органів державної влади та органів місцевого самоврядування регіону, унеможливлення спотворення процесу обробки інформації, її несанкціонованої маршрутизації та ймовірного використання в протиправних цілях співробітниками спеціальних служб країни-агресора, вважається за доцільне на рівні Кабінету Міністрів України закріпити виключний перелік програмних засобів, які дозволено інсталювати на відповідні службові ПЕОМ.

Список використаної літератури

1. URL: https://www.ukrinform.ua/tag-kiberataka.
2. Експерт розповів, як уникнути повторення кібератак на сайти держустанов URL:https://www.unian.ua/science/kiberataki-v-ukrajini-hakerski-ataki-na-derzhavni-sayti-novini-11158679.html.
3. МАСШТАБНІ ХАКЕРСЬКІ АТАКИ: НЕВІДОМІ ЗЛАМАЛИ САЙТИ НАЦПОЛІЦІЇ В КІЛЬКОХ ОБЛАСТЯХ. URL: https://www.5.ua/suspilstvo/masshtabni-khakerski-ataky-nevidomi-zlamaly-saity-natspolitsii-v-kilkokh-oblastiakh-224726.html.
4. Наказ Міністерства зв’язку та масових комунікацій РФ. «Про затвердження правил застосування обладнання систем комунікації, враховуючи програмне забезпечення, що забезпечує виконання встановлених дій при проведенні оперативно-розшукових заходів» // №86 від 27.02.2018. URL: https://digital.gov.ru/ru/documents/6006/.
5. Постанова Кабінету Міністрів України «Про затвердження Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах» // №373 від 29.03.2006 р. URL: https://zakon.rada.gov.ua/laws/show/373-2006-%D0%BF#Text.
6. Постанова Уряду РФ «Про затвердження Правил взаємодії операторів зв’язку з уповноваженими державними органами, які проводять оперативно-розшукову діяльність» (зі змінами та доповненнями) // № 538 від 27 серпня 2005р. URL: http://base.garant.ru/12141783/.
7. Черниш Р.Ф. Міжнародно-правовий досвід використання соціальних мереж військовослужбовцями збройних сил та співробітниками правоохоронних органів /Р.Ф. Черниш// Порівняльно-аналітичне право – електронне наукове фахове видання юридичного факультету ДВНЗ «Ужгородський національний університет», 2016. Вип. 6. URL:http://pap.in.ua/6_2016/64.pdf.
8. Черниш Р.Ф. Соціальні мережі, як один із інструментів накопичення та протиправного використання персональних даних громадян / Р.Ф. Черниш // Проблеми законності : зб. наук. праць / відп. ред. В. Я. Тацій. Харків : Нац. юрид. ун-т імені Ярослава Мудрого, 2017. Вип. 136. с. 205-214.
9. Черниш Р.Ф. Спеціальні підрозділи інформаційного впливу Російської Федерації / Р.Ф. Черниш // Вплив євроінтеграції на розвиток юридичної науки в Україні: Матеріали І всеукраїнської заочної науково-практичної конференції (м.Рівне, 27-28 квітня 2017 р.). Рівне : Національний університет водного господарства та природокористування, 2017. с. 219-223.