Тема 14

Цифровізація та інформаційна безпека

1. Поняття інформаційної безпеки

2. Кібербезпека в Україні

1. Поняття інформаційної безпеки

Під інформаційною безпекою розуміється такий стан інформаційних
ресурсів і пов’язаних з ними інформаційних засобів і систем суб’єкта господарювання, який гарантує якісне і безперебійне забезпечення його діяльності необхідною інформацією за умови високого рівня її захищеності від внутрішніх і зовнішніх загроз.

Можемо виокремити 2 проблемних поля забезпечення інформаційної безпеки:

а) діагностика і протидія загрозам інформації

б) створення передумов ефективного її використання в контексті тих викликів і актуальних завдань, які стоять перед бізнесом в даний час.

В контексті першого аспекту, варто, враховувати, що цифровізація економіки поряд з традиційними (промислове шпигунство, навмисне і ненавмисне розголошення конфіденційної інформації та комерційної таємниці працівниками, недобросовісні дії конкурентів, включаючи шкоду діловій репутації, втручання сторонніх осіб в інформаційні системи і мережі, порушення цілісності баз даних тощо), генерує множину додаткових загроз інформаційним ресурсам і технологіям бізнесу, методи діагностики і протидії яким поки що відпрацьовані не в повній мірі. Мова йде, перш за все, про загрози, які пов’язані з кібератаками, розкриттям персональних даних, впливом шпигунських програм і вірусів, фішингом, загрозами, пов’язаними з оновленням комп’ютерних програм тощо.

Другий аспект інформаційної безпеки спрямований, головним чином, на постійне забезпечення відповідності інформаційних ресурсів потребам в них, що обумовлює безперебійність і високу ефективність процесу прийняття та реалізації рішень в межах організації. В результаті досягається цілісність, захищеність і доступність інформації для користувачів.

Різнобічний характер та зростаюча кількість загроз інформаційній безпеці у в умовах формування цифрової економіки обумовлює необхідність розробки та впровадження комплексного характеру дій, спрямованих на її захист. Варто щонайменше виокремлювати взаємопов’язані між собою технічний, організаційний та економічний напрями забезпечення інформаційної безпеки.

Заходи технічного характеру пов’язані, в першу чергу, з використанням сучасних технічних засобів і технологій, які, з одного боку, дозволяють ефективно накопичувати, зберігати, обробляти і передавати інформацію, а, з іншого, – забезпечувати її високий рівень захищеності (розподілені бази даних, блокчейн-технології, мережеві екрани, хмарні сервіси, захищені сервери, антивірусні програми тощо). Ключовими суб’єктами в цій сфері є фахівці з інформаційних систем і технологій, системні адміністратори, які вживають заходів щодо безперебійності функціонування інформаційних мереж організації і забезпечують їх захист.

На сьогодні активно впроваджуються системи ранньої діагностики вторгнення і діагностики в режимі реального часу (SIEM), штучний інтелект, удосконалюється архітектура ІТ-рішень в межах організації, створюються єдині центри забезпечення безпеки (SOC), системи розгортання розподіленої інфраструктури хибних цілей (DDP)тощо.

Не зважаючи на важливе значення техніко-технологічної складової забезпечення інформаційної безпеки, дослідження, яке було проведене американським Центром інтернет безпеки (CIS), переконливо довело, що головною дієвою особою і найслабшою ланкою в системі інформаційної безпеки є якраз не технічні системи і використовувані технології, а працівники самого підприємства. Саме через навмисні або ненавмисні дії персоналу здійснюється найбільший відсоток витоку конфіденційної інформації, відбувається втручання в захищені мережі і системи.

У зв’язку з цим важливого значення набуває обізнаність персоналу про можливі дії, які можуть призвести до такого витоку (розголошення) інформації Відповідно одним з пріоритетних напрямів забезпечення інформаційної безпеки має стати постійне підвищення рівня інформаційної (цифрової) грамотності працівників та усебічне організаційно-документальне врегулювання процесів збору, накопичення, обробки використання і зберігання інформації в системі положень і інструкцій поводження з інформацією, які можуть імплементуватися в їх посадові інструкції. Такі завдання відповідають організаційному напряму забезпечення інформаційної безпеки, який додатково охоплює такі дії, як визначення відповідальних за дотримання тих або інших заходів інформаційної безпеки, формування спеціалізованих на інформаційному захисті підрозділів в рамках організаційної структури організації, імплементацію положень нормативно-правових актів держави щодо кібербезпеки та захисту інформації в діяльність суб’єктів бізнесу тощо.

Важливою проблемою забезпечення інформаційної безпеки є також застосування розгалуженої системи економічних заходів. Перш за все, варто усвідомлювати, що проблема захисту інформації має витратний аспект, який необхідно враховувати, порівнюючи позитивний ефект від захищеності інформаційних ресурсів і розмір витрат, які мають бути понесені на забезпечення такого захисту. Крім того, реалізація окремих заходів має проводитися на підставі співставлення вигід від захисту інформації і можливих втрат, які
можуть бути понесені в результаті відсутності такого захисту. Цілком зрозуміло, що в разі відсутності економічної доцільності окремі заходи щодо захисту інформації не варто реалізовувати.

2. Кібербезпека в Україні

Переважна більшість громадян України має доступ до мережі Інтернет через комп’ютери або мобільні телефони, користується електронною поштою, веде сторінки у соціальних мережах та активно застосовує цифрові сервіси у повсякденному житті. За допомогою Інтернету люди спілкуються, працюють, навчаються, здійснюють покупки товарів і послуг, проводять банківські операції, отримують необхідну інформацію та виконують багато інших дій.

Бізнес також тісно інтегрований з інформаційними технологіями, адже вони дають можливість отримувати конкурентні переваги, розширювати ринки збуту, презентувати продукцію ширшій аудиторії клієнтів і виходити за межі внутрішнього ринку країни.

Цифровізація активно охоплює діяльність державних та місцевих органів влади. Органи публічного управління створюють офіційні вебсайти, використовують електронну пошту, запроваджують онлайн-послуги, системи електронного документообігу та інші цифрові інструменти взаємодії з громадянами.

Разом із швидким розвитком інформаційних технологій з’являються й особи, які прагнуть використати цифрові можливості для незаконної діяльності та отримання неправомірної вигоди. У зв’язку з цим можна прогнозувати подальше зростання кількості злочинів у сфері інформаційних технологій.

Кіберзлочинність щороку завдає світовій економіці багатомільярдних збитків, впливаючи як на державний сектор, так і на приватні компанії. Одним із найвідоміших прикладів стала атака вірусу Petya, яка призвела до порушення роботи багатьох державних установ і підприємств у різних країнах світу, зокрема й в Україні.

Проблематика кібербезпеки перебуває під особливою увагою міжнародної спільноти, що підтверджується ухваленням Конвенція про кіберзлочинність, ратифікованої Україною.

У преамбулі Конвенції зазначається, що її метою є протидія діям, спрямованим проти конфіденційності, цілісності та доступності комп’ютерних систем, мереж і даних, а також запобігання зловживанню ними. Документ передбачає встановлення кримінальної відповідальності за такі правопорушення, надання державам необхідних повноважень для ефективного виявлення, розслідування та переслідування кіберзлочинів як на національному, так і на міжнародному рівнях, а також розвиток оперативного та надійного міжнародного співробітництва у сфері кібербезпеки.

Конвенцією запроваджено певний поділ кіберзлочинів на такі види:

1. Правопорушення проти конфіденційності, цілісності та доступності комп'ютерних даних і систем. Цей вид охоплює незаконний доступ, нелегальне перехоплення, втручання в дані, втручання у систему, зловживання пристроями.

2. Правопорушення, пов'язані з комп'ютерами. До цього виду належить підробка, пов'язана з комп'ютерами, і шахрайство, пов'язане з комп'ютерами.

3. Правопорушення, пов'язані зі змістом. Це – правопорушення, пов'язані з дитячою порнографією.

4. Правопорушення, пов'язані з порушенням авторських і суміжних прав. Цей вид охоплює правопорушення, пов'язані з порушенням авторських і суміжних прав.

Конвенція закріплює чимало різних положень, які декларують можливості отримати міжнародну допомогу країнам-учасницям у боротьбі з кіберзлочинністю, серед яких слід виділити принцип екстрадиції.

Екстрадиція особливо актуальна й ефективна як вид міжнародної допомоги в розслідуванні та притягненні до кримінальної відповідальності кіберзлочинців, оскільки специфіка кіберзлочинів дає змогу вчиняти їх із будь-якої точки світу, де є доступ до Мережі. Тому кіберзлочинець здебільшого перебуває не в країні, де відбувається вчинення кіберзлочину.

Особливо гучні справи довкола кіберзлочинів є в практиці США. Як країна з найбільшою економікою у світі її державні установи та приватні компанії є постійними цілями кіберзлочинців.

Законом України «Про основні засади забезпечення кібербезпеки України» закріплено низку важливих визначень термінів, зокрема: кіберзлочин, кіберзлочинність і кіберпростір.

Кіберзлочин (комп'ютерний злочин) – суспільно небезпечне винне діяння в кіберпросторі та/ або з його використанням, відповідальність за яке передбачена законом України про кримінальну відповідальність та/або яке визнано злочином міжнародними договорами України.

Кіберзлочинність – сукупність кіберзлочинів.

Кіберпростір – середовище (віртуальний простір), яке надає можливості для здійснення комунікацій та/або реалізації суспільних відносин, утворене в результаті функціонування сумісних (з'єднаних) комунікаційних систем та забезпечення електронних комунікацій із використанням мережі Інтернет та/або інших глобальних мереж передавання даних.

У Кримінальному кодексі України ці злочини закріплено в розд. 16 «Кримінальні правопорушення у сфері використання електронно-обчислювальних машин (комп'ютерів), систем та комп'ютерних мереж і мереж електрозв'язку» і представлено такими нормами:

· ст. 361 – несанкціоноване втручання в роботу електронно-обчислювальних машин (комп'ютерів), автоматизованих систем, комп'ютерних мереж чи мереж електрозв'язку;

· ст. 361-1 – створення з метою використання, розповсюдження або збуту шкідливих програмних чи технічних засобів, а також їх розповсюдження або збут;

· ст. 361-2 – несанкціоновані збут або розповсюдження інформації з обмеженим доступом, яка зберігається в електронно-обчислювальних машинах (комп'ютерах), автоматизованих системах, комп'ютерних мережах або на носіях такої інформації;

· ст. 362 – несанкціоновані дії з інформацією, яка оброблюється в електронно-обчислювальних машинах (комп'ютерах), автоматизованих системах, комп'ютерних мережах або зберігається на носіях такої інформації, вчинені особою, яка має право доступу до неї;

· ст. 363 – порушення правил експлуатації електронно-обчислювальних машин (комп'ютерів), автоматизованих систем, комп'ютерних мереж чи мереж електрозв'язку або порядку чи правил захисту інформації, яка в них оброблюється;

· ст. 363-1 – перешкоджання роботі електронно-обчислювальних машин (комп'ютерів), автоматизованих систем, комп'ютерних мереж чи мереж електрозв'язку шляхом масового розповсюдження повідомлень електрозв'язку.

Також до цього переліку потрібно зарахувати ст. 176 (порушення авторського права і суміжних прав) і ст. 190 (шахрайство).

Варто зауважити, що кількість кіберзлочинів в Україні щороку зростає на кілька тисяч.

Серед статей Кримінального кодексу України однією з найпоширеніших є ст. 190, яка передбачає відповідальність за шахрайство - заволодіння чужим майном або набуття права на нього шляхом обману чи зловживання довірою.

У цифровому середовищі це проявляється у формі кібершахрайства, що включає продаж неіснуючих товарів або послуг, а також незаконне заволодіння коштами з банківських карток. Подібні злочини нерідко здійснюють особи, які перебувають у місцях позбавлення волі та використовують такі схеми як джерело незаконного доходу.

Поширеними також є злочини у сфері інтелектуальної власності, незаконне розповсюдження дитячої порнографії та створення або поширення шкідливого програмного забезпечення.

Кібершахраї часто застосовують психологічні методи впливу на громадян, повідомляючи неправдиву інформацію про те, що їхні родичі чи близькі нібито потрапили до лікарні, поліції або іншої критичної ситуації та терміново потребують фінансової допомоги.

Досить поширеними є випадки незаконного отримання доступу до особистого листування, фотографій або відеоматеріалів приватного характеру. Після цього зловмисники вимагають гроші за нерозповсюдження або видалення таких матеріалів.

До кіберзлочинів також належить цифрове піратство, тобто використання неліцензійного програмного забезпечення, а також завантаження чи перегляд фільмів і серіалів із піратських ресурсів.

Одним із найпоширеніших методів кібершахрайства є створення підроблених сайтів популярних інтернет-магазинів, відомих брендів або фінансових установ. На таких ресурсах користувачів спонукають вводити персональні дані та реквізити банківських карток. Останнім часом особливо поширилися фальшиві сайти, пов’язані з купівлею, продажем чи обміном криптовалют, що пояснюється підвищеним інтересом до криптовалютного ринку.

В Україні кіберзлочини часто поєднуються з іншими видами незаконної діяльності. Наприклад, продаж наркотичних речовин може здійснюватися через популярні месенджери, де злочинці розміщують інструкції та фотографії місць залишення заборонених речовин.

Протидія таким правопорушенням є одним із ключових завдань Кіберполіція України та інших державних органів.

Водночас важливу роль відіграє й особиста інформаційна безпека громадян. Для зменшення ризику стати жертвою кіберзлочинців рекомендується:

· використовувати лише ліцензійне програмне забезпечення;

· не передавати стороннім особам персональні дані, паролі та реквізити банківських карток;

· не відкривати й не завантажувати підозрілі файли;

· перевіряти банківську та іншу важливу інформацію лише через офіційні сайти та офіційні канали зв’язку;

· уникати введення персональних даних на сумнівних вебресурсах;

· не довіряти повідомленням про виграші чи акції, отриманим через месенджери або SMS із ненадійних джерел;

· користуватися антивірусними програмами;

· створювати складні та різні паролі й не зберігати їх у відкритому доступі на пристроях;

· не зберігати на телефонах чи комп’ютерах матеріали приватного або компрометуючого характеру.

Дотримання цих рекомендацій допоможе значно знизити ризик стати жертвою кіберзлочинності та підвищити рівень особистої інформаційної безпеки.