Лекции / 13. Киберщит Казахстана

ЛЕКЦИЯ 13. КИБЕРЩИТ КАЗАХСТАНА

13.1. ОБ УТВЕРЖДЕНИИ КОНЦЕПЦИИ КИБЕРБЕЗОПАСНОСТИ («КИБЕРЩИТ КАЗАХСТАНА»)

В целях реализации Указа Президента Республики Казахстан от 15 февраля 2017 года № 422 «О мерах по реализации Послания Главы государства народу Казахстана от 31 января 2017 года «Третья модернизация Казахстана: глобальная конкурентоспособность»

ПОСТАНОВЛЯЕТ:

1. Утвердить:

1)Концепцию кибербезопасности («Киберщит Казахстана») (далее – Концепция);

2)План мероприятий по реализации Концепции кибербезопасности («Киберщит Казахстана») на 2017-2020 годы (далее – План).

2. Центральным государственным органам Республики Казахстан:

1)принять необходимые меры по реализации Концепции и Плана;

2)представлять раз в полугодие не позднее 10 числа месяца, следующего за отчетным полугодием, информацию в Министерство оборонной и аэрокосмической промышленности Республики Казахстан о ходе реализации Концепции и Плана.

3. Министерству оборонной и аэрокосмической промышленности Республики Казахстан представлять два раза год, к 25 июля и 25 января, сводную информацию о ходе реализации Концепции и Плана в Канцелярию Премьер-Министра Республики Казахстан.

4.Контроль за исполнением настоящего постановления возложить на Министерство оборонной и аэрокосмической промышленности Республики Казахстан.

5.Настоящее постановление вводится в действие со дня его подписания.

Премьер-Министр Республики Казахстан

13.2. КОНЦЕПЦИЯ КИБЕРБЕЗОПАСНОСТИ («КИБЕРЩИТ КАЗАХСТАНА»)

1. Введение

Концепция кибербезопасности («Киберщит Казахстана») (далее - Концепция) разработана в целях обеспечения информационной безопасности общества и государства в сфере информатизации и связи, а также защиты неприкосновенности частной жизни граждан при использовании ими информационно-коммуникационных технологий (далее - ИКТ).

Концепция основана на оценке текущей ситуации в сфере автоматизации государственных услуг и промышленного сектора, оказания услуг связи, состояния «цифровой» экономики и определяет основные направления государственной политики, вызываемые потребностью в обеспечении информационной (кибер)безопасности всех участников процессов информатизации, использующих единую сеть телекоммуникаций Республики Казахстан.

Для целей данной Концепции под кибербезопасностью понимается состояние защищенности средств телекоммуникаций (средства связи), электронных информационных ресурсов, информационных систем и информационнокоммуникационной инфраструктуры от внешних и внутренних угроз.

Все иные термины приведены в значениях, используемых в Конституции и законах Республики Казахстан «О национальной безопасности Республики Казахстан», «О государственных секретах», «О противодействии терроризму», «Об электронном документе и электронной цифровой подписи», «Об информатизации», «О техническом регулировании», «О лицензировании», «О средствах массовой информации», «О связи», «О персональных данных и их защите» «О доступе к Информации», а также национальных и гармонизированных в Республике Казахстана технических стандартах.

При разработке Концепции изучен передовой международный опыт в области формирования подходов к обеспечению кибербезопасности, применяемый как государствами-лидерами так и странами, находящимися на различных ступенях технологического развития.

Предназначение Концепции в создании основы для конструктивного взаимодействия общества, органов государственной власти, частного и квазигосударственного сектора, научного сообщества, образовательных кругов для защиты национальных интересов Республики Казахстан в сфере кибербезопасности.

Концепция призвана обеспечить единство подходов к формированию и реализации общенациональной политики обеспечения безопасности защищаемых законом видов информации, защиты электронных информационных ресурсов и систем, информационно-коммуникационной инфраструктуры, а также совершенствования методологической базы и нормативных правовых актов, регулирующих сферу безопасного использования ИКТ.

2.Анализ текущей ситуации

Несмотря на достигнутый высокий уровень информатизации сферы государственного управления, широкое использование ИКТ в различных сферах жизни общества и личности, включая оборону и безопасность, Казахстану еще предстоит стать страной, в которой отечественный сектор ИКТ внес бы практический вклад в программу диверсификации национальной экономики.

Глобальное доминирование гигантов IT-индустрии отражает имеющееся цифровое неравенство между странами, что само по себе не вносит ощутимого вклада в укрепление кибербезопасности.

Растущая милитаризация этой сферы со стороны технологически развитых государств, препятствует формированию в мировом сообществе надежных международно-правовых инструментов, гарантирующих безопасность странам, отказавшимся от военного использования Интернета и ИКТ.

Казахстан, как страна, пока, в значительной мере заимствующая передовые ITтехнологии, включая технологии обеспечения кибербезопасности, в любой момент может столкнуться с ситуацией, в которой мы выступим в качестве объекта экспериментов или действительной атаки на критически важные объекты информационнокоммуникационной инфраструктуры страны со стороны преступных организаций и отдельных лиц с непредсказуемым результатом.

Беспечность и неразборчивость в поставщиках технологий несет в себе высокие риски намеренного внедрения в программное обеспечение и телекоммуникационное оборудование не декларируемых функций (т.н. «бэкдоров»), которые в последствии могут быть использованы для нанесения ущерба интересам личности, общества и государства.

Ситуация усугубляется дефицитом доверия общественности к принимаемым государством мерам, направленным на укрепление кибербезопасности. При этом частный и финансовый сектор склонен полагаться исключительно на собственные силы, недооценивая важность совместных усилий и отраслевых инициатив по формированию действительно безопасного информационного пространства.

стороны операторов и поставщиков услуг. Защита и безопасность данных, особенно тех, которые представляют общественный интерес, имеет для Казахстана решающее значение.

Существующая казахстанская модель высшего и послевузовского образования в области ИКТ, включая информационную безопасность, не в полной мере соответствует современным потребностям и тенденциям развития общества. Она не дает достаточных знаний для студентов как бакалавриата, так и магистратуры, ограничена по числу дисциплин и специальностей, некоторые из которых просто отсутствуют в образовательных и профессиональных стандартах. Кроме того, не всегда прослеживается необходимая взаимосвязь профессиональных стандартов с типовыми и рабочими учебными планами высших и средне-специальных учебных заведений.

Общая нехватка экспертов по информационной и сетевой безопасности в значительной степени также вызвана непропорциональным распределением образовательных грантов по информационной безопасности в системе подготовки специалистов в области ИКТ и низкой востребованностью со стороны работодателей работников из числа специалистов в области информационной безопасности.

3. Цели и задачи

Целью Концепции является поддержание высоко адаптивной и интегрированной системы управления кибербезопасностью, обеспечивающей устойчивое развитие Республики Казахстан при использовании ИКТ.

Для достижения указанной цели государственные органы, организации и учреждения должны выполнить следующие задачи:

-поддерживать высокое доверие граждан и бизнеса к принимаемым государственными органами, поставщиками программных продуктов, операторами связи и информационно-коммуникационной инфраструктуры мерам по обеспечению информационной безопасности.

-профессионально и систематически управлять информационной безопасностью, обеспечивая внутренний и внешний контроль в области использования ИКТ.

-установить четкие требования относительно информационной безопасности для поставщиков ИКТ-услуг и инфраструктуры, осуществлять регулярную оценку и анализ рисков по принимаемым ими мерам безопасности.

-обеспечить обществу и частному бизнесу доступ к квалифицированным оценкам угроз в сфере информационной безопасности и получению дополнительных знаний о том, как уменьшить негативное влияние от уязвимостей в программном обеспечении и информационно-коммуникационных системах.

-поддерживать высокий уровень профессиональной компетенции и технической готовности к противодействию киберпреступности, в том числе по расследованию кибер-преступлений правоохранительными органами, а также потенциала по обеспечению безопасности государства специальными государственными органами.

-обеспечить возможности реализации государственных функций в случае возможных чрезвычайных происшествий технологического, социального характера вызванных инцидентами информационной безопасности, угрожающими национальной

иобщественной безопасности.

-в кризисных ситуациях обеспечить доступ к устойчивой военной информационно-коммуникационной инфраструктуре по запросу заинтересованных субъектов информатизации.

-последовательно отстаивать на международной арене национальные интересы Республики Казахстан, выступая сильным партнером по укреплению международной информационной безопасности в соответствии с нормами и принципами международного права.

надзор за поставщиками на протяжении всего жизненного цикла информационных систем, программных продуктов, с обязательной технической поддержкой в течение не менее трех лет.

Соизмеряясь со своими экономическим возможностями, собственники и владельцы частных информационных систем также должны стремиться к следованию стандартизованным процессам разработки, создания испытаний и эксплуатации информационных систем, предусматривая необходимые меры обеспечению их информационной безопасности. Способные выступить в качестве необходимого ориентира нормативно-технические документы для этого имеются.

Для повышения профессионализации работников, ответственных за состояние информационной безопасности в государственных органах и универсализации принимаемых ими мер, должны быть соответствующим образом адаптированы профессиональные стандарты, а также расширены требования по практическим навыкам и техническим знаниям, улучшающим профили защиты и параметры контроля защищенности информационных ресурсов и систем.

Важнейшая роль отводится высшим учебным заведениям Казахстана, специализирующимся на реализации образовательных и исследовательских задач в сфере информационной безопасности. Для наращивания казахстанского потенциала в сфере научной, научно-технической и образовательной деятельности необходимо сосредоточиться на создании научно-исследовательских и опытно-конструкторских лабораторий, обеспечить тесную связь учебного процесса с производственной деятельностью предприятий электронной промышленности, привести учебные программы в соответствие с отраслевыми профессиональными стандартами и современным уровнем развития технологий.

Приоритет должен отдаваться исследованиям и развитию собственной школы прикладной математики, криптологии, разработок по программируемым логическим интегральным схемам (ПЛИС) и созданию защищенных систем передачи, обработки и хранения информации.

Обеспечение кибербезопасности в конечном итоге зависит от уровня развития отечественной IT-отрасли и электронной промышленности.

Должны быть приняты действенные меры по их поддержке, в том числе, через стимулирование государственно-частного партнерства, создание Реестров, дающих преимущества при государственных закупках для телекоммуникационного оборудования, программного обеспечения, имеющих казахстанское происхождение через следующие механизмы:

-требование по локализации производства;

-наличие у поставщика исключительных прав на конструкторскую документацию

ипрограммное обеспечение;

-необходимость выступать налоговым резидентом Республики Казахстан;

-аккредитация в качестве субъекта научно-технической деятельности и наличие научно-производственной базы, необходимой для организации производства, гарантийного и послегарантийного обслуживания;

-обязательная сертификация на соответствие высоким уровням доверия по требованиям информационной безопасности.

Совместно с представителями отрасли должен проводиться постоянный анализ закупаемого в государственных органах и квазигосударственном секторе программного обеспечения и телекоммуникационного оборудования с целью определения перспектив их замещения на отечественные или доверенные иностранные образцы, соответствующие требованиям высоких уровней безопасности.

Необходимо преодолеть проблему не высокой востребованности отечественных разработок в сфере программного обеспечения, одной из причин которой является отсутствие обязательности их приоритетного использования в государственных органах.

При уполномоченном органе по информационной безопасности должен быть образован Совет по кибербезопасности, главной задачей которого должно стать поддержание в актуальном состоянии руководящих документов, нормативно-правовой базы, содействие приоритетному использованию продукции отечественной электронной и софтверной промышленности, проведение публичной оценки общественно-значимых ITпроектов.

Установление постоянного прямого диалога с ведущими компаниями и предприятиями страны, образовательными и научными исследовательскими организациями, объединит усилия и придаст системность и комплексность решению задач по обеспечению интегрированной кибербезопасности в наиболее значимых областях использования ИКТ.

Наряду с мониторингом, анализом защищённости государственных информационных систем и ресурсов оказание содействия по безопасному использованию ИКТ в интересах граждан, популяризация мер «кибергигиены» должны стать дополнительным приоритетом государственной службы реагирования на компьютерные инциденты KZ-CERT.

Одновременно с этим должны создаваться и взаимодействовать между собой отраслевые структуры реагирования на инциденты информационной безопасности для взаимного оповещения о возникающих угрозах. Их участники должны рассматривать соображения безопасности в качестве важнейшего элемента планирования, проектирования, разработки и эксплуатации отраслевых информационных систем и сетей и стать опорными точками, определяющими устойчивость всей информационнокоммуникационной инфраструктуры страны.

Специализация и создание новых служб реагирования на инциденты информационной безопасности позволит расширить круг вовлеченных организаций и экспертов, что будет способствовать росту профессионализации в сфере кибербезопасности с учетом отраслевой специфики и содействовать расширению рынка услуг аудита информационной безопасности для малого бизнеса, который часто не имеет возможности содержать квалифицированных специалистов в области IT и информационной безопасности.

В не меньшей степени имеет значение обеспечение условий для эффективной борьбы с киберпреступностью путем усиления личного состава специализированных подразделений, расширения арсенала технических средств фиксации и криминалистических исследований «цифровых» доказательств.

Обеспечение безопасности информационного пространства является задачей всех субъектов, деятельность которых связана с использованием ИКТ, поэтому осуществляемое в сотрудничестве обеспечение информационной безопасности способствует защите интересов всех заинтересованных сторон.

Для объединения усилий необходимо при участии научного сообщества, частного сектора создать координационный Национальный оперативный центр информационной безопасности, который в онлайн режиме будет обрабатывать информацию о состоянии защищенности наиболее важных компонентов национальной информационной инфраструктуры и обеспечить обмен информацией, что позволит:

-Совету безопасности Республики Казахстан оценивать ситуацию и вырабатывать решения в условиях чрезвычайных ситуаций техногенного и социального характера;

-Министерству обороны при обеспечении готовности к отражению агрессии в отношении Республики Казахстан своевременно классифицировать и квалифицировать компьютерные атаки как акт вооруженного нападения;

-Комитету национальной безопасности и другим специальным государственным органам организовать комплексное противодействие иностранным техническим

разведкам при осуществлении деятельности по контрразведывательной защите

государственных информационных ресурсов и обеспечению правительственной связи Республики Казахстан;

-Министерству внутренних дел обеспечить высокую раскрываемость в настоящее время, в значительной степени, латентных преступлений, совершаемых с использованием информационных технологий;

-Государственным органам поддерживать высокий уровень отказоустойчивости и предупреждения возникновения технологических сбоев, а также своевременного устранения их последствий в инфраструктуре, входящей в состав «электронного правительства» и других государственных информационных систем и ресурсов;

-Собственникам критически важных объектов информационно-коммуникационной инфраструктуры (КВОИКИ) получать своевременную информацию о возможном влиянии на безопасность принадлежащих им автоматизированных систем управления технологическими процессами.

-Национальному банку получать дополнительную информацию об актуальных угрозах финансово-банковской системе.

В международном сообществе необходимо укрепить позицию Казахстана как сильного партнера, нацеленного на открытость и поддержание мер доверия в сфере международной информационной безопасности на основе принципов суверенного равенства, неприменения средств ИКТ в военных целях в качестве кибероружия. Важными диалоговыми площадками должны стать международные и региональные организации (ШОС, ЕАЭС, ОДКБ, СНГ и др.) с дальнейшим продвижением таких инициатив в сторону их всеобщей универсализации.

Выполнение данной Концепции послужит дальнейшей модернизации казахстанского общества и станет вкладом Казахстана в реализацию Глобальной программы кибербезопасности ООН.

13.3. ПЛАН мероприятий по реализации Концепции кибербезопасности («Киберщит

Казахстана») на 2017-2020 годы