Эксперты приняли участие в обсуждении правительственной концепции «Киберщит Казахстана» и сформулировали предлагаемые изменения и корректировки. Мнения разделились, основной вывод – требуется кардинальная переработка документа.
7 марта правительство Казахстана опубликовало проект концепции «Киберщит Казахстана». Этот документ – первая попытка в стране выработать комплексный подход к обеспечению кибербезопасности национального цифрового пространства. Обсуждение проекта длилось до 15 марта, мнения экспертов разделились.
Много слов, мало конкретики
По мнению Армана Абдрасилова, директора Центра анализа и расследования кибератак, проект Концепции является «сырым» документом и не отображает существенную часть вопросов, касающихся создания национальной системы кибербезопасности. «В проекте Концепции нет описания, из чего же в итоге будет состоять так называемый «Киберщит», что будет являться его составными частями, и выполнение каких функций будет возложено на эти части», – поясняет он.
Также эксперт не согласен с утверждением, что основы обеспечения кибербезопасности как системы правовых, организационных и технических мер безопасного использования ИКТ сформированы и законодательно закреплены. «Системы мер нет, она не сложилась. Отсутствует документ верхнего уровня, объединяющий меры, закрывающие отдельные вопросы, в единую систему мер», – утверждает Абдрасилов.
Другой недостаток, который обнаружил эксперт, – отсутствие в концепции описания видов угроз и их источников. «Несмотря на то, что сами угрозы постоянно меняются, их классификация и источники остаются, как минимум для государства, постоянными», – говорит Абдрасилов. Кроме того, по его словам, в проекте Концепции наблюдается излишний уклон в сторону обеспечения защиты персональных данных физических лиц. «При этом не уделено должного внимания необходимости обеспечения защиты от несанкционированного доступа к иным видам охраняемых законом тайн, а именно к банковской, врачебной, а также к служебной информации ограниченного распространения», – делится своим мнением Абдрасилов.
Эксперт обращает внимание на тот факт, что в документе отсутствует информация о подходах к организации схемы взаимодействия между собой участников национальной системы кибербезопасности. «В Концепции нет информации о распределении полномочий между органами, являющимися непосредственными участниками процесса обеспечения кибербезопасности страны, в ходе функционирования национальной системы кибербезопасности. Отсутствует градация озвученных задач по их приоритету. Нет описания этапности выполнения поставленных задач. Нет описания, как сами поставленные задачи взаимосвязаны между собой, а также как взаимосвязано между собой их выполнение, – сетует он. – Кроме того, в Концепции заявляется необходимость создания нового уполномоченного органа по обеспечению информационной безопасности и Совета по кибербезопасности, однако отсутствует описание (хотя бы в общих чертах) самой организационной структуры государственных и негосударственных органов, непосредственно задействованных в функционировании государственной системы обеспечения кибербезопасности».
По мнению Абдрасилова, неясность области, за которую ответственен государственный или иной орган, приводит к размыванию ответственности, ненужному дублированию функций и в итоге невыполнению поставленных задач и функций.
Главное – идея
Эксперт по кибербезопасности Виталий Ли инициативу создания концепции считает правильной и своевременной. По его мнению, содержание концепции даже менее важно, чем факт появления такого документа. «Конечно, можно глубоко увязнуть в профессиональных спорах типа «чем отличается кибербезопасность от информационной безопасности». Но по сути это замечательная инициатива. Нурсултан Абишевич поднял важный вопрос и поднял его очень вовремя», – говорит Ли. Он считает, что концепция не должна содержать конкретных требований и технических рекомендаций, но должна формулировать определения и разъяснять понятия.
Эксперт отмечает, что концепция «Киберщит» – первый в стране документ, четко описывающий проблему безопасности информационно-коммуникационных технологий и отношение власти Казахстана к этой проблеме. И данный документ, по его мнению, может стать эффективным инструментом в решении вопросов ИБ в стране. «Эффективность «Киберщита» как идеи переоценить трудно, а как проекта можно. Эффективность любого проекта измеряют по соотношению время/деньги/качество. С целью «Киберщита» все понятно. Но предположим, что концепции нет, все осталось как прежде. Означает ли это, что в Казахстане исчезнет информационная безопасность? Нет, конечно. На протяжении всей истории цифровизации Казахстана информационная безопасность развивалась, и в некоторых отраслях она соответствует самым жестким критериям. Другое дело, что информационную безопасность (как и кибербезопасность) каждая отдельная организация или государственный орган выстраивал сам, как и каждый владелец домашнего компьютера или смартфона. Эдакая феодальная раздробленность, только в киберпространстве. Каждое мини-киберкняжество имеет свою дружину для защиты. Каждая такая дружина встречает нападение один на один с врагом. Сейчас же поднимается вопрос совместной защиты. История человечества не раз подтверждала аксиому – вместе гораздо эффективнее, чем порознь. Это касается и соотношения время/деньги/качество», – резюмирует Ли.
Кадровый вопрос
Корнем проблем в обеспечении национальной кибербезопасности, по мнению Ержана Сейткулова, директора НИИ информационной безопасности и криптологии Евразийского национального университета им. Л.Н. Гумилева, члена Общественного совета министерства оборонной и аэрокосмической промышленности Казахстана, является дефицит национальных кадров. Чтобы обеспечить кадрами систему «Киберщит Казахстана», необходимо:
- проработать вопрос создания Академии информационной безопасности для качественной подготовки национальных кадров по профильным специализациям и привлечь ведущих отечественных и зарубежных ученых;
- нарастить образовательные квоты в рамках программы «Болашак» по специальности «Методы и системы защиты информации, информационная безопасность» для магистратуры, докторантуры и научных стажировок;
- увеличить количество ежегодно выделяемых образовательных грантов Министерства образования и науки Казахстана по специальности «Системы информационной безопасности»;
- внести изменения в классификатор специальностей Республики Казахстан, и данную военную специальность перевести в разряд технических профилей;
- создать специальные кафедры информационной безопасности в ведущих вузах страны и два специальных факультета в Астане и Алматы;
- открыть при вузах научно-исследовательские институты и лаборатории по разработке СКЗИ (средств криптографической защиты информации), проектированию ПЛИС (программируемая логическая интегральная схема), микропроцессоров, квантовой криптографии.
Другой стратегический вопрос – поэтапное импортозамещение при разработке отечественных средств защиты информации и программного обеспечения. «В Казахстане острой проблемой является слабое развитие отечественной индустрии информационной безопасности, в частности в разработке средств криптографии. Одна из причин такой ситуации в том, что иностранные компании-гиганты через своих представителей в республике не дают возможности встать на ноги отечественным специалистам и компаниям. С учетом того, что разработки в области защиты информации напрямую связаны с обеспечением госсекретов, использование готовых иностранных продуктов крайне опасно, необходимо развивать собственные лаборатории», – подчеркивает Сейткулов.
Для поддержки отечественных производителей необходимо изучить вопрос законодательного регулирования закупок иностранного программного обеспечения в сфере защиты информации для государственных учреждений и критически важных объектов, считает эксперт. По его словам, необходимо уделить внимание вопросу создания научно-производственного института, в функции которого будет входить стратегическая задача поэтапного импортозамещения в сфере защиты информации.
Таким образом, по мнению Ержана Сейткулова, Министерству оборонной и аэрокосмической промышленности надо пересмотреть все применяемые подходы к обеспечению информационной безопасности. Ведомству необходимо разработать качественно новый стратегический план (концепцию, доктрину) с привлечением научной общественности и с учетом международного опыта. «Кроме того, необходимо предусмотреть постоянное аналитическое и научно-исследовательское сопровождение системы «Киберщит Казахстана», а также принять меры для развития государственно-частного партнерства (ГЧП) в этой области», – считает эксперт.
Зауре Медерханова
