Безопасность цифрового государства

Информационная безопасность – это не просто одно из направлений Программы «Цифровая экономика», но и неотъемлемая функция остальных направлений, без неё не может обойтись никакая информационная система. Одним из главных мероприятий состоявшегося в сентябре форума «IT Диалог 2018» была конференция «Безопасность цифрового государства», собравшая за круглым столом представителей государственных органов, бизнеса и разработчиков решений по информационной безопасности.

«Цифровая экономика»: сложности реализации

Сегодня на повестке дня остро стоят вопросы перевода рабочих мест государственных и муниципальных служащих на отечественное офисное ПО, и соответственно обеспечения безопасности этих мест. Но многие прикладные решения, финансовые системы, ЭДО и др. заточены под продукты Микрософт, а при интеграции с отечественными платформами дают сбой. Как региону исполнить рекомендации Минкомсвязи о переводе? Ирина Просвирякова, председатель Комитета информационных технологий и коммуникаций Вологодской области считает, что прежде, чем менять на рабочем месте операционную систему или офисный пакет, нужно перевести государственные ИС в веб-версию и «подружить» их с отечественными решениями. И здесь возникает проблема. Несмотря на то, что одни и те же ИС используются в разных субъектах РФ, разработчики стараются произвести доработки своего программного продукта за счет каждого региона. «Мы предлагали не раз Минсвязи, чтобы вендоры, продукты которых используется большинством субъектов были бы профинансированы на федеральном уровне. Потому что зачастую вендор просит десятки миллионов рублей за перевод его продукта на отечественную платформу. И это очень затратно для субъекта», - комментирует Ирина Просвирякова. Желательно внести требования к продуктам в реестре отечественного программного обеспечения по обязательной интеграции с отечественными офисными пакетами и ИС. Многие российские разработки категорически не хотят работать совместно.

По словам Андрея Проскурнина, заместителя министра – начальника управления информатизации и связи министерства развития информационного общества Калужской области, каждый продукт, который планируется приобретать для рабочего месте госслужащего вначале тестируется на различных операционных системах. К сожалению, те продукты, что нормально работают с одной системой, не работают с другой. И это может привести к огромному зоопарку, соответственно к большим затратам в будущем.

В силу различных причин качество разрабатываемого под заказ программного обеспечения достаточно низкое, подчас такое программное обеспечение содержит критические ошибки, в том числе, касающиеся безопасности информации. Как с этим бороться? Андрей Лихолетов, начальник отдела информационно-компьютерной безопасности Комитета по информатизации и связи СПб считает, что это можно делать силами подрядных организаций, разрабатывающих программное обеспечение либо с помощью подведомственных организаций, в которых сосредоточены соответствующие компетенции. В рамках требований, предъявляемых к качеству выполняемых работ на разработку программного обеспечения согласно ФЗ №44, необходимо формулировать дополнительные требования к разрабатываемому программному коду. «Мы в каждом госконтракте на разработку или модернизацию программного обеспечения можем предъявлять требования, о том, чтобы разработанный код не содержал известных уязвимостей. Современные средства анализа уязвимостей позволяют производить анализ исходного кода, разработанного на наиболее популярных языках программирования», - говорит Андрей Лихолетов.

Нужна ли единая операционная система в российских госорганах или нет? По мнению Рустэма Хайретдинова, модератора дискуссии, от монополии такой системы выиграют только ее владельцы. А это безусловно приведет к лоббированию интересов отдельных компаний.

Поддерживает коллегу Георгий Грицай, директор по направлению «Информационная безопасность АНО «Цифровая экономика»: «У нас не стоит задача создать единую операционную систему в стране. У нас не стоит задача 100% импортозамещения. Есть задача обеспечить независимость страны в области базовых критических информационных технологий. Операционные системы – это базовые ИТ. В стране должны быть компетенции для работы с ними. Единый производитель – это большой риск, их должно быть несколько».

Почему же производители операционных систем не инвестируют в совместимость друг с другом? По словам Грицая при разработке ГИСов существенная часть бюджета расходуется на прикладное ПО, поэтому заказчик такого ПО должен выставить обязательные требования вендору на совместимость продуктов. Вендор не будет думать, как обеспечить комфорт пользования, если на то не будет соответствующего запроса.

Спикеры пришли к выводу, что государство в рамках Программы, не должно заливать проблему деньгами, поскольку их и так не много. Однако при точном планировании, этих средств достаточно, чтобы создать условия для достижения целей Программы, а именно: определить правила игры, разработать стандарты, наметить льготы и преференции. По мнению участников государство придерживается принципа мягкой силы, оставаясь в регулируемом правовом поле, поэтому командно-административные решения не будут приветствоваться. Кроме того, государство планирует привлечь для реализации Программы значительные ресурсы в рамках частно-государственного партнёрства, точечно напрямую финансируя лишь стратегические разработки.

Кроме того, по мнению участников дискуссии импортозамещение в органах власти будет пробуксовывать, пока вышестоящие органы не подадут пример. Например, недавно в Минкомсвязи обсуждались технические вопросы системы «ГАС Выборы» в Telegram, переписка на большой государственной конференции шла в gmail, а все данные размещались на google-дисках.

Импортозамещение

Президент России Владимир Путин в своём последнем послании дал чёткое указание по переходу на электронные компоненты и программное обеспечение российского производства до 2024 года. Как реализуется программа импортозамещения в области кибербезопасности, можно ли полностью отказаться от иностранных ИТ-решений рассматривали на сессии «Импортозамещение как основа цифрового суверенитета».

«Все что можно заместить мы заместили без всякого импортозамещения, - сказал модератор Рустэм Хайретдинов, - Мы из госорганов выжили всех конкурентов задолго до того, как это стало трендом. Что дальше? Мы останемся в своих нишах, будем делать то, что и так прекрасно получается или, воспользуемся помощью государства и начнем расширяться?»

Сергей Булович, региональный представитель «Лаборатория Касперского» считает, что импортозамещение, безусловно хорошая вещь, но она имеет срок годности. Долго держаться на этом не получиться. Если у компании нет целей выхода на международный рынок, ее перспективы не очень хороши. «Несмотря на ограничения, которые наложены на ЛК в мире, мы воспринимаем это как вызов и продолжаем работу», - добавил Сергей.

По словам модератора, основной аргумент противников импортозамещения – деньги, которые вложены лидерами рынка. Соперничать с Intel в производстве процессоров, начиная с нуля, бессмысленно. Но нужно пытаться перескочить ступень, сделать свой продукт. «Мы не успели насладиться аналоговой связью и сразу перешли в цифру. Не нужно, на мой взгляд, пытаться написать десктопную операционную систему, потому что к тому моменту, когда мы ее напишем, десктоп перестанет существовать. Нужно делать облачные ОС, где мы на равных с мировыми лидерами. Как вы думаете, что такое импортозамещение с точки зрения новых продуктов? Это точно не создание межсетевого экрана вместо Циско», - прокомментировал Рустэм.

По мнению Тимура Аитова, процесс импортозамещения должен поддерживаться как лидерами отрасли, так и всей инфраструктурой государства. Для создания инновационных продуктов необходима инновационная среда. «С восьмидесятых годов прошлого века мы работали на иностранном софте и железе, нас сделали зависимыми от него. Сейчас идет обратный процесс, но он не быстрый», - сказал Тимур.

Сергей Дурягин, вице-президент «ИнфоТеКС», считает, что несмотря на то, что выручка российских разработчиков и мировых от продаж несопоставима, это не мешает делать качественные продукты. Так разработка «Байкала» - хороший пример отечественного продукта. Процессор является первым в России 28-нм чипом, что вполне вписывается в мировой мейнстрим процессоров этого класса.

Директор по маркетингу Центра защиты информации компании «Конфидент» Сергей Овчинников обратил внимание участников еще на одну проблему. Сегодня импортозамещение решает две задачи: обеспечения национальной безопасности и поддержки российских разработчиков. Согласно требованиям регуляторов операционные системы, используемые в государственных органах, необходимо защищать. А в соответствии с приказом ФСТЭК №17 необходимо применять сертифицированные средства защиты информации: от несанкционированного доступа, межсетевые экраны, обнаружения и предотвращений вторжений и др. Есть ли такие средства, которые совместимы с российскими ОС? Нет. Уровней сертификатов не хватает, чтобы закрыть все требования. В некоторых случаях аттестацию невозможно провести.  «Еще один момент. Когда создавали реестр отечественного ПО, были определены требования к компаниям. И в этих требованиях нет ни слова о происхождении кода. Много кода в Линукс-системах написаны не российскими разработчиками. И в этом коде есть уязвимости. Если в проприетарном ПО обнаруживается уязвимость, вендор устраняет ее за короткое время, а в российских ОС уязвимости устраняются месяцами», - подчеркнул Сергей.

Для чего нам российское ПО? Чтобы его не могли отобрать санкциями. А также, чтобы обеспечить развитие рынка, если нас лишат доступа к иностранным решениям. Что для этого нужно: исключительные права на софт, полные исходные коды, иметь инфраструктуру разработки этих кодов и достаточно специалистов, которые могут с этими кодами работать.

По мнению участников дискуссии нужно разделять импортозамещение и импортонезависимость. Сейчас термин «импортозамещение» больше подходит к категории товаров народного потребления. Отечественные решения работают на импортном железе с импортной элементной базой. Поэтому есть сомнения, что за пять лет, определенных программой, в стране успеют подготовить программно-аппаратную часть.

Защита критической инфраструктуры

С 1-го января 2018 года вступил в силу новый закон о безопасности критической инфраструктуры, который заставил побегать многие коммерческие и государственные организации, попавшие под его действие. Масла в огонь подлили поправки, которые вводят уголовную ответственность за несоблюдение норм нового закона, а также разговоры об отнесении сведений о мерах защиты критической инфраструктуре к гостайне. 1-го сентября 2018 года прошел первый важный срок, связанный с новым законом. К этой дате все субъекты критической инфраструктуре должны были составить перечень своих объектов, подлежащих защите в соответствие с новыми требованиями ФСТЭК России. Также начало осени ознаменовалось принятием ФСБ России первых документов, обязывающих субъектов КИИ подключаться к системе мониторинга ГосСОПКА. Эти и другие актуальные для государственных органов вопросы обсуждались на сессии «Цифровое государство как критическая информационная инфраструктура», модератором которой стал Алексей Лукацкий, бизнес-консультант по безопасности Cisco.

Василий Чернов (ФСТЭК) указал на основные ошибки при включении в перечень субъектов КИИ. Так часто включаются абсолютно все информационные системы. Еще одна распространенная ошибка – предоставление перечней в неутвержденном виде. Присылают также письма об отсутствии субъектов КИИ, что совершенно не требуется. По словам представителя регулятора, все требования изложены на сайте ФСТЭК, с ними нужно просто ознакомиться. И, наконец, ФСТЭК просит субъекты КИИ прикладывать к переписке все перечни и формы уведомления о результатах категорирования в электронном виде, так как вносить сведения вручную отнимает много ресурсов.

С какими трудностями сталкиваются те, кто относит себя к субъектам КИИ? Основная проблема – невнятные формулировки 187 ФЗ в части определения что такое «субъект», «объект». Например, по словам Валерия Комарова, специалиста по защите информации отдела методологии ИБ управления ИБ ГБУ «Инфогород» ДИТ Москвы, владельцем всех государственных информационных систем в Москве является город. Далее эти системы передаются в различные департаменты. Для того, чтобы определить, кто является объектом КИИ, требуется создание единого координационного органа. Этот орган будет обеспечивать безопасность объектов КИИ Москвы, работающих на уровне правительства города. Только после создания будут возможны категорирование и инвентаризация объектов КИИ в рамках всей Москвы. Ранее ДИТ защищал все системы как оператор. Но в 187 ФЗ такого понятия вообще нет. «В настоящее время мы плотно работаем с ФСБ и ФСТЭК для урегулирования правовой базы», - добавил Валерий Комаров.

Добавим, что в 2010 году Генеральная прокуратура России дала разъяснения по поводу статьи 274 УК РФ за нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей. Правила доступа и эксплуатации, относящиеся к обработке информации, содержатся в различных положениях, инструкциях, уставах, приказах, ГОСТах, проектной документации на соответствующую автоматизированную информационную систему, договорах, соглашениях и иных официальных документах. Любое средство защиты должно сопровождаться руководством по эксплуатации. Если коротко – за нарушения правил можно сесть в тюрьму.

Любопытно, что сегодня определена ответственность за нарушения правил эксплуатации, невыполнения мер безопасности, но за нарушения 187 ФЗ прямая ответственность не предусмотрена. Участники предположили, что скорее всего в ближайшее время это несоответствие будет ликвидировано.

***

Многие актуальные вопросы информационной безопасности остались за кадром. Проблемы реализации пакета «законов Яровой» в телекоме, противодействие инсайдерам, подготовка специалистов по ИБ в соответствии с профстандартами и потребностями работодателей, применение технологий-блокчейн в системах межведомственного и внутрикорпоративного документооборота и многие другие. Программа просто физически не смогла вместить все. Организаторы мероприятия планируют продолжить разговор на Петербургском цифровом форуме, который состоится в Северной Столице в апреле 2019 года.