Полигон для хакеров. Как Украине защитить свое киберпространство и данные граждан

Основной функцией любого государства (в том числе электронного) остается обеспечение безопасности его граждан. Это означает, что Украине нужно защищать данные ее жителей, реестры и ресурсы в киберпространстве точно так же, как если бы речь шла о физическом имуществе. Но с кибербезопасностью у нас сегодня проблема.

Чтобы прийти к такому выводу, достаточно просмотреть заголовки последних новостей, вроде "Базы данных украинской таможни продают в интернете за $100" или "Сбережения в Приват24 под угрозой. Деньги крадут даже у специалистов по кибербезопасности". Можно вспомнить и недавний скандал с анонимным Telegram-каналом, взлом сайта президента в 2014 году, пропавшие из фискальной службы терабайты информации в 2016-м, не говоря уже про вирусы WannaCry и PetyA, которые ударили по большинству государственных компаний.

Что мы можем противопоставить угрозе повторения подобных атак и сливов?

В мировом рейтинге компетенции кибербезопасности ITU Украина сегодня находится на 54 месте, в рейтинге National Cyber Security Index – на 29 месте. Если в 2016 году украинские команды были на первых местах в международном Capture The Flag, то сегодня их там уже нет. Конечно, есть крутые специалисты, и много, но наличие крутых специалистов в частных компаниях, с которыми государство не сотрудничает, к сожалению, не влияет на уровень киберзащиты страны. И в результате мы имеет то, что имеем.

Какие же у нас фундаментальные проблемы и какие могли бы быть решения?

Основные проблемы следующие:

• нет государственной программы кибербезопасности, начиная от современного законодательства до плана его реализации;
• нет современных требований по защите баз данных, отслеживания их выполнения и наказания за нарушения;
• в Украине официально существует около 350 основных баз данных, но можно предположить, что еще больше баз данных находится "в тени";
• нет понятной государственной политики по интеграции реестров и прозрачной технической архитектуры государственных решений;
• нехватка профессиональных кадров, отсутствие отраслевых и региональных CERT (computer emergency response team – компьютерная группа реагирования на чрезвычайные ситуации), нежелание системно привлекать частный сектор.

Перечень можно продолжить, но для нас важен вывод, что мы не можем быть до конца уверены, что все системы и реестры будут защищены, а масштабные кибератаки – отражены. Не зря в некоторых странах Украину называют киберполигоном и оттачивают здесь свои хакерские навыки.

Как в такой ситуации можно было бы усилить защищенность украинского киберпространства?

• Принять закон про кибербезопасность и разработать план его внедрения;
• выделить достаточные ресурсы для выполнения плана, так как кибербезопасность – это тоже часть национальной безопасности;
• сделать требования КСЗИ (комлексной системе защиты информации) более современными, но при этом бескомпромиссно требовать выполнения правил и соответствия всех реестров новым требованиям;
• принять законопроект про облака, так как сертифицированные облака более безопасные, чем "сервера под столом", и создать стратегию перехода в облака Cloud First;
• Начинать систематически привлекать частный сектор к защите систем и реестров. Для этого нужно сотрудничество с "белыми хакерами" (white hat hackers), "подконтрольные" попытки взлома (bounty hunt), постоянная работа с центрами реагирования на кибератаки (SOC – операционный центр безопасности, и CERT)
• обучение сотрудников силовых органов для повышения компетенций в кибербезопасности и обучение граждан кибергигиене;
• поддерживать создание отраслевых и региональных центров кибербезопасности (SOC, Cert) также в сотрудничестве с частным рынком.

Конечно, на этом список возможных мероприятий не заканчивается, однако даже этого могло бы хватить, чтобы существенно улучшить готовность государства защитить персональные данные физических и юридических лиц, реестры и системы, без чего масштабная диджитализация несет реальный риск.