Интервью с экспертом: «Как обеспечить информационную безопасность экосистемы цифровой экономики России»
НИИ «Восход» - один из ключевых участников работы по формированию архитектуры всей экосистемы цифровой экономики Российской Федерации. Какие угрозы и риски информационной безопасности для этой экосистемы вы считаете наиболее актуальными?
У рисков разная природа, и государству, и обществу, строящим цифровую экономику, необходимо правильно реагировать на них.
Одна из главных проблем – это отсутствие достаточного количества подготовленных специалистов в области информационных технологий с глубоким пониманием того, что информационная безопасность обеспечивается на всех этапах жизненного цикла информационной системы, а не является наложенной системой. Также у нас остро стоят вопросы консолидации и управления данными в цифровой экономике, что порождает соответствующие угрозы со стороны преступных элементов. Еще одна важная задача – это обеспечение цифрового суверенитета в технологической сфере, куда относятся, в том числе, вопросы импортозамещения и продвижения стандартов, подходов, продуктов на международную арену.
Очень важно подготовить потребителей информационных услуг к цифровому способу взаимодействия, приучить их соблюдать правила цифровой гигиены. Несоблюдение пользователями этих правил несет в себе очень большие риски, позволяет злоумышленникам реализовать самые разные угрозы.
И, конечно, нам необходимо обеспечить информационную безопасность и устойчивость инфраструктуры всех уровней. Важно, что безопасность и устойчивость в данном случае должны быть заложены на уровне базовой архитектуры. Предстоит решить и смежные вопросы обеспечения качества доступа к информационным ресурсам с использованием публичных сетей передачи данных.
Отдельно необходимо отметить задачи, связанные с совершенствованием методологии и практики проведения оперативно-розыскных мероприятий, формирования доказательной базы преступлений в сфере ИТ, проведения соответствующих технических экспертиз и пр. Вообще в деятельность правоохранительных органов следовало бы внести существенные изменения, к которым не вполне готовы и сами органы, и законодательная база, и участники информационного обмена. Неприспособленность к работе в цифровом мире – один из главных источников рисков.
НИИ «Восход» разрабатывает единую технологическую архитектуру (ЕТА) для цифровой экономики страны. Какой вам видится эта архитектура, и как предполагается обеспечить ее безопасное и устойчивое функционирование?
Суть единой технологической архитектуры – в определении и структурировании единых подходов к методологии управления архитектурными процессами создания и развития государственных информационных систем. Нам нужна единая система управления архитектурой, основанная на архитектурных советах и персональной ответственности главных архитекторов, едином актуальном представлении архитектуры цифрового государственного управления, создании единых инструментов поддержки разработки государственных информационных систем. Принципы, требования, концепции ЕТА уже определены. Определены и системные уровни архитектуры: архитектура деятельности (архитектура деловых, служебных, предметных областей деятельности), архитектура приложения, архитектура данных (информационная архитектура), техническая архитектура, интеграционная архитектура, архитектура информационной безопасности (встроенная).
Отдельно прорабатывается уровень архитектуры информационной безопасности с реализацией ключевого принципа security-by-design. Предполагается, что единство правил и подходов обеспечит унификацию решений, но сохранит достаточную свободу в определении отраслевых частных решений при проектировании и разработке государственных информационных систем. А ключевые подходы к обеспечению информационной безопасности здесь определяются на законодательном уровне соответствующими регуляторами.
Другой вопрос, что в порядке реализации ЕТА потребуется вносить некоторые изменения в действующие законодательные нормы в области ОИБ (обеспечения информационной безопасности). Это необходимо для реализации новых принципов и подходов, связанных с централизованным описанием служебных процессов, обеспечением сквозного вертикального и горизонтального контроля, встраиванием НСУД (национальной системы управления данными), использованием ГЕОП (государственной единой облачной платформы).
Очень важным элементом обеспечения информационной безопасности ЕТА является единая среда разработки. Пожалуй, впервые за много лет, прошедших под лозунгами автоматизации, информатизации и цифровизации, информационная безопасность будет обеспечена не на уровне наложенных контрольно-надзорных систем, а будет «встроена» на уровне разработки архитектур, приложений и сервисов. В свою очередь, это повлечет обязательное применение стандартов ГОСТ Р 56939. И тут возникает целый ряд эффектов, влекущих неоднозначные последствия. Во-первых, внедрение стандартов «безопасного программирования» фактически запустит процесс квазиаттестации исполнителей, заставит их применить новые подходы к организации разработки. Во-вторых, применение стандартов повлечет необходимость увеличения финансирования разработок, а исполнителям потребуется некоторый период адаптации к новым условиям, что «в моменте» скажется на качестве и скорости разработки. В-третьих, четко проявится необходимость создания доверенных отечественных инструментов разработки и существенного уменьшения применяемых сейчас инструментов и технологий, особенно иностранных. Одновременно безусловно положительный эффект от уменьшения номенклатуры средств разработки и унификации среды разработки будет достигнут благодаря возможности сосредоточиться на обеспечении собственной безопасности инструментов, консолидации усилий и ресурсов для выполнения этой задачи, причем в централизованной форме.
Предусмотрено, что фундаментом экосистемы цифровой экономики станет НСЦП (Национальная стратегическая цифровая платформа). Что это такое, и как будет обеспечена ее информационная безопасность?
НИИ «Восход» в своем портфеле проектов имеет весьма значимые активы – единую технологическую архитектуру (включая единую среду разработки), систему юридически значимого электронного документооборота (ЮЗЭДО). Они будут базовыми элементами национальной цифровой платформы. Для ЮЗЭДО действующих классических подходов к обеспечению информационной безопасности вполне достаточно. Это классическая распределенная государственная информационная система. В соответствии с обрабатываемой информацией и ее объемами будет построена модель угроз, нарушителя. Здесь, в общем, всё определяет Постановление Правительства № 676 от 6 июля 2015 г. «О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации». А для единой технологической архитектуры появляются дополнительные задачи в области обеспечения информационной безопасности. Потому что ЕТА является в значительной мере сводом принципов и правил, и она существенно изменяет действующие процессы. В этом контексте ЕТА потребует внедрения безопасного программирования, внедрения информационной безопасности «by design» и, возможно, внесения изменений в действующие нормы и правила обеспечения ИБ.
НИИ «Восход» также разрабатывает национальную систему управления данными (НСУД). Определены ли основные подходы к обеспечению безопасности данных в НСУД? Какие это подходы, в чем их содержание?
Национальная система управления данными – это федеральная государственная информационная система по своему статусу. Модель угроз для нее в полной мере соответствует действующим правовым и законодательным нормам. НСУД в существующей концепции не является местом хранения всего объема государственных данных, а оперирует моделями данных исключительно открытого характера, содержит реестр видов государственных данных и связанные с ним политики управления доступом. В контексте обеспечения информационной безопасности НСУД нами прорабатывается вопрос управления данными, в том числе их моделирования, представления, управления доступом. Очевидно, что значимым вопросом для обеспечения надлежащего уровня информационной безопасности является защита моделей данных, порядка и правил их обработки. Мы на этом вопросе сосредоточились и готовим соответствующее решение. Безусловно, это решение должно быть согласовано с регуляторами. Модель угроз в настоящий момент согласована с ФСБ России, завершается согласование в ФСТЭК России. В целом действующих нормативных документов более чем достаточно. Понятно, что НСУД в эксплуатации станет объектом КИИ с соответствующими решениями по обеспечению ее безопасности. Также очевидно, что появится целый ряд частных задач по обеспечению информационной безопасности НСУД, которые поставят ведомства для обеспечения своей деятельности, связанной с защитой персональных данных, служебной, коммерческой, врачебной тайны и тайн иных видов, защищаемых законом. Предлагаемые нами подходы позволят реализовать частные задачи без кардинального вмешательства в существующие модели и программный код.
Как планируется обеспечить безопасность государственной единой облачной платформы (ГЕОП), разработчиком которой также является НИИ «Восход»?
В рамках требований, установленных действующим законодательством в области обеспечения информационной безопасности. ГЕОП не является чем-то принципиально новым технологически. Это классическая облачная инфраструктура, которая в значительной степени насыщена отечественными техническими и технологическими решениями – от суверенных систем хранения данных до системного программного обеспечения. Естественно, в зависимости от обрабатываемой информации, к конкретной технической реализации предъявляются требования по защищенности, применяются решения с соответствующими сертификатами, проводится аттестация. Другой вопрос, что перспективная облачная модель должна предусматривать классы защищенности, соответствующие максимальным для информации, находящейся в облаке. Таким образом, данные с более низким классом будут защищены в соответствии с требованиями более высокого класса. И это хорошо, это увеличит защищенность данных в целом.
Перспективных, важных и интересных направлений в области обеспечения информационной безопасности я вижу два: первое – создание резервной (мобилизационной) системы управления ресурсами ГЕОП; второе – однозначная идентификация всех потоков данных, включая системные и служебные. Учитывая, что система государственная, на угрожаемые периоды значительная часть функциональности систем управления облачными сервисами окажется невостребованной. Более того, она создаст «паразитные» нагрузки с точки зрения управления в особый период. Например, системы биллинга или бизнес-анализа традиционно потребляют значимое количество ресурсов систем передачи, хранения и обработки данных. При этом в особые периоды значимость этих данных ничтожна, и ресурсы будет правильно высвободить для продуктивной работы или резерва. Гарантированная «подкраска» или однозначная идентификация трафика позволит обеспечить качественно иной уровень информационной безопасности облачных сред, что весьма востребовано для нужд государственного управления.
Совершенно отдельно необходимо отметить, что ГЕОП должна быть обеспечена защитой от инфраструктурных атак на сетевое оборудование и сетевую инфраструктуру. В 2019 году число DDoS-атак в мире выросло на 180%, и такие атаки становятся все мощнее и изощреннее. Защищать от них инфраструктуру ГЕОП иностранными средствами, как это делается сейчас, имея в наличии два серьезных отечественных продукта операторского уровня, – непростительная оплошность, которую нельзя допустить при проектировании сетевой инфраструктуры государственного назначения.
Насколько известно, есть планы также построить в России государственный сегмент Интернета, через который будут предоставляться государственные интернет-сервисы. Что такое государственный сегмент Интернета и как сделать его безопасным для пользователей?
Построение «Российского государственного сегмента информационно-коммуникационной сети Интернет» определено Приказом ФСО России от 7 сентября 2016 г. № 443 «Об утверждении Положения о российском государственном сегменте информационно-телекоммуникационной сети "Интернет"» (Зарегистрировано в Минюсте России 14 октября 2016 г. № 44039) Ведется системная работа Минкомсвязи России с заинтересованными органами государственной власти по созданию единой сети передачи данных (ЕСПД) и подключению к ней государственных ведомств, учреждений и организаций. Есть информационные ресурсы в сети Интернет, которые обязаны быть доступны гражданам. Одна из целей государственного управления – предоставить канал взаимодействия граждан с государством через сеть Интернет. Одновременно интернет-технологии позволяют повысить эффективность оперативного взаимодействия внутри самого аппарата государственного управления.
Говоря об обеспечении информационной безопасности государственного сегмента Интернета, я бы сосредоточился на четырех аспектах: защищенная инфраструктура, управление контентом, управление качеством, цифровая гигиена. Первые два аспекта на сегодняшний день решаются посредством государственных программ и имеющихся технологий. Было бы правильным дополнить их конкретными планами внедрения отечественной криптографии в процессы взаимодействия участников информационного обмена с государством посредством сети и технологий Интернета. Вплоть до раздачи гражданам криптографических средств за счет государства. Управление качеством доступа к государственным информационным ресурсам и сервисам – это задача, которая неоднократно поднималась на различных уровнях, различные ведомства и организации разрабатывали концепции. На этом все и остановилось. Эту работу необходимо возродить и провести ее быстро и эффективно. У нас накоплен значительный опыт в реализации технических средств контроля качества. Например, «Восходом» разработана система контроля качества услуг доступа и передачи данных в Интернет для социально-значимых объектов (СКПУС СЗО). Система, в том числе, позволяет оценить качественные характеристики доступности и функционирования государственных информационных ресурсов. Подобные инструменты необходимо систематизировать и предоставить регулятору в отрасли «Связь» как инструмент ситуационного управления.
Наконец, цифровая гигиена должна стать неотъемлемой частью взаимодействия в цифровом государстве. Учить базовым и расширенным правилам цифровой гигиены нужно всех участников обмена информаций: разработчиков, регуляторов, госслужащих, граждан, даже иностранных партнеров. Вести такую работу необходимо по всем направлениям: разработать принципы и правила цифровой гигиены, внедрить их в систему образования (с детского сада) и насаждать наши принципы цифровой гигиены иностранным партнерам как единственный способ обеспечить цифровое взаимодействие с нашей страной.
В 2022 году вместо бумажных паспортов в России начнут выдавать пластиковые удостоверения личности, будет выпущено связанное с ними мобильное приложение. Эту работу также ведет НИИ «Восход». Какие риски информационной безопасности обусловлены переходом к электронным формам паспортов? Как планируется купировать эти риски?
Важно понимать, что риски здесь не связаны с паспортом как таковым. Применение паспорта обеспечивает всего лишь относительно новая технология. Сами паспорта весьма надежны – настолько, насколько надежным является используемый алгоритм шифрования данных. Регулятор в области криптозащиты считает его надежным, поэтому этот вопрос закрыт. Но смещается зона ответственности за сохранность данных. Если в эру бумажных паспортов ответственность за паспорт нес его владелец, то в эру цифровых паспортов к этому процессу подключаются технологические партнеры, а владелец не всегда имеет возможность контролировать сбор, хранение, обработку и передачу информации с его электронного паспорта. У злоумышленников появляются дополнительные точки применения знаний и умений для доступа к информации паспорта. Более того, злоумышленник потенциально получает неправомерный доступ к значительно большему, чем в случае с бумажными паспортами, массиву персональных данных. И, обладая неправомерно добытой информацией, злоумышленник сможет производить юридически значимые действия от лица владельца паспорта. А владелец об этом ничего не узнает. К этой же группе рисков следует отнести риски, связанные с существенным изменением процессов и частоты обработки паспортных данных, с существенным расширением областей применения паспортов, что ведет к расширению области противоправных действий.
Отдельная группа рисков связана с компрометацией биометрических данных, что является необратимой и неисправляемой компрометацией. С позиции внедрения цифровых паспортов значительная часть инфраструктуры должна стать критической из-за внедрения технологий электронного взаимодействия.
Как видно, большая часть рисков не связана с неразрешимыми техническими проблемами и может быть купирована грамотной настройкой протоколов взаимодействия, учетом угроз безопасности на системном уровне при проектировании взаимодействия, сервисов и услуг. В качестве эксперта НИИ «Восход» активно соучаствует в этой работе, но проводят ее профильные ведомства.
Мобильное приложение, по сути, тот же криптоконтейнер, для хранения информации. Даже не самой информации, а ее хэшей. И единственное (понятное мне) ограничение связано с потенциально враждебным программным окружением, неуправляемой программно-технической инфраструктурой «вокруг» приложения, необходимостью следовать архитектурным и техническим правилам экосистемы, для которой разрабатывается приложение. В этом смысле готовых рецептов, кроме развития собственной экосистемы, как это делают международные партнеры из Юго-Восточной Азии и Ближнего Востока, я не знаю. Хотя, пожалуй, отсутствие ошибок при создании программного обеспечения существенно повысит защищенность приложения в целом.
Построение доверенной среды в экосистеме цифровой экономики связано с обеспечением программными и аппаратными средствами российского производства. Способна ли, на ваш взгляд, отечественная индустрия ИТ обеспечить экосистему цифрового государства доверенными программными и аппаратными средствами в полном объеме?
Однозначно российская индустрия ИТ не способна заменить на отечественные все структурные элементы телекоммуникационной инфраструктуры, инфраструктуры хранения и обработки данных, все системное, специальное и прикладное программное обеспечение, платформы, стандарты и протоколы. Во всяком случае, в среднесрочной стратегической перспективе. Если же говорить о способности индустрии заменить критически важные элементы, то правильным ответом будет – да. Только меры для этого должны быть по-настоящему системными и не вполне рыночными, в ряде случаев. Я бы ввел понятие контролируемой государством технологии. Есть у нас телекоммуникационное оборудование, которое производится в России, но при этом, фактически, это сборка из иностранных компонентов с управляющим программным обеспечением, которое контролирует другое государство. Нисколько не важно, что формально это частная компания наших стратегических партнеров. Она резидент другого государства, там работают патриоты своей страны, и интересы своего государства для них будут всегда превыше коммерческих выгод. Отечественное это оборудование? Формально – да. Безопасное ли оно, можем ли мы ему доверять? На мой взгляд – вряд ли.
Другой пример. Есть у нас своя, отечественная, процессорная архитектура. Но процессоры на ней для гражданского применения изготавливаются в Юго-Восточной Азии. Отечественное это оборудование? Формально – нет. Можем ли мы ему доверять? В силу особенностей технологических процессов производства микропроцессоров – да. Операционные системы – еще один краеугольный камень. Ситуация с ними очень хорошо иллюстрирует относительную бессистемность подходов к импортозамещению. У нас, пожалуй, больше дистрибутивов операционных систем на базе Линукс, чем в любой другой стране мира. Они еще и используются почти все в государственных организациях. При этом контроль с позиции собственника, являющегося резидентом отечественной экономики, есть только у одной ОС. Остальные контролируются сообществами, контролируемыми кем угодно, только не нами. Это мы еще не затронули вопрос финансирования разработок, которого всегда не хватает, потому что финансы размываются на «тридцать» дистрибутивов, вместо аккумулирования на одном-двух для каждой области применения. Последний путь выбрал для себя «бедный» Китай, и он поступил очень правильно. Верю, что через три года этот подход действительно породит в КНР качественный дистрибутив для государственных нужд. Мы же будем с «тридцатью» перспективными недоделками.
А вот направление производства жестких дисков, например, в перспективе трех-пяти лет можно, по моему мнению, даже не начинать развивать. Не успеем. Проще сконцентрироваться и перейти сразу на твердотельные накопители в той же временной перспективе.
Примерно так, по-честному, без алчности и маркетинга нужно рассмотреть каждый компонент экосистемы. Руководствоваться следует истинным определением отечественных ИТ и гарантировать полный государственный контроль над технологиями. Стандартизация – еще одна краеугольная вещь, необходимая для обеспечения отечественной цифровой экосистемы доверенными разработками. Прежде всего, речь о криптографии и технологиях обеспечения безопасности. Уникальность нашей страны заключается в наличии собственной криптографической школы, и будет трагедией ее потерять, не обеспечив возможность всемирного применения российских стандартов.
Отдельно необходимо отметить важность качественного образования для инженеров, которое не только должно проходить в контексте системных инженерных знаний, превалирующих над навыками, но и проводиться на отечественных технологических решениях. Инженеры должны знать наши технологические решения лучше иностранных, привыкнуть к ним, стать их «миссионерами».
Таким образом, обеспечить отечественными доверенными технологиями экосистему цифрового государства можно. Но для этого надо системно связать образование, продвижение стандартов и отечественных технологий, точечное, стратегически выверенное импортозамещение и адресную, по отношению к технологиям, финансовую и рыночную поддержку. Только соединение всех составляющих в единый стратегический план позволит решить задачу обеспечения цифровой экосистемы доверенными программными и аппаратными средствами.
Интернет-портал «Безопасность пользователей в сети Интернет»
admin@safe-surf.ru
https://safe-surf.ru
