Перейти к основному содержанию

bavaria_seasonX_1200x120.gif


8380 просмотров

«Киберщит Казахстана» - защита не для всех

Эксперты, опрошенные «Къ», отмечают, что в госпрограмме «Киберщит Казахстана» красной нитью проходит одна мысль: государство никого, кроме себя защищать не должно

Госпрограмма «Киберщит Казахстана», предполагающая обеспечение информационной безопасности электронных ресурсов республики, напрямую будет защищать от кибератак только государственные системы. При этом для квазигосударственного и частного сектора будет создана конкурентная среда. Система должна заработать к концу текущего года, когда в стране будет запущен Национальный координационный центр информационной безопасности.

Новая парадигма защиты информационных ресурсов от киберугроз была представлена в ходе SOC (Security Operations Center) Forum «Практика противодействия кибератакам и построения центров мониторинга» в Астане. По словам заместителя председателя комитета по информационной безопасности министерства оборонной и аэрокосмической промышленности Казахстана Руслана Абдикаликова, государство с прошлого года старается «построить некую модель взаимодействия информационной безопасности с традиционным IT». Модель выстроилась быстро и легла в основу госпрограммы «Киберщит Казахстана», где красной нитью проходит одна мысль: государство в лице уполномоченного органа (в данном случае министерства оборонной и аэрокосмической промышленности) никого, кроме себя и своих информационных систем, защищать не должно, непосредственной защитой своих ресурсов должен заниматься собственник. При этом регулятор создает правила игры и условия, при которых на рынке появляется предложение такой защиты для частника и квазигосударственных структур. Которые тоже не попадут под финансируемый из бюджета «Киберщит», однако обязаны будут отвечать единым техническим требованиям информационной безопасности.

«Мы выбрали такую схему: в стране будет построен Национальный координационный центр по информационной безопасности, его построением занимается РГП «Государственная техническая служба» при КНБ. Мы ожидаем, что эта работа завершится к концу текущего года, соответственно, когда мы построим Национальный координационный центр, появится возможность мониторить госсистемы. Стоит вопрос – как быть с системами, которые находятся в квазигосударственном секторе, и с теми частными системами, которые станут критически важными в нашей стране?», – сказал Абдикаликов.

Критически важные системы, в число которых войдут многие ресурсы квазигосударственного сектора, будут обязаны либо заключать договоры на оказание возмездных услуг с казахстанскими аналогами Security Operations Center – Оперативными центрами информационной безопасности, либо создавать такие центры внутри своей структуры. При этом государство рассчитывает на то, что эти центры будут самостоятельными хозяйствующими субъектами, не привязанными к той или иной крупной компании: тогда эти структуры будут заинтересованы в постоянном совершенствовании и масштабировании своих услуг.

«Их основные задачи – осуществлять мониторинг, помогать избегать угроз, защищать объекты, с которыми у них есть непосредственно договор и, что самое важное, передавать информацию вышестоящей организации – в Национальный координационный центр. Соответственно, вот эти центры и будут основным подспорьем всего нашего бизнеса, который будет на них опираться. Их количество мы никак не лимитируем, мы считаем, что их должно быть максимально много, в зависимости от потребностей самого рынка и от готовности бизнеса вкладывать в это деньги», – подчеркнул Абдикаликов.

Информация от частных центров в национальный должна будет поступать в режиме онлайн и, если этот собирательный поток покажет головной структуре, что в Казахстане кибератакам подвергся не один и не два банка, а 10-15 финансовых учреждений, уполномоченный орган приступает к реализации антикризисного плана по преодолению угроз кибербезопасности. К слову, данный проект сейчас находится на рассмотрении правительства.

За «золотым периметром»

Простая схема, нарисованная регулятором: один координационный центр наверху и десятки (в перспективе) оперативных центров на местном уровне, вызвала много вопросов у участников рынка. Самый главный из них – насколько эта схема сможет обеспечить равный доступ всех к защите от киберугроз?

«Это же похоже на то, что вот в этой части города мы преступника будем отслеживать и наказывать, а кто живет на окраинах, те нанимайте сами охрану, – прокомментировал схему директор Центра анализа и расследования кибератак (ЦАРКА) Арман Абдрасилов. – Так тоже нельзя, должен быть механизм защиты тех, кто за золотым периметром находится», – заметил он.

Помимо этого, представитель руководства ЦАРКА подверг критике намерения регулятора сделать соответствие определенным требованиям информационной безопасности только госсистем и систем, определенных государством критически важными: получается, что ответственность за нарушение этих требований, распространится только на них. Владельцы остальных информационных систем могут безопасностью не заморачиваться, а примеры того, к чему может привести такой порядок вещей, по словам Абдрасилова, в Казахстане уже были.

«В прошлом году был нашумевший инцидент: взлом портала balans.kz, центральной тусовки бухгалтеров, и там украли и, как позже выяснилось, продавали на черном рынке учетные записи около 10 тысяч бухгалтеров, – напомнил директор ЦАРКА. – Чем закончилась история: наказание за ненадлежащее обеспечение безопасности составило в итоге штраф порядка 10 тысяч тенге. Это возвращает нас к вопросу – кого относить к критически важным структурам? Я понимаю, что магазин продуктов можно не регулировать, и пусть он несет риски сам, но если ты собираешь персональные данные, если ты большой почтовый сервис, будь добр соответствовать каким-то требованиям, которые регулятор должен выставить. И какая-то мера наказания должна быть – явно не 10 тысяч тенге. А тут данные утекли, их продавали, атакуют этих бухгалтеров или нет, не знаю, но вопрос забылся, а проблема осталась», – констатировал он.

В результате, считает эксперт, владельцы казахстанских инфосистем с большой неохотой будут соглашаться на статус критически важных ресурсов, к которым предъявляются повышенные требования по инфобезопасности. Поэтому, с точки зрения Абдрасилова, более правильным можно считать российский подход, когда регулятор не вступает с компанией в переговоры, а спускает ей сверху уведомление: «компания X, вы являетесь частью критически важной инфраструктуры и должны соответствовать требованиям, выставляемыми регулятором».

Правда, у таких уведомлений сверху есть другая сторона, о которой в ходе дискуссии на форуме рассказал эксперт по информационной безопасности Алексей Лукацкий.

«У нас в России такой указ сверху привел к тому, что любая сельская поликлиника является субъектом критической инфраструктуры, а также ломбарды и прочие мелкие предприятия, – заметил российский эксперт. По его мнению, в этой связи ему гораздо ближе позиция Руслана Абдикаликова, утверждающего, что регулятор не должен лезть в коммерческий сектор, потому что последний действует на свой страх и риск, это его головная боль, а регулятор должен выступать в роли скорее методолога, чем устанавливающего требования. «Другой вопрос, что стоимость услуг частного центра может оказаться недешевой для малой организации – и это проблема: у нас во всех отраслях сервисные компании стараются «стричь» с крупняка, а малые предприятия остаются при этих тарифах беззащитными, потому что у них нет денег, чтобы защититься», – добавил он.

Ободренный российской поддержкой зампред комитета по информационной безопасности пояснил, что для того министерство оборонной и аэрокосмической промышленности и хочет выводить оперативные Security Operations Center в рынок, отделяя их от нацкомпаний, чтобы их тарифы были посильными для всех. И, поскольку количество таких компаний на рынке государство ограничивать не намерено ничем, кроме естественных производственных требований к ним, регулятор рассчитывает на снижение тарифов благодаря повышенному предложению на этом рынке.

Хакеров забреют в киберрекруты

А вот в чем регулятор и ЦАРКА полностью сошлись, так это в том, что к обеспечению информационной безопасности нужно активно привлекать тех, кто формально ей угрожает: людей, способных выявлять бреши и уязвимости информационных систем. Тех, кого в просторечии называют хакерами. Как заявил г-н Абдикаликов, государство готово пойти на лицензирование таких спецов с тем, чтобы они «взломы» осуществляли вполне санкционированно, с целью выявления слабых мест, а не личного обогащения.

«Есть молодые ребята, которым интересно заниматься исследованиями в этой сфере, просканировать какой-то ресурс, выявить его уязвимость. Но по текущему законодательству это очень тонкая грань, когда можно подпасть под Уголовный кодекс, под 205 статью («Неправомерный доступ к информации». – «Къ») и сесть за это. Чтобы не отбить охоту у них этим заниматься, а наоборот, дать возможность им заниматься этим легально, мы и предусмотрели возможность лицензирования», – пояснил г-н Абдикаликов.

Лицензировать казахстанских хакеров при этом собираются не где-нибудь, а в КНБ – поскольку, по словам зампреда комитета по инфобезопасности, это «люди специфичные, как товар двойного назначения: с одной стороны – они могут принести пользу, с другой – нет гарантий, что они по чьему-нибудь заказу не сделают что-нибудь противоправное».

«Мы таких людей должны знать и понимать, что они делают, и дать им возможность легально заработать. И это больше надо не нам, регулятору, а правоохранительным и специальным органам. Это так же экспертный пул, который они могут привлекать потом при расследовании высокотехнологичных правонарушений. Вот для этого мы и хотели вывести этих людей в правовое поле», – заключил г-н Абдикаликов.

А директор ЦАРКА признался, что именно его структура была инициатором этой нормы.

«Под Робингудами подразумевались, видимо, мы, ЦАРКА, и наши публикации в соцсетях, – пояснил г-н Абдрасилов. – Но мы сейчас просто загнаны в угол, потому что имеется порочный круг: мы часто пишем об уязвимости нашего любимого электронного правительства, но так и не смогли достучаться до владельца этого ресурса – НИТ «Зерде», который формально проводит аудит. И люди, которые видят, что уязвимости есть, а формально их нет, потому что есть замечательный отчет, оказываются в ситуации из сказки, где все видят, что король голый, но сказать об этом вслух – значит нарушить закон».

Лицензировать «кибер-разбойников», по словам Абдрасилова, начнут с конца года, после введения в эксплуатацию Национального координационного центра.


1 просмотр

МИИР РК: Авиасообщение между Астаной и Нью-Йорком смогут открыть только американские авиакомпании

Казахстанские компании не смогут обслуживать рейсы в США до 2021 года

Фото: shutterstock.com

Открыть прямое регулярное авиасообщение между Астаной и Нью-Йорком в текущем году смогут лишь американские авиакомпании, сообщил первый вице-министр индустрии и инфраструктурного развития Роман Скляр.

«По поручению главы государства в текущем году будет установлена правовая база для осуществления полетов в США. На сегодняшний день уже существует правовая база между Казахстаном и Японией, которая позволяет открытие регулярных рейсов между нашими странами с частотой до 14 рейсов в неделю. В этом году будут проработаны вопросы оказания государственной поддержки отечественной авиакомпании для открытия таких рейсов в Японию и США», - сказал он на коллегии министерства индустрии и инфраструктурного развития 21 февраля.

«Касательно вопроса организации рейсов в Японию и США сроки какие рассматриваются? Глава государства на заседании правительства 30 января поставил задачу. Понятно, что рейсы на первом этапе могут быть убыточными, вопрос субсидирования этих маршрутов будет рассматриваться и решаться. Какие сроки рассматриваете сейчас?», - спросил у него первый вице-премьер Аскар Мамин.

Скляр ответил, что институциональной поддержкой станут соответствующие изменения в законодательство о транспорте, которые 13 марта должны быть во втором чтении рассмотрены мажилисом парламента.

«Мы сейчас подготовим пакет документов именно для субсидирования международных рейсов. С Японией, как я сказал, соглашение подписано и во втором полугодии текущего года мы планируем открыть авиарейс в Японию», - сказал он.

Также Роман Скляр уточнил, что «Эйр Астана» пока не сможет обслуживать рейсы в США, т.к. компания и комитет гражданской авиации РК должны пройти аудит авиационных властей США на соответствие критериям безопасности. По словам чиновника, процедура занимает длительное время – порядка двух лет.

«Когда ожидается?», - вновь Мамин.

«Япония в этом году. США нашими авиакомпаниями - в 2021 году», - ответил Скляр.

«А если привлечь американские компании?», - уточнил Мамин.

«Если будет американская компания, то правовая основа у нас будет - уже в марте мы подписываем с ними соглашение, то в текущем году американские компании могут осуществлять перевозки», - сказал Скляр.

Мамин попросил главу «Эйр Астаны» Питера Фостера подтвердить данную информацию, на что тот ответил «да».

«Я могу подтвердить информацию, предоставленную господином Скляром. Процесс действительно долгий. В частности получение одобрения именно департамента внутренней безопасности США, процесс получения одобрения со стороны департамента гражданской авиации намного проще, но именно аудит в части безопасности займет определенное время», - сказал Фостер.

Вместе с тем, отметил Фостер, что процесс уже начат.

«Что касается рейсов в Нью-Йорк, то на данный момент рассматривается вариант выполнения этих рейсов через промежуточный пункт, что также потребует подписания дополнительного соглашения о коммерческих перевозках, но если все будет по плану, то уже на следующий год пока предварительно планируем начать выполнение полетов (из РК транзитом в США). В конце следующего года «Эйр Астаной», если успешно будет подписано соглашение о коммерческих перевозках через транзитный пункт», - сказал он.

По его словам, необходимо оказать поддержку в подписании соглашения о коммерческих перевозках в США через транзитный пункт.

Помимо прочего представитель МИИР РК сообщил, что в сфере гражданской авиации РК в 2018 году сохранились положительные темпы роста пассажиропотока - число перевезенных пассажиров выросло до 7,8 млн человек или на 7% (2017 год - 7,4 млн человек). За прошлый год количество транзитных пассажиров увеличилось на 45% с 620 тыс. до 900 тыс. чел.

Успешный опыт 72-часового безвизового режима для граждан Китая, с 2018 года применяется и для граждан Индии, следующих транзитом через Казахстан.

«По итогам 2019 года общий объем транзитных пассажиров составит 1,2 млн человек», - заявил Скляр.

По его словам, наблюдается устойчивое развитие в области международных перевозок. Если в 2013 году полеты выполнялись по 73-м направлениям, то уже в 2018 году увеличились до 96. Только в 2018 году казахстанскими и иностранными авиакомпаниями открыто 14 новых авиасообщений. В настоящее время, в Казахстан регулярные международные пассажирские рейсы выполняют 23 иностранные авиакомпании.

«Необходимо отметить, положительные результаты аудита ИКАО по авиационной безопасности. Уровень соответствия стандартам ИКАО в Казахстане составил 83%, что превышает на 11% значение среднемирового уровня (72%)», - сказал Скляр.

Читайте нас в TELEGRAM | https://t.me/kursivkz

Вопрос дня

Архив опросов

Министерство информации и коммуникаций РК ужесточает правила аккредитации журналистов в освещении мероприятий. Как Вы думаете, почему они это делают?

Варианты

Цифра дня

2%
годовых
составит ставка по ипотеке для многодетных и неполных семей

Цитата дня

Я, как президент и гарант Конституции, учитывая интересы нашего народа, принимаю следующее решение. Считаю, что Правительство должно уйти в отставку. Новое руководство Правительства должно выработать действенные шаги по повышению уровня жизни, стимулированию экономики, реализации стратегических задач

Нурсултан Назарбаев
президент Казахстана

Спецпроекты

Биржевой навигатор от Freedom Finance

Биржевой навигатор от Freedom Finance


KAZATOMPROM - IPO уранового гиганта
Новый Курс - все о мире инвестиций

Новый Курс - все о мире инвестиций
Новый Курс - все о мире инвестиций

Home Credit Bank

Home Credit Bank