Автор: Евгений Баклушин, начальник отдела УЦСБ Нестабильная геополитическая ситуация и постоянное развитие IT-технологий и инструментов способствуют постоянному росту киберпреступлений (в том числе кибертерроризма) против критических информационных инфраструктур государств (далее – КИИ).
Дополнительное влияние оказывает постоянное появление новых тактик и приемов реализации угроз злоумышленниками.
В связи с этим все более актуальным становится сотрудничество между государствами и международное бизнес-сотрудничество в борьбе с киберпреступностью в отношении КИИ и совершенствовании систем и средств защиты КИИ.
Перспективным направлением в этой области мог бы стать обмен опытом предотвращения, устранения и предотвращения последствий компьютерных атак.
Учитывая влияние внешних обстоятельств и изменение геополитической ситуации, Азия становится основным вектором сотрудничества.
При этом Китай и обе Кореи достаточно независимы и закрыты внутри себя, а Япония активно взаимодействует с западным альянсом.
Таким образом, наиболее перспективным является взаимодействие (объединение) с глобальным ИТ-хабом или «новым информационным чудом» – Индией.
В этой статье мы рассмотрим ситуацию с защитой CII в Индии и чем она отличается от ситуации в России.
Определение
В соответствии с ИТА-2000 в Индии КИИ — компьютерный ресурс, выход из строя или уничтожение которого оказывает пагубное влияние на национальную безопасность, экономику страны, жизнь и здоровье граждан.Можно отметить, что несмотря на различия в буквальном сравнении определений в законах Индии и России, смысловая нагрузка не различается.
Особенность заключается в том, что определение организации как субъекта КИИ осуществляется не самой организацией, а Национальным центром защиты критической информационной инфраструктуры (можно сказать, что это российские НКЦКИ и ФСТЭК в закатке).
один).
Еще одним заметным отличием в этом вопросе является дата введения.
В Индии определение CII было законодательно закреплено в 2014 году, а в России это произошло только в 2017 году.
Здесь индийцы нас опережают, но об этом мы поговорим позже.
Сферы деятельности
Вот тут-то и начинаются различия.Если российское законодательство определяет 13 сфер деятельности субъектов КИИ, то в Индии их всего 6, а именно:
- энергия;
- финансовый сектор;
- телекоммуникации;
- транспорт;
- правительство;
- промышленность.
В России есть требования защиты государственные информационные системы , но не все из них являются объектами CII. В Индии включение «правительства» в сферы деятельности КИИ может быть связано со значительно большей численностью населения и большим количеством многомиллионных городов в Индии, чем в России.
Второе – «отраслевое» объединение.
Если у нас сферы деятельности в этом направлении делятся на химическую, металлургическую и так далее, то в Индии все это объединено в одно направление.
В-третьих, в индийском законодательстве нет упоминания о науке и здравоохранении, которые мы выделяем отдельно.
Более того, в России в сфере здравоохранения активно разрабатываются внутренние руководства, рекомендации и различные инструкции по защите КИИ.
Категории и профили
В отличие от российского законодательства, в Индии объектам CII присваивается профиль (высокий риск, средний риск, низкий риск).При этом ее оценка носит крайне общий характер и фактически носит субъективный характер.
Что это значит? Индийское законодательство не содержит критериев, по которым субъект ИКИ мог бы наиболее правильно рассчитать и определить профиль своих объектов.
Здесь, несмотря на все противоречия, гораздо более применимым на практике выглядит Постановление Правительства РФ от 08.02.2018 № 127-ПП.
Законодательство
Сегодня индийское законодательство в сфере защиты CII содержит следующий перечень:- Закон «Об информационных технологиях» от 09.06.2000 г.
( ИТА-2000 ). - Национальная политика кибербезопасности 2013 г.
. - Рекомендации по защите CII от 16.01.2015.
- И несколько небольших рекомендаций по реагированию на инциденты.
Положительный:
- Раннее начало.
Фактически с 2013 года в Индии началось активное развитие тематики CII. Как мы уже говорили, индийцы гораздо раньше определились с концепцией CII и сферами деятельности субъектов.
- Особое место для SCADA-систем.
Если в российском законодательстве об объектах КИИ и приоритетном использовании встроенных механизмов защиты говорится в общих чертах, то в индийском законодательстве постоянно упоминаются SCADA-системы как ключевой момент защиты промышленных систем.
Однако в индийском законодательстве четко указано, что многие предприятия используют устаревшее оборудование, в связи с чем необходимо применять компенсирующие меры, такие как анализ сетевого трафика, обнаружение аномалий и другие.
- Поощрение использования лучших практик для защиты CII. Все индийские документы, брошюры, руководства содержат позицию правительства по поощрению использования стандартов ISO, NIST и других передовых практик по защите CII. Причем это поддерживается не только на уровне слов, но и материально (льготные кредиты, субсидии и т. д.).
- Александровские дни — прекрасное начало.
В каком-то смысле сферу защиты КИИ в Индии можно сравнить со знаменитой линией Пушкина.
Несмотря на то, что индийцы начали разрабатывать этот вопрос заметно раньше, чем Россия, затем начался застой.
С 2015 года перестали обновляться основные законодательные акты, а с 2017 года перестали обновляться рекомендации по защите КИИ.
Обновленная версия Стратегии национальной безопасности, содержащая положения о защите КИИ, включая ее проект, так и не была создана.
Кстати, отраслевые стандарты тоже никто не трогал.
- Поверхностность.
Все требования, как по категоризации объектов CII, так и по обеспечению их защиты, — высшего уровня.
Они не содержат никакой глубины и при первой же возможности говорят: «Делайте по лучшим практикам (ISO, NIST и т. д.)».
Ответственность
Естественно, как и в России, в Индии установлена ответственность за нарушение функционирования CII или его объектов.Системы ответственности Индии и России, несомненно, различаются:
- Первый.
В России ответственность за нарушения функционирования или состояния безопасности КИИ и его объектов закреплена в Кодексе об административных правонарушениях (ст. 13.12 , 13.12.1 , 13.13 , 19.7.15 ) и Уголовного кодекса (ст. 274.1 , 293 ).
В Индии ответственность по CII устанавливается непосредственно в ИТА-2000 .
- Соответственно, отсюда следует второе отличие.
Если в России за некоторые правонарушения предусмотрены только денежные штрафы, то в Индии все статьи предусматривают возможное тюремное заключение.
В этой части индусы жестче нас.
Это касается и денежных штрафов, которые, как правило, выше российских.
- Третье отличие состоит в том, что в Индии правонарушением считаются только целенаправленные попытки нарушения функционирования CII, тогда как в России предусмотрена ответственность за несоблюдение нормативных требований или за халатность.
Вот несколько примеров ответственности по индийскому законодательству:
- статья 66 – взлом компьютерной системы – лишение свободы на срок до 3 лет и/или штраф до 500 000 рупий;
- Статья 66F за совершение акта кибертерроризма, что означает получение незаконного доступа к защищенной системе или ввод данных в систему, нарушающих ее функционирование, с намерением поставить под угрозу единство, целостность, суверенитет или безопасность Индии — пожизненное тюремное заключение.
Россия и Индия
Несмотря на то, что в начале статьи мы выделили взаимодействие с Индией как наиболее перспективный вектор, сегодня оно не находится в нулевой точке.Ассоциация была создана в июне 2006 года.
БРИК (позже БРИКС), членами которого являются Россия и Индия.
В рамках данной структуры анонсируется сотрудничество стран-участниц по различным направлениям, в том числе по обеспечению международной информационной безопасности и противодействию использованию IT-технологий в военно-политических, террористических и криминальных целях, а также целям, противоречащим обеспечению международного мира, стабильность и безопасность.
Далее по итогам V саммита БРИКС в сентябре 2017 года была подтверждена необходимость сотрудничества в сфере информационной безопасности.
Результатом стала «дорожная карта», включающая сотрудничество по следующим направлениям:
- создание сети сотрудничества между национальными центрами реагирования на компьютерные инциденты;
- углубление практического сотрудничества между ведомствами, ответственными за ИТ-безопасность;
- проведение совместных исследований и разработок в области информационной безопасности.
Россия и Индия заключили соглашение.
Соглашение о сотрудничестве в области информационной безопасности .
Данное соглашение определяет общие принципы и механизмы сотрудничества, основные угрозы информационной безопасности, а также направления сотрудничества, среди которых можно выделить следующие:
- сотрудничество в области исследований и разработок в области информационной безопасности;
- разработка совместных мер по обеспечению безопасности КИИ;
- обмен опытом выявления, предотвращения и ликвидации последствий компьютерных атак.
В цели и задачи ШОС также входит укрепление сотрудничества между государствами в сфере противодействия кибертерроризму с использованием IT-технологий и обеспечения безопасности критически важных инфраструктур.
Спустя 4 года, 6 декабря 2021 года, в Нью-Дели состоялись переговоры Президента Российской Федерации Владимира Путина и Премьер-министра Индии Наренды Моди.
По итогам встречи в число публичных заявлений вошли те, которые имеют непосредственное отношение к теме данной статьи:
- Россия и Индия расширят сотрудничество в сфере информационной безопасности, включая защиту КИИ ;
- Россия и Индия будут сотрудничать для совместной разработки программного обеспечения, платформ и сервисов .
Заключение
Необходимость сотрудничества между государствами, в частности между Россией и Индией, в борьбе с киберпреступностью и защите КИИ становится с каждым днем все более актуальной.К счастью, это видят не только автор(ы) данной статьи, но и официальные лица обеих стран, поэтому уже сегодня можно наблюдать дружеское заимствование практик и методик защиты информации и предотвращения компьютерных атак.
При этом перспективы развития сотрудничества между странами могут и должны выражаться в сотрудничестве бизнеса стран в таких сферах, как:
- координация между ИБ-компаниями России и Индии по вопросам противодействия компьютерным атакам, проектирования и разработки средств и систем информационной безопасности;
- координация российских компаний-экспертов в области информационной безопасности с промышленными предприятиями Индии по вопросам противодействия компьютерным атакам и обеспечению защиты КИИ.
Теги: #информационная безопасность #информационные технологии #сигналы
-
Он-Лайн Трансляция Форума Positive Hack Days
19 Oct, 24 -
Ibm Выпускает Социальные Сети Для Офиса
19 Oct, 24
