Стратегия кибербезопасности Эстонии 2014-2017

СТРАТЕГИЯ КИБЕРБЕЗОПАСНОСТИ ЭСТОНИИ 2014-2017
Министерство экономики и коммуникаций
ВВЕДЕНИЕ
Стратегия кибербезопасности 2014-2017 – это основной документ для планирования Кибербезопасности Эстонии и часть общей стратегии безопасности Эстонии. Стратегия освещает важные недавние достижения, оценивает угрозы кибербезопасности Эстонии и содержит перечень мероприятий для борьбы с этими угрозами. Настоящая стратегия продолжает реализацию многих целей, которые были заложены в Стратегии кибербезопасности 2008-2013; но она также дополнена новыми угрозами и потребностями, которые не были предусмотрены в предыдущей стратегии.
1. АНАЛИЗ ТЕКУЩЕЙ СИТУАЦИИ
1.1. Прогресс в сфере кибербезопасности
В 2009 г. в рамках Комитета по вопросам безопасности при Правительстве Республики был создан Совет по кибербезопасности, основная задача которого заключается в развитии стратегического уровня сотрудничества между различными ведомствами и контроле за реализацией целей Стратегии кибербезопасности.
В 2010 г. по решению Правительства Республики Центру Информатики Эстонии был присвоен статус правительственного органа. Переименованное Ведомство Эстонии по работе информационных систем (Riigi Infosiisteemi Amet – далее именуемое RIA) получило дополнительные полномочия и ресурсы для организации защиты государственной информационной и коммуникационной инфраструктуры (далее именуемой ICT) и осуществления контроля за безопасностью информационных систем. В целях организации защиты инфраструктуры Департамент по защите ключевой информационной инфраструктуры (далее именуемый CIIP) был сформирован в рамках RIA. В начале 2010 г. RIA начало реализацию проекта по составлению карт мест расположения ключевой информационной инфраструктуры (далее именуемой CII), который определяет зависимость ключевых услуг от информационных систем. На основе картирования были разработаны требования безопасности, необходимые для функционирования государства. В 2011 г. была сформирована комиссия CIIP для развития государственно-частного сотрудничества. Цель комиссии, которая объединяет менеджеров по кибербезопасности и менеджеров IT из служб жизнеобеспечения, состоит в обмене оперативной информацией, выявлении проблем и разработке предложений по улучшению кибербезопасности ключевой инфраструктуры страны.
В 2012 г. отделы Департамента полиции и погранохраны (далее именуемые PBGB) по расследованию киберпреступлений были объединены в один департамент. Кроме того, должностные лица, ответственные за выявление киберпреступлений и работу с электронными доказательствами в различных подразделениях префектур, были объединены в службы по расследованию киберпреступлений и обработке электронных доказательств, которые стали действовать в префектурах в 2013 г. PBGB также были привлечены к повышению осведомленности о киберугрозах, что привело к учреждению должности веб-констеблей. Задача веб-констебля заключается в повышении осведомленности о безопасности интернета и защите детей и молодежи онлайн. Служба внутренней безопасности Эстонии совершенствовала свои возможности по ведению расследований в целях предотвращения угроз национальной безопасности, включая кибератаки и шпионаж.
Создание Киберподразделения в рамках Эстонской Лиги Обороны (далее именуемые EDL CU), которое произошло в результате сотрудничества между государством, частным сектором и третьим сектором, стало инструментом обеспечении национальной обороны. Опыт волонтеров EDL CU применяется для улучшения безопасности информационных систем эстонских государственных органов и компаний с помощью проведения координированных занятий, тестирования решений, обучения и т.п. EDL CU также может привлекаться для поддержки гражданских институтов и защиты ключевой инфраструктуры в кризисной ситуации. Проведение занятий по внутренней и международной кибербезопасности также сыграло важную роль в развитии и оценке потенциала кибербезопасности. В 2012 году были проведены учения подразделений по киберзащите, разработанные Правительством Республики, “Cyber Fever» и учения НАТО по урегулированию кризисных ситуаций CMX 2012. Каждый год в Эстонии проводятся учения Экспертного центра НАТО по совместной киберзащите (NATO CCD COE) «Locked Shields» (Сомкнутые щиты). Начиная с 2013 г. в Эстонии также проходят учения НАТО по киберзащите «Cyber Coalition» («Киберкоалиция»). Силы обороны также создали площадку для проведения учений по киберзащите «Cyber Range». Range используется для проведения вышеупомянутых учений по киберзащите, организации внутренних учений и учений, разработанных университетами.
В сфере кибербезопасности основной организацией, ответственной за проведение учений и повышение осведомленности, является Фонд развития образования в сфере информационных технологий (далее именуемый HITSA), ранее известный как Фонд «Прыжок тигра». HITSA проводит обучение среди детей дошкольного возраста и среди школьников, а также привлекает к процессу родителей и учителей. В 2013 г. был запущен проект государственно-частного партнерства, направленный на повышение навыков и осведомленности о безопасности среди пользователей, разработчиков и продавцов смарт-устройств. При сотрудничестве между Таллиннским Университетом Технологий (TUT) и Тартуским Университетом в 2009 г. была открыта международная программа магистратуры в сфере кибербезопасности, и каждый код к этой программе присоединяются 50 студентов. В 2014 г. TUT совместно с Эстонским центром 2CENTRE открыл программу магистратуры в сфере цифровой криминалистике. Эстонский Экспертный центр в сфере киберпреступности 2CENTRE является частью экспертных центров Европейского Союза 2CENTRE, профессионалы которых проходят обучение по борьбе с киберпреступностью.
Эстония успешно развивала сотрудничество с другими странами, продвинутыми в сфере ICT, и международными организациями в сфере кибербезопасности. Активную роль в разработке политики в сфере кибербезопасности сыграло создание в Эстонии Экспертного центра НАТО по совместной киберзащите. Эстония способствовала развитию кибербезопасности, присоединившись к политике НАТО и Европейского Союза, и интересы других стран по отношению к Эстонии в сфере кибербезопасности значительно возросли. Сотрудничество в сфере кибербезопасности успешно развивалось на региональном уровне между странами Северной Европы и Балтийскими странами, а также с другими стратегическими партнерами и странами-единомышленниками. Эстония также участвует в более новых формах сотрудничества – Онлайн коалиции «Свобода», Группе правительственных экспертов ООН, неофициальной рабочей группе ОБСЕ по разработке мер по укреплению доверия к киберпространству и т.п.
1.2. Tенденции
Постоянное стремительное развитие информационных и коммуникационных технологий, глобализация, существенное увеличение объема данных и растущее количество различных видов оборудования, связанного с сетями передачи данных, влияют на повседневную жизнь, экономику и функционирование государства. С одной стороны, такой уровень развития ICT улучшит доступность услуг, повысит прозрачность и участие граждан в управлении и сократит расходы государственного и частного сектора. С другой стороны, растущая важность технологий сопровождается растущей зависимостью государства от уже используемых электронных решений и укрепляет ожидания бесперебойной работы технологий. Кроме того, интернет становится все более доступным, количество пользователей продолжает расти, а вместе с новыми технологическими решениями и услугами – такими как «интернет вещей» и облачные вычисления – растет количество потенциальных направлений атак и сложность атак.
Социальные процессы также становятся все более зависимыми от растущего количества ресурсов информационных технологий, и в будущем необходимо учитывать, что общество, в целом, и каждый человек, в частности, будет способен контролировать соответствующие процессы. В противном случае, существует потенциал для снижения информационными технологиями роли человека в принятии решения, и процессы могут стать саморегулирующимися (технологическая сингулярность).
Основную угрозу представляет киберпреступность, и ее рост отражает развитие навыков киберпреступников и развивающиеся возможности осуществлять организованные атаки. Неотъемлемой частью расследования является сбор и обработка электронных доказательств, которые связаны с новыми вызовами для компетентности полиции в сфере цифровой криминалистики.
Национальная кибербезопасность зависит от игроков, действующих в киберпространстве с их различными навыками, целями и мотивацией. Часто сложно определить различия между игроками или их отношение к национальным или международным организациям. Количество государственных игроков киберпространства, вовлеченных в кибершпионаж, нацеленный на компьютеры, подсоединенные к интернету и закрытым сетям, продолжает расти, при этом их цель заключается в сборе информации о национальной безопасности и экономических интересах. Количество и активность государств, способных осуществить кибератаки, продолжает расти.
Помимо повышения активности государственных игроков, растут возможности политически мотивированных лиц и групп с ограниченными средствами, использующих для организации их деятельности социальные сети и провоцирующие сбой работы служб и других видов атак.
Эффективное сотрудничество между государственным и частным сектором в развитии организации кибербезопасности, а также предотвращении и борьбы с киберинцидентами неизбежно. Национальная оборона и внутренняя безопасность зависят от инфраструктуры и ресурсов частного сектора, при этом государство может помогать поставщикам средств жизнеобеспечения и гарантам национальной ключевой информационной инфраструктуры в качестве координатора различных интересов.
1.3. Проблемы
Основные риски кибербезопасность обусловлены растущей зависимостью государства, экономики и населения от ICT инфраструктуры и электронных сервисов. Поэтому основные вопросы, на которые нацелена Стратегия кибербезопасности, следующие: обеспечение служб жизнеобеспечения, более эффективная борьба с киберпреступностью и развитие потенциала национальной обороны. Дополнительные мероприятия включают: разработку законодательной базы, продвижение международного сотрудничества и коммуникаций, повышение осведомленности и обеспечение профессионального образования, а также разработку технических решений.
В случае служб жизнеобеспечения возникла взаимозависимость информационных технологий на международном уровне, а обеспечение их безопасности больше не зависит только от сторон, находящихся в Эстонии. Эстонское государство не располагает возможностями для эффективного контроля за оказанием услуг за пределами Республики Эстония. Все службы жизнеобеспечения должны быть документально оформлены, должны быть разработаны их альтернативы и достигнута оперативная готовность для осуществления их деятельности. Защита данных и информационных систем, необходимых для функционирования общества, должна обеспечиваться как государственным, так и частным сектором. Необходимо обеспечить своевременное выявление и реагирование на киберугрозы государству, обществу и индивиду.
Киберпреступность подрывает функционирование экономического пространства, снижает доверие к цифровым услугам и, в худшем случае, может привести к потере жизни. Для предотвращения, выявления и сдерживания киберпреступности необходим компетентный персонал и современные технические инструменты.
Для обеспечения национальной обороны в киберпространстве гражданские власти должны распределять гражданские и военные ресурсы, а также взаимодействовать с иностранными партнерами. В дополнение к обычной военной обстановке при планировании национальной обороны необходимо учитывать киберпространство.
Для предотвращения и сдерживания угроз будущей безопасности необходимо постоянно развивать сферу кибербезопасности, связанную с ноу-хау, и инвестировать в технологии. Для создания и экспорта надежных и конкурентоспособных технологических решений необходима реализация прогрессивной системы закупок, а знания и ресурсы, полученные от этого процесса, должны быть реинвестированы в инновационные решения.
В качестве дополнительных мер для решения вышеизложенных проблем необходимо разработать современное законодательство. На международном уровне необходимо обеспечить сохранение свободного и безопасного киберпространства, а также центральную роль Эстонии в рамках международных организаций при разработке политики международной кибербезопасности.
2. ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ КИБЕРБЕЗОПАСНОСТИСТЬ
1. Кибербезопасность является неотъемлемой частью национальной безопасности, она поддерживает функционирование государства и общества, конкурентоспособность экономики и инноваций.
2. Кибербезопасность гарантируется посредством уважения основных прав и свобод и защиты личной информации.
3. Кибербезопасность обеспечивается на основе принципа пропорциональности с учетом существующих и потенциальных рисков и ресурсов.
4. Кибербезопасность обеспечивает посредством координации и сотрудничества между государственным, частным и третьим секторами с учетом взаимозависимости существующей инфраструктуры и услуг в киберпространстве.
5. Кибербезопасность начинается с индивидуальной ответственности за безопасное использование инструментов ICT.
6. Основной приоритет обеспечения кибербезопасности — это предупреждение и предотвращение потенциальных угроз и эффективная борьба с возникшими угрозами.
7. Кибербезопасность опирается на комплексные и конкурентоспособные на международных рынках научные разработки.
8. Кибербезопасность обеспечивается посредством международного сотрудничества с союзниками и партнерами. Через сотрудничество Эстония поддерживает глобальную кибербезопасности и развивает собственный опыт.
3. ОБЩИЕ ЦЕЛИ СТРАТЕГИИ НА 2017 ГОДENERAL OBJECTIVE OF THE СТРАТЕГИЯ FOR 2017
Визия:
Эстония способна обеспечить национальную безопасность и поддерживать существование открытого и безопасного общества.
Общая цель:
Четырехлетняя цель стратегии по кибербезопасности – увеличить потенциал по обеспечению кибербезопасности и повысить осведомленность населения о киберугрозах, обеспечивая таким образом уверенность в киберпространстве.
4 ПОДЦЕЛИ
Подцель 1: Обеспечить защиту информационных систем, лежащих в основе служб жизнеобеспечения
Функционирование эстонского государства и общества, экономическое и социальное благосостояние каждого человека, их жизнь и здоровье все больше зависят от безопасности систем и служб. Одна из основных целей стратегии заключается в описании методов обеспечения бесперебойной работы и устойчивости служб жизнеобеспечения, а также в защите ключевой информационной инфраструктуры от киберугроз.
1.1. Обеспечить для важных служб альтернативные решения
Национальная ICT инфраструктура и электронные сервисы постоянно обновляются и настраиваются. Сюда относится система альтернативных решений, которая используется в случаях нарушения нормального функционирования ICT инфраструктуры и электронных сервисов.
1.2. Управление взаимозависимостью важных служб
Регулирование существенной взаимозависимости между службами осуществляется на современном уровне, оценка степени влияния взаимозависимости на функционирование служб осуществляется своевременно, а связанные риски систематически оцениваются. Информация о влиянии на важнейшие службы, поступающая из-за пределов Республики Эстония, регулярно обновляется, оценка степени ее влияния на функционирование служб осуществляется своевременно, и связанные риски систематически снижаются.
1.3. Обеспечение безопасности ICT инфраструктуры и служб
Информационная и коммуникационная инфраструктура защищена от современных угроз. Важные данные хранятся и обрабатываются в защищенных центрах хранения данных, и, помимо прочего, данные также могут безопасно храниться за границей. Информационные системы, необходимые для функционирования государства и служб жизнеобеспечения должны разрабатываться и управляться в порядке, который учитывает риски для безопасности и предоставляет средства управления рисками.
1.4. Преодоление киберугроз для государственного и частного сектора
Риски, связанные с информационными технологиями, будут оцениваться и измеряться квалифицированным персоналом, которому доступны различные методологии, обучающие возможности и другие ресурсы. Невовлеченные районы документально фиксируются, и разрабатываются соответствующие программы повышения осведомленности.
1.5. Внедрение национальной системы контроля в сфере кибербезопасности
В целях своевременного выявления и преодоления киберугроз, возникших в отношении государства, общества и человека, внедряется национальная система комплексного контроля, анализа и отчетности.
1.6. Обеспечение целостности цифровых ресурсов государства
Электронные сервисы, процессы и информационные системы (включая цифровые регистры доказательных ценностей), которые необходимы для обеспечения целостности цифровых ресурсов государства, постоянно обновляются и документально фиксируются, и они обеспечены зеркальными и дублирующими альтернативами. Виртуальные посольства обеспечат функционирование государства, без нарушения территориальной целостности Эстонии.
1.7. Продвижение международного сотрудничества в сфере защиты инфраструктуры особо важной информации
Защита ключевой информационной инфраструктуры укрепляется посредством участия в работе международных организаций, представительства в группах партнеров и союзников и стимулирования профессионального развития экспертов.
Подцель 2: Совершенствование борьбы с киберпреступностью
Экономический ущерб от киберпреступность снижает доверие к цифровым услугам и, в худшем случае, может привести к потере жизни. Повышенная осведомленность общества о рисках кибербезопасности помогает предотвратить киберпреступления. Повышенная осведомленность достигается путем рассмотрения вопросов, связанных с киберпространством, на всех уровнях образования и информирования людей на основании исследований и анализа безопасных моделей поведения.
2.1. Обеспечение выявления киберпреступности
В целях повышения эффективности выявления киберпреступлений и преследования существующая система правоохранительных органов и организация ее работы должно продолжать совершенствоваться, количество персонала, работающего с киберпреступлениями, будет увеличиваться, и будут развиваться возможности органов, проводящих расследования, по обработке цифровых данных. В целях развития потенциала налаживается сотрудничество между университетами и международными экспертными центрами.
2.2. Повышение общественной осведомленности о киберрисках
В целях повышения уровня осведомленности игроков, действующих в киберпространстве, уделяется внимание реализации мер, направленных на предотвращение кибер-угроз и распространяющих информацию, необходимую для идентификации и эффективного реагирования на инциденты. Пользователей электронных сервисов призывают к использованию более безопасных решений и информируют о новых технологиях и безопасном использовании этих решений.
2.3. Развитие международного сотрудничества в борьбе с киберпреступностью
В целях достижения более эффективного и своевременного выявления киберпреступлений на международном уровне улучшается процесс обмена информацией между странами. Активное участие в различных инициативах и проектах, которые являются частью международной борьбы с киберпреступностью.
Подцель 3: Развитие национального потенциала в киберобороне
Гражданское, военное и международное сотрудничество, основанное на ресурсах, которые находятся в распоряжении государства, также должно распространяться на киберпространство – и заключаться в предупреждении, сдерживании и активной обороне.
3.1. Синхронизация военного планирования и подготовка к гражданским чрезвычайным ситуациям
Всеобъемлющая национальная оборона требует координации оперативных планов поставщиков услуг жизнеобеспечения со сценариями национальной обороны.
3.2. Развитие коллективной кибер-защиты и международного сотрудничества
В целях обеспечения коллективной обороны в рамках международного пространства совершенствуется обмен информацией и сотрудничество с НАТО, органами Европейского Союза и другими партнерами. Прилагаются усилия для создания и развития совместного с НАТО потенциала в сфере кибербезопасности, стандартов и возможностей обучения.
3.3. Развитие военного потенциала в сфере киберобороны
Развитие военного потенциала в сфере киберобороны приведет к созданию потенциала киберобороны в качестве комплексной обороны. Последнее будет обеспечиваться посредством привлечения специалистов из Оборонных сил и Эстонской Лиги Обороны, а также других профессионалов государственного и частного сектора.
3.4. Обеспечение высокого уровня осведомленности о роли кибербезопасности в обеспечении национальной обороны
В целях повышения уровня осведомленности о рисках кибербезопасности в сфере национальной обороны проводятся дополнительные учения для персонала сферы.
Подцель 4: Эстония борется с угрозами кибербезопасности
В целях поддержания и совершенствования своего потенциала в сфере кибербезопасности Эстония будет адаптировать независимые решения в сфере кибербезопасности, которые связаны с обучением в сфере кибербезопасности, научными разработками и предпринимательством. В целях обеспечения рациональности решений государство действует в качестве смарт подрядчика и поддерживает экспорт решений по кибербезопасности.
4.1. Подготовка следующего поколения профессионалов в сфере кибербезопасности
В целях подготовки следующего поколения профессионалов в сфере кибербезопасности должны быть созданы возможности для дополнительного образования, как в форме высшего образования, так и в форме курсов повышения квалификации. Будут проводиться мероприятия для повышения количества студентов, получивших степень магистра в сфере кибербезопасности, и повышения количества диссертаций по кибербезопасности. Для обучения будут привлекаться иностранные лекторы и профессионалы.
4.2. Развитие смарт проектирования решений по кибербезопасности
В целях создания безопасных решений государство должно поддерживать научные разработки в сфере кибербезопасности. Необходимо учредить наблюдательный совет для координации соответствующей деятельности и объединения сфер национальной обороны, безопасности, экономического и научного развития.
4.3. Поддержка развития предприятий, обеспечивающих кибербезопасность, и решений национальной кибербезопасности
В целях поддержания безопасных решений государство должно поддерживать экспорт решений по кибербезопасности и повышение их использования на международном уровне.
4.4. Предотвращение рисков безопасности в новых решениях
В целях предотвращения масштабных киберинцидентов глубоко изучаются и оцениваются технологические риски, связанные с развитием и внедрением новых технологий. Высокий уровень знаний и осведомленности о рисках способствует созданию преимуществ в развитии государства, общества и экономики.
Подцель 5: Эстония развивает межотраслевое сотрудничество
В целях развития потенциала, необходимого для борьбы с кибер-угрозами, реализуется ряд глобальных задач. Для защиты важнейших службы, борьбы с киберпреступностью и разработки национальной обороны в киберпространстве необходима адаптация законодательной базы и разработка внешней политики в сфере кибербезопасности.
5.1. Разработка законодательной базы для обеспечения кибербезопасности
В целях реализации мероприятий по обеспечению кибербезопасности и созданию более безопасного киберпространства необходимо пересмотреть законодательство в сфере кибербезопасности.
5.2. Поддержание политики международной кибербезопасности
В рамках международных организаций усилия прилагаются для закрепления и защиты позиции Эстонии по внешней политике кибербезопасности и ее визии, а также для развития общего понимания относительно применения международных правовых норм и реализации мероприятий по укреплению доверия в кибер-пространстве. Особое внимание уделяется защите основных прав и свобод, а также вопросу интернет регулирования. Кроме того, оказание содействия и поддержки безопасных электронных решений помогает создать свободное и безопасное киберпространство в странах, в которых неправительственный сектор не обладает достаточной свободой действий и необходимой технической базой.
5.3. Более тесное сотрудничество с союзниками и партнерами
В целях укрепления отношений с союзниками и партнерами развивается сотрудничество с близкими соседями, и расширяются форматы сотрудничества со странами-единомышленниками. Прилагаются значительные усилия для распространения ноу-хау и опыта в сфере кибербезопасности.
5.4. Развитие потенциала Европейского Союза
С целью поддержания общей кибербезопасности Европейского Союза и его политики прилагаются совместные усилия для развития потенциала стран-участниц в сфере кибербезопасности и повышения их готовности и способностей в борьбе в новыми угрозами.
5. СТОРОНЫ, СВЯЗАННЫЕ СО СТРАТЕГИЕЙ
Министерство экономики и коммуникаций координирует разработку и реализацию политики и стратегии кибербезопасности. Стратегия должна реализовываться посредством привлечения всех министерств и правительственных ведомств, в частности, Министерства обороны, Информационного ведомства, Министерства юстиции, Департамента полиции и погранохраны, Правительства, Министерства иностранных дел, Министерства внутренних дел и Министерства образования и науки. В процессе реализации и оценки результатов стратегии будут сотрудничать неправительственные организации, коммерческие организации, правительства и образовательные институты.
По требованию Министерства экономики и коммуникаций ведомства, вовлеченные в реализацию стратегии, должны предоставить письменный отчет о реализованных мероприятиях ежегодно до 31 января. На основании отчетов Министерство экономики и коммуникаций будет оценивать эффективность мероприятий и деятельности, в целом, и будет составлять доклад о реализации стратегии ежегодно до 31 мая. Краткий отчет о реализации стратегии, содержащий информацию о мероприятиях, трудностях и стоимости реализации должно ежегодно быть представлен Правительству Республики до 30 июня. Окончательный доклад о реализации стратегии Министерство экономики и коммуникаций должно представить Правительству Республики до 31 мая 2018 г.
План действий определяет перечень мероприятий и бюджет стратегии, а также лиц, ответственных за реализацию каждой части стратегии. Стоимость реализации четырехлетней стратегии составит около 16 миллионов евро. Доклад о реализации плана действий, который должен быть представлен Правительству Республики, также должен включать предложения по улучшению плана действий. Мероприятия, предусмотренные планом действий, должны быть отражены в рабочих планах различных министерств и других правительственных институтов.
Стратегия не изменяет полномочий различных ведомств, ответственных за кибербезопасность.
Перечень лиц, которые участвовали в разработке настоящей стратегии или выступали в качестве консультантов, приведен в Приложении 1 к стратегии, “Перечень участников разработки Стратегии кибербезопасности на 2014-2017 гг.”
Приложения:
Приложение 1. Стороны, участвующие в разработке Стратегии кибербезопасности на 2014-2017 гг. Приложение 2. Отраслевая методология
Стратегию составил Сандер Ретел, координатор Министерства экономики и коммуникаций по вопросам национальной кибербезопасности