Киберпространство Украины: ситуация сложная, но пока контролируемая

Представитель киевского отделения общественной организации ISACA Глеб Пахаренко заявил, что анализ киберпространства после оккупации Крыма и начала войны РФ на востоке Украины свидетельствует о том, что самыми важными и пока что нерешенными проблемами в сфере защиты являются уязвимость критической ИТ-инфраструктуры для киберпреступников. (Кстати, здесь уместно вспомнить и физические атаки на инфраструктуру, например, теракты с поджогом оптоволоконных каналов). Также большой проблемой является высокое количество зараженных вирусами и неправильно сконфигурированных систем в украинском сегменте интернета. 

С начала года на украинские веб-ресурсы осуществлялись мощные DDoS-атаки. Например, были зафиксированы атаки на сайты мобильных операторов, на сайты основных правительственных веб-порталов, на главные новостные ресурсы и веб-сайты систем онлайн-банкинга. Правда, DDoS-атаки были действенны только первое время, впоследствии провайдеры смогли задать эффективные фильтры для защиты от них.

В то же время масштабы атак не достигали уровня кибервойн, подобных тем, что были в 2007 году в Эстонии и в 2008 году в Грузии. Также противник не пытался атаковать критическую ИТ-инфраструктуру посредством вредоносного кода класса Stuxnet. 

Кто виноват? 

Проблемы в киберобласти были вызваны тем, что государство и бизнес, по мнению экспертов, действуют недостаточно неэффективно против кибер-угроз. И хотя крупные корпоративные компании уделяют внимание защите данных и выделяют определенные ресурсы на эти цели, существует ряд проблем. Во-первых, практически отсутствует процесс обмена деталями кибератак и более глубокого их исследования. Во-вторых, скорость реагирования на кибер-угрозы довольно низкая, так, известны факты, когда киберпреступники неделями скачивали данные с серверов украинских компаний уже после обнародованной информации о нахождении уязвимости в программе шифрования. В-третьих, нет массовой практики обмена шифрованными сообщениями электронной почты. 

В государственном секторе существующая система стандартов в области безопасности морально устарела, оторвана от бизнес-практик, не гарантирует финансово обоснованных и надежных мер защиты. Едва ли не повсеместно используется пиратское программное обеспечение, ПО производство РФ или нелегальных российских хакерских групп, утверждает Глеб Пахаренко. Специалисты в государственных органах не всегда имеют достаточно опыта и знаний для реализации мероприятий по кибербезопасности, отсутствует надлежащая координация действий между различными государственными подразделениями соответствующей специализации. 

На международном уровне следует отметить такие проблемы как отсутствие процесса эффективного общественного обсуждения государственных инициатив в области защиты информации, отсутствие общих государственных и общественных инициатив по повышению культуры кибербезопасности. Участие украинских вузов в международных проектах по кибербезопасности очень невелико. Кроме того, Украина не участвует в программах ЕС и не привлекает донорскую техническую помощь в проекты по кибер-безопасности. 

Законодательные инициативы

Вместе с тем, государство ввело ряд инициатив в области кибербезопасности. В частности, 29 апреля был принят Закон Украины «О Государственной службе специальной связи и защиты информации Украины». Также в конце апреля принято решение Совета национальной безопасности и обороны Украины «О мерах по совершенствованию формирования и реализации государственной политики в сфере информационной безопасности Украины». Тогда же оговаривался проект Стратегии кибернетической безопасности Украины и проект Закона Украины о кибернетической безопасности Украины. Наконец, 28 августа 2014 СНБО опубликовал решение «О неотложных мерах по защите Украины и укрепления ее обороноспособности» и о создании Национального центра киберзащиты и противодействия киберугрозами. 

Однако, по мнению эксперта ISACA, они не решают задачу защиты страны и имеют общие недостатки. Во-первых, во время их принятия отсутствовал надлежащий уровень обсуждения с общественностью и в экспертной среде. Во-вторых, в документе не приводятся надлежащие финансовые расчеты для анализа текущего состояния кибербезопасности, и прогнозируемого статуса после введения нормативного акта. Далее, не гармонизируется модель отношений между государственными органами ГСССЗИ, СБУ, МВД, СНБО, ВСУ, НБУ и др. 

Что делать?

Для исправления ситуации необходимо сотрудничество на уровне государства, приватного, общественного и академического секторов. Государственные и коммерческие организации должны выполнить ряд первоочередных заданий. Так, в общественном секторе необходимо наладить анализ атак и обмен информацией про их детали, а также приложить усилия по уменьшению количества зараженных систем и неправильно сконфигурированных серверов в Украине.

В государственном секторе рекомендуется ввести удобные для применения в частном секторе стандарты кибербезопасности (особенно для защиты критической инфраструктуры) на основе признанных мировых стандартов и разработать план легализации программного обеспечения. Кроме того, эксперты уже давно рекомендуют организовать целую сеть отраслевых команд реагирования на инциденты кибер-безопасности, подобную CERT-UA, которая пока в Украине только одна. Также предлагается ограничить использования программного обеспечения производства РФ.