Чи потрібен Україні атестат комплексної системи захисту інформації
Відповідь: потрібен. Але його варто осучаснити.
5 років тому кілька волонтерів та небайдужих представників влади презентували систему Prozorro. На той момент не було нічого, окрім дуже простої електронної системи (MVP), пари замовників у ній, назви та логотипу. За ці роки електронна система закупівель Prozorro перетворилась на потужну ІТ-систему, в якій зберігається 100 терабайт інформації, якою користується майже 250 тисяч підприємств та органів влади і яку не змогли зламати білі хакери. На роботу системи також не вплинув вірус Petya, який свого часу “поклав” багато інформаційних систем українських держорганів.
Кібер-загрози - один з головних викликів сьогодення. Тому з самого початку ми будували комплексну систему безпеки. Робота над захистом системи стала поточночню діяльністю, бо захист, це не стан, а процес. Процеси інформаційної безпеки, що є частиною процесів компанії, активні та пасивні аудити, інтегрованість вимог з інформаційної безпеки в процес розробки програмного забезпечення - ось лише декілька важливих елементів із тих, які постійно є в зоні нашої уваги.
Минулого року центральна база даних Prozorro також отримала Атестат відповідності комплексної системи захисту інформації (КСЗІ). Адже ми, як державний інформаційний ресурс, маємо максимально підтвердити рівень свого інформаційного захисту. Що ми успішно зробили.
КСЗІ - це не стільки мапа дій, скільки рекомендації з для побудови інформаційного захисту. Якщо порівнювати атестат з фізичними тренуваннями, то атестат - це набір порад для складання індивідуальної програми тренування, але це точно не готова програма, що потрібно робити.
У стандарті не все побудовано на кшталт “зробити 40 присідань, 20 віджимань”. У ньому є опис необхідних механізмів захисту, які треба підібрати під власну ситуацію та про впровадження яких має подбати керівник, щоб система захисту інформації була справді комплексною.
Я чую багато розмов про те, що атестат КСЗІ треба скасувати, бо його наявність не гарантує захист від зломів системи. Для мене, як фахівця з інформаційної безпеки, такі дискусії виглядають дивно. Жоден із стандартів інформаційної безпеки не може гарантувати відсутності зламів. Задача стандарту - не допустити тривіальних помилок та забезпечити оптимальну реакцію на інциденти. До того ж важко погодитися із твердженням, що нам не треба захищати державні дані.
Інше питання, чи є стандарт ідеальним? Будь-який атестат з комплексної системи захисту нічого не гарантує, якщо підійти до процесу формально та “для галочки”. До того ж наявний Порядок про отримання КСЗІ за своєю суттю є застарілим і потребує модернізації, тому що світ змінюється швидше, ніж вимоги, записані в нормативних документах. І це привід для серйозної дискусії фахівців.
Попри багато позитивних моментів, які описує стандарт, він справді не враховує технологічні зміни, що відбулися у світі. Наприклад, використання хмарних технологій напряму не передбачено стандартом, що додало складності в побудові КСЗІ на Прозорро. До того ж процедура отримання атестату відповідності займає місяці, в той час як переважна більшість сучасних систем оновлюється мало не щотижня.
Тренд на посилення інформаційної безпеки і захист персональних даних буде лише посилюватись. Аби система захисту інформації була дієвою, ви маєте постійно моніторити ризики, розробляти контрдії, моделювати усі можливі ситуації, коли систему можуть зламати. Український атестат КСЗІ має враховувати динамічність розвитку світової кібербезпеки. А Україні точно потрібно мати стандарти інформаційної безпеки, що будуть сучасними та спиратися на світові практики. Тож вимоги до інформаційної безпеки необхідно радикально модернізувати, а не відміняти.
- Податкові умов для енергоринку в Україні, Польщі, Угорщині, Німеччині та Нідерландах Ростислав Никітенко 14:21
- Містобудівна документація: генеральний план населеного пункту Євген Морозов вчора о 20:35
- Legal instruments to combat stalking, based on international experience Руслана Абрамович вчора о 17:39
- Спрощення процедур чи посилення контролю? Нове Положення НБУ під час воєнного стану Світлана Приймак вчора о 16:35
- Ключові тренди сталого інвестування та ESG для добувної галузі у 2025 році Ксенія Оринчак вчора о 14:54
- Як забезпечити стабільність та вигоду на енергоринку України у 2025 році? Ростислав Никітенко вчора о 13:31
- Право на здоров’я та трансплантацію: фундаментальне благо і виклик сучасного суспільства Дмитро Зенкін вчора о 13:17
- Як змусити інтер’єр працювати на ваш бренд? Алеся Карнаухова вчора о 11:48
- Успіх компанії залежить від ефективності кожного працівника Катерина Мілютенко 23.12.2024 23:55
- Поділу доходів отриманих другим із подружжя від зайняття підприємницькою діяльністю Євген Морозов 23.12.2024 20:34
- Скасування повідомлення про підготовчі роботи: юридичні аспекти Павло Васильєв 23.12.2024 17:22
- Судова практика: сервітут без переговорів – шлях до відмови в позові Світлана Приймак 23.12.2024 16:11
- Доцільність залучення експерта у виконавчому провадженні Дмитро Зенкін 23.12.2024 13:14
- 2025. Рік економічного відновлення, репатріації та інтеграції військових. Чи буде так? Сергій Лабазюк 23.12.2024 11:43
- Розпорядження майном "цивільного подружжя" при поділі спільного сумісного майна Євген Морозов 22.12.2024 20:34
- Україна сировинний придаток, тепер офіційно? 1432
- Когнітивка від Psymetrics – прогнозований бар’єр для Вищого антикорупційного суду 740
- Вчимося та вчимо дітей: мотивація та управління часом 380
- 2025. Рік економічного відновлення, репатріації та інтеграції військових. Чи буде так? 249
- БЕБ, OnlyFans та податкова істерика: хто насправді винен? 139
-
П'ятірка найкасовіших різдвяних фільмів в історії: класика святкового кіно
Життя 10042
-
В окупованих Росією містах з'явилися компанії з великими оборотами: хто ними володіє
Бізнес 8431
-
Кабмін продовжив на місяць усі бронювання через кібератаку на реєстри
Бізнес 5564
-
Індекс "різдвяного кошика": вартість святкового столу зросла на 23% за рік
Бізнес 4801
-
У чому зараз найбільше лицемірство європейських партнерів? Відповідь шукайте в Берліні
Думка 3138