Что не так с безопасностью государственных ИT-систем в Украине
Или как нельзя делать КСЗИ
Последние годы происходит активная диджитализация государства, как услуг, так и внутренних процессов. Безопасность государственных ИТ-решений призвана защищать комплексная система защиты информации (КСЗИ), однако общество продолжает беспокоится о надежности хранения своих данных. Какие существуют риски утечки информации, где их корни и как с этим бороться?
Что такое КСЗИ?
Комплексная система защиты информации (КСЗИ) — это совокупность технических и организационных мер для защиты информации ИТ-системы. Они обеспечивают конфиденциальность и целостность, управляют доступами и отслеживают все действия в системе.
В Украине КСЗИ для государственных ИТ-систем занимается Государственная служба специальной связи и защиты информации Украины. Сфера регулируется Законом Украины «О защите информации в информационно-телекоммуникационных системах».
Процесс создания КСЗИ является частью процесса разработки новой ИТ-системы. Классически это выглядит так:
1. Описывают требования по безопасности;
2. Внедряют;
3. Тестируют безопасность готовой системы.
Эти процессы достаточно стандартизированы. Подход в Украине адаптирован к международным стандартам и ничего уникального не содержит. В США также проходят нормативно-отрегулированные испытания на соответствие параметрам безопасности.
Где же риски?
Несмотря на универсальность, стандарты КСЗИ оставляют большое пространство для маневра.
1. Важно соблюдать разработку КСЗИ вместе с ИТ-системой. Каждый раз эксперты по безопасности должны оценить риски и продумать методику тестирования новой системы. Если же сначала разрабатывается ИТ-система, а затем КСЗИ на нее, риски утечки информации очень высоки.
2. Если у государственного органа есть КСЗИ на дата-центр или систему виртуализации, не стоит полагать, что и любое другое программное обеспечение на нем, будет автоматически защищенным. Достаточно допустить самую простую ошибку в настройках, и из системы могут «уплывать» данные, учетные записи пользователей и никакая защита дата-центра не спасет.
3. Еще одним явлением, о котором стоит помнить, является «флешнет». Это выглядит так. Если необходимо взаимодействие одной системы, у которой есть КСЗИ, с другой, у которой ее нет, напрямую такие системы не подключают. Известным решением является передача информации на флешке. Данные из одной системы копируют на флешку и загружают в другую. Такой подход создает максимальные риски. Отчет Kroll о глобальном мошенничестве подтверждает, что инсайдеры представляют наибольшую угрозу информационной безопасности. А при «флеш-подходе» уже готова удобная возможность для выгрузки информации. Остается только скопировать данные на свой ноутбук, и эта операция останется незамеченной.
Что с этим делать?
Подобных недочетов может быть множество, но стоит отметить и позитив. Платформа государственных услуг Дія — первая государственная система в Украине, которая для подтверждения безопасности даже запустила Bug Bounty. Белые хакеры проверяли систему на уязвимость и пока взломать ее никто не смог.
При этом Дія не хранит информацию о пользователях. Она отображает то, что уже есть в государственных реестрах. К сожалению, многие из них устарели и имеют разный уровень качества. Сфера КСЗИ нуждается в реформировании, чтобы глобально обезопасить персональные данные и заслужить доверие украинцев к государственной диджитализации. На что стоит обратить внимание:
1. Обеспечить разработку КСЗИ вместе с ИТ-системой в обязательном порядке;
2. Требования к программному обеспечению в рамках КСЗИ прорабатывать с архитекторами и разработчиками, а также четко указывать их в техническим задании на старте проекта;
3. В автотесты работоспособности системы обязательно включать тесты на безопасность;
4. Политики безопасности должны внедрять специализированные профессионалы.
- Нюанси ввезення пального в Україну через кордон для власного споживання Дмитро Зенкін вчора о 15:47
- Як та куди інвестувати на фондовому ринку США Євген Кондратьєв вчора о 15:30
- Неконституційність п.п.7 п.1 ч.2 ст.4 щодо ставки судового збору за подання касації Світлана Приймак вчора о 14:30
- Позбавлення пільг китайських маркетплейсів: якими будуть наслідки? Єфрем Лащук вчора о 11:36
- Як Трамп зробить видобуток великим знову? Ксенія Оринчак вчора о 11:31
- Зміна світового порядку: виклики та можливості нового часу Юрій Гусєв вчора о 09:16
- Оцінка ефективності медіа: що робити, коли даних недостатньо? Вікторія Новак 20.01.2025 18:42
- Воднева економіка України: регуляторні виклики та економічна доцільність Олексій Гнатенко 20.01.2025 13:41
- Чи підходить Польща для реєстрації ІТ бізнесу? Сергій Барбашин 20.01.2025 11:53
- Європейський Союз у боротьбі за економічне лідерство: виклики та перспективи Сильвія Красонь-Копаніаж 20.01.2025 11:28
- Міжнародні правові тренди в енергетиці: як змінюються регуляції для експортерів Ростислав Никітенко 20.01.2025 11:10
- Бронирование по новым правилам: сроки и ограничения Віра Тарасенко 19.01.2025 23:08
- Оцінка впливу та інтересів: новації в українській правозастосовній практиці Анастасія Полтавцева 19.01.2025 18:00
- Канбан – проста історія управління запасами Наталія Качан 18.01.2025 23:44
- Справедлива індексація розміру пенсії: ВС зобов'язав ПФ провести індексацію пенсії Світлана Приймак 17.01.2025 15:25
- Сторічна угода: несподіваний аспект 313
- Лідерство через усвідомлення: трансформація бізнесу 106
- Справедлива індексація розміру пенсії: ВС зобов'язав ПФ провести індексацію пенсії 90
- Неприпустимість насильства проти адвокатів: випадок у Бучанському ТЦК 84
- Зло не може бути умиротворене, або чому Україна має перемогти 66
-
"ДНК старих будівель прокляте". Як архітектор Микола Віхарєв пропонує змінити Київ
Бізнес 8931
-
Суд заарештував і передав АРМА майно Нікопольського феросплавного заводу – фото
Бізнес 6296
-
Між правами бізнесу та покаранням за корупцію. Чому правки Лозового викликали дискусію
Бізнес 2520
-
Трамп пообіцяв запустити посилене буріння нафти та знизити ціни на енергоресурси
Бізнес 2503
-
Меланія Трамп на інавгурації 2025: два елегантні образи — у капелюсі вдень, у сукні ввечері
Життя 2399