Цифровой подорожник

В рамках реализации проекта «Цифровой экономики» власть готовит создание рынка страхования от киберрисков. Как сообщают СМИ, полис информационной безопасности может стать обязательным с 2020 года для всех стратегических отраслей. Помогут ли подобные меры и как другие страны работают с информационными рисками?

В 2017 году власть стала активно развивать направления цифровой экономики и электронного государства. И в рамках этих тем большую часть занимает вопрос информационной безопасности. Учитывая, что в России уже принята Доктрина информационной безопасности, развитие цифровой экономики должно соответствовать ее требованиям, однако сам документ содержит в себе множество ограничительных и сдерживающих мер, которые помешают развитию технологий.

Цифровое страхование носит превентивный характер, который практически не ограничивает «объекты критической информационной инфраструктуры». Страхование предусматривает и аудит информационных объектов. Однако сама Доктрина предусматривает и более серьезные, запретительные меры.

Опыт других стран показывает, что в информационной сфере необходимы более тонкие меры. А обеспечение безопасности не должно превращаться в информационную изоляцию. Тем не менее, есть примеры и эффективности тотального контроля за информационной средой.

Опыт других стран

Франция. Активно о теме информационной безопасности во Франции заговорили в 2008 году, когда тема киберугроз стала составной частью национальной безопасности. Затем, в 2009 году, Главное управление компьютерной безопасности (DCSSI) было преобразовано в Национальное агентство безопасности информационных систем. А в 2011 году во Франции была утверждена национальная кибер-стратегия: «Оборона и безопасность информационных систем: стратегия Франции». В 2015 году была опубликована вторая версия этой стратегии.

Отличительной чертой французской стратегии является то, что она нацелена в первую очередь на государственные объекты стратегической важности, и в меньшей степени затрагивает вопросы негосударственного сектора и информационной (в плане контента) безопасности граждан.

По данным рейтинга McAfee, Франция, Израиль и Швеция занимают первое место в мире по обеспечению информационной безопасности.

Швеция также является лидером в сфере обеспечения информационной безопасности. Как отмечает Ларс Никандер, руководитель Центра изучений асимметрических угроз Высшей школы обороны, объясняет успех Швеции богатым опытом информационной борьбы в годы холодной войны: «Думаю Швеция, ну и Финляндия с Норвегией, имели всеохватывающий подход в вопросах гражданской обороны в годы Холодной войны. В этом мы были довольно уникальны. И это, думаю, результат нынешнего высокого рейтинга», — отметил эксперт. Стратегия Швеции также укладывается в общеевропейскую традицию обеспечения информационной безопасности — невмешательство в частную сферу, концентрация на объектах критической инфраструктуры.

Китай тоже считается одним из лидеров в сфере обеспечения информационной безопасности, однако достигается это за счет совершенно иных мер, а под информационной безопасностью понимается не только техническая безопасность важных объектов, но и информационная безопасность граждан в плане контента (знаменитый китайский Золотой щит).

В 2016 году в Китае был принят закон, который систематизировал ранее принятые подзаконные акты. В глобальной системе безопасности принимают участие не только государственные органы, но и провайдеры, и производители техники, которые предустанавливают необходимое ПО. Помимо блокировки нежелательного контента в Китае исключена анонимность пользователей. Поэтому китайская модель является зеркальным отражением европейской и американской. Недавние скандалы, связанные с разоблачениями Эдварда Сноудена, однако, раскрыли факты слежки и в США, но там это было не повсеместно и не имело столь откровенный характер.

Выборы пути

Пока в принимаемых мерах Россия движется по китайской модели обеспечения информационной безопасности. Полисы страхования от информационных угроз — это ведь не только защита на случай кибер-атак, но и обязательные аудит структур. Пока этот аудит планируют внедрить только на ограниченном числе госструктур, но ведь практика может быть распространена и на частный сектор.

При этом, как отмечает бизнес-консультант по безопасности Cisco Алексей Лукацкий, у информационной безопасности в России есть две основные проблемы: «страну ждут два ощутимых препятствия — низкая квалификация и недостаток кадров, а также отсутствие инвестиций в реализацию защитных мер. Без этого все меры так и останутся красивыми намерениями на бумаге. Но власти, декларируя рост требований к кибербезопасности, не увеличивают бюджеты госорганов на нее. А значит у последних нет возможности приобретать современные средства защиты, нанимать и удерживать высококвалифицированный персонал».

О недостаток внимания к обеспечению информационной безопасности говорит и генеральный директор Zecurion Алексей Раевский: «В принципе, все проблемы из-за того, что руководители организаций и собственники (владельцы бизнеса) не понимают всей серьезности вопросов и не всегда в этом разбираются. Поэтому они имеют тенденцию спускать проблему на тормозах и думать, что она рассосется сама. Поскольку оно само не рассасывается, возникают проблемы, которые мы сейчас имеем», — считает эксперт.

При этом, по мнению Раевского, России следует обратить внимание на опыт Европы и США: «Что касается опыта, который мы можем перенять, лучше ориентироваться на европейские страны и США. Там эти вопросы более зрелые и находятся на более продвинутом уровне. У нас всегда информационная безопасность была прерогативой каких-то военизированных структур, силовых ведомств. Гражданской информационной безопасности у нас практически нет. Ее приходится формировать с нуля. А процесс этот — не быстрый».


Автор: Иван Нестеренко