Експерти розповіли, як Україні захистити свій кіберпростір і дані громадян

Основною функцією будь-якої держави (в тому числі електронного) залишається забезпечення безпеки його громадян. Це означає, що Україні потрібно захищати дані її жителів, реєстри і ресурси в кіберпросторі точно так же, як якщо б мова йшла про фізичну майні. Але з кібербезпекою у нас сьогодні проблема.

Щоб прийти до такого висновку, досить переглянути заголовки останніх новин, на кшталт "Бази даних української митниці продають в інтернеті за $ 100" або "Заощадження в Приват24 під загрозою. Гроші крадуть навіть у фахівців з кібербезпеки". Можна згадати і недавній скандал з анонімним Telegram-каналом, злом сайту президента в 2014 році, що зникли з фіскальної служби терабайти інформації в 2016-м, не кажучи вже про віруси WannaCry і PetyA, які вдарили по більшості державних компаній.

Що ми можемо протиставити загрозі повторення подібних атак і зливів?

У світовому рейтингу компетенції кібербезпеки ITU Україна сьогодні знаходиться на 54 місці, в рейтингу National Cyber Security Index - на 29 місці. Якщо в 2016 році українські команди були на перших місцях в міжнародному Capture The Flag, то сьогодні їх там вже немає. Звичайно, є круті фахівці, і багато, але наявність крутих фахівців в приватних компаніях, з якими держава не співпрацює, на жаль, не впливає на рівень кіберзахисту країни. І в результаті ми маємо те, що маємо.

Які ж у нас фундаментальні проблеми і які могли б бути рішення?

Основні проблеми такі:

• немає державної програми кібербезпеки, починаючи від сучасного законодавства до плану його реалізації;
• немає сучасних вимог щодо захисту баз даних, відстеження їх виконання і покарання за порушення;
• в Україні офіційно існує близько 350 основних баз даних, але можна припустити, що ще більше баз даних знаходиться "в тіні";
• немає зрозумілої державної політики щодо інтеграції реєстрів і прозорою технічної архітектури державних рішень;
• нестача професійних кадрів, відсутність галузевих і регіональних CERT (computer emergency response team - комп'ютерна група реагування на надзвичайні ситуації), небажання системно залучати приватний сектор.

Перелік можна продовжити, але для нас важливий висновок, що ми не можемо бути до кінця впевнені, що всі системи і реєстри будуть захищені, а масштабні кібератаки - відображені. Не дарма в деяких країнах Україну називають кіберполігоном і відточують тут свої хакерські навички.

Як в такій ситуації можна було б посилити захищеність українського кіберпростору?

• Прийняти закон про кібербезпека і розробити план його впровадження;
• виділити достатні ресурси для виконання плану, так як кібербезпека - це теж частина національної безпеки;
• зробити вимоги КСЗІ (комлексной системі захисту інформації) більш сучасними, але при цьому безкомпромісно вимагати виконання правил і відповідності всіх реєстрів новим вимогам;
• прийняти законопроект про хмари, так як сертифіковані хмари безпечніші, ніж "сервера під столом", і створити стратегію переходу в хмари Cloud First;
• Починати систематично залучати приватний сектор до захисту систем і реєстрів. Для цього потрібна співпраця з "білими хакерами" (white hat hackers), "підконтрольні" спроби злому (bounty hunt), постійна робота з центрами реагування на кібератаки (SOC - операційний центр безпеки, і CERT)
• навчання співробітників силових органів для підвищення компетенцій в кібербезпеки і навчання громадян кібергігіене;
• підтримувати створення галузевих і регіональних центрів кібербезпеки (SOC, Cert) також у співпраці з приватним ринком.

Звичайно, на цьому список можливих заходів не закінчується, однак навіть цього могло б вистачити, щоб істотно поліпшити готовність держави захистити персональні дані фізичних та юридичних осіб, реєстри і системи, без чого масштабна діджіталізація несе реальний ризик.

Фото: ua