В России хотят создать мегарегулятора информационной безопасности, взяв пример с США

Ваш отзыв
В рамках реализации программы «Цифровая экономика» предлагается определить единый госорган, ответственный за требования к средствам информационной безопасности. Это должно ускорить выход новых продуктов на рынок, но эксперты сомневаются, что кто-то из двух существующих регуляторов — ФСБ и ФСТЭК — захотят поделиться своими полномочиями.

Единый регулятор для средств информационной безопасности

Проект плана мероприятий разработанной по распоряжению Президента России Владимира Путинапрограммы «Цифровая экономика» по разделу «Информационная безопасность» предлагает назначить единый государственный орган, ответственный за гармонизацию требований к информационной безопасности.

Гармонизация требований государственных и добровольных систем сертификации средств информационной безопасности и раскрытие этих требований предусмотрены проектом плана мероприятий раздела «Информационная безопасность». Этот раздел программы «Цифровая экономика» разработан Сбербанком.

В настоящее время вопросами лицензирования и сертификации в сфере информационной безопасности занимаются два ведомства: Федеральная служба технического и экспортного контроля (ФСТЭК) и Федеральная служба безопасности (ФСБ) в лице Центра по лицензированию, сертификации и защите и государственной тайны.

ФСТЭК занимается регулированием средств защиты информации (СЗИ), использующих некриптографические методы, а также противодействию иностранным техническим разведкам и экспортным контролям.

ФСБ в лице Центра по лицензированию и сертификации регулирует разработку и распространение средств криптографической информации (СкЗИ), а также работы по защите информации, содержащей гостайну, и оборот специальных технических средств для негласного получения информации.

Брать пример с Америки

Как отмечается в плане мероприятий программы «Цифровая экономика» по разделу «Информационная безопасность», современные средства защиты информации носят комплексный характер и попадают под действие сразу обоих систем сертификации: ФСБ и ФСТЭК. Частично требования этих систем сертификации пересекаются: например, в части проверок на отсутствие незадокументированных возможностей, общих требований безопасности аппаратных платформ и операционных систем и пр.

«В настоящее время приходится дважды проводить по сути одни и те же проверки в разных системах сертификации, что приводит к увеличению сроков и стоимости сертификации продуктов в целом, что сказывается на динамике вывода новой продукции на рынок, — сетуют авторы документа. — В среднем такая комплексная сертификация занимает от одного до двух лет».

В качестве «хорошего примера» по гармонизации требований в области информационной безопасности авторы документа приводят американский Национальный институт стандартов и технологий (NIST), отвечающий за выпуск всех требований в области ИБ в США. Европейские же стандарты в области ИБ зачастую ссылаются на документы NIST или попросту их копируют.

Определение единого органа, ответственного за гармонизацию систем сертификации в сфере ИБ, вместе с гармонизаций самих систем сертификации, исключением дублирования и открытие установленных требований должны уменьшить для вендоров время и затраты на сертификацию.

Спецслужбы не хотят делиться информацией друг с другом

Впрочем, опрошенные CNews эксперты и участники рынка информационной безопасности сомневаются в реалистично реализации данной инициативы. «Для определения единого госоргана в области требований к информационной безопасности кому-то — или ФСБ, или ФСТЭК — придется поделиться полномочиями, а никто из них этого не захочет делать», — говорят собеседники издания.

Топ-менеджер одной из ИБ-компаний вообще считает существующую систему регулирования в данной сфере логичной. «ФСТЭК занимается лицензированием деятельности по Защиты информации и сертификацией СЗИ, а если организации требуется криптография по ГОСТ или высокие классы защиты, тогда ей необходим сертификат ФСБ» — говорит собеседник издания.

Господдержка технических комитетов по информационной безопасности

Другое предлагаемое мероприятие в данной сфере — это государственная поддержка технических комитетов по направлению информационной безопасности. Сейчас деятельность таких комитетов осуществляется почти на общественных началах за счет средств компаний-экспертов.

«Это нормальная практика для развитого зарубежного рынка информационной безопасности, где масштаб компаний-экспертов и их финансовые возможности не сравнимы ни с одной российской компанией, — указывают авторы документа. — Для российских компаний, участников рынка ИБ, такая деятельность на постоянной основе оказывается серьезной финансовой нагрузкой. Участие в международных комитетах не является системным, не позволяет эффективно отстаивать интересы России на уровне государства».

Дифференциация требований к система защиты информации

Кроме того, предлагается создание системы добровольного декларирования уровня безопасности продуктов и услуг ИТК — Декларации информационной безопасности. Для этого необходимо создать положение о саморегулируемых организациях (СРО), действующих в сфере производства товаров и услуг в области информационной безопасности. К 2020 г. должно появиться три соответствующих СРО.

В рамках данного мероприятия предлагается разработать и внедрить дифференцируемый подход к требованиям к криптосредствам и другим СЗИ. Средства защиты информации для негосударственных систем, в том числе для интернета вещей, по своим требованиям должны отличаться от требованиям к средствам защиты информации для государственных информационных систем и и информационных систем персональных данных.

Также предлагается вырабатывать набор требований регуляторов к СКЗИ и СЗИ для негосударственных нужд и интернета вещей на основе методологии Common Criteria for Information Technology Security Evaluation — российского и международного стандарта по компьютерной безопасности. Это позволит распространить гармонизированный набор требований к средствам защиты информации на более широкий круг стран и больший спектр товаров и услуг.

Источник

Читать полностью »

Possibly Related Posts:


АНБ теряет контроль над кибероружием

Ваш отзыв

 

Газета The New York Times, пообщавшись с рядом бывших и нынешних сотрудников АНБ, пришла к выводу, что ведомство не может встать на ноги после кражи его хакерских инструментов в 2016 г. Собственные хакеры агентства уходят из него на большие зарплаты, а шпиона, через которого утекли программные коды, до сих пор не нашли.

Катастрофа в АНБ

Агентство национальной безопасности (АНБ) никак не может оправиться от удара, который нанесла ему хакерская группировка Shadow Brokers, укравшая в 2016 г. исходные коды хакерских инструментов ведомства. В августе 2016 г. хакеры начали публиковать эти коды, что нанесло большой ущерб разведывательному и кибернетическому потенциалу АНБ, сообщил бывший министр обороны США Леон Панетта(Leon Panetta) изданию The New York Times.

АНБ уже 15 месяцев занимается расследованием инцидента, однако до сих пор не может с уверенностью сказать, была ли это хакерская операция иностранных специалистов, или внутренняя утечка, или и то, и другое. К расследованию привлечено контрразведывательное подразделение АНБ Q Group и Федеральное бюро расследований (ФБР). С 2015 г. три сотрудника АНБ были арестованы за то, что вынесли из офиса засекреченные данные, но в ведомстве опасаются, что в штате есть и до сих пор не раскрытые шпионы.

Эти опасения подтвердил The New York Times бывший сотрудник киберподразделения АНБ Джейк Уильямс(Jake Williams), описавший, как в апреле 2017 г. представитель Shadow Brokers пообщался с ним в соцсети Twitter. Неизвестный хакер не только знал, кто такой Уильямс, но и упоминал технические детали хакерских операций АНБ, которые были известны лишь некоторым коллегам Уильямса по подразделению.

Читать полностью »

Possibly Related Posts:


В России готовят налоговые льготы для компаний, занятых информационной безопасностью

Ваш отзыв

В рамках программы «Цифровая экономика» разработаны предложения по поддержке отечественных разработчиков в сфере информационной безопасности. В том числе предлагается создать специализированный технопарк и предоставить компаниям из данной сферы налоговые льготы.

Определить российских ИБ-разработчиков

Проект плана мероприятий раздела «Информационная безопасность» программы «Цифровая экономика», написанной по поручению Президента России Владимира Путина, в числе прочего содержит предложения по созданию стимулов появления российской области в данной области. Документ подготовлен Центром компетенции по направлению «Информационная безопасность», созданному на базе Сбербанка.

Проект плана мероприятий раздела «Информационная инфраструктура» программы «Цифровая экономика»написанной по поручению Президента России Владимира Путина, предполагает покрытие объектов транспортной инфраструктуры сетями беспроводной связи с возможностью передачи данных. Это необходимо, в частности, для развития «современных интеллектуальных логистических и транспортных технологий».

В первую очередь, планируется разработать порядок присвоения российской продукции в области информационной безопасности (ИБ) статуса товаров российского происхождения и подтверждения такого статуса. Соответствующий порядок должен быть утвержден правительством.

Далее планируется установить требование о введении в сфере информационной безопасности приоритета для товаров российского происхождения, а также для работ и услуг, выполняемых российскими лицами, по отношению к товарам и услугам иностранного происхождения. Данный приоритет должен иметь отношение к сфере госзакупок и быть утвержден правительством.

Читать полностью »

Possibly Related Posts:


Президент России провел заседание Совбеза, посвященное информационной безопасности

Ваш отзыв

На днях в Кремле было проведено расширенное заседание Совбеза, посвященное информационной безопасности. Владимир Путин в самом начале заседания заметил, что уровень угроз в информационном пространстве постоянно повышается. Он также заявил, что число рисков увеличивается, а негативные последствия кибератак не локальны, а, напротив, глобальны и масштабны, пишет «Коммерсант».

«В результате распространения вируса WannaCry в мае-июне пострадали информационные ресурсы в 150 странах мира, в том числе и в России. Внешнее вторжение в электронные системы в сфере обороны и госуправления, утечка электронных документов могут обернуться самыми тяжелыми последствиями», — сказал Владимир Путин.

Президент заметил, что многие страны уже давно используют кибервойска в государственных интересах. «Ряд стран уже фактически поставили информационные технологии на военную службу: формируют свои кибервойска, используют информационное поле для ослабления конкурентов, продвижения своих экономических и политических интересов, решения геополитических задач. Мы должны четко прогнозировать потенциальные угрозы и риски. И главное — наметить дополнительные меры, которые позволят нам не просто своевременно выявлять угрозы, а активно реагировать на них», — заявил глава государства.

Читать полностью »

Possibly Related Posts:


Группа компаний «Эшелон» традиционно ярко приняла участие в выставке InfoSecurity Russia!

Ваш отзыв

19-21 сентября 2017 г. в выставочном центре «Крокус Экспо»  состоялась одна из самых значимых выставок рынка информационной  и кибербезопасности InfoSecurity Russia 2017.

На нашем стенде посетители выставки смогли ознакомиться с нашими флагманскими разработками и услугами в сфере информационной безопасности, а также получить консультации наших ведущих специалистов.

Большой интерес у посетителей нашего стенда вызвал наш обновленный комплекс тестирования защищенности «Сканер-ВС», а также SIEM-система «КОМРАД» и комплекс межсетевого экранирования и обнаружения вторжений «Рубикон».
Читать полностью »

Possibly Related Posts: