Николай Починок: «Более половины российских объектов критической инфраструктуры не обеспечивают должных мер информационной безопасности»

 

В ходе дискуссии были затронуты самые разные аспекты информационной безопасности и безопасности вообще (поводом послужили трагические события в Домодедово). Основной же темой для обсуждения стал низкий уровень защищенности ИТ-инфраструктуры промышленных и стратегических объектов в нашей стране. 

Как показывает исследование, проведенное компанией Symantec, более половины российских объектов критической  инфраструктуры не обеспечивают должных мер информационной безопасности. (Под такими объектами исследователи понимают обширное число предприятий и организаций, деятельность которых «абсолютно необходима для нормального функционирования общества и экономики». Таким образом, в список критических попали объекты системы здравоохранения, энергетики, транспорта, банки, узлы телекоммуникаций и многое другое.)

Исследованием были охвачены 1,5 тыс. предприятий в 15 странах мира, включая Россию.  По большинству проанализированных показателей уровень защищенности наших отечественных объектов оказался ниже, чем в среднем по миру, утверждают авторы опубликованного доклада. Как сообщил Николай Починок, директор отдела технических решений Symantec в России и СНГ, 51% обследованных в России объектов критической инфраструктуры не принимают либо принимают недостаточные меры по защите конечных точек (ПК, серверы и др.); 34% объектов не принимают достаточных мер по защите своей сети, 37% не обеспечивают приемлемый уровень защиты электронной почты и 30% — защиты своих сайтов. Такое положение, по мнению докладчика, во многом обусловлено тем, что исполнительное руководство этих предприятий (35% числа опрошенных) не осознает всей опасности, связанной с угрозами для информационных систем. 

Старший научный сотрудник Института системного анализа РАН Александр Кононов также обратил внимание на низкую осведомленность большинства руководителей предприятий и организаций в вопросах ИТ-безопасности. С его слов, лица и органы, несущие ответственность за безопасность критических инфраструктур, зачастую оказываются в положении, когда уровень их ответственности превышает имеющиеся возможности для контроля безопасности объектов, за которые они отвечают. Такое положение Кононов связывает с отсутствием системного подхода к организации защиты и недостатком средств автоматизации оценки рисков и анализа угроз. 

Специализированные программные продукты для решения подобных задач имеются на рынке, но обеспечить системный подход в условиях недостаточно проработанной юридической базы довольно затруднительно, — отмечалось на круглом столе.

Здесь государство должно было бы сказать свое веское слово, однако внятных инструкций, формализующих принципиальные подходы к обеспечению ИТ-безопасности на важных объектах инфраструктуры, в России все еще нет. Основной документ в этой области, «Доктрина информационной безопасности Российской Федерации», принятая десять лет назад, то есть во времена одноядерных процессоров, уже не отвечает требованиям времени, полагает Сергей Гриняев, старший научный сотрудник Центра стратегических оценок и прогнозов. 

Набор ГОСТов, адаптированных под российские реалии международных стандартов и принятых нашей страной как условие вступления в ВТО, он назвал прорывом в вопросах формирования нормативно-правовой базы в сфере ИТ-безопасности. Однако их недостаточно для противостояния современным вызовам. Помимо сформированных, адекватных угрозам нормативных требований должны быть разработаны специальные государственные программы по защите ИТ-систем критически важных объектов. 

Между тем сейчас руководство российских стратегических объектов рассчитывает в этих вопросах главным образом на себя. Сложившуюся ситуацию вполне характеризует еще один факт, о котором говорится в исследовании Symantec: число компаний, полностью осведомленных о планах российского правительства по защите стратегических объектов, вдвое меньше, чем в мире: 16% против 33%. Пока что кибертеррористы не воспользовались брешами в защите ИТ-систем стратегически важных российских объектов, но что им помешает воспользоваться этой нашей слабостью?