Национальная система кибербезопасности предъявляет новые требования

Государство берет под контроль национальные цифровые границы, разворачивая масштабную реформу всей IT-отрасли. А поводом для решительного шага к усилению безопасности стали подписанные Президентом изменения в закон «Об информации, информатизации и защите информации».

Обновленный документ закрепляет юридические формулировки, кардинально перестраивая всю национальную систему кибербезопасности и наделяя участников рынка целым пакетом новых обязательств.

Один за всех

Впервые на законодательном уровне появляются внятные определения для таких понятий, как «киберпространство», «кибергигиена», «цифровые доказательства» и «цифровое исследование». И это наглядно показывает, как сильно изменилась сама природа цифровых угроз. Нынче защита IT-инфраструктуры переросла рамки сугубо технической задачи, которую раньше можно было полностью переложить на плечи отдельных специалистов.

И потом, успешная кибератака даже на одну-единственную организацию теперь способна мгновенно парализовать связанные с ней системы, ударить по пользователям и подставить поставщиков услуг. Поэтому обязанности по защите сетей и оперативной передаче данных о компьютерных инцидентах официально распространяются не только на государственные органы.

В ту же цепочку ответственности встраиваются интернет-провайдеры, хостинг-компании и владельцы целого ряда популярных веб-ресурсов. Незаменимым звеном новой системы становится постоянное наблюдение за всей цифровой инфраструктурой. Для этого закон предусматривает обязательное развертывание центров операций по безопасности – так называемых SOC, отвечающих за круглосуточный мониторинг информационных систем, отслеживание любой подозрительной активности и своевременное блокирование киберугроз на самых ранних подступах.

Если атака все же пробила защиту, в бой немедленно вступают центры реагирования на компьютерные инциденты CERT. Их прямая обязанность – оперативно тушить цифровые пожары, детально разбирать анатомию каждого взлома и экстренно ликвидировать все последствия хакерского налета. В итоге вся новая модель выстраивается по предельно прозрачной схеме: любую угрозу нужно перехватить еще на подлете.

Легальный тест-драйв

Новшества не ограничиваются только обороной уже работающей IT-инфраструктуры. В документ заложен гибкий инструмент, позволяющий прорывным технологиям развиваться в безопасных и предсказуемых условиях, а спасательным кругом для инноваций станет регуляторная тестовая среда.

Она открывает перед IT-компаниями и разработчиками легальную возможность обкатывать пилотные цифровые продукты до их официального релиза, избавляя бизнес от долгого и нудного ожидания, пока консервативные законы адаптируются под очередное ноу-хау.

Социальная значимость

Глава Азербайджанского интернет-форума Осман Гюндуз считает, что новые нормы требуют дополнительной ясности прежде всего в вопросе определения организаций, которые будут отнесены к информационной инфраструктуре, выполняющей социально значимые функции:

– Одно из наиболее важных нововведений заключается в появлении новой категории – информационной инфраструктуры, выполняющей социально значимые функции, – отмечает он. – До сих пор специальный режим в сфере кибербезопасности в основном был связан с критической информационной инфраструктурой. Теперь в периметр особого киберконтроля могут попасть информационные системы государственных и частных компаний, которые формально не относятся к критической инфраструктуре.

Сам подход понятен: если крупная цифровая платформа, платежная система, дата-центр или провайдер перестает работать, последствия могут выйти далеко за пределы одной компании и затронуть большое количество людей и экономические процессы. Но по каким именно критериям частная компания будет признаваться социально значимой?

В законе говорится о возможном серьезном ущербе политической, социальной и экономической стабильности страны, но пока еще нет конкретных измеримых показателей. Например, будет ли учитываться число пользователей, доля компании на рынке, возможный размер экономического ущерба, продолжительность сбоя, наличие альтернативных сервисов? Кроме того, где пройдет граница для малого и среднего бизнеса? Все эти вопросы особенно важны, поскольку включение компании в новый периметр означает дополнительные обязанности и расходы. Провайдеру, финтех-компании, оператору дата-центра или цифровой платформе может потребоваться постоянный мониторинг, взаимодействие с CERT и SOC, усиление технической инфраструктуры и выполнение дополнительных требований безопасности. Следовательно, необходимо заранее определить, кто будет нести эти расходы и каким образом они скажутся на стоимости услуг.

Защита информации

По словам аналитика, национальный CERT в рамках своей работы может получать журналы событий, сетевые данные и другую техническую информацию, связанную с деятельностью компаний. Поэтому необходимо четко установить границы доступа к таким данным, порядок их хранения и использования, а также гарантии защиты коммерческой тайны и персональной информации.

– Укрепление кибербезопасности необходимо, и новые законодательные изменения в целом отвечают требованиям времени, – отмечает О.Гюндуз. – Но следует максимально точно определить критерии включения компаний в категорию социально значимой инфраструктуры, порядок принятия такого решения, возможность его обжалования, пределы мониторинга и аудита, а также финансовые обязательства бизнеса. Особенно важно заранее определить правила для малого и среднего предпринимательства, чтобы требования кибербезопасности были соразмерны реальным рискам.