В Тулу со своей ИБ

Чему стоит поучиться бизнесу и государству в информационной безопасности

Интенсивность атак на российские цифровые системы растет. Они обнажили существенные пробелы в киберзащите госорганов и бизнеса. Как изменился характер кибернападений, стоит ли отказываться от открытого кода в ПО и почему нужно больше привлекать белых хакеров, обсудили на проходившей 3–6 октября в Туле 3-й Межрегиональной конференции по информбезопасности «Инфофорум-Центр».

ТОЛЬКО НЕ СПИСЫВАЙ ТОЧЬ-В-ТОЧЬ

Количество кибератак на российский бизнес в 2023 году возросло на 50-55% по сравнению с прошлым годом, они существенно усложнились, отметил в своем выступлении на «Инфофоруме» директор департамента цифровых технологий Торгово-промышленной палаты России Владимир Маслов. В первую очередь действия злоумышленников направлены на крупный бизнес, но от их последствий страдают средние и малые предприятия.

Он напомнил, что свежая оперативная информация об инцидентах публикуется в бюллетенях ФСТЭК России. Эксперт посетовал, что

системы информбезопасности в госструктурах налажены, а в бизнесе они пока находятся «в зародыше»

Несмотря на то что Минцифры составило единую базу всех потребностей бизнеса в ИТ-решениях, около 40 западных программ еще не имеют российских аналогов.

Владимир Маслов, Торгово-промышленная палата:

– На совещании в ЦБ ряд крупных банков обратились с предложением отсрочить с 2025 года на 2027-й переход на отечественное ПО, потому что автоматизированные банковские системы не готовы к работе с российским софтом.

Заместитель губернатора Тульской области Галина Якушкина в своем выступлении рассказала о работе системы информационной защиты региона, а также о Ситуационном центре губернатора, на базе которого организован круглосуточный мониторинг событий. Регион активно переходит на отечественное общесистемное и прикладное ПО, отметила она.

По мнению заместителя гендиректора компании «Гарда Технологии» Рустэма Хайретдинова,

опыт госструктур в организации киберзащиты не всегда подходит для малого и среднего бизнеса

По его словам, цифровизация затронула прежде всего крупные компании из сферы финансов, а также телеком-индустрию. Соответственно, они и имеют самые передовые системы информбезопасности.

Рустэм Хайретдинов, «Гарда Технологии»:

– Федеральные органы власти, имеющие цифровые системы с миллионами пользователей (Налоговая служба, «Госуслуги»), также не отстают от лидеров цифровизации в частном секторе. Региональные системы могут отличаться по своей цифровой зрелости и зрелости кибербезопасности от федеральных и коммерческих структур. У них меньше функций и меньше пользователей.

До недавнего времени информзащита вообще не была в приоритете у малого и среднего бизнеса. Кроме того, эти организации больше используют импортные ИТ-сервисы. Поэтому опыт защиты госсистем не всегда релевантен для бизнеса, заключил эксперт.

ПРИЕМЫ ПРОТИВ КИБЕРЛОМА

Директор РЖД – начальник департамента управления информационной безопасностью Юрий Ногинов сообщил об изменении характера атак на инфраструктуру корпорации. По его словам, инциденты 2022 года, по сути, были лишь разведкой, в нынешнем году злоумышленники определились с тактикой и применением технических средств. Он обратил внимание, что если

в прошлом году DDoS-атаки атаки были длительными и безадресными, то в 2023 году они стали короткими, интенсивными и целевыми

В нынешнем году график кибернападений приобрел периодический характер – в выходные и праздничные дни количество атак снижается.

Юрий Ногинов, РЖД:

– Это характерно для рабочих дней организации, для государственных органов. Можно сделать вывод, что сейчас против систем РЖД действуют не просто политически мотивированные хактивисты, а специальные службы и организации.

На фоне роста угроз Минцифры РФ планирует запустить программы поиска уязвимостей за вознаграждение bug bounty для порядка 20 информационных систем, сообщил заместитель директора Департамента обеспечения кибербезопасности министерства Евгений Хасин на «Инфофорум-Центр».

По его словам, эффективность такой практики доказана, она находит свое применение в работе не только Минцифры и госструктур, но и бизнеса. В целом подобный анализ защищенности информационных систем должен проводиться на регулярной основе, подчеркнул он.

Евгений Хасин, Минцифры РФ:

– В начале 2023 года Минцифры уже опробовало программу bug bounty на «Госуслугах». В итоге общая сумма выплат белым хакерам за найденные уязвимости составила около 2 млн рублей. Работы проводились Минцифры вместе с «Ростелекомом».

Платформа bug bounty для «Госуслуг» предоставлялась компаниями Positive Technologies и BI.ZONE, добавил он.

СИСТЕМА И КОД

Замдиректора по информатизации ГУЗ ТО «Тульский областной медицинский информационно-аналитический центр» Сергей Минаев рассказал на конференции об организации защиты цифровых систем в медучреждениях региона. По его словам, всего в области функционирует 52 медицинские организации, в 47 из них работают информационные системы персональных данных (ИСПДн). Также эксплуатируется около 9,8 тыс. автоматизированных рабочих мест.

Сергей Минаев, Тульский областной медицинский информационно-аналитический центр:

– Координационным органом по киберзащите Тульской области является комиссия по информационной безопасности. Министерство по информатизации, связи и вопросам открытого управления региона фактически осуществляет нормативное регулирование – издает правовые акты, обязательные для исполнения органами власти и подведомственными учреждениями.

Сейчас в области насчитывается около 1,5 тыс. объектов критической информационной инфраструктуры (КИИ), которые проходят процедуру категорирования, по 900 из них она уже практически завершена, добавил Сергей Минаев.

В июле ФСТЭК России выпустил новое указание относительно того, чтобы в архитектуре государственных информационных систем использовались только сертифицированные базы данных, напомнил директор ФКУ «Государственные технологии» («ГосТех») Василий Слышкин.

Глава «ГосТеха» призвал российские компании отказаться от открытого ПО

Прошлый год показал, что именно это является одной из уязвимостей, подчеркнул он.

Василий Слышкин, «ГосТех»:

– Мы в архитектуре облачной платформы применяем отечественные решения, которые прошли проверку и обладают определенным уровнем доверия. Это позволяет нам использовать в архитектуре заведомо безопасные решения. Проверяя исходный код каждой государственной информсистемы, нам удается обезопасить его в дальнейшем и обеспечить надежное функционирование.

С момента проектирования в программные продукты должны закладываться безопасные решения. «ГосТех» разработал и утвердил на президиуме правительственной комиссии соответствующие методические рекомендации, они согласованы со всеми регуляторами, заверил Василий Слышкин и призвал все компании применять их, чтобы на выходе получать безопасный код.

Тимур Халудоров