Автор: Евгений Баклушин, руководитель направления, УЦСБ
Нестабильная геополитическая обстановка и непрерывное развитие ИТ-технологий и инструментов способствуют постоянному росту киберпреступлений (вплоть до кибертерроризма) в отношении критических информационных инфраструктур государств (далее – КИИ). Дополнительное влияние оказывает постоянное появление новых тактик и техник реализации угроз нарушителями. В этой связи все более актуальным становится сотрудничество между государствами и международное сотрудничество бизнеса по противодействию киберпреступлениям в отношении КИИ и совершенствованию систем и средств защиты КИИ. Перспективным направлением в данной области может стать обмен опытом по предотвращению, ликвидации и предупреждению последствий компьютерных атак.
С учетом влияния внешних обстоятельств и изменений в геополитической обстановке первостепенным вектором сотрудничества становится Азия. При этом Китай и обе Кореи довольно самостоятельны и закрыты внутри себя, а Япония активно взаимодействует с западным альянсом. Таким образом наиболее перспективным является взаимодействие (союз) с глобальным ИТ-хабом или «новым информационным чудом» – Индией.
В данной статье мы рассмотрим, как обстоит ситуация с защитой КИИ в Индии, а также чем она отличается от обстановки в России.
Определение
В соответствии с ITA-2000 в Индии КИИ – это компьютерный ресурс, вывод из строя или уничтожение которого оказывает пагубное воздействие на национальную безопасность, экономику страны, жизнь и здоровье граждан.
Можно отметить, что несмотря на различия при дословном сравнении определений в законах Индии и России, смысловая нагрузка не отличается. Особенностью является то, что определение организации как субъекта КИИ осуществляет не сама организация, а Национальный центр защиты критически важной информационной инфраструктуры (можно сказать, что это российские НКЦКИ и ФСТЭК в одном флаконе). Еще одним заметным отличием в этом вопросе является дата введения. В Индии законодательно определение КИИ было закреплено в 2014 году, в то время как в России это произошло только в 2017 году. Здесь индусы нас опередили, но об этом мы еще поговорим дальше.
Сферы деятельности
Вот здесь и начинаются отличия. Если в российском законодательстве выделено 13 сфер деятельности субъектов КИИ, то в Индии их всего 6, а именно:
энергетика;
финансовый сектор;
телеком;
транспорт;
правительство;
промышленность.
В чем же существенные отличия, и чем они вызваны?
Первое – в Индии четко выделена сфера «правительство», которая отсутствует в нашем законодательстве. В России есть требования по защите государственных информационных систем, но далеко не все из них являются объектами КИИ. В Индии же включение «правительства» в сферы деятельности КИИ можно связать с существенно большей численностью населения и большего количества многомиллионных городов в Индии нежели в России.
Второе – это объединение «промышленность». Если в нашем случае сферы деятельности в этом направлении разделены на химическую, металлургическую и так далее, то в Индии все это объединено в одну сферу.
Третье – в индийском законодательстве отсутствует упоминание науки и здравоохранения, которые у нас выделены отдельно. Более того в России в сфере здравоохранения активно развиваются внутренние методички, рекомендации и различные инструкции по защите КИИ.
Категории и профили
В отличие от российского законодательства в Индии объектам КИИ присваивается профиль (high risk, medium risk, low risk). При этом его оценка является исключительно общей и производится фактически субъективно. Что это значит? В Индийском законодательстве отсутствуют критерии, по которым субъект КИИ мог бы наиболее корректно рассчитать и определить профиль своих объектов. Здесь, несмотря на все противоречия, Постановление Правительства РФ от 08.02.2018 № 127-ПП выглядит намного более применимым на практике.
Законодательство
На сегодняшний день в законодательство Индии в области защиты КИИ содержит следующий перечень:
Закон об информационных технологиях от 09.06.2000 (ITA-2000).
И несколько небольших рекомендаций по реагированию на инциденты.
Мы не будем подробно рассматривать каждый документ, но выделим их положительные и отрицательные стороны, которые все являются отличиями в сравнении с российским законодательством.
Положительные:
Ранний старт. По сути, с 2013 года в Индии началось активное развитие тематики КИИ. Как мы уже и говорили индусы намного раньше определились с понятием КИИ и сферами деятельности субъектов.
Особое место SCADA-систем. Пока российское законодательство говорит в общих чертах об объектах КИИ и приоритетном применении встроенных механизмов защиты, в индийском же постоянно встречается упоминание SCADA-систем как ключевой точки при защите промышленных систем. При этом индийское законодательство явно говорит о том, что многие предприятия используют устаревшее оборудование, и поэтому должны быть применены компенсирующие меры, такие как анализ сетевого трафика, выявление аномалий и другие.
Поощрение применения лучших практик по защите КИИ. Все индийские документы, брошюры, рекомендации содержат позицию правительства о поощрении применения стандартов ISO, NIST и других лучших практик при защите КИИ. Причем это поддерживается не только на уровне слов, но и финансово (льготные кредиты, субсидии и т.д.).
Отрицательные:
Дней Александровых прекрасное начало. В каком-то смысле можно сравнить область защиты КИИ в Индии с известной строчкой Пушкина. Несмотря на то, что индусы заметно раньше России начали развивать этот вопрос, но дальше началась стагнация. С 2015 года перестали обновляться основные законодательные акты, а с 2017 года перестали обновляться рекомендации по защите КИИ. Обновленная редакция Стратегии национальной безопасности, содержащая положения по защите КИИ, в том числе ее проект так и не были созданы. К отраслевым стандартам, кстати, тоже никто не притронулся.
Поверхностность. Все требования, как по категорированию объектов КИИ, так и обеспечению их защиты, верхнеуровневые. Они не содержат никакой глубины и при первом же удобном случае говорят: «Сделайте по лучшим практикам (ISO, NIST и т.д.)».
Ответственность
Естественно, как и в России, в Индии установлена ответственность за нарушение функционирования КИИ или ее объектов. Системы ответственности Индии и России, несомненно, имеют отличия:
Первое. В России ответственность за нарушения функционирования или состояния безопасности КИИ и ее объектов зафиксирована в Кодексе об административных правонарушениях (ст. 13.12, 13.12.1, 13.13, 19.7.15) и Уголовном Кодексе (ст. 274.1, 293). В Индии же ответственность в рамках КИИ установлена непосредственно в ITA-2000.
Соответственно из этого вытекает второе отличие. Если в России некоторые правонарушения предусматривают только денежные штрафы, то в Индии все статьи предусматривают возможное лишение свободы. В этой части индусы жестче нас. Это касается и денежных штрафов, которые, в основном, выше российских.
Третьим отличием является то, что в качестве правонарушений в Индии рассматриваются только целенаправленные попытки нарушения функционирования КИИ, в России же есть ответственность и за невыполнение требований регулятора или за халатность. Приведем несколько примеров ответственности по законодательству Индии:
Ст.66 взлом компьютерной системы – лишение свободы до 3 лет и/или штраф до 500 000 рупий;
Ст.66F за совершение акта кибертерроризма, под которым подразумевается получение незаконного доступа к защищенной системе или ввод в систему данных, нарушающих ее функционирование, с намерением подвергнуть угрозе единство, целостность, суверенитет или безопасность Индии – пожизненное лишение свободы.
Россия и Индия
Несмотря на то, что в начале данной статье мы выделили взаимодействие с Индией как наиболее перспективный вектор, однако уже сегодня оно не находится в нулевой точке.
В июне 2006 года было сформировано объединение БРИК (позднее БРИКС), членами которого являются Россия и Индия. В рамках данной структуры заявлено сотрудничество стран-участников по различным направлениям, в том числе по обеспечению международной информационной безопасности и противодействию использования ИТ-технологий в военно-политических, террористических и криминальных целях, а также целях, противоречащих обеспечению международного мира, стабильности и безопасности. Далее по результатам 5-го саммита БРИКС в сентябре 2017 была повторно подтверждена необходимость сотрудничества в области информационной безопасности. Итогом стала «дорожная карта», включающая сотрудничество по направлениям:
создания сети сотрудничества между национальными центрами реагирования на компьютерные инциденты;
углубление практического сотрудничества между ведомствами, отвечающими за безопасность в сфере ИТ;
проведение совместных исследований и разработок в области информационной безопасности.
Также 15 октября 2016 года между Россией и Индией было заключено Соглашение о сотрудничестве в области информационной безопасности. В данном соглашении зафиксированы общие принципы и механизмы сотрудничества, основные угрозы информационной безопасности, а также направления сотрудничества, среди которых можно выделить следующие:
сотрудничество в области исследований и развития информационной безопасности;
разработка совместных мер по обеспечению безопасности КИИ;
обмен опытом в области выявления, предотвращения и снижения последствий компьютерных атак.
По прошествии небольшого промежутка времени, 9 июня 2017 года, Индия стала полноправным членом Шанхайской организации сотрудничества (далее – ШОС). Среди целей и задач ШОС также фигурирует укрепление сотрудничества между государствами в области противодействия кибертерроризма с использованием ИТ-технологий и обеспечения безопасности критически важных инфраструктур.
Спустя 4 года, 6 декабря 2021 года в Нью-Дели состоялись переговоры президента Российской Федерации Владимира Путина и премьер-министра Индии Наренды Моди.
По результатам встречи в числе публичных заявлений были и те, которые напрямую касаются темы данной статьи:
Россия и Индия будут наращивать сотрудничество в сфере защиты информации, в том числе по защите КИИ;
Вывод
Необходимость сотрудничества между государствами, в частности между Россией и Индией, по противодействию киберпреступлению и защите КИИ становится все более актуальной с каждым днем. К счастью, это видят не только автор(ы) данной статьи, но и чиновники обеих стран, поэтому уже сегодня можно увидеть дружеское заимствование практик и методик по защите информации и предотвращению компьютерных атак.
Более того перспективы развития сотрудничества между странами могут и должны выражаться в сотрудничестве бизнесов стран по таким направлениям, как:
координация между экспертными в области информационной безопасности компаниями России и Индии по вопросам противодействия компьютерным атакам, проектированию и разработке средств и систем информационной безопасности;
координация между экспертными в области информационной безопасности компаниями России с промышленными предприятиями Индии по вопросам противодействия компьютерным атакам и обеспечению защиты КИИ.
Надеемся, что более существенные результаты сотрудничества России и Индии в области информационной безопасности мы сможем наблюдать в ближайшее время.
