Информационная безопасность электронного правительства

В целях снижения издержек государственного управления и повышения качества, доступности и прозрачности государственных услуг 6 мая 2008 г. Правительством РФ была утверждена концепция «электронного правительства». Прошло семь лет, и сервисами электронного правительства пользуется уже более 16 млн человек, т. е. 11% населения страны. Электронное правительство помогло сэкономить десятки тысяч часов наиболее активного населения, преобразило многие процессы (от учета платежей за государственные и муниципальные услуги до государственных закупок) и накопило терабайты персональных и других чувствительных данных.

За это время произошли существенные изменения в нормативной базе – вышли 17-й и 21-й приказы ФСТЭК с требованиями к государственным системам и ИСПДн, коренным образом изменился ландшафт угроз. Даже такие хорошо защищенные организации, как кадровое управление Правительства США, Министерство обороны США и Пенсионный фонд Японии пострадали от атак хакеров, хотя их требования по защите указанных систем, возможно, даже более жесткие, чем российские. А ведь фундамент российского электронного правительства и его подсистемы ИБ закладывались в 2009–2012 гг., механизмы ИБ и требования к ним определялись действующей на тот период нормативной базой ФСБ и ФСТЭК и на данный момент уже недостаточны.

К 2018 г. согласно майским указам Президента РФ 70% граждан будут использовать государственные услуги в электронной форме, а значит, 100 млн, т. е. семь из восьми использующих Интернет, россиян передадут свои данные электронному правительству. Будет сформирован один из крупнейших федеральных банков данных, не уступающий банкам данных силовых структур и социальных служб. В силу связности электронного правительства с базами данных социальных и фискальных служб при недостаточной защищенности электронного правительства каждый гражданин будет находиться под ударом. Электронное правительство не только хранит данные, но и позволяет совершать юридически значимые действия, например подавать налоговые декларации, что может быть использовано во вред как частным лицам, так и национальным интересам в целом.

Архитектура и уязвимости электронного правительства

Согласно системному проекту электронного правительства в состав федерального сегмента входят такие инфраструктурные ИС, как единый портал государственных и муниципальных услуг (функций), сводный и федеральный реестры государственных услуг, система идентификации и аутентификации пользователей (далее – ЕСИА), корневой (головной) УЦ, резервные программно-аппаратные мощности, центральные узлы системы межведомственного электронного взаимодействия (далее – СМЭВ) и информационно-платежного шлюза, реестры технологических стандартов и нормативно-справочных данных, реестр ИС электронного правительства, подсистемы обеспечения информационной безопасности, контроля и мониторинга работоспособности элементов инфраструктуры электронного правительства и предоставляемых с ее помощью сервисов и др. Помимо инфраструктурных ИС федеральный и региональные сегменты инфраструктуры могут обеспечивать функционирование прикладных учетных, информационно-справочных и информационно-правовых ИС.

Типовой региональный сегмент инфраструктуры обеспечивает функционирование региональных сегментов перечисленных федеральных ИС (системы идентификации и аутентификации, УЦ, информационно-платежных шлюзов, СМЭВ, систем автоматизации регламентов оказания госуслуг в электронном виде и др.), региональных и муниципальных порталов и реестров государственных услуг, иных прикладных ИС, систем обеспечения информационной безопасности, систем контроля и мониторинга работоспособности элементов инфраструктуры и предоставляемых на ее базе сервисов. На базе региональных сегментов инфраструктуры органам государственной власти субъектов Российской Федерации, органам местного самоуправления предоставляются сервисы (услуги) по обеспечению технологических процессов предоставления в электронном виде государственных и муниципальных услуг (например, услуги по интеграции ИС или хостинг-услуги). Типовые региональные сегменты инфраструктуры могут размещаться в центрах обработки данных единого национального оператора инфраструктуры электронного правительства в субъектах Российской Федерации.

Но под электронным правительством традиционно понимают более ограниченное количество информационных систем, а именно ряд ключевых компонентов (СМЭВ, единый портал государственных услуг и ЕСИА). Для понимания структуры рисков информационной безопасности электронного правительства целесообразно включить в понятие объекта защиты вычислительную инфраструктуру электронного правительства (ИЭП), а также инфраструктуру доступа в виде многофункциональных центров обслуживания (МФЦ).

Электронное правительство в силу природы централизованного дистанционного обслуживания обладает рядом врожденных уязвимостей:

• доступ граждан к ЕПГУ через Интернет;
• доступ граждан с недоверенных рабочих мест;
• передача данных граждан через Интернет;
• передача данных государственных учреждений через Интернет;
• централизованное хранение данных граждан;
• использование технологий санкционных стран.

Риски ИБ электронного правительства

На рисунке не отображена уязвимость «использование технологий санкционных стран», позволяющая понять специфику ландшафта рисков электронного правительства. Ландшафт включает не только классические риски информационной безопасности, но и риски кибербезопасности – ИБ государственного уровня, связанные с санкциями и возможными атаками, финансируемыми государствами злоумышленников. Соответственно, разумно разделить риски на две группы – ИБ-риски и КБ-риски:

• ИБ 01. Потеря контроля над данными вследствие делегирования контроля или поддержки поставщику с неадекватной системой ИБ;
• ИБ 02. Неэффективная работа механизмов разграничения доступа к данным граждан вследствие уязвимостей ПО и конфигурации;
• ИБ 03. Нарушение нормативных требований по защите данных вследствие длинного цикла модернизации масштабной инфраструктуры электронного правительства при регулярно изменяющемся законодательстве РФ;
• ИБ 04. Компрометация доступа гражданина вследствие успешного перебора паролей или компрометации рабочего места сотрудника клиента;
• ИБ 05. Злоупотребление административными привилегиями вследствие недостаточно эффективных систем кадровой безопасности и производственного контроля;
• ИБ 06. Утечка данных граждан вследствие неэффективной процедуры безопасного удаления данных с мест хранения;
• ИБ 07. Потеря данных граждан, недоступность сервиса либо превышение установленных законом сроков по оказанию услуг вследствие недостаточной организации процесса поддержки, отсутствия реализации решений по отказоустойчивости в архитектуре либо DoS-атаки;
• ИБ 08. Взлом инфраструктуры электронного правительства через уязвимости на уровне приложений или сети;
• КБ 01. Хищение и публикация в сети Интернет данных граждан кибертеррористами или спонсируемыми иностранными государствами группировками;
• КБ 02. Непредвиденные затраты на поддержку и развитие систем электронного правительства вследствие изменения курса доллара;
• КБ 03. Невозможность восстановления сервиса вследствие отсутствия поддержки иностранными производителями из-за санкций против России.

На текущий момент существует целый ряд примеров реализации перечисленных рисков:

• 2002 г. – сбой в работе 2 тыс. серверов и 17 тыс. трейдеров швейцарского банка UBS из-за внедренной администратором Робертом Дуронио логической бомбы;
• 2008 г. – администратор сети города Сан-Франциско Терри Чайлдс отказался предоставить ИТ-менеджменту пароли для сетевого оборудования;
• 2013 г. – крупнейшая американская розничная сеть Target была взломана через инфраструктуру подрядчика Fazio Mechanical Services;
• 2014 г. – европейский офис поставщика Cisco Curvature отказался поставлять Cisco российской компании Элекард из-за санкций;
• 2014 г. – задержки поставок Cisco и Juniper в силовые структуры;
• 2015 г. – отказ поставлять ПО для управления доступом западным вендором в нефтегазовую компанию;
• 2015 г. – государственный пенсионный фонд Японии был взломан и данные 1,25 млн подданных Японии были похищены;
• 2015 г. – кадровое управление правительства США было взломано и данные 17 млн государственных служащих, военнослужащих, сотрудников специальных служб и кандидатов на вакансии правительства США были похищены.

Многообразие угроз делает задачу обеспечения ИБ электронного правительства сложной и, что важнее, нуждающейся в постоянном совершенствовании.

Архитектура ИБ электронного правительства на федеральном и региональном уровнях (Москва)

Подсистема ИБ состоит из трех частей: технологических мер ИБ, организационных мер ИБ и специфических мер по защите от утечек по техническим каналам связи (ПЭМИН, акустика и пр.)

            Используемые в инфраструктурах электронного правительства технологические меры ИБ представлены в таблице. Конечно, для построения эффективной и соответствующей требованиям системы ИБ можно использовать и оборудование других производителей.

Таблица. Технологические меры ИБ

Организационные меры ИБ

Организационные меры ИБ охватывают 14 направлений, реализуемых в федеральном и региональном сегментах электронного правительства:

• разработка (совершенствование) системы документов, регламентирующих вопросы ИБ;
• назначение и подготовка должностных лиц (сотрудников), ответственных за организацию и проведение мероприятий по обеспечению безопасности информации и процессов ее обработки;
• инвентаризация, классификация и учет подлежащих защите ресурсов (информации, задач, каналов связи, серверов, автоматизированных рабочих мест и т. д.);
• организация и контроль процессов присвоения, внесения в систему разграничения доступа модификации и удаления полномочий пользователей по доступу к информационным системам и информации электронного правительства;
• организация процессов изменения настроек средств защиты в связи с постоянным развитием электронного правительства (подключением новых объектов, пользователей, IP-адресов, внедрением информационных систем и т. д.); организация процессов оперативного контроля за работой средств защиты и разработка мер своевременного реагирования на выявленные факты нарушения информационной безопасности;
• организация периодического контроля работоспособности и технического обслуживания средств защиты;
• организация своевременного копирования и хранения информационных настроек средств защиты в целях быстрого восстановления компонентов системы обеспечения информационной безопасности при сбоях оборудования или возникновении нештатных ситуаций;
• периодический контроль соответствия реальных настроек средств защиты и настроек, предписанных политикой безопасности (эталонных настроек);
• организация процессов своевременного обновления программного и информационного обеспечения средств защиты (исправлений программного обеспечения, обновления баз данных антивирусных сигнатур и сигнатур сетевых атак и т. д.);
• организация процесса обучения обслуживающего персонала правилам эксплуатации и технического обслуживания средств защиты;
• организация процесса обучения пользователей работе со средствами защиты;
• контроль эффективности и достаточности принимаемых мер защиты в связи с постоянным развитием системного обеспечения электронного правительства и изменяющимися источниками угроз;
• организация процесса расследования инцидентов и нарушений установленных регламентов и инструкций по обеспечению безопасности;
• организация сертификации средств защиты информации, контроль за использованием лицензионного программного обеспечения.

Возможные варианты стратегии ИБ электронного правительства

Не стоит надеяться, что недавний доклад экспертов США, Китая, России, Великобритании и Франции в ООН о необходимости ограничения действий стран в киберпространстве позволит снизить потребность в финансировании ИБ электронного правительства, ведь государства всегда смогут действовать через, на первый взгляд, не аффилированные структуры. Медленно движется и федеральная инициатива ГосСОПКА, а значит, Минкомсвязь во многом предоставлено само себе в деле обеспечения ИБ электронного правительства. С учетом произошедших после построения системы защиты электронного правительства изменений нормативной базы (ФСТЭК, ФСБ) и непрерывно меняющегося ландшафта угроз необходимо провести критический анализ и кардинально усовершенствовать систему информационной защиты представления государственных услуг.

Совершенствование ИБ электронного правительства

Для обеспечения защищенности электронного правительства как с формальной, так и с фактической точек зрения необходимо провести следующие мероприятия:

• определение ответственных за обеспечение ИБ в ИЭП;
• классификация систем ИЭП в соответствии с измененной нормативной базой;
• формирование набора требований к базовым сервисам ИЭП в соответствии с измененной нормативной базой;
• актуализация проектных решений по набору базовых сервисов ИБ;
• реализация проектных решений, выпуск измененных регламентов и исполнительской документации для системы ИБ;
• создание системы управления процессами ИБ в ИЭП и системы оценки эффективности системы информационной безопасности в ИЭП.

Адаптивный доступ к ЕПГУ

Компрометация доступа гражданина – его рабочего места происходит сплошь и рядом. По данным российских антивирусных лабораторий, уже десятки процентов россиян сталкивались с кибератаками. Однако в связи с отсутствием компетенций и средств у граждан обеспечить эффективную защиту невозможно. С другой стороны, электронное правительство на основе технологий адаптивного доступа может проверять соответствие рабочего места гражданина базовым требованиям безопасности (обновления, наличие актуального антивируса), присутствие IP-адреса гражданина в «черных» списках исследовательских лабораторий и нормальность его поведения. Например, резкое изменение месторасположения гражданина (скажем, Россия – Бразилия) является существенным риском. На основе риска (комбинации указанных риск-факторов) возможны отказ гражданину в доступе или ограничение получением, например, информационных государственных услуг. Примерно так организован доступ к корпоративным ресурсам компании (Zero-Trust Policy).

Универсальные электронные карты и идентификация граждан

Универсальная электронная карта может стать безопасным и удобным защищенным носителем идентификационной информации. Ее применение обеспечит несколько лет технологического превосходства над киберпреступниками, что обусловливается сложностью атаки на доверенный носитель доверенного сертификата.

Единые требования к подрядчикам

Сервисы и инфраструктура электронного правительства проектируются, разрабатываются и поддерживаются десятками разных организаций, в каждой из которых свои уровень ИБ и поверхность атаки. Поскольку электронное правительство априори подвержено атакам со стороны таких организаций, необходимо выработать единые требования к подрядчикам. Об этом уже задумались на Западе (USA OBM – Improving Cybersecurity Protection in Federal Acquisitions, EU ENISA – A guide to monitoring of security service levels in cloud contracts и PCI Council). Среди таких требований должны быть:

• требования по защищенности инфраструктуры и управлению уязвимости;
• требования по организации мониторинга безопасности и совершенствованию на основе выявленных инцидентов;
• требования по управлению доступом и проверке персонала;
• требования по инженерно-технической и физической защищенности ИТ-инфраструктуры;
• требования по эскалации и взаимодействию Службы ИБ подрядчика со Службой ИБ заказчика при крупных инцидентах либо серьезных уязвимостях.

Кроме того, разумно внедрить систему контроля выполнения требований:

• внешний аудит требований, сертифицированный компанией-аудитором;
• аудит требований службой ИБ заказчика;
• периодическая самооценка подрядчика по требованиям безопасности;
• подключение подрядчика к ГосСОПКА либо к сертифицированному ситуационному центру обеспечения безопасности (SOC).

            Недавние инциденты и усилившееся внимание к ИБ США связаны с законодательной необходимостью уведомлять граждан об утечках персональных данных. Введение аналогичной нормы в России стимулировало бы повышение защищенности данных пользователей электронного правительства органами государственной власти и операторами персональных данных в целом.

Геополитическая ситуация ставит перед разработчиками электронного правительства серьезную задачу: необходимо перевести все ключевые компоненты на отечественные решения. Увы, во многом отечественные решения отстают от западных. Однако в России немало талантливых программистов, следовательно, существует возможность разработать качественно новые решения с масштабируемой архитектурой и адекватной задачам электронного правительства философией.

Заключение

Система информационной безопасности электронного правительства нуждается в переосмыслении и совершенствовании. Несмотря на то что ИБ российского электронного правительства находится на одном из высочайших в стране уровней, количество защищаемой информации и потенциальное влияние на граждан, организации и предприятия требуют более высокого уровня безопасности. Совершенствование ИБ должно быть неотъемлемой частью развития электронного правительства, но финансироваться программа развития системы информационной защиты должна отдельно.