Анализ положений Доктрины информационной безопасности РФ

5 декабря 2016 года вступил в силу указ Президента Российской Федерации, утверждающий новую Доктрину информационной безопасности, заменившую документ, действовавший в России с 2000 года. Это существенный шаг, направленный на регулирование вопросов информационной безопасности в нашей стране. Доктрина отражает национальные интересы, официальные взгляды на цели, задачи, принципы и основные направления обеспечения информационной безопасности в Российской Федерации. Предлагаем рассмотреть наиболее значимые положения нового документа и порассуждать о предпосылках внесенных изменений.

Доктрина не только описывает стратегию действий по обеспечению информационной безопасности в нашей стране на следующий десяток лет, но и объясняет существующие недостатки эффективности принимаемых мер.

Документ наполнился конкретикой, а факторы, влияющие на состояние информационной безопасности в России, охватили все направления деятельности общества: кредитно-финансовую сферу, области обороны, государственной и общественной безопасности, науки, технологий и образования, стратегической стабильности и равноправного стратегического партнерства.

Определения и общие положения

В первый раздел новой доктрины вошли основные понятия, применяемые в документе, которые в новой редакции стали полнее, шире и приобрели более структурированный вид. Доктрина основана на Конституции, федеральных законах и нормативных правовых актах, что подтверждают используемые в документах формулировки и термины. Так, например, в основе понятия «информационная инфраструктура Российской федерации» используется термин «сайт в сети Интернет», который был введен в Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» в редакции 2012 года.

Национальные интересы Российской Федерации в информационной сфере

За время, прошедшее с момента публикации первой доктрины, информационная сфера претерпела значительные изменения. Информационные технологии приобрели глобальный трансграничный характер и стали неотъемлемой частью всех областей деятельности человека, а экономическое развитие государства стало больше зависеть от эффективности их применения.

Неудивительно, что национальные интересы Российской Федерации в информационной сфере расширились. Раньше выделялись четыре основные составляющие национальных интересов:

1. «Соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны».

2. «Информационное обеспечение государственной политики Российской Федерации, связанное с доведением до российской и международной общественности достоверной информации о государственной политике Российской Федерации, ее официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам».

3. «Развитие современных информационных технологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутреннего рынка ее продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов».

4. «Защита информационных ресурсов от несанкционированного доступа, обеспечение ИБ информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России».

Первые две составляющие, несмотря на изменения в формулировках, сохранили свою значимость, поскольку опираются на основы конституционных прав и свобод гражданина:

1. «Обеспечение и защита конституционных прав и свобод человека и гражданина в части, касающейся получения и использования информации, неприкосновенности частной жизни при использовании информационных технологий, обеспечение информационной поддержки демократических институтов, механизмов взаимодействия государства и гражданского общества, а также применение информационных технологий в интересах сохранения культурных, исторических и духовно-нравственных ценностей многонационального народа Российской Федерации».

2. «Доведение до российской и международной общественности достоверной информации о государственной политике Российской Федерации и ее официальной позиции по социально значимым событиям в стране и мире, применение информационных технологий в целях обеспечения национальной безопасности Российской Федерации в области культуры».

Что касается других категорий национальных интересов, то авторы доктрины учли текущую ситуацию в мире информационных технологий и не обошли стороной проблему компьютерных атак, направленных на промышленную сферу. Как неоднократно отмечали эксперты Positive Technologies в своих публикациях[1], от защищенности объектов критической информационной инфраструктуры зависит национальная безопасность. Государственные регулирующие органы, в свою очередь, уже разработали требования, направленные на повышение безопасности на критически важных и потенциально опасных объектах (к примеру, приказ ФСТЭК № 31 и руководящие документы ФСТЭК по защите ключевых систем информационной инфраструктуры). А теперь обеспечение безопасности промышленных систем стало одним из национальных интересов России в информационной сфере.

Приоритетами Российской Федерации были также названы:

1. «Обеспечение устойчивого и бесперебойного функционирования информационной инфраструктуры, в первую очередь критической информационной инфраструктуры Российской Федерации и единой сети электросвязи Российской Федерации, в мирное время, в период непосредственной угрозы агрессии и в военное время».

2. «Развитие в Российской Федерации отрасли информационных технологий и электронной промышленности, а также совершенствование деятельности производственных, научных и научно-технических организаций по разработке, производству и эксплуатации средств обеспечения информационной безопасности, оказанию услуг в области обеспечения информационной безопасности».

3. «Содействие формированию системы международной информационной безопасности, направленной на противодействие угрозам использования информационных технологий в целях нарушения стратегической стабильности, на укрепление равноправного стратегического партнерства в области информационной безопасности, а также защиту суверенитета Российской Федерации в информационном пространстве».

Последнее направление также нельзя оставить без внимания. Физические границы, разделяющие государства, не останавливают компьютерные атаки, а значит, для обеспечения информационной безопасности России недостаточно мер, принимаемых только внутри нашей страны. Объединение усилий с другими государствами, спланированная и скоординированная совместная деятельность — это важный шаг на пути к обеспечению информационной безопасности.

Основные информационные угрозы и состояние информационной безопасности

Как уже говорилось, новая версия доктрины более конкретна. Так, при описании основных информационных угроз и состояния информационной безопасности в опубликованном документе приводятся характеристики и негативные факторы, влияющие на состояние информационной безопасности в различных областях.

В числе основных информационных угроз были названы «наращивание рядом зарубежных стран возможностей информационно-технического воздействия на информационную инфраструктуру в военных целях» и усиление «деятельности организаций, осуществляющих техническую разведку в отношении российских государственных органов, научных организаций и предприятий оборонно-промышленного комплекса».

Действительно, опыт Positive Technologies, связанный с расследованием инцидентов информационной безопасности, показал, что за последние пару лет деятельность организаций государственного сектора неоднократно становилась целью кибершпионажа. Например, летом 2016 года была обнаружена группировка, использовавшая вредоносное программное обеспечение Remsec для шпионажа за крупной российской корпорацией.

На место проблем «вытеснения российских информационных агентств, средств массовой информации с внутреннего информационного рынка и деформации структуры международного информационного обмена» и «манипулирования информацией», которых касалась доктрина 2000 года, пришла угроза увеличения «в зарубежных средствах массовой информации объема материалов, содержащих предвзятую оценку государственной политики Российской Федерации». Подтверждения этому можно видеть в событиях последних лет. Средства массовой информации, преимущественно публикуемые в сети Интернет, сегодня становятся оружием манипулирования общественным мнением, провоцируют различного рода конфликты, разжигают информационные войны. Кроме того, в зарубежных изданиях нередко встречается фальсификация исторических событий. Эту проблему не обошли стороной и авторы новой доктрины, в которой говорится, что «российские СМИ зачастую подвергаются за рубежом дискриминации», «наращивается информационное воздействие на население России», в том числе направленное на «подрыв исторических основ и патриотических традиций, связанных с защитой Отечества». А значит, принятие мер, направленных на защиту от информационно-психологического воздействия на общество, становится необходимым.

В новом документе выделяются следующие сферы, наиболее подверженные деструктивным воздействиям ввиду тех или иных недостатков:

• Кредитно-финансовая

  Ущерб, наносимый в ходе компьютерных атак на финансовые организации, непрерывно растет.

• Оборонная

  Увеличивается масштаб применения информационных технологий в военно-политических целях.

• Государственная

  Растет число целевых атак на объекты критической информационной инфраструктуры, усиливается разведывательная деятельность спецслужб иностранных государств.

• Научная

  Эффективность научных исследований, направленных на создание перспективных информационных технологий, недостаточна, а мероприятия по обеспечению безопасности информационной инфраструктуры с использованием отечественных технологий и продукции зачастую не имеют комплексной основы. Тем не менее в сравнении с предыдущей редакцией видны значительные изменения в ситуации с отечественными информационными технологиями. Вопросы о вынужденной закупке импортной техники и привлечении иностранных фирм при создании информационных систем в органах государственной власти уже не поднимаются.

Отдельно стоит выделить проблему «недостаточности кадрового обеспечения в области информационной безопасности», которая за 16 лет не только не была решена, но и обострилась. Кроме того, «низкая осведомленность граждан в вопросах обеспечения личной информационной безопасности», по мнению экспертов Positive Technologies, является одним из главных недостатков в системе защиты любой организации и основной причиной успешности атак, проводимых с использованием методов социальной инженерии.

Стратегические цели и основные направления обеспечения информационной безопасности

Описание стратегических целей обеспечения информационной безопасности в новой доктрине было сведено к минимуму, но сохранило основные направления.

Так, в экономической сфере выделяются «разработка и производство конкурентоспособных средств обеспечения информационной безопасности, а также повышение объемов и качества оказания услуг в области обеспечения информационной безопасности». Помимо развития отрасли информационных технологий предполагается увеличение доли отечественных разработок в структуре экспорта страны и ликвидация зависимости от зарубежных технологий.

В области обороны обеспечение информационной безопасности должно быть направлено на сдерживание и предотвращение военных конфликтов, «совершенствование системы обеспечения ИБ Вооруженных Сил РФ и других войск, воинских формирований и органов» Российской Федерации, нейтрализацию информационно-психологического воздействия.

Особое внимание в новой доктрине уделяется обеспечению государственной и общественной безопасности. Особенно выделяются направления повышения «защищенности критической информационной инфраструктуры и устойчивости ее функционирования», «недопущения иностранного контроля за функционированием» объектов информационной инфраструктуры, «пресечения деятельности, наносящей ущерб национальной безопасности Российской Федерации», осуществляемой специальными службами и организациями иностранных государств, совершенствования методов и способов производства, основанных на использовании отечественных разработок.

В области науки выделяется стратегическая цель по поддержке инновационного и ускоренного развития системы обеспечения информационной безопасности.

Участвуя в формировании системы международной информационной безопасности, защищая суверенитет России в информационном пространстве, развивая национальную систему управления российским сегментом сети Интернет, предполагается обеспечить информационную безопасность в области стратегической стабильности и равноправного стратегического партнерства.

Выводы

Залогом высокой эффективности мер по обеспечению информационной безопасности является осведомленность граждан в вопросах обеспечения личной информационной безопасности. Доктрина позволяет акцентировать внимание людей на этой проблеме.

Нельзя не отметить нацеленность государства на «повышение конкурентоспособности российских компаний, осуществляющих деятельность в отрасли информационных технологий и электронной промышленности, разработку, производство и эксплуатацию средств обеспечения информационной безопасности, в том числе за счет создания благоприятных условий для осуществления деятельности на территории Российской Федерации», на развитие кадрового потенциала.

«Обеспечение устойчивого и бесперебойного функционирования информационной инфраструктуры, особенно критической информационной инфраструктуры» — наиболее важная задача для всех нас. Изменения в этой сфере продиктованы ростом числа атак на государственные структуры и промышленные объекты, который наблюдается в последние годы.

Положения, отраженные в новой доктрине, действительно актуальны, поскольку отражают текущее состояние информационной безопасности в России и подчеркивают проблемы и информационные угрозы, направленные на все сферы деятельности общества. Стратегия информационной безопасности 2000 года основывалась на предположениях о потенциально возможных кибератаках со стороны криминала, международных террористических организаций, разведывательных структур иностранных государств. Новая же доктрина учитывает реальные события, произошедшие в сфере информационной безопасности за последние 16 лет. Например, предупреждение Федеральной службы безопасности, опубликованное в декабре минувшего года, о планах иностранных спецслужб использовать хакеров для дестабилизации финансовой системы России — хорошо согласуется с положениями доктрины, подчеркивающей направленность государства на повышение защищенности критической информационной инфраструктуры Российской Федерации. В документ вошли такие понятия, как «сайт», «Интернет», «личная информационная безопасность», которые сегодня наиболее актуальны для граждан, был учтен текущий уровень развития информационных технологий.

Государство ведет колоссальную работу по обеспечению информационной безопасности Российской Федерации на законодательном, исполнительном и судебном уровнях. Переработка положений доктрины 2000 года является одним из шагов по совершенствованию системы обеспечения информационной безопасности. И хотя доктрина сама по себе не является нормативно-правовым актом, она определяет стратегию Российской Федерации в информационной сфере на ближайшие годы и служит основой для совершенствования правового, методического, научно-технического и организационного обеспечения информационной безопасности Российской Федерации, а значит — изменения в законодательстве не заставят себя ждать. Подтверждением этому стала публикация 6 декабря законопроекта «О безопасности критической информационной инфраструктуры Российской Федерации», устанавливающего организационные и правовые основы обеспечения безопасности критической информационной инфраструктуры в нашей стране.

[1] https://www.ptsecurity.com/ru-ru/research/analytics/