книги хакеры / кибербезопасность

Руководство по кибербезопасности для развивающихся стран

Издание 2007 года

© ITU 2007

Все права сохранены. Ни одна из частей данной публикации не может быть воспроизведена с помощью каких-либо средств без предварительного письменного разрешения МСЭ.

Названия и классификации, используемые в данной публикации, не подразумевают какой бы то ни было оценки правового или иного статуса любой территории, а также подтверждения или одобрения какой бы то ни было границы со стороны Международного союза электросвязи. Слово "страна", используемое в данной публикации, охватывает страны и территории.

Отказ от ответственности

Ссылки на определенные страны, компании, продукцию, инициативы или руководства ни в коем случае не предполагают, что МСЭ одобряет или рекомендует упомянутые страны, компании, продукцию, инициативы и руководства как лучшие по сравнению с аналогичными компаниями, продукцией, инициативами и руководствами, которые не были упомянуты. Мнения, высказываемые в данной публикации, являются позицией автора и не касаются МСЭ.

Международные организации, правительства стран, представители деловых кругов и гражданского общества собрались на Всемирной встрече на высшем уровне по вопросам информационного общества (ВВУИО), проходившей в два этапа в Женеве и Тунисе, для того, чтобы сформировать общую концепцию информационного общества.

Однако претворить эту общую концепцию в жизнь во всем мире мы можем, только если обеспечим безопасность электронных транзакций, защитим инфраструктуры важной информации, информационные системы и данные, на которые полагаются бизнесмены, правительства и граждане.

Неоптимальные решения в области кибербезопасности, отсутствие взаимопонимания по определенным вопросам и необходимость решать данную проблему в глобальном масштабе – вот лишь несколько сложных задач, ответы на которые мы должны искать сообща.

Международный союз электросвязи (МСЭ) в качестве ведущей содействующей организации Направление деятельности С.5 – Укрепление доверия и безопасности при использовании ИКТ ВВУИО обязуется сотрудничать со всеми участниками, для того чтобы добиться общего понимания стоящих перед нами задач и объединить наши коллективные ресурсы для построения глобальной структуры безопасности и доверия.

Приглашаю Вас присоединиться к нам и работать на благо создания безопасного глобального информационного общества.

Д-р Хамадун И. Туре

Генеральный секретарь Международного союза электросвязи (МСЭ)

Предисловие iii

Появление глобального и не имеющего границ информационного общества дает всем странам мира новые возможности, поскольку технологии играют все более важную роль в социальном и экономическом развитии. Благодаря применению информационно-коммуникационных технологий (ИКТ) возможно оказание услуг в области здравоохранения, образования, бизнеса, финансов и государственного управления.

Использование ИКТ ставит перед нами новые задачи, которые мы должны решать, если мы хотим безопасно вести дела в области электронного здравоохранения, предоставлять гражданам доступ к услугам электронного правительства, обеспечивать необходимый уровень надежности при ведении коммерческой и деловой электронной торговли и поддерживать целостность наших систем и ресурсов информационных технологий.

Поэтому одной из важнейших задач Бюро развития электросвязи МСЭ является претворение в жизнь оптимальных решений по безопасности и надежности, поскольку Бюро развития электросвязи прилагает усилия для помощи странам в использовании электросвязи, а также ИКТ.

Безграничный характер информационного общества также подразумевает, что все страны должны осознавать потенциал безопасного использования ИКТ и проблемы, с которыми мы сталкиваемся при обеспечении надежности и безопасности. Поэтому необходимо, чтобы кроме работы по ликвидации отставания в области технологий, мы прилагали усилия по преодолению отставания в знаниях путем повышения базовой осведомленности и создания человеческого и институционального потенциала.

Данное руководство предназначено для того, чтобы дать развивающимся странам инструмент, при помощи которого они смогут лучше понять некоторые вопросы, касающиеся безопасности информационных технологий, а также, чтобы предоставить им примеры решений, которые реализовали другие страны в отношении данных проблем. Также в данном руководстве содержатся ссылки на другие публикации, где дается дальнейшая, специальная информация по кибербезопасности. Данное руководство не является исчерпывающим документом или отчетом по данному вопросу, а скорее обзором принципиальных проблем, которые решают в странах, желающих воспользоваться преимуществами информационного общества.

Данное руководство составлено таким образом, чтобы удовлетворить потребности развивающихся и, особенно, наименее развитых стран в плане использования информационно-коммуникационных технологий для предоставления услуг в различных областях, развивая при этом местный потенциал и повышая осведомленность среди всех заинтересованных сторон.

Для того чтобы избежать любого дублирования при описании решения данных вопросов, при разработке содержания данной публикации была принята во внимание работа, завершенная в рамках 17-й Исследовательской комиссии МСЭ-Т, а также другие исследования и публикации в данной области.

Сами Аль Башир Аль Моршид

Директор Бюро развития электросвязи

iv Введение

Социальные вопросы, экономика, государственная политика, гуманитарные проблемы: как на это ни посмотри, как ни назови (IT безопасность, безопасность электросвязи), кибербезопасность затрагивает безопасность цифрового и культурного благосостояния людей, организаций и стран. Возникающие проблемы сложны, и решение их требует политической воли для разработки и реализации стратегии по развитию цифровых инфраструктур и услуг, что включает в себя четкую, эффективную, поддающуюся контролю и управлению стратегию в области кибербезопасности.

Достижение уровня информационной безопасности, достаточного для того чтобы компенсировать технологический и информационный риск, необходимо для правильного функционирования правительств и организаций. Широкое использование цифровых технологий сопровождается увеличением зависимости от этих технологий и взаимной зависимостью важных инфраструктур. Таким образом, функционирование учреждений становится уязвимым, что нельзя игнорировать, учреждения подвергаются потенциальной опасности, что даже может подорвать суверенитет государства.

Целью кибербезопасности является помощь в защите имущества и ресурсов организаций в организационном, человеческом, финансовом, техническом и информационном планах, что позволит им выполнять свою задачу. Конечной целью является гарантирование того, что им не будет нанесено никакого длительного вреда. Это включает в себя снижение вероятности реализации угрозы; ограничение ущерба или неисправной работы и обеспечение того, что после инцидента, связанного с нарушением безопасности, можно будет восстановить нормальную работу за приемлемое время и с приемлемыми затратами.

Процесс кибербезопасности охватывает все общество, в котором реализация кибербезопасности касается каждого человека. Кибербезопасность можно сделать более важной путем разработки кодекса компьютерного поведения для обеспечения соответствующего использования ИКТ и пропаганды подлинной политики безопасности, устанавливающей стандарты, соответствие которым, как ожидается, будут обеспечивать пользователи кибербезопасности (объекты, партнеры и поставщики).

Для формирования процесса кибербезопасности важно правильно определить, какое имущество и ресурсы необходимо защищать, так чтобы точно определить область применения безопасности, необходимую для эффективной защиты. Это требует глобального многодисциплинарного и всеобъемлющего подхода к безопасности. Кибербезопасность не совместима с миром, в котором на первое место ставится вседозволенность. Все, что требуется – это набор основных принципов этичного поведения, ответственности и прозрачности, облеченные в правовую форму и прагматический текст процедур и правил. Конечно, данные правила должны приводиться в исполнение на местном уровне; однако их также нужно применять по всему международному сообществу, они также должны быть совместимы с существующими международными директивами.

Во избежание создания возможностей для роста преступности, существующие инфраструктуры электросвязи должны включать в себя меры безопасности технического и юридического характера. Атаки через киберпространство могут принимать различные формы: тайный захват системы, отказ в обслуживании, уничтожение или похищение важных данных, атака хакеров на сеть, взлом защиты программного обеспечения, фрикинг (включающий в себя саботаж, перехват телефонных звонков и т. п.). Затраты неизменно несут жертвы, т. е. организации и частные лица, на которых была направлена атака.

Рассматриваемая как система, электросвязь (инфраструктуры и услуги) поднимает проблему безопасности, которая во многом аналогична проблеме IT ресурсов. Те же самые технические, организационные и человеческие ограничения можно наблюдать при попытке решения данной проблемы. Защита информации при передаче необходима, но самой по себе ее не достаточно, поскольку степень уязвимости возрастает, во всяком случае, тогда, когда информация проходит стадию обработки и хранения. Поэтому кибербезопасность нужно рассматривать в более общем смысле. Чисто технические решения в вопросах кибербезопасности не могут компенсировать

Резюме v

безопасности. Неорганизованный стихийный переход к получению инструментов безопасности будет помехой в использовании, осложнит операции и ухудшит показатели работы IT систем. Правильная IT безопасность – это вопрос управления, и объединенные инструменты и услуги связаны с администрированием операционных систем. Например, шифрование данных для их защиты при передаче бессмысленно, если впоследствии они хранятся незащищенным образом. Таким же образом, установка брандмауэра (защитной системы) будет бесполезной, если устанавливать соединения разрешено в обход данной системы.

Если действия по обработке информации должны будут расширяться и сократят "цифровой разрыв", для этого потребуются:

–надежные и безопасные информационные инфраструктуры (с гарантированной доступностью, наличием, надежностью и непрерывностью услуг);

–меры по повышению надежности;

–соответствующая правовая база;

–законодательные власти и органы безопасности, хорошо знакомые с новыми технологиями и способные сотрудничать с коллегами из других стран;

–инструменты управления безопасностью и информационным риском;

–инструменты защиты, которые будут поощрять доверие в предлагаемых приложениях и услугах (коммерческие и финансовые операции, электронное здравоохранение, электронное правительство, электронное голосование и т. д.) и в процедурах, защищающих права человека, особенно тайну личных данных.

Хорошее управление активами цифровой информации, распространение нематериальных товаров, использование контента и устранение "цифрового разрыва" – все это примеры экономических и социальных проблем, решать которые не возможно путем рассмотрения только технологической стороны IT безопасности. Подход, учитывающий человеческую, юридическую, экономическую и технологическую стороны требований безопасности цифровой инфраструктуры и пользователей, может помочь создать уверенность и вести к экономическому росту, в результате которого преуспеет все общество.

vi Резюме

Руководство по кибербезопасности представляет собой введение в данную проблему, где подчеркивается, что изменилось с появлением цифровых данных, виртуализации информации и широкого использования сетей электросвязи. То, что на карту поставлено развитие общества, приводится для того, чтобы объяснить необходимость безопасности в мире IT и электросвязи (кибербезопасность).

В части I особое внимание уделяется потребности в кибербезопасности, и в общих чертах описываются некоторые элементы решений. Концепция безопасности инфраструктуры связи анализируется с точки зрения наблюдаемых слабых мест в системе защиты и нехватки безопасности информационно-коммуникационных технологий. На основе уроков, полученных при изучении лучших стратегий, затем определяется повседневная безопасность в интернете, и опыт, полученный международным сообществом, а также особые потребности в кибербезопасности развивающихся стран.

Анализируются управленческая, политическая, экономическая, социальная, юридическая и технологическая стороны кибербезопасности. Формулируются общие рекомендации, касающиеся доступа к инфраструктурам электросвязи, с целью управления рисками – как криминального, так и некриминального происхождения – и поощрения доверия в области электронных услуг, которая является важной движущей силой экономического развития.

Часть II касается проблем контролирования киберпреступности. Элементы, стимулирующие преступную деятельность, рассматриваются здесь для того, чтобы показать ограниченность современных подходов к вопросам безопасности и борьбе против киберпреступности. Также рассматривается сложность и иерархия проблем, с которыми мы сталкиваемся.

Представлены различные нарушения и преступления, которые могут быть совершены через интернет, большое внимание уделяется экономическим преступлениям. Анализируется наблюдаемое поведение преступников, например, профиль преступников-хакеров, общее описание атак и злонамеренного программного обеспечения. Даются некоторые указания по подготовке к борьбе с киберпреступностью.

Вчасти III приводится обзор некоторых важных основных сведений о мире электросвязи. Кроме того, представлены функциональный подход и критический обзор инструментов безопасности инфраструктуры.

Вчасти IV описывается всесторонний подход к кибербезопасности, учитывающий различные юридические аспекты современных технологий. Кроме того, намечаются возможные цели, касающиеся решений по безопасности для инфраструктуры связи.

Вконце Руководства по кибербезопасности читатель найдет глоссарий терминов по безопасности и список необходимой справочной литературы и других документов.

Как пользоваться данным Руководством vii

Бюро развития электросвязи МСЭ хотело бы выразить признательность г-же Соланж ГернаоутиХелие и благодарность ее коллегам за их поддержку, в особенности Мохаммеду Али Сфакси, Игли Таши, Сарре Бен Лага, Хенд Мадхур и Арно Дюфуру (консультант по интернет-стратегии).

Данное руководство составлено на основе информации и исследований, предоставленных различными организациями, в частности организациями по кибербезопасности "Clusif" (Club de la sécurité informatique français) и "Cert" (Computer Emergency and Response Team). Они заслуживают нашу искреннюю признательность.

Подготовка данного руководства была бы невозможна без сотрудничества с работниками Отдела электронной стратегии МСЭ и в особенности Александром Нтоко. Нам также хотелось бы выразить признательность Рене Збинден Мослэн (Служба компановки документов МСЭ) и ее команде за работу по публикации данного Руководства по кибербезопасности.

viii Выражение признательности