МЕМОРАНДУМ БАЙДЕНА
Владимир Овчинский, Юрий Жданов
Смогут ли США защитить от кибератак свою критически важную инфраструктуру, угрожая войнами, вместо обмена опытом?
28 июля 2021 года Президент США Джо Байден подписал меморандум, предусматривающий создание стандартов в сфере кибербезопасности для ключевых инфраструктурных объектов — Меморандум о национальной безопасности, повышении кибербезопасности для систем управления критически важной инфраструктурой:
«Защита критически важной инфраструктуры нашей страны является обязанностью правительства на федеральном, государственном, местном, общинном и территориальном уровнях, а также владельцев и операторов этой инфраструктуры. Угрозы кибербезопасности, исходящие от систем, которые контролируют и эксплуатируют критически важную инфраструктуру, от которой мы все зависим, являются одними из наиболее серьезных и растущих проблем, с которыми сталкивается наша страна. Деградация, разрушение или неисправность систем, управляющих этой инфраструктурой, могут нанести значительный ущерб национальной и экономической безопасности Соединенных Штатов.
1. Политика
Политика моей администрации заключается в защите критически важной инфраструктуры нации с особым упором на кибербезопасность и устойчивость систем, поддерживающих важные национальные функции, определяемые как функции правительства и частного сектора, столь важные для Соединенных Штатов, что их сбой, коррупция или дисфункция окажут ослабляющее воздействие на национальную безопасность, экономическую безопасность, здоровье или безопасность населения или любую их комбинацию.
2. Инициатива по кибербезопасности промышленных систем управления
Соответственно, я учредил Инициативу по кибербезопасности промышленных систем управления, добровольную совместную работу федерального правительства и сообщества критически важных инфраструктур для значительного улучшения кибербезопасности этих критических систем. Основная цель этой Инициативы — защитить критическую инфраструктуру США путем поощрения и облегчения развертывания технологий и систем, которые обеспечивают видимость угроз, индикацию, обнаружение и предупреждения, а также способствуют реагированию на кибербезопасность в основных системах контроля и операционных технологиях. сети. Цель Инициативы — значительно расширить внедрение этих технологий в приоритетной критически важной инфраструктуре.
3. Развитие Инициативы по кибербезопасности промышленных систем контроля
Инициатива открывает путь для сотрудничества правительства и промышленности для принятия незамедлительных мер в рамках их соответствующих сфер контроля для устранения этих серьезных угроз. Инициатива развивает, расширяет и ускоряет текущие усилия по обеспечению кибербезопасности в критически важных секторах инфраструктуры и является важным шагом в борьбе с этими угрозами. Мы не можем противостоять угрозам, которых не видим. Следовательно, развертывание систем и технологий, которые могут отслеживать системы управления для обнаружения злонамеренной активности и облегчения действий по реагированию на киберугрозы, является центральным элементом обеспечения безопасной работы этих критически важных систем. Федеральное правительство будет работать с промышленностью для обмена информацией об угрозах для критически важной инфраструктуры системы приоритетного контроля по всей стране.
(a) Инициатива началась с пилотной попытки в Подсекторе электроэнергетики, а теперь за ней последовали аналогичные усилия в отношении трубопроводов природного газа. Усилия по системам водоснабжения и водоотведения и химическому сектору будут предприняты позже в этом году.
(b) Отраслевые агентства по управлению рисками, как это определено в разделе 9002 (a) (7) публичного закона 116-283, и другие исполнительные департаменты и агентства (агентства), в зависимости от обстоятельств и в соответствии с применимым законодательством, должны работать с участниками критически важной инфраструктуры, а также владельцами и операторами для реализации принципов и политики, изложенных в этом меморандуме.
4. Цели кибербезопасности критически важной инфраструктуры
Потребности в кибербезопасности, как и методы кибербезопасности, различаются в зависимости от секторов критической инфраструктуры. Однако существует потребность в базовых целях кибербезопасности, согласованных для всех критических секторов инфраструктуры, а также в мерах безопасности для выбранной критической инфраструктуры, которая зависит от систем управления.
(a) В соответствии с разделом 7 (d) Исполнительного указа 13636 от 12 февраля 2013 г. (Улучшение кибербезопасности критически важной инфраструктуры) министр внутренней безопасности по согласованию с министром торговли (через директора Национального института стандартов и Technology) и другие агентства, в зависимости от обстоятельств, должны разработать и опубликовать целевые показатели эффективности кибербезопасности для критически важной инфраструктуры, чтобы способствовать общему пониманию базовых практик безопасности, которым должны следовать владельцы и операторы критической инфраструктуры для защиты национальной и экономической безопасности, а также здоровья населения и общества. безопасность.
(b) Эти усилия начнутся с того, что министр внутренней безопасности объявит предварительные цели для систем контроля в важнейших секторах инфраструктуры не позднее 22 сентября 2021 года, после чего последует выпуск окончательных целей межсекторальной системы контроля в течение 1 года с даты их принятия этим меморандумом. Кроме того, после консультаций с соответствующими агентствами, министр внутренней безопасности должен опубликовать целевые показатели кибербезопасности критически важной инфраструктуры для конкретных секторов в течение 1 года с даты подписания настоящего меморандума. Эти цели производительности должны служить четким руководством для владельцев и операторов в отношении методов и позиций кибербезопасности, которым американский народ может доверять и которых следует ожидать от таких важных услуг.
5. Общие положения
(a) Ничто в настоящем меморандуме не должно толковаться как ухудшающее или иным образом влияющее на:
(i) полномочия, предоставленные законом исполнительному департаменту или агентству, или их руководителю;
(ii) функции директора Управления по вопросам управления и бюджета, связанные с бюджетными, административными или законодательными предложениями.
(b) Настоящий меморандум должен выполняться в соответствии с применимым законодательством и при наличии ассигнований, когда может потребоваться финансовая помощь для выполнения рекомендаций по кибербезопасности системы контроля.
(c) Настоящий меморандум не предназначен и не создает каких-либо прав или преимуществ, материальных или процедурных, подлежащих принудительному исполнению по закону или по справедливости любой стороной в отношении Соединенных Штатов, их департаментов, агентств или организаций, их должностных лиц, сотрудников, или агенты, или любое другое лицо».
Надо сказать, что это не первый стратегический документ в сфере обеспечения кибербезопасности США. В сентябре 2018 г. предыдущим Президентом США Д.Трампом подписана «Национальная стратегия кибербезопасности». Это было уже третье издание американской стратегии кибербезопасности (прежние версии были опубликованы в 2003 и 2011 годах).
Что нового внёс Байден? Фактически он объявил о запуске новой государственно-частной президентской инициативы по кибербезопасности системы промышленного контроля, которая создаст основу для контроля над работой систем кибербезопасности на ключевых американских объектах, включая водоочистные сооружения и электростанции.
Из текста меморандума видно, что в нём изложен базовый уровень кибербезопасности, которого администрация ожидает от «ответственных бизнес-владельцев и операторов». Отсутствие в прошлом нормативов в области кибербезопасности для критически важной инфраструктуры привело к имеющейся сегодня уязвимости многих сфер деятельности США.
На сайте «Голоса Америки»* отмечено что высокопоставленный источник в администрации уточнил, что, хотя рекомендации, изложенные в меморандуме, не являются обязательными к исполнению, Белый дом «надеется, что это заставит компании улучшить свою кибербезопасность».
Федеральное правительство не может самостоятельно навести порядок в этом вопросе, так как почти 90% критически важной инфраструктуры США управляется, по данным Белого дома, частным бизнесом. «Для обеспечения безопасности потребуются усилия всей страны», говорится в меморандуме.
Байден поручил Агентству по вопросам кибербезопасности и безопасности инфраструктуры (CISA), министерству внутренней безопасности и Национальному институту стандартов и технологий в составе министерства торговли разработать целевые показатели эффективной кибербезопасности для критически важной инфраструктуры.
Пилотный проект в рамках инициативы по кибербезопасности заработал еще в середине апреля 2021 года, и в нем уже согласились участвовать 150 электроэнергетических компаний, которые обслуживают почти 90 миллионов потребителей. Кроме того, уже разрабатывается подобный план для трубопроводов по транспортировке природного газа.
Белый дом выступил с этой инициативой после серии крупных кибератак, случившихся в 2021 году и нанесших ущерб компаниям и правительственным учреждениям, включая инцидент с трубопроводом Colonial, который привел к нехватке бензина в целом ряде штатов.
Накануне подписания меморандума 27 июля 2021 года Байден заявил, что Соединённые Штаты даже могут оказаться в состоянии «настоящей войны» с какой-либо «крупной державой» в случае серьёзной кибератаки. Президент подчеркнул, что Вашингтон считает главными угрозами хакерские группировки, базирующиеся в России, Китае, Иране и Северной Корее.
Который раз Байден как испорченная шарманка повторяет одни и те же заученные штампы о русских хакерах.
Напомним, что 16 июня 2021 года на пресс-конференции по итогам встречи в Женеве с Байденом В. В. Путин заявил, что была достигнута договоренность начать консультации по кибербезопасности. Президент России обратил внимание на то, что даже по данным американских источников большинство кибератак в мире совершаются из США, а также из Канады и Великобритании.
Что касается защиты критически важной инфраструктуры от кибератак, то американцам следовало бы не угрожать военными действиями, а использовать российский опыт защиты критической информационной инфраструктуры.
Начало этой работы в государственном масштабе было положено Президентом РФ В. В. Путиным его решением в январе 2013 года о создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. Далее, в июле 2017 г. был подписан Федеральный Закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», который вступил в силу с 1 января 2018 года. Под критической информационной инфраструктурой (далее — КИИ) понимаются информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов КИИ, а также сети электросвязи, используемые для организации их взаимодействия. Субъектами КИИ являются компании, работающие в стратегически важных для государства областях, таких как здравоохранение, наука, транспорт, связь, энергетика, банковская сфера, топливно-энергетический комплекс, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, а также организации, обеспечивающие взаимодействие систем или сетей КИИ.
Для компаний сферы топливно-энергетического комплекса существуют свои нормы, которые определены Федеральным Законом от 21 июля 2011 г. № 256-ФЗ «О безопасности объектов топливно-энергетического комплекса», которые также диктуют необходимость обеспечения безопасности информационных систем объектов топливно-энергетического комплекса путем создания систем защиты информации и информационно-телекоммуникационных сетей от неправомерных доступа, уничтожения, модифицирования, блокирования информации и иных неправомерных действий, а также необходимость обеспечения функционирования таких систем.
ФСТЭК России была назначена федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры РФ. На ФСБ РФ были возложены функции федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (далее — ГосСОПКА). Кроме этого, приказом ФСБ РФ в 2018 году был создан Национальный координационный центр по компьютерным инцидентам (НКЦКИ), который координирует деятельность субъектов КИИ и является составной частью сил, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, а техническая инфраструктура НКЦКИ используется для функционирования системы ГосСОПКА.
Далее было подписано Постановление Правительства РФ от 8 февраля 2018 г. №127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также Перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений», которые предъявляют конкретные требования для субъектов КИИ по проведению категорирования объектов КИИ в их зоне ответственности, а также содержат перечень критериев значимости объектов КИИ — количественных показателей для корректного выбора категории значимости. Категория значимости объекта КИИ может принимать одно из трёх значений (где самая высокая категория — первая, самая низкая — третья) и зависит от количественных показателей значимости этого объекта в социальной, политической, экономической и оборонной сферах.
*СМИ, выполняющее функции иностранного агента
