Монахов В.Н. Свобода массовой информации в интернете. Правовые условия реализации. М., 2005. 416 с

Национальная стратегия США по защите киберпространства

10. Национальная стратегия США по защите киберпространства

(Извлечения)

Вступительное обращение Президента США Д. Буша к нации

(февраль 2003)

Мои дорогие друзья американцы!

Принятый образ действий в бизнесе, работе правительства и защите нации изменился. Эта деятельность теперь полагается на взаимосвязанную сеть информационно-технологических инфраструктур, называемую кибернетическим пространством. Национальная стратегия охраны киберпространства предусматривает систему защиты этой инфраструктуры, которая является важной для нашей экономики, безопасности и образа жизни. В последние несколько лет угрозы в киберпространстве выросли драматически. Политика США – защитить функционирование информационных систем критичных инфраструктур от ослабляющего нарушения и таким образом обеспечить защиту народа, экономики и национальной безопасности США. Мы должны действовать таким образом, чтобы уменьшить нашу уязвимость к этим угрозам прежде чем она может быть использована для разрушения кибернетических систем, поддерживающих национальные критичные инфраструктуры, и обеспечить гарантии того, что такие разрушения киберпространства будут редкими, минимальными по длительности, управляемыми и причинят минимально возможный ущерб.

Защита киберпространства – чрезвычайно трудная стратегическая задача, которая требует скоординированных и сконцентрированных усилий всего нашего общества – федерального правительства, органов управления штатов и местных, частного сектора, всего американского народа.

В целях включения американцев в охрану киберпространства была подготовлена для общественного обсуждения версия проекта этой стратегии и состоялись общественные обсуждения в десяти городах для сбора исходных данных о развитии национальной стратегии.

Тысячи людей и многочисленные организации участвовали в этих собраниях и давали отзывы с замечаниями. Я благодарен им

401

Свобода массовой информации в интернете. Правовые условия реализации

всем за их постоянное участие. Краеугольным камнем Стратегии безопасности киберпространства Америки является и будет оставаться партнерство публичного и частного секторов. Федеральное правительство приглашает к созданию и участию в общественночастном партнерстве для реализации этой Стратегии. Только действуя вместе можно построить более безопасное будущее в киберпространстве.

Краткое содержание

Наша национальная критичная инфраструктура состоит из общественных и частных учреждений в таких секторах, как :

–сельское хозяйство;

–продовольствие;

–водоснабжение;

–здравоохранение;

–чрезвычайные систуации;

–управление;

–оборонная промышленность;

–информация и телекоммуникации;

–энергетика;

–транспорт;

–банковское дело и финансы;

–химические препараты и опасные материалы;

–почта и грузовые перевозки.

Киберпространство – это их нервная система и система управления нашей страной.

Киберпространство состоит из сотен и тысяч взаимодействующих компьютеров, серверов, маршрутизаторов, соединительного оборудования и оптоволоконных кабелей, которые обеспечивают работу нашей инфраструктуры. Таким образом, исправное функционирование киберпространства весьма важно для нашей экономики и национальной безопасности.

Национальная стратегия по защите киберпространства является частью наших общих усилий по защите Нации. Она является реализацией составной части Национальной стратегии защиты Родины и осуществляется в соответствии с Национальной стратегией физической защиты критичной инфраструктуры и основных ресурсов.

Цель настоящего документа – привлечь американцев и дать им право защищать те части киберпространства, которыми они владеют, управляют, которые они используют или с которыми взаимодействуют.

402

Национальная стратегия США по защите киберпространства

Защита киберпространства – трудная стратегическая задача, которая требует координированных и целенаправленных усилий от нашего общества в целом – федерального правительства, правительств штатов и местных, частного сектора и американского народа.

Национальная стратегия по защите киберпространства намечает в общих чертах исходную структуру работ по составу и приоритетам. Она дает указания департаментам и учреждениям федерального правительства, в чьи служебные обязанности входит защита киберпространства.

Она также указывает шаги, которые правительства штатов и местные, частные компании и организации, отдельные американцы могут предпринять, чтобы улучшить нашу коллективную киберзащиту.

Стратегия подчеркивает роль общественно-личного участия. Документ обеспечивает структуру вкладов, которые мы все может внести, чтобы защитить наши части киберпространства. Динамичность киберпространства потребует регулирования и поправок к Стратегии через некоторое время.

Скорость и анонимность кибернетических атак выделяет их среди действий террористов, преступников и национальных проблем штатов, работа по которым часто если и ведется, то только по факту.

Поэтому Национальная стратегия для защиты киберпространства помогает уменьшить уязвимость нашей Нации путем ослабления атак на наши критичные информационные инфраструктуры или физические средства, которые их поддерживают.

СТРАТЕГИЧЕСКИЕ ЦЕЛИ

В соответствии с Национальной стратегией по безопасности Родины стратегическими целями настоящей Национальной стратегии по защите киберпространства являются:

–противодействие кибернетическим атакам на критичные инфраструктуры Америки;

–снижение национальной уязвимости к кибернетическим ата-

кам;

–минимизация ущерба и времени восстановления после кибернетических атак, которые имели место.

Угроза и уязвимость

Наша экономика и национальная безопасность полностью зависят от информационной технологии и информационной инфраструктуры. Ядром информационной инфраструктуры, от которого мы зависим, является интернет, система, первоначально спроектированная для совместных (неклассифицированных) несекретных ис-

403

Свобода массовой информации в интернете. Правовые условия реализации

следований среди ученых, о которых предполагалось, что они не заинтересованы в злоупотреблении Сетью. Это та самая Сеть интернет, которая сегодня включает миллионы других компьютерных сетей, обеспечивающих большую часть существенных услуг народу и работу инфраструктур.

Компьютеры, объединенные в cети, управляют также физическими объектами, такими как электрические преобразователи, поезда, насосы трубопроводов, химические цистерны, радары, фондовые биржи, каждый из которых находится вне пределов киберпространства. Целый спектр злоумышленников может проводить и действительно проводит атаки на наши критичные информационные инфраструктуры.

Первоочередную важность представляет угроза организованных кибернетических атак, способных вызвать ослабляющее разрушение наших государственных (nation) критичных инфраструктур, экономики или национальной безопасности.

Необходимый технический опыт для предупреждения таких атак высок и частично объясняет отсутствие истощающего нападения на сегодняшний день. Мы не должны, однако, слишком радоваться жизни. Были случаи, когда организованные нападающие использовали наши слабые места, которые могут служить фактором более разрушительных возможностей. Существует неясность относительно намерений и полных технических возможностей нескольких замеченных нападений.

Необходим более глубокий анализ кибернетической угрозы, направленный на исследование на протяжении длительного времени тенденций, относящихся к угрозам и уязвимости. Известно, что инструментарий и методы атак становятся широко доступными, а технические возможности и опыт пользователей, склонных вызывать беспорядок или разрушение, совершенствуются.

В мирное время враги Америки могут осуществлять шпионаж в нашем Правительстве, исследовательских университетских центрах и частных компаниях. Они могут также готовить кибернетические удары на случай конфронтации, нанося на карту информационные системы США, устанавливая ключевые цели и проникая в нашу инфраструктуру через «запасной ход» (back doors) или иные средства доступа. В случае войны или кризиса противники могут стремиться запугать политических лидеров Нации, нападая на критические инфраструктуры и ключевые экономические функции или разрушая общественную доверие к информационным системам.

404

Национальная стратегия США по защите киберпространства

Кибернетические атаки на информационные сети США могут иметь серьезные последствия, такие как нарушение критичных функций, вызывающих потерю доходов и интеллектуальной собственности или потерю жизни. Противодействие таким атакам требует создания устойчивых к нарушениям возможностей там, где их сегодня нет, если мы должны снизить уязвимость и отпугнуть тех, кто имеет возможность и намерения нанести ущерб нашим критичным инфраструктурам.

Роль правительства в обеспечении защиты киберпространства

В общем, частный сектор лучше всего оснащен и структурирован для противодействия развитию кибернетических угроз. Однако существуют специфические обстоятельства, которым более всего соответствует ответственность федерального правительства.

Внутри правительства обеспечение непрерывности управления требует обеспечения безопасности его собственной кибернетической инфраструктуры и тех ресурсов, которые необходимы для поддержки ее важного назначения и сервисов.

Вне правительства его роль в кибернетической безопасности обоснованна в случаях, когда:

–высока стоимость сделок;

–законодательные барьеры приводят к проблемам существенного согласования;

–правительство работает без участия сил частного сектора;

–необходимо решение проблем поощрения, направленное на обеспечение критичными совместно используемыми ресурсами;

–необходимо повышение осведомленности.

Общественно-частное взаимодействие является ключевым компонентом Стратегии по защите киберпространства. Это справедливо по нескольким причинам.Общественно-частные компании могут успешно противостоять проблемам координации. Они могут значительно увеличить информационный обмен и сотрудничество.

Общественно-частное взаимодействие получит разнообразные формы и обратится к пониманию, обучению, технологическим усовершенствованиям, исправлению слабых мест и действиям по восстановлению.

Федеральная роль в этих и других случая оправданна только тогда, когда выгоды от вмешательства перевешивают относящиеся к нему затраты. Эта норма особенно важна в случаях, где есть жизнеспособные решения частного сектора, направленные на любую потенци-

405

Свобода массовой информации в интернете. Правовые условия реализации

альную угрозу или уязвимость. В каждом случае должны рассматриваться обоснованные стоимость и влияние данного правительственного мероприятия по сравнению с другими, альтернативными мерами, бездействием, с учетом любых существующих или будущих частных решений.

Мероприятия по защите киберпространства на федеральном уровне предписываются для целей, включающих:

–компетенцию по судебным делам и атакам;

–защиту сетей и систем, критичных для национальной безопасности;

–распознавание , оповещение и защита от организованных атак, способных причинить существенный ущерб экономике.

Мероприятия на федеральном уровне должны также поддерживать научные исследования и создание технологий, которые позволят частному сектору лучше защищать находящиеся в частном владении компоненты национальной критичной инфраструктуры.

Департамент по безопасности Родины и защите киберпространства

25 ноября 2002 г. Президент Буш подписал указ о создании Департамента Безопасности Родины (DHS – Department of Homeland Security). Этот Департамент на уровне кабинета министров объединяет 22 федеральных структуры с общей целью – улучшить безопасность нашей Родины. Министр DHS имеет важные обязанности в области безопасности киберпространства, включающие в себя:

–разработку всеобъемлющего государственного плана по защите ключевых ресурсов и критичной инфраструктуры Соединенных Штатов;

–обеспечение кризисного управления в ходе реагирования на атаки на критические информационные системы;

–обеспечение технической помощи частному сектору и другим правительственным объектам, относящейся к планам аварийного восстановления при отказах критических информационных систем;

–координацию с другими органами федерального правительства по предоставлению специальной предостерегающей информации и рекомендаций по соответствующим мерам защиты и противодействия для учреждений органов власти штатов, местных и неправительственных, включая частный сектор, учебные заведения и население;

–выполнение и финансирование, наряду с другими государственными органами, научных исследований и разработок, которые будут вести к новому научному пониманию и технологиям в поддержку безопасности Родины.

406

Национальная стратегия США по защите киберпространства

В соответствии с этими обязанностями DHS обретет статус федерального центра высокого качества кибернетической защиты и обеспечит концентрацию федерального влияния на местные и неправительственные организации, включая частный сектор, учебные учреждения и население.

Важнейшие приоритеты защиты киберпространства

Национальная Стратегия по защите киберпространства четко формулирует пять национальных приоритетов, включающих:

I. Защиту национального кибернетического пространства. Систему ответных действий.

II. Защиту национального кибернетического пространства. Программу снижения угроз и уязвимости.

III. Защиту национального кибернетического пространства. Программу повышения осведомленности и обучения.

IV. Защиту кибернетического пространства органов власти и управления.

V.Национальную безопасность и международное сотрудничество

вобласти защиты кибернетического пространства.

Первый приоритет направлен на улучшение нашего реагирования на кибернетические инциденты и снижение возможных разрушений от таких событий.

Второй, третий и четвертый приоритеты направлены на снижение угроз кибернетических атак и нашей уязвимости к ним.

Пятый приоритет состоит в предотвращении кибернетических атак, которые могут повлиять на ресурсы по обеспечению национальной безопасности, и в улучшении возможности справляться с такими атаками и оказывать им противодействие на международном уровне.

I. Защита национального кибернетического пространства. Система ответных действий

Быстрое определение, обмен информацией и восстановление могут часто смягчить повреждение, вызванное злонамеренными действиями в киберпространстве. При таких действиях для обеспечения эффективности на национальном уровне США необходимо партнерство между правительством и промышленностью в выполнении исследований, распространении тревожных предупреждений, координации усилий по реагированию.

В этом процессе должны быть защищены секретность и гражданские свободы.

407

Свобода массовой информации в интернете. Правовые условия реализации

Поскольку никакой план кибернетической безопасности не может предусмотреть согласованные и организованные атаки, информационные системы должны быть в состоянии функционировать во время атак и быть приспособленными к быстрому восстановлению функций в полном объеме.

Национальная стратегия защиты киберпространства устанавливает восемь основных мероприятий и инициатив для ответа при защите киберпространства:

1.Образовать общественно-частную структуру по реагированию на кибернетические инциденты национального уровня.

2.Предусмотреть развитие тактических и стратегических исследований кибернетических атак и оценку уязвимости.

3.Содействовать созданию частным сектором возможностей участия в общей жизнеспособности киберпространства.

4.Развить систему компьютерного оповещения и информационную сеть для поддержки роли Департамента Безопасности Родины (DHS) в координации кризисного управления защитой киберпространства.

5.Усилить государственное управление инцидентами.

6.Координировать процессы добровольного участия в разработке национальных общественно-частных планов обеспечения непрерывности ( функционирования) и для случаев непредвиденных обстоятельств.

7.Реализовать планы непрерывности кибернетической защиты для федеральных систем.

8.Улучшить и увеличить совместное использование обществен- но-частной информации, включающей описание кибернетических атак, угроз и уязвимостей.

II.Защита национального кибернетического пространства. Программа снижения угроз и уязвимости

Используя слабые места наших кибернетических систем, организованные атаки могут подвергнуть опасности защиту критических инфраструктур нашего государства.

Слабые места, наиболее опасные для киберпространства, имеют место в информационных активах критичной инфраструктуры предприятий и в их внешних обеспечивающих структурах, таких как механизмы интернета.

Слабо защищенные сайты взаимосвязанных сетей также демонстрируют потенциально существенную подверженность кибернетическим атакам.

408

Национальная стратегия США по защите киберпространства

Уязвимость как результат слабостей технологии.

Национальная стратегия защиты киберпространства устанавливает восемь основных мероприятий и инициатив по уменьшению угроз и связанных с ними слабых мест:

1.Расширить возможности по предупреждению и судебному преследованию атак на киберпространство.

2.Разработать способ ( процесс) оценки национальной уязвимости, чтобы лучше понять возможные последствия угроз и уязвимости.

3.Защитить механизмы интернета, улучшив протоколы и маршрутизацию.

4.Поощрять использование сертифицированных цифровых систем управления / поставляемых систем контроля управляющих программ (супервизоров) и данных.

5.Уменьшить и обеспечить защитой слабые места программного обеспечения.

6.Понять взаимосвязи в инфраструктуре и улучшить физическую защиту компьютерных систем и телекоммуникаций.

7.Выделить приоритеты федеральных исследований в области кибернетической защиты и порядок их разработки.

8.Оценить и защитить аварийные системы.

III. Безопасность национального кибернетического пространства. Программа повышения осведомленности и обучения

Многие кибернетические уязвимости существуют из-за недостатка понимания проблемы компьютерной безопасности со стороны пользователей компьютеров, системных администраторов, разработчиков технологии, должностных лиц по поставкам, аудиторов, главные официальных лиц по информации, главных должностных лиц администрации, правлений корпораций.

Уязвимость на базе такого недопонимания формирует серьезные риски критичным инфраструктурам независимо от того, находятся ли они в пределах инфраструктуры непосредственно или нет. Недостаток обученного персонала и отсутствие широко принятых программ многоуровневой сертификации профессионалов в области компьютерной безопасности усложняют задачу минимизации кибернетической уязвимости.

Национальная стратегия защиты киберпространства определяет четыре главных мероприятия и инициативы по осведомленности, образованию и обучению:

1. Поддерживать программу всесторонней осведомленности нации, чтобы дать возможность всем американцам – бизнесменам, не-

409

Свобода массовой информации в интернете. Правовые условия реализации

квалифицированным рабочим, широким слоям населения — защищать свои собственные компоненты киберпространства.

2.Поощрять программы адекватного обучения и образования, обеспечивающие поддержку потребностей кибернетической безопасности Нации.

3.Увеличить эффективность существующих федеральных программ обучения в области кибернетической защиты.

4.Усилить поддержку частного сектора для хорошо координируемой, широко признаваемой сертификации персонала в области кибернетической защиты.

IV. Защита кибернетического пространства органов власти и управления

Хотя органы власти управляют только меньшей частью компьютерных систем национальной критичной инфраструктуры, они на всех уровнях исполняют важные функции в секторах сельского хозяйства, продовольственном, водоснабжения, здравоохранения, чрезвычайных ситуаций, обороны, социального обеспечения, информации и телесвязи, энергетики, транспорта, банковского дела и финансов, химикатов, почтовых сообщений и грузоперевозок, зависящие от киберпространства.

Органы власти могут быть примером в защите киберпространства, содействуя созданию рынка более защищенных технологий через их поставку.

Национальная стратегия защиты киберпространства устанавливает пять основных мероприятий и инициатив для защиты киберпространства органов управления:

1.Постоянно оценивать угрозы и уязвимость федеральных компьютерных систем.

2.Устанавливать подлинность и обслуживать авторизованных пользователей федеральных компьютерных систем.

3.Защищать федеральные беспроводные локальные сети.

4.Усовершенствовать защиту при правительственных поставках и приобретении оборудования.

5.Поощрять власти штатов и местных органов создавать программы информационно-технологической безопасности, участвовать совместно с такими же органами власти в использовании информации и исследовательских центров.

410