В целом документ выглядит невредным, есть полезные, есть пару недоработок.
Далее много букв.
Хорошо
Дано определение кибербезопасности. Полезно, поскольку информационная безопасность понятие более широкое и мне часто приходится использовать построения типа «компьютерная безопасность» для определения задач, но громоздко и часто требует объяснений. Кибербезопасность – хорошо.
Многие меры «направления деятельности» тоже хороши. Одобряю. По ряду причин (см. ниже) трудно оценить полноту.
Вопросы
- Определение киберпространства содержит фразу «, и любых форм осуществляемой посредством их использования человеческой активности» (стр. 2., абз. 7), что вызывает сложности с восприятием. Если я пишу некто напишет например в фейсбук воззвание взломать сайт Кремля, то это действия в кибернетическом пространстве или информационном?
- Много вопросов вызывает раздел III (Место Стратегии в системе действующего законодательства) и его взаимосвязь с разделами VI и VII (Приоритеты Стратегии в обеспечении кибербезопасности, Направления деятельности по обеспечению кибербезопасности, которые должны быть отражены и уточнены в Стратегии). У меня в голове постулаты из раздела «Стратегия призвана» трудно связываются с предлагаемыми далее приоритетами и направлениями деятельности. Опять таки «сформулировать модель угроз кибербезопасности Российской Федерации» это далеко не стратегическая задача, модель угроз это проходной и вспомогательный инструмент. Я понимаю если бы здесь были метрики (критерии), еще куда не шло.
- Не хватает раздела «задачи», он как-то размазан по всему документу, встречается например в разделе III. Через это не совсем понятно, что же будет в результате.
- «поддержки отечественных разработчиков программного обеспечения» (стр. 2., абз. 7). А если аппаратного и программно-аппаратного?
- Много внимания уделяется «аудиту», но где-то он называется «оценка и анализ защищенности». Это разные задачи/процессы? Более того, скачет объект аудита, где-то это госорганы, а где-то даже «критической информационной инфраструктуры организаций с частным и государственным участием». Отдельный вопрос как эти «организаций с частным участием» подведут под аудит.
- Да, я думаю что термин «критическая информационная инфраструктура» тут использовать не хорошо, лучше уж просто КВО, ибо, цитирую «критическая информационная инфраструктура Российской Федерации (далее - критическая информационная инфраструктура)»
- «средств обеспечения кибербезопасности» - есть же средства защиты информации, зачем вводить новый термин?
- Надеюсь, что на странице 9 под «механизмом поощрения граждан» не подразумевается открытый bug-bounty. Дело в том, что на текущем уровне зрелости СУИБ многих госорганов bug-bounty будет вреден. Для Google или Mozilla (при анализе отчуждаемых приложений) он выглядит вполне себе эффективным . А вот уже для компаний, даже таких крупных как Nokia или Yandex процесс запуска был достаточно сложным, что косвенно доказывают комментарии Алексея Синцова . И мне пока трудно сравнить СУИБ Yandex и городской администрации N-ского областного центра.
- Не стоит забывать, что bug-bounty это фактически легализация атак…
- Мальчик, ты зачем SQL Map на kremlin.ru запускал и плохое слово в новости написал?
- Дык я ж багу нашел, отсабмитить просто не успел еще.
Настораживает
- Явно бросается в глаза, что слово «зарубежных» и «иностранных» на фоне событий «имени Сноудена» встречается чересчур часто. Создается впечатление, что именно попытка протащить зарубежные требования являются основной задачей данного документа.
- Несколько раз упоминается портал (то веб-, то интернет-), что вызывает непонимание, ведь это только один из инструментов повышения осведомленности, откуда такое внимание. А как же телевиденье, радио, конференции, наружная реклама в конце концов? Примерно тоже, что в стратегии развития строительной отрасли упоминались бы изделия ГОСТ 4981-87.
- Совершенно выбивается абзац про «облака» (стр. 7, абз. 8). Он даже вписан другим шрифтом. Такое ощущение, что в последний момент прибежал лоббист из
микрософткрупного вендора и дописал. Более того, в последних документах ФСТЭК виртуальные инфраструктуры вполне себе комфортно себя чувствуют.
4. Неточности
- «кибероружие» (стр. 1, абз. 7) и «информационное оружие» (стр. 4, абз. 2). Хорошо бы определиться, или поменять местами. Те совсем понятно – кибероружие это частный случай оружия информационного или это самостоятельные виде вооружений?
- «с использованием отображения, заданного на произвольном множестве и имеющее числовую область значений »??? (стр. 1, абз. 9)
- «стекхолдеров» (стр. 5, абз. 10), это из «трехглавого» закона термин или какие-то другие источники «на основе адаптации правовых норм из законодательств зарубежных государств» использовались?
PS. Звоночек
разработка совместно со страховыми и аудиторскими организациями мер по страхованию рисков от киберугроз, юридической поддержке обеспечения кибербезопасности,аудиту государственных органов и организаций по направлению «кибербезопасность»;
PPS. Кто «крайний» - важный вопрос. Пока обозначена некая рабочая группа. Что же, посмотрим. Но что-то заставляет меня скептически усмехнутся. Без хозяина – не взлетит.
