Доктрина информационной безопасности российской федерации. Встречаем новую Доктрину информационной безопасности России

Вчера (5 декабря 2016 года) наконец-то утвердили обновленную Доктрину информационной безопасности Российской Федерации (вот ссылка на текст). Напомню, что старая версия документа была аж от 2000 года, и к настоящему моменту она, конечно же, устарела. Странно, что итоговый вариант существенно отличается от обсуждаемого ранее проекта, но ладно...

На мой взгляд, документ получился довольно толковый и лаконичный (всего 16 страниц), но скорее получил лишь косметические правки. К сожалению, документом пользоваться не очень удобно, отдельные темы (импортозамещение, защита КИИ, реагирование на инциденты и пр.) размазаны, важные положения необходимо собирать...

При первом прочтении документа обратил внимание вот на что (в сравнении с редакцией 2000 года):

1. Обновили термины

Поменялся (расширился) базовый термин "информационная безопасность РФ".

Было :

Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Стало :

Информационная безопасность Российской Федерации - состояние защищенности личности, общества и государства от внутренних и внешних информационных угроз, при котором обеспечивается реализация конституционных прав и свобод человека и гражданина, достойные качество у уровень жизни граждан, суверенитет, территориальная целостность и устойчивое социально-экономическое развитие Российской Федерации, оборона и безопасность государства.

Все термины даже выделили в отдельный пункт, и дают определения следующим понятиям: "национальные интересы Российской Федерации в информационной сфере", "угроза информационной безопасности Российской Федерации", "информационная безопасность Российской Федерации", "обеспечение информационной безопасности", "силы обеспечения информационной безопасности", "средства обеспечения информационной безопасности", "система обеспечения информационной безопасности", "информационная инфраструктура Российской Федерации".

2. Появилось про безопасность критической информационной инфраструктуры (КИИ), и стали говорить про необходимость ее бесперебойного функционирования

Теперь про КИИ говорят в явном виде, но конкретики мало. Хотелось, конечно, услышать про ГосСОПКА, но есть лишь ее отголоски:

...
в) повышение защищенности критической информационной инфраструктуры и устойчивости ее функционирования, развитие механизмов обнаружения и предупреждения информационных угроз и ликвидации последствий их проявления, повышение защищенности граждан и территорий от последствий чрезвычайных ситуаций, вызванных информационно-техническим воздействием на объекты критической информационной инфраструктуры;
г) повышение безопасности функционирования объектов информационной инфраструктуры , в том числе в целях обеспечения устойчивого взаимодействия государственных органов, недопущения иностранного контроля за функционированием таких объектов, обеспечение целостности, устойчивости функционирования и безопасности единой сети электросвязи Российской Федерации, а также обеспечение безопасности информации, передаваемой по ней и обрабатываемой в информационных системах на территории Российской Федерации;

Отдельно упоминают про российский сегмент сети Интернет:

29. Основными направлениями обеспечения информационной безопасности в области стратегической стабильности и равноправного стратегического партнерства являются:

...
д) развитие национальной системы управления российским сегментом сети "Интернет".

3. Много, очень много говорят про информационно-психологическое воздействие

Упоминают про необходимость "доведения до российской и международной общественности достоверной информации о государственной политике", акцентируют внимание на "масштабах использования средств оказания информационно-психологического воздействия , направленного на дестабилизацию внутриполитической и социальной ситуации" и "направленного на подрыв исторических основ и патриотических традиций, связанных с защитой Отечества", пишут про "тенденции к увеличению в зарубежных средствах массовой информации объема материалов, содержащих предвзятую оценку государственной политики", опасаются "размывания традиционных российских духовно-нравственных ценностей ". Вопросы конечно же важные и правильные, про них упоминали и в старой редакции, но что-то уж слишком много про это...

4. Акцентируют внимание на обеспечении ИБ в кредитно-финансовой сфере

А еще и ПДн упоминают:

14. Возрастают масштабы компьютерной преступности, прежде всего в кредитно-финансовой сфере, увеличивается число преступлений, связанных с нарушением конституционных прав и свобод человека и гражданина, в том числе в части, касающейся неприкосновенности частной жизни, личной и семейной тайны, при обработке персональных данных с использованием информационных технологий. При этом методы, способы и средства совершения таких преступлений становятся все изощреннее.

5. Говорят про проблему внедрения ИТ без учета вопросов ИБ

При этом практика внедрения информационных технологий без увязки с обеспечением информационной безопасности существенно повышает вероятность проявления информационных угроз.

6. Ожидаемо много текста про импортозамещение.

Про это напишу отдельную заметку с цитатами.

7. Развитие услуг по ИБ стало национальным приоритетом

8. Национальными интересами в информационной сфере являются:
...
в) развитие в Российской Федерации отрасли информационных технологий и электронной промышленности, а также совершенствование деятельности производственных, научных и научно-технических организаций по разработке, производству и эксплуатации средств обеспечения информационной безопасности, оказанию услуг в области обеспечения информационной безопасности;

Привет, консалтинг и аутсорсинг!

8. Наконец-то стали говорить про профилактику и противодействие преступности

23. Основными направлениями обеспечения информационной безопасности в области государственной и общественной безопасности являются:

e) повышение эффективности профилактики правонарушений, совершаемых с использованием информационных технологий, и противодействия таким правонарушениям;

Председатель Комитета Государственной Думы по информационной политике, информационным технологиям и связи Леонид Левин после опубликования Указа Президента Российской Федерации от 5 декабря 2016 года № 646 «Об утверждении Доктрины информационной безопасности Российской Федерации» отметил:

«Новая Доктрина информационной безопасности, утверждённая Указом Президента Российской Федерации, отражает изменившуюся ситуацию в мире в связи с развитием информационных технологий. Спектр угроз расширился и смещается в сферу коммуникационных сетей и бытовых цифровых технологий.

Самый важный момент это признание того, что Интернет является таким же пространством международной политики, как любая другая среда. Соответственно, в сети также возможны военные угрозы и военные конфликты. Прямо говорится, что спецслужбы отдельных стран с государственным размахом используют ИТ в злонамеренных целях и это представляет очевидную угрозу суверенитету нашей страны и благополучию граждан. Сохраняются старые угрозы со стороны экстремистов и наркоторговцев, компьютерных взломщиков и мошенников, однако новым является выход сетевых угроз на уровень межгосударственного противостояния. Понятие «кибервойна» стало не игрушкой подростков и футурологов, а фактором международных отношений. Всё это ещё раз напоминает нам о не раз высказывавшихся в России предложениях создать международный институт регулирования Интернета на уровне и по принципам ООН. Благородная цель предотвращения войны, лежащая в основе идеологии ООН, становится крайне актуальной.

В Доктрине важно и то, что на самом высоком уровне выражается приверженность принципам свободы слова и свободного информационного обмена. Защита права российских граждан на свободное получение информации, а российских журналистов на обеспечение этого права обозначена как государственная задача. Уделено внимание защите частной жизни российских граждан в ходе обработки персональных данных. Российское законодательство предусматривает защиту персональных данных россиян от несанкционированного изменения путём размещения баз данных на территории Российской Федерации. Актуальность данных положений закона подчёркивается новой Доктриной.

Также хотел бы отметить, что содержание Доктрины чётко свидетельствует о том, что принятие в прошлом созыве Государственной Думы Федерального закона от 29 июня 2015 года № 188-ФЗ «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и статью 14 Федерального закона «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд», в части введения государственного регулирования в сфере использования российских программ для электронных вычислительных машин или баз данных, было своевременным и крайне необходимым. Доктрина чётко указывает на то, что продолжается наращивание возможностей иностранных государств в части воздействия на информационную инфраструктуру в военных целях. Закон заложил основы перехода государственной информационной системы на отечественное программное обеспечение и позволяет надеяться на то, что российский суверенитет в информационной сфере будет обеспечиваться на основе российских технологий точно так же, как это имеет место в других критических для обороны и безопасности сферах. Это особенно значимо для объектов критической инфраструктуры, которые в сетевой сфере чрезвычайно зависимы от программного обеспечения».

К орреспонденты ИА «Политика Сегодня» сравнили между собой стратегии информационной безопасности 2000 и 2016 года

Вслед за внешнеполитической концепцией в Кремле обновили и информационную доктрину. Соответствующее постановление президент Владимир Путин подписал в понедельник, 5 декабря. Тем самым отправив в архив стратегию 2000 года, действовавшую с тех времен, когда интернет в России только появлялся. Как изменились за 16 лет угрозы, ожидания и задачи, выяснили корреспонденты ИА «Политика Сегодня» , сравнив две доктрины.

Начало 2000

Как таковой преамбулы у доктрины 2000 года нет. В первой же статье стратегии фиксируется распространение информационной сферы во все составляющие безопасности России: от политической до оборонной. Двигателем роста мира текста и интерпретаций называется технический прогресс. И в развивающемся мире у государства есть свои национальные интересы: права и свободы человека, обеспечение духовного обновления страны, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны.

Начало 2016

Доктрина 2016 начинается академичней - с определений. Авторы объясняют, что есть информационная безопасность, и что такое национальные интересы. В первом же положении документа встречается новое слово для стратегии 2000 года - «Интернет». В втором - «силы обеспечения информационной безопасности», таковыми составители доктрины называют госорганы, которые отвечают за информационную безопасность.

Национальными интересами России, по-прежнему, видятся обеспечение,защита конституционных прав и свобод человека. Под таковыми составители доктрины понимают не только работу с информацией, но и «применение информационных технологий в интересах сохранения культурных, исторических и духовно-нравственных ценностей многонационального народа Российской Федерации».

Также национальными интересами являются бесперебойная система информационной сети в мирное и военное время, развитие соответствующего сектора промышленности, доведение мнения России до жителей зарубежных стран и вклад в международную информационную безопасность.

Угрозы 2000

В доктрине 2000 перечень угроз делится по видам: от посягающих на конституционные права человека до технических угроз развернутым сетям. Первым в списке вызовов XXI века идет...принятие госорганами законов, которые могут ущемить права и свободы граждан. Следом опасность поджидает за углом - от криминальных структур. Кроме того в списке угроз информационной безопасности значатся вытеснение отечественных СМИ с российского рынка информации зарубежными коллегами, «девальвация духовных ценностей, пропаганда образцов массовой культуры, основанных на культе насилия, на духовных и нравственных ценностях, противоречащих ценностям, принятым в российском обществе». Опасаются авторы доктрины и оттока за рубеж специалистов и правообладателей интеллектуальной собственности.

Угрозы 2016

У авторов доктрины 2016-го года опасение вызывают «средства информационно-психологического воздействия, направленные на дестабилизацию внутриполитической и социальной ситуации». Между строк замечается, что увеличилось в зарубежных СМИ число материалов с критикой РФ. Также наращивается давление на молодежь, цель которого «размыть традиционные российские духовно-нравственных ценности».

Впервые в доктрине о информационной безопасности звучит слово «терроризм», отмечается рост киберпреступности в мире. Среди угроз авторы доктрины называют низкую позицию страны среди информационных лидеров, в числе лучших России нет. Опасным составители стратегии считают и существующее распределение между странами ресурсов, необходимых для безопасного и устойчивого развития интернета. Оно не позволяет осуществлять «совместное, справедливое, основанное на принципах доверия управления им».

Задачи 2000

Доктрина 2000 начинает с нуля. Задачами ставит разработку программ и законодательных механизмов по информационной безопасности, государственной информационной политики России, модернизацию на отечественных технологиях, которые стоит поддержать и создание, развитие современной защищенной технологической основы управления государством в мирное время, в чрезвычайных ситуациях и в военное время.

Задачи 2016

Своей стратегической целью доктрина 2016 ставит «оборону». В защите от внешних информационных угроз нуждаются люди, общество и государство. Авторы доктрины не исключают, что информационная война может вылиться в реальный военный конфликт. А этого допустить они не желают, предлагая создать в структуре Вооруженных сил РФ «силы и средства информационного противоборства», такие, чтобы смогут прийти на помощь и к союзникам. Технологии, авторы доктрины предпочитают отечественные, которые должны появится за счет инновационного развития отрасли информационных технологий и электронной промышленности. Помощь они рассчитывают получить в том числе и от российской науки.

Вчера (5 декабря 2016 года) наконец-то утвердили обновленную Доктрину информационной безопасности Российской Федерации (вот ссылка на текст). Напомню, что старая версия документа была аж от 2000 года, и к настоящему моменту она, конечно же, устарела. Странно, что итоговый вариант существенно отличается от обсуждаемого ранее проекта, но ладно…

На мой взгляд, документ получился довольно толковый и лаконичный (всего 16 страниц), но скорее получил лишь косметические правки. К сожалению, документом пользоваться не очень удобно, отдельные темы (импортозамещение, защита КИИ, реагирование на инциденты и пр.) размазаны, важные положения необходимо собирать…

При первом прочтении документа обратил внимание вот на что (в сравнении с редакцией 2000 года):

1. Обновили термины

Поменялся (расширился) базовый термин «информационная безопасность РФ».

Было:

Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Стало:

Информационная безопасность Российской Федерации — состояние защищенности личности, общества и государства от внутренних и внешних информационных угроз, при котором обеспечивается реализация конституционных прав и свобод человека и гражданина, достойные качество у уровень жизни граждан, суверенитет, территориальная целостность и устойчивое социально-экономическое развитие Российской Федерации, оборона и безопасность государства.

Все термины даже выделили в отдельный пункт, и дают определения следующим понятиям: «национальные интересы Российской Федерации в информационной сфере», «угроза информационной безопасности Российской Федерации», «информационная безопасность Российской Федерации», «обеспечение информационной безопасности», «силы обеспечения информационной безопасности», «средства обеспечения информационной безопасности», «система обеспечения информационной безопасности», «информационная инфраструктура Российской Федерации».

2. Появилось про безопасность критической информационной инфраструктуры (КИИ), и стали говорить про необходимость ее бесперебойного функционирования

Теперь про КИИ говорят в явном виде, но конкретики мало. Хотелось, конечно, услышать про ГосСОПКА, но есть лишь ее отголоски:

…
в) повышение защищенности критической информационной инфраструктуры и устойчивости ее функционирования, развитие механизмов обнаружения и предупреждения информационных угроз и ликвидации последствий их проявления, повышение защищенности граждан и территорий от последствий чрезвычайных ситуаций, вызванных информационно-техническим воздействием на объекты критической информационной инфраструктуры;
г) повышение безопасности функционирования объектов информационной инфраструктуры , в том числе в целях обеспечения устойчивого взаимодействия государственных органов, недопущения иностранного контроля за функционированием таких объектов, обеспечение целостности, устойчивости функционирования и безопасности единой сети электросвязи Российской Федерации, а также обеспечение безопасности информации, передаваемой по ней и обрабатываемой в информационных системах на территории Российской Федерации;

Отдельно упоминают про российский сегмент сети Интернет:

29. Основными направлениями обеспечения информационной безопасности в области стратегической стабильности и равноправного стратегического партнерства являются:
…
д) развитие национальной системы управления российским сегментом сети «Интернет».

3. Много, очень много говорят про информационно-психологическое воздействие

Упоминают про необходимость «доведения до российской и международной общественности достоверной информации о государственной политике», акцентируют внимание на «масштабах использования средств оказания информационно-психологического воздействия , направленного на дестабилизацию внутриполитической и социальной ситуации» и «направленного на подрыв исторических основ и патриотических традиций, связанных с защитой Отечества», пишут про «тенденции к увеличению в зарубежных средствах массовой информации объема материалов, содержащих предвзятую оценку государственной политики», опасаются «размывания традиционных российских духовно-нравственных ценностей «. Вопросы конечно же важные и правильные, про них упоминали и в старой редакции, но что-то уж слишком много про это…

4. Акцентируют внимание на обеспечении ИБ в кредитно-финансовой сфере

А еще и ПДн упоминают:

14. Возрастают масштабы компьютерной преступности, прежде всего в кредитно-финансовой сфере , увеличивается число преступлений, связанных с нарушением конституционных прав и свобод человека и гражданина, в том числе в части, касающейся неприкосновенности частной жизни, личной и семейной тайны, при обработке персональных данных с использованием информационных технологий. При этом методы, способы и средства совершения таких преступлений становятся все изощреннее.

5. Говорят про проблему внедрения ИТ без учета вопросов ИБ

При этом практика внедрения информационных технологий без увязки с обеспечением информационной безопасности существенно повышает вероятность проявления информационных угроз.

Это, к сожалению происходит часто…

6. Ожидаемо много текста про импортозамещение.

Про это напишу отдельную заметку с цитатами.

7. Развитие услуг по ИБ стало национальным приоритетом

8. Национальными интересами в информационной сфере являются:
…
в) развитие в Российской Федерации отрасли информационных технологий и электронной промышленности, а также совершенствование деятельности производственных, научных и научно-технических организаций по разработке, производству и эксплуатации средств обеспечения информационной безопасности, оказанию услуг в области обеспечения информационной безопасности;

Привет, консалтинг и аутсорсинг!

8. Наконец-то стали говорить про профилактику и противодействие преступности

23. Основными направлениями обеспечения информационной безопасности в области государственной и общественной безопасности являются:
…
e) повышение эффективности профилактики правонарушений, совершаемых с использованием информационных технологий, и противодействия таким правонарушениям;

Это пока лишь первичный анализ итогового документа, изучу его внимательнее.