Борьба с киберпреступностью - одна из составляющих международной безопасности
Масштабное проникновение новых информационно-коммуникационных
технологий во все сферы жизни современного общества существенным
образом влияют на характер организаций и общественных взаимодействий, в
том числе в сфере отношений государств и организаций.
В связи с этим возникает необходимость применения иных подходов к
вопросам информационной безопасности. Актуальность темы применения
новых подходов в международной борьбе с киберпреступностью заключается
в том, что информационные технологии активно используются в разных
сферах и несут в себе наряду с преимуществами определенные риски и
угрозы.
Угроза использования сетевых инструментов для вывода из строя важнейших
компонентов национальной инфраструктуры с корыстной целью регулярно
растет.
На сегодняшний день в национальной инфраструктуре институтов всех
государств ключевым моментом является информация. Важнейшим принципом
правового регулирования отношений в сфере информации, информационных
технологий и защиты информации является обеспечение безопасности при
создании информационных систем, их эксплуатации и защите содержащейся в
них информации. Защита информации представляет собой принятие и
соблюдение правовых, организационных и технических мер на международном
уровне. Данные меры включают обеспечение защиты информации от
неправомерного доступа, уничтожения, модифицирования, блокирования,
копирования, предоставления, распространения, от иных неправомерных
действий в отношении такой информации, соблюдение конфиденциальности
информации ограниченного доступа, реализацию права на доступ к
информации.
Исходя из этого, кибертерроризм представляет собой дезорганизацию
информационных систем, осуществляемую для нарушения общественной
безопасности и оказания воздействия на принятие решений органами
публичной власти. Кибертеррорист в своей деятельности использует
современные информационные технологии, компьютерные системы и сети,
специальное программное обеспечение, предназначенное для
несанкционированного проникновения в компьютерные системы и реализации
удаленной атаки на информационные ресурсы организаций. Значительный
рост киберпреступности и разработка связанных с ней новых юридических
требований придают актуальность проблеме разработки улучшенных средств
защиты электронной информации.
Потеря конфиденциальной информации наносит организациям значительный
ущерб, а общемировые потери в результате реализации киберпреступлений
оцениваются в миллионы и даже миллиарды долларов в год. Особый урон от
кибертеррористов несет экономика любого государства. Согласно
статистике, предоставленной специалистами Совета Европы, только
мошеннические действия, связанные с кредитными картами, уносят ежегодно
около 400 миллионов долларов, ущерб от вирусных атак составляет около
12 миллиардов долларов, а нарушение прав интеллектуальной собственности
- 250 миллиардов долларов.
Киберпреступность является серьезной угрозой для каждого государства,
где есть такие жизненно важные сферы деятельности общества, как связь,
энергетика, транспорт, финансовая и банковская системы, водоснабжение,
национальная безопасность, структуры обеспечения устойчивой работы
министерств и ведомств.
Одним из подходов в борьбе с кибертерроризмом является разработка и
соблюдение национальных законов об электронной безопасности в
соответствии с действующими международными стандартами и Конвенцией
Совета Европы о борьбе с киберпреступностью.
В связи с распространением цифровых технологий и глобализацией
компьютерных сетей Европейская Конвенция по киберпреступлениям признает
необходимость сотрудничества между государствами - членами Конвенции и
частными лицами и организациями в борьбе против киберпреступлений и
потребность защищать законные интересы в использовании и развитии
информационных технологий. Эффективная борьба против киберпреступлений
требует наличия четкого, быстрого и эффективного механизма
международного сотрудничества в вопросах, связанных с преступностью. К
сожалению, в этой сфере есть проблемы с законодательством. На
сегодняшний день не решен вопрос о правилах размещения информации в
интернете, чем и пользуется преступный мир. В Республике Молдова, как и
во многих государствах, еще не завершено создание нормативной базы
стандартов в сфере информационной безопасности.
Конвенция является исторически важным документом, который позволил
многим государствам осознать проблему информационной безопасности и
сделать решительные шаги в данную сторону. Так, например, в данной
Конвенции рассматриваются преступления против конфиденциальности,
целостности и доступности компьютерных данных и систем, преступления,
связанные с компьютерами, правонарушения, связанные с содержанием,
преступления, связанные с нарушениями авторского права и смежных прав.
Но, опыт мирового сообщества в данной области свидетельствует об
уязвимости любого государства, так как кибертерроризм не имеет
государственных границ и способен угрожать информационным системам.
Кроме Европейской Конвенции по киберпреступлениям в борьбе с
киберпреступлениями необходимо использовать и международные стандарты и
практики в области обеспечения информационной безопасности, например:
ITIL, COBIT, ISO 27001.
Внедрение и использование передовых информационных технологий в
различных сферах деятельности требует понимания инфраструктуры
информационных технологий, взаимосвязи ее компонентов, строгого
распределения обязанностей, наличия информации о состоянии системы в
целом и ее компонентов, о задачах, выполняемых пользователями, о тех
функциях, которые для них наиболее важны. При внедрении и использовании
передовых информационных технологий желательно применять Библиотеку
передового опыта ИТ организации (ITIL).
Применение и внедрение ITIL является важным аспектом при решении
проблем информационной безопасности государственных и коммерческих
организаций. На сегодняшний день опыт ITIL используется и активно
внедряется как в государственных, так и коммерческих организациях
различных европейских стран.
ITIL является одним из распространенных подходов к управлению
информационными технологиями для организаций, оказывающих услуги в
области информационно-коммуникационных технологий. Данная библиотека
набор взаимосвязанных методов и лучших практик по управлению процессами
предоставления и поддержки услуг.
За все время существования ITIL было выпущено три версии, на основе
которых сертифицируются ведущие специалисты в области информационных
технологий, и растет осведомленность и понимания бизнесом преимуществ
применения ITIL, при этом масштаб применения ITIL в бизнесе невелик.
Согласно статистике Gartner Group лишь 20% компаний крупного бизнеса
используют ITIL, а треть планируют его использовать.
Внедрение ITIL сдерживается такими факторами как недостаточная
квалификация консультантов, слабая маркетинговая активностью
профессионального сообщества и тотальной незрелостью бизнеса к
внедрению данных практик.
Наравне с ITIL существует и другой международный стандарт COBIT,
определяющий набор универсальных задач управления информационными
технологиями, ориентированных, прежде всего, на руководство организации
и на аудиторов информационных технологий. COBIT был разработан и
постоянно обновляется Институтом управления Информационными
Технологиями и Фондом аудита и контроля информационных систем.
COBIT обеспечивает переход от постановки бизнес задач к вопросам
управления информационными технологиями, и помогает установить должный
уровень понимания рисков и преимуществ, связанных с использованием
информационных технологий, и реализовать эффективную систему управления
информационными технологиями, направленную на достижение бизнес целей
организации. Таким образом, COBIT можно считать связующим звеном между
бизнес рисками, задачами управления и технической инфраструктурой
организации, позволяющим оптимизировать инвестиции в информационные
технологии и оценивать эффективность управления информационными
технологиями.
Для внедрения COBIT в деятельность организации необходимо осуществить следующие этапы:
• определение бизнес целей;
• выбор процессов и механизмов управления с использованием высокоуровневых и детальных задач управления;
• согласование программы внедрения с бизнес планом организации;
• оценка существующих процедур и результатов внедрения механизмов управления;
• оценка текущего статуса организации, идентификация критичных действий
ведущих к успеху и измерение производительности в достижении целей
организации.
Для сохранения конкурентоспособности современным организациям требуется
большая степень гибкости и способность использовать свои ресурсы
эффективнее. При внедрении COBIT не стоит забывать и об использовании
таких ресурсов как:
• данные - объекты в широком смысле (то есть внутренние и внешние),
структурированные и неструктурированные, а также графика, звук;
• приложения - совокупность автоматизированных и выполняемых вручную процедур;
• технология - аппаратное и программное обеспечение, операционные системы, системы управления базами данных, сеть и мультимедиа;
• оборудование - все ресурсы, создающие и поддерживающие информационные технологии;
• люди - персонал, его навыки: умение планировать и организовывать,
комплектовать, обслуживать и контролировать информационные системы и
услуги.
При использовании COBIT руководитель получает следующие сведения:
• текущий статус организации - оценка, на какой стадии организация находится сегодня;
• текущий статус лучшей практики в этой отрасли - сравнение своей организации с лучшей организацией в данной отрасли;
• текущий статус международных стандартов - проведение дополнительного
сравнения текущего статуса организации с "лучшей практикой" или
международными стандартами; практикой" или международными стандартами;
• статус организации после усовершенствования - оценка стратегии организации и ее желаемых результатов.
Использование COBIT и ITIL способствует адаптации информационных процессов к быстро меняющимся требованиям бизнеса.
Стандарт COBIT рекомендуется к применению в области управления
информационными технологиями, аудита и информационной безопасности.
В COBIT основным моментом является определение основных принципов и
структуры аудита информационных технологий. ITIL в свою очередь
представляет собой набор руководств, описывающих интегрированную
методологию управления услугами информационных технологий, и
соответствует требованиям международных стандартов качества ISO.
Высшее руководство должно иметь общее представление о стандартах и
рекомендациях COBIT и ITIL, а также о том, как их можно интегрировать и
использовать в управлении информационными технологиями в организации.
Стандарт COBIT рассматривает основные процессы:
• Планирование и организация;
• Проектирование и внедрение;
• Эксплуатация и сопровождение;
• Мониторинг и оценка.
В свою очередь в библиотеке ITIL рассматриваются следующие процессы:
• Управление инцидентами;
• Управление проблемами;
• Управление конфигурациями;
• Управление изменениями;
• Управление релизами;
• Управление уровнем сервиса;
• Управление финансами;
• Управление мощностью;
• Управление непрерывностью;
• Управление доступностью.
Особенностями стандарта COBIT являются: соответствие общепринятым
стандартам и принципам управления информационными технологиями; охват
полного цикла процессов управления информационными технологиями от
планирования до поддержки и контроля; совершенствование корпоративного
управления.
В качестве особенностей библиотеки ITIL можно выделить следующие:
предоставление полного и качественного обслуживания пользователям;
уменьшение стоимости информационных услуг; повышение производительности
обслуживания; максимально полное использование накопленных знаний,
опыта и ресурсов.
Основным правилом COBIT является - Ресурсы информационной системы
должны управляться набором естественно сгруппированных процессов для
обеспечения компании необходимой и надежной информацией.
Основным принципом ITIL является – Подразделение информационных
технологий будет работать эффективно в том случае, если ее отношения с
потребителями информационных услуг будут строиться по принципу
«Поставщик-Заказчик».
Применение стандарта COBIT и библиотеки ITIL способствует
большей отдачи от инвестиций в информационные технологии,
дает организации возможность оценить эффективность своей деятельности в
соответствии с общепринятыми стандартами, помогает исполнять требования
законодательства, помогает преодолевать серьезные трудности, связанные
с использованием информационных технологий.
Можно отметить, что совместное применение ITIL, COBIT и семейство
международных стандартов ISO 27000 является наиболее эффективным и
новым способом борьбы с киберпреступностью.
Семейство международных стандартов ISO 27000 было подготовлено с целью
создания, внедрения, эксплуатации, постоянного контроля, анализа,
поддержания в рабочем состоянии и улучшения Системы Менеджмента Защиты
Информации в организациях. Стандарт ISO 27001 определяет основные
требования к разработке и функционированию Системы Менеджмента Защиты
Информации.
В настоящее время более трех тысяч компаний по всему миру прошли
сертификацию по данному стандарту. Республика Молдова не является
исключением, данный стандарт только набирает обороты, отмечается
возрастающий интерес организаций к семейству стандартов ISO 27000.
При внедрении данного стандарта необходимо руководствоваться двумя
основными принципами управления: процессный подход к управлению
безопасностью, рассматривающий управление как набор взаимосвязанных
непрерывных действий; применение PDCA-модели (модель Шухарта-Деминга),
являющейся основой для управления информационной безопасностью.
В стандарте рассматриваются такие аспекты, как: политика безопасности,
организационные методы обеспечения информационной безопасности,
управление ресурсами, пользователи информационной системы, физическая
безопасность, управление коммуникациями и процессами, контроль доступа,
приобретение, разработка и сопровождение информационных систем,
управление инцидентами информационной безопасности, управление
непрерывностью ведения бизнеса, соответствие требованиям.
В последнее время увеличилось количество специализированных
подразделений, заметно усилилась роль взаимодействия государственного и
частного секторов с правоохранительными органами в обеспечении
информационной безопасности.
Для разработки эффективных методов международного сотрудничества в
данной сфере в последние годы были приняты меры по борьбе с
компьютерными преступлениями, которые позволили получить значимые
результаты. Для эффективности данных мер необходимо оказывать
содействие в проведении обучения и сертификации специалистов в области
информационных технологий и информационной безопасности, а также
развивать партнерские отношения между государствами.
Эффективная борьба с киберпреступностью является ключевым элементом
обеспечения безопасности и противодействия новым формам организованной
преступности.
Масштабное проникновение новых информационно-коммуникационных
технологий во все сферы жизни современного общества существенным
образом влияют на характер организаций и общественных взаимодействий, в
том числе в сфере отношений государств и организаций.