От Доктрины ИБ к стратегии кибербезопасности и обратно

Итак, продолжим. Вчера мы поговорили о проекте Конвенции по обеспечении международной ИБ для стран БРИКС. Сегодня поговорим о новой Доктрине ИБ, о которой сообщил Совет Безопасности, и о проекте нового закона, о котором написал позавчера "Коммерсант".

О том, что Доктрину достали с полки и начали переписывать стало известно еще в 2013-м году. Именно тогда в Совете Федерации была начата работа над Стратегией кибербезопасности. Собственно идея-то и состояла в том, чтобы актуализировать Доктрину и сделать документ, более соответствующий и современным угрозам и современной геополитической ситуации (правда, тогда еще Крым не присоединился к России путем народного волеизъявления). К концу 2013-го года две трети работ по Стратегии были завершены и она была представлена на Парламентских слушаниях. К сожалению, 8-й Центр ФСБ забраковал эту инициативу, а чуть позже и ее главный инициатор, сенатор Руслан Гаттаров, покинул Совет Федерации, став заместителем губернатора Челябинской области. В отсутствие инициатора и в виду противодействия со стороны ФСБ и Совета Безопасности (а он тоже высказывал свои сомнения в необходимости Стратегии) работы по Стратегии кибербезопасности были свернуты.

Но это не значит, что Доктрину не нужно было менять. Поэтому в Совете Безопасности стали негласно готовиться к внесению поправок в документ 2000-го года. Как это часто бывает в таких вопросах, публично заявлять о начале работ над чем-то принято уже в самом конце :-) Поэтому могу предположить, что работы находятся на финишной прямой и относительно скоро мы все увидим этот документ, готовящийся в строжайшей секретности.

Секретность, кстати, при подготовке данного документа была лишней. И хотя со мной многие не согласятся (и мы уже дискутировали на эту тему), но все-таки я считаю, что в подготовку документа, тем более устанавливающего правила игры на годы вперед, должны быть вовлечены специалисты совершенного различного профиля и из разных организаций и ведомств. У меня перед глазами пример последних 3-х приказов ФСТЭК и их сравнение с СТР-К и первым четверокнижием по ПДн. Небо и земля. Да, приглашение внешних экспертов - это непростая задача и пускание на самотек (как это, к сожалению, было с основами госполитики по вопросам формирования культуры ИБ в РФ) ни к чему хорошему не приведет. Поэтому я еще 2 года назад сформулировал правила коллективной работы над документами по ИБ.

Упомянутые в новости СовБеза ключевые положения новой Доктрины - это ни о чем. Все тоже самое постулировалось и в предыдущей редакции. Там также говорили о необходимости развития своих технологий, повышения их конкурентоспособности и т.п. А вообще история продвижения темы защиты национальных интересов в информационной сфере началась задолго до текущей геополитической ситуации. Еще в 1992-м году учеными РАН и российских НИИ была подготовлена "Концепция развития безопасных информационных технологий: обеспечение защиты информации в проектах информатизации России”. Примерно в тоже время Гостехкомиссией России, позже переименованной в ФСТЭК России, был подготовлен проект Концепции защиты информации в системах обработки информации. Оба эти документа уже тогда предлагали развивать и стимулировать отечественных разработчиков в области информационной безопасности, видя растущую угрозу со стороны ряда государств дальнего зарубежья.

Пока еще действующая Доктрина информационной безопасности тоже не обошла вниманием этот вопрос, постулировав необходимость развития отечественных информационных технологий и средств защиты информации, а также сертификацию продукции иностранного происхождения, как гарантию ее соответствия требованиям по безопасности и, в ряде случаев, отсутствия в ней недокументированных возможностей. По сути сейчас мы вновь поднимаем на флаг тезис “Поддержим отечественного производителя”, не предлагая пока никаких конкретных и практических шагов для этого.

Как и 15 лет назад, так и сейчас, остается открытым вопрос о месте Доктрины в иерархии нормативных актов. Она не является федеральным законом и ее положения не обязательны к исполнению. Поэтому, без работы над целой структурой нормативно-правовых актов, которые бы уточняли и развивали положения Доктрины, курс на импортозамещение и обеспечение гарантий при использовании технологий, не имеющих отечественных аналогов, так и не выйдет за набор красивых лозунгов.

Возможно ситуация сдвинется с мертвой точки. По крайней мере сделан первый шаг в этом направлении - в Госдуме приступили к разработке законопроекта "О мерах по обеспечению информационной безопасности Российской Федерации" (кстати, в 2008-м году уже был принят до сих пор действующий одноименный Указ Президента №351, в который последние изменения вносились в июле 2014-го года). Автор проекта, член думского комитета по экономической политике Александр Потапов (почему не комитет по безопасности выступил иницииатором?) предлагает узаконить импортозамещение программного обеспечения, по сути повторив тоже, о чем говорит проект Постановления Правительства, подготовленный Минкомсвязью, но на уровне федерального закона и включив в него вопросы информационной безопасности.

Правда, пока это даже не законопроект, а проект законопроекта, в котором 10 пунктов (защитных мер), которые должны лечь в основу законопроекта. Помимо идеи импортозамещения, в тексте говорится и о резервном Интернет, и о проведении различных исследований, и ряде других "обеспечительных" мер. Но документ очень и очень сырой.

В 2006-м году, был уже один законопроект, который готовился под тем же соусом. В пояснительной записке к нему говорилось, что "программное обеспечение для обработки информации, в том числе составляющей государственную и служебную тайну, в большинстве случаев приобретается у случайных поставщиков и, соответственно, проверку на наличие недекларированных возможностей не проходит, поэтому его применение создает условия для неконтролируемого воздействия на объекты информационной и телекоммуникационной инфраструктуры, где оно установлено". Законопроект "Об особенностях обеспечения информационной безопасности критически важных объектов информационной и телекоммуникационной инфраструктуры" должен быть снизить риски использования такого ПО (депутаты-авторы преимущественно говорили о продукции Microsoft) и повысить защищенность критической информационной инфраструктуры России. Этот, так и не рассмотренный даже в первом чтении законопроект, был не в пример лучше того, который готовится сейчас. У него была четкая сфера действия, четкий набор мероприятий, раздел про ответственность за несоблюдение и т.п. Но, к сожалению, он так и не был принят. И вот, спустя почти 10 лет, мы вновь возвращаемся к этой теме, но в гораздо худшем по реализации варианте :-(

Но даже если предположить, что депутаты (и приближенные эксперты) разработают и примут упомянутый законопроект, то этого недостаточно для реализации положений Доктрины ИБ (не только новой, но и старой). Ее должен дополнять план мероприятий и разработки нормативно-правовых актов, направленных на реализацию положений Доктрины ИБ. И кто-то должен быть ответственным за реализацию этого плана (как и за срыв сроков этой реализации). Только вот кандидатов на эту роль я не вижу :-( Учитывая ту неразбериху в ответственных за вопросы ИБ в России, учитывая отсутствие координации между ними, учитывая подковерные игры и конфликты даже между подразделениями в одном регуляторе, ждать чего-то стоящего пока не приходится :-( А единый орган исполнительной власти, уполномоченный по всем вопросам информационной безопасности, о котором говорилось в предложениях академиков РАН еще в 1992-м году, так и не создан и, похоже не будет.

Кадр из диафильма "Лебедь, рак и щука"

Главное, чтобы поздно не было...

Подробнее…

Об отключении Интернет, которое было предсказуемо еще 14 лет назад

Вчера прошло заседание Совета Безопасности, посвященное информационной безопасности России в целом и Рунета в частности. Само мероприятие вызвало уже немало откликов, комментариев, статей и репортажей в СМИ. Однако для большинства пользователей Интернет и просто обывателей главным был вопрос, который подняла совсем недавно газета “Ведомости”  - отключат нас от Интернет или нет? Собственно временная шкала в мозгу рядового россиянина выглядела бы так:

Специалисты, чуть больше погруженные в тему, могли бы увязать статью в “Ведомостях” с прошедшими в июле секретными кибер-учениями (кстати, проведение киберучений - вещь достаточно популярная в мире).

Еще более погруженные в тему специалисты могли бы вспомнить, что ничего сверхестественного в идее отключения государства от Интернет нет и даже США пытались это сделать, создав “красную кнопку”, передаваемую в чрезвычайной ситуации в руки президента США. Правда, законопроект “о красной кнопке отключения Интернет” так и не был принят, но все-таки такая возможность открыто прорабатывалась американцами еще в 2010-м году. Почему бы ее не проработать и нашим властям?..

Но я бы хотел посмотреть на эту проблему чуть шире. Если отталкиваться только от статьи в “Ведомостях” и последующих ее переложениях, то ситуация действительно выглядит апокалиптично - IP-адреса заберут, DNS-адреса перестанут делегировать, Рунет перестанет быть доступным извне, превратившись в большую локальную сеть, скрытую NAT’ом… Просто жуть, а не картина :-) Если же посмотреть на ситуацию, взяв за основу не статью в “Ведомостях”, а сам факт проведения киберучений (а статью считать не самым удачным переложением того, что обсуждалось в июле), то ситуация становится вполне адекватной и понятной - государство, в условиях усиления информационного противоборства (на разных уровнях) решило наконец-то озаботиться оценкой возможных рисков, проработкой сценариев негативного развития событий и выработкой подходов по их нейтрализации и смягчению последствий. Обычное моделирование угроз или анализ рисков, но применительно к российской информационно-телекоммуникационной инфраструктуре (читай, Рунету) и в более глобальных масштабах. Тогда в качестве одного из возможных рисков вполне могли рассматривать “ливийский” сценарий по случайному или целенаправленному отключению России от всемирной сети, что могло стать причиной различных негативных событий у нас в стране. С этой точки зрения все выглядит вполне разумно и заседание СовБеза явилось логичным продолжением киберучений, результаты которых с предложениями по нейтрализации негативных последствий и были озвучены Президенту и другим участникам СовБеза.

Тут можно было бы и поставить точку, но раз уж я все-таки взялся за клавиатуру и все-таки посвятил заметку этой теме, то я хотел бы пойти еще дальше и высказать крамольную мысль, что ничего сверхественного, сенсационного, ранее неизвестного в постановке задачи “а можно ли отключить нас от Интернета” нет. Эта тема давно волнует умы нащих силовиков и иных стоящих у руля, о чем они открыто и неоднократно писали. Достаточно только вспомнить прошлогодние баталии на тему интернационализации Интернет, борьбе с засильем американской ICANN и желанием ряда государств (во главе с Россией) передать полномочия по управлению Интернетом “независимой” ITU (работающей под эгидой ООН), а также получить право управлять национальными сегментами Интернет на уровне государства, а не ICANN. Желание вполне понятное с точки зрения если не пользователя Интернет, то государства уж точно.

Интернационализация же Интернет - идея тоже не новая. Впервые ее упомянули еще в 2000-м году в Доктрине информационной безопасности. И вот тут мне хотелось бы напомнить, что несмотря на кажущуюся хаотичность действий наших чиновников и законодателей, они все-таки подчиняются некоторой логике (пусть и далекой от логики обычного россиянина). И логика эта (а также путь движения) описан в ряде основополагающих документов:

• Доктрина информационной безопасности (2000 год)
• Стратегия национальной безопасности до 2020 года (2009 год)
• Федеральный закон “О безопасности” (2010 год)
• Военная доктрина (2010 год)
• Основы государственной политики в области международной информационной безопасности на период до 2020 года (2013 год)
• Концепция внешней политики (2013 год).

Во всех этих документах стратегического планирования постулируется мысль, что одна из основных угроз в области информационной безопасности для России - это использование информационно-коммуникационных технологий (Интернет) для вмешательства во внутренние дела государства, для осуществления враждебных действий против государства, для оказания деструктивного воздействия на критические инфраструктуры государства и для совершения киберпреступлений против отечественных компаний и граждан. Ну а дальше все эти документы определяют различные высокоуровневые, а местами и совсем неконкретные способы снижения данного риска.

Например, все документы говорят об интернационализации управления Интернетом, которые по сути означают желание государства взять управление Рунетом под свой контроль (кто-то может трактовать это как возможность отключения от Интернета). Документы говорят о необходимости обеспечения технологического суверенитета в ряде критических областей (не всех), что мы также видим в последнее время. Декларируется право на индивидуальную или коллективную самооборону, реализацию которой мы также видим в обсуждении различных либо сугубо российских инициатив по ИБ, либо в виде коллективных договоров по ИБ в рамках ШОС, ОДКБ, СНГ и т.п.

Вспомним, попытки последних лет взаставить международные Интернет-компании - Twitter, Google, Facebook и других, быть более лояльными к запросам российских властей. Так в Доктрине ИБ 2000 года это было уже прописано - “определение статуса организаций, предоставляющих услуги глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятельности этих организаций”. Российские Интернет-компании, ранее не попадавшие под лицензирование как операторы связи и недавно ставшие “распространителями информации”, подконтрольными российским властям, тоже были упомянуты несколько лет назад в рамках одной из угроз, которую нужно нивелировать - “создание системы противодействия монополизации отечественными и зарубежными структурами составляющих информационной инфраструктуры, включая рынок информационных услуг и средства массовой информации”.

Про на днях нашумевший законопроект о ограничении участия иностранцев в деятельности наших СМИ в этих доктринальных документах тоже написано - “уточнение статуса иностранных информационных агентств, средств массовой информации и журналистов”.

Про недавно созданный при ОДКБ центр противодействия киберугрозам тоже было написано и в основах госполитики в области международной ИБ, и в концепции внешней политики, и в стратегии национальной безопасности. В них постулируется необходимость создания альянсов с ОДКБ, ШОС, СНГ, странами БРИКС по различным сферам, в том числе и в части информационного противоборства и информационной безопасности. Последние шаги России по выпуску межгосударственных документов в области ИБ (включая и ЕвразЭС, по которому сейчас тоже активно готовится нормативная база) лишний раз доказывают это.

По сути, то, что вчера происходило на Совете Безопасности, было предсказуемо. Вопрос был только в дате, когда за это должны были взяться. Взялись. Думаю, теперь можно прогнозировать, опираясь на вышеупомянутые документы, что будет следующим в списке шагов наших законодателей и регуляторов.

А в заключение хочу тезисно напомнить, что вчера было на СовБезе (в вольном переложении и прочтении между строк):

• Будут создаваться (а местами уже созданы) дублирующие элементы сети для обеспечения ее отказоустойчивости. В том числе будет активизироваться сотрудничество в этой сфере с Китаем и рядом других государст-партнеров.
• Сайты, которые нарушают законодательство РФ (в т.ч. и во внесудебном порядке), будут и дальше закрываться. Никаких послаблений не будет. Роскомнадзор может быть выведен из под Минкомсвязи в прямое подчинение Президенту.
• Тотального контроля не будет. Про нетотальный речи не было :-) Необоснованных ограничений в Интернете не будет. Про обоснованные речи не было :-)
• Будут приняты новые нормативные акты в области ИБ и Интернет, особенно применительно к госорганам.
• ФСБ остается основным органом в области ИБ, который готовит для Президента аналитические записки и прогнозы развития ситуации.
• Озвучен в очередной раз курс на стимулирование госорганов применять отечественную ИТ-продукцию. Критерии “отечественности” финально не приняты.
• Система СОПКА будет и дальше развиваться.
• Киберучения, видимо, теперь будут регулярными.
• Министр связи и массовых коммуникаций мало понимает в области ИБ.
• Банковский CERT, о котором говорили в начале года в Магнитогорске, будет создан в ближайшем времени.
• Законодательство о персональных данных будет развиваться.
• Мы начнем перенимать зарубежные “лучшие практики” контроля Интернет и “защиты прав” граждан (например, китайские).

Подробнее…

Готовы поучаствовать в обсуждении Стратегии кибербезопасности РФ?

В начале декабря я писал про текущий статус разработки Стратегии кибербезопасности РФ. И вот, спустя всего месяц Руслан Гаттаров сдержал свое обещание и выложил концепцию этой стратегии для общественного обсуждения. Концепция - это еще не текст самой Стратегии, а скорее свод принципов, заложенных в ее основу, а также основополагающие тезисы, которые должны войти в итоговый вариант.

Многие российские специалисты не раз высказывались за то, что надо идти с самых верхов и менять идеологию обеспечения ИБ в России. У кого-то даже целая единая теория безопасности разработана :-) Сейчас представляется возможность для того, чтобы высказать свои идеи и предложения, которые после обсуждения на рабочих совещаниях войдут (или не войдут) в финальный документ, который должен быть вынесен на заседание Совета Безопасности.

ЗЫ. Хочу еще раз отметить, что ждут не критики, а конкретных предложений и идей. Написать "все плохо" или "все переделать" - это не предложение и не идея :-) Критикуя, предлагайте.

Подробнее…

По мнению СВР и МИД деятельность частных CERT незаконна

Вчера я выступал на семинаре ПИР-Центра, посвященного вопросам обеспечения кибербезопасности в странах Юго-Восточной Азии, презентацию с которого и выкладываю. Получилось достаточно интересное мероприятие - особенно занятной была дискуссия про CERT/CSIRTы.

По словам представителей спецслужб (СВР) в России действует целая куча CERTов, и создавались они в рамках Римско-Лионской группы при G8 и отечественные спецслужбы принимали непосредственное участив в их создании, что CERTы могут быть только государственными и вообще в России с CERTами все хорошо и никаких частных и новых CERTов нам не надо :-) Убедить в неправоте представителей СВР не удалось (да и не ставилась такая задача). Они просто путают контактные пункты сети 24/7, которая применялась в ходе расследования серьезных преступлений, связанных с использованием высоких технологий. Инициатива эта важная, но к реальным CERT/CSIRT никакого отношения она не имеет.

Ну да спецслужбы у нас живут на своей планете и о реальной жизни (не ограниченной только интересами государства) имеют очень отдаленное представление. Чего только стоит удивление сотрудника МИД, который с уверенностью, достойно похвалы, доказывал, что в случае возникновения инцидента ИБ обращаться надо не в частные CERTы, а в правоохранительные органы, которые с радостью помогут изобличить киберпреступников :-) А еще МИД и СВР волнует не реальная борьба с инцидентами ИБ, которая ведется частными CERTами (в частности CERT-GIB), а вопрос "На каком основании частный CERT проводит свои расследования?" (право на ОРД имеют только правоохранительные органы) и "Какое право частный российский CERT имеет на доступ к заграничным Интернет-ресурсам?" (МИД считает, что киберпреступление в России может не считаться таковым в другой стране и доступ к чужому сайту российским частным CERT может быть истолкован как вмешательство во внутренние дела другого государства и даже акт агрессии). Вот такая позиция у наших властных структур...

Перспективы сотрудничества России и АСЕАН в области кибербезопасности from Alexey Lukatsky

Подробнее…

Стратегия кибербезопасности России: текущий статус

Нидерланды, Испания, Турция, Венгрия, Польша, Индия,  приняли в этом году свои стратегии кибербезопасности. Кения, Монтенегро и Уганда на подходе. Россия тоже не отстает и с конца прошлого года ведет работы по созданию собственной национальной стратегии кибербезопасности. Я про начало этого процесса уже писал, но с тех пор воды утекло немало. 29 ноября в Совете Федерации прошли парламентские слушания по этому вопросу, на котором была представлена Концепция данной стратегии. Надо заметить, что отношение к стратегии неоднозначное - о чем я писал еще в феврале.

Несмотря на то, что основополагающий документ по информационной безопасности в России (Доктрина ИБ) был принят еще в 2000-м году, с тех пор он так и не менялся. И это несмотря на то, что и потенциальные противники выпустили уже свои документы (а некоторые уже и не первый раз), и технологии сильно поменялись, и в стране произошли некоторые изменения. Но мы по-прежнему живем по документу более чем десятилетней давности. Именно этот пробел и должна была устранить разрабатываемая стратегия. При этом авторы сознательно ушли от термина "информационная безопасность", который помимо чисто технократичных угроз и вопросов доступа к информации рассматривает также и угрозы, связанные с негативным воздействием информации на человеческое сознание и поведение (информационные войны, манипулирование сознанием и т.п.). Поэтому и было принято промежуточное решение использовать термин "кибербезопасность".

Однако ФСБ, а точнее 8-й Центр, на Парламентских слушаниях прицепился именно к терминологии и отсутствию четкого места Стратегии в системе иных документов, касающихся национальной безопасности. По тексту документа они предложений или замечаний не высказали, опять обойдя вниманием конкретику, как это часто бывает с 8-м Центром в последнее время. Такое впечатление, что они застыли в конце 90-х - начале 2000-х годов и там и живут, принимая совершенно неадекватные реалиям нормативные документы. Почему-то другие ведомства не чураются новаций и принимают/разрабатывают и "Основы госполитики в области международной ИБ", и "Основы госполитики в области формирования культуры ИБ", и т.д. Может именно по причине отсутствия движения вперед и топтания на месте Совет Безопасности покинул замсекретаря Климашин Н.В. (он же руководитель межведомственной комиссии СовБеза по ИБ, он же бывший первый заместитель директора ФСБ, он же бывший руководитель НТС ФСБ, он же ВРИО гендиректора ФАПСИ)? Да и в отношении 8-го Центра ходят слухи о недовольстве им в высших эшелонах власти по причине хоть какого-нибудь стимулирования развития ИБ в России и установления одних запретов. Но вернемся к Стратегии кибербезопасности...

Работа по ней продолжается - в рамках Парламентских слушаний были высказаны некоторые замечания и предложения (хотя все, кроме 8-го Центра, высказали позитивную оценку данной работы Совета Федерации и сенатора Гаттарова, ее инициировавшего), которые будут рассмотрены в самое ближайшее время на заседании рабочей группы. По окончании работ Председатель Совета Федерации, Матвиенко В.И. должна внести Стратегию на рассмотрение Совета Безопасности.

Подробнее…

Очередной игрок на рынке информационной безопасности критически важных объектов

Почти месяц назад я написал, что мне ответили в Правительстве РФ по поводу ПП-861 об правил информирования субъектами топливно-энергетического комплекса об угрозах совершения или совершении актов незаконного вмешательства на объектах ТЭК. Меня интересовал вопрос о том, как выполнять ПП-861 в контексте инцидентов ИБ. Сначала меня послали на три буквы - в ФСБ, а попутно в ФСТЭК и Департамент культуры Правительства. И вот вчера я получил долгожданный ответ от ФСБ... Долго думал. То ли я забыл поставить знак вопроса в своем первоначальном письме, то ли еще что-то, но ответ ФСБ меня заставил усомниться в способности регулятора вообще адекватно заниматься вопросами информационной безопасности критически важных объектов.

Итак, напоминаю. Я спросил у регулятора:

• Считать ли каждое срабатывание антивируса на объектах ТЭК триггером, по которому надо уведомлять регуляторов?
• Как автоматизировать процесс?

И вот какой ответ я получаю:

Вот как можно на ВОПРОС, ответить так, как мне ответили? Какие данные я привел в обращении, чтобы учесть их в оперативно-служебной деятельности? Мой домашний адрес? Хотя судя по подписи, я уже стал подозревать, что в уважаемом регуляторе работают люди с чувством юмора. А как еще может быть, если документ подписывает "начальника" :-) Хорошо что не "начяльника" :-)

Но больше всего меня "порадовал" источник ответа. Это был не 8-й Центр, и даже не ЦИБ, как я предполагал сначала. Это совершенно иное управление внутри ФСБ:

Я вполне допускаю, что именно это управление внутри структуры ФСБ отвечает за критически важные объекты в целом и объекты ТЭК в частности, но объекты ТЭК про это явно не в курсе. Вся эта закрытость (даже от тех, кому положено знать) напоминает классику советской комедии:

Подробнее…

Кто захватит мировой рынок кибербезопасности к 2023 году?

В 2012-м году на DLP Russia я делал презентацию про различные тенденции в области ИБ и среди прочего, на первом слайде, у меня был тезис о том, что в игры скоро вступят большие мальчики и все те, кто сейчас считают себя лидерами рынка вынуждены будут потесниться, а нишевые игроки (Palo Alto, Fortinet, BlueCoat, даже Check Point) просто уйдут с этого рынка или, что вероятнее, будут поглощены крупными акулами. И вот новое подтверждение - в отчете  Global Cyber Security Market 2013-2023 приводится список из 17 текущих лидеров рынка кибербезопасности. И уже сейчас среди этих имен:

• BAE Systems
• Boeing Defense, Space and Security
• Booz Allen Hamilton, Inc.
• Computer Science Corporation (CSC)
• EADS Group
• General Dynamics Corporation
• Harris Corporation
• L-3 Communications
• Lockheed Martin Corporation
• Northrop Grumman Corporation
• Raytheon Company
• SAIC, Inc.
• Thales Group.

Можно было бы предположить, что это отчет по американскому рынку и поэтому там такие показатели. Ан нет. Это отчет по мировому рынку кибербезопасности и анализируется в нем помимо общемировых трендов еще и отдельно 13 различных стран с точки зрения развития данного сегмента (Россия в их числе). В списке также присутствует и ряд крупных ИТ-компаний. Именно ИТ, не ИБ. 

Иными словами, все идет к тому, что в долгосрочной перспективе рынок будет укрупняться, мелкие игроки схлопываться, не выдерживая конкуренции, или сдаваться в плен на милость победителя. А это в свою очередь ставит два вопроса:

1. Как выстраивать долгосрочную стратегию ИБ на предприятии, чтобы не попасть в ситуацию, когда нишевой продукт просто исчезает с рынка, потому что его производитель проигрывает битву с титанами?
2. Как государству защищать свои национальные интересы в сфере кибербезопасности (если оно, конечно, хочет их защищать, а не просто декларировать)?

И вот со вторым вопросом решать надо бы поскорее. Причем не путем запретов зарубежного, как это пытаются сделать сегодня, а путем развития своего. И тут нужна отдельная стратегия, которая должна быть реализована всеми участниками процесса - от ФСБ и Совбеза до Минпромторга и Минкомсвязи. Причем проект такой стратегии в России уже есть; и давно. Еще в 94-м году была написана Концепции защиты информации в системах обрработки информации, а в 92-м была представлена еще одна Концепция - развития безопасных информационных технологий: обеспечение защиты информации в проектах информатизации России. Так что можно и нужно доставать их  дальней полки, сдуть пыль и начать реализовывать. Все лучше, чем писать приказы об установке решеток для всей России для обеспечения сохранности персданных...

Подробнее…

От хакерских конкурсов к киберучениям

Кого мы можем называть специалистом-практиком по информационной безопасности? Выпускника ВУЗа с большими, но теоретическими знаниями? Человека, прошедшего курсы повышения квалификации в АИС или УЦ "Информзащита"? Или человека, имеющего реальный практический опыт защиты информации в госоргане? Наверное ни того, ни другого, ни третьего. Нужна не просто комбинация теоретических и практических знаний, но и их регулярное подтверждение. Вот о нем мы и поговорим.

В романе "Нейромант" Гибсона и "Лабиринте отражений" Лукьяненко есть интересная идея о создании полностью автоматической системы защиты, которая только усиливает свой потенциал  при нападении на нее. За счет искусственного интеллекта и нейронных сетей защита сама анализирует методы вторжения и подстраивается под них, автоматически выстраивая линию обороны. Если представить, что и система нападения тоже могла бы быть полностью автоматический и действующей без участия человека, то можно было бы получить очень интересную самообучающуюся систему, а точнее две, которая бы выбирала только выигрышные стратегии для атак и их нейтрализации. Но это фантастика, до которой нам еще далеко...

В реальности же мы имеем людей, которым помогают какие-то инструменты - для атак и для их отражения. Без человека эти инструменты пока не очень эффективны; хотя и облегчают решение некоторых задач. Функции самообучаемых систем атак и нападения выполняют люди, которым необходимо постоянно повышать свой уровень, не только получая новые знания, но и тестируя их на практике. В реальной жизни такой опыт дается слишком дорого и он слишком ценен, чтобы ждать возможности проверить свой багаж знаний и "ловкость рук". Поэтому и появляется красивая идея соревнований CTF (Capture The Flag), которые довольно распространены во всем мире, включая и Россию.

RuCTF, VolgaCTF, Defcon CTF, UralCTF, rfCTF, NeoQuest, PHD CTF и т.д. Считаясь молодежными, а иногда и студенческими мероприятиями, на них как раз и осуществляется проверка сил защитников и нападающих. К сожалению, данные мероприятия пока проводятся в России на добровольных началах без существенной поддержки со стороны государства. Конкурсы CTF не поддерживаются ни Рособразованием (не уверен, что там вообще знают про такую форму практических занятий), ни УМО по ИБ, ни ФСТЭК, ни ФСБ. Хотя нет, ЦИБ ФСБ на последнем PHD как раз заявил о поддержке идеи CTF, но пока только словесной. Работа в ФСБ по направлению информационной безопасности пока прельщает немногих победителей CTF. Помимо преимуществ работы в этой структуре, есть и ограничения, которые отрезвляют многих. А вот отсутствие хоть какой-то официальной реакции со стороны УМО по ИБ странно - именно это учебно-методическое объединение отвечает за развитие направления ИБ в России; именно через них проходят все ФГОСы по нашей тематике.

Но вернемся к идее проверке сил атакующих и нападающих. Врядли можно себе сейчас представить, что специалисты коммерческих служб ИБ ломанутся "играть" в эти игры. Кто-то стесняется, у кого-то нет опыта, у кого-то тупо нет времени. Но если не CTF, то что, как и где? И вот тут нам на помощь приходит европейский, американский и австралийский опыт. У них уже давно проводятся киберучения (cyber exercise). С 2002-го по 2012-й годы в мире было проведено 85 киберучений, в которых участвовало 84 государства. 71% всех учений прошли в период с 2010-го по 2012-й годы. Практически половина всех учений длится один день (как и большинство CTF); 32% длятся до 3-х дней, еще 15% - от 4 до 5 дней, и еще 4% - больше 5 дней.

Идея правильная, но врядли ее можно организовать в общегосударственном масштабе для всех без исключения предприятий. Поэтому в Европе, Австралии, США такие учения проводятся для критически важных объектов, что закономерно. Успешная атака на критическую информационную инфраструктуру может обойтись очень дорого, как для экономики страны, так и для жизни и здоровья ее граждан. Правда, наш 8-й Центр ФСБ пока не видит необходимости в такой инициативе. По крайней мере это предложение в законопроект по безопасности критических информационных инфраструктур было отклонено как неотносящееся к предмету законодательного регулирования (интересно, а к чему оно относится).

Понятно, что восьмерке врядли хочется брать на себя эту задачу (опыта-то нет). Но может все-таки в финальный текст закона эта идея попадет, как здравая и полезная в деле защиты наших критически важных объектов от случайных или направленных воздействий? А что касается отсутствия опыта... Начинать-то с чего-то надо. В качестве лучшей практики могу посоветовать посмотреть на европейские рекомендации ENISA, которые разработаны на основе проведения регулярных европейский киберучений Cyber Europe и трансатлантических киберучений Cyber Atlantic.

Подробнее…

Прогноз: хакеры-геи атакуют Олимпиаду в Сочи

До Олимпиады в Сочи осталось 143 дня. Не много и не мало. Вчера я уже писал, что прошедший ИнфоБЕРЕГ для меня был знаковым. По сути до этого момента я особо не задумывался о том, как будет обеспечиваться информационная безопасность зимних Олимпийских Игр. Потом я стал изучать опыт Cisco, которая была партнером Лондонской Олимпиады и строила для нее инфраструктуру, включая и ее защиту. И оказалось, что Олимпиада - это очень интересный с точки зрения защиты объект. И по используемым новейшим информационным технологиям, и по массовости, и по временной сжатости. На Инфобереге я вкратце поднимал эту тему:

Информационная безопасность Олимпийских игр from Cisco Russia&CIS

Но уже после выступления у меня была возможность и просто подумать, и с коллегами пообщаться, чтобы возник ряд вопросов и замечаний к тому, что и как делается или будет делаться у нас. Первый вопрос я уже поднимал в пятницу - касается он координации усилий по реагированию на инциденты. Иными словами, как будет осуществляться это самое реагирование, кому надо перенаправлять запросы при их поступлении, какова процедура эскалации и т.п. Допустим, в Интернете обнаружен фишинговый сайт по продаже билетов на соревнования. Писать в БСТМ или ЦИБ? А если в результате атаки выведена из строя система освещения церемонии открытия Олимпиады (такая угроза была в Лондоне, но к счастью так и не реализовалась), то кто должен реагировать первым? ФСБ или МЧС или МинЭнерго? Кстати, тут есть и вторичный вопрос - Олимпиада - это критически важный объект или нет?

Второй вопрос связан с моделью угроз. Какие угрозы попали в финальный список? Ванкуверская пятерка или еще что-то? Тут есть одна тонкость. Именно зимние Олимпийские игры в Ванкувере были первыми, в которых вся инфраструктура была построена на базе единой IP-сети. Потом был Лондон и вот теперь Сочи. Т.е. впервые активное применение ИТ на Олимпиаде проявилось только 3 года назад и за это время был сделан большой скачок. Даже между Ванкувером и Лондоном. Даже если представить, что Сочи по оснащению будут не хуже Лондона, то модель угроз должна сильно отличаться, а если в Сочи уровень ИТ-проникновения будет гораздо выше? А ведь есть еще и сугубо специфические "наши" угрозы. Например, кавказские, чеченские или черкесские хакеры. Последние, кстати, уже действовали в 2012-м году на олимпийских объектах.

А есть еще геи. Как не смешно это звучит (мы регулярно троллили эту тему в Сочи), но учитывая отношение России к геям и то, как весь мир относится к тому, как к ним относится Россия, достаточно легко предположить, что под этим соусом хактивисты будут вербовать в свои ряды новых апологетов. А если представить невозможное - хакер-гей, которого взяли за его прямым делом и скрутили наши доблестные стражи порядка так, как они это делали на Болотной... Шуму не оберешься. Прогрессивная Европа и демократическая Америка будут активно эту тему использовать, чтобы утереть нам нос.

Вообще с угрозами ИБ на любой Олимпиаде ситуация отличная от обычного предприятия. Для них основной критерий, отделяющий мелочь от серьезных проблем, - сила удара по репутации. Вот возьмем фишинговый сайт, крадущий данные кредитных карт. Серьезно? Для Олимпиады нет. А вот фальшивая СМСка посетителям соревнований по бобслею, в результате которой все вдруг ломанутся со спортивного объекта, - это уже серьезнее. Или отключение электричества в горном или прибрежном кластере Сочи (хотя в Сочи и так регулярно отключают)? Вот тут репутационные риски более чем серьезные. Причем серьезные как для России (тогда в мире перестанут рассматривать нас как серьезного партнера для проведения крупных международных мероприятий), так и для Президента в частности (для него Олимпиада в Сочи - это личный репутационный проект).

Правда, в Сочи ситуация немного иная. Судя по последним новостям наши спецслужбы, оперативные штабы и иные ответственные лица занимаются более приоритетными делами - антитеррористической защищенностью, что обусловлено близостью кавказских и закавказских республик, с которыми у нас непростые отношения в последнее время. Тут не до ИБ, к сожалению. С другой стороны и тем, кто может захотеть напакостить, гораздо проще пойти по "традиционному" пути, а не через киберпространство. И это играет России на руку. Правда, мне все-таки кажется, что тема кибербезопасности олимпийских объектов у нас незаслуженно обходится вниманием и ею пренебрегают, считая мелкой и несерьезной.

В любом случае время покажет. Единственное, что хочется заметить, что все меняется. Даже за три года с Ванкуверской Олимпиады применение ИТ сильно продвинулось вперед и опираться на прошлые знания было бы не совсем правильно. Как и безоглядно применять чужой опыт тоже не стоит.

ЗЫ. Есть и еще ряд вопросов, которые, как мне кажется, являются риторическими. Как, например, будет соблюдаться ФЗ-152 о персональных данных? Как в Казани на Универсиаде? Как на сайте РЖД? Как написано в Европейской Конвенции? А будут ли проверки?

Подробнее…

Круглый стол в РИА "Новости"

Сегодня я выступал в РИА "Новости" на круглом столе "Киберугрозы и их влияние на оффлайн". Вот запись:


Не могу сказать, что получилось очень уж живо, но в целом поставленные задачи были решены. А еще из выступлений на круглом столе понятны приоритеты государства в области регулирования вопросов информационной безопасности.

Подробнее…

Кибербезопасность или информационная безопасность?

Подписанный в пятницу Президентом РФ документ под названием "Основы государственной политики РФ в области международной информационной безопасности на период до 2020 года" лишний раз убедил меня в мысли, что термин кибербезопасность имеет право на жизнь, чтобы ни говорил МИД по этому поводу.

Если посмотреть на основополагающий документ по ИБ для "внутрироссийского" использования, то информационная безопасность по мнению наших властей - это очень широкий пласт задач и направлений - от обеспечения доступа к информации и ее защиты до борьбы с негативной информацией и цифрового суверенитета. Мы, т.е. традиционные безопасники, обычно трактуем термин "информационная безопасность" очень узко, беря в расчет только один ее аспект - защиту информации.

МИД России, который с конца 80-х годов на международной арене отстаивает интересы России, настаивал и продолжает настаивать на термине "международная информационная безопасность". При этом сотрудники МИД постоянно говорят (акцент на слове "говорят"), что они имеют ввиду всего лишь защиту информации и в "контентные" вопросы не вторгаются и даже мысли у них такой не возникало. Ибо "контентные" вопросы - это сугубо внутренние дела, а вот кибервойны, кибертерроризм, кибероружие - это именно то, чему надо противостоять. Звучит красиво. Вот только на практике все обстоит немного иначе.

В так и не прошедшей через ООН Конвенции об обеспечении международной информационной безопасности, инициаторами которой была Россия и ряд ее союзников (я сознательно сейчас дистанцируюсь от того, что делает РФ и поэтому пишу "ее", а не "наших"), помимо правильных слов о киберугрозах говорится и о воздействии на индивидуальное и общественное сознание, т.е. о манипуляциях, пропаганде и т.д. Российские власти, очевидно, боятся повтора оранжевых революций и не хотят, чтобы кто-то (намекая на США) пытался манипулировать сознанием россиян через Интернет, социальные сети и иные информационные источники. И именно это видится нашим властям основной угрозой. Достаточно посмотреть все последние шаги, чтобы убедиться в этом - ФЗ-139, запрет мата в Интернет, гнобление Google, наезд на Facebook, антипиратский закон и т.п. Ни о какой борьбе с "традиционными" киберугрозами речь не идет. Я имею ввиду о реальной борье. Пока у нас есть полусекретный Указ 31с, есть "Основные направления госполитики в области защиты АСУ ТП", есть неработающая статья в 256-ФЗ "О безопасности ТЭК"... Да много чего есть, только все не работает или остается на уровне деклараций. А вот ФЗ-139 работает. В полной мере (пусть его и обходят все, кому не лень).

И вот именно этого и боятся противники российского подхода (читаем США) в области международной информационной безопасности (МИБ). Именно упор на контентную часть ставят в упрек российскому МИДу, который с улыбкой на лице рассказывает, что проклятые империалисты ничего не понимают и на самом деле Россия озабочена именно традиционными киберугрозами, а не борьбой с инакомыслием в Интернет. И именно по этой причине основной противник России - США, против использования в ООНовских документах термина "международная информационная безопасность" в том контексте, как его понимает Россия и ее союзники. И поэтому США противодействуют всем попыткам РФ насадить этот термин (а лобби США в ООН о-о-о-о-очень сильное). России же противопоставить нечего (надеюсь, что пока нечего). Своих технологий у нас нет и никто даже не пытается их развивать. Провайдеров первого уровня нет (но хотим). Интернетом мы не управляем (но хотим). Денежными потоками мы не управляем (но хотим). У нас нет никаких реальных рычагов давления. Как говорил герой Папанова в "Берегись автомобиля" "У тебя ничего нет, ты голодранец" ;-)

Именно по причине такого противления сторон, во взаимоотношениях РФ и США используется термин "безопасность при использовании информационно-коммуникационных технологий (ИКТ)". Он сужает область ИБ, концентрируясь только на технологической составляющей, которой большинство из нас и занимается. Но это только во взаимоотношениях РФ и США. Весь мир использует термин "кибербезопасность" (cybersecurity). И несмотря на яркое сопротивление приставке "кибер" со стороны МИД, этот паразит уже прочно вошел в нашу лексику, включая и лексику Президента, который его регулярно вставляет, говоря о киберпространстве и его милитаризации.

Именно по этой причине документ, который пишется сейчас в Совете Федерации, называется "Национальная стратегия кибербезопасности". На одном из первых заседаний в СФ, когда мы обсуждали этот документ, были жаркие споры на тему названия - "кибербезопасность", "информационная безопасность", "безопасность в сфере ИКТ"... И одной из задач Руслана Гаттарова, как инициатора этой работы, было уйти от контентной составляющей, сконцентрировашись именно на том, о чем говорят зарубежные стратегии кибербезопасности - европейская, английская, американская, японская, австралийская...

И несмотря на заявления МИДа, документ, подписанный на днях Президентом, опять нас возвращает к информационной безопасности, составной частью которой является манипулирование сознанием, пропаганда, ксенофобия и т.п. Именно по этой причине (чтобы не смешивать то, что важно властям, и то, что интересует традиционных безопасников) я являюсь сторонником использования именно термина "кибербезопасность", а не "информационная безопасность".

Подробнее…

Стоит ли публиковать информацию о защищенности госорганов, КВО и военных объектов РФ?

Одной из идей, прозвучавших на заседании Совета Федерации при обсуждении Стратегии кибербезопасности Российской Федерации стало предложение государственным органам публично предоставлять ежегодную отчетность о киберпреступлениях против госорганов, о подготовленности госорганов к обеспечению кибербезопасности, о защите критически важных объектов. Я не помню, кто выступил инициатором этого предложения, но воспринято оно было многими в штыки. Противники высказывали идею, что такая публикация послужит снижению уровня защищенности российских госорганов и откроет ворота для иностранных хакеров.

Спор этот бесконечный и я не буду в него вступать. Но хотелось бы сослаться на последних два американских отчета, которые демонстрируют, как можно, не раскрывая государственных тайн, показать проблему и наметить шаги для ее устранения. Первый отчет "Resilient Military Systems and the Advanced Cyber Threat" посвящен не самой высокой защищенности американских военных информационных систем. Я про этот отчет уже писал недавно и не буду повторяться. Второй отчет также свежий (февраль 2013-го года) - "CYBERSECURITY. National Strategy, Roles, and Responsibilities Need to Be Better Defined and More Effectively Implemented". Выпущен он американской Счетной палатой (она у них там активно проводит также и аудит безопасности госорганов) и посвящен анализу уровня защищенности американских госорганов и критически важных объектов.

Без погружения в детали, этот отчет указывает на критические места в системе кибербезопасности госорганов и КВО США:

• Число инцидентов ИБ в госорганах США растет (с 2006 года рост составил 782%).
• Оставляет желать лучшего система оценки рисков и мониторинга ИБ. Только треть крупнейших госорганов США внедрили у себя практику управления рисками в соответствие с FISMA (в 2011-м году этот показатель был выше на 50%).
• Острота проблемы обмена информацией об инцидентах с ИБ хоть и снизилась, но все равно остается.
• Отсутствуют четкие и измеримые планы обучения и повышения осведомленности чиновников и работников КВО в части информационной безопасности.
• Законодательная обязанность госорганов заниматься исследованиями в области ИБ (у нас о таком только мечтать) реализуется из рук вон плохо.
• Плохо реализовано международное сотрудничество в области совместной борьбы с угрозами в информационном пространстве.
• И т.д.

Ничего сверхсекретного в этой информации нет, но она показывает налогоплательщикам (а в США все-таки их мнение иногда учитывают), как государство защищает свой суверенитет от преступных посягательств и как защищаются данные американских граждан. Посмотрев данный отчет становится понятным, DDoS-атаки для американских госорганов и КВО неактуальны (0% в 2012-м году), в отличие от неавторизованного доступа (17%), вредоносного кода (18%) и неправильного использования информационных активов (20%).

Этот отчет показывает нам усилия американского правительства в области эволюции подходов по защите США от кибернападений.

Из этого отчета мы узнаем, насколько активно госорганы внедряют защитные меры, предусмотренные FISMA (аналог нашего 149-ФЗ применительно к госорганам), FIPS-200 и SP800-53 (аналог нашего 17-го приказа ФСТЭК или СТР-К). И картина меняется от госоргана к госоргану. Где-то уровень реализация приближается к 100%, а где-то и выше 0 не поднялся. Это, кстати, хороший пример того, что стоило бы реализовать ФСТЭК или ФСБ или Совету Безопасности по части мониторинга уровня ИБ в стране.

И дальше по тексту еще много чего написано, в деталях и с примерами. В этом госоргане так-то обстоит дело, а в этом - так-то. Если бы я был американским гражданином и налогоплательщиком, мне бы было понятно, с какими проблемами сталкиваются американские чиновники в области кибербезопасности. А им в свою очередь понятно, что есть такой независимый орган, как Счетная палата, которая выявит все плохое и расскажет об этом (не раскрывая госсекретов) гражданам. А это, в свою очередь, должно стимулировать американские госорганы делать что-то правильное для повышения своего уровня защищенности.

Правда, боюсь, что у нас эта идея все-таки не пройдет. А если и пройдет, то на такие отчеты сразу навесят какой-нибудь гриф, например, "не для прочтения вслух", и будем мы в неведении относительно реального уровня защищенности, а всю информацию будем получать из вот таких вот мастер-классов.

Подробнее…

Почему атакуют объекты ТЭК?

Сегодня очень часто говорят о потенциальных киберугрозах для объектов ТЭК, об их низкой защищенности к направленным атакам, к возможному проигрышу в будущей кибервойне. Правда, на практике ситуация обстоит немного иначе. Если выделить 3 основных группы киберугроз - военно-политические, криминальные и террористические, то как это ни странно, но атаки 1-го и 3-го типа сейчас практически не встречаются в реальной жизни. Если не рассматривать случай со Stuxnet, то примеров использования кибероружия против объектов ТЭК больше-то и нет. Применения виртуального оружия террористами (если не рассматривать гипотезу его применения в событиях 11 сентября) тоже пока не подтверждается. Но угрозы-то есть - о них часто говорят на различных мероприятиях и приводят в различных книжках и статьях.

Может быть речь идет о банальных компьютерных преступлениях с целью промышленного шпионажа? Или саботаж собственных сотрудников объектов ТЭК, чьи действия приводят к нанесению ущерба. Есть ли факты, подтверждающие данные факты? Да. Например, вот так выглядят хронология сделок, осуществленных Китаем на поприще приобретения различных объектов ТЭК по всему миру.

А вот так выглядит картинка, если на нее наложить хронологию киберкампаний Shady RAT и Night Dragon, направленные на объекты ТЭК в Казахстане, США, Греции и на Тайване (из опубликованных сведений). Источники этих атак находились в Китае, т.е. в стране - потенциальном покупателе атакованных активов. Эксперты имеют все основания считать, что Китай атаковал данные объекты с целью сбора интересующей их информациее экономического характера, способной помочь принять решение о покупке и определении правильной цены.

Аналогичные атаки осуществлялись в начале 2000-х годов на объекты атомной энергетики в Индии и Пакистане. Цель была простая - собрать сведения о состоянии атомной энергетики сопредельных государств.

Помимо промышленного шпионажа могут быть и другие причины криминального характера. Например, саботаж со стороны сотрудников. Примеры тоже есть - АЭС в Брэдвеле, Игналинская АЭС в Прибалтике и др.

Но это же неинтересно ;-) Тут нет никакой глобальности, нет военно-политической составляющей, нет кибероружия - обычные атаки, только направленные на специфические отрасли экономики. И методы противодействия таким угрозам известны - ничего нового в них нет.

Значит ли это, что кибервойны - это миф и к ним не надо готовиться. Нет, не значит. Просто прежде чем громко кричать о киберугрозе по другую сторону океана и начинающихся кибервойнах, стоит сесть и подумать. А может причина осуществляемой атаки носит сугубо приземленный характер и искать в ней "военно-политический" след не стоит? Может шумиха вокруг кибероружия кому-то выгодна? Как и якобы существующее ядерное или химическое оружие у террористов или исламских государств? Может быть разговоры о кибервойных имеют совершенно иную подоплеку? Может быть просто реализовать известные не одного десятилетие защитные меры технического и организационного плана и не выдумывать велосипед? Кто знает...

Подробнее…

Международный опыт создания глобальных систем обнаружения и предотвращения вторжений (презентация РусКрипто)

В четверг на РусКрипто делал также доклад на тему "Международный опыт создания глобальных систем обнаружения и предотвращения вторжений". Выкладываю презентацию.

Глобальные системы предотвращения атак: международный опыт from Alexey Lukatsky

Также выкладываю презентацию Олега Демидова (ПИР-Центр), который рассказывал о том, как строится система информационного противоборства в Минобороны США.

 

Национальная система киберобороны Министерства Обороны США from Alexey Lukatsky

Подробнее…

Возможен ли в России цифровой суверенитет

В последнее время в определенных кругах очень часто  звучит такой термин как "цифровой суверенитет России", т.е. самостоятельность и независимость в сфере информационно-коммуникационных технологий (ИКТ). Быть суверенным государством - это право решать контролировать свои внутренние дела и оно ни у кого не вызывает вопросов (исключая отдельные случаи международного вмешательства). Наряду с государственным суверенитетом существует еще и национальный, т.е. право нации на самоопределение. Но имеет ли право на жизнь термин "цифровой суверенитет"? Считаю, что нет. Тому есть несколько причин.

Начнем с того, что даже государственный суверенитет - не такое уж незыблемое право. Достаточно вспомнить про Евросоюз, в котором государства Европы отказались от части своих прав в пользу наднациональных органов - Европарламент, Европейский суд, Евробанк, Европол и т.д. Постоянно упоминаемая глобализация размывает суверенитет многих государств и эта тенденция только нарастает. Но если понятие суверенитет пошатнулось в области государственного управления, то может и  в области ИКТ не все так очевидно, как говорят многие государственные чиновники и сотрудники спецслужб.

Что же включает в себя понятие "цифровой суверенитет"? Четкого определения нет, но судя по последним тенденциям к нему можно отнести:

• собственная поисковая система
• собственные социальные сети
• собственная операционная система (программная платформа) и ПО под нее
• собственная микроэлектроника
• собственное сетевое оборудование
• собственный национальный сегмент Интернет
• собственная платежная система
• собственные средства защиты
• собственные криптографические алгоритмы и протоколы
• собственная навигационная система.

"Собственная" - это не разработанная в России и не располагаемая в России. Это управляемая по приказу российских властей и так как хотят российские власти. Например, сервисы Google явно не относятся к собственным российским. Но к ним не относятся и ресурсы Яндекса, чьи акции котируются на NASDAQ, а управляющая компания официально зарегистрирована в Голландии. Или та же Лаборатория Касперского. Ее штаб-квартира в Москве, а управляющая компания зарегистрирована в Лондоне. Плохо ли это? Нет. Плохо ли что эти компании не подчиняются властям РФ? На мой взгляд хорошо. Но вернемся к составляющим цифрового суверенитета.

Есть ли у нас своя собственная поисковая система? Нет. Яндекс не меняет результаты поисковой выдачи по первому приказу из Кремля. Разумеется, результат работы поискового алгоритма не всегда нас устраивает (да и SEO-специалисты не дремлют), но и цензуры в поисковой системе, разработанная в России, пока нет. Тоже можно сказать и про Mail.ru и Рамблер. Можно ли как-то заставить частную компанию танцевать под дудку властей? В теории да. На практике тоже. Только вот результат будет предсказуемым - от Яндекса отвернутся пользователи и перейдут на тот же Google или Bing (если их не прикроют в России, желая получить цифровой суверенитет). О создании государственной поисковой системы заявлялось уже не раз, но вот результатов что-то не видно. Да и не верю я в то, что из под палки можно сделать что-то действительно популярное.

Собственные социальные сети. Их тоже нет. Одноклассники малоприменимы для координации усилий больших сообществ (да и не используются для этого). А вот руководство "ВКонтакте" всегда отметало любые попытки государства вмешаться в его политику. Они даже ушли на домен .com с .ru (собственно как и на зарубежный хостинг), чтобы не быть подвластными российским властям. Создавать социальные сети наши власти тоже пытались, заявляя о соцсети для чиновников. Но это еще смешнее, чем запрещать госслужащим пользоваться Twitter'ом ;-)

Собственная операционная система - разговоров много. Толку нет. Все, что пытаются создавать, делают на базе какого-либо из ядер Linux (а то и вовсе меняют заголовки и копирайты, оставляя все остальное "как было"). Чтобы заставить всех перейти на собственную ОС нужно выполнить два условия:

• Создать такой же набор ПО, что и у той же Windows или MacOS (а с этим у нас большие проблемы). Именно такой же, а не текстовый редактор с редактором таблиц.
• Переучить (мотивировать на переобучение) пользователей. А это еще более трудная задача, чем разработать свое ПО.

Но главный вопрос, зачем? Как собственная ОС влияет на суверенитет? Никак. Несколько лет назад в ИНСОР представители ФСБ заявили, что им все равно - имеют они дело с исходными кодами или с их отсутствием при анализе защищенности ПО. На сложность и трудоемкость анализа наличие исходников никак не влияет. Я уже не говорю про то, что, чтобы говорить о действительно защищенном ПО, надо иметь возможность не только разрабатывать, но и собирать (компилировать) его под контролем. А много ли у нас сертифицированных трансляторов/компиляторов? А многие ли разработчики их используют?

Но допустим у нас создадут все-таки свою ОС или национальную программную платформу и десятки и сотни тысяч программ для нее. А на аппаратуре-то чьей они будут работать? У нас почти вся микроэлектроника иностранного происхождения. Т.е. и тут суверенитетом у нас не пахнет. Можно конечно все иностранное запретить или ввести запреты на их ввоз, но своего-то у нас пока нет, чтобы обеспечить адекватную замену.

Что у нас там дальше? Сетевое оборудование? Тоже отсутствует в достаточном количестве. Как-то меня по работе попросили сравнить маршрутизаторы Cisco с какой-то отечественной поделкой. Сравнил. Дело даже не в функциональных характеристиках. И не в том, что отечественная продукция собиралась на Тайване. Отечественный производитель хвастался тем, что его мощности позволяют выпускать до 3-х тысяч устройств в год. Это даже не смешно - достаточно просто вспомнить, что у нас даже государственные заказчики обладают сетями, состоящими из деесятков тысяч узлов и подсетей. Какие там 3 тысяч устройств в год?.. Это хорошо если 1-2% от реальной потребности.

Своя платежная система? Пытались уже как-то это сделать, когда инициировали законопроект по национальной системе платежных карт (НСПК). Ничем затея не закончилась. Даже УЭК сдулся, а у нас остался ФЗ-161 "О национальной платежной системе", который не запрещает работать в России Visa и MasterCard, а просто устанавливает определенные правила игры.

Собственный Интернет?.. Популярная тема. После арабских весен об этом говорят постоянно. Правда, по проведенным недавно исследованиям влияние Интернет на развитие политического кризиса в стране сильно преувеличено. Согласно исследованиям почти во всех арабских странах, сменивших режим, социальные сети и электронные коммуникации не были причиной выхода людей на улицы и проведения забастовок и массовых манифестаций. Но власти все равно считают Интернет - угрозой для их существования и пытаются всеми правдами и неправдами сделать Рунет подконтрольным. Можно ли это? Опыт Китая подсказывает, что это вполне разрешимая задача. Правда, опыт реализации ФЗ-139 в России показывает, что у нас такой опыт дает сбои. От запрещенного контента наши чиновники защитить кого бы то ни было не могут, а вот помешать нормально пользоваться Интернет-ресурсами вполне. Попытка же создания подконтрольного Интернет может привести к тому, что люди, не имеющие возможность пользоваться Yuotube, Skype, Facebook, VK и т.д. выйдут на улицы...

Что у нас остается? Свои средства защиты и своя криптография? Ну про средства защиты можно говорить долго, но пока разработчики не будут учитывать потребности потребителя, а не государства, ни о какой конкуренции с западными игроками рынка ИБ и речи идти не может. не случайно не менее 70% (а то и выше) всех средств защиты в России имеет иностранное происхождение. А оставшиеся российские разработчики либо собирают свою продукцию на Тайване, либо используют китайские и непроверенные комплектующие, либо работают на недоверенной аппаратной платформе (что опять ставит под сомнение идею цифрового суверенитета).

Вот криптография у нас действительно своя. Никому за пределами России ненужная. И никак нестыкуемая с западными решениями в области электронной коммерции, электронного документооборота, Интернет-коммуникаций. Установленные законодательством требования по криптографическому суверенитету в России так ведь ни к чему не привели. Потребитель все равно использует западную криптографию, потому что она дешевле удобнее и функциональнее. Контролировать использование несуверенной криптографии у регулятора нет ресурсов. А в чем тогда смысл запретов? Иметь Дамоклов меч?

За что не возьми, не получается у нас цифровой суверенитет ;-( Может он нам и не нужен? Конечно же нужен. Но не совсем такой, каким его рисуют себе чиновники и силовики. Во-первых, нужно четко провести грань между областями, где можно применять все, что угодно, и областями, где требуется суверенитет. Например, в США, в Западной Европе, во многих других странах грань проведена четкая. На одной стороне находится государство с его ресурсами и системами, а на другой - граждане и бизнес, которые могут применять то, что им хочется. Это их риски и они сами пусть их оценивают. На стыке находится тема критически важных объектов, находящихся в частных руках (во многих странах, включая Россию их немало). Тут требуется влияние государства, а не просто желание владельцев бизнеса. Такой подход позволит не есть слона целиком, а сфокусироваться на наиболее важных для национальной безопасности вопросах.

Но что делать, если даже для такой небольшой части как государственные информационные ресурсы в России не хватает собственных решений? Опять же не надо рубить с плеча - нужен поэтапный подход, принятый, например, в Китае, где идет постепенное замещение зарубежных технологий национальными. Именно постепенное. Сначала создай свое (правда, у китайцев "создай" часто меняется на "укради", но это мы оставим за пределами данного поста) - потом убирай чужое. Можно пойти и как в США - чужое можно, но под пристальным контролем и после всесторонней проверки.

И, наконец, последнее. Попытаться реализовать последние два пункта (ограничение области применения суверенитета и постепенное замещение зарубехных технологий собственными разработками) возможно только в условиях перехода от голословных утверждений к четкой, поэтапной стратегии, за которой стоят конкретные задачи, сроки и ресурсы. Без этого все заявления о цифровом суверенитете останутся не более чем демагогией. А местами такие заявления будут только вредить. Например, когда власти будут запрещать применение каких-либо технологий, не предложив альтернативы или переходного периода по постепенному замещению.


ЗЫ. Кстати, во многих международных документах по ИКТ упоминается не термин "цифровой суверенитет", а термин "сетевая нейтральность".

Подробнее…

Америка не готова к кибервойне

Именно такой вывод делают американские эксперты, в течение 18 месяцев изучившие возможности американского МинОбороны в части возможностей противодействия киберугрозам. Но обо всем по порядку.

В январе был опубликован частично рассекреченный отчет "Resilient Military Systems and the Advanced Cyber Threat" (скачать), в котором группа экспертов, проводившая исследование американских способности по отражению кибератак, сделала вывод, что несмотря на все усилия спецслужб США, гарантировать удачное отражение атак со стороны потенциального противника (а мы помним, что под ним американцы считают Китай и Россию, причем Россия вызывает у них даже большие опасения, чем Китай) невозможно и в стратегию кибербезопасности необходимо обязательно включать элементы устрашения и возможность применения традиционных вооружений (атомные бомбардировщики и подводные лодки) в ответ на киберагрессию.

Основное "обвинение" со стороны экспертов в адрес американского киберкоммандования предсказуемо и заключается в фрагментации усилий и ресурсов, направленных на защиту американских военных информационных систем в рамках информационного противоборства. Эксперты делают даже более громкие заявления, что Америка не готова бороться с киберугрозами (что уж тогда говорить про Россию). Вторая претензия, указанная в отчете, ориентация действующих документов на атаки верхнего, стратегического уровня (закладки в аппаратуре и скоординированные атаки вроде Red October) и полная забывчивость в отношении атак нижнего уровня и APT. Третья претензия заключается в построении военных информационных систем на базе незащищенных архитектур с применением непроверенных компонентов иностранного происхождения. Четвертая проблема связана с отсутствием адекватной стратегии американской разведки, направленной на сбор информации об источниках угрозы, существенно меньшей, чем отдельное государство. Речь идет об отдельных хакерах и группировках, о которых американские спецслужбы просто не знают, т.к. всю жизнь боролись с государственными противниками.

В результате любая успешная стратегия кибербезопасности и информационного противоборства должна включать в себя элементы традиционного сдерживания, включая и применение ядерного потенциала. Кстати, насчет ядерного потенциала... Эксперты в отчете рекомендуют регулярно проводить анализ защищенности ядерных объектов с точки зрения информационной безопасности, не доверяя только традиционным методам физической защиты и контртеррористической защищенности.В качестве рекомендации по защите от атак нижнего уровня отчет содержит совет концентрироваться не столько на безопасности систем, сколько на их устойчивости. При этом речь идет об отдельном стандарте обеспечения устойчивости, который должен поддерживаться военными информационными системами.

По крупному, отчет содержит 7 рекомендаций с указанием примерных сроков их реализации и стоимостными оценками. И каждая из 7 рекомендаций подробно рассмотрена и описана в 150-тистраничном

ЗЫ. Кстати, идея отвечать на кибероружение традиционными вооружениями не нова - США ее уже пытались продвигать в ООН пару лет назад.

ЗЗЫ. А пока суть да дело, Северная Корея отказалась от выполнения всех ранее подписанных с Южной Кореей соглашений о взаимном ненападении.

Подробнее…

Хроники Совета Федерации или как пишется Стратегия кибербезопасности

Сегодня мне довелось побывать на 3-м совещании в Совете Федерации, инициированном сенатором Русланом Гаттаровым и посвященном вопросам создания Стратегии кибербезопасности РФ. Тема безусловно важная, т.к. с момента выхода Доктрины ИБ прошло уже больше 10-ти лет и с тех пор многое поменялось - в поведении людей, в технологиях, в Интернет... Но как оказалось не поменялись только наши силовики, иначе как ретроградами после вчерашнего заседания я назвать не могу ;-(

Как не хотелось опускаться на уровень терминологических споров в самом начале работы, но без этого не обошлось. Термин "кибербезопасность" вызвал очередную дискуссию. Кто-то говорил, что он шире термина "информационная безопасность", кто что уже. Кто-то начал спорить, что нельзя вообще использовать буржуинский термин. МИД высказал в почти ультимативной форме пожелание заменить "кибербезопасность" "международной ИБ" (термин, который Россия с 98-го года использует на международной арене). В итоге треть заседания прошла в терминологических спорах "ни о чем".

Вторая треть заседания "невзначай" коснулась связи разрабатываемой Стратегии с иными документами "по теме" и позицией регуляторов. Оказалось, что они не видят смысла самим разрабатывать что-то аналогичное и тем более публичное (звучали даже идеи засекретить инициативу Совета Федерации), но готовы посмотреть на конечный результат и если что... присоединиться и взять на флаг полученный документ. Из уст МИДа и СовБеза звучали слова о том, что зачем такая стратегия нужна, если у России уже есть согласованная всеми ведомствами (МИД, ФСБ, СовБез и т.д.) позиция и она непреклонна и вообще публичное обсуждение таких "скользких" вопросов только на руку нашим врагам за океаном...

В третьей трети заседания обсуждалась сама Стратегия, а точнее ее второй вариант. К слову сказать, то, что получилось, выглядит вполне достойно для второй редакции и очень похоже на аналогичные стратегии иных государств. Помимо общих замечаний, хотели обсуждать и конкретные задачи, но дальше первой так и не продвинулись - речь о центрах мониторинга и реагирования на киберугрозы (вот, кстати, еще один парадокс - в словах "преступность", "терроризм", "угрозы" силовики МИД вполне себе позволяют использовать приставку "кибер-", а в слове "безопасность" категорически против). Как заявил представитель СовБеза, оказывается, у ФСБ все уже давно есть (речь шла об упоминаемой мной как-то системе СОБКА - Система ОБнаружения Компьютерных Атак) и Указ Президента 31с только формализовал то, что и так уже давно и с успехом работает на благо государства, бизнеа и гражданского общества (с последними двумя пунктами в 31-м указе как-то негусто, но СовБезу виднее). Потом прозвучали слова о том, что единый центр мониторинга киберугроз - это неосуществимо и соответствующие ведомства уже не первый год обсуждают этот вопрос с юридической, технической и философской точек зрения (!) и не могут прийти к взаимопониманию.

Так и закончилось наше заседание. На конструктивное обсуждение разделов Стратегии кибербезопасности времени не осталось. Но поручения по доработке были выданы, работа продолжается. Следующая итерация в марте - думаю текст уже будет в высокой степени готовности. А вот дальше начнется самое интересное - обсуждение Стратегии с профильными ведомствами ;-)

Подробнее…

Американцы активизируют усилия по защите критически важных объектов

12 февраля президент США Барак Обама подписал очередной указ "Усиление кибербезопасности критических инфраструктур", который наметил ряд первоочередных задач по повышению уровня защищенности американских критических инфраструктур. Данный указ состоит из 6-ти направлений, которые будут реализовываться различными агентства и федеральными структурами:

1. Координация усилий. Лишний раз уточняется, что все разрозненные спецслужбы и федеральные структуры, задействованные в процессе защиты критических инфраструктур, должны координировать свои усилия в соответствие с президентской директивой №1 от 13 февраля 2009 года.
2. Обмен информацией. Тут вроде тоже все понятно. Госорганы и частные компании, владеющие КВО, должны обмениваться информацией о киберугрозах. В качестве протокола такого обмена предлагается использовать STIX.
3. Консалтинг. Секретарь ихнего СовБеза должен установить процедуры по консультированию всех заинтересованных сторон по вопросам кибербезопасности КВО.
4. Создание базовой инфраструктуры. Это, пожалуй, самый интересный пункт, который подразумевает создание инфраструктуры, включающей методологию, стандарты, процедуры и процессы по снижению рисков ИБ для КВО, а также эффективные, гибкие, реплицируемые, измеримые и экономичные методы и меры защиты.
5. Привлечение волонтеров.
6. Идентификация критичных инфраструктур с повышенным риском.

Первым практическим результатом данной работы стала разработка американским институтом по стандартизации (NIST) RFI по защите критических инфраструктур. Все заинтересованные лица должны прислать в NIST информацию об используемых методах и стандартах защиты критических КВО, которые будут проанализированы экспертами NIST с привлечением федеральных органов и спецслужб. По истечении 240 дней с момента публикации президентского указа (т.е. еще до конца 2013-го года) базовая инфраструктура кибербезопасности должна быть разработана и опубликована.

Хотя у нас и непринято опираться на американский опыт, данный пример очень показателен. Американские спецслужбы не сами навязывают частным и государственным компаниям методы борьбы со сферическим конем в вакууме, которые мало применимы к реальной жизни. Они действуют более грамотно, сначала запрашивая у КВО информацию о существующих методах борьбы с киберугрозами. Затем они будут анализироваться на предмет соответствия некоторым лучшим практикам и стандартам, а затем на их основе будет разработан целый комплект новых документов, процессов и процедур, способных бороться с угрозами в эпоху пост-Stuxnet.

ЗЫ. В России же пока темой кибервойн активно интересуются телеканалы. Спецслужбы же борются не с кибертеррористами, а с киберэкстремистами и радикалами. Тоже важная задача, но нерешаемая (именно в контексте борьбы с нелегальными элементами). Деанонимизация, о которой заговорили в прошлом сентябре и продолжили в феврале, ударит только по легальным пользователям; те, кто хочет скрыть свою незаконную активность от правоохранителей и силовиков и так это сделают - методов существует немало. Зато прижать хвост оппозиции, не сильно технически подкованной, можно будет легко. А это куда как важнее для нынешней власти, чем борьба с реальной киберугрозой ;-(

Подробнее…

Завтра не умрет никогда. Поле биты - Интернет

В прошлый вторник по "Культуре" показывали документальный фильм "Завтра не умрет никогда. Поле битвы - Интернет". Я там давал интервью и побыл немного консультантом ;-)

Подробнее…

Горизонт планирования кибервойн - 30 лет

Завершу эту неделю заметкой опять про кибервойны и деятельность России в этом направлении. Собственно вчера я уже написал про два заявления Рогозина по поводу активностей в области информационного противоборства и кибербезопасности. Сегодня стоит вспомнить про "русское DARPA", т.е. Фонд перспективных исследований, который был создан в конце прошлого года Указом Президента Путина.

Согласно справке Государственно-правового управления Фонд будет преследовать пять основных целей:

1. содействие научным исследованиям и разработкам для достижения новых результатов в военно-технической, технологической и социально-экономической сферах;
2. формирование научных представлений о возможных угрозах, критически значимых для обороны страны, причинах их возникновения и путях устранения;
3. определение основных направлений научных исследований и разработок в целях развития производства высокотехнологичной продукции военного, специального и двойного назначения;
4. организация заказа на разработку, апробацию и сопровождение инновационных научно-технических идей и конструкторских решений в области разработки и производства высокотехнологичной продукции военного, специального и двойного назначения;
5. доведение идей и решений до уровня проектов и их финансирование.

Судя по вчерашнему высказыванию Рогозина Россия пытается избежать ошибок прошлого и учитывать не только угрозы нынешние, но и угрозы будущего, для которых также разрабатывать соответствующий ответ. "Мы во избежание каких бы то ни было ошибок, которые закладываются в программу вооружения, которые были допущены в прошлые годы и которые приводят к разночтениям в тексте собственно программы вооружения и гособоронзаказа конкретного текущего года (так называемые ножницы, которые потом приходится уточнять в течение года)… Чтобы этого не произошло, мы переходим на плановую научную экспертную основу подготовки правил, по которым теперь будут писаться эти программы вооружения. Эти правила обязывают участников работы по разработке программы вооружения руководствоваться тщательнейшим прогнозом и анализом, во-первых, военных угроз на 30-летнюю перспективу, во-вторых, на 10-летнюю перспективу прогноза развития науки, техники, технологии."

О каикх ошибках говорит Рогозин? На мой непросвещенный взгляд все очевидно. Сегодня войны уже совсем не такие, как в 80-х годах и тем более не такие, как в 40-х годах прошлого века. Массированных ударов с применением артиллерии и авиации уже не будет (по крайней мере в отношении России, я так предполагаю). Удары становятся точечными и в первую очередь направленными на выведение из строя систем управления войсками противника, захват его информационно-телекоммуникационной инфраструктуры и т.п. Жизненный цикл этих видов кибероружия и киберугроз отличается от того же жизненного цикла истребителей 5-го поколения, которые начали разрабатывать еще в 70-х годах, а поступили на вооружение они в начале 2000-х. 30 лет прошло. В области киберугроз все меняется гораздо быстрее. Об этом надо помнить и учитывать при оборонном заказе. Но так как это все-таки что-то новое для отечественного ОПК, то необходимо выделять все эти новинки в отдельное направление (может же и не выстрелить). Для этого и создан Фонд перспективных исследований, который, по моему мнению, и будет определять проекты (планируется, что первоначально их будет до 150-ти по вышеупомянутым направлениям), которые получат соответствующее финансирование. А уж реализовывать их будет, как мне видится, упомянутая вчера Корпорация ОАО "Системы управления".

Возглавить ФПИ должен бывший сотрудник ФСТЭК - Андрей Иванович Григорьев (50 лет). Как его охарактеризовал Рогозин: "Талантливый учёный, работал в последнее время в Федеральной службе по техническому и экспортному контролю, долгие годы работал в Вооружённых силах, в Военно-промышленной комиссии проработал совсем недолго, около двух месяцев, отвечал за спецпрограммы". В Интернет упоминаний о нем мало. Из интересного, пожалуй, только два факта - академик РАН и руководитель НИЦ нанотехнологий при ФСТЭК. Последнее смущает ;-)

Но это все мое видение, которое может быть вовсе неверным. Но мне кажется, что определенная логика в моих рассуждениях есть. Хотя может все не так и о киберугрозах вообще никто в нашем ОПК не думает (а может и некому, как предполагают некоторые эксперты). По крайней мере пока все разговор идут о разработке новых видов вооружений, материалов. Если посмотреть список тем научно-исследовательских работ, опубликованный в прошлом октябре (в то же время как раз был подписан указ о создании Фонда перспективных исследований) на сайте МинОбороны, то по "нашему" направлению тем вего две:

• Методы и средства защиты бумажных документов от подделки при минимизации стоимости листа
• Методы и средства обхода антивирусных систем, средств сетевой защиты, средств защиты ОС.

Первая тема достаточно специфична, а вот вторая может трактоваться очень широко - начиная от разработки боевых вирусов и заканчивая полноценной стратегией информационного противоборства. Дополнительно, в блоке ИТ заявлен еще ряд близких тем (негусто, если честно):

• Методы и средства борьбы с дезинформацией в интернете
• Подтверждение подлинности и целостности сканированных документов без применения электронной подписи (не хотят сертифицированные ФСБ решения использовать?)
• Новые механизмы и способы работы с оборудованием, не имеющим стандартных программных и аппаратных интерфейсов либо имеющих неизвестные интерфейсы (сразу вспоминается фильм "День независимости", когда доблестные американские вояки загружают вирус на компьютер инопланетян).

Можно ли прогнозировать на такой длительный срок, как 30 лет? В области ИТ и ИБ возможно и нет. Но лет на 10-20 вполне возможно. Например, в Cisco работает такой человек, как Дейв Эванс. У него необычная должность - футуролог, он же штатный предсказатель ;-) Он предсказывает будущее высоких технологий, будущее Интернет с очень высокой вероятностью. Где-то я услышал, что 85% его предсказаний сбываются. Значит горизонт планирования киберугроз составляет 15-20 лет. Тоже немало.

ЗЫ. Кстати, для тех, кто ищет тему для диплома или диссертации. Советую обратить внимание на кибервойны. На ближайшие годы - это станет одной из актуальнейших тем в нашей профессии. А специалистов по ней, как всегда, не будет хватать. Так что есть возможность выделиться ;-) Учитывая, чо МинОбороны назвало направления для интересующих их исследований.

Подробнее…