ВОПРОС 22-1/1
Международный союз электросвязи
Бюро развития электросвязи
Place des Nations
CH-1211 Geneva 20
Switzerland www.itu.int
1
Заключительный отчет
МСЭ-D 1-я ИССледовательСкая коМИССИя
ВОПРОС 22-1/1
За щ и щ е н н о с т ь с е т е й и н ф о р м а ц и и и с в я З и :
передовой опыт по соЗданию культуры кибербеЗопасности
Отпечатано в Швейцарии
Женева, 2014 г.
5 ‑ й и с с л е д о в ат е л ь с к и й п е р и о д 2 0 1 0 ‑ 2 0 1 4 Г.
с е к т о р р а з в и т и я э л е к т р о с в я з и
СВЯЖИТЕСЬ С НАМИ веб‑сайт: www.itu.int/ITU-D/study_groups
Электронный книжный магазин мсЭ: www.itu.int/pub/D-STG/
Электронная почта : телефон: devsg@itu.int
+41 22 730 5999
Международный союз электросвязи ( МСЭ )
Бюро развития электросвязи ( БРЭ )
Канцелярия Директора
Place des Nations
CH-1211 Geneva 20 - Switzerland
Эл . почта : bdtdirector@itu.int
Te л .: +41 22 730 5035/5435
Факс : +41 22 730 5484
Заместитель Директора и руководитель Департамента администрирования и координации основной деятельности (DDR)
Эл . почта : bdtdeputydir@itu.int
Тел .: +41 22 730 5784
Факс : +41 22 730 5484
Африка
Эфиопия
Региональное отделение МСЭ
P.O. Box 60 005
Gambia Rd., Leghar ETC Bldg 3rd Floor
Addis Ababa – Ethiopia
Эл . почта : itu-addis@itu.int
Тел .: (+251 11) 551 49 77
Тел .: (+251 11) 551 48 55
Тел .: (+251 11) 551 83 28
Факс : (+251 11) 551 72 99
Департамент инфраструктуры , благоприятной среды и электронных приложений (IEE)
Эл . почта : bdtiee@itu.int
Te л .:
Факс :
+41 22 730 5421
+41 22 730 5484
Камерун
Зональное отделение
Immeuble CAMPOST, 3
МСЭ
étage
Boulevard du 20 mai
Boîte postale 11017
Yaoundé – Cameroun
Эл . почта : itu-yaounde@itu.int
Тел
Тел
.:
.:
(+ 237) 22 22 92 92
(+ 237) 22 22 92 91
Факс : (+ 237) 22 22 92 97
Департамент инноваций и партнерских отношений (IP)
Эл . почта : bdtip@itu.int
Тел .: +41 22 730 5900
Факс : +41 22 730 5484
Сенегал
Зональное отделение МСЭ
Immeuble Fayçal, 4 e étage
19, Rue Parchappe x Amadou Assane Ndoye
Boîte postale 50202 Dakar RP
Dakar - Sénégal
Эл . почта : itu-dakar@itu.int
Тел .: (+221) 33 849 77 20
Факс : (+221) 33 822 80 13
Департамент поддержки проектов и управления знаниями (PKM)
Эл . почта : bdtpkm@itu.int
Тел .: +41 22 730 5447
Факс : +41 22 730 5484
Зимбабве
Зональное отделение МСЭ
TelOne Centre for Learning
Corner Samora Machel and Hampton Road
P.O. Box BE 792
Belvédère Hararé - Zimbabwe
Эл . почта : itu-harare@itu.int
Тел .:
Тел .:
(+263 4) 77 59 41
(+263 4) 77 59 39
Факс : (+263 4) 77 12 57
Северная и Южная Америка
Бразилия
Региональное отделение МСЭ
SAUS Quadra 06 Bloco "E"
11º andar – Ala Sul
Ed. Luis Eduardo Magalhães (Anatel)
CEP 70070-940 Brasilia, DF – Brésil
Эл . почта : itubrasilia@itu.int
Тел .: (+55 61) 2312 2730-1
Тел .: (+55 61) 2312 2733-5
Факс : (+55 61) 2312 2738
Барбадос
Зональное отделение МСЭ
United Nations House
Marine Gardens
Hastings - Christ Church
P.O. Box 1047
Bridgetown - Barbados
Эл . почта : itubridgetown@itu.int
Тел .: (+1 246) 431 0343/4
Факс : (+1 246) 437 7403
Чили
Зональное отделение МСЭ
Merced 753, Piso 4
Casilla 50484 - Plaza de Armas
Santiago de Chile - Chile
Эл . почта : itusantiago@itu.int
Тел .: (+56 2) 632 6134/6147
Факс : (+56 2) 632 6154
Арабские государства
Египет
Региональное отделение МСЭ
Smart Village, Building B 147, 3rd floor
Km 28 Cairo - Alexandria Desert Road
Giza Governorate
Cairo - Egypt
Эл . почта : itucairo@itu.int
Тел .: (+202) 3537 1777
Факс : (+202) 3537 1888
Европа
Швейцария
Международный союз электросвязи ( МСЭ )
Бюро развития электросвязи ( БРЭ )
Европейское подразделение ( ЕВР )
Place des Nations
CH-1211 Geneva 20 - Switzerland
Эл . почта : eurregion@itu.int
Тел .: +41 22 730 5111
Азиатско
-
Тихоокеанский регион
Таиланд
Региональное отделение МСЭ
Thailand Post Training Center,
5th floor,
111 Chaengwattana Road, Laksi
Bangkok 10210 - Thailand
Mailing address:
P.O. Box 178, Laksi Post Office
Laksi, Bangkok 10210, Thailand
Эл . почта : itubangkok@itu.int
Тел .:
Факс :
(+66 2) 575 0055
(+66 2) 575 3507
Индонезия
Зональное отделение МСЭ
Sapta Pesona Building, 13th floor
JI. Merdan Merdeka Barat No. 17
Jakarta 10001 - Indonesia
Mailing address: c/o UNDP - P.O. Box 2338
Jakarta 10001 - Indonesia
Эл . почта : itujakarta@itu.int
Тел .:
Тел .:
Тел .:
Факс :
(+62 21) 381 35 72
(+62 21) 380 23 22
(+62 21) 380 23 24
(+62 21) 389 05 521
Гондурас
Зональное отделение МСЭ
Colonia Palmira, Avenida Brasil
Edificio COMTELCA/UIT 4.º Piso
P.O. Box 976
Tegucigalpa - Honduras
Эл . почта : itutegucigalpa@itu.int
Тел .: (+504) 22 201 074
Факс : (+504) 22 201 075
СНГ
Российская Федерация
Зональное отделение МСЭ
4, building 1
Sergiy Radonezhsky Str.
Moscow 105120
Russian Federation
Mailing address:
P.O. Box 25 - Moscow 105120
Russian Federation
Эл . почта : itumoskow@itu.int
Тел .: (+7 495) 926 60 70
Факс : (+7 495) 926 60 73
ВОПРОС
22-1/1:
Защищенность сетей информации и связи
:
передовой опыт по созданию культуры кибербезопасности
Исследовательские комиссии МСЭ -D
Для обеспечения выполнения программы по обмену знаниями и созданию потенциала Бюро развития электросвязи исследовательские комиссии МСЭ -D оказывают поддержку странам в достижении ими своих целей развития . Выступая в качестве катализатора в создании , применении знаний и обмене знаниями в области ИКТ в целях сокращения масштабов нищеты и обеспечения социально экономического развития ; исследовательские комиссии МСЭ -D помогают стимулировать создание в Государствах Членах условий для использования знаний для более эффективного достижения целей развития .
Платформа знаний
Результаты работы , согласованные в исследовательских комиссиях МСЭ -D, и соответствующие справочные материалы используются в качестве исходных документов при реализации политики , стратегий , проектов и специальных инициатив в 193 Государствах − Членах МСЭ . Эти виды деятельности служат также для укрепления базы совместно используемых знаний Членов МСЭ .
Платформа для обмена информацией и знаниями
Обмен темами , представляющими общий интерес , осуществляется путем участия в очных собраниях , на электронном форуме , а также путем дистанционного участия в атмосфере , благоприятной для открытого обсуждения и обмена информацией .
Хранилище информации
Отчеты , руководящие указания , примеры передового опыта и Рекомендации разработаны на основе вкладов , поступивших для рассмотрения членами комиссий . Информация собрана путем обследований , вкладов и исследований конкретных случаев и доступна для Членов , использующих средства управления информационными ресурсами и веб публикаций .
1я Исследовательская комиссия
В период 2010–2014 годов 1й Исследовательской комиссии было поручено исследование девяти
Вопросов в области благоприятной среды , кибербезопасности , приложений ИКТ и связанных с интернетом вопросов . Основными направлениями работы стали национальные политика и стратегии в области электросвязи / ИКТ , которые позволяют странам извлечь максимальную выгоду из распространения электросвязи / ИКТ как движущей силы устойчивого роста , создания рабочих мест , экономического , социального и культурного развития , с учетом вопросов , имеющих для развивающихся стран приоритетное значение . Направления работы включали проведение политики обеспечения доступа к электросвязи / ИКТ , в частности доступа лиц с ограниченными возможностями и с особыми потребностями , а также обеспечение безопасности сетей электросвязи / ИКТ . Кроме того , работа была сосредоточена на тарифной политике и тарифных моделях для сетей последующих поколений , вопросах конвергенции , универсальном доступе к услугам широкополосной фиксированной и подвижной связи , анализе воздействия и применении принципов определения стоимости и расчетов с учетом результатов исследований , проводимых МСЭ -R и МСЭ Т , и приоритетов развивающихся стран .
Настоящий отчет подготовлен многочисленными добровольцами из различных администраций и организаций . Упоминание конкретных компаний или видов продукции не является одобрением или рекомендацией МСЭ . Выраженные мнения принадлежат авторам и ни в коей мере не влекут обязательств со стороны МСЭ
ITU 2014
Все права сохранены . Ни одна из частей данной публикации не может быть воспроизведена с помощью каких бы то ни было средств без предварительного письменного разрешения МСЭ .
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Содержание
22-1/1 ...............................................................................................................................
Стр .
1
Национальная система управления кибербезопасностью ......................................... 2
Руководство по внедрению национальной кибербезопасности ................................ 12
Партнерские отношения и управление рисками в области безопасности ................ 19
Исследование конкретной ситуации : некоторые примеры партнерских
отношений между государственным и частным секторами в области
Значимость национальной стратегии кибербезопасности ......................................... 29
Ключевые заинтересованные стороны национальной кибербезопасности ............. 30
Особая роль национальной группы реагирования на компьютерные инциденты .. 32
Анализ компьютерных инцидентов для выявления серий вторжений ..................... 33
iii
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Стр .
Сбор данных : сбор документов и проведение интервью ........................................... 53
Применение ключевых факторов успеха в деятельности национальных групп CIRT 56
Выбор услуг , предоставляемых национальной группой CIRT ..................................... 58
Определение приоритетов в отношении оценки и системы показателей ................ 63
ПРИЛОЖЕНИЕ A: Общая информация о примерах передового опыта ................................. 73
Примеры передового опыта в сфере обеспечения конфиденциальности .......................... 82
iv
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Стр .
Annex B: Best practices for Cybersecurity – Managing a National CIRT with Critical Success
Annex C: Best practices for Cybersecurity – Guide for the Establishment of a National
Annex D: Best practices for Cybersecurity – Internet Service Provider (ISP) Network Protection
Annex E: Best practices for Cybersecurity – Training Course on Building and Managing National
Annex F: Best practices for Cybersecurity – Survey on Measures Taken to Raise Awareness on
Annex G: Best practices for Cybersecurity – Public-Private Partnerships in Support of
Рисунки и таблицы
1: Национальная система управления кибербезопасностью .........................................
2
Таблица 2: Вопросы , которые необходимо учесть при внедрении национальной группы CIRT 58
v
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Вопрос
22-1/1
Защищенность сетей информации и связи
:
передовой опыт по созданию культуры кибербезопасности
1 Представление Заключительного отчета по Вопросу 22-1/1 относительно кибербезопасности
В рамках Вопроса 22-1/1 1я Исследовательская комиссия МСЭ -D разрабатывает отчеты о примерах передового опыта в сфере различных аспектов кибербезопасности . Настоящий документ представляет собой заключительный отчет по Вопросу 22-1/1 МСЭ -D относительно работы , выполненной за последний четырехгодичный исследовательский период с 2010 года по 2014 год .
Рабочая программа по Вопросу 22-1/1 была принята на Всемирной конференции по развитию электросвязи ( ВКРЭ ), прошедшей в Хайдарабаде , Индия , в 2010 году . На протяжении последних четырех лет в рамках Вопроса 22-1/1 были частично или полностью рассмотрены все пункты данной рабочей программы .
Данный заключительный отчет по Вопросу 22-1/1 содержит ряд отчетов о примерах передового опыта в сфере различных аспектов кибербезопасности , в частности (1) руководство по созданию национальной системы управления кибербезопасностью ; (2) примеры передового опыта по созданию партнерских отношений между государственным и частным секторами в поддержку достижения целей и задач , направленных на обеспечение кибербезопасности ; (3) создание национального потенциала для управления компьютерными инцидентами ; (4) управление национальными группами реагирования на компьютерные инциденты с ключевыми факторами успеха ; а также (5) примеры передового опыта по защите сетей поставщиков услуг интернета ( ПУИ ).
Кроме того , в Приложении E данного отчета содержатся учебные материалы по созданию группы реагирования на компьютерные инциденты и управлению такой группой . В рамках данного
Вопроса был также получен вклад , представленный Одесской национальной академией связи им . А .
С . Попова , в котором описываются дополнительная работа в рамках курса и онлайновый курс для детей . Кроме того , Комиссией получена информация от БРЭ о его деятельности как на глобальном , так и на региональном уровнях .
В рамках Вопроса 22-1/1 продолжается работа над рядом других отчетов , в том числе отчетом о примерах передового опыта по борьбе со спамом , над обзором программ повышения осведомленности , в реализации которых участвуют Государства Члены , а также над сборником отчетов о деятельности стран по обеспечению кибербезопасности , предоставленных в рамках
Вопроса 22-1/1. Ожидается , что данная работа будет завершена на протяжении следующего исследовательского периода .
2 Примеры передового опыта по обеспечению кибербезопасности – руководство по созданию национальной системы управления кибербезопасностью
2.1 Введение
Значимость создания национальной системы управления кибербезопасностью невозможно переоценить в эпоху развитых цифровых технологий , когда страны сталкиваются с реальными рисками и уязвимостями в важнейших информационных системах , которыми могут воспользоваться враждебные элементы . На сегодняшний день киберпространство далеко от того , чтобы быть полностью защищенным ; существует острая необходимость в принятии соответствующих мер защиты – как на национальном , так и на международном уровнях – против киберугроз во всех их формах . Решение проблем в сфере компьютерной безопасности , которые
1
2
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности усугубляются фактом отсутствия соответствующих организационных и ведомственных структур реагирования на инциденты , находится в компетенции правительств . Ввиду этого , представители разных отраслей и руководящие органы должны осуществить оценку надежности , уязвимости и среды угроз инфраструктур , а также принять соответствующие меры по защите и реагированию для обеспечения их безопасности . МСЭ уже предложил целый процесс по созданию и внедрению плана по обеспечению национальной кибербезопасности . Это предложение описывает методологию внедрения дорожной карты в области управления кибербезопасностью на национальном уровне , в том числе концепцию модели примеров передового опыта по обеспечению кибербезопасности и модели зрелости кибербезопасности , а также оценки разных аспектов национальной кибербезопасности .
Документ " Примеры передового опыта по обеспечению кибербезопасности – руководство по созданию национальной системы управления кибербезопасностью " направлен на разработку
" Национальной системы управления кибербезопасностью " (NCSecMS), которая представляет собой руководство по созданию эффективной национальной кибербезопасности . Это руководство позволяет внедрить национальную дорожную карту в области управления кибербезопасностью благодаря следующим 4 компонентам :
" Национальная структура кибербезопасности " предлагает 5 направлений и 34 процесса для решения основных проблем в области кибербезопасности на национальном уровне , также как стандарт ISO 27002 для организаций :
– " Национальная модель зрелости кибербезопасности ", классифицирует процессы
" национальной структуры кибербезопасности " в зависимости от их уровня зрелости ;
– " Схема сфер ответственности по обеспечению национальной кибербезопасности " помогает определить функции и обязанности главных заинтересованных сторон в области кибербезопасности на национальном или региональном уровнях ;
– " Руководство по внедрению национальной кибербезопасности " представляет собой обобщение стандартов ISO 27001 и 27003 на национальном уровне . В данном руководстве представлены примеры передового опыта , которые организации могут использовать для оценки уровня своей готовности .
2.2 Национальная система управления кибербезопасностью
Национальная система управления кибербезопасностью , именуемая "NCSecMS", может рассматриваться как инструмент , цель которого состоит в том , чтобы способствовать достижению национальной кибербезопасности – как на национальном , так и на региональном уровнях . Система охватывает 4 этапа , в которые входят следующие компоненты :
Рисунок 1: Национальная система управления кибербезопасностью
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Этап № 1: NCSecFR ( структура )
Проект под названием " Структура кибербезопасности ", в котором представлены примеры передового опыта в области национальной кибербезопасности , является общей структурой , которая отвечает потребностям , озвученным МСЭ в своей Глобальной программе кибербезопасности ( ГПК ). Будучи полностью основанной на стандарте ISO 27002
1
, эта программа представляет собой свод норм и правил для организационных структур и политики в области обеспечения кибербезопасности на национальном уровне ; она охватывает 5 направлений и
34 процесса и призвана помочь в развитии сотрудничества на национальном и международном уровнях для осуществления надзора , предупреждения и реагирования на инциденты .
Этап № 2: NCSecMM ( модель зрелости )
Национальная модель зрелости кибербезопасности даст возможность оценить уровень безопасности отдельной страны в частности или региона в целом , и таким образом , сопоставить эти уровни , а также определить их сильные стороны и угрозы . Она также способствует определению уровня зрелости страны и , таким образом , постановке цели достижения определенного уровня зрелости и планированию мер по его улучшению . После определения национальной структуры кибербезопасности NCSecMM привязывается к этому проекту примеров передового опыта в области национальной кибербезопасности , именуемому "NCSecFR". Будучи основанной на принципах модели зрелости Cobit, она будет способствовать внедрению национальной системы управления кибербезопасностью , указывая на то , что необходимо сделать для улучшения каждого процесса – на национальном и региональном уровнях .
Этап № 3: NCSecRR ( функции и обязанности )
Создание схемы сфер ответственности – это метод определения функциональных сфер , в которых имеют место погрешности в процессах , обнаружения несоответствий и их устранения путем установления и поддержания сотрудничества между специалистами из разных секторов . Созданная национальная схема сфер ответственности по обеспечению кибербезопасности , именуемая
"NCSecRR", определяет , кто из заинтересованных сторон является " ответственным ", " подотчетным ",
" консультирующим " и " владеющим информацией " по каждому из 34 процессов в области национальной кибербезопасности . Схема сфер ответственности по обеспечению кибербезопасности подробно описывает , что должно быть передано и в чью компетенцию , а также каким видом ответственности наделена одна заинтересованная сторона вместо другой .
Этап № 4: NCSecIG ( руководство по внедрению )
Руководство по внедрению национальной кибербезопасности , именуемое "NCSecIG", описывает эффективный механизм управления процессами , обеспечивающий правильное понимание взаимодействия между ними , с использованием подходов , предусмотренных стандартами ISO
27001 и ISO 27003
2
.
Подход к внедрению
Подход к внедрению , который учитывает уже оговоренные намерения и цели МСЭ , применяется на каждом из 4 вышеуказанных этапов для достижения соответствующих целей МСЭ , предусматривающих разработку стратегий создания соответствующих национальных и региональных организационных структур и политики в области кибербезопасности , а также
1
Для получения более подробной информации по стандарту ISO 27002 см . Приложение 1 (Morocco 1/45 ).
2
Для получения более подробной информации по стандартам ISO 27001 и 27003 см . Приложение 1
(Morocco 1/45 ).
3
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности формирование стратегий создания глобальной структуры для осуществления надзора , предупреждения и реагирования на инциденты .
• Создание национальной структуры кибербезопасности (NCSecFR)
На этом этапе акцент был сделан на существующих документах МСЭ и на подходе , сосредоточенном на процессах в соответствии со стандартом ISO 27002: мы пытались адаптировать стандарт ISO 27002 для налаживания основных процессов , являющихся существенно важными для национальной кибербезопасности , чтобы , таким образом , обеспечить себе возможность создания национальной структуры кибербезопасности . Поскольку стандарт ISO 27002 является международным стандартом безопасности информационной системы организации , предложенная национальная структура кибербезопасности представляет собой обобщение стандарта ISO 27002.
• Национальная модель зрелости кибербезопасности (NCSecMM)
Создания самой только национальной структуры кибербезопасности ( этап 1) недостаточно : к такой структуре необходимо привязать модель зрелости , чтобы способствовать внедрению процесса управления национальной кибербезопасностью и , таким образом , определить , какие действия нужно предпринять для ее улучшения .
• Модель функций и обязанностей (NCSecRR)
На этом этапе происходит определение функциональных сфер , в которых имеют место погрешности в процессах , обнаружение несоответствий и их устранение путем сотрудничества между специалистами из разных секторов . Самым важным является подробное описание того , что должно быть передано и в чью компетенцию , а также каким видом ответственности наделена одна заинтересованная сторона вместо другой . Соответственно , это поможет организациям и группам определить ответственность за конкретные элементы на национальном уровне , на уровне процессов в рамках национальной структуры кибербезопасности .
• Руководство по внедрению (NCSecIG)
Структуризация каждого аспекта структуры национальной системы кибербезопасности является одним из приоритетов . Необходимо предложить эффективное управление процессами , чтобы гарантировать правильное понимание взаимодействия между ними . Руководство по внедрению даст возможность структурировать каждый процесс с использованием подходов , предусмотренных стандартами ISO 27003 и ISO 27001: стандарт ISO 27003 обеспечит помощь и руководство при внедрении системы управления информационной безопасностью (ISMS), в том числе с акцентом на метод « планирование реализация контроль корректировка » (PDCA), в части создания , внедрения , оценки и улучшения самой системы управления информационной безопасностью . Стандарт ISO
27001 будет использоваться для структуризации каждого процесса на основе метода
" планирование реализация контроль корректировка " (PDCA). С помощью этого будет структурирована и сама модель зрелости . Метод PDCA будет автоматически использован в рамках всего процесса внедрения национальной структуры и национальной модели зрелости кибербезопасности .
2.3 Национальная структура кибербезопасности
В какой степени национальная структура кибербезопасности отвечает требованиям
Управление кибербезопасностью в значительной степени зависит от способности национальной структуры управлять киберугрозами и устранять их на национальном уровне . С учетом безграничности киберпространства такая структура также должна быть способна поддерживать
4
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности необходимое сотрудничество на региональном и международном уровнях для выполнения поставленных целей .
В основе структуры национальной системы управления кибербезопасностью могут лежать главным образом следующие компоненты
3
:
− правовые меры ;
−
−
−
− технические организационные создание и процедурные структуры потенциала международное
;
; меры сотрудничество .
;
Данные компоненты соответствуют общим целям Глобальной программы кибербезопасности ( ГПК ), а также ее пяти (5) стратегическим направлениям ( или областям деятельности ). Предлагаемую структуру необходимо организовать таким образом , чтобы она позволяла выполнять цели ГПК и решать задачи в контексте пяти (5) направлений деятельности .
Национальная структура кибербезопасности
Рисунок 2: Модель национальной структуры кибербезопасности
Национальная структура кибербезопасности : пять направлений деятельности
4
Национальная структура кибербезопасности (NCSecFR) охватывает 34 процесса , разделенных на
5 направлений деятельности
5
.
Направление 1: Стратегия и политика (SP)
В рамках данного направления , как правило , рассматриваются следующие вопросы :
− Определена ли национальная стратегия кибербезопасности ?
3
Для получения более подробной информации по каждому из данных пяти компонентов см . Приложение 1
(Morocco 1/45 ).
4
Для получения более подробной информации по каждому из данных пяти направлений деятельности см . Приложение 1 (Morocco 1/45 ).
5
Для получения более подробной информации по каждому из данных 34 процессов см . Приложение 1
(Morocco 1/45 ).
5
−
−
−
−
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Устанавливает ли государство эффективную национальную политику кибербезопасности ?
Есть ли понимание задач национальной кибербезопасности со стороны всех заинтересованных сторон ?
Как воспринимаются процессы управления рисками и как осуществляется их интеграция в глобальную структуру , особенно в контексте защиты важнейшей информационной инфраструктуры ?
Насколько в контексте обеспечения безопасности каждая из заинтересованных сторон готова к реализации национальной стратегии кибербезопасности ?
Направление 2: Реализация и организация (IO)
В рамках данного направления , как правило , рассматриваются следующие вопросы , относящиеся к сфере управления :
− Смогут ли заинтересованные стороны надлежащим образом обеспечивать достижение национальных целей кибербезопасности при реализации национальной стратегии кибербезопасности ?
−
−
−
−
−
Предоставляются ли каждому сектору / заинтересованной стороне услуги по обеспечению кибербезопасности на национальном уровне в соответствии с национальной стратегией кибербезопасности ?
Оптимизированы ли расходы на обеспечение кибербезопасности на национальном уровне ?
Могут ли заинтересованные стороны продуктивно и безопасно использовать киберсистемы ?
Существует ли вероятность того , что предоставление услуг новыми заинтересованными сторонами будет осуществляться в соответствии с национальной стратегией кибербезопасности ?
Существует ли вероятность того , что применение национальной политики кибербезопасности новыми заинтересованными сторонами будет своевременным и в рамках бюджета ?
Направление 3: Информационно образовательная деятельность (AC)
В рамках данного направления , как правило , рассматриваются следующие вопросы , относящиеся к сфере управления :
− Убеждены ли национальные лидеры в правительстве в необходимости принятия на национальном уровне мер по предотвращению угроз и устранению факторов уязвимости ?
− Продвигается ли на национальном уровне какая либо комплексная информационно образовательная программа , направленная на то , чтобы обеспечить безопасность киберпространства в своем сегменте могли все его участники – предприниматели , трудовые ресурсы в целом , а также население в целом ?
−
−
Каким образом осуществляется реализация информационно образовательных программ и инициатив в сфере обеспечения безопасности в интересах всех заинтересованных сторон ?
Предоставляется ли какая либо поддержка гражданскому обществу , особенно с учетом потребностей детей и индивидуальных пользователей ?
Направление 4: Обеспечение соответствия и координация (CC)
В рамках данного направления , как правило , рассматриваются следующие вопросы , относящиеся к сфере управления :
6
−
−
−
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Обеспечивают ли организационные структуры эффективность и действенность рычагов управления ?
Обеспечивается ли соблюдение требований к управлению рисками и предоставление соответствующей отчетности ?
Обеспечивается ли соблюдение конфиденциальности , целостности и доступности в отношении компонентов структуры ?
Направление 5: Оценка и мониторинг (EM)
В рамках данного направления , как правило , рассматриваются следующие вопросы , относящиеся к сфере управления :
− Осуществляется ли оценка принимаемых мер по обеспечению кибербезопасности национальном уровне для своевременного выявления каких либо проблем ? на
− Можно ли проследить соответствие принимаемых мер по обеспечению кибербезопасности на национальном уровне стратегическим целям глобальной структуры кибербезопасности ?
−
−
−
− Осуществляется ли оценка рисков , рычагов управления , обеспечения соответствия и исполнения необходимых работ , а также предоставляется ли соответствующая отчетность ?
Ключевыми компонентами национальной структуры кибербезопасности являются следующие
6
:
− задачи по осуществлению контроля над управлением кибербезопасностью на национальном уровне / основные сферы ; организационные информация по заинтересованные структуры стороны национальной классификации угроз
7
.
/ в ресурсы области национальной национальной кибербезопасности кибербезопасности кибербезопасности , основанная на
;
; многоуровневой
Национальная модель зрелости кибербезопасности
Модель зрелости структуры согласно COBIT ( Источник : ISACA – ITGI)
8
−
−
Национальная структура кибербезопасности должна быть разработана для обеспечения мер по улучшению с целью достижения соответствующего уровня управления и контроля . Такой подход в долгосрочной перспективе обеспечит оптимальный баланс затрат и результатов и предоставит ответы на следующие вопросы в этой связи :
Что делают наши коллеги по отрасли и каково наше состояние по сравнению с ними ?
Что является приемлемой передовой практикой в отрасли и насколько мы соотносимся с такой практикой ?
− Исходя из этих сравнений можно ли утверждать , что мы прилагаем достаточные усилия ?
6
Для получения более подробной информации по ключевым компонентам национальной структуры кибербезопасности см . Приложение 1 (Morocco 1/45 ).
7
См . Приложение 1 (Morocco 1/45 ) для ознакомления с критериями информации по национальной кибербезопасности .
8
Для получения более подробной информации по модели зрелости структуры согласно COBI см . Приложение 1
(Morocco 1/45 ).
7
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
−
−
− Как мы определяем , что необходимо сделать для того , чтобы обеспечить адекватный уровень управления и контроля наших процессов в сфере ИТ ?
Дать содержательные ответы на эти вопросы может быть нелегкой задачей . В сфере управления ИТ осуществляется постоянный поиск инструментов установления контрольных показателей и самооценки в ответ на необходимость прийти к пониманию того , что нужно делать эффективно .
Начиная с процессов COBIT, лицо , ответственное за процессы , должно иметь возможность проведения поэтапной проверки результатов путем их сопоставления с контрольным показателем .
Такая проверка позволяет удовлетворить три потребности :
Это относительный показатель того , на каком уровне находится предприятие .
Это способ принятия эффективного решения касательно того , куда нужно двигаться .
− Это инструмент для измерения прогресса путем сопоставления с моделью зрелости управления и контроля процессов в сфере ИТ , который основывается на методе оценки организации , таким образом , уровень зрелости можно определить по шкале от полного отсутствия (0) до оптимизированного (5).
В стандарте COBIT содержится обобщенное определение шкалы уровней зрелости COBIT, которая похожа на СММ , но интерпретируется в свете природы процессов управления ИТ по стандарту
COBIT. Для каждого из 34 процессов согласно COBIT предоставлена конкретная модель , в основе которой лежит вышеуказанная общая шкала . Независимо от модели шкалы не должны быть слишком подробными , так как это может усложнить использование системы и предложить неоправданный уровень точности , поскольку , в общем , цель заключается в том , чтобы определить , где есть проблемы и как следует устанавливать приоритеты для улучшения , а не в том , чтобы провести оценку уровня соответствия контрольным показателям .
Используя модели зрелости , разработанные для каждого из 34 процессов согласно COBIT, руководство может определить следующее :
−
− реальные результаты деятельности предприятия – на каком уровне предприятие находиться сегодня ; текущая ситуация в отрасли – сравнение ;
−
− цели по улучшению деятельности предприятия – какого уровня предприятие хочет достичь ; шаги , которые необходимо предпринять , чтобы перейти от текущего уровня к намеченному .
Чтобы результаты можно было без труда использовать на брифингах руководства , где они будут представлены как вспомогательное средство при составлении экономического обоснования будущих планов , необходимо обеспечить применение метода наглядного представления данных
9
.
COBIT является системой стандартов , разработанной для управления процессами в сфере ИТ с сильным акцентом на осуществлении контроля . Эти шкалы должны быть практичными в применении и несложными для понимания . Тема управления процессами в сфере ИТ по своему существу сложная и субъективная , и , таким образом , лучшим подходом к ней является осуществление облегченных оценок , которые повышают осведомленность , обеспечивают общий консенсус и стимулируют улучшения . Эти оценки можно проводить либо путем сопоставления текущего состояния с описаниями уровня зрелости в целом , либо путем более подробного сравнения с каждым отдельным пунктом этих описаний . В любом случае необходимы экспертные знания процессов оцениваемого предприятия .
9
Более подробные сведения см . Приложение 1 (Morocco 1/45 ), Рисунок 1.2.
8
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
−
−
−
−
Преимуществом подхода с использованием модели зрелости является то , что руководству относительно несложно оценить себя по соответствующей шкале и понять , какие меры следует предпринять , если необходимо повышение эффективности деятельности . В шкале присутствует значение "0", так как существует возможность того , что определенный процесс полностью отсутствует . Шкала от "0" до "5" основана на простой шкале уровней зрелости , которая показывает , как процесс проходит этапы от полного отсутствия до оптимизированного уровня возможностей .
Однако возможность управления процессами – это не то же самое , что эффективность процессов .
Необходимый уровень функциональных возможностей , который определяется целями предприятия и сферы ИТ , возможно , не нужно будет применять ко всей среде ИТ , в частности , его , возможно , следует применять несистематически или к ограниченному количеству систем или модулей . Определение уровня эффективности , о котором речь пойдет в следующих абзацах , является существенным в процессе определения реального уровня эффективности предприятия в плане процессов в сфере ИТ . Несмотря на то что правильно примененная функциональная возможность уже снижает уровень риска , предприятие все равно должно анализировать рычаги управления , необходимые для снижения уровня риска и достижения эффективности в соответствии с готовностью принять риск и целями деятельности предприятия . Такие рычаги управления соответствуют целям управления , установленным в стандарте COBIT. Модель зрелости представляет собой способ проверки того , насколько развиты процессы управления , т . е . насколько высока их реальная эффективность . То , насколько такие процессы должны быть развиты и какие функциональные возможности они должны иметь , зависит от целей ИТ и тех производственных потребностей , на которые эти процессы ориентированы . Степень реального уровня использования доступных функциональных возможностей значительно зависит от дохода , который предприятие желает получить от своих инвестиций .
−
−
Стратегическим ориентиром для принятия предприятием мер по улучшению управления и контроля процессов в сфере ИТ могут быть формирующиеся международные стандарты и передовая практика в отрасли . Практика , которая формируется сегодня , может завтра стать стандартом уровня эффективности , таким образом , она полезна при планировании того , к чему предприятие намерено прийти со временем . Построение модели зрелости начинается с общей качественной модели
10
, к которой с постепенным увеличением интенсивности по мере перехода от уровня к уровню добавляются принципы , относящиеся к следующим аспектам : информационно политика , планы
образовательная и процедуры ; деятельность ; инструменты и автоматизация ; навыки и знания ; ответственность и подотчетность ; постановка целей и проверка их достижения .
Подход к внедрению
NCSecMM заключается в привязке национальной стратегии кибербезопасности к стратегическим национальным целям , обеспечении системы показателей и уровней модели зрелости для оценки успешности достижения целей и определения связанных с ними обязанностей заинтересованных лиц и процесса внедрения контрольных показателей . Данный подход основан на модели зрелости , которую Институт технологий разработки программного обеспечения (SEI) определил как уровень зрелости возможностей по разработке программного обеспечения .
10
Более подробные сведения см . Приложение 1 (Morocco 1/45 ), Рисунок 1.3.
9
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Предложенная модель NCSecMM позволяет определить национальный уровень зрелости и , таким образом , поставить цель по достижению определенного уровня зрелости , а также осуществить планирование мер по улучшению уровня зрелости .
Предложенная модель NCSecMM позволяет определить национальный уровень зрелости и , таким образом , поставить цель по достижению определенного уровня зрелости , а также осуществить планирование мер по улучшению уровня зрелости .
Модель зрелости охватывает следующие уровни :
− 0.
− 1. уровень
− 2. , но интуитивна
− 3.
− 4. и измеряема
− 5.
Модель зрелости по процессам
Каждый из пяти процессов предусматривает условия , которые необходимо выполнить , чтобы соответствовать одному из пяти уровней зрелости
11
.
Оценка страны
Для оценки уровня зрелости национальной стратегии кибербезопасности страны мы предлагаем поддерживать 10 главных процессов , чтобы в любой момент времени можно было провести проверку , как показано ниже на " радаре ", позволяющую осуществить сравнение разных стран , а также сопоставить уровень зрелости одной страны в два разных момента времени .
Рисунок 3: Радар для оценки уровней зрелости
Функции и обязанности в области национальной кибербезопасности
В свете глобальной потребности в установлении управления национальной кибербезопасностью необходимо привязать схему RACI к глобальной структуре . Этот подход уже используется в стандарте COBIT, и его эффективность доказана (IT Governance Institute 2005).
11
См . раздел 3.3 " Модель зрелости по процессам ", Приложение 1 (Morocco 1/45 ) для ознакомления с соответствующими условиями .
10
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
2.4 Матрица RACI
Нужно использовать эффективную методику для определения на национальном уровне функциональных сфер , в которых существуют неясности относительно обязанностей , для обнаружения несоответствий и их устранения путем установления и поддержания сотрудничества между специалистами из разных секторов . Создание схемы сфер ответственности дает возможность руководителям на одинаковых или разных уровнях организаций или программ принимать активное участие в предметном и систематическом обсуждении описаний действий , связанных с процессами . Эти действия необходимо совершить для создания успешного конечного продукта или услуги . При этом ни одна из моделей " создания схемы сфер ответственности " не является специально предназначенной для национальной кибербезопасности .
Создание схемы сфер ответственности представляет собой процесс , состоящий из 5 этапов (Smith and Erwin 2005): во первых , необходимо определить процессы
12
. Во вторых , следует определить заинтересованные стороны , ресурсы и данные , которые могут быть полезны для создания схемы .
После этого можно разработать схему RACI, внося соответствующие данные в поля схемы . Далее необходимо урегулировать все случаи дублирования функций . Наконец , также необходимо заполнить пробелы в функциях . Мы будем следовать данной методике при построении таблицы схемы RACI.
Подход с использованием схемы RACI
Модель RACI является относительно несложным инструментом , который используется для разъяснения функций , обязанностей и полномочий заинтересованных лиц , вовлеченных в процессы управления или производственные процессы , особенно в ходе организационных изменений . Данная модель полезна при описании того , что следует сделать и кому это нужно сделать , чтобы осуществить процесс трансформации (Kelly 2006).
Схема RACI представляет собой таблицу , в которой описаны функции и обязанности разных заинтересованных лиц в рамках осуществления определенного процесса . В контексте национальной структуры кибербезопасности " схема RACI" определяет функции и обязанности разных заинтересованных лиц на национальном уровне . В случае каждого из 34 процессов в национальной структуре кибербезопасности схема будет привязана к информации относительно функций , которые заинтересованные лица имеют в связи с соответствующим процессом .
По каждому процессу каждому заинтересованному лицу , в зависимости от его функции ( функций ) и обязанностей , будет присвоена одна или несколько букв , взятых из акронима "RACI". Этот акроним расшифровывается следующим образом :
− Ответственный (R): Те лица , которые осуществляют определенную работу , нацеленную на создание процесса , в том числе работу по поддержке , в целях обеспечения ресурсов для выполнения поставленного задания .
− Подотчетный (A): Те лица , которые несут главную ответственность за надлежащее выполнение задания . Этот статус обозначает тех , кто имеет полномочия для окончательного утверждения работы . Лицо с такими полномочиями должно утверждать работу , выполненную лицом с полномочиями ответственного , чтобы такая работа считалась окончательно выполненной . Для каждого процесса необходимо назначить только одно подотчетное лицо .
− Консультирующий (C): Те лица , к которым обращаются за консультациями ; консультирование осуществляется в форме диалога . Этот статус предусматривает полномочия участия в работе по соответствующему требованию , а лицо с такими
12
См . раздел " Матрица RACI по процессам " Приложения 1 (Morocco 1/45 ).
11
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
− полномочиями обладает информацией и ( или ) возможностями , необходимыми для выполнения определенной работы .
Владеющий информацией (I): Те лица , которым в одностороннем порядке предоставляется актуальная информация по процессу . Этот статус обозначает лиц , полномочия которых предусматривают получение ими информации о работе и уведомление их о результатах , но консультации с такими лицами не проводятся .
Очень часто функция , обозначенная как " подотчетный ", также может быть обозначена статусом
" ответственный ". Тем не менее , в общем , рекомендуется , чтобы каждая функция в рамках каждого процесса была обозначена не более чем одним функциональным статусом . Если в схеме RACI есть дублированные функциональные статусы , то это означает , что соответствующие функции еще неокончательно определены . В этом случае необходимо прояснить каждую функцию в рамках выполнения каждого задания .
Методика применения схемы RACI в области национальной кибербезопасности
Выбранная методика в случае применения схемы сфер ответственности по обеспечению кибербезопасности не будет отличаться от классической . Она будет предусматривать такие шаги , как заполнение полей таблицы после определения лиц со статусами (R), (A), (C), (I) для каждого процесса . Общий принцип заключается в том , чтобы каждый процесс , желательно , имел только одно лицо со статусом (R). В противном случае , если существует процесс , для которого не назначено лицо со статусом (R), будет иметь место пробел в функциях , а если статус (R) будет дан нескольким заинтересованным лицам , то произойдет дублирование функций .
Начнем с функционального статуса (A). Указания относительно назначения функций следующие :
− Назначить процесса ; по одному лицу ( функции , должности ) со статусом " подотчетный " для каждого
−
−
Назначить статус " ответственного " (R) на уровне , который находится наиболее близко к уровню действий или знаний , необходимых для выполнения задания . Проверить целесообразность всех совместных обязанностей ;
Обеспечить привлечение соответствующих заинтересованных лиц со статусами
" консультирующий " ( С ) и " владеющий информацией " ( І ), при этом такие функции следует назначать только в случае необходимости .
2.5 Руководство по внедрению национальной кибербезопасности
Данное руководство по внедрению предназначено для содействия всем без исключения заинтересованным сторонам национальной кибербезопасности в реализации системы обеспечения контроля в рамках национальной структуры кибербезопасности и национальной модели зрелости кибербезопасности , а также схемы сфер ответственности по обеспечению национальной кибербезопасности .
Это руководство по внедрению будут использовать все без исключения заинтересованные стороны национальной структуры кибербезопасности , которые хотят внедрить систему обеспечения контроля над национальной системой управления кибербезопасностью , в частности представители правительства , частного сектора , важнейшей инфраструктуры , академических организаций и гражданского общества .
К целевой аудитории данного руководства относятся все подразделения вышеуказанных заинтересованных сторон . Кроме того , использовать данное руководство для оказания содействия во внедрении национальной кибербезопасности своим заинтересованным сторонам на местах могут Государства Члены МСЭ в рамках самоконтроля .
12
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Основные этапы
Руководство по внедрению охватывает шесть основных этапов , в основе каждого из которых лежит подход " планирование реализация контроль корректировка " (PDCA) :
Рисунок 4: Этапы руководства по внедрению
Подход к внедрению
Рисунок 5: Подход к внедрению NCSecIG
2.6 Руководство по внедрению
• Утверждение внедрения
A − обзор действий , необходимых для утверждения внедрения
B − определение задач и национальных требований к обеспечению кибербезопасности
C − определение исходной сферы управления национальной кибербезопасностью
D − получение одобрения со стороны директивных органов высокого уровня
13
•
•
•
•
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Определение сферы применения и стратегии
A − обзор действий , необходимых для определения NCSecMS и стратегии
B − определение границ национальной кибербезопасности
C − оформление границ сферы применения NCSecMS
D − разработка стратегии национальной кибербезопасности
Проведение анализа национального контекста
A − обзор действий , необходимых для анализа национального контекста
B − определение требований к информационной безопасности
C − определение защиты важнейшей информационной инфраструктуры (CIIP)
D − проведение оценки национальной информационной безопасности
Разработка национальной системы управления кибербезопасностью
A − обзор действий , необходимых для разработки NCSecMS
B − определение организационных структур
C − разработка системы мониторинга и оценки
D − разработка программы внедрения NCSecMS
Внедрение национальной системы управления кибербезопасностью
A − обзор действий , необходимых для внедрения NCSecMS
B − подготовка системы управления внедрением
C − реализация проектов по внедрению
D − оформление процедур и мер контроля
2.7 Заключение
Предложенная национальная система управления кибербезопасностью , которую можно применять для управления кибербезопасностью как на национальном , так и на региональном уровнях , поможет стране или целому региону определить , насколько эффективно осуществляется управление кибербезопасностью . Это можно будет сделать посредством самооценки на основе четко определенной модели зрелости . Национальная структура управления кибербезопасностью позволила бы странам и регионам обеспечить необходимый уровень управления и контроля путем непрерывного усовершенствования с учетом затрат и результатов выполнения краткосрочных и долгосрочных задач .
3 Партнерство между государственным и частным секторами в поддержку достижения целей и задач по обеспечению кибербезопасности
3.1 Введение
Данный отчет о примерах передового опыта иллюстрирует эффективность партнерства между государственным и частным секторами при решении ряда сложных задач , связанных с обеспечением безопасности важнейшей информационной инфраструктуры (CII) и управлением рисками .
14
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Управление рисками , угрожающими важнейшей инфраструктуре , – это чрезвычайно сложная задача , выполнение которой жизненно важно . Нарушение нормального функционирования важнейшей инфраструктуры или злоупотребление ею может иметь значительные последствия на местном , региональном или даже глобальном уровнях . Риски , возникающие перед CII в контексте кибербезопасности , стали еще более значительными , так как уровень использования информационных систем и сетей со стороны стран , отрасли и просто людей для обеспечения нормального функционирования важнейшей инфраструктуры неуклонно растет . И если риски , связанные с информационными системами и сетями , не снизить , то это может иметь серьезные последствия для национальной безопасности , жизнеспособности экономики и процветания общества .
Управление рисками , связанными с важнейшей инфраструктурой , на национальном или глобальном уровнях представляет собой трудноразрешимую задачу для правительства , в частности в контексте обеспечения кибербезопасности , где под угрозой находится безопасность инфраструктуры как физической , так и логической . Во первых , элементы важнейшей инфраструктуры имеют широкое распространение , и , таким образом , существует множество слабых мест и , соответственно , потенциальных рисков . Во вторых , инфраструктура подвержена несметному количеству угроз ; умышленные преступные и террористические атаки , стихийные бедствия , аварии , зависимость инфраструктуры , перебои в цепочке поставок , а также многие другие угрозы , вызывают оправданное беспокойство . В третьих , прямые и косвенные последствия могут иметь разрушительные последствия , при этом их тяжело оценить и спрогнозировать с высокой степенью точности . В четвертых , выражение рисков в количественной форме и определение приоритетов в области управления рисками , а также выделение ограниченных ресурсов может стать очень серьезной и сложной проблемой , особенно когда речь идет о крупномасштабных действиях ( на региональном , национальном или глобальном уровнях ). В пятых , наш мир становится все более взаимосвязанным , и инфраструктурные риски могут переходить через географические и правовые границы . Это , в частности , касается CII; запуск кибератак может производиться практически из любого места , и зачастую они едва ли поддаются экспертно техническому анализу . И наконец , несмотря на то , что обеспечение национальной безопасности традиционно входило в сферу ответственности государства , значительная часть инфраструктуры на глобальном уровне принадлежит частному сектору и находится в его управлении .
Эти и другие факторы требуют не только применения нового подхода к управлению рисками , но и укрепления сотрудничества , координации и совместной деятельности между государствами , а также государством и частными предпринимателями , академическими , неправительственными , международными и другими организациями , заинтересованными в защите важнейшей инфраструктуры . Проще говоря , партнерство между государственным и частным секторами часто достигает определенного успеха там , где односторонние действия не могут его достичь .
Нигде данный вопрос не стоит настолько актуально , как в области CII, где борьба с киберпреступностью , защита данных и сетей , обеспечение безопасности систем управления , а также реагирование на киберинциденты и проведение соответствующих восстановительных работ все чаще становится вызовом не только для правительства , но и для самой отрасли . Государству или частному сектору часто не под силу бороться с этими и другими вызовами в области кибербезопасности в одиночку . Для наиболее эффективного обеспечения международных , национальных , корпоративных и даже индивидуальных интересов государственному и частному секторам , а также международному сообществу необходимо взять на себя солидарную ответственность за глобальное укрепление позиций в области кибербезопасности .
3.2 Принципы партнерства
Основные характеристики успешного партнерства
Эффективность совместной борьбы с комплексными и повсеместными вызовами подтверждалась не единожды . Партнерство между государственным и частным секторами успешно применялось для решения целого ряда проблем , начиная от академических и научных вопросов и заканчивая
15
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности социальными и экономическими вызовами , а также вооруженными конфликтами и борьбой с терроризмом .
Партнерство – это отношения между лицами или группами лиц , в которые они вступают для достижения определенной цели . Партнерство , в целом , предполагает взаимную выгоду , совместные усилия , солидарную ответственность , а также солидарную подотчетность .
Стороны вступают в партнерские отношения , поскольку они видят их преимущества и ожидают получения определенной выгоды . Кроме того , они осознают , что цели партнерства было бы сложнее или вообще невозможно достичь без совместных усилий .
−
−
−
−
−
−
−
−
−
−
Существует ряд основных характеристик , которые , как правило , являются общими для успешного партнерства между государственным и частным секторами , при этом значимость таких характеристик зависит от характера и обстоятельств партнерства . Говоря в общем , к таким характеристикам , среди прочего , относятся следующие :
Партнерство
Партнерство
У партнеров является осуществляется есть взаимовыгодным общее партнерских отношений .
( на и
. добровольной оформленное ) основе . понимание задач и сферы действия их
Партнеры оговаривают
Существует
Партнерство четкое разделение является вступления в него . приоритетность функций широким и мер и по выполнению обязанностей всеобъемлющим
. с таких задач . минимальными барьерами для
− Каждая из сторон способностей для содействия достижению общей цели или задачи на основе такого партнерства . партнерских отношений делает вклад в форме тех или иных своих
− Каждая из сторон партнерских отношений является независимой и полноправной , так как партнерство – это отношения между равными лицами , основанные на взаимном доверии .
Партнеры осуществляют
Партнерские
Для достижения
Инвестиции отношения цели сторон совместную прозрачны партнерства партнерских
. деятельность доступны отношений , достаточные в том эффективно числе . в ресурсы и результативно
. контексте
. распределения и ответственности , осуществляются соразмерно интересу каждой такой стороны . затрат
Часто многие государственные организации берут на себя солидарную ответственность за различные и иногда пересекающиеся аспекты безопасности CII. Соответственно , поддержание непрерывной связи между такими организациями играет важную роль для совместного управления рисками со стороны государственного и частного секторов , а также для успешного их партнерства в целом .
3.3 Предлагаемые преимущества
Государства , как правило , осознают , что защитить своих граждан от потенциально разрушительных последствий нарушения нормального функционирования важнейшей инфраструктуры или злоупотребления ею было бы практически невозможно без широкого и добровольного участия частного сектора . Частный сектор владеет , управляет и поддерживает в надлежащем состоянии большую часть элементов инфраструктуры , включая CII, и поэтому его опыт , ресурсы , всестороннее участие , а также сотрудничество и координация с его стороны имеют важное значение для деятельности государства по управлению рисками в области важнейшей инфраструктуры .
16
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Участие частного сектора в поддержании партнерских отношений в области обеспечения безопасности обусловлено еще и другими разными факторами . Компании заняты в первую очередь защитой своих клиентов и управлением рисками , угрожающими им самим . Без содействия со стороны других партнеров из государственного и ( или ) частного секторов они могут оказаться неспособными достичь сверхцелей в области управления бизнес рисками , которые могут быть тесно связаны с рисками в области обеспечения безопасности . Интересы государства в области обеспечения безопасности часто пересекаются с деятельностью , направленной на предотвращение повреждения данных , продукции или собственности , а также нанесения других убытков компаниям . Подобным образом , обеспечение непрерывной деятельности и защита сотрудников и инвестиций часто связаны с обеспечением безопасности . К тому же , открытые акционерные общества подотчетны своим акционерам , а они зачастую оказывают давление на компании для принятия действий в определенных сферах в поддержку общественных интересов , в том числе в области обеспечения безопасности , а также в сферах , деликатных с политической точки зрения
( например , таких как изменение климата ). Давление может исходить и из самих компаний , так как их сотрудники имеют чувство гражданской ответственности . Кроме того , если продемонстрировать желание добросовестно работать в сотрудничестве с государством , компании могут получить правовую защиту и освобождение от ответственности в случае каких либо инцидентов , а также возможность снизить суммы страховых премий .
Добровольное партнерство также является хорошей альтернативой регуляторным мерам . Этот и другие факторы могут стимулировать частные компании стремиться к сотрудничеству и совместной деятельности с государством , избегая враждебных к нему отношений или отношений , построенных на соблюдении тех или иных требований . Тесные рабочие отношения с государством могут дать компаниям более высокий уровень прозрачности государственной политики и увеличить их возможности влиять на принятие государством решений для обеспечения приемлемости , эффективности и пригодности такой политики .
Партнерство не является самоцелью ; его успех измеряется степенью достижения целей , поставленных участниками такого партнерства . Партнерские отношения всегда требуют от физических и юридических лиц осуществления определенных действий или предоставления ресурсов , необходимых для решения соответствующих задач . В контексте безопасности CII и ее способности к восстановлению успех партнерских отношений между государственным и частным секторами заключается , прежде всего , в способности такого партнерства эффективно управлять киберрисками .
Основная выгода от партнерства состоит в том , что оно позволяет физическим и юридическим лицам решать те задачи или получать те возможности , которые было бы сложнее или невозможно решить или получить , если бы не было таких партнерских отношений . Объединения организаций часто могут находить более эффективные решения сложным и комплексным задачам , чем организации , действующие сами по себе , в частности , если решение таких задач предусматривает участие множества организаций или государств или связано с наличием множества факторов взаимосвязи . Целенаправленное партнерство может обеспечить более эффективное распределение обязанностей в соответствии с возможностями и квалификацией , совместное использование и применение ресурсов , совместное использование информации и данных и привлечение большего интеллектуального капитала для лучшего достижения общих групповых целей .
−
−
Благодаря сотрудничеству и совместной деятельности организации , которые участвуют в партнерстве между государственным и частным секторами , направленном на обеспечение безопасности важнейшей инфраструктуры , в том числе безопасности CII, могут достичь значительных улучшений в управлении рисками . К таким улучшениям , среди прочего , относятся : повышение улучшение способности отчетности выявлять и обмена угрозы и факторы информацией уязвимости об угрозах
; и опасностях способности раннего обнаружения , предотвращения и снижения рисков ;
, повышение
17
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
− повышение способности управлять рисками , реагировать на них и осуществлять соответствующее восстановление ;
− обмен техническими знаниями , экспертной информацией относительно управления безопасностью , рисками и чрезвычайными ситуациями , а также обмен другой экспертной информацией ;
− улучшение доступа к образовательным инструментам и инструментам осуществления профессиональной подготовки ;
− повышение уровня готовности благодаря скоординированным и совместным действиям , направленным на отработку мер по обеспечению безопасности ;
− повышение общей способности управлять рисками благодаря совместной разработке и широкому распространению общих инструментов , стандартов и примеров передовой практики по управлению рисками ;
− создание функциональных сообществ и сетей в области безопасности , охватывание важнейшей инфраструктуры и бизнес секторов , а также распространение соответствующей деятельности за пределы национальных границ ;
− повышение уровня доверия и прозрачности , а также снижение уровня возникновения конфликтных ситуаций между государственным и частным секторами ;
− создание инструментов и процессов для совместного использования информации , а также усиление политики , направленной на поддержку совместного использования информации ;
− повышение уровня эффективности , усиление координации и сокращение избыточных ресурсов на всех государственных уровнях , а также в отношениях между государственным и частным секторами ;
− улучшение понимания рисков для CII ( всевозможные угрозы , факторы уязвимости , последствия ), а также повышение уровня знаний относительно факторов взаимосвязи на национальном и международном уровнях ;
− возможность избежать применения дорогостоящих регуляторных мер в отношении большинства элементов важнейшей инфраструктуры ;
− сокращение информационных и юридических противоречий на государственном уровне , а также между партнерами из государственного и частного секторов ;
− повышение способности оценить прогресс в снижении рисков , а также эффективность программ на всех уровнях важнейшей инфраструктуры ;
− повышение уровня эффективности при определении приоритетов и распределении усилий в рамках научно исследовательской деятельности на уровне государственного и частного секторов ; а также
− усиление инновационной составляющей в подходах к управлению рисками для важнейшей инфраструктуры .
Зависимость общества от CII неуклонно растет . В то время как обеспечение внутренней и национальной безопасности традиционно относится к сфере ответственности национальных правительств , проблема обеспечения безопасности CII требует более широких и стабильных партнерских отношений между государством и частными компаниями , которые владеют , управляют и поддерживают в надлежащем состоянии большую часть нашей инфраструктуры .
18
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
3.4 Партнерские отношения и управление рисками в области безопасности
И государственный , и частный сектор играют важную роль в процессе управления рисками в области безопасности , и для оптимизации усилий по снижению уровня риска им нужно работать совместно .
Частный сектор может использовать обширный объем специальных знаний для решения сложных проблем , он также обеспечивает гибкость , отзывчивость и инновационность . Владельцы и операторы важнейшей информационной инфраструктуры (CII) лучше всего понимают операционную динамику своей инфраструктуры , знают свои бизнес модели , ключевые компетенции и физические и финансовые ограничения . Частный сектор также часто является исходным защитным барьером , который отвечает за обнаружение угроз для важнейшей информационной инфраструктуры и защиту от них , а также нередко выступает главным участником процесса разрешения киберинцидентов и принятия восстановительных мер . Так как во многих странах частный сектор является собственником и оператором значительной части важнейшей инфраструктуры , частный сектор отрасли является наиболее сильно подверженным риску по причине использования CII или зависимости от нее ( например , важнейшая инфраструктура , функционирование которой зависит от информационных технологий ). Этот сектор отрасли также предоставляет инструменты и продукты , которые помогают управлять киберрисками .
Государство также может внести значительный вклад в партнерство в области безопасности .
Государства вкладывают в отрасль значительные финансовые , технические и кадровые ресурсы . В собственности государств находится традиционный аппарат разведки ; правительства стран могут сотрудничать с частным сектором и иностранными разведывательными службами для создания полной картины угроз , чего никакая частная компания достичь самостоятельно не может .
Правительство также создает законы и нормы и имеет преимущество власти , которое дает ему возможность оказывать значительное влияние на определение приоритетов в области обеспечения безопасности и распределение ресурсов , способствующих развитию отрасли . Наконец , правительство может выступать в роли эффективного и надежного арбитра и координатора по отношению к компаниям , которые в противном случае могут не хотеть делиться конфиденциальной информацией в условиях конкурентного рынка . Правительство также отвечает за сравнение рисков на уровне одного предприятия , на региональном уровне или в масштабах отрасли с риском на национальном и даже глобальном уровнях . В некоторых случаях правительство может собирать и защищать от разглашения данные , связанные с риском , в том числе данные , которые могут быть частными или иметь конфиденциальный характер в конкурентной среде частных предприятий , чтобы определить тенденции , общие факторы уязвимости и относительный риск касательно активов , систем , сетей и функций CII
13
.
Кроме того , доминирующая роль правительства в сборе разведывательных данных и обнаружении угроз сложилась исторически . Это , в частности , относится к более традиционным физическим угрозам . Что касается киберугроз ( в противовес физическим угрозам ), частный сектор на данный момент играет намного более важную роль в обнаружении и устранении угроз , а также в предупреждении об угрозах .
13
В Соединенных Штатах Америки , например , представители частного сектора на добровольной основе предоставляют правительству информацию о серьезных угрозах , факторах уязвимости , а также другую информацию в рамках программы защиты информации в сфере важнейшей инфраструктуры (PCII). PCII – это программа защиты информации , способствующая обмену информацией между частным и государственным секторами . Министерство национальной безопасности США использует PCII для анализа и обеспечения безопасности важнейшей инфраструктуры и защищенных систем , выявления факторов уязвимости , разработки механизмов оценки рисков , а также для усиления мер по обеспечению готовности к проведению восстановительных мероприятий . PCII не может использоваться в регуляторных целях , и она освобождена от различных обязательств относительно публичного разглашения информации .
19
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В конечном итоге , эффективность партнерских отношений между государственным и частным секторами в области безопасности CII измеряется тем , насколько такое партнерство способно обеспечить управление рисками и снижение рисков . На Рисунке 6 показан типичный жизненный цикл процесса управления рисками безопасности , который можно применить как общий в большинстве случаев .
Рисунок 6: Жизненный цикл процесса управления рисками
Identify
Organizational
Objectives
Monitor and
Update Efforts
Conduct Risk
Assessment
Evaluate
Effectiveness
Apply Risk to
Organizational
Decisions
Implement
Risk Reduction
Efforts
При решении проблем , связанных с рисками безопасности CII, критически важным является то , чтобы все , кто вовлечен в процесс управления рисками , достигли согласия относительно желаемых конечных результатов их совместного сотрудничества . И правительство , и представители отрасли должны прийти к четкому общему пониманию целей и задач в сфере управления рисками , на достижение и решение которых будут направлены их совместные усилия
14
. Правительство и партнеры из частного сектора работают совместно для постановки и утверждения конкретных целей в сфере управления рисками , для достижения которых они будут работать вместе .
В процессе оценки рисков и их снижения ( или других действий по управлению рисками ) будут возникать новые приоритеты , ввиду чего будет осуществляться корректировка целей с учетом изменений , наступивших в среде рисков .
Когда цели в сфере управления рисками определены совместными усилиями , для обнаружения и оценки рисков в области безопасности необходимо , чтобы государственный и частный секторы продолжили масштабное сотрудничество . И государственный , и частный секторы привносят на этом этапе значительный потенциал в цикл управления рисками .
В некоторых случаях правильным будет , если правительственные аналитики при проведении оценки рисков будут работать непосредственно с частным сектором отрасли ( например , с руководителями и администраторами производственного объекта или системы ). Так как частные собственники лучше всего знают свои системы и сети , их участие является существенным для обеспечения всестороннего и устойчивого процесса оценки рисков . Правительство также может
14
В Соединенных Штатах Америки , например , федеральные правительственные органы работают с общественностью и партнерами из частного сектора на местном , региональном и международном уровнях , а также на уровне штата для установления общесекторных целей в рамках не только сектора информационных технологий , но также и 17 других секторов , связанных с важнейшей инфраструктурой , каждый из которых в той или иной степени зависит от CII.
20
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности помогать собственникам и операторам из частного сектора в определении уровня риска для того или иного производственного объекта или предприятия , предоставляя им инструменты для осуществления оценки и самооценки ( а также методики и аналитические приемы ). Эти продукты могут сэкономить время и финансы и дать компаниям возможность оценить риски на уровне производственного объекта или предприятия
15
.
После того , как оценка рисков в отношении CII произведена , правительство может включить совокупные и приоритезированные результаты оценки рисков в общий процесс разработки бюджета , политики и принятия решений . Частные корпорации могут осуществлять аналогичный процесс анализа и принятия решений на уровне предприятия .
Тот простой факт , что во многих странах большинство CII находится в собственности или эксплуатации частного сектора , означает , что принятие мер по снижению рисков в основном осуществляется частными корпорациями . Поскольку партнерство по своему определению подразумевает добровольное взятие на себя определенных обязательств , при котором стороны соглашаются совместно работать для защиты общих интересов , правительство в большинстве случаев не может принудить организации из частного сектора к принятию программ управления или снижения рисков .
Однако в некоторых случаях риск в области обеспечения безопасности важнейшей инфраструктуры воспринимается таким значительным , что правительству приходится вводить регулятивный контроль
16
. В других же случаях эффективно работают добровольные программы в отношении безопасности важнейшей инфраструктуры и CII. Ввиду ограниченного объема ресурсов , с которым сталкиваются частные компании в процессе принятия решения относительно того , как управлять рисками в области безопасности инфраструктуры , в особенности рисками с низким уровнем вероятности и значительными последствиями , желательно , чтобы правительства тесно сотрудничали со своими партнерами из частного сектора для разработки и предоставления портфеля продуктов и инструментов по управлению рисками с учетом потребностей и приоритетов относительно рисков в частном секторе . К ним относятся инструменты для оценки и анализа рисков , примеры передового опыта и стандарты , механизмы совместного использования информации , продукты по повышению осведомленности в сфере безопасности , подготовительные упражнения , продукты для управления инцидентами , учебно образовательные ресурсы , а также огромное количество других инструментов , инициатив , продуктов и программ . Благодаря совместной разработке таких инструментов и продуктов можно достичь более высокой рентабельности и пользы от таких продуктов , а также обеспечить наличие ресурсов для улучшения готовности CII, предотвращения угроз , защиты и устойчивости CII, мер реагирования и восстановительных мер в отношении CII как со стороны государственного , так и частного секторов .
Правительства также могут сотрудничать со своими партнерами из частного сектора для проведения информационно разъяснительной работы с целью обучения и повышения уровня осведомленности относительно проблем и доступных продуктов в сфере безопасности .
В процессе внедрения программ по снижению рисков государственный и частный секторы объединяют усилия для оценки эффективности таких программ , а также измеряют общий прогресс ввиду поставленных целей в сфере управления рисками . При оценке как отдельных инициатив , так
15
Так , Отдел национальной кибербезопасности Министерства национальной безопасности США разработал
Инструмент для оценки кибербезопасности (CSET), который позволяет пользователям оценить ситуацию с кибербезопасностью в рамках их киберсетей и промышленных систем управления . Настольное программное обеспечение CSET пошагово показывает пользователям , как на основе признанных отраслевых стандартов оценить безопасность их систем управления и сетей информационных технологий . CSET в приоритетном порядке предоставляет рекомендации по улучшению безопасности киберсистем управления деятельностью предприятия и его производственного процесса ( http://www.us-cert.gov/control_systems/satool.html
).
16
Так , правительство США осуществляет регулирование в области обеспечения безопасности коммерческих ядерных реакторов и определенных химических предприятий повышенного риска .
21
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности и общей программы управления рисками учитываются затраты , время , уровень прилагаемых усилий , гибкость и другие факторы , которые также сопоставляются с оценочным уровнем риска и новым обнаруженным или изменившимся риском . В ходе создания и предоставления системы показателей устанавливаются новые приоритеты , а очередность существующих приоритетов пересматривается с учетом изменений ситуации с рисками .
3.5 Выводы
Партнерские отношения между государственным и частным секторами являются существенной составляющей процесса разработки и поддержания успешной реализации программы по защите
CII. Ни государство , ни частный сектор не могут самостоятельно эффективно и всесторонне управлять рисками CII, а также поддерживаемыми такой инфраструктурой критически важными функциями в сфере национальной безопасности , экономики и в общественной сфере . В то же время , совместная и активная работа в рамках партнерства объединяет воедино все ресурсы , улучшает процесс совместного использования информации и связь , усиливает меры реагирования на инциденты и увеличивает способность партнеров управлять рисками на всех уровнях и на протяжении всего жизненного цикла процесса управления рисками . На протяжении прошлого десятилетия Соединенные Штаты Америки создали модель партнерства между государственным и частным секторами , которая обеспечивает надежную основу для национальной программы по защите важнейшей информационной инфраструктуры . По мере того , как применение этой и других моделей партнерства между государственным и частным секторами расширяется , выходит за границы одного государства и проникает в другие географические регионы , стратегические и оперативные конечные результаты таких отношений усиливают потенциал безопасности на национальном уровне , а также создают по настоящему глобальную архитектуру управления рисками в области CII.
3.6 Исследование конкретной ситуации : партнерские отношения между государственным и частным секторами в США
Несмотря на то , что партнерство между государством и представителями отрасли не является чем то новым , уже на протяжении нескольких десятилетий правительства стран все чаще признают , что для успешной реализации программ по защите важнейшей инфраструктуры требуется масштабное , непрерывное и активное участие со стороны собственников и операторов такой инфраструктуры .
В 1990е годы правительство США начало прилагать совместные усилия по созданию устойчивых партнерских отношений между государственным и частным секторами непосредственно для улучшения безопасности важнейшей инфраструктуры .
Курс на развитие партнерских отношений в сфере безопасности
В 1998 году Президент Билл Клинтон подписал Директиву президента США № 63 (PDD-63), в которой впервые была формально озвучена необходимость содействия развитию расширенных и постоянных партнерских отношений в сфере безопасности между государственным и частным секторами с целью обеспечения безопасности важнейшей инфраструктуры . Директива PDD-63 признала значимость важнейшей инфраструктуры в поддержании безопасности и экономического благополучия Соединенных Штатов Америки и присвоила защите инфраструктуры от террористических атак статус приоритета федерального уровня . Структура партнерского взаимодействия , предложенная данной директивой , имела необязательный характер , при этом в документе провозглашалось , что партнерства должны быть "… подлинными , взаимными и предусматривать совместное сотрудничество "
17
. К основным положениям директивы PDD-63
17 http://www.fas.org/irp/offdocs/pdd/pdd-63.htm
.
22
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности относились , среди прочего , следующие : определение шести " важнейших " секторов инфраструктуры ; создание Национального центра защиты инфраструктуры , который отвечает за обмен информацией на государственном уровне , а также между государственным и частным секторами ; содействие в развитии государственно частных Центров анализа и обмена информацией (ISAC); а также создание Национального совета по обеспечению национальной инфраструктуры , в который входят лидеры отрасли , а также должностные лица правительственных органов уровня штата и местного уровня .
После атак 11 сентября усилия в этом направлении значительно возросли , так как атаки пролили свет на факторы уязвимости и показали значимость важнейшей инфраструктуры для благополучия
Америки . В декабре 2003 года Президент Джордж В . Буш выдал Директиву Президента США по национальной безопасности HSPD-7, " Определение важнейшей инфраструктуры , приоритеты и защита ". Директива HSPD-7 содержала уточнения и обновления для директивы PDD-63. Кроме того , директива HSPD-7 более подробно определила модель партнерства , описанную в PDD-63, и возложила на нового министра национальной безопасности конкретные обязанности , связанные с обеспечением безопасности и защитой важнейшей инфраструктуры от всевозможных рисков .
В HSPD-7 был расширен перечень секторов важнейшей инфраструктуры и повторно подчеркнута важность добровольных партнерств между государством и собственниками и операторами инфраструктуры , в том числе из частного сектора . Согласно директиве , министр должен обеспечить партнерство с частным сектором для " определения , приоритезации и координации процесса защиты важнейшей инфраструктуры и ключевых ресурсов ; [ а также ] содействия совместному использованию информации о физических угрозах и киберугрозах , факторах уязвимости , инцидентах , потенциальных мерах защиты и примерах передового опыта "
18
. HSPD-7 также обязала министра национальной безопасности разработать национальный план защиты важнейшей инфраструктуры . Так появился Национальный план защиты инфраструктуры (NIPP), последняя редакция которого была принята в 2009 году .
NIPP обеспечивает единую платформу для интеграции воедино разобщенных усилий с целью защиты важнейшей инфраструктуры США и повышения ее уровня устойчивости к угрозам . В плане
NIPP закреплены положения относительно управления рисками и структуры партнерства между государственным и частным секторами ; документ устанавливает 18 секторов важнейшей инфраструктуры и определяет основные правительственные ведомства и органы , ответственные за управление партнерскими отношениями между государственным и частным секторами в каждом из указанных секторов . Кроме определения структуры партнерства , конгресс США освободил информацию по некоторым предназначенным для обсуждения или принятия мер вопросам в сфере партнерства от действия определенных законов о публичном раскрытии информации для обеспечения свободного и открытого обмена информацией , касающейся безопасности важнейшей инфраструктуры , между государственным и частным секторами .
Модель партнерства в рамках сектора
Модель партнерства в рамках сектора и структура управления рисками , изложенные в NIPP, были разработаны в результате проведения тесных консультаций и сотрудничества с частным сектором .
Министерство национальной безопасности США и его партнеры , в том числе представители частного сектора , на данный момент являются ведущими участниками процесса управления рисками в отношении важнейшей инфраструктуры в рамках Консультативного совета по вопросам партнерства в сфере важнейшей инфраструктуры (CIPAC), который является органом , управляющим такими партнерствами . В CIPAC входят представители государственного и частного секторов из
18 секторов важнейшей инфраструктуры , правительственных органов уровня штата и местного уровня , а также региональных консорциумов . Эти организации в свою очередь связаны с многими
18 http://www.fas.org/irp/offdocs/nspd/hspd-7.html
.
23
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности другими партнерскими сетями , которые в совокупности составляют национальную систему объединений и взаимовыгодных отношений , способствующих улучшению общей ситуации в сфере управления инфраструктурными рисками .
CIPAC представляет собой площадку для совместных действий федерального правительства США и представителей частного сектора , направленных на повышение уровня устойчивости и защиты важнейшей инфраструктуры . В нем участвуют свыше 700 учреждений государственного и частного секторов , в том числе более 200 профессиональных объединений , представляющих корпорации разных размеров . Члены CIPAC совместно работают над созданием стратегий , программ и продуктов , формируют потенциал устойчивости и защиты от ряда угроз для национальной безопасности , в том числе аварий , преступных действий , терроризма , пандемии и природных бедствий . Члены CIPAC разрабатывают инициативы по снижению риска в конкретных секторах инфраструктуры , а также на межсекторном уровне в целом .
Структура CIPAC разработана для стимуляции и содействия открытому диалогу в процессе сбалансированного решения задач в рамках миссии по обеспечению национальной безопасности .
Структура партнерства в рамках сектора предусматривает функционирование узкопрофильных и межсекторных советов , которые способствуют коммуникации и координации действий между партнерами в процессе осуществления целого ряда мероприятий по обеспечению защиты и устойчивости . Эта структура изображена на Рисунке 7.
Рисунок 7: Модель партнерства CIPAC в рамках сектора
В структуре CIPAC в каждом секторе Правительственные координационные советы (GCC) сотрудничают с Секторными координационными советами (SCC), которые являются самоуправляемыми органами , учрежденными собственниками или операторами важнейшей инфраструктуры . SCC является основным органом , представляющим частный сектор , который отвечает за сотрудничество с правительством США для координации деятельности в соответствующем секторе инфраструктуры . Состав членов совета зависит от сектора , при этом в него входит большое количество собственников , операторов и профессиональных объединений .
Советы GCC являются аналогом SCC на федеральном уровне ; они способствуют межведомственной координации , планированию и внедрению правительственных инициатив по защите и поддержке устойчивости важнейшей инфраструктуры .
Правительственный координационный совет уровня штата , местного уровня , уровня племени и территории (SLTTGCC) тесно сотрудничает с советами GCC и SCC во всех секторах и представляет
24
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности правительственных партнеров нефедеральных уровней . Его члены представляют разные географические районы и обладают обширным институциональным опытом и экспертными знаниями в целом ряде профессиональных дисциплин . Региональный координационный совет консорциумов предоставляет платформу для решения проблем важнейшей инфраструктуры на региональном уровне . К его членам относятся общественные , частные и региональные организации , которые содействуют сотрудничеству , направленному на реализацию региональными партнерами миссии по защите важнейшей инфраструктуры .
Межсекторный совет по вопросам важнейшей инфраструктуры и ключевых ресурсов (CIKR) включает в себя руководство всех советов SCC. Этот совет осуществляет стратегическую координацию на высшем уровне с федеральными агентствами , распространяет примеры передового опыта по секторам инфраструктуры , консультирует и принимает участие в работе по разработке политики и планированию в сфере национальной безопасности . Федеральный совет руководителей высшего уровня (FSLC) координирует и информирует о работе по снижению рисков относительно важнейшей инфраструктуры в рамках деятельности федерального правительства и является правительственным аналогом Межсекторного совета CIKR. К его членам относятся профильные органы в каждом секторе , в том числе Министерство национальной безопасности , и несколько других федеральных министерств и ведомств .
Такую структуру партнерства поддерживают и дополняют другие партнерства между государственным и частным секторами , которые функционируют на уровне решения того или иного вопроса , на региональном или международном уровнях . Например , в рамках CIPAC Межсекторная рабочая группа по вопросам кибербезопасности (CSCSWG) обеспечивает совместную работу государственного и частного секторов , направленную на решение проблем , которые связаны с киберрисками в разных секторах важнейшей инфраструктуры . Через рабочую группу CSCSWG
Министерство национальной безопасности предоставляет партнерам специальные знания и обеспечивает координацию в сфере кибербезопасности , а также помогает им в понимании и снижении киберрисков и разработке эффективных и адекватных защитных мер . Сюда относится реализация формальных межсекторных пилотных проектов в сотрудничестве с партнерами , представляющими разные секторы , для решения ряда проблем по управлению рисками в области обеспечения кибербезопасности .
Поддержка партнерств также осуществляется через государственные и частные механизмы совместного использования и анализа информации , такие как Информационная сеть национальной безопасности , Национальный координационный центр по вопросам инфраструктуры , Центр анализа и обмена информацией в сфере ИТ (ISAC), Межштатный центр ISAC и Национальный центр по вопросам интеграции кибербезопасности и коммуникаций (NCCIC), что усиливает потенциал в сфере обнаружения , предотвращения , восстановления и реагирования на национальном уровне .
Эти партнерства , совместно с другими партнерствами между государственным и частным секторами , существующими на территории США , оказывают значительное содействие усилиям отдельных компаний , сообществ и правительств штатов и вместе с ними поддерживают общие усилия на национальном уровне , направленные на обеспечение устойчивости и безопасности инфраструктуры . В конечном счете , эти партнерства дали компаниям и правительству возможность эффективно управлять затратами , лучше понимать инфраструктурные риски , а также создать более жизнестойкую и безопасную отрасль .
3.7 Исследование конкретной ситуации : некоторые примеры партнерских отношений между государственным и частным секторами в области кибербезопасности в США
Национальный месячник повышения осведомленности в области кибербезопасности
Национальный месячник повышения осведомленности в области кибербезопасности (NCSAM) и кампания под названием " Остановись . Подумай . Объединяйся ." являются отличными примерами информационно разъяснительной , образовательно просветительской программы , проводимой
25
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности совместно государственным и частным секторами . Эта кампания нацелена на просвещение , вовлечение общественности Америки и улучшение ее возможностей для усиления безопасности граждан в онлайновом пространстве ; она также побуждает людей к повышенной бдительности и формированию разумных привычек для обеспечения большей безопасности в онлайновом пространстве . Каждый октябрь NCSAM создает платформу для просвещения общественности , благодаря которой партнеры из государственного и частного секторов имеют возможность повышать уровень осведомленности граждан в отношении проблем кибербезопасности во всех регионах США .
NCSAM направлен не только на киберугрозы и факторы уязвимости , на которые следует обращать внимание отдельным людям , компаниям , правительственным органам и сообществам , но также и на многие простые меры , которые могут принимать обычные граждане для снижения киберрисков как в отношении себя лично , так и в отношении государства в целом . Прочное партнерство между государственным и частным секторами является существенным в контексте таких усилий , так как для распространения идей NCSAM среди более широкого круга групп заинтересованных лиц , на которых ориентирована эта кампания , необходимы ресурсы и экспертные знания как правительственных органов , так и представителей частного сектора .
Большое число партнеров из частного сектора участвовали в целенаправленной образовательной деятельности в рамках взаимодействия и сотрудничества с Министерством национальной безопасности США и другими федеральными ведомствами . К примерам такой деятельности относятся конференции по вопросам безопасности , проводимые представителями сектора , а также большое количество образовательно просветительских мероприятий , ориентированных как на корпоративных сотрудников , так и на клиентов .
Министерство национальной безопасности и другие федеральные ведомства , такие как Агентство национальной безопасности (NSA) и Министерство юстиции , приняли активное участие в мероприятиях месячника NCSAM. Лидеры частного сектора также играли существенную роль в распространении необходимой информации и провозглашении важности повышения уровня осведомленности в области кибербезопасности для широкой общественности . В результате этого сотрудничества между государственным и частным секторами в рамках последнего Национального месячника повышения осведомленности в области кибербезопасности его идеи были донесены приблизительно до 175 миллионов человек
19
.
Серия практических мероприятий " Кибершторм "
Партнерские отношения между государственным и частным секторами в США также имеют центральное значение для готовности страны , принятия мер реагирования и восстановительной работы , что было наглядно показано благодаря совместной работе , осуществляемой в рамках серии практических мероприятий под названием " Кибершторм ".
Практические мероприятия " Кибершторм ", которые проводятся два раза в год с начала 2006 года , направлены на то , чтобы проверить , как правительство и частный сектор работают сообща при реагировании на ряд разных одновременных кибератак . Практическое мероприятие
" Кибершторм ІІІ ", проведенное в 2010 году , было сосредоточено на сотрудничестве и взаимодействии между государственным и частным секторами . В мероприятии " Кибершторм ІІІ " приняли участие министерства , в том числе министерства торговли , обороны , энергетики , национальной безопасности , юстиции , транспорта и финансов ; 11 штатов , 12 иностранных партнеров ; 60 частных компаний , представляющих такие секторы важнейшей инфраструктуры , как банковское дело и финансы , химическая промышленность , связь , сооружение плотин , оборонная промышленность , информационные технологии , ядерная энергетика , транспорт , водоснабжение , а также соответствующие секторные координационные советы (SCC) и центры анализа и обмена
19 http://www.staysafeonline.org/resource-document/ncsam-2010-short-report .
26
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности информацией в сфере ИТ (ISAC). Сценарии атак , использованные в ходе " Кибершторма ІІІ ", подчеркнули критическую важность партнерского сотрудничества между государственным и частным секторами , создав условия , которые требовали прямого сотрудничества правительства как с частными компаниями , попавшими под воздействие атак , так и с частными компаниями , которые предоставляют решения по снижению последствий атак .
В ходе мероприятия " Кибершторм ІІІ " также применялся Национальный план реагирования на киберинциденты (NCIRP), в котором формально установлены функции , обязанности , полномочия и возможности совместного реагирования на киберинциденты и управления ими не только в отношении федерального правительства , но также и частного сектора . Основным аспектом NCIRP является UCG. UCG – это координационный орган , в который входят лица , ответственные за принятие решений на высшем уровне , из государственного и частного секторов , которые как выполняют постоянные функции , так и привлекаются для работы над отдельными инцидентами .
UCG является рабочей группой , подчиненной Консультативному совету по вопросам партнерства в сфере важнейшей инфраструктуры (CIPAC), и функционирует в секторе связи ( см . раздел 5.2).
Кроме того , " Кибершторм ІІІ " впервые позволил применить и испытать возможности
Национального центра по вопросам интеграции кибербезопасности и коммуникаций (NCCIC).
NCCIC – круглосуточно работающий центр , который отвечает за разработку Общей оперативной картины (COP) киберпространства и коммуникаций в федеральном правительстве США и в частном секторе . На протяжении практического мероприятия " Кибершторм " NCCIC выступал в качестве центрального пункта координации сотрудничества и обеспечения ситуационной осведомленности для всех представителей государственного и частного секторов , который содействовал координации , необходимой для смягчения последствий и обеспечения защиты от целого ряда атак в разных секторах .
Успех NCCIC значительно зависит от добровольного вклада , возможностей и ресурсов его партнеров . В одном месте с NCCIC находятся UCG, шесть центров кибербезопасности , подчиненных федеральному правительству , Национальный координационный центр (NCC), Группа реагирования на нарушения компьютерной защиты в сфере систем промышленного контроля (ICS-CERT), Отдел разведки и анализа Министерства национальной безопасности , другие федеральные министерства и ведомства , а также правительственные органы уровня штата , местные , племенные и территориальные правительственные органы , партнеры из частного сектора и международные партнеры .
На основании ряда соглашений министерство национальной безопасности обеспечивает себе возможность максимально эффективно привлекать экспертов из частного сектора , размещая их на этаже , на котором находится NCCIC. В результате этого аналитики в сфере информационных технологий из частного сектора и правительство могут эффективнее координировать свои действия , совместно использовать информацию , принимать меры реагирования и осуществлять восстановление после киберинцидентов .
Международный консультативный совет (OSAC)
Еще одним примером партнерства между государственным и частным секторами является
Международный консультативный совет при Госдепартаменте США , который способствует сотрудничеству и совместному использованию информации в области оперативной безопасности между Государственным департаментом и представителями Американского частного сектора по всему миру .
Частный сектор является основной аудиторией , на которую направлены отчеты и бюллетени , посвященные глобальным проблемам безопасности , а также одним из ключевых участников в структуре управления совета , который делает важный вклад в разработку продуктов OSAC.
Исполнительный комитет OSAC (30 из 34 его членов являются частными корпорациями ) составляет программу работы этой организации и проводит собрания один раз в квартал для решения текущих вопросов в области безопасности . К таким вопросам относятся транснациональные преступления и безопасность корпоративной информации .
27
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Совет использует экспертные технические знания , получаемые от частного сектора , для инициирования и внедрения специальных проектов . К компаниям , которые выступают в качестве технических консультантов Исполнительного комитета , относятся 3M, CIGNA, Google, а также
Verizon. На данный момент OSAC насчитывает свыше 7500 членов – компаний , академических , религиозных и неправительственных организаций . Сотрудничество и координация между частным сектором и Государственным департаментом дает OSAC возможность обеспечивать ситуационную осведомленность своих членов и предоставлять им ценную информацию и стратегии снижения рисков в процессе решения целого комплекса проблем , связанных как с физическими угрозами , так и киберугрозами . OSAC рассматривает , в частности , проблемы глобальных киберрисков в своих бюллетенях по вопросам кибербезопасности , а также в других своих продуктах .
Группы реагирования на нарушения компьютерной защиты (CERT)
Используя ресурсы как государственного , так и частного секторов , группы реагирования на нарушения компьютерной защиты (CERT) обеспечивают возможность кибермониторинга и ситуационной осведомленности почти в реальном времени , а также возможности кибертревоги и киберпредупреждения для широкого круга заинтересованных лиц , в том числе поставщиков услуг в сфере ИТ , федеральных , уровня штата и местных правительственных органов , предприятий , академических организаций и отдельных граждан . Так как количество групп CERT ( или групп реагирования на инциденты в области кибербезопасности (CIRT), как их также называют ) быстро увеличивается , глобальное сообщество CERT усиливает совместную работу , направленную на решение проблемы киберрисков , которая по своей природе не имеет границ .
В Соединенных Штатах Америки группой CERT национального уровня является US-CERT. US-CERT тесно сотрудничает с другими правительственными организациями и представителями частного сектора для координации мер реагирования на угрозы кибербезопасности . Координационный центр групп CERT (CERT/CC) в Университете Карнеги Меллон осуществляет научные исследования в этой области и разрабатывает передовую практику по созданию возможностей обеспечения кибербезопасности в долгосрочной перспективе .
US-CERT предоставляет целый ряд услуг , в том числе информационные релизы , посвященные актуальным вопросам безопасности , уязвимостям и вторжениям , совместно работает с поставщиками программного обеспечения над созданием корректировок , направленных на устранение уязвимостей в области безопасности , реагирует на киберинциденты , а также формирует передовой опыт персонального пользования компьютером . Кроме того , US-CERT выступает в качестве трамплина для непрерывного сотрудничества между государственным и частным секторами , предоставляя отдельным лицам и компаниям механизм прямой связи с федеральным правительством .
Пример национальной группы CERT США и распространение других CERT по всему земному шару указывает на их потенциал для обеспечения сотрудничества государственного и частного секторов , которым можно управлять и которое является целенаправленным , но также может выходить за пределы государственных границ с целью развития глобальной кибербезопасности на основе прочных взаимосвязей . Киберсистемы и киберпроцессы объединяют пользователей по всему миру , размывают границы между государствами и юрисдикциями , снижая их значимость . Скорость и подвижность киберпространства означает , что государственный и частный секторы должны работать сообща на глобальном уровне , чтобы обеспечить адекватный уровень кибербезопасности для зависящих от нее людей , правительств , компаний и инфраструктуры . Такое сотрудничество необходимо как минимум для решения задач по атрибуции и соблюдению закона , свойственных анонимному и международному киберпространству . CERT позиционируются как неотъемлемая составляющая будущих усилий по обеспечению кибербезопасности на мировом уровне , поскольку они уже продемонстрировали продуктивную модель работы , в которой государственный и частный секторы , а также разные национальные и региональные сообщества воспринимают друг друга как совместных заинтересованных лиц в экосистеме киберпространства , которую они надеются сделать более безопасной .
28
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Партнерские отношения между государственным и частным секторами являются существенной составляющей процесса разработки и поддержания успешной реализации программы по защите
CII. Ни государство , ни частный сектор не могут самостоятельно эффективно и всесторонне управлять рисками CII, а также поддерживаемыми такой инфраструктурой критически важными функциями в сфере национальной безопасности , экономики и в общественной сфере . В то же время , совместная и активная работа в рамках партнерства объединяет воедино все ресурсы , улучшает процесс совместного использования информации и связь , усиливает меры реагирования на инциденты и увеличивает способность партнеров управлять рисками на всех уровнях и на протяжении всего жизненного цикла процесса управления рисками . На протяжении прошлого десятилетия Соединенные Штаты Америки создали модель партнерства между государственным и частным секторами , которая обеспечивает надежную основу для национальной программы по защите важнейшей информационной инфраструктуры . По мере того , как применение этой и других моделей партнерства между государственным и частным секторами расширяется , выходит за границы одного государства и проникает в другие географические регионы , стратегические и оперативные конечные результаты таких отношений усиливают потенциал безопасности на национальном уровне , а также создают по настоящему глобальную архитектуру управления рисками в области CII.
4 Передовой опыт по обеспечению национальной кибербезопасности : создание национального потенциала для управления компьютерными инцидентами
4.1 Введение
Для обеспечения национальной безопасности и экономической жизнеспособности необходимо признать , что правительство страны не отвечает за все риски и их снижение . Эту ответственность разделяют национальные и местные правительственные органы и их структуры , собственники и операторы важнейшей инфраструктуры , академические организации и граждане . Новые и формирующиеся риски необходимо эффективно определять , анализировать и снижать с целью обеспечения безопасности граждан в их повседневной жизни . Такие мероприятия по управлению рисками могут , среди прочего , включать в себя обеспечение непрерывности управления , защиту производства электроэнергии , предоставление услуг реагирования на чрезвычайные ситуации или обеспечение надежной цепочки поставок . Все это в современной экономике в значительной степени зависит от информационных технологий . Руководители стран все чаще осознают , что безопасность информации и информационной технологии является государственным интересом в сфере безопасности , который следует закрепить на законодательном уровне и включить в национальную стратегию развития . Среди стратегий усиления такой безопасности основное место занимает создание конкретных оперативных возможностей , таких как мероприятия по управлению инцидентами , которые обычно проводит национальная группа реагирования на инциденты в области кибербезопасности .
4.2 Значимость национальной стратегии кибербезопасности
Создание национальной стратегии кибербезопасности в идеале является первым шагом на пути к внедрению национальной программы кибербезопасности . Национальная нормативная база должна объяснить важность кибербезопасности , помочь заинтересованным сторонам понять свою роль и установить цели и приоритеты . Национальная стратегия должна включать в себя базовые меры по обеспечению безопасности ( такие как повышение уровня осведомленности ) и подчеркивать партнерские отношения между заинтересованными сторонами на национальном уровне . Национальная стратегия также может служить базой для разработки законов , касающихся кибербезопасности , например , в таких сферах , как компьютерная преступность , защита интеллектуальной собственности и частной жизни . И наконец , национальная стратегия должна
29
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности обеспечить баланс между необходимостью обеспечения безопасности и необходимостью соблюдения прав граждан , а также защиты культурных ценностей и норм страны .
Кроме того , в такой стратегии необходимо озвучить необходимость конкретных оперативных возможностей , и национальная группа CIRT должна быть осознанно приведена в соответствие со стратегическими целями национальной кибербезопасности , чтобы ее деятельность способствовала достижению этих целей . Хотя в идеале создание национальной стратегии и является первым шагом , во многих случаях это может быть неосуществимо , что может быть связано со сложностью согласования стратегии с большим количеством заинтересованных сторон . Кроме того , национальные лидеры могут посчитать , что внедрение возможности управления инцидентами является более неотложной потребностью , чем разработка полностью интегрированной стратегии .
В таких случаях создание эффективной стратегии может иметь место наряду с созданием возможности управления инцидентами . В любом случае , спонсор или сторонник национальной группы CIRT должен работать совместно с правительством для того , чтобы гарантировать принятие во внимание национальных потребностей и приоритетов на протяжении всего процесса создания и управления национальной CIRT.
4.3 Ключевые заинтересованные стороны национальной кибербезопасности
К области кибербезопасности причастны многие заинтересованные лица . В данном разделе содержится общее описание функций и обязанностей типичных национальных заинтересованных лиц и того , каким может быть их вклад в разработку национальной программы управления кибербезопасностью . Эти функции не являются уникальными и присущими только операциям , осуществляемым национальной группой CIRT; многие заинтересованные лица , описанные здесь , могут взаимодействовать непосредственно с национальной CIRT. Более того , национальная группа
CIRT может усилить свою роль и оказывать содействие в развитии культуры безопасности путем активного взаимодействия с такими заинтересованными лицами .
На правительство возложено много функций и обязанностей по укреплению национальной кибербезопасности . Его основной функцией является определение национальной стратегии и нормативной базы , описывающей структуру процесса разработки и осуществления мероприятий на национальном уровне . Кроме того , правительство обязано участвовать совместно со всеми заинтересованными лицами в работе по обнаружению , анализу и снижению рисков . Правительство также играет ключевую роль в поддержании международных отношений и кибербезопасности , в частности , в вопросах работы с соглашениями в области кибербезопасности и гармонизации национального законодательства в сфере борьбы с киберпреступностью .
Исполнительная власть
В большинстве стран исполнительная власть , как правило , отвечает за обеспечение выполнения законов , а также за обеспечение безопасности . В нее также могут входить вооруженные силы .
Исполнительная власть обычно финансирует национальную программу кибербезопасности .
Исполнительная ветвь власти должна принимать меры для обеспечения жизнестойкости программы кибербезопасности и наличия у нее необходимых ресурсов ( например , полномочий , персонала , финансовых средств и т . д .).
Законодательная власть
Законодательная ветвь власти работает над созданием эффективных законов , способствующих формированию культуры кибербезопасности . Законодательная власть должна принимать меры для обеспечения наличия у национальной программы кибербезопасности базы , необходимой для ее успешной реализации , и эти меры могут заключаться как в выделении ресурсов или финансовых средств , так и в принятии законов , предусматривающих выполнение национальной стратегии , законов о неприкосновенности частной жизни , в сфере гражданского права , а также законов , определяющих уголовно наказуемые действия .
30
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Судебная власть
Судебная власть и правовые институты страны играют важную роль в национальной стратегии кибербезопасности . В частности , их роль заключается в обеспечении прозрачности и последовательности законов , которые могут влиять на кибербезопасность . К таким законам , среди прочего , относится и закон о неприкосновенности частной жизни . Кроме того , сотрудничая со своими коллегами из других стран , правовое сообщество может способствовать ограничению возможностей , позволяющих преступникам и другим злоумышленникам использовать различия правовых юрисдикций .
Правоохранительные органы
Правоохранительные органы обеспечивают выполнение законодательства в сфере кибербезопасности . Кроме того , они могут служить ценным источником информации относительно совершения злоумышленных деяний , злоупотребления уязвимостью и способов осуществления атак . Совместное использование такой информации позволяет собственникам и операторам важнейшей инфраструктуры совершенствовать практику обеспечения кибербезопасности и управление ею на основе опыта других . И наконец , правоохранительные органы , сотрудничая со своими коллегами из других стран в вопросах преследования и задержания преступников , влияющих на функционирование систем вне зависимости от географических границ , могут повышать уровень кибербезопасности .
Разведывательные органы
Разведывательные органы играют важную наблюдательную и предупредительную роль в обеспечении функционирования технической инфраструктуры . Они обычно осуществляют мониторинг различных источников информации относительно угроз инфраструктуре страны и ее уязвимых мест . Такую информацию необходимо обрабатывать и передавать национальной группе реагирования на компьютерные инциденты , а если необходимо – и собственникам инфраструктуры . Это помогает обеспечить эффективное прогнозирование , распознавание и устранение атак .
Собственники и операторы важнейшей инфраструктуры
Общим определением важнейшей инфраструктуры является следующее :
Системы и активы , как физические , так и виртуальные , которые настолько жизненно важны для страны , что непригодность или разрушение таких систем и активов имело бы подрывающее воздействие на общую безопасность , безопасность национальной экономики , состояние здоровья или безопасность населения страны как по отдельности , так и в комплексе .
Собственники и операторы важнейшей инфраструктуры занимают одно из ключевых мест среди заинтересованных сторон в области общей кибербезопасности страны . Операторы инфраструктуры , как правило , понимают , какое воздействие на отрасль имеют угрозы в области безопасности и ее уязвимые места . Кроме того , операторы инфраструктуры обязаны ежедневно выполнять рекомендации или предписания правительства страны и других органов власти . Они должны находить баланс между необходимостью обеспечить безопасность и необходимостью достичь иногда противоречащие этому цели – обеспечение эффективности и доходности .
Благодаря своему уникальному положению собственники и операторы инфраструктуры часто обладают ценной информацией , начиная от информации об актуальных проблемах в сфере программного обеспечения и кибератаках , с которыми они могут сталкиваться , и заканчивая эффективностью контрмер или подходов к снижению рисков . Кроме того , они являются основным потребителем информации об уязвимых местах в системе обеспечения безопасности . И наконец , имея практический опыт по выполнению стандартов в области безопасности и соблюдению законодательства , собственники и операторы могут сделать ценный вклад в разработку действенных и реалистичных норм и законов .
31
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Поставщики
Поставщики информационных технологий и услуг способствуют обеспечению безопасности путем осуществления исследовательской деятельности и принятия непрерывных мер по снижению степени уязвимости . Поставщики часто могут служить источником информации об уязвимости ; они обеспечивают пользователей актуальной информацией и техническими решениями по сокращению факторов уязвимости . В идеале , поставщики будут сотрудничать с национальной группой реагирования на компьютерные инциденты и будут помогать расширять аналитический потенциал и потенциал в сфере решения проблем , который необходим национальной группе CIRT для реагирования на инциденты . Совместное использование информации поставщиками , их основными клиентами и национальной группой CIRT может создать партнерские отношения , направленные на непрерывное улучшение обеспечения безопасности технологий и услуг .
Академические организации
Учебные учреждения играют одну из основных ролей в формировании человеческого капитала и технических навыков решения сложных задач , к которым относятся и различные аспекты обеспечения кибербезопасности . Представители академических организаций проводят научные исследования , улучшающие технические , правовые и регуляторные аспекты кибербезопасности .
И наконец , во многих странах учебные учреждения продвинули и создали на своей базе национальные группы реагирования на компьютерные инциденты .
Правительства иностранных государств
Государства должны быть заинтересованы в содействии предотвращению каких бы то ни было атак в области кибербезопасности на соседние государства и своих союзников . Ввиду различных причин , в том числе экономического , политического и инфраструктурного характера , необходимо устанавливать партнерские отношения для обсуждения глобальных рисков и факторов взаимозависимости . Союзники и соседние государства могут послужить ценным источником информации и способствовать предотвращению киберугроз и обеспечению готовности к ним на региональном уровне .
Граждане
Граждане полагаются на все заинтересованные стороны в вопросе обеспечения национальной безопасности и стабильного функционирования важнейшей инфраструктуры . Граждане страны заинтересованы в эффективной реализации национальной стратегии кибербезопасности и являются неотъемлемой частью этой стратегии .
4.4 Особая роль национальной группы реагирования на компьютерные инциденты
Национальные группы реагирования на компьютерные инциденты , а также схожие с ними организации , как нельзя лучше играют роль важнейших компонентов национальной стратегии кибербезопасности
20
. Во первых , национальные группы реагирования на компьютерные инциденты дают возможность реагировать на компьютерные инциденты , считающиеся национально значимыми
21
. Поскольку они ежедневно собирают и анализируют информацию о компьютерных инцидентах , национальные группы реагирования на компьютерные инциденты
20
См . Приложение A для ознакомления с дополнительными источниками информации о планировании и создании национальной группы CIRT.
21
Вопрос относительно того , какие инциденты достаточно опасны , чтобы считаться национально значимыми , рассматривается более детально в разделе 3.3.1.
32
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности являются превосходным источником получения опыта и другой информации , способной помочь заинтересованным сторонам снизить риски . Кроме того , национальные группы реагирования на компьютерные инциденты , взаимодействуя с заинтересованными сторонами из частного и государственного секторов , могут помочь активизировать содержательное обсуждение вопросов кибербезопасности на национальном уровне , а также соответствующую информационно разъяснительную деятельность . Далее приводится обсуждение роли национальных групп реагирования на компьютерные инциденты , хотя и не каждая организация будет осуществлять такие функции или выполнять все эти задачи . Тем не менее , приведенные функции показывают , как национальная группа CIRT обычно поддерживает национальную безопасность .
4.5 Анализ компьютерных инцидентов для выявления серий вторжений
–
–
–
Серия вторжений – это серия компьютерных инцидентов , у которых схожие способы осуществления или схожие действующие лица . Работа по определению того , что в такую деятельность вовлечены схожие лица , может включать в себя применение разных аналитических подходов , и она тесно связана с определением способа осуществления таких инцидентов . Для определения того , что разные атаки имеют один и тот же способ осуществления , может понадобиться определить направленность такой атаки ( электронная почта , ложные веб страницы и т . д .), схожие характеристики вредоносного программного обеспечения или маршрутизацию украденной информации ( например , с использованием тех или иных IPадресов прокси ).
Выявление серий вторжений – это , по существу , расширенная версия корреляционного анализа , с которым знакомо большинство специалистов по устранению компьютерных инцидентов .
Деятельность в сфере инцидентов , как правило , разделяется на несколько категорий , в частности преступная деятельность деятельность , осуществляемая неопределенная деятельность другими странами
Такая информация и результаты анализа могут впоследствии направляться другим органам на национальном уровне для принятия мер в зависимости от проблем и задач в области обеспечения безопасности страны .
Использование конфиденциальной информации , относящейся к правоохранительной или разведывательной деятельности
Учитывая их миссию на национальном уровне , тесное взаимодействие с правительством страны , а также ежедневно выполняемую работу по обеспечению безопасности конфиденциальной информации , национальные группы CIRT могут в своей аналитической деятельности использовать конфиденциальную информацию , получаемую от национальных разведывательных или правоохранительных органов . Использование такого рода информации может способствовать деятельности национальных групп CIRT, но для этого необходимо формирование и поддержание прочных доверительных отношений между национальными группами CIRT и правительством , а также принятие активных мер по обеспечению информационной безопасности .
Источник информации правительства страны по вопросам кибербезопасности
Национальная группа CIRT может служить ценным источником информации для правительства страны по техническим , нормативным и правовым вопросам , связанным с кибербезопасностью .
Она может консультировать правительство относительно жизнеустойчивости или безопасности систем , которые правительство планирует установить или внедрить . Кроме того , национальная группа CIRT может помогать правительственным органам готовить оповещения и бюллетени по техническим вопросам , отчеты о примерах передового опыта , а также другие информационные сообщения .
33
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Оценка национальной готовности и кризисного регулирования в области кибербезопасности
Национальная группа CIRT может помогать национальным лидерам и ключевым заинтересованным сторонам тестировать и измерять уровень способности противодействовать кибератакам и критическим ситуациям в области кибербезопасности . Такая помощь может предоставляться в форме технической поддержки или аналитической информации относительно способов планирования и проведения тех или иных практических мероприятий либо в форме информации о текущей ситуации в области киберугроз или реалистичности проведения тех или иных практических мероприятий .
Оповещение и предупреждение на национальном уровне
Большинство существующих национальных групп CIRT выполняют функцию оповещения и предупреждения об опасностях на национальном уровне . Эта функция предусматривает оповещение ключевых сообществ страны о различных проблемах , начиная с уязвимости того или иного программного обеспечения или систем и заканчивая эволюцией способов осуществления преступной деятельности или угрозами , связанными с использованием вредоносного программного обеспечения .
Формирование организационного потенциала групп CIRT
Национальные группы CIRT играют одну из ключевых ролей в формировании потенциала в области обеспечения кибербезопасности . В частности , они могут оказывать группам CIRT при различных организациях страны различное содействие , включая предоставление консультаций , проведение профессиональной подготовки , подготовку информации о примерах передового опыта , а в некоторых случаях – предоставление персонала .
Доверенный контактный центр и национальный координатор
Национальные группы CIRT зачастую могут выполнять роль национального доверенного контактного центра по вопросам кибербезопасности . Так , национальные группы часто обрабатывают запросы других стран или иностранных организаций относительно вредоносной деятельности , исходящей от использования компьютеров или систем внутри страны . Действуя подобным образом , национальные группы CIRT часто выполняют роль координатора в интересах национальных организаций , пытающихся устранить инциденты в области кибербезопасности .
Выступая в качестве такого органа , национальные группы CIRT обычно не анализируют и не устраняют сами инциденты , а помогают организациям , сталкивающимся с инцидентами в области безопасности , направляя их к информации , услугам или другим лицам , которые могут им помочь .
4.6 Формирование культуры кибербезопасности
Национальная группа CIRT может способствовать формированию культуры кибербезопасности в стране . Формирование культуры кибербезопасности предполагает осуществление множества видов деятельности , включая повышение уровня осведомленности и знаний частных лиц относительно онлайновых рисков , повышение уровня знаний заинтересованных сторон относительно воздействия виртуальной деятельности на их организации , а также последствия деятельности таких организаций для кибербезопасности и информационной безопасности .
4.7 Стратегические и способствующие цели в контексте формирования потенциала для управления инцидентами
В данном разделе рассматриваются стратегические и способствующие цели , которые следует учесть при создании национальной группы CIRT. Эта информация представляет собой обзор факторов и целей , необходимых для обеспечения поддержки в сфере внедрения национальной стратегии кибербезопасности , а также для обеспечения соответствия национальной группы CIRT
34
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности такой стратегии . Способствующие цели – это те или иные действия , способствующие достижению стратегических целей
22
. Существуют следующие четыре стратегические цели в контексте создания национальной группы CIRT:
– планирование и создание потенциала для централизованного управления компьютерными инцидентами ( национальная группа CIRT);
–
– обеспечение общей ситуационной осведомленности ; управление киберинцидентами ;
– содействие внедрению национальной стратегии кибербезопасности .
Каждая из этих четырех стратегических целей объясняет основные элементы национальной группы
CIRT, и все они должны быть тщательно учтены спонсором национальной группы CIRT.
Стратегические цели – это основные , долгосрочные требования , выполнение которых способствует созданию потенциала , необходимого для реагирования на киберинциденты и усиления информационной безопасности и кибербезопасности на национальном уровне . После каждой стратегической цели следуют способствующие цели . Способствующие цели помогают спонсору создавать потенциал . Они объясняют более конкретные факторы и меры , необходимые для достижения стратегических целей . Руководящие указания , предусмотренные для достижения каждой цели , отличаются в зависимости от степени сформированности той или иной темы .
Некоторые темы , такие как устранение инцидентов , уже давно сформировались , в то время как другие темы , такие как внедрение национальной стратегии кибербезопасности путем создания национальных групп CIRT, все еще формируются .
Настоящий документ не направлен на предоставление инструкций относительно того , как осуществлять те или иные действия . Он указывает на уникальные требования к созданию потенциала , необходимого для управления киберинцидентами . И наконец , в заключение каждого раздела , посвященного той или иной стратегической цели , приводится перечень дополнительных ссылок и учебных материалов . Эта информация не является исчерпывающей , отсылая читателя к дополнительным учебным и информационным ресурсам
23
.
Стратегическая цель : планирование и создание потенциала для централизованного управления компьютерными инцидентами ( национальная группа CIRT)
Перед тем , как начать осуществлять управление первыми инцидентами в области кибербезопасности , необходимо сформировать и организационно оформить соответствующий потенциал , например , создав национальную группу CIRT. Наличие единого источника или контактного центра для реагирования на компьютерные инциденты и решения проблем в области кибербезопасности несет в себе ряд преимуществ . Единая такая организация служит для заинтересованных сторон признанным источником информации . Национальная группа CIRT может стать для правительства средством согласованного , последовательного обмена сообщениями , касающимися проблем кибербезопасности . В случае функционирования единой национальной группы CIRT правительственные ведомства будут иметь источник технической информации , необходимой для работы в их конкретном функциональном направлении . И наконец , национальная группа CIRT может стимулировать процесс обсуждения проблем в области кибербезопасности и содействовать международному сотрудничеству в этой области . В некоторых странах уникальные условия могут требовать присутствия нескольких национальных групп CIRT или даже осуществления функции управления инцидентами сразу несколькими организациями . И это
22
См . Приложение B для ознакомления с дополнительными источниками информации об обеспечении ситуационной осведомленности и управлении инцидентами .
23
См . Приложение C для ознакомления с дополнительными источниками информации о содействии внедрению национальной стратегии кибербезопасности .
35
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности может быть вполне приемлемо . В данном документе содержатся общие руководящие указания , которые не учитывают конкретных организационных особенностей .
Создание и функционирование национальной группы CIRT должно соответствовать определенным основным принципам . Эти принципы помогают лидерам принимать решения в условиях ограниченных ресурсов и существования зачастую сложных проблем . Основными принципами формирования потенциала для управления инцидентами на национальном уровне являются следующие :
– Высочайший уровень технических возможностей . Национальная группа CIRT должна иметь лучшие возможности , какие только можно создать ввиду доступных ресурсов . Это важно , так как национальная группа CIRT стремится стать надежным лидером в стране в сфере обеспечения компьютерной безопасности . Несмотря на то , что стремление достичь высочайшего уровня технических возможностей может показаться вполне очевидным , здесь имеют место некоторые нюансы , касающиеся создания соответствующих возможностей в условиях ограниченных ресурсов . Например , речь идет о предпочтении создания одной или двух выдающихся возможностей в противовес попыткам внедрить целый ряд возможностей , не обеспеченных соответствующими кадровыми или финансовыми ресурсами . Необходимо сделать акцент на технической конкурентоспособности .
– Доверие . Почти по своему определению деятельность национальной группы CIRT предусматривает работу с информацией , являющейся конфиденциальной или потенциально деликатной для заинтересованных сторон . Доверие необходимо заслужить и сохранять . Правильное отношение к конфиденциальной информации и ее защита являются важным аспектом процесса формирования и поддержания такого доверия .
–
–
Эффективность использования ресурсов . Этот принцип означает , что доступные ресурсы необходимо использовать максимально эффективно . Данный принцип более детально рассмотрен ниже , но уже сейчас можно сказать , что он предусматривает непрерывную оценку того , какие угрозы и инциденты представляют настоящий интерес для общей стратегии национальной группы CIRT и для сообщества , на благо которого работает группа .
Сотрудничество . Национальная группа CIRT должна как можно более полноценно сотрудничать с заинтересованными сторонами на национальном уровне и другими национальными группами CIRT для обмена информацией и координации процесса решения проблем , которые нередко бывают очень сложными .
Залогом успешной деятельности национальной группы CIRT являются достаточное финансирование и выделение ресурсов . Перечисленные здесь способствующие цели призваны помочь спонсору , причастному к формированию национального потенциала для управления инцидентами , создать такой потенциал максимально эффективно . Далее рассмотрим способствующие цели процесса планирования и создания национального потенциала для управления инцидентами .
Способствующая цель : определение спонсоров и принимающих сторон
Спонсору национальной группы CIRT следует определить других спонсоров и вероятные принимающие стороны для национальной группы CIRT. Другие спонсоры могут предоставить дополнительное финансирование и поддержку проекта по учреждению национальной группы CIRT.
Несомненно , также следует определить физическое местонахождение национальной группы CIRT, т . е . место деятельности на базе принимающего спонсора . В некоторых странах в качестве такого принимающего спонсора выступают академические учреждения . Университеты традиционно являются местом осуществления деятельности национальных групп CIRT, так как некоторые аспекты их основной миссии , а именно служение на благо общества и проведение исследований и анализа сложных проблем , совпадают с миссией национальной группы CIRT. В то же время , если группа работает на базе университета , она может не обладать адекватными ресурсами или полномочиями для внедрения решений или принятия определенных мер ; в таком случае национальная группа
36
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности достигает успеха в своей деятельности скорее за счет влияния на окружающих посредством осуществления полезной работы .
В поддержке национальной группы CIRT или предоставлении ей базы для осуществления своей деятельности могут быть заинтересованы разные учреждения и правительственные ведомства .
Несмотря на то , что приветствуется оказание любой поддержки , в процессе получения помощи от некоторых заинтересованных лиц могут присутствовать определенные подводные камни .
Национальная группа CIRT должна сосредотачивать свои усилия на том , чтобы беспристрастно служить всему сообществу , не оказывая преференций какой либо отдельной заинтересованной стороне . Получение спонсорской помощи от организации , тесно связанной с той или иной заинтересованной стороной или отраслью , может ограничить предполагаемые возможности национальной группы CIRT служить всему сообществу . Такую возможность нужно исследовать , например , когда деятельностью национальной группы CIRT управляет то или иное коммерческое предприятие . В других случаях вовлечение некоторых спонсирующих организаций может негативно сказаться на готовности главных партнеров совместно использовать информацию . Некоторые партнеры , например , могут не желать обмениваться информацией , если главным спонсором национальной группы CIRT выступает правоохранительная организация . Кроме того , принимающий спонсор , на базе которого осуществляет свою деятельность национальная группа CIRT, должен иметь уровень финансирования , достаточный для гарантирования финансовой стабильности , обеспечивающей непрерывную деятельность группы .
Способствующая цель : определение ограничений
Спонсор должен определить , какие ограничения могут влиять на создание и функционирование национальной группы CIRT. Типичными ограничивающими факторами являются бюджет , наличие квалифицированных кадров и физическая инфраструктура , которую можно использовать в деятельности национальной группы CIRT. Вопрос ограничений оказывает существенное влияние на способность национального правительства создать потенциал для управления инцидентами и обычно является ключевым стимулом при принятии решений относительно того , какие конкретные услуги будут предложены сообществу . Например , создание функции анализа вредоносного ПО или глубокого анализа пакетов в национальной группе CIRT может быть непрактичным или нежелательным шагом . Ввиду существующих ограничений , более реалистичным подходом может стать построение отношений с другими национальными или иностранными организациями , уже имеющими такую возможность .
Ограничения тесно связаны с тремя из описанных выше основных принципов деятельности национальной группы : высочайший уровень технических возможностей , доверие и эффективность использования ресурсов . Для достижения высочайшего уровня технических возможностей необходимо четкое понимание кадровых и бюджетных ресурсов , доступных для поддержания определенных видов деятельности национальной группы CIRT. Этот принцип может диктовать необходимость делать акцент на эффективном предоставлении основных услуг , а не на попытке предоставлять широкий спектр услуг . Кроме того , существование ограничений может придать особую значимость координации управления инцидентами в противовес осуществлению управления каждым отдельным инцидентом внутри отдельной организации . Чтобы заслужить доверие ключевых партнеров , необходима стабильность работы и кадровых ресурсов , а также способность защищать конфиденциальную информацию ; и первое , и второе , и третье зависит от ограниченности ресурсов . Наконец , для эффективного использования ресурсов необходимо понимание того , какие ресурсы есть в наличии .
Способствующая цель : определение структуры национальной группы CIRT
В зависимости от возложенных на нее функций по обеспечению национальной кибербезопасности деятельность национальной группы CIRT может осуществляться в разных режимах , в частности : как независимая деятельность с поддержанием партнерских отношений в отдельных направлениях деятельности ; как совместная деятельность с национальными поставщиками электросвязи ; или как неотъемлемая часть национальной стратегии военной обороны . Чтобы обеспечить надлежащую
37
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
– структуру процесса обнаружения и выявления инцидентов , управления ими и реагирования на них , следует учесть ряд факторов . Представленный ниже список вопросов , на которые следует ответить при структурировании указанного процесса , имеет примерный характер и не является исчерпывающим :
– Правительственные органы национальной группы CIRT? какого уровня осуществляют управление деятельностью
Кто финансирует национальную группу CIRT и кто утверждает ее бюджет ?
Существует ли независимый орган , который осуществляет надзор за деятельностью национальной группы CIRT?
– Какие функции и обязанности возложены на партнеров , участвующих в деятельности национальной группы CIRT?
Наряду с указанными выше основными принципами , при решении вопроса организационной формы национальной группы CIRT может иметь смысл принять во внимание несколько дополнительных соображений :
–
–
–
–
Какая структура даст национальной группе CIRT возможность лучше всего решить проблемы в связи с совместным использованием информации , которые беспокоят заинтересованных лиц ? Существуют ли какие либо возможные организационные структуры , которые могут ограничить предполагаемую возможность национальной группы
CIRT непредвзято служить своему сообществу ?
Структурированы ли системы и инфраструктура страны таким образом , чтобы присутствие нескольких национальных групп CIRT было выгодным в плане совместного использования информации и предоставления отчетности ?
Если учреждены несколько национальных групп CIRT, каким образом им следует совместно использовать информацию ? Существует ли риск того , что присутствие более чем одной национальной группы CIRT будет препятствовать эффективному обмену информацией между разными секторами инфраструктуры ? Каким является размер операционных затрат в связи с одновременной деятельностью нескольких организаций ?
Как эти затраты выглядят в сравнении с преимуществами за счет масштаба , которые дает использование единой национальной группы CIRT?
24
Влияют ли всевозможные организационные формы на кадровое обеспечение и управление кадровыми ресурсами ?
24
Примечание относительно регионального сотрудничества : Спонсор национальной группы CIRT может рассмотреть возможность использования ресурсов и финансирования затрат совместно с соседними странами для создания регионального потенциала в области управления компьютерными инцидентами , по существу , региональной группы CIRT. Такой подход может быть эффективным для решения неизбежной проблемы выполнения множества требований при наличии ограниченных ресурсов . В данном отчете не приводится детальное описание такого подхода ; тем не менее , стоит отметить , что такое решение предусматривает определенные компромиссы . Поскольку одна из функций национальной группы CIRT заключается в необходимости реагирования на глобальные вызовы , обеспечивая при этом соблюдение существующих законов , культуры и национальной структуры , способность региональной группы CIRT предоставить нескольким странам те или иные преимущества может быть ограниченной . Во вторых , поскольку обеспечение кибербезопасности является частью национальной стратегии общей безопасности , региональные группы CIRT часто могут обладать информацией , разглашение которой может иметь серьезные последствия для национальной безопасности . Региональная группа CIRT может иметь ограниченную возможность получения такой информации от определенных заинтересованных сторон на национальном уровне ввиду опасений совместного использования такой информации на межнациональном уровне . В любом случае , чтобы работа региональной группы CIRT была успешной , отношения между странами должны быть достаточно близкими и спокойными , или же должна быть создана эффективная международная структура управления .
38
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Способствующая цель : определение полномочий национальной группы CIRT
Сторонник или спонсор национальной группы CIRT должен определить , будет ли группа иметь полномочия запрещать или санкционировать определенные действия или меры безопасности .
В круг полномочий национальной группы CIRT может входить санкционирование предоставления сообщений об инцидентах в области безопасности или принятие определенных мер безопасности , или и то , и другое . Кроме того , полномочия национальной группы CIRT могут быть разными в зависимости от того , с кем она взаимодействует – с частными лицами или с отраслью , или с правительственными ведомствами . Ситуация , в которой полномочия национальной группы CIRT или спонсирующей ее организации распространяются на разные правительственные ведомства , но не касаются частных лиц , может быть вполне приемлемой .
Такие решения принимаются в соответствии с законодательством и культурой страны . Тем не менее , нередко бывает так , что национальные группы CIRT более эффективны , если исполняют исключительно консультативные функции . Основные заинтересованные лица на национальном уровне часто имеют большую готовность и , в зависимости от нормативной базы , больше возможностей для полноценного совместного использования информации и обсуждения факторов уязвимости в области безопасности , когда деятельность осуществляется совместными усилиями , в которых национальная группа CIRT не является ни регуляторным , ни запретительным органом .
Способствующая цель : определение услуг национальной группы CIRT
Основной функцией национальной группы CIRT является , как минимум , реагирование на угрозы и инциденты в области кибербезопасности , которые являются важными для заинтересованных лиц на национальном уровне . Разные национальные группы CIRT, которые существуют на данный момент , выполняют разные функции , среди которых :
Услуги по управлению инцидентами Оценка факторов уязвимости
Анализ инцидентов
Услуги судебной экспертизы
Услуги по мониторингу сети
Анализ вредоносных кодов
Исследовательские услуги
Профессиональная разъяснительная работа подготовка / образование / информационно -
Координация мер реагирования
На уровне отдельного государства эти функции ограничиваются факторами , указанными в разделе 3.1.2 с описанием способствующей цели ( например , финансирование , кадровое обеспечение , физические ресурсы ). Организация , спонсирующая национальную группу CIRT, должна определить , какие из указанных видов деятельности реально осуществлять ввиду существующих ограничений . Обычно , самым существенным ограничением являются кадровые ресурсы ( т . е . кадровое обеспечение ). Поскольку национальная группа CIRT выступает в роли национального лидера по управлению инцидентами в области кибербезопасности и их анализу , руководящим принципом в процессе выбора конкретных функций должен быть высочайший уровень технических возможностей . Существует возможность того , что национальная группа CIRT сможет выполнять свои функции наилучшим образом именно за счет тесной координации с другими национальными группами CIRT, которые обладают более значительным техническим потенциалом или уже владеют надежными каналами связи .
Способствующая цель : определение дополнительных заинтересованных сторон
Спонсор , обеспечивающий возможность управления инцидентами на национальном уровне , должен определить , какие другие учреждения могут сделать вклад в создание национальной группы CIRT или заинтересованы в этом . Подробный перечень типичных лиц , заинтересованных в национальной политике в области кибербезопасности , приводится во второй части данного документа . Кроме того , некоторые лица могут быть заинтересованы в более активном участии в процессе создания и функционирования национальной группы CIRT. Обычно к таким относятся следующие :
39
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
– правоохранительные поставщики правительственные сообщества органы технологий исследователей управления . органы
;
;
; пользователи ( правительственные агентства и министерства и др .);
Национальная группа CIRT должна понимать , как определенные заинтересованные стороны дополняют ее деятельность и участвуют в ней , а также разработать план внедрения в свою работу механизма двусторонней связи .
Стратегическая цель : обеспечение общей ситуационной осведомленности
Основной функцией национальной группы CIRT является возможность управлять рисками и инцидентами в области кибербезопасности , которые являются важными для заинтересованных сторон на национальном уровне . Высочайший уровень технических возможностей в управлении инцидентами помогает национальной группе CIRT строить отношения с заинтересованными сторонами и достигать другие стратегические цели , такие как содействие внедрению национальной стратегии в области кибербезопасности . Первый шаг в процессе управления инцидентами – это прийти к пониманию или осознанию того , кто является главными партнерами национальной группы
CIRT, какие типы систем они используют ( информационно коммуникационные технологии ) и какого рода инциденты имеют место в их практике . Это общее понимание среды обычно называется общей ситуационной осведомленностью .
Самый квалифицированный персонал и наилучшая техническая инфраструктура не принесут пользы , если сообщество не желает информировать национальную группу CIRT об инцидентах .
Таким образом , на решение этого вопроса направлена первая способствующая цель .
Способствующая цель : построение и поддержание доверительных отношений
Национальные группы CIRT собирают конфиденциальную информацию о проблемах , опасениях и факторах уязвимости их партнеров на национальном уровне . Они часто используют эту информацию для извлечения из нее уроков и опубликования информационных отчетов ; этот процесс несет в себе риск открытия большего объема информации , чем того требует ситуация , если его осуществлять небрежно . Национальные группы CIRT также распространяют среди заинтересованных сторон общую информацию об угрозах , факторах уязвимости и примерах передового опыта . Построение доверительных отношений с заинтересованными сторонами является существенным для содействия такому процессу двустороннего обмена информацией . Без уверенности в том , что конфиденциальная информация будет надлежащим образом защищена и доступ к ней будет ограничен в зависимости от категории адресатов , заинтересованные стороны не будут проявлять желания делиться своей конфиденциальной информацией , которая является ключевой для национальной группы CIRT. Попросту говоря , управлять инцидентами в области безопасности трудно , если жертвы инцидентов не готовы сообщать о них национальной группе
CIRT.
Строя отношения и развивая партнерство с собственниками и операторами национальной важнейшей инфраструктуры и другими ключевыми партнерами , национальная группа CIRT получает доступ к информации , являющейся ключевой в ее деятельности . Такие отношения и партнерство строятся напрямую между национальной группой CIRT и партнерами , а также между партнерами . Национальная группа CIRT может выступать в роли надежного канала связи между ключевыми партнерами .
Обеспечение конфиденциальности информации заинтересованных сторон представляет собой проблему в сфере информационной безопасности . Для ее решения необходимо осуществлять оценку рисков информационной безопасности на уровне национальной группы CIRT и внедрять рекомендации , составленные на основании такой оценки . Для усиления информационной безопасности применяются различные регуляторные меры , начиная с проверки сотрудников и
40
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности заканчивая подписанием с сотрудниками соглашений о неразглашении и использованием подобных других юридических средств , что делает защиту конфиденциальной информации условием трудоустройства . Введение классификации информации по уровням является еще одним базовым способом обеспечения отказа в доступе к информации всем лицам за исключением тех , кто использует ее при исполнении своих функциональных обязанностей . Независимо от конкретных мер и норм безопасности , национальная группа CIRT должна занимать упреждающую позицию при решении проблем заинтересованных сторон в этой области и быть максимально прозрачной в отношении предпринимаемых ею мер безопасности . Нормативная база , способствующая совместному использованию информации и обеспечению безопасности в среде деятельности национальной группы CIRT, будет более подробно рассмотрена позже в этой серии документов .
Способствующая цель : координация совместного использования информации участниками на национальном уровне
Содействие обеспечению надежного и эффективного совместного использования информации является одним из основных факторов успеха при формировании национального потенциала . Одна из ключевых функций национальной группы CIRT заключается в получении от сообщества информации об инцидентах и своевременное распространение среди сообщества актуальной информации о реагировании на такие инциденты . Информация такого рода , как правило , включает в себя следующее :
–
–
–
– входящая информация об инцидентах в области безопасности , собранная с использованием различных способов ; бюллетени , посвященные вопросам безопасности , образовательно просветительская информация о киберугрозах и факторах уязвимости в области кибербезопасности ; общие , специализированные и срочные предупреждения и оповещения ( технического и иного характера ) в области кибербезопасности ; примеры передового опыта , направленные на предотвращение проблем , происшествий и инцидентов , связанных с кибербезопасностью ;
–
– общая информация национальной группы CIRT ( например , информация об организационной структуре , спонсорстве , услугах национальной группы CIRT, контактный номер телефона / адрес электронной почты и др .); ресурсы и справочные материалы ( например , касательно инструментов обеспечения безопасности , партнерских организаций ).
Информацию , собираемую национальной группой CIRT, можно использовать для снижения рисков путем предоставления помощи организациям , подвергшимся атакам . Такая помощь может предоставляться в форме прямой технической поддержки или же может включать в себя работу с третьими сторонами для поиска способов устранения и временных решений той или иной проблемы либо работу по повышению осведомленности отрасли в целом и ее представителей из частного сектора в частности . Один из основных компонентов деятельности по совместному использованию информации направлен на обеспечение того , чтобы совместное использование конфиденциальной информации , получаемой от одних участников этого процесса , с другими его участниками происходило исключительно после обеспечения ее анонимности в процессе анализа и в соответствии с правилами национальной группы CIRT.
При обеспечении анонимности необходимо учитывать те или иные обстоятельства , связанные как непосредственно с компьютерными инцидентами , так и с основными участниками . Например , в опубликованном отчете об инцидентах названия жертв или вовлеченной компании участника могут быть удалены . Однако если речь идет о серьезном инциденте , освещенном в прессе , обеспечить фактическое соблюдение конфиденциальности может и не удастся . Один из основных принципов защиты информации состоит в необходимости получения согласия вовлеченных сторон перед обнародованием информации или опубликованием отчетов .
41
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
Использование инструментов , технологии и способов , позволяющих национальной группе CIRT поддерживать связь с сообществом , является одним из ключевых компонентов деятельности в сфере совместного использования информации . К примерам таких инструментов , технологий и способов , среди прочего , относится следующее :
– веб сайт для передачи и распространения информации , как общей ( открытого доступа ), так и конфиденциальной ( защищенный портал с необходимостью аутентификации ), между группой CIRT и ее сообществом ; почтовая рассылка , вестники , аналитические отчеты и отчеты о тенденциях ; внедрение безопасных информационных сетей для осуществления группой CIRT своей деятельности .
Способствующая цель : интеграция информации о рисках , полученной от сообщества
Открытая информация , получаемая для совместного использования от частного сектора отрасли , академических организаций и правительства , приносит пользу национальным группам CIRT. При проведении организациями тщательной оценки рисков и передаче ими результатов такой оценки национальной группе CIRT уровень ситуационной осведомленности возрастает . Информация о рисках , получаемая от сообщества , способствует пониманию национальной группой CIRT воздействия , которое могут оказывать факторы уязвимости в области безопасности и проблемы в работе соответствующих систем на значимые активы и инфраструктуру , что помогает национальной группе CIRT направлять и совершенствовать процесс управления инцидентами .
Выполняя работу по реагированию на инциденты , национальная группа CIRT выступает в роли одного из ключевых факторов , содействующих повышению уровня ситуационной осведомленности .
Анализируя тенденции в сфере подлежащих управлению инцидентов , национальная группа CIRT получает информацию о состоянии кибербезопасности внутри сообщества , в интересах которого она действует . Национальная группа CIRT использует эти знания и свою собственную точку зрения на проблемы для создания достоверной , реалистичной картины ситуационной осведомленности на национальном уровне . Это помогает национальной группе CIRT установить способы обеспечения упреждающей защиты , а также определить , что необходимо улучшить в методах работы и поведении самого сообщества .
Способствующая цель : сбор информации о компьютерных инцидентах
Национальная группа CIRT должна быть способна собирать информацию о компьютерных инцидентах и случаях , получая отчеты о подозреваемых или подтвержденных инцидентах , в отношении которых необходимо принять меры реагирования или обеспечить координацию соответствующих действий . Существует два основных способа сбора информации об инцидентах национальными группами CIRT: доверительные отношения , которые они выстраивают , и техническая инфраструктура , необходимая для обработки входящих отчетов . Предоставление отчетов об инцидентах обычно осуществляется на добровольной и доверительной основе , однако иногда такие отчеты являются обязательными .
Национальная группа CIRT получает отчеты о компьютерных инцидентах , используя различные технические средства , такие как горячая линия или веб портал , которые работают круглосуточно семь дней в неделю . Веб портал может быть доступен для широкой общественности с любого компьютера , или же это может быть безопасный веб портал для обмена конфиденциальной информацией . Для составления отчета о компьютерных инцидентах сообществу необходимо выявить , определить и отследить аномальную деятельность , используя технические и другие методы . Аномальная деятельность определяется как деятельность , отличная от той или иной принятой нормы эксплуатации системы . Во многих случаях , чтобы собрать информацию о компьютерных инцидентах , необходимо сначала обучить сообщества выявлению такой деятельности .
42
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Стратегическая цель : управление инцидентами
Выступая в роли доверенного национального контактного центра в области кибербезопасности , национальная группа CIRT имеет уникальные возможности для управления инцидентами национальной значимости . Для выполнения такой задачи многие национальные группы CIRT создают определенный активный потенциал , в том числе по реагированию на инциденты , их локализации и восстановлению услуг . Необходимо помнить , что во многих случаях национальная группа CIRT не осуществляет сама весь процесс обработки и анализа инцидентов . Национальная группа CIRT может содействовать процессу анализа и реагирования и координировать его ввиду ограниченных ресурсов или ввиду того , что знаниями о той или иной проблеме обладает не она , а кто либо другой , например , другая национальная группа CIRT или поставщик технологий .
Способствующая цель : определение инцидентов и угроз , представляющих интерес национального уровня
Существует дефицит ресурсов . Определение инцидентов и угроз , которые представляют интерес для национальной группы CIRT, пожалуй , является самой сложной задачей , стоящей перед ней .
Процесс определения того , куда национальной группе CIRT следует направить свои основные усилия , имеет многократный и прогрессирующий характер . После завершения начального этапа формирования потенциала для управления инцидентами национальная группа CIRT получает огромное количество вопросов и запросов о помощи . Это вынуждает ее искать компромисс между дефицитом времени и ресурсов с одной стороны и желанием служить сообществу и строить отношения с заинтересованными сторонами с другой стороны .
При формировании потенциала национальной группы CIRT существует несколько ресурсов , которые помогут спонсору определить основные сферы направления ее усилий на начальном этапе . К ним , среди прочего , относятся следующие :
–
–
Информационные системы и инциденты , которые воздействуют на секторы важнейшей инфраструктуры , определенные национальной политикой кибербезопасности , если она уже разработана . Это должно стать главным движущим фактором при определении основных сфер деятельности национальной группы CIRT на начальном этапе . Одной из основных причин , почему необходимо обеспечить скоординированную национальную политику , является необходимость предоставления национальной группе CIRT руководящих указаний .
Инциденты и угрозы , которые могут оказать воздействие на один или несколько секторов важнейшей инфраструктуры .
–
–
Виды инцидентов или деятельности , которые могут вызывать особое беспокойство национальных органов ввиду возможности их прямого воздействия на национальную безопасность , раскрытия конфиденциальной информации или попадания страны в затрудненное положение в результате таких инцидентов или деятельности или же ввиду других факторов особого характера .
Инциденты , оказывающие значительное воздействие на большую часть пользователей компьютеров , представляющих широкую общественность .
Знания и опыт сотрудников национальной группы CIRT. –
– Виды угроз , которые аналитики национальной группы CIRT по вопросам инцидентов , а также сообщество по реагированию на инциденты считает частью более значительных или прогрессирующих угроз .
Знания и опыт , извлеченный и переданный другими национальными группами CIRT –
Осведомленность о системах , которые в настоящий момент используются ключевыми участниками национальной группы CIRT, также могут помочь национальной группе CIRT направить свою
43
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности деятельность по анализу инцидентов . Такая осведомленность формируется с течением времени по мере работы с инцидентами и взаимодействия с сообществом .
Способствующая цель : анализ компьютерных инцидентов
Все национальные группы CIRT должны иметь возможность реагировать на киберинциденты и предоставлять сообществу анализ ситуации и поддержку . Однако не у всех национальных групп
CIRT будут одинаковые возможности выполнить данную задачу . Так , уровень партнерства национальных групп CIRT со сторонними организациями , в частности с экспертами по информационным организациям , сообществами по разработке программного обеспечения и исследователями в области безопасности , не будет одинаковым . Более того , не у всех национальных групп CIRT в составе будут группы по анализу кодов программного обеспечения , в том числе вредоносного программного обеспечения , и по воспроизведению атак и злоупотреблений . Тем не менее , национальные группы CIRT должны , как минимум , анализировать отчеты о проблемах для выявления общих характеристик , чтобы можно было определить их значимость и дать точную оценку уровню угрозы , исходящей от той или иной проблемы . К общим характеристикам , среди прочего , могут относиться такие факторы , как направленность и цели атаки .
В некоторых случаях такие общие характеристики могут включать в себя идентификационную или атрибутивную информацию , которую можно использовать в интересах обеспечения национальной безопасности .
–
–
–
–
–
Способствующая цель : разработка эффективного рабочего процесса
Национальная группа CIRT неизбежно будет получать из различных источников информацию о компьютерных инцидентах . Такие уведомления будут приходить по электронной почте , через формы обратной связи веб сайтов , по телефону , факсу или посредством автоматизированных процессов ( т . е . оповещения о происшествиях , присылаемых автоматическими системами и датчиками ). Личных оповещений ( т . е . исходящих от отдельных лиц , а не от информационных систем ) следует ожидать как из известных , так и из неизвестных источников . Известные источники включают в себя рабочих партнеров , сети совместного использования информации , надежных партнеров из частного сектора отрасли , заинтересованных сторон , представляющих правительство , а также профильных экспертов из значимых секторов отрасли ( исследователей и т . п .).
К неизвестным источникам могут относиться сообщения от частных лиц и других организаций , с которыми не установлены отношения . Одним из примеров таких источников является горячая линия , которая представляет собой прорекламированный номер телефона или услугу мгновенной передачи сообщений , которая позволяет всем сторонам сообщать об инцидентах в национальную группу CIRT – круглосуточно и 365 дней в году . Инциденты , о которых будет сообщаться , будут разными по степени своей тяжести и значимости .
Чтобы национальная группа CIRT могла обрабатывать сообщения эффективно и беспристрастно , она должна создать четкий и последовательный рабочий процесс . Обычно в рамках этого процесса , среди прочих , предпринимаются следующие шаги : обнаружение сбор и анализ документирование и инцидентов установление
; доказательств очередности по инцидентам происшествий ;
; реагирование на инциденты и восстановление после них ; извлечение уроков из инцидентов .
Способствующая цель : предупреждение сообщества
Существует целый ряд причин , по которым национальная группа CIRT предупреждает сообщество , интересы которого она представляет . Своевременное сообщение об угрозе дает возможность обеспечить упреждающую защиту систем , а также осуществить восстановление после инцидента .
Предупреждения и сигналы тревоги увеличивают возможности вовлеченных партнеров
44
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности подготовиться к угрозам и обнаружить угрозы и факторы уязвимости , что позволяет снизить потенциальный уровень воздействия рисков . Предупреждение сообщества об актуальных проблемах способствует развитию здоровых отношений и стимулирует практику формирования и поддержания ситуационной осведомленности . Оно также может обеспечить доказательства , указывающие на " дополнительные " преимущества национальной группы CIRT.
Национальная группа CIRT использует свои отношения с заинтересованными сторонами и другими национальными группами CIRT, а также собранные ими сообщения об инцидентах и их анализ для изучения угроз и факторов уязвимости , а также для определения информации , которую необходимо распространить в сообществе . Национальная группа CIRT должна разрабатывать предупреждения для того , чтобы информировать сообщество и побуждать его членов принимать меры по обеспечению собственной защиты . В то же время , национальная группа CIRT должна обеспечивать баланс между оперативным распространением информации и соблюдением ее конфиденциальности , а также форматом предупреждения . Такие предупреждения должны отсылаться сообществу таким образом , который обеспечивает их подлинность , целостность и конфиденциальность , если того требует ситуация . Кроме того , некоторые предупреждения требуют соблюдения конфиденциальности источника информации , в частности в тех случаях , когда информация об угрозе предоставлена источником , занимающимся разведывательной деятельностью . Необходимо приложить соответствующие усилия , чтобы процесс совместного использования информации об угрозе был эффективным , а сама информация не попала в распоряжение лиц , для которых она не предназначена . Многие национальные группы CIRT удаляют информацию , которая может указывать на источник данных об угрозе и факторах уязвимости , ограничивая предоставленную информацию только общими данными об обнаруженных факторах уязвимости или засекречивая те или иные данные об угрозе .
Предупреждения , направленные национальной группой CIRT в адрес заинтересованных сторон и общественности страны в целом , обычно являются более эффективными , если передаются по уже созданным надежным и конфиденциальным каналам связи . Эти " каналы " могут представлять собой конкретных людей или отделы в ключевых организациях . Работа через предварительно созданные механизмы конфиденциальной связи уже доказала свою эффективность как стратегия построения доверительных отношений . В основе таких доверительных отношений лежит соглашение между национальной группой CIRT, заинтересованными сторонами и главными партнерами касательно метода связи , условий работы с информацией и других мер защиты . Эта способствующая цель тесно связана с процессом обеспечения доверенной связи .
–
–
Способствующая цель : освещение примеров передового опыта в области кибербезопасности
Национальная группа CIRT собирает информацию о проблемах в области безопасности разными способами , и ее общая база знаний является хорошим источником для " извлеченных уроков ".
Уроки , извлеченные из инцидентов , могут лечь в основу развития специальных навыков и общей осведомленности в области безопасности . Более того , эти извлеченные уроки часто улучшают ситуационную осведомленность и делают полезный вклад в общий процесс управления киберрисками . Национальная группа CIRT может распространять систематизированные ею примеры передового опыта , публикуя документы , посвященные теме общей передовой практики в области кибербезопасности , руководящие указания по реагированию и предотвращению инцидентов , проведению соответствующей профессиональной подготовки , а также рекомендуемые организационные процедуры и исследования конкретных ситуаций по внедрению передовой практики . Так , национальная группа CIRT может описать примеры передового опыта по следующим вопросам : как обезопасить конкретные технологии от известных атак и угроз кибербезопасности ; как разрабатывать , испытывать и применять планы , процессы и протоколы реагирования на чрезвычайные ситуации ;
45
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности как координировать исследования в области безопасности с национальной группой CIRT
( например , выявление факторов уязвимости , анализ первопричин , исследование угроз и атак в сообществе ).
–
–
Стратегическая цель : содействие внедрению национальной стратегии кибербезопасности
Национальная группа CIRT представляет собой существенную оперативную составляющую подхода к внедрению стратегии кибербезопасности на национальном уровне . Национальная группа CIRT участвует в широком контексте процесса управления инцидентами на национальном уровне в условиях существования огромного количества разнообразных угроз ( т . е . созданных человеком и природных ; физических угроз и киберугроз ). Национальная группа CIRT может оказывать помощь в следующих мероприятиях : определение дополнительных требований к национальной стратегии кибербезопасности ; определение необходимых технических практик , методов улучшения образовательного процесса , развития навыков специалистов , практикующих в области кибербезопасности , а также направлений научно исследовательской работы ;
–
– определение возможностей для улучшения нормативно правовой базы в области кибербезопасности ; распространение уроков , извлеченных из опыта в области кибербезопасности , которые влияют на подход к внедрению самой стратегии кибербезопасности на национальном уровне ; улучшение методов оценки ущерба и затрат , связанных с киберинцидентами . –
Возможно , наиболее значимой возможностью национальной группы CIRT для национальной стратегии кибербезопасности является то , что такая группа может способствовать формированию национальной культуры кибербезопасности . Предоставляя разным заинтересованным сторонам платформу для взаимодействия , национальная группа CIRT может помочь им глубже понять проблемы кибербезопасности и осознать значимость этой области для разных сообществ , представленных в их структуре .
Способствующая цель : использование опыта и информации для улучшения управления киберинцидентами на национальном уровне и разработки политики в области кибербезопасности
Хотя организации всех масштабов и будут продолжать осуществлять управление инцидентами внутри самих себя , первоочередная ответственность за решение проблем в этой области на национальном уровне лежит исключительно на национальной группе CIRT. Использование опыта национальной группы CIRT, который приносит пользу лицам , ответственным за разработку политики , заинтересованным сторонам и сообществу практикующих специалистов в области безопасности , содействует укреплению кибербезопасности в целом . Процесс использования опыта предусматривает поиск соответствующих путей работы национальной группы CIRT, а опыт сообщества можно более широко использовать при разработке национальной нормативно правовой базы . В результате вышеупомянутого процесса можно систематизировать извлеченные уроки , улучшить меры , позволяющие избегать проблем и снижать риски на национальном уровне , а также оказать влияние на разработку регламентных положений , руководящих указаний , инициатив и директив .
К примерам такого опыта можно отнести инциденты , затрагивающие факторы уязвимости , которые воздействуют на ту или иную систему , рассматриваемую правительством национального уровня как вариант для внедрения в своих ведомствах , службах и министерствах . Понимание рисков , присущих этой системе , может стать главным фактором , влияющим на выбор соответствующей технологии или отказ от нее . Еще одним примером может быть неопределенность или непоследовательность законодательства о неприкосновенности частной жизни , что препятствует процессу совместного использования информации в среде заинтересованных сторон из частного сектора . К источниками
46
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности этих извлеченных уроков , среди прочего , относится как опыт национальной группы CIRT, так и опыт заинтересованных сторон .
Способствующая цель : создание национального потенциала для обеспечения кибербезопасности
Национальная группа CIRT имеет уникальные возможности , чтобы выступать надежным координатором национального уровня . Пользуясь преимуществом своего положения , национальная группа CIRT может осуществлять координацию работы со всеми собственниками и операторами инфраструктуры ИКТ ( частный и ( или ) государственный сектор ), чтобы сформировать уникальное понимание общей картины национальной кибербезопасности . Это дает национальной группе CIRT возможность способствовать внедрению национальной стратегии кибербезопасности , управлять инцидентами национального уровня значимости и наиболее эффективно поддерживать деятельность правительственных органов . Обычно национальная группа CIRT формирует национальный потенциал обеспечения кибербезопасности путем публикации примеров передового опыта и предоставления услуг , осуществления координации , профессиональной подготовки , проведения образовательных мероприятий , а также повышения уровня осведомленности относительно необходимости создания других организационных групп CIRT.
Национальная группа CIRT может способствовать развитию национальной культуры кибербезопасности . Публикации и консультационные услуги , предоставляемые национальной группой CIRT, должны быть направлены на формирование коллективных возможностей на национальном уровне , а не ориентироваться на потребности отдельных ниш . Национальная группа
CIRT не должна выступать в качестве защитника интересов отдельной заинтересованной стороны .
Национальная группа CIRT может играть роль ценного связующего звена между заинтересованными сторонами и теми , кто отвечает за разработку политики на национальном уровне . То , насколько эффективно национальная группа CIRT может выступать в этой роли , зависит от юридических и структурных факторов .
Способствующая цель : рациональное использование потенциала партнерских отношений между государственным и частным секторами для повышения уровня осведомленности и эффективности
Защита важнейшей инфраструктуры и киберпространства является общей обязанностью , которая может быть наилучшим образом реализована посредством сотрудничества между правительственными органами и частным сектором , зачастую владеющим значительной частью инфраструктуры и эксплуатирующим ее . Для успешного сотрудничества между государством и отраслью необходимы три важных составляющих : (1) четкое предложение преимуществ ; (2) четко оговоренные функции и обязанности ; и (3) двусторонний процесс совместного использования информации . Успех таких партнерских отношений зависит от того , как партнерам из государственного и частного секторов объяснить общие для всех преимущества . К преимуществам для всех партнеров , среди прочих , относятся следующие :
– улучшенная ситуационная осведомленность за счет надежного двустороннего процесса общего использования информации ; доступ к требующей действий информации об угрозах важнейшей инфраструктуры ; –
– повышенная стабильность секторов наряду с упреждающими мерами по управлению рисками .
Оперативные и стратегические возможности национальной группы CIRT требуют активного участия всех ее партнеров . Правительственные органы и отрасль должны совместно внедрять подход к управлению рисками , позволяющий правительственным органам и частному сектору определять киберинфраструктуру , анализировать угрозы , оценивать уязвимость , возможные последствия и определять средства для их смягчения .
Способствующая цель : участие в работе по созданию групп и сообществ совместного использования информации , а также стимулирование такой работы
47
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Участие национальной группы CIRT в работе групп и сообществ совместного использования информации – это существенный способ повышения уровня ситуационной осведомленности и построения доверительных отношений . Совместное использование информации в этом контексте в идеале должно быть двусторонним процессом обмена информацией между национальной группой
CIRT и сообществом . Что касается в частности операторов инфраструктуры , из отрасли в национальную группу CIRT должна поступать информация об инцидентах и рисках , в то время как национальная группа CIRT в свою очередь распространяет информацию об угрозах , факторах уязвимости и мерах по снижению рисков . Государственный сектор , национальная группа CIRT и частный сектор отрасли могут усовершенствовать процесс предоставления информации путем совместной разработки формальной структуры работы с инцидентами , в том числе работы по решению проблем в сфере совместного использования информации . Такая структура должна включать в себя правила и процедуры совместного использования информации , предоставления информации об инцидентах , защиты и распространения конфиденциальной частной информации
( являющейся собственностью правительственных органов и представителей отрасли ), а также механизмы передачи и распространения информации .
Существует несколько разных видов групп совместного использования информации . В случаях , когда национальная группа CIRT видит потребность в той или иной платформе для совместного использования информации , она должна возглавить процесс создания соответствующей организации .
Отраслевые группы включают в себя отдельные фирмы , осуществляющие деятельность в одной отрасли , например , несколько поставщиков электроэнергии в стране . Эти группы нередко являются ценным источником информации о факторах уязвимости и инцидентах в той или иной отрасли и могут выступать в качестве эффективной платформы , способствующей обсуждению проблем в области кибербезопасности . Хотя отраслевые группы и очень полезны , их участники иногда могут не желать делиться частной или конфиденциальной информацией в группе , в которую входят их конкуренты .
Заинтересованные сообщества – это , в общем , группы , имеющие узкопрофильный интерес в отношении определенных технологий . Такие группы являются неотъемлемой составляющей процесса совместного использования информации , так как они часто обладают глубокими техническими знаниями , навыками и опытом , который применяется в изучении проблем и разработке соответствующих решений . Среди участников таких групп часто бывают отдельные лица , владеющие признанными техническими навыками , ведущие исследователи в области кибербезопасности и информатики , а также представители ключевых поставщиков информационно коммуникационных технологий из частного сектора ( т . е . поставщики инфраструктуры , разработчики программного обеспечения и др .).
В некоторых странах заинтересованные сообщества уже совместно используют информацию , касающуюся угроз безопасности , факторов уязвимости и последствий . Часто эти группы также подают своевременный сигнал тревоги и предупреждения своим участникам , чтобы таким образом содействовать принятию мер по снижению рисков , реагированию на инциденты , влияющие на важнейшую инфраструктуру , и восстановлению после них . Примерами таких групп являются Центры анализа и обмена информацией (ISAC) в Соединенных Штатах Америки и Центры предупреждения , консультаций и оповещения (WARP) в Соединенном Королевстве .
Совместные рабочие группы , состоящие из представителей государственного сектора и отрасли , могут значительно содействовать совместному использованию информации . Правительство может получать информацию от отрасли , запрашивать комментарии представителей отрасли по поводу разработки политики и стратегии в области безопасности , а также координировать работу с организациями из частного сектора с помощью механизмов совместного использования информации . Правительство должно обеспечить вовлечение представителей частного сектора в работу на начальных этапах разработки , внедрения и поддержания инициатив и нормативных положений . Эти группы могут быть полезны для представителей отрасли тем , что они обеспечивают возможность оказать влияние на процесс формирования политики и узнать , как их сектор выглядит на фоне общей ситуации с безопасностью в стране .
48
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Наконец , национальная группа CIRT может играть важную роль , организовывая рабочие группы , состоящие из представителей взаимосвязанных отраслей . Инциденты , затрагивающие один сектор инфраструктуры , могут оказывать последовательное воздействие , что приводит к инцидентам в других секторах и создает не всегда ожидаемую взаимосвязь . Например , перебои в предоставлении услуг одного коммунального предприятия могут привести к значительному повышению количества обращений клиентов , что в свою очередь создаст повышенную нагрузку на телефонные сети . Понимая , как кибербезопасность влияет на работу многих других систем , национальная группа CIRT может играть важную роль в оказании помощи собственникам инфраструктуры и другим организациям для адекватного реагирования на такие взаимозависимости . Совместное использование информации среди компаний , действующих в области инфраструктуры , может способствовать реагированию на инциденты в множестве разных секторов .
Способствующая цель : оказание помощи правительственным органам страны в реагировании на инциденты с целью содействия их деятельности
В случаях , когда это представляется целесообразным из соображений политического и организационного характера , национальная группа CIRT укрепляет свою роль и улучшает эффективность своей деятельности , принимая меры реагирования на инциденты в интересах правительственных учреждений . Эта работа помогает строить доверительные отношения с правительственными ведомствами , а также дает национальной группе CIRT возможность оставаться осведомленной в вопросах систем и технологий , которые используются на данный момент .
В случаях , когда реагирование на инциденты в отдельных ведомствах осуществляет штатная группа
CIRT, например , группа CIRT, которая работает в интересах вооруженных сил страны , национальная группа CIRT может оказывать содействие путем распространения информации об угрозах и информации , полученной в результате взаимодействия с группами CIRT, работающими при разных организациях страны .
4.8 Заключение
Создание национального потенциала управления компьютерными инцидентами может быть важным шагом на пути содействия странам в управлении рисками и обеспечении безопасности их систем . Данный справочник разработан как вводная учебная программа по развитию потенциала кибербезопасности на национальном уровне . К ее целевой аудитории , среди прочего , принадлежат потенциальные спонсоры национальных групп CIRT, правительственные органы , ответственные за разработку политики , а также лица , отвечающие за информационно коммуникационные технологии , которые хотят узнать больше о предлагаемых преимуществах создания национальных групп CIRT и в целом потенциала управления инцидентами . Это не практическое руководство по осуществлению национальной группой CIRT своей текущей деятельности , а информативный материал , в котором рассматривается , как , используя потенциал по управлению компьютерными инцидентами , можно содействовать внедрению национальной стратегии кибербезопасности .
По правде говоря , существует общая необходимость противостоять , снижать и бороться с киберугрозами , а также реагировать на атаки . Национальные группы CIRT и схожие с ними организации осуществляют национально ориентированное оперативное реагирование на киберинциденты , способные дестабилизировать важнейшую инфраструктуру , распространяя его также и на международный уровень .
49
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
5 Передовой опыт по обеспечению национальной кибербезопасности – управление национальной группой CIRT с ключевыми факторами успеха
5.1 Введение
Национальные группы CIRT имеют жизненно важное значение для обеспечения национальной кибербезопасности , однако в то же время они вызывают серьезные проблемы в управлении .
Поэтому для того , чтобы эффективно реагировать на киберугрозы , странам необходимо изучить информацию , содержащую руководящие указания по созданию и поддержанию национального потенциала , а также позволяющую понять , как такой потенциал может помочь в обеспечении национальной кибербезопасности и управлении инцидентами на национальном уровне .
Ключевые факторы успеха – это один из способов определения основных характеристик и действий , помогающих той или иной организации достичь успеха , и он уже применялся для определения требований к информации на уровне руководства и для приведения информационных технологий ( ИТ ) в соответствие с факторами развития бизнеса в больших организациях . Документ " Передовой опыт обеспечения национальной кибербезопасности – управление национальной группой CIRT с ключевыми факторами успеха " дает представление об использовании ключевых факторов успеха в сообществе национальных групп CIRT, описывает процесс их определения , а также приводит три примера их возможного использования в рамках управления национальной группой CIRT.
5.2 Ключевые факторы успеха (CSF)
Ключевые факторы успеха национальной группы CIRT – это мероприятия , которые должны быть осуществлены , или условия , которые должны быть выполнены , чтобы национальная группа CIRT могла выполнять свою миссию и предоставлять эффективные услуги своим клиентам . Важно понимать отношение и разницу между CSF и стратегическими целями , так как на первый взгляд они могут выглядеть взаимозаменяемыми . Стратегические цели представляют собой цели высшего уровня , которые описывают то , что национальная группа CIRT должна достичь .
Например , " защищать правительственные сети , в которых хранится и через которые передается информация , касающаяся военных операций ". Эти зачастую общие утверждения описывают и объясняют миссию организации . Они не содержат конкретных указаний для руководителей национальной группы CIRT относительно того , как достичь стратегической цели в контексте той или иной рабочей среды . CSF, с другой стороны , помогают менеджеру или руководителю определить и понять , что обязательно необходимо сделать для достижения стратегической цели или выполнения миссии . Потом такие факторы можно преобразовать в выполнимые мероприятия .
CSF также отличаются от целевых показателей деятельности , хотя они с ними тесно связаны .
Целевые показатели деятельности – это задачи , выполнение которых способствует успеху организации или успеху отдельного подразделения организации или отдельного человека . Обычно целевые показатели деятельности призваны поставить перед сотрудниками или отделами организации определенные задачи , чтобы на их основании можно было организовать работу и оценить эффективность деятельности . Целевые показатели деятельности часто сформулированы очень конкретно , выражают количественные показатели деятельности и нередко связаны с процессом управления деятельностью . Несмотря на то , что такого рода цели необходимы для функционирования организаций , они не всегда могут быть самым лучшим показателем успеха .
Руководители часто устанавливают целевые показатели деятельности , полагаясь на предположения о том , эффективность какого вида деятельности можно оценить . По существу , целевые показатели деятельности не направлены на то , чтобы помочь руководителям понять и приоритезировать внутреннюю деятельность своих организаций . Не направлены они и на то , чтобы помочь в решении
50
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности проблем в сфере управления . Наоборот , они ориентированы на тех лиц в организации , которые исполняют определенную работу . А CSF, наоборот , заполняют пробел между стратегическими факторами и целями более низкого уровня . CSF могут стать связующим звеном между стратегическими целями более высокого уровня и целевыми показателями деятельности .
5.3 Преимущества подхода с использованием CSF
Разработка формального подхода c использованием CSF в национальной группе CIRT в частности и в организациях в общем несет в себе несколько преимуществ . К ним относятся следующие :
– Снижение уровня неопределенности . CSF могут помочь менеджерам достичь единого видения всего персонала в отношении цели и деятельности организации . Процесс определения и внедрения CSF может способствовать обеспечению связи между группами за счет вовлечения их в процесс обсуждения , что улучшит уверенность руководства национальной группы CIRT при принятии им решений .
– Определение возможных аспектов для оценки и постановка целей . Как уже было отмечено , ключевым аспектом процесса управления организацией является оценка эффективности ее деятельности . В то же время , осуществление оценки эффективности деятельности организации сопряжено с определенными затратами и требует решения некоторых сложных вопросов . Работа по сбору и анализу данных может занять определенное количество человеко часов и требовать вложений в технологии . Что следует оценивать ? Как часто ? Многим организациям сложно определить правильные показатели для оценки – или же они оценивают только те виды деятельности , которые несложно оценить [Hubbard 2009]. Иногда такая неопределенность приводит к неэффективной оценке деятельности организации или к полному отказу от такой оценки . Оценка CSF может внести ясность и указать нужное направление в данном вопросе , обеспечив такой процесс оценки и такую систему показателей , которые дадут оптимальные результаты .
–
–
Определение требований к информации . Когда CSF тесно связаны с процессом постановки целей , они могут помочь руководителям понять режим работы и состояние их национальной CIRT. Иногда объективная , строгая оценка CSF может помочь в определении требований к информации , которые сами по себе не являются очевидными . Например , успех национальной группы CIRT часто зависит от того , насколько основные участники желают сообщать об инцидентах , а также предоставлять организации другую информацию . Объективное формальное изучение CSF может показать , воспринимается ли национальная группа CIRT как надежный партнер или лидер технологий в сообществе или нет . Ввиду этого , руководитель национальной группы CIRT может требовать и изучать те типы показателей и информации , которые он раньше мог не принимать во внимание .
Определение проблем в области управления рисками . CSF могут помочь определить основные активы и услуги , направленные на выполнение миссии организации . Эта функция может помочь национальной группе CIRT определить , какие системы и активы должны быть включены в процесс управления рисками . Использование CSF может стать общепринятым во многих отраслях .
CSF могут быть особенно полезны новым и развивающимся организациям , таким как национальная группа CIRT. Люди в организациях , в которых работают много близких по статусу людей , например , автомобильная отрасль , которая работает на зрелый рынок с длинной и хорошо изученной историей , имеют как минимум интуитивное понимание того , что нужно сделать ( т . е . CSF) для того , чтобы добиться успеха в их отрасли . Это понимание может основываться на полученном опыте во время работы в организации , обмене опытом с коллегами из других фирм или на исторически сложившемся опыте в отрасли . Руководители национальной группы CIRT обычно не обладают такого рода преимуществами и могут полагаться на формальный процесс при определении своих основных практик .
51
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
5.4 Источники CSF
Большая часть существующей литературы по теме CSF сосредотачивает внимание на частных промышленных фирмах . Эти фирмы обращаются к разным учреждениям и источникам с целью создания CSF [Rockhart 1979, Caralli 2004]. К таким источникам относится их отрасль , их коллеги , общее состояние рынка , государственное регулирование , конкретные проблемы или препятствия , с которыми сталкивается организация , а также разные иерархические структуры в собственной организации . Источники CSF для национальной группы CIRT незначительно отличаются от вышеуказанных . К ним относятся , среди прочих , следующие :
– Клиентура . Наверное , это самый важный источник CSF для национальной группы CIRT.
Потребности и требования клиента являются первоочередной информацией , на основе которой определяются услуги , которые будут предоставляться . Услуги зависят от клиентов .
Национальная группа CIRT, которая напрямую поддерживает деятельность правительственных ведомств , может осуществлять мониторинг их сетей , если она наделена такими полномочиями . В ином случае национальная группа CIRT, которая представляет интересы частных собственников и операторов инфраструктуры , может осуществлять сбор информации об инцидентах путем предоставления добровольной отчетности . Значительная доля ее работы может быть связана с распространением примеров передового опыта и осуществлением функций предупреждения . Помимо выбора услуг , клиентура может делать вклад в решение рабочих вопросов национальной группы CIRT; например , насколько быстро необходимо обрабатывать или анализировать инциденты , чтобы результаты такой обработки и анализа были пригодны для использования .
–
–
Организации , осуществляющие управление или надзор . Организация , которая спонсирует национальную группу CIRT и осуществляет надзор за ее деятельностью , является важным источником CSF. Это часто выражено в миссии или целях головной организации .
Коллеги . Опыт других национальных групп CIRT может стать ценной базой данных , которую можно использовать в работе . Например , в случаях , когда аналогичные организации обслуживают похожих клиентов или сталкиваются с похожими трудностями , они уже могли получить определенный опыт в прошлом , и этот опыт может быть полезным для других .
– Законодательная или политическая среда . В отношении национальной группы CIRT могут существовать требования или ограничения , вытекающие из нормативно правовой базы страны , которые также влияют на CSF. Ограничения , предусмотренные законодательством , могут запрещать национальной группе CIRT получать определенную информацию или обязать национальную группу CIRT защищать конкретную информацию в соответствии с определенным стандартом . Некоторые регуляторные положения , например , могут касаться защиты личной информации .
–
–
Организационные вопросы также подпадают под эту категорию . Например , если национальная группа CIRT входит в состав организации , которая также осуществляет надзор и регулирование в отношении клиентуры , такие организационные отношения сами по себе могут стать источником трудностей , которые требуют разрешения . Конкретно в этом случае желание клиентов предоставлять информацию об инцидентах или своих факторах уязвимости может быть определено как CSF, несмотря на очевидное беспокойство по поводу того , что такая информация может быть использована для принятия регуляторных мер .
Ограниченные ресурсы . Проблема ограниченных ресурсов , с которой может столкнуться национальная группа CIRT, является потенциальным источником определения CSF.
Основным ограничением во многих условиях является наличие квалифицированного персонала . К другим ограничениям в плане ресурсов можно отнести неопределенность по поводу финансирования . Ограничение ресурсов может указывать на CSF, которые ограничивают те или иные операции , или же получаемый в результате CSF может
52
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности указывать на необходимость смягчить ограничения и создать кадровые ресурсы или источники финансирования .
5.5 Определение CSF
–
–
–
Этот раздел является введением в данную тему и направлен на описание процесса определения
CSF в контексте национальных групп CIRT. Его цель заключается в том , чтобы обеспечить понимание руководителями национальной группы CIRT формального процесса , который стимулирует разработку CSF. Дополнительную информацию по процессу определения и корректировки CSF можно получить из литературы , указанной в Приложении В к этому отчету .
Такие виды деятельности , как семинары и рабочие группы , часто используются для того , чтобы получить или определить CSF. Сотрудников , которые выступают фасилитаторами такой работы , выбирает руководство на основании наличия у них определенных качеств , таких как способность объективно оценивать организацию , лидерские способности , понимание организации и коммуникативные навыки . Опираясь на литературу в этой области , мы предлагаем четыре этапа определения и доработки CSF для национальных групп CIRT. Эти этапы следующие :
– выбор масштаба ; сбор данных анализ определение
; сбор данных ;
CSF. документов и проведение интервью ;
5.6 Выбор масштаба
Обычно выбор масштаба предусматривает принятие решения относительно того , будет ли задача по сбору информации о CSF ориентирована на общие приоритеты организации или на ее оперативные мероприятия . CSF в масштабах предприятия ориентированы на важные решения , рассчитанные на перспективу , такие как определение приоритетов в сфере кадровых ресурсов ; выбор услуг , которые будут предоставляться ; решения относительно того , в какие технологии будут вложены инвестиции ; или решения о переезде в новое здание . CSF оперативных мероприятий , наоборот , касаются текущей деятельности организаций . В случае национальной группы CIRT CSF могут затрагивать скорость работы с инцидентами или очередность работы с разными видами инцидентов .
Многие организации , особенно крупные фирмы , состоящие из многих департаментов и отделов , начинают процесс определения CSF с уровня предприятия . Они делают это во избежание сложности процесса . В то же время , для менее крупных организаций , имеющих более простую организационную структуру ( в которых количество организационных уровней между рядовыми сотрудниками и руководителями невелико ), эффективным может быть одновременное составление CSF предприятия и CSF оперативных мероприятий . Многие небольшие группы , которые входят в национальную группу CIRT, обладают такими характеристиками и могут успешно определять все CSF на одном этапе .
5.7 Сбор данных : сбор документов и проведение интервью
Сбор данных с целью разработки CSF осуществляется двумя основными способами : сбор документов и проведение интервью с ключевыми представителями персонала .
Сбор документов обычно предусматривает сбор важных документов , содержащих информацию об основных факторах , влияющих на миссию национальной группы CIRT. К типам документов , сбор которых необходимо осуществлять , обычно относятся следующие :
– национальная стратегия кибербезопасности ;
53
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
– общая концепция деятельности национальной группы CIRT и стоящей над ней организации ; общая концепция предыдущие предыдущие деятельности заключения отчеты об самых аудитора инцидентах относительно
, важных заинтересованных повлиявших национальной на клиентуру ; сторон группы или
CIRT; клиентов ;
– законодательные или нормативные акты , которые определяют и дают полномочия национальной группе CIRT; важные законы и другие регуляторные документы . –
Проведение интервью обычно является более значимым и результативным из двух указанных методов . Интервью с руководителями , сотрудниками , клиентами и другими заинтересованными сторонами дает возможность достичь согласия и понять , что является действительно важным для деятельности организации . Кроме этого , интерактивный характер интервью позволяет участникам оказывать помощь в координации процесса и озвучивать волнующие их вопросы и другие нюансы так , как это обычно невозможно сделать в ходе анализа документов .
–
–
Чтобы интервью , нацеленные на поиск CSF, были продуктивными , к ним необходимо привлекать нужных людей , а также заблаговременно обдумывать вопросы , которые будут поставлены во время беседы . Так , простой вопрос " Какие факторы успеха для Вас являются ключевыми ?" может дать возможность получить от собеседника полезную информацию , однако зондирующие вопросы или открытые вопросы могут быть более полезными . Например :
–
Какие
Какую ваши три угрозу основных вашей опасения организации по поводу может нести утери в себе информации сбой в
? информационной системе ?
Какими являются два или три самых главных момента , которые вам нужны для управления инцидентами в области кибербезопасности , и которые на данный момент отсутствуют в вашей организации ?
–
–
Из за чего вы бы отказались обмениваться с национальной группой CIRT информацией о факторах уязвимости или инцидентах ?
Как мы можем заслужить доверие людей в вашей организации ?
5.8 Анализ данных
После того , как данные собраны , их необходимо проанализировать . На этапе анализа изучаются документы и ответы респондентов интервью с целью определения общих тем . Под общими темами подразумеваются идеи или виды деятельности , которые повторяются в документах или ответах респондентов .
Анализ документов с целью определения тем может быть относительно прямолинейным .
В качестве примера на Рисунке 8 представлены задачи 3.1–3.3, взятые из " Стратегического плана
Министерства национальной безопасности Соединенных Штатов Америки на 2008-2013 годы ".
Некоторые части этих задач подчеркнуты в тексте , приведенном ниже . Эти утверждения и связанные с ними темы вынесены в Таблицу 1.
54
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Рисунок 8: Пример : Три задачи , взятые из Стратегического плана Министерства национальной безопасности Соединенных Штатов Америки на 2008 − 2013 годы
Задача З 3.1
Защита и усиление способности к восстановлению важнейшей инфраструктуры и ключевых ресурсов .
Мы возглавим работу по ослаблению потенциальных факторов уязвимости важнейшей инфраструктуры и ключевых ресурсов нашей страны для обеспечения их защиты и способности к восстановлению . Мы будем способствовать развитию взаимовыгодных партнерских отношений с собственниками и операторами из государственного и частного секторов для защиты нашей важнейшей инфраструктуры и ключевых ресурсов от наиболее опасных угроз и ключевых рисков . Мы усилим способности к восстановлению важнейшей инфраструктуры и ключевых ресурсов .
Задача 3.2
Обеспечение непрерывности связи и деятельности правительственных органов
Мы обеспечим непрерывность процесса планирования деятельности на ключевых правительственных уровнях . Мы улучшим наши возможности поддержания непрерывности важнейших функций / операций правительственных органов и частных компаний , включая обеспечение защиты правительственных кадровых ресурсов , материальной базы , лидеров страны и национальной инфраструктуры связи от целого ряда потенциальных чрезвычайных ситуаций .
Задача 3.3
Повышение уровня кибербезопасности
Мы ослабим нашу уязвимость к угрозам киберсистем , чтобы предупредить злоупотребление ими с целью нанесения ущерба важнейшей инфраструктуре на национальном уровне , а также обеспечим снижение частоты сбоев в киберпространстве , сократим их длительность до минимума , сделаем их управляемыми и максимально сократим масштаб их последствий .
Таблица 1: Определение тем в результате изучения документов
Утверждение
" Ослабление потенциальных факторов уязвимости ". Ослабление
Тема факторов уязвимости
" Ослабление наших факторов уязвимости к угрозам киберсистем ". Ослабление факторов уязвимости
" Содействие развитию взаимовыгодных партнерских отношений ".
" Повышение способности к восстановлению важнейшей инфраструктуры ".
" Защита инфраструктуры связи ".
Создание партнерских отношений с представителями частного сектора
Способность инфраструктуры к восстановлению
Способность инфраструктуры к восстановлению
Способность инфраструктуры к восстановлению
"… Обеспечение снижения частоты сбоев в киберпространстве , сокращение их длительности до минимума , обеспечение их управляемости , а также максимальное ограничение масштаба их последствий ".
Извлечение тем из заметок по интервью осуществляется таким же образом , но может быть более сложным , так как фасилитаторы интервью не должны позволять личным предубеждениям , своему положению фасилитатора или другим факторам искажать результаты проделанной работы .
55
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Процесс упорядочения данных обычно осуществляется для того , чтобы избавиться от существующих предубеждений и оценивать все ответы респондентов на равных условиях .
Упорядочение данных означает переформулирование ответов и подачу их таким образом , чтобы можно было ограничить влияние фактора предвзятости и других ошибок .
5.9 Определение CSF
–
–
Процесс определения CSF предусматривает дальнейшую корректировку тем , полученных в ходе анализа , с целью разработки лаконичных уникальных CSF, описывающих основные сферы , в которых национальная группа CIRT должна осуществлять деятельность для обеспечения выполнения своей миссии . Доработка тем включает в себя их группирование на основе похожих характеристик и максимально краткую формулировку того , какое значение имеет каждая тема для организации . Этот процесс повторяется много раз для того , чтобы отсеять те возможные CSF, которые являются нечеткими или дублируют другие . Ниже представлен пример списка CSF уровня предприятия и CSF оперативных мероприятий в отношении национальной группы CIRT.
Необходимо выявлять неавторизированный трафик в сетях правительственных органов .
Необходимо осуществлять управление негативными процессами предания гласности инцидентов в сфере безопасности .
–
–
Сотрудники должны осуществлять координацию деятельности с поставщиками .
Факторы уязвимости необходимо оперативно ослаблять .
– Необходимо построить прочные партнерские отношения с представителями частного сектора .
Услуги должны предоставлять действующие штатные сотрудники
25
. –
После того , как CSF определены , их необходимо внедрить , чтобы они могли стать полезными .
В следующем разделе приведены три примера того , каким образом CSF можно использовать для содействия управлению национальной группой CIRT.
5.10 Применение ключевых факторов успеха в деятельности национальных групп CIRT
Цель определения CSF заключается в том , чтобы помочь руководителям национальных групп CIRT понять их деятельность и улучшить процесс принятия решений . Способы использования CSF национальными группами CIRT схожи с теми , которые используются многими организациями , ориентированными на ИТ . Так , CSF могут содействовать управлению обеспечением безопасности и способности к восстановлению , помогая руководителям понять , какие услуги и активы действительно важны и требуют обеспечения своей безопасности . Они также могут помочь руководителям определить относительную приоритетность обеспечения безопасности различных активов . В этой связи CSF можно использовать для содействия определению масштаба оценки рисков . Оценка рисков может оказаться трудоемким процессом , занимающим много времени .
Соответственно , чтобы оценка рисков была результативной , необходимо формализовать процесс определения значимых услуг и связанных с ними активов . И наконец , CSF могут способствовать определению руководителями требований , необходимых для обеспечения способности к восстановлению ( соблюдение конфиденциальности , целостности и доступности ) информационных активов .
25
Вымышленная национальная группа CIRT, представленная в этом примере , как и многие национальные группы
CIRT, сталкивается с ограниченностью ресурсов .
56
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В данном разделе речь пойдет о том , как CSF могут помочь лидерам , желающим создать или внедрить национальную группу CIRT. Далее внимание будет сосредоточено на двух примерах управления деятельностью нашей гипотетической национальной группы CIRT: выбор услуг , предлагаемых клиентам , а также определение приоритетов при осуществлении оценки .
5.11 Создание национального потенциала для управления компьютерными инцидентами
В одном из предыдущих отчетов данной серии [Haller 2010] мы определили четыре стратегические цели и ряд способствующих целей , достижение которых необходимо для формирования потенциала национальной группы CIRT. Это следующие цели :
– Планирование и создание потенциала для централизованного управления компьютерными инцидентами
• определение спонсоров и принимающих сторон ;
–
–
–
• определение ограничений ;
• определение структуры национальной группы CIRT;
• определение полномочий национальной группы CIRT;
• определение услуг национальной группы CIRT;
• определение дополнительных заинтересованных сторон .
Обеспечение общей ситуационной осведомленности
• построение и поддержание доверительных отношений ;
• координация совместного использования информации участниками на национальном уровне ;
• интеграция информации о рисках , полученной от сообщества ;
• сбор информации о компьютерных инцидентах .
Управление киберинцидентами
• определение инцидентов и угроз , представляющих интерес национального уровня ;
• анализ компьютерных инцидентов ;
• разработка эффективного рабочего процесса ;
• предупреждение сообщества ;
• освещение примеров передового опыта в области кибербезопасности .
Содействие внедрению национальной стратегии кибербезопасности
• использование опыта и информации для улучшения управления киберинцидентами на национальном уровне и разработки политики в области кибербезопасности ;
• создание национального потенциала в области кибербезопасности ;
• рациональное использование потенциала партнерских отношений между государственным и частным секторами для повышения уровня осведомленности и эффективности ;
• участие в работе по созданию групп и сообществ совместного использования информации , а также стимулирование такой работы ;
• оказание помощи правительственным органам страны в реагировании на инциденты с целью содействия их деятельности .
57
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Несмотря на то что вышеуказанные стратегические и способствующие цели дают представление о мерах , необходимых для создания национальной группы CIRT, предыдущий отчет не содержит убедительного описания того , как достичь этих целей . Важным шагом в этом направлении может быть определение CSF. CSF могут прояснить ситуацию и дать ответ на основные вопросы , касающиеся того , как достичь таких целей . В Таблице 2 приведено несколько примеров типичных вопросов , которые могут возникать при внедрении национальной группы CIRT. Способствующие цели взяты из предыдущего документа :
Таблица 2: Вопросы , которые необходимо учесть при внедрении национальной группы CIRT
Способствующая цель
Определение услуг национальной группы CIRT
Построение доверительных
Интеграция информации о рисках , полученной от сообщества
Определение инцидентов и угроз , представляющих интерес национального уровня
Предупреждение сообщества
Создание области и поддержание отношений национального потенциала кибербезопасности в
Вопросы
• Какие услуги следует предоставлять ?
• Как руководитель может быть уверен в том , что это именно те услуги , которые нужны ?
• В какой последовательности их следует предоставлять ?
• Каким клиентам их следует предоставлять ?
• С кем создавать и поддерживать доверительные отношения ?
• Какие виды информации о рисках следует интегрировать ?
• От каких представителей сообщества ?
• В какой последовательности ?
• Инциденты , оказывающие воздействие на национально значимые системы ?
• В какой последовательности с ними следует работать ?
• Каких представителей сообщества ?
• В какой последовательности их следует предупреждать ?
• Предупреждать с предоставлением какой информации ?
• Какой тип потенциала следует создать ?
• В каких организациях ?
• В какой последовательности ?
Настоящий документ не дает полного описания того , как можно использовать CSF при достижении каждой из указанных целей . Тем не менее , определение CSF, т . е . того , что действительно важно для достижения успеха – это обособленное , единоразовое действие , которое может наполнить содержанием и улучшить много разных решений организационного характера .
5.12 Выбор услуг , предоставляемых национальной группой CIRT
Услуги , предоставляемые национальной группой CIRT, обуславливаются ее миссией и клиентурой .
Предоставление некоторых услуг может потребовать значительных затрат в плане финансирования и укомплектования персоналом
26
. Иные услуги могут просто дублировать те услуги , которые клиенты способны или должны обеспечивать сами . Чтобы избежать ненужной траты времени и ресурсов , услуги должны быть тесно связаны с рабочей средой национальной группы CIRT, политическими и другими условиями , потребностями клиентов , а также должны быть
26
Например , обнаружение серии вторжений – это вид корреляционного анализа , результаты которого должны предоставить правоохранительным и другим правительственным органам информацию , которая поможет указать на лиц или организации , стоящие за определенными злоумышленными действиями . Такой вид углубленного анализа , затрагивающий большие серии инцидентов , может быть очень трудоемким .
58
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности ориентированы на те виды деятельности , которые являются действительно значимыми для успеха национальной группы CIRT. Одним словом , услуги должны быть привязаны к CSF.
В этом разделе представлено описание анализа взаимосвязи для определения услуг , которые условная национальная группа CIRT должна предоставлять . Анализ взаимосвязи – это общепринятый метод использования CSF, который имеет следующее определение :
. . . взаимосвязь – это присущее или воспринимаемое сходство между двумя вещами . Анализ взаимосвязи – это метод изучения такого сходства , призванный обеспечить понимание взаимоотношений между этими вещами и получить выводы об их взаимном влиянии [Caralli
2004].
Анализ взаимосвязи обычно осуществляется путем построения сравнительной матрицы , которая помогает сравнить и соотнести CSF с разными критериями . В качестве критериев сравнения могут выступать разные аспекты деятельности организации , в зависимости от того , какой тип анализа необходимо осуществить . Например , критерии сравнения могут быть следующие :
– организационные процессы ;
–
–
–
– информационные материальные требования количественные активы активы ; безопасности
;
; показатели эффективности деятельности ;
– цели или задачи рабочего подразделения .
Целью создания сравнительной матрицы является обнаружение взаимосвязи между некоторыми критериями и CSF. Например , в очень простом примере , представленном ниже , CSF сравниваются с отделами условной организации для того , чтобы установить , какой отдел работает на обеспечение каких ключевых факторов успеха .
59
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Рисунок 9: Сравнение CSF с отделами организации с целью установления , какой отдел работает на обеспечение каких ключевых факторов успеха
–
–
–
–
Нижеследующий пример предусматривает анализ того , какие услуги наша условная национальная группа CIRT должна предлагать своим клиентам , представляющим государственный сектор и важнейшую инфраструктуру . В результате осуществления формального процесса в соответствии с принципами , описанными во втором разделе данного отчета , было определено шесть CSF. К ним относятся следующие : необходимо выявлять неавторизированный трафик в сетях правительственных органов сотрудники должны осуществлять координацию деятельности с поставщиками ; факторы уязвимости необходимо оперативно ослаблять ;
; необходимо осуществлять управление негативными процессами предания гласности инцидентов в сфере безопасности ;
– необходимо построить прочные партнерские отношения с представителями частного сектора ;
60
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
– услуги должны предоставлять действующие штатные сотрудники .
Полная матрица , составленная по методу анализа взаимосвязи , представлена на странице 62.
Данная матрица была создана на основании сравнения каждого CSF с каждой потенциальной услугой , чтобы таким образом определить , обеспечивает ли соответствующая услуга выполнение
CSF ( или соответствует ему ). В данном случае создание сравнительной матрицы обеспечивает выводы и информацию , полезные для руководителя национальной группы CIRT.
Как показывают первичные наблюдения , CSF " Необходимо выявлять неавторизированный трафик в сетях правительственных органов " в значительной степени остается необеспеченным , и его будет очень сложно обеспечить . Хотя и существуют услуги , которые могут помочь национальной группе
CIRT обнаруживать несанкционированный трафик , их нельзя предоставлять в соответствии с требованием CSF " Услуги должны предоставлять действующие штатные сотрудники ". В таком случае , руководители национальной группы CIRT должны дополнительно обсудить этот фактор успеха со своей спонсирующей правительственной организацией , чтобы откорректировать или отменить соответствующее требование или же обосновать необходимость увеличения финансирования , чтобы позволить национальной группе CIRT нанять больше сотрудников , в том числе больше высококвалифицированных сотрудников .
Еще одно первичное наблюдение на основе матрицы связано с тем , что самой полезной общей услугой , которую может предоставлять национальная группа CIRT, попросту является ее работа в роли надежного контактного центра и координатора
27
. Это связано с тем , что выполнение функций координатора обеспечивает внедрение большого количества CSF.
Наконец , матрица показывает , что на данный момент национальная группа CIRT слабо укомплектована персоналом . " Оповещение об опасности и предупреждение " и " Развитие организационного потенциала группы CIRT" – услуги , которые обеспечивают внедрение двух и трех
CSF соответственно . Тем не менее , национальная группа CIRT на данный момент не способна предоставлять эти услуги , так как она не укомплектована соответствующим персоналом . Эти услуги не могут предоставлять действующие штатные сотрудники группы , что является требованием последнего в представленном выше списке CSF. Это указывает на необходимость набора дополнительных сотрудников для обеспечения возможности предоставления этих крайне необходимых услуг
28
.
27
При выполнении этой функции национальная группа CIRT выступает в качестве координатора отечественных организаций , работающих над урегулированием инцидентов в области кибербезопасности . Она также выполняет эту функцию и в отношении иностранных организаций , запрашивающих информацию об инцидентах в сфере безопасности , которые могут иметь определенную связь с клиентом национальной группы CIRT. При выполнении этой функции национальная группа CIRT обычно сама не осуществляет анализ или обработку инцидентов , но координирует деятельность организаций по поиску информации , услуг или других организаций , которые могут оказать им содействие .
28
Наоборот , национальная группа CIRT обеспечена соответствующим персоналом для предоставления двух услуг ,
Обработка артефактов и Наблюдение за технологиями , которые не делают значительный вклад в формирование первых пяти CSF.
61
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Таблица 3: Матрица анализа взаимосвязи в процессе выбора услуг для условной национальной группы CIRT
Ключевые факторы успеха Ключевые факторы успеха
62
Обнаружение серий вторжений
Консультирование правительства национального уровня по вопросам кибербезопасности
Оценка национального уровня готовности и потенциала кризисного регулирования
Оповещение и предупреждение на национальном уровне
Формирование организационного потенциала групп CIRT
Надежный контактный центр и координатор
Формирование культуры кибербезопасности
Обработка инцидентов
Реагирование на инциденты на месте
Координация работы по реагированию на инциденты
Обработка факторов уязвимости
Анализ факторов уязвимости
Реагирование на факторы уязвимости
Обработка артефактов
Наблюдение за технологиями
Услуги по обнаружению вторжений
Оценка рисков ( предоставляется собственникам и операторам инфраструктуры )
Образование и профессиональная подготовка x x x x x
X x x
X
X
X
X
X
X
X
X
X
X x x x x x
X
X x x
X x x
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Как часто происходит , в случае осуществления анализа с использованием CSF формальный процесс не дает полностью неожиданных результатов . Например , на основании исторических и несистематических данных , часто случается так , что работа в роли надежного координатора является базовой услугой , которая содействует выполнению разных функций . Тем не менее , формальный аналитический процесс способствует достижению согласия среди руководителей , заинтересованных сторон и основных клиентов . В случае рассматриваемой здесь условной национальной группы CIRT сравнительная матрица представляет четкие доказательства в пользу предположения о том , что базовая услуга по координации должна получить наивысший уровень поддержки на начальном этапе внедрения . Эта услуга является ценной в контексте данной национальной группы CIRT. Формальный процесс также может помочь руководителям прийти к другим неочевидным выводам , как , например , то , что уровень укомплектования персоналом в случае этой конкретной национальной группы CIRT в определенной степени не соответствует услугам , которые действительно необходимы .
5.13 Определение приоритетов в отношении оценки и системы показателей
CSF могут быть полезными также и при определении приоритетов оценки для руководителей национальной группы CIRT. Руководящие лица любой организации часто имеют дело с большим количеством разной информации в форме отчетов о деятельности , осуществляемой в рамках их организаций . Однако во многих случаях эта информация является либо неактуальной , либо она бесполезна для руководителей , которые пытаются определить состояние своей организации и то , насколько она выполняет свою миссию .
Отчеты часто могут быть в первую очередь предназначены для других подразделений организации или призваны способствовать поддержке общих функций предприятия . В случае коммерческого предприятия они могут иметь форму отчетов о дебиторской задолженности или отчетов о продажах того или иного продукта . В некоторых организациях усилия , направленные на обеспечение руководства своевременной , специализированной информацией об общем состоянии организации , очень незначительны . Иногда считается , что оперативная и рабочая среда так быстро меняется , что предоставление формализованных отчетов о состоянии организации не имеет практической ценности , или что более предпочтительным методом оценки руководителями общего состояния своей организации являются всего лишь беседы с сотрудниками и клиентами .
В то время как руководители обычно сильно заинтересованы в том , чтобы понимать состояние своей организации , оценка невидимых аспектов деятельности предприятия сопряжена с определенными затратами . Как правило , такие затраты выражаются в потере рабочего времени и возможностей . Таким образом , необходимо установить четкие требования относительно информации , предоставляемой руководству организации . Хорошим способом определения таких требований являются CSF. В нижеследующем примере CSF нашей условной национальной группы
CIRT представлены наряду с некоторыми примерами мероприятий , связанных с каждым фактором .
Таблица 4: Примеры критериев оценки , способствующих выполнению миссии национальной группы CIRT
Ключевые факторы успеха
Необходимо выявлять несанкционированный трафик в сетях правительственных органов
Потенциальные требования в отношении информации
• Количество инцидентов за этот год , связанных с маяками , указывающими на взломанный или вредоносный хост компьютер
• Частота случаев ошибочного допуска в контексте правил обнаружения происшествий
• Процентная доля правительственных точек доступа , в отношении которых осуществляется мониторинг
• Частота обновления критериев обнаружения происшествий
63
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Ключевые факторы успеха
Необходимо осуществлять управление негативными процессами предания гласности инцидентов в сфере безопасности
Сотрудники должны осуществлять координацию деятельности с поставщиками
Необходимо построить прочные партнерские отношения с представителями частного сектора
Факторы уязвимости необходимо оперативно ослаблять
Потенциальные требования в отношении информации
• Количество запросов в адрес контактного лица по связям с общественностью
• Процентная доля новостных сюжетов , рассказывающих об инцидентах в сфере безопасности в том районе , в котором национальная группа CIRT впервые сама узнала об инциденте из средств массовой информации
• Количество новостных сюжетов по теме компьютерных инцидентов среди клиентов национальной группы CIRT
• Количество запросов СМИ , на которые ответили сотрудники национальной группы CIRT, не являющиеся контактным лицом по работе со СМИ
• Количество поставщиков ИТ , с которыми сотрудничает клиентура , в сравнении с количеством поставщиков , состоящих в базе национальной группы CIRT
• Количество случаев добровольного информирования об инцидентах со стороны клиентов , представляющих частный сектор
• Количество и тенденции запросов касательно новых угроз безопасности , направленных клиентами из частного сектора в адрес национальной группы CIRT
• Количество курсов профессиональной подготовки , ежегодно проводимых на базе основных заинтересованных сторон из частного сектора .
• Процентная доля повторяющихся инцидентов , размер ущерба от которых превышает сумму Х , вызванных известными источниками
• Длительность периода от уязвимости нулевого дня до внедрения патча у всех клиентов
• Процентная доля инцидентов , о которых было сообщено и которые связаны с известными факторами уязвимости , существующими не менее 45 дней .
Как вариант , руководители национальной группы CIRT могут вести каталог существующих отчетов о деятельности их организации и выбирать имеющуюся в нем информацию . Или перед ними может стоять выбор программного обеспечения по управлению инцидентами , которое может предложить разные функциональные возможности по предоставлению отчетности . В таких случаях анализ взаимосвязи с использованием CSF – аналогично примеру , приведенному в предыдущем пункте – можно использовать для определения того , какие виды отчетов необходимо иметь или какие виды средств предоставления отчетности будут самыми выгодными для организации .
5.14 Заключение
CSF являются ценными инструментами , которые помогают руководителям организаций со сложной структурой принимать своевременные решения и приоритезировать свои услуги и активы . Как ожидается , информация , представленная в данном отчете , обеспечит понимание того , как формальный процесс определения и использования CSF может помочь руководству и другим сотрудникам национальной группы CIRT связать свою деятельность непосредственно с успехом организации .
Управление национальной группой CIRT – это исключительная и сложная задача для руководителя .
Эти организации играют все более значимую роль и помогают клиентам на национальном уровне понимать инциденты в области кибербезопасности и управлять ими . Руководство национальных групп CIRT должно развиваться и формализовать свою деятельность , чтобы дать возможность группам в полной мере содействовать процессу обеспечения кибербезопасности на национальном уровне , а также органично интегрироваться в уникальную рабочую среду своих групп .
Национальные группы CIRT – это развивающиеся организации , и такие инструменты , как CSF могут способствовать процессу управления ими .
64
6
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Примеры передового опыта по обеспечению кибербезопасности – защита сетей поставщиков услуг интернета ( ПУИ )
6.1 Введение
Самым актуальным аспектом проблемы бот сетей , требующим неотложного решения , являются потребительские широкополосные сети жилых помещений . Несмотря на то , что проблема бот сетей также присутствует и в сетях и услугах , ориентированных на предприятия , в этих сетях существует намного больше решений , чем на рынке потребителей жилищного сектора , и в контексте предприятий меры реагирования на проблему бот сетей принимаются более оживленно . Таким образом , данный отчет направлен на определение примеров передового опыта ПУИ , которые предоставляют услуги потребителям через широкополосные сети жилых помещений .
Несмотря на такую направленность отчета , многие из указанных здесь примеров передового опыта также могут быть ценными и в случае применения их в контексте непотребительских сетей вне жилых помещений . Ввиду сложности и разнообразия отдельных сетей , а также быстро меняющегося характера угроз безопасности со стороны бот сетей , отдельные сети должны иметь возможность реагировать на угрозы безопасности тем способом , который наиболее соответствует их условиям .
Представленные здесь примеры передового опыта не следует рассматривать как исчерпывающий список всех мер , которые ПУИ могут принимать с целью решения проблемы бот сетей и взломанных компьютеров . Многие поставщики услуг также принимают и дополнительные меры в ответ на проблему бот сетей , и многие из них часто рассматривают возможность применения новых или дополнительных методов , не входящих в перечень базовых мероприятий , описанных ниже .
6.2 Задача , сфера применения и методика
Задача
В данном отчете рассматривается существующая на данный момент практика ПУИ по защите своих сетей от вреда , наносимого логически соединенным компьютерным оборудованием , а также желаемая практика и препятствия , связанные с внедрением такой практики . Здесь также рассмотрены методы динамического обнаружения компьютерного оборудования , причастного к злоумышленной кибератаке , оповещения пользователей и исправления проблем .
Отчет направлен на освещение отношений между ПУИ и конечными пользователями в контексте широкополосных сетей в жилых помещениях ( проблема устройств конечных пользователей , пострадавших от бот сетей ); кроме того , в нем определены примеры передового опыта ПУИ , которые являются эффективными при решении проблемы взлома устройств конечных пользователей .
Сфера применения
Слабые места в безопасности оборудования и ( или ) программного обеспечения , используемого потребителями , в сочетании с неэффективной практикой администрирования системы или полным отсутствием таковой со стороны конечных пользователей , привели к эпидемическому росту количества взломанных компьютеров , многими из которых можно управлять дистанционно в составе сетей , часто называемых " бот сетями ". После взлома компьютеров их владельцы подвержены риску в связи с возможным отслеживанием их личных данных и общения с другими людьми .
В употребляемом здесь смысле понятие " компьютерное оборудование " охватывает широкий спектр личного оборудования ( например , серверы , персональные компьютеры , смартфоны , домашние маршрутизаторы и пр .), а также бытовые устройства с функцией подключения к IPсети .
Понятие " логическое соединение " касается протокола передачи данных конечного пользователя .
65
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Вред наносится благодаря возможности понижения качества инфраструктуры связи за счет протокола злоумышленного обмена данными и передачи информации , вследствие чего вычислительная мощность оборудования и его доступ к интернету могут быть злонамеренно использованы теми , кто контролирует бот сеть . Целые армии таких зараженных компьютеров также можно использовать совокупно для рассылки спама , хранения и передачи незаконного контента , а также для атак на серверы правительственных и частных организаций в виде массовой распределенной атаки типа " отказ в обслуживании " (DDoS).
В данном отчете рассматривается существующая на данный момент практика ПУИ по защите своих сетей от вреда , наносимого логически соединенным компьютерным оборудованием , а также желаемая практика и препятствия , связанные с внедрением такой практики . В документе также рассмотрены методы динамического обнаружения компьютерного оборудования , причастного к злоумышленной кибератаке , оповещения пользователей и исправления проблем . Отчет содержит рекомендации относительно примеров передового опыта и мер , которые можно использовать для преодоления препятствий внедрению методов защиты .
Ниже приведены тезисы , резюмирующие результаты исследований , которые были представлены в ходе презентаций и консультаций , проведенных экспертами :
− Взлом устройств конечных пользователей с целью вовлечения их в существенной проблемой , затрагивающей всех ПУИ – крупных и мелких . бот сети является
–
–
Вредоносное программное обеспечение для создания бот сетей быстро распространяется среди устройств конечных пользователей .
Стремительный рост количества случаев заражения оборудования вирусами , создающими бот сети , а также высокий технологический уровень таких вирусов , указывают на то , что их распространению способствуют продвинутые преступные элементы .
–
–
Технологии вредоносного программного обеспечения и вирусов , направленных на создание бот сетей , а также масштабы их воздействия , развиваются быстрее , чем методы и технологии реагирования на них , созданные на данный момент ПУИ .
Бот сети являются комплексной проблемой , которая затрагивает вопросы , связанные как с конечным пользователем , так и с самими сетями .
–
–
–
–
Усилия ПУИ , направленные на решение проблемы бот сетей , должны включать в себя сотрудничество и совместное использование информации в среде ПУИ , чтобы обеспечить исчерпывающее решение данной проблемы .
Существуют примеры передового опыта ( в том числе запросы на комментарии Целевой группы по инженерным проблемам интернета ), которые направлены на решение отдельных аспектов проблемы бот сетей ( например , меры реагирования на спам ); тем не менее , не был определен и широко внедрен ни один комплексный подход к решению проблемы ( по крайней мере , в сетях Соединенных Штатов Америки ).
Методы обнаружения бот сетей актуализируют вопрос защиты личных данных конечного пользователя , который необходимо учитывать при разработке подходов к решению проблемы бот сетей .
Остроту проблемы бот сетей устройств конечного пользователя можно значительно ослабить , если эти примеры передового опыта будут практически применять , по возможности , ПУИ , которые обслуживают пользователей широкополосных сетей в жилых помещениях .
Дальнейшие шаги
Данный отчет предлагает основу для борьбы ПУИ с проблемой ботов , затронувшей устройства конечных пользователей в широкополосных сетях жилых помещений , помогая снизить влияние бот атак на сеть . Возможным дальнейшим шагом в решении проблемы ботов и бот сетей может быть расширение масштаба этой работы для охвата тех направлений атак , которые злоупотребляют
66
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности факторами уязвимости для увеличения количества ботов и умышленного запутывания каналов управления и контроля бот сетей . Несмотря на то , что этот отчет рассматривает данную проблему с учетом изначально проделанной работы в таких сферах , как система наименования доменов (DNS), динамическое пространство и спам , такую работу можно проделать и в отношении улучшения защиты от факторов уязвимости социального инжиниринга , заражения веб сайтов общего пользования троянами , связанными с ботами , и другим вредоносным ПО , а также в отношении обнаружения и изоляции сетевого трафика по управлению ботами .
Как упомянуто в разделе " Рекомендации ", примеры передового опыта необходимо часто пересматривать и обновлять с учетом последних нововведений в технологиях и методах борьбы против бот сетей . Кроме того , дополнительная работа по сбору примеров передового опыта может быть полезной и в других сферах , касающихся работы сетей , вне контекста широкополосных сетей жилых помещений , которым посвящен этот отчет .
Создание новых примеров передового опыта
Примеры передового опыта распределены на категории на основе логичных шагов , которые необходимо предпринимать в процессе решения проблемы бот сетей . К категориям примеров передового опыта относятся Профилактика , Обнаружение и Оповещение конечных пользователей ,
Смягчение последствий и Обеспечение конфиденциальности при обнаружении ботов и оповещении конечных пользователей . Примеры передового опыта описаны в Приложении А .
Примеры передового опыта в сфере профилактики
Двенадцать примеров передового опыта в сфере профилактики призваны помочь в профилактике заражения ботами устройств конечных пользователей и его основных последствий для сетей ПУИ .
Для конечных пользователей главным вопросом является то , как ПУИ могут помочь пользователям широкополосных сетей жилых помещений защитить свои устройства и сети от заражения вредоносным программным обеспечением по созданию бот сетей . Эту задачу можно выполнить путем определения примеров передового опыта по повышению уровня осведомленности и знаний конечных пользователей относительно значимости соблюдения правил безопасного пользования интернетом , например , обновление операционных систем и программ до самой свежей версии , осознание существования мошеннических действий в области социального инжиниринга и пр ., а также использование антивирусного ПО для обнаружения вредоносного ПО и ботов . Персонал
ПУИ должен идти в ногу с самыми последними разработками в области технологий бот сетей и вредоносного ПО , чтобы эффективно бороться с проблемами бот сетей . Примеры передового опыта профилактики сети направлены на решение проблемы злоупотреблений системой наименования доменов и динамическим пространством со стороны ботов , а также на профилактику спама , созданного ботами ( благодаря спаму распространяются боты и другое вредоносное ПО и создается перегрузка сети ).
Примеры передового опыта в сфере обнаружения
Пять примеров передового опыта в сфере обнаружения направлены на обеспечение потенциала по обнаружению ботов и совместному использованию информации в среде ПУИ . В связи с постоянно растущей сложностью бот сетей и скоростью изменения технологий , используемых в бот сетях , разработка эффективных методов обнаружения и совместное использование соответствующей информации являются существенными в процессе борьбы с развертыванием бот сетей . Эти примеры также затрагивают необходимость применения методов обнаружения без вмешательства , а также необходимость своевременного принятия соответствующих мер .
Примеры передового опыта в сфере оповещения
После того , как обнаружен бот вирус , об этом необходимо сообщить конечному пользователю , чтобы были приняты меры по смягчению последствий . Два примера передового опыта в сфере оповещения направлены на поддержку эффективных методов оповещения и обеспечения передачи важнейшей служебной информации конечным пользователям , в отношении устройств или сетей которых существует высокая вероятность заражения ботами . Рекомендуется обеспечить
67
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности эффективный баланс между достижением определенного уровня уверенности в обнаружении бота и скоростью оповещения .
Примеры передового опыта в сфере смягчения последствий
Три примера передового опыта в сфере смягчения последствий направлены на снижение воздействия ботов на устройства конечных пользователей , а также на обеспечение защиты конечных пользователей и сети от атак бот сетей . Примеры передового опыта в сфере смягчения последствий указывают на необходимость оповещения конечного пользователя со стороны ПУИ путем предоставления информации о том , что нужно делать в случае вероятного заражения ботом .
Кроме того , представлены примеры передового опыта сотрудничества ПУИ в условиях критических киберинцидентов , которые могут быть вызваны атакой бот сети , а также указана потенциальная необходимость временной изоляции активно атакующих ботов для снижения вероятности негативных последствий на конечного пользователя или сеть ( при этом , подчеркивается , что такие шаги должны приниматься только в качестве " крайних мер " или в других критических ситуациях , и что в любом случае следует учитывать потребности затронутых пользователей ).
Примеры передового опыта в сфере обеспечения конфиденциальности
Некоторые примеры передового опыта в сфере профилактики , обнаружения , оповещения и смягчения последствий поднимают регулярно возникающий вопрос о необходимости защиты информации конечного пользователя . В ответ на эту проблему в отчете предложены два примера передового опыта , направленные на решение проблем обеспечения конфиденциальности информации конечного пользователя . Первый пример связан с защитой конфиденциальности информации конечного пользователя в контексте раскрытия информации о клиенте в процессе борьбы с заражением ботами и атаками ботов , а второй предлагает внедрение комплексной стратегии создания технических средств защиты конфиденциальности информации клиентов .
6.3 Анализ , выводы и рекомендации
Анализ
В отчете определены примеры передового опыта в виде логических шагов , которые необходимо предпринять для решения проблемы бот сетей . Примеры передового опыта в сфере профилактики – это примеры , связанные с профилактикой заражения ботами и снижения их воздействия на сети ПУИ . Примеры передового опыта в сфере обнаружения направлены на обнаружение поставщиками услуг интернета бот вирусов и бот атак . Примеры передового опыта в сфере оповещения касаются оповещения конечных пользователей о возможных бот вирусах .
Примеры передового опыта в сфере смягчения последствий направлены на снижение воздействия заражения устройств конечных пользователей ботами и смягчения их воздействия на сеть .
Выводы
Бот сети являются частью быстро меняющейся среды вредоносного ПО , в которую включены возможности заражения , управления и контроля , а также атак , главной движущей силой которой выступает желание получить экономическую выгоду со стороны тех , кто разрабатывает и развертывает эти бот сети – людей , которые нередко являются изощренными преступниками .
Уязвимые стороны в устройствах конечных пользователей , а также недостаточная осведомленность конечных пользователей и , таким образом , несоответствующие ответные действия с их стороны в целях защиты , как правило , становятся причиной массового заражения , вызванного вредоносным программным обеспечением .
После заражения вредоносным ПО в результате активации вредоносной программы на зараженном устройстве создаются бот сети . Бот устанавливает связь с системой управления и контроля бот сети и в большинстве случаев переходит в спящий режим , чтобы снизить возможность своего обнаружения в тот период времени , пока он ожидает команды об атаке от владельца бот -
68
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности сети . Уровень сложности ботов возрос до такой степени , что они часто могут получать обновления с целью добавления новых возможностей атаки и методов обфускации .
Бот сеть состоит из всех зараженных компьютеров , управление и контроль над которыми осуществляется из одного центра . Вредоносные боты сами по себе имеют полиморфную природу , обходя базовую систему обнаружения по подписи на уровне устройства . Использование сложных механизмов осуществления управления и контроля , в том числе использование технологии равноправных узлов , усложняет обнаружение ботов и бот сетей . Механизмы осуществления управления и контроля злоупотребляют уязвимостью инфраструктуры ПУИ и интернета , например ,
DNS, чтобы избежать обнаружения трафика при осуществлении управления и контроля и создавать векторы заражения для распространения вредоносного программного обеспечения с использованием ботов .
Когда устройство конечного пользователя вовлечено в бот сеть , существуют угрозы в отношении как конечного пользователя , таки и сети ПУИ . Личные данные конечного пользователя , такие как имя , информация о банковских счетах и кредитных карточках , могут быть похищены ; сеть ПУИ может попасть под атаки типа " отказ в обслуживании " или пострадать от рассылки спама и других сетевых атак .
Для решения этих проблем необходимо прервать жизненный цикл бот сети и очистить устройство от вредоносных бот вирусов . В данном отчете рассматриваются проблемы конечных пользователей и их устройств , а также некоторые основные слабые места сетей , благодаря которым боты быстро распространяются , а их влияние усугубляется .
Проблему бот сетей можно значительно ослабить за счет внедрения , в соответствующих условиях , предложенных примеров передового опыта в контексте широкополосных сетей жилых помещений .
Если подойти к решению проблемы бот сетей с точки зрения таких ее аспектов , как профилактика , обнаружение , оповещение и смягчение последствий , то можно разработать комплексную программу , которая окажет значительное влияние как на сами бот сети , так и на их воздействие на конечных пользователей и сети ПУИ . Большинство рассмотренных стратегий контроля бот сетей включают в себя некоторые , но не все , элементы примеров передового опыта .
Эти выводы подтверждают тот аргумент , что технологии и развертывание бот сетей на данный момент развиваются быстрее , чем методы реагирования на них , разрабатываемые отраслью ПУИ .
Общим для всех выводов является то , что залог успешного решения этой проблемы – это сотрудничество с конечными пользователями и другими ПУИ . На данный момент нет такого решения , которое позволило бы полностью устранить эту проблему . Тем не менее , для всестороннего подхода к решению проблемы бот сетей необходимо партнерское сотрудничество с конечными пользователями и другими ПУИ .
6.4 Рекомендации
В отчете указывается , что быстрый рост бот сетей , затрагивающих устройства конечных пользователей , опережает процесс формирования возможности эффективного решения этой проблемы , и , таким образом , настоятельно рекомендуется прилагать значительно больше усилий в этом направлении , помимо внедрения примеров передового опыта . Нижеследующие рекомендации основываются на результатах исследований и работы группы по систематизации примеров передового опыта :
–
–
Учитывая быстрый рост бот сетей и высокую скорость изменения технологий , примеры передового опыта ПУИ в отношении решения проблемы бот сетей следует пересматривать раз в два года .
Необходимо четче определить стандартные методы совместного использования информации с конечными пользователями и другими ПУИ .
69
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
Защита ( и удаление ) информации о пользователях , которую ПУИ может получить в процессе решения проблемы бот сетей , является важным вопросом , требующим к себе постоянного внимания .
Необходимо проводить оценку внедрения ПУИ примеров передового опыта борьбы с бот сетями для получения более четкой картины относительно того , насколько эффективно
ПУИ решают проблему бот сетей .
К другим возможным нормативно правовым мероприятиям относятся следующие :
– Создание , возможно , за счет государственного финансирования , веб сетями , с помощью которого конечные пользователи смогут удалять вредоносные боты со своего устройства , по типу центров по борьбе с бот сетями , созданных в Германии
( см . http://botfrei.de
) и Японии ( см . https://www.ccc.go.jp/en_ccc/ );
сайта по борьбе с бот -
– Проведение общественной информационной кампании в области кибербезопасности , включая мероприятия , направленные на повышение уровня осведомленности относительно бот сетей .
–
–
Создание информационно ресурсного центра при группе реагирования на нарушения компьютерной защиты (CERT), доступ к которому был бы открыт для ПУИ и конечных пользователей и который был бы ориентирован на обнаружение бот сетей и ослабление их воздействия и т . п .; а также
Деятельность по усовершенствованию технологий обнаружения трафика , используемого при осуществлении управления и контроля над ботами , можно стимулировать путем проведения исследований на базе правительственных и других организаций .
6.5 Заключение
В настоящем отчете определены 24 примера передового опыта по решению проблемы заражения ботами устройств конечных пользователей и воздействия бот сетей на конечных пользователей и сети ПУИ . Данные примеры передового опыта предоставляют основу для решения этой возрастающей проблемы и предназначены для рассмотрения ПУИ , которые предоставляют услуги пользователям широкополосных сетей в жилых помещениях . В будущем , среди других потенциальных мер , необходимо регулярно пересматривать такие примеры передового опыта для обеспечения их актуальности и расширения потенциальных рамок работы с новыми примерами передового опыта с целью определения тех примеров , которые направлены на прекращение распространения вредоносных ботов через сети , а также обнаружение и прекращение трафика по управлению бот сетями и контролю над ними .
Новые примеры передового опыта систематизированы по следующим сферам деятельности : профилактика (12 примеров передового опыта ), обнаружение (5 примеров передового опыта ), оповещение (2 примера передового опыта ) и смягчение последствий (3 примера передового опыта ). Кроме того , определены 2 примера передового опыта в сфере обеспечения конфиденциальности информации о пользователях в контексте борьбы с бот сетями .
Необходимо отметить , что примеры передового опыта нельзя применить во всех ситуациях ввиду различных факторов . Таким образом , данные примеры передового опыта предназначены для применения ПУИ по их собственному усмотрению . Внедрение той или иной практики на обязательной основе могло бы привести к функционированию сети на неоптимальном уровне , ее недостаточной надежности или к другим негативным последствиям
29
.
29
См . Приложение D для ознакомления с другими справочными материалами относительно примеров передовой практики по защите сетей ПУИ .
70
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
С учетом вышеуказанных факторов данный отчет рекомендует ПУИ внедрять , в зависимости от обстоятельств , примеры передового опыта , изложенные в Приложении A, для решения возрастающей проблемы бот сетей в контексте использования устройств конечных пользователей и сетей ПУИ .
7 Будущая работа
Кибербезопасность по прежнему остается одной из основных проблем практически для всех сообществ . В рамках данного Вопроса рассматриваются многие задачи , поднятые в его круге ведения на текущий исследовательский период . Остаются открытыми следующие области :
–
–
–
Хотя мы проводили обследование , в рамках Вопроса всем Членам Союза будет предоставлено дополнительное время для ответа , и поэтому предлагается перенести наше обследование на следующий исследовательский период .
Постоянно появляются новые формы спама , рассылаемого по электронной почте , и другие виды угроз , равно как и меры противодействия им . Предлагается продолжить эту работу .
В ответ на Совместную координационную деятельность по защите ребенка в онлайновой среде (JCA-COP) предлагается продолжить работу по защите ребенка в онлайновой среде , уделяя при этом особое внимание национальному опыту и проблемам стран .
– В этом же духе , поскольку Члены Союза активно высказываются о своих национальных проблемах и опыте в области кибербезопасности , нам следует продолжить составлять разрабатываемый нами краткий перечень .
Вся эта работа должна проводиться в тесном сотрудничестве с соответствующей Программой БРЭ , другими Секторами и экспертными организациями .
71
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
ПРИЛОЖЕНИЕ A: Общая информация о примерах передового опыта
Данные примеры передового опыта представляют собой описание руководящих указаний относительно того , какой подход лучше всего применить для решения той или иной проблемы . Они построены на отраслевом сотрудничестве с использованием обширных специальных знаний и значительных ресурсов . Примеры передового опыта предназначены для внедрения на добровольной основе . Планируется , что решение о внедрении тех или иных примеров передового опыта будет приниматься непосредственно соответствующей организацией ( например , поставщиком услуг , оператором сети или поставщиков оборудования ). Кроме того , возможность и целесообразность применения тех или иных примеров передового опыта в тех или иных условиях зависит от множества факторов , оценку которых необходимо проводить лицам с соответствующим опытом и специальными знаниями в той области , к которой относятся такие примеры передового опыта .
Обязательное внедрение этих примеров передового опыта не соответствует их предназначению .
Надлежащее применение данных примеров передового опыта может осуществляться исключительно лицами , обладающими знаниями в области инфраструктурной архитектуры корпоративных сетей , достаточными для понимания последствий такого применения . Несмотря на то , что данные примеры передового опыта изложены понятным языком , их суть часто не является очевидной для тех , у кого нет требуемых знаний и опыта . Для надлежащего применения этих примеров передового опыта необходимо понимать их воздействие на системы , процессы , организации , сети , абонентов , экономические операции , сложные вопросы затрат и другие факторы . С учетом этого данный отчет не рекомендует правительственным органам внедрять настоящие примеры передового опыта в отрасли в обязательном порядке , например , в форме регламентарных положений .
Примеры передового опыта в сфере профилактики
Примите к сведению , что примеры передового опыта данной группы направлены в основном на
ПУИ , которые предоставляют услуги конечным потребителям широкополосных сетей в жилых помещениях , при этом они применимы и к другим пользователям и сетям .
A.1 Номер примера передового опыта : Профилактика № 1
Будьте в курсе технологий использования бот сетей / вредоносного ПО :
ПУИ следует быть в курсе последних технологий использования бот сетей / вредоносного ПО , чтобы быть готовыми их обнаружить и предотвратить
30
.
A.2 Номер примера передового опыта : Профилактика № 2
Предоставление со стороны ПУИ образовательных ресурсов по компьютерной гигиене / безопасному использованию компьютерных технологий :
30
Пример передового опыта в сфере профилактики № 1: Справочные документы / комментарии : Для получения дополнительной информации см . следующий документ : www.maawg.org/sites/maawg/files/news/
MAAWG_Bot_Mitigation_BP_2009-07.pdf
.
Дополнительную информацию можно найти по следующему адресу : isc.sans.edu/index.html
, www.us-cert.gov/, www.itu.int/ITU-D/cyb/cybersecurity/projects/botnet.html.
73
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
–
–
–
–
–
ПУИ следует предоставлять или оказывать поддержку при предоставлении своим пользователям сторонних учебных , образовательных ресурсов и ресурсов самопомощи , чтобы объяснить им значимость безопасного использования компьютерных технологий и помочь им сформировать навыки безопасного использования таких технологий
31
. Пользователям ПУИ необходимо знать различные способы защиты устройств и сетей конечных пользователей от несанкционированного доступа , включая , среди прочего , следующие меры : использовать убедиться , что
ПО системы загрузка безопасности или покупка ПО
, которое защищает осуществляется из от вирусов законных и шпионского источников ;
ПО ;
–
–
– использовать средства межсетевой защиты ; настроить компьютер на автоматическую загрузку важных обновлений как для операционной системы , так и для установленных приложений ; регулярно сканировать компьютер на шпионское и другое потенциально нежелательное ПО ; поддерживать все приложения , дополнительные модули к ним и ПО операционной системы в актуальном и обновленном состоянии , а также использовать их функции по обеспечению безопасности ; принимать меры предосторожности при открытии документов , прилагаемых к сообщениям электронной почты ; принимать меры предосторожности при загрузке программ и просмотре веб страниц ; благоразумно использовать системы мгновенного обмена сообщениями ; использовать социальные сети , принимая меры безопасности ; использовать эффективный пароль ; никогда не разглашать свой пароль .
A.3 Номер примера передового опыта : Профилактика № 3
Предоставление со стороны ПУИ антивирусного ПО / ПО системы безопасности :
ПУИ необходимо обеспечивать своим конечным пользователям доступ к антивирусному ПО / ПО системы безопасности и ( или ) соответствующим услугам
32
. Если ПУИ сам не предоставляет доступ к такому ПО или такой услуге , то ему необходимо предоставить ссылки к другому ПО или другим
31
Пример передового опыта в сфере профилактики № 2: Справочные документы / комментарии : Дополнительную информацию можно найти по следующему адресу :
Национальный альянс кибербезопасности : www.staysafeonline.org/ .
OnGuard Online: www.onguardonline.gov/default.aspx
.
Министерство национальной безопасности − StopBadware: www.stopbadware.org/home/badware_prevent .
Comcast.net Security: security.comcast.net/.
Verizon Safety & Security: www.verizon.net/central/vzc.portal?_nfpb=true&_pageLabel=vzc_help_safety .
Веб сайт Qwest Incredible Internet Security: www.incredibleinternet.com/ .
Microsoft: www.microsoft.com/security/pypc.aspx
.
32
Пример передового опыта в сфере профилактики № 3: Справочные документы / комментарии : Отсутствуют .
74
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности услугам через свои образовательные ресурсы по безопасному использованию компьютерных технологий .
A.4 Номер примера передового опыта : Профилактика № 4
–
–
–
–
Защита DNSсерверов :
ПУИ следует защищать свои DNSсервера от спуфинг атак на системы наименований доменов и принимать меры для предотвращения распространения системами пользователей , подвергшимися такой атаке , жульнического трафика ( и соответственно их участия в атаках по копированию DNS)
33
.
Защитные меры включают следующие : управление трафиком DNS соответствует принятым в отрасли процедурам ; при существовании такой возможности , ограничение доступа к рекурсивным
DNSпреобразователям путем предоставления его только авторизованным пользователям ;
– блокирование жульнического трафика с использованием DNSзапросов на границе свои сетей , а также проверка в установленном порядке технических настроек DNSсерверов , например , путем использования доступных тестовых инструментов для подтверждения соответствующих технических настроек DNSсерверов .
A.5 Номер примера передового опыта : Профилактика № 5
–
–
Использование расширений безопасности системы наименований доменов :
Для защиты системы наименований доменов (DNS) ПУИ следует использовать расширения безопасности системы наименований доменов
34
. ПУИ необходимо рассмотреть принятие , как минимум , следующих мер : подписывать свои DNSзоны и регулярно проверять их действительность , в установленном порядке подтверждать действительность подписи расширений безопасности системы наименований доменов других зон ;
33
Пример передового опыта в сфере профилактики № 4: Справочные документы / комментарии :
Широко распространенные процедуры управления DNSтрафиком рассматриваются в следующем документе : www.maawg.org/sites/maawg/files/news/MAAWG_DNS%20Port%2053V1.0_201006.pdf
.
Вопросы безопасности в контексте рекурсивных преобразователей рассматриваются в документе IETF BCP 140/ RFC
5358. Меры реагирования на жульнический трафик , включая трафик DNSспуфинга , рассматриваются в документе
IETF BCP 38/RFC 2827.
К инструментам , анализирующим различные аспекты безопасности DNSсерверов , среди прочего , относятся следующие : dnscheck.iis.se/ recursive.iana.org/ www.dnsoarc.net/oarc/services/dnsentropy www.iana.org/reports/2008/cross-pollination-faq.html
.
34
Пример передового опыта в сфере профилактики № 5: Справочные документы / комментарии : Дополнительную информацию можно найти по следующему адресу : www.dnssec.netwww.dnssec-deployment.org
.
75
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности использовать методы автоматизации для проверки в установленном порядке зон с подписью расширений безопасности системы наименований доменов , чтобы убедиться , что такая подпись действительна .
A.6 Номер примера передового опыта : Профилактика № 6
Стимулирование использования простого протокола электронной почты с аутентификацией / ограничение исходящих подключений к порту 25:
ПУИ следует стимулировать пользователей отправлять сообщения электронной почты , используя простой протокол электронной почты с аутентификацией на порте 587, что предусматривает обеспечение безопасности транспортного уровня или применение других соответствующих способов защиты имени пользователя и пароля
35
. Кроме того , ПУИ следует ограничить или другим образом установить контроль на входящие и исходящие подключения сети к порту 25 ( простой протокол электронной почты ) любой другой сети , внедрив такие ограничения или такой контроль для всех или делая это в каждом конкретном случае , например , в случае с авторизованными серверами электронной почты .
A.7 Номер примера передового опыта : Профилактика № 7
Аутентификация электронной почты :
ПУИ следует проводить аутентификацию всей исходящей электронной почты , используя электронную почту с доменными ключами и инфраструктуру политики отправителя
36
. Проверку аутентификации следует проводить в отношении всей входящей электронной почты ; необходимо подтверждать действительность подписей электронной почты с доменными ключами , а также проверять инфраструктуру политики отправителей .
A.8 Номер примера передового опыта : Профилактика № 8
Автоматический отказ в принятии недоставляемой почты :
ПУИ следует настроить свои почтовые сервера шлюзы таким образом , чтобы не принимать недоставляемую электронную почту с последующим формированием уведомлений о недоставке , а автоматически отказывать в принятии такой почты во избежание отсылки соответствующих уведомлений по поддельным адресам
37
.
35
Пример передового опыта в сфере профилактики № 6: Справочные документы / комментарии : Для получения дополнительной информации news/MAAWG_Port25rec0511.pdf.
см . следующий документ : www.maawg.org/sites/maawg/files/
36
Пример передового опыта в сфере профилактики № 7: Справочные документы / комментарии : Для получения дополнительной информации см . следующий документ : www.maawg.org/sites/maawg/files/news/
MAAWG_Email_Authentication_Paper_200807.pdf.
Дополнительную информацию можно найти по следующему адресу : www.dkim.org/www.openspf.org.
37
Пример передового опыта в сфере профилактики № 8: Справочные документы / комментарии : Отказываясь принять недоставляемую электронную почту , сервер шлюз проинформирует об этом почтовый сервер отправителя , который может применять локальную политику относительно уведомления или неуведомления отправителя о недоставке первоначального сообщения . Для получения дополнительной информации см . следующий документ : www.maawg.org/sites/maawg/files/news/MAAWG-BIAC_Expansion0707.pdf.
76
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.9 Номер примера передового опыта : Профилактика № 9
Блокировка электронной почты , исходящей из динамического пространства :
ПУИ не следует принимать электронную почту , поступающую из почтовых серверов в блоках динамических адресов IP, а следует рассмотреть возможность использования одной из доступных услуг по определению таких блоков
38
.
A.10 Номер примера передового опыта : Профилактика № 10
Совместное использование информации о пространстве с динамическими адресами :
ПУИ следует использовать списки своих динамических адресов IP совместно с операторами списков заблокированных систем наименований доменов . Кроме того , необходимо обеспечить общедоступность таких списков , например , путем их размещения на общедоступных веб сайтах
39
.
A.11 Номер примера передового опыта : Профилактика № 11
Обеспечение свободного определения пространства динамических IPv4адресов на основании реверсивной DNSструктуры :
ПУИ следует сделать так , чтобы пространство динамических IPv4адресов , находящееся под их контролем , можно было без труда определять на основании реверсивной DNSструктуры , преимущественно правой части точки привязки строки , выбранная модель суффикса которой позволяла бы утверждать , что все реверсивные DNSзаписи , оканчивающиеся на
<*.some.text.example.com> свойственны динамическому пространству
40
.
A.12 Номер примера передового опыта : Профилактика № 12
Обеспечение свободного определения пространства динамических адресов с помощью службы
WHOIS:
ПУИ следует сделать так , чтобы пространство динамических адресов , находящееся под их контролем , можно было без труда определить , используя базы данных служб WHOIS и RWHOIS
41
.
38
Пример передового опыта в сфере профилактики № 9: Справочные документы / комментарии : Отсутствуют .
39
Пример передового опыта в сфере профилактики № 10: Справочные документы / комментарии :
Дополнительную информацию можно найти по следующему адресу : www.maawg.org/sites/maawg/files/news/MAAWG_Dynamic_Space_2008-06.pd www.spamhaus.org/pbl/ www.mail-abuse.com/nominats_dul.html
.
40
Пример передового опыта в сфере профилактики № 11: Справочные документы / комментарии : См . связанный с этим пример передовой практики в сфере профилактики № 5.
41
Пример передового опыта в сфере профилактики № 12: Справочные документы / комментарии : Для получения дополнительной информации см . следующий документ : www.maawg.org/sites/maawg/files/news/
MAAWG_Dynamic_Space_2008-06.pdf.
См . связанный с этим пример передовой практики в сфере профилактики № 4.
77
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Примеры передового опыта в сфере обнаружения
Примите к сведению , что примеры передового опыта данной группы направлены в основном на
ПУИ , которые предоставляют услуги конечным потребителям широкополосных сетей в жилых помещениях , при этом они применимы и к другим пользователям и сетям .
A.13 Номер примера передового опыта : Обнаружение № 1
Обмен с другими ПУИ информацией относительно обеспечения ситуационной осведомленности и внедрения защитных мер :
ПУИ следует принимать целесообразные меры для поддержания связи с другими операторами и поставщиками ПО системы безопасности путем отправки и ( или ) получения в ручном или автоматическом режиме отчетов о тех или иных злоупотреблениях
42
. К таким мерам , среди прочего , может относиться передача информации , такой как информация о " защитных мерах ", в том числе предоставление отчетности о злоупотреблениях ( например , распространение спама ) по цепочке обратной связи , используя стандартный формат передачи сообщений , например , формат предоставления отчетности о злоупотреблениях . При возникновении такой возможности ПУИ следует принимать участие в мероприятиях , проводимых другими представителями отрасли и другими членами интернет экосистемы , для обеспечения более активных и унифицированных действий по совместному использованию информации в сфере обнаружения бот сетей между поставщиками , представляющими частный сектор .
A.14 Номер примера передового опыта : Обнаружение № 2
Применение методов обнаружения случаев заражения ботами / вредоносным ПО :
ПУИ следует применять методы обнаружения случаев вероятного заражения пользовательского оборудования вредоносным ПО . Методы обнаружения будут значительно отличаться в зависимости от ряда факторов
43
. Методы и инструменты обнаружения , а также соответствующие процессы могут , среди прочего , включать следующее : поддержание обратной связи со сторонними организациями , наблюдение за условиями работы и трафиком сети , например , анализ характеристик широкополосной сети и ( или ) трафика , подписей , моделей поведения , а также более углубленный судебно экспертный мониторинг пользователей .
A.15 Номер примера передового опыта : Обнаружение № 3
Применение многоуровневого подхода к обнаружению ботов :
42
Пример передового опыта в сфере обнаружения № 1: Справочные документы / комментарии : Для получения дополнительной информации см . следующий документ : www.maawg.org/sites/maawg/files/news/CodeofConduct.pdf
.
Об уязвимости можно сообщить обычным образом в соответствии с информацией , представленной на веб сайте nvd.nist.gov/.
Также см . puck.nether.net/mailman/listinfo/nsp-security ops-trust.net/ www.icsalabs.com/veris/ .
43
Пример передового опыта в сфере обнаружения № 2: Справочные документы / комментарии : См . www.team-cymru.org www.shadowserver.org www.abuse.ch cbl.abuseat.org.
78
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
ПУИ следует применять многоуровневый подход к обнаружению ботов , который вначале предусматривает анализ поведенческих характеристик пользовательского трафика (" забрасывание широкой сети "), а затем переходит к методам более детального анализа ( например , обнаружение подписей ) трафика , отмеченного как являющегося потенциальной проблемой
44
.
A.16 Номер примера передового опыта : Обнаружение № 4
Отказ от блокирования законного трафика :
ПУИ следует убедиться , что применяемые методы обнаружения бот сетей не приводят к блокированию законного трафика . При этом им следует применять те методы обнаружения , которые являются неразрушающими и прозрачными в отношении клиентов ПУИ и их приложений
45
.
A.17 Номер примера передового опыта : Обнаружение № 5
Своевременное обнаружение и соответствующее оповещение :
ПУИ следует обеспечить своевременное обнаружение и соответствующее оповещение конечных пользователей , так как такого рода проблемы безопасности требуют срочного решения
46
.
Необходимость проведения сложного анализа и получения разного рода доказательств для подтверждения того , что бот действительно присутствует , сопряжена с существованием вероятности нанесения вредоносным ПО того или иного ущерба инфицированному хост компьютеру или системе , на которую направлена дистанционная атака ( кроме ущерба , нанесенного в результате первоначального инфицирования ), до того , как ее можно будет остановить . Таким образом , ПУИ должен найти компромисс между желанием окончательно подтвердить факт заражения вредоносным ПО , для чего может потребоваться больше времени , и возможностью за короткий период времени спрогнозировать реальную вероятность заражения вредоносным ПО . Это сложная задача , и если ПУИ сомневается , то ему следует действовать осторожно , с одной стороны предоставляя информацию о возможном заражении вредоносным
ПО , а с другой стороны предпринимая необходимые меры для того , чтобы избежать ложного оповещения .
Примеры передового опыта в сфере оповещения
Примите к сведению , что примеры передового опыта данной группы направлены в основном на
ПУИ , которые предоставляют услуги конечным потребителям широкополосных сетей в жилых помещениях , при этом они применимы и к другим пользователям и сетям .
44
Пример передового опыта в сфере обнаружения № 3: Справочные документы / комментарии : Такой подход должен помочь минимизировать разглашение информации о пользователе в процессе обнаружения ботов , позволяя не осуществлять сбор подробной информации до тех пор , пока не появится основание считать , что пользователь подвергся заражению . Анализ пользовательского трафика с помощью этого подхода может включать в себя поддержание обратной связи со сторонними организациями , а также применение внутренних подходов .
45
Пример передового опыта в сфере обнаружения № 4: Справочные документы / комментарии : Отсутствуют .
46
Пример передового опыта в сфере обнаружения № 5: Справочные документы / комментарии : Отсутствуют .
79
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.18 Номер примера передового опыта : Оповещение № 1
Оповещение конечных пользователей :
ПУИ следует разработать и внедрить методы оповещения в критических ситуациях , чтобы можно было сообщить своим пользователям о возможном заражении их компьютера и ( или ) сети вредоносным ПО
47
. Для такого оповещения необходимо применять различные способы , которые бы подходили разным группам пользователей и которые бы отвечали требованиям разных сетевых технологий . После того , как ПУИ обнаружил вероятную проблему , связанную с безопасностью конечного пользователя , ему следует незамедлительно предпринять меры для информирования интернет пользователя о вероятности такой проблемы . ПУИ следует определить наиболее подходящий способ ( или способы ) оповещения своих клиентов или интернет пользователей , а также определить дополнительные способы такого оповещения , если выбранный способ неэффективен . Способы оповещения могут быть разными в зависимости от сложности и ( или ) серьезности существующей проблемы . К примерам разных способов оповещения , среди прочего , относятся следующие : сообщения электронной почты , телефонные звонки , обычная почта , мгновенный обмен сообщениями , обмен SMS, а также оповещение через веб браузер .
A.19 Номер примера передового опыта : Оповещение № 2
Обеспечение конечных пользователей соответствующей информацией при оповещении :
ПУИ следует принять меры , направленные на то , чтобы оповещения для абонентов о бот сетях содержали самую важную информацию об обслуживании , а не рекламу новых услуг или другие предложения
48
.
Примеры передового опыта в сфере смягчения последствий
Примите к сведению , что примеры передового опыта данной группы направлены в основном на
ПУИ , которые предоставляют услуги конечным потребителям широкополосных сетей в жилых помещениях , при этом они применимы и к другим пользователям и сетям .
A.20 Номер примера передового опыта : Смягчение последствий № 1
Отраслевое сотрудничество при реагировании на серьезные киберинциденты :
ПУИ следует поддерживать осведомленность об уровнях угроз в сфере кибербезопасности и , по возможности , сотрудничать с другими организациями при реагировании на серьезные
47
Пример передового опыта в сфере оповещения № 1: Справочные документы / комментарии : Выбор ПУИ наиболее подходящего способа ( или способов ) оповещения одного или нескольких своих клиентов или интернет пользователей зависит от ряда факторов , включая , среди прочего , технические возможности ПУИ , технические характеристики сети ПУИ , стоимость затрат , доступные серверные и организационные ресурсы , количество вероятных зараженных хост компьютеров , обнаруженных за тот или иной период времени , а также серьезность возможных угроз . Одновременное использование сразу нескольких способов оповещения приемлемо для ПУИ , однако для фальшивого поставщика антивирусного ПО это может оказаться сложной задачей .
Информация о том , как бороться с заражением вредоносным ПО , приведена в описании примера передового опыта в сфере смягчения последствий № 3.
48
Пример передового опыта в сфере оповещения № 2: Справочные документы / комментарии : Данный пример передового опыта призван помочь избежать случаев спутывания оповещений с другими информационными сообщениями , которые пользователь может получать от поставщика , а также подчеркнуть серьезность ситуации .
80
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности киберинциденты , помогая собирать и анализировать информацию , характеризующую ту или иную атаку , предлагая те или иные технологии смягчения последствий таких кибератак , а также содействуя обнаружению или обеспечению защиты от них , согласно положениям соответствующих нормативно правовых актов
49
.
A.21 Номер примера передового опыта : Смягчение последствий № 2
Временный карантин устройств , зараженных ботами :
ПУИ могут временно отправить на карантин учетную запись или устройство абонента , если в сети абонентов будет обнаружено зараженное устройство и от него будет исходить активный вредоносный трафик
50
. Такие карантинные меры обычно осуществляются только после того , как неоднократные попытки уведомить пользователя о проблеме ( используя разные способы оповещения ) не принесли никакого результата . В случае серьезной атаки или в случае , если зараженный хост компьютер представляет значительную опасность для нормального функционирования сети , могут быть предприняты немедленные меры по обеспечению соответствующего карантина . В то же время , несмотря на карантин и серьезность атаки или опасности , ПУИ следует стремиться оперативно удовлетворять потребности пользователей в возобновлении их доступа к сети . Если существует такая возможность , ПУИ может подвергнуть карантину непосредственно атаку или вредоносный трафик , не трогая все остальное .
A.22 Номер примера передового опыта : Смягчение последствий № 3
Предоставление веб сайта для содействия устранению вредоносного ПО :
ПУИ следует прямо или косвенно предоставить веб сайт для оказания помощи клиентам в устранении вредоносного ПО
51
.
Устранение вредоносного ПО на хост компьютере предусматривает удаление , блокирование или принятие других действий для обеззараживания вредоносных ботов . Например , к таким действиям , среди прочего , может относиться предоставление специального , посвященного этому вопросу веб сайта с контентом , ориентированным на обеспечение безопасности , или предоставление информации , предлагающей перейти к соответствующему доверенному веб сайту третьей стороны .
Это должен быть веб сайт , ориентированный на обеспечение безопасности , на который пользователь , подвергшийся заражению ботами , может быть направлен для устранения соответствующего вредоносного ПО . Представленная на таком веб сайте информация должна
49
Пример передового опыта в сфере смягчения последствий № 1: Справочные документы / комментарии : Так , в
Соединенных Штатах Америки Национальный план реагирования на киберинциденты ( национальная шкала оценки киберрисков ) в настоящий момент предусматривает четырехуровневую шкалу оценки киберрисков в целях синхронизации такой оценки с другими соответствующими системами , такими как IT-ISAC, SANS, а также системы , используемые поставщиками в сфере обеспечения безопасности . Значительные киберинциденты , как правило , оцениваются как " серьезные " (1й уровень ) и " существенные " (2й уровень ).
50
Пример передового опыта в сфере смягчения последствий № 2: Справочные документы / комментарии :
Временная приостановка открытия веб страниц для осуществления оповещения через веб браузер в соответствии с предложениями , изложенными в разделе " Примеры передового опыта в сфере оповещения " ( см . раздел 6.1.18), не является " карантином " в том значении , в котором этот термин используется в данном отчете о примерах передового опыта .
Определенную информацию о технологиях постановки на карантин можно найти по следующему адресу : www.trustedcomputinggroup.org/developers/trusted_network_connect .
51
Пример передового опыта в сфере смягчения последствий № 3: Справочные документы / комментарии :
Отсутствуют .
81
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности содержать четкое объяснение того , что представляет собой вредоносное ПО и какие угрозы от него могут исходить . Если существует такая возможность , на этом веб сайте необходимо разместить четкое описание того , какие шаги должен предпринять пользователь , чтобы попытаться почистить свой хост компьютер , а также информацию о том , что должны делать пользователи , чтобы попытаться обезопасить свой хост компьютер от заражения в будущем . Кроме того , на таком веб сайте может быть размещено изложенное на легкодоступном языке , пошаговое руководство по осуществлению процесса устранения вредоносного ПО , предназначенное для пользователей с нетехническим образованием . На сайте также могут быть приведены рекомендации относительно бесплатных и платных услуг по устранению вредоносного ПО , чтобы пользователь знал , что у него есть несколько вариантов и что некоторые из них являются бесплатными .
Примеры передового опыта в сфере обеспечения конфиденциальности
Примите к сведению , что примеры передового опыта данной группы направлены в основном на
ПУИ , которые предоставляют услуги конечным потребителям широкополосных сетей в жилых помещениях , при этом они применимы и к другим пользователям и сетям .
A.23 Номер примера передового опыта : Обеспечение конфиденциальности № 1
Обеспечение конфиденциальности при обнаружении и устранении бот сетей , а также при соответствующем оповещении :
Поскольку технические меры , направленные на (a) обнаружение устройств конечных пользователей , подвергшихся заражению , (b) оповещение конечных пользователей о проблеме безопасности , а также (c) содействие в решении проблемы безопасности , могут привести к сбору информации о пользователе ( включая , возможно , " информацию , позволяющую установить личность ", другую конфиденциальную информацию , а также содержание сообщений пользователя ), ПУИ следует обеспечить соблюдение конфиденциальности в отношении пользователя , а также всех соответствующих законов и корпоративных правил обеспечения конфиденциальности , при принятии таких технических мер
52
.
A.24 Номер примера передового опыта : Обеспечение конфиденциальности № 2
Меры по обеспечению конфиденциальности при реагировании на деятельность бот сетей :
При разработке технических мер , направленных на определение , оповещение и другие действия в ответ на заражение устройств конечных пользователей (" технические меры "), ПУИ следует применять комплексный подход для обеспечения соблюдения конфиденциальности пользовательской информации , включая , среди прочего , следующее
53
:
–
–
ПУИ следует разрабатывать технические меры , направленные на минимизацию сбора информации о пользователях ;
Если оказывается , что информация о пользователе не нужна для реагирования на проблемы безопасности , то такую информацию следует немедленно удалить ;
– Независимо от обстоятельств , доступ к информации о пользователях , собранной в результате принятия технических мер , должны иметь исключительно те лица , которые по
52
Пример передового опыта в сфере обеспечения конфиденциальности № 1: Справочные документы / комментарии : Отсутствуют .
53
Пример передового опыта в сфере обеспечения конфиденциальности № 2: Справочные документы / комментарии : Отсутствуют .
82
–
–
8
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности объективным причинам нужны для внедрения программ обеспечения безопасности ПУИ , направленных на реагирование на деятельность бот сетей . При этом доступ таким лицам должен предоставляться исключительно в случаях , когда существует необходимость во внедрении таких программ обеспечения безопасности ;
Если возникает необходимость временно сохранить информацию о пользователе для установления источника заражения вредоносным ПО , демонстрации пользователю того , что источник вредоносных пакетов находится в пределах его широкополосного соединения , или в других целях , непосредственно связанных с программой обеспечения безопасности , направленной на реагирование на деятельность бот сетей , то период сохранения такой информации не должен превышать период времени , который по объективным причинам необходим для внедрения программы обеспечения безопасности
( кроме случаев , когда запрос на сохранение такой информации поступает согласно соответствующим процедурам от правоохранительных органов , расследующих ситуацию , связанную с обеспечением безопасности , или преследующих в судебном порядке лиц , вовлеченных в такую ситуацию ); а также
Должностное лицо ПУИ по обеспечению соответствия требованиям о соблюдении конфиденциальности или другое лицо , не вовлеченное в реализацию программы обеспечения безопасности , должно проверять соответствие такой программы соответствующей практике в сфере соблюдения конфиденциальности .
Примеры передового опыта по обеспечению кибербезопасности – учебный курс по созданию группы CIRT и управлению ею
Введение
Создание национальной стратегии кибербезопасности является первым шагом на пути к внедрению национальной программы . Тем не менее , перед созданием национальной группы CIRT в стране необязательно должна уже быть полностью оформленная , обоснованная стратегия кибербезопасности . Во многих случаях национальная группа CIRT помогала правительству страны разработать и доработать национальную стратегию уже по прошествии нескольких лет после своего создания . Национальные группы CIRT занимаются поддержанием способности своей страны или экономики к восстановлению в контексте кибербезопасности . Часто организации , действующие в сфере управления инцидентами на национальном уровне , называются по разному . В данной публикации в качестве названия используется " национальная группа CIRT", так как такое название широко распространено . Однако , несмотря на то , что сами названия организаций по управлению киберинцидентами отличаются , выбор названия может быть связан с характером взаимоотношений той или иной организации с членами сообщества , реагирующего на киберинциденты . Также характерным для стран является наличие более чем одной национальной группы CIRT. В зависимости от правительства страны , а также других структурных факторов , те или иные клиенты могут иметь естественные предпочтения в пользу обслуживания разными организациями .
Национальные группы CIRT играют важную роль в обеспечении кибербезопасности , в том числе обеспечивая предупреждение и оповещение на национальном уровне , создавая потенциал для обеспечения кибербезопасности , а также являясь для национального правительства источником технической и нормативно правовой информации по вопросам кибербезопасности . Поэтому для страны важно знать и понимать примеры передового опыта по созданию национальной группы
CIRT и управлению ею
54
.
54
См . Приложение Е для ознакомления с дополнительной информацией относительно учебного курса по созданию национальных групп реагирования на компьютерные инциденты (CIRT) и управлению ими .
83
Annexes
Annex A: Best Practices for Cybersecurity – Planning and Establishing a National CIRT
Annex B: Best Practices for Cybersecurity – Managing a National CIRT with Critical Success Factors
Annex C: Best Practices for Cybersecurity – Guide for the Establishment of a National Cybersecurity
Management System
Annex D: Best Practices for Cybersecurity – Internet Service Provider (ISP) Network Protection Best
Practices
Annex E: Best practices for Cybersecurity –Training Course on Building and Managing National
Computer Incident Response Teams (CIRTs)
Annex F: Best Practices for Cybersecurity – Survey on Measures Taken to Raise Awareness on
Cybersecurity
Annex G: Best Practices for Cybersecurity – Public-Private Partnerships in Support of Cybersecurity
Goals and Objectives
Annex H: Compendium on Cybersecurity Country Case Studies
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex A: Best practices for Cybersecurity – Planning and Establishing a
National CIRT
Abstract
As nations recognize that their critical infrastructures have integrated sophisticated information and communications technologies (ICT) to provide greater efficiency and reliability, they quickly acknowledge the need to effectively manage risk arising from the use of these technologies. Establishing a national computer security incident management capability can be an important step in managing that risk. In this document, this capability is referred to as a National Computer Security Incident Response Team
(National CIRT), although the specific organizational form may vary among nations. The challenge that nations face when working to strengthen incident management is the lack of information that provides guidance for establishing a national capability, understanding how that capability may support national cybersecurity and national incident management. This report provides insight that interested organizations and governments can use to begin to develop a national incident management capability.
The document explains the need for national incident management and provides strategic goals, enabling goals, and additional resources pertaining to the establishment of National CIRTs and organizations like them.
87
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Executive Summary
This draft report is relevant to Item 2 b) (iii) (“with respect to creating a national cyber incident management capability, to elaborate on the development of watch, warning and response and recovery mechanisms, and the establishment of national computer security incident response teams”) (see
Document WTDC-10/162 Rev.1
)
Managing cybersecurity through a national strategy is a necessity common to all national governments in the 21st century. Critical infrastructure in most nations, from transportation and power generation to food supply and hospitals, depends on Information and Communications Technology (ICT). The reliance on complex and constantly evolving technology is across all sectors of critical infrastructure, making it very difficult for national governments to understand and mitigate risks related to this technology. In fact, these risks are a shared responsibility that extends outward to include international perspectives. The shared responsibility within the nation includes private industry (which owns and operates much critical infrastructures), academia, and citizens.
Establishing and maintaining a computer security incident management capability can be a very valuable component to help manage this interdependence. This capability is referred to in this document as a
National Computer Security Incident Response Team (National CIRT), but it can be implemented in a variety of different organizational forms. Beyond responding to discrete computer security incidents, a robust incident management capability enhances the ability of the national government to understand and respond to cyber threats. Operating a National CIRT – or an organization like it - is a core component of a nation’s overall strategy to secure and maintain technologies vital to national security and economic vitality.
This handbook is designed to be an introductory curriculum for capacity development within nations. The intended audience includes leaders and managers in the nation who are seeking to learn more about the value proposition of National CIRTs and an incident management capability generally. It is not intended to be a guide on the daily operation of a National CIRT, but as informative materials on how National CIRTs support a national cybersecurity strategy and the first steps towards building this capacity.
This handbook provides principles and strategic goals to help nations develop a robust management capacity that is appropriate for the nation. It attempts to lessen the challenge many nations have in developing an incident management capability without much published guidance. Many nations attempting to develop National CIRTs have started by attempting to copy successful CIRT organizations that already exist. This approach can be problematic because not every nation has the same needs and resources. The operating principles and strategic goals discussed in this document enhance the ability of governments to manage cybersecurity risks and focus their efforts.
Strategic goals are essential design requirements and imperatives. They serve as fundamental elements of an incident management capability and are meant to provide clarity and direction. This document proposes four strategic goals as they relate to a national computer security incident management capability. They are:
1. Plan and establish a centralized computer security incident management capability (National
CIRT)
2.
3.
Establish shared situational awareness
Manage cyber incidents
4. Support the national cybersecurity strategy
There is a common need to resist, reduce, and fight cyber threats and respond to attacks. National CIRTs provide a domestically-focused, internationally-amplified operational response to those cyber incidents that destabilize the interdependent nature of global telecommunications, data services, supply chains, and critical infrastructure. We hope sponsors of a National CIRT or similar capability will see these benefits and encourage the government and organizational leaders in their nation to participate in a global culture of security.
88
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1 Introduction
Nations are increasingly dependent on complex systems and information technology. In many cases,
Information and Communication Technologies (ICT) that are vital to national and economic security are subject to disruption from a number of causes, either originating from within the nation or outside its borders. The leaders of government and private industry organizations are increasingly confronted with uncertainty about cyber risk and vulnerabilities. This uncertainty stems from the complexity and interconnectivity of evolving technology used to support critical systems. Ensuring security and economic vitality increasingly means that nations must manage cybersecurity in accordance with their own economic, social, and political considerations.
Implicit in a strategy for cybersecurity is establishing a national computer security incident management capability. Often this capability may take the form of one or more National Computer Security Incident
Response Teams (National CIRTs). National CIRTs are typically hosted by one or more sponsoring organizations, which build and manage cyber incident management assets. Organizations such as the
National CIRT provide value in several ways. A National CIRT coordinates incident management and facilitates an understanding of cybersecurity issues for the national community. A National CIRT provides the specific technical competence to respond to cyber incidents that are of national interest. In this primary role the National CIRT fills a planned response function, providing s olutions to urgent cyber problems. The ability of National CIRTs and similar organizations to identify cybersecurity problems and threats, and disseminate this information, also helps industry and government secure current and future systems.
Beyond the capacity to react to specific incidents and disseminate information, National CIRTs can enhance the ability of national government departments to fulfill their unique roles. Most government functional areas are touched by information technology in some way. Law enforcement and the judiciary are increasingly concerned by the global movement of criminals to the virtual world to commit crimes ranging from child exploitation to financial fraud. The world’s defense services rely on advanced information technology-based systems for their capabilities. And other critical infrastructure, such as food, water, and electricity supply chains depend on reliable technology. A National CIRT can enhance the government’s ability to meet core responsibilities while respecting their citizens’ privacy and human rights, and upholding national values of openness and pluralism.
National CIRTs can also act as a focal point for a national discussion on cybersecurity. For a variety of reasons, cybersecurity poses new and unique social, legal, and organizational challenges. The global interconnectedness of computer networks, the anonymity of online actors, and the rapid exploitation of vulnerabilities mean that the actions of individuals – often located outside national borders – can have serious and magnified effects on vital national systems. Meanwhile governments are limited by the jurisdictional reach of their laws and the physical limits of their borders. The National CIRT can catalyze a thoughtful discussion on these issues, engaging authorities in the fields of education, law, and governance
– among others – to help create solutions that are in keeping with national character and traditions.
Finally, building a national computer security incident management capability can help foster international cooperation on cybersecurity. National CIRTs provide a domestically-focused, operational response to those cyber incidents that destabilize modern telecommunications, data services, supply chains, critical infrastructure, banking, and financial services. Collaboration with peer organizations both regionally and globally can enhance this capability and help leaders better understand the current state of the global cyber threat. There is a common global interest in securing information and information systems, and in mitigating risk. To the extent that they cooperate on cybersecurity issues, national governments help make the world more secure and prosperous for their citizens.
The challenge for nations wanting to develop an incident management capability is that there is little published guidance available in this area. Typically nations model nascent capabilities on the National
CIRTs or other CIRTs which have already been operating in other nations. The problem with this approach is that the organizations that already exist are in some measure products of the historical, political, or other circumstances in those countries. One nation’s solution to cybersecurity management may not be appropriate for another nation. To date, the published guidance on how to systematically build a
89
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности cybersecurity and incident management capability has been in its infancy. This handbook begins to remedy this.
The primary audience for this document consists of those sponsoring the development of a national computer security incident management capability – usually referred to as a National CIRT. This document will discuss the considerations and goals inherent in standing up a National CIRT. While this document focuses on a single National CIRT, there may be other organizational forms that are suitable for an incident management capability. Alternatively, some nations may find it advantageous to house this capability across several organizations. It is hoped that the principles and recommendations in this document are useful even to nations that do not choose the specific National CIRT organizational form.
1.2 How to Read This Handbook
This document is structured to serve as a strategic education on the building of a computer security incident management capability. Because of the breadth of this topic, the focus here is on the creation of a National CIRT. The material is intended to outline the stakeholders, constraints, and goals for National
CIRTs, to raise awareness of the need for this type of capability, and to frame this capability in the national strategy. While the focus is on National CIRTs specifically, the guidelines herein are meant to help national leaders generally, regardless of the specific organizational form chosen to handle incident management.
The next section, Setting the Context: National Cybersecurity , includes information about National CIRTs as part of a larger national approach to cybersecurity. The section specifically discusses the importance of a national strategy, the context of a national cybersecurity policy framework, and an overview of key stakeholders in national cybersecurity as they relate to National CIRTs. The unique role of National CIRTs is also discussed.
The third section, Strategic Goals and Enabling Goals for Incident Management Capability , introduces a hierarchy of goals for ensuring alignment between the National CIRT and national cybersecurity strategy.
Strategic goals outline the long term imperatives for a national computer security incident management capability, while the Enabling Goals highlight the necessary steps to building an operational National CIRT capacity.
2 Setting the Context: National Cybersecurity
Ensuring national security and economic vitality requires recognizing that not all risk is owned and mitigated by a nation’s government. The national and local government and its various branches, critical infrastructure owners and operators, academia, and citizens all share this responsibility. New and emerging risks must be effectively identified, analyzed, and mitigated to ensure the safety and security of daily life for citizens. These risk management activities may involve ensuring continuity of government, safeguarding the generation of electricity, emergency response services, or ensuring a reliable supply chain, among others. Each of these relies heavily on information technology in a modern economy.
National leaders increasingly realize that the security of information and information technology is a national security interest and should be codified in laws and national strategy. Chief among the strategies for enhancing this security are specific operational capabilities, such as the incident management activities typically performed by a National CIRT.
2.1 The Importance of a National Strategy for Cybersecurity
Building a national strategy for cybersecurity is ideally the first step in establishing a national cybersecurity program. A national policy framework should explain the importance of cybersecurity, help stakeholders understand their role, and set the goals and priorities. The national strategy should integrate
90
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности security fundamentals (such as raising awareness), and emphasize cooperative relationships among national stakeholders.The national strategy may also serve as a backdrop for the creation of laws that relate to cybersecurity; for instance in the areas of computer crime, the protection of intellectual property, and privacy. Finally the national strategy should reconcile the need for security with the need to honor citizens’ rights and the nation’s cultural values and norms.
The strategy should also articulate the need for specific operational capabilities, and the National CIRT should be deliberately aligned with those national cybersecurity strategic goals to ensure that its work contributes to achieving them. While establishing a national strategy is ideally the first step, in many cases this may not always be feasible. This might be the case because of the difficulty in getting a large number of stakeholders to agree on a strategy. Alternatively, national leaders may judge that establishing an incident management capability is a more pressing need than creating a fully integrated strategy. In such cases creating an effective strategy may occur concomitantly with building incident management capability. In any case, the sponsor or proponent of the National CIRT should work with the government to ensure that national needs and priorities are considered throughout the process of building and managing a National CIRT.
2.2 Key Stakeholders of National Cybersecurity
Cybersecurity involves many stakeholders. This section broadly describes the roles and responsibilities of typical national stakeholders, and how they might contribute to a national program for managing cybersecurity. These roles are not unique to National CIRT operations, but many of the stakeholders discussed here may directly interact with the National CIRT. Moreover, the National CIRT can enhance its role and help advance a culture of security by proactively interacting with these stakeholders.
The government has a multitude of roles and responsibilities to strengthen national cybersecurity. The primary role is to define the national strategy and provide the policy frameworkwhich describes the architecture by which the national efforts are built and operated. Following that, the government has a responsibility to participate with all stakeholders in efforts to identify, analyze, and mitigate risk. The government also has a key role to play in the arena of international relations and cybersecurity, particularly in the areas of treaties relating to cybersecurity and the harmonization of national laws relating to cybercrime.
In most nations the executive branch of the government is typically responsible for enforcing laws and ensuring security. It may also include the military. The executive branch is often the sponsor of the national cybersecurity program. The executive area of government must ensure that the cybersecurity program remains viable and has appropriate resources (e.g., is authorized, staffed, funded, etc).
The legislative arm of government works to provide effective laws that promote a culture of cybersecurity. Whether through appropriations of resources or funding, legislation that mandates execution of the national strategy, privacy or tort laws, or laws that establish criminal behaviors, the legislature must ensure that the national cybersecurity program has the foundation it needs to be successful.
The nation’s judiciary and legal institutions have an important role to play in a national cybersecurity strategy. This role relates specifically to providing clarity and consistency in areas of law that may affect cybersecurity. Privacy law is an example. By working with their global counterparts, the legal community can also help to limit the ability of criminals and other malicious actors to take advantage of differences in legal jurisdictions.
91
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Law enforcement ensures that legislation related to cybersecurity is enforced. Additionally, law enforcement can serve as an important source of intelligence about malicious activity, exploited vulnerabilities, and methods of attack. Sharing this information allows critical infrastructure owners and operators to learn from the experiences of others to improve cybersecurity practices and management.
Finally, law enforcement can enhance cybersecurity by cooperating with their counterparts in other nations on the pursuit and apprehension of criminal actors who affect systems regardless of geographic borders.
The intelligence community plays an important watch and warning role for technical infrastructure.
Intelligence organizations usually monitor various sources for information about threats and vulnerabilities to a nation’s infrastructure. This information should be distilled and provided to the
National CIRT and, where appropriate, to infrastructure owners. This helps to ensure that attacks are efficiently anticipated, recognized, and resolved.
A general definition for critical infrastructure is:
Systems and assets, whether physical or virtual, so vital to the nation that the incapacity or destruction of such systems and assets would have a debilitating impact on security, national economic security, national public health or safety, or any combination of those matters.
Critical infrastructure owners and operators are a very important stakeholder in the nation’s overall cybersecurity strategy. Infrastructure operators typically have an understanding of how security threats and vulnerabilities affect their sector. Infrastructure operators also have the daily task of implementing the security recommendations or mandates created by the national government and other authorities.
They must reconcile the need for security with the sometimes contradictory goals of efficiency and profitability.
Because of their unique position, infrastructure owners and operators frequently have very valuable information, ranging from the actual software problems and cyber attacks they may experience, to the efficacy of countermeasures or risk mitigation strategies. They are also a primary consumer of information about security vulnerabilities. Finally, because of their practical experience implementing security standards and complying with the law, owners and operators may have valuable input into the development of effective, realistic rulemaking and legislation.
2.2.7 Vendors
Vendors of information technologies and services contribute to national cybersecurity through development practices and ongoing vulnerability reduction efforts. Vendors can often be the source of vulnerability information; they ensure that users have up-to-date information and technical solutions to mitigate known vulnerabilities. Ideally, vendors will participate with National CIRTs and help extend the analytical and problem solving capabilities the National CIRT needs to conduct incident response.
Information sharing among vendors, their major customers, and the National CIRT can create a partner relationship that continuously improves security for technologies and services.
2.2.8 Academia
Educational institutions play a key role in developing the human capital and technical skills needed to solve complex problems, such as aspects of cybersecurity. Academicians conduct research that enhances the technical, legal, and policy aspects of cybersecurity. Finally, in many countries educational institutions have championed and hosted National CIRTs.
92
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Nation-states must take an interest in helping to prevent any cybersecurity attacks against their neighboring nations and allies. For a number of reasons, including economic, political, and infrastructure concerns, partnerships should be established to discuss global risk and interdependence. Allies and neighboring nations can also provide a valuable source of intelligence and promote regional cyber prevention and preparedness.
2.2.10 Citizens
Citizens rely on all stakeholders to create national security and critical infrastructure stability. The citizens of a nation have a stake in the reliable performance of a nation’s strategy for cybersecurity, and are an inherent part of that strategy.
2.3 The Special Role of the National CIRT
National CIRTs and organizations like them ideally act as critical components of the national cybersecurity strategy. National CIRTs first provide the capability to react to computer security incidents that are deemed to be of national importance
55
. Because they collect and analyze information about computer security incidents on a daily basis, National CIRTs are an excellent source of lessons learned and other information that can help stakeholders mitigate risk. National CIRTs can also help catalyze a meaningful national discussion about cybersecurity and awareness by interacting with private and governmental stakeholders. The following is a discussion of the role of a National CIRT, though not every organization will perform these functions or do all of these tasks. However, these roles represent how a National CIRT typically supports national cybersecurity.
2.3.1 Analyzing Computer Security Incidents to Identify Intrusion Sets
An intrusion set is defined as groups of computer security incidents that share similar actors or methods.
Determining that similar actors are involved may involve a variety of analytical techniques, and is closely tied to the question of method. Determining that different attacks use the same method may involve questions of attack vector (email, spoofed web pages, etc.), similarities across samples of malware, or the routing of stolen information (through specific proxy IP addresses, for instance).
Identifying intrusion sets is essentially a refined version of the correlation analysis that many computer security incident handlers are familiar with. Generally, incident activity is grouped into different categories, such as
– activity conducted by other nations
– undetermined.
This information and analysis can then be submitted to other national authorities for action depending on the nation’s security concerns and objectives.
2.3.2 Use of Sensitive Law Enforcement or Intelligence Information
Because of their national mission, their often close relationship with the national government, and their daily work safeguarding sensitive information, National CIRTs may be involved in using sensitive information from national intelligence or law enforcement organizations in their analysis. The use of this type of information can amplify the National CIRT’s work, but requires strong trust relationships between the National CIRT and the government, as well as robust information security measures.
55
The question of which incidents rise to the level of national importance is covered more fully in section 3.3.1.
93
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
2.3.3 Resource to the National Government on Cybersecurity Issues
A National CIRT can be a valuable resource to the national government on technical, policy, and legal issues relating to cybersecurity. It may be able to advise the government on the suitability or security of systems the government is planning to install or implement. In addition, the National CIRT can help government organizations with technical alerts and bulletins, best practices, and other advisories.
2.3.4 Assessing National Cyber Readiness and Crisis Management
The National CIRT can help national leaders and key stakeholders test and measure the nation’s level of resilience to cyber attacks and crises. This assistance may take the form of providing the technical support and analytical methods to plan and stage exercises, or advising on the state of current cyber threats or the realism of exercises.
2.3.5 National Alert and Warning
Most of the existing National CIRTs fulfill a national alert and warning function. This function involves alerting key national communities about problems ranging from specific software and system vulnerabilities, to evolving criminal methods, to malware threats.
National CIRTs have a key role to play in the building of cybersecurity capacity. Specifically, National CIRTs can help organizational CIRTs in the nation in a variety of ways including advice, training, best practices, or in some cases staffing.
2.3.7 Trusted Point of Contact and National Coordinator
National CIRTs frequently act as a trusted point of contact for the nation on cybersecurity issues. For example, national teams often handle requests from other nations or foreign organizations concerning malicious activity emanating from computers or systems within the nation. In a similar fashion, National
CIRTs frequently act as coordinators for domestic organizations attempting to resolve cybersecurity incidents. In this role, the National CIRT does not typically analyze or resolve incidents itself, but rather it helps to direct organizations experiencing security incidents to information, services, or other entities that can help them.
2.3.8 Building a Cybersecurity Culture
The National CIRT can help to build a cybersecurity culture within the nation. Building a cybersecurity culture consists of many activities including awareness and education of private citizens on online risks, educating national stakeholders on the impact of virtual activities to their organizations, and the implications of their activities for cyber and information security.
3 Strategic Goals and Enabling Goals for Incident Management Capability
–
–
This section provides the strategic goals and enabling goals that should be considered when establishing a
National CIRT. The information provides an overview of the considerations and goals that are needed to ensure support for the national cybersecurity strategy and to align the National CIRT with the national strategy. The enabling goals are specific steps to meeting strategic goals. Four strategic goals for a
National CIRT are:
– Plan and establish a centralized computer security incident management capability (National
CIRT)
Establish shared situational awareness
Manage cyber incidents
– Support the national cybersecurity strategy.
94
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Each of these strategic goals explains the fundamental elements of the National CIRT and must be weighed carefully by the National CIRT sponsor. Strategic goals are essential, long term requirements that help build the capacity to react to cyber incidents and enhance information and cybersecurity on a national level. Following each strategic goal are Enabling Goals. Enabling Goals help the sponsor build the capacity. They explain the more detailed considerations and activities needed to implement the strategic goals. The guidance available for each goal varies based on the maturity of the topic. Some subjects, like incident handling, have a robust history. Others, such as implementing national cybersecurity strategy through National CIRTs, are still emerging disciplines.
This document is not meant to provide specific ‘how-to’ instructions. Instead, it highlights the unique requirements for building capacity in cyber incident management. Finally, each strategic goal section concludes with a listing of additional references and training resources. These sources are not exhaustive, but provide the reader with a ‘next step’ to both training and informational resources.
3.1.
Strategic Goal: Plan and Establish a Centralized Computer Security Incident
Management Capability (National CIRT)
Before the first cybersecurity incident can be managed, the capability must itself be established in an organizational form such as a National CIRT. Having a sole source or point of contact for computer security incidents and cybersecurity issues provides a number of benefits. A single organization provides stakeholders with a known source of information. A National CIRT can also provide the government with a conduit for coherent, consistent messaging on cybersecurity issues. With a single National CIRT, government departments have a source for technical information to support their individual functional areas. Finally, the National CIRT can encourage the discussion about cybersecurity and facilitate international cooperation on this issue. In some nations, unique considerations may dictate that there are multiple National CIRTs, or even an incident management capability that is spread across several organizations. This can be entirely appropriate. This document provides guidance regardless of the exact organizational form.
A National CIRT capability should be established and operated according to certain core principles. These principles help leaders make decisions in the face of limited resources and frequently complex problems.
The core principles for the national management capability are:
– Technical excellence. The National CIRT’s capability should be the best that it is possible to develop given the resources available. This is important because the National CIRT strives to be a trusted leader in the nation on computer security issues. While striving for excellence may seem an obvious point, it has certain implications for building a capacity subject to resource constraints. It implies, for instance, a preference for building one or two outstanding capabilities versus attempting to establish a range of capabilities without proper staffing or funding. The emphasis should be on technical competency.
–
–
Trust. Almost by definition, a National CIRT will handle information that is sensitive or potentially embarrassing to stakeholders. Trust must be earned and maintained. Properly handling and protecting confidential information is an important component to building and managing this trust.
Resource Efficiency. Resource efficiency means using the resources that are available effectively.
This consideration will be covered in more detail below, but it implies an ongoing evaluation of which threats and incidents are truly of interest to the National CIRT’s overall strategy as well as to the community it serves.
– Cooperation. The National CIRT should cooperate as fully as possible with both national stakeholders and other National CIRTs to exchange information and coordinate the solving of problems that are frequently very complex.
Chief to the National CIRT’s success is adequate sponsorship and resourcing. The Enabling Goals listed here are intended to help the sponsor of a national incident management capability build this capability in
95
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности the most robust way possible. Consider the following enabling goals in planning and creating the national incident management capability.
3.1.1 Enabling Goal: Identify Sponsors and Hosts
The sponsor of the National CIRT should identify other sponsors and likely hosts for the National CIRT.
Other sponsors may be able to bring additional funding and support to the National CIRT project. Of course, a physical location – or host – for the National CIRT must also be identified. In some countries the host has been an academic institution. Universities traditionally have been a venue for National CIRTs because aspects of their core mission – to serve the community and conduct research and analysis of difficult problems – aligns well with the mission of a National CIRT. However if it is hosted by a university, the National CIRT may not have adequate resources or the authority to enforce or take action; rather it achieves its success by influencing others through its good work.
There may be a variety of institutions and government departments interested in supporting or hosting a
National CIRT. While any assistance is welcome, there may be pitfalls to receiving support from certain stakeholders. The National CIRT should be dedicated to serving its entire community in an unbiased fashion, without favor to a particular stakeholder. Receiving sponsorship from an entity that is closely tied to a particular stakeholder or industry may limit the National CIRT’s perceived ability to service the entire community. This possibility should be examined, for example, if a specific for-profit enterprise operated a
National CIRT. In other cases, the involvement of certain sponsoring organizations may impede the willingness of key constituents to share information. Certain constituents, for instance, might be reluctant to share information if a law enforcement organization was the National CIRT’s primary sponsor. In addition, the National CIRT host should be sufficiently financed to ensure fiscal stability for continuity of operation.
3.1.2 Enabling Goal: Determine Constraints
The sponsor should determine what constraints may act to limit building and operating a National CIRT.
Typical constraints are budget, the availability of skilled staff, and the physical infrastructure available to support National CIRT operations. The question of constraints bears heavily on the ability of a national government to build incident management capacity, and is usually a key driver behind decisions about which specific services to offer to the community. For instance, it may not be practical or desirable to build a malware analysis or deep packet inspection capacity in the National CIRT. Limited constraints may dictate that a more realistic approach is to build relationships with other domestic or overseas organizations that do have this capability.
Constraints relate strongly to three of the core operating principles identified above; technical excellence, trust, and resource efficiency. Technical excellence requires a clear understanding of the staffing and budget available to support certain CIRT activities. It may dictate an emphasis on a few core services performed well, rather than attempting to provide a broad array of services. Limited constraints can also make the ability to coordinate incident management very important, rather than attempting to complete every incident management task in-house. Earning the trust of key constituents requires operational and staffing stability, as well as the ability to safeguard sensitive information – all directly impacted by resource limitations. Finally, resource efficiency requires understanding what resources are available.
3.1.3 Enabling Goal: Determine the National CIRT Structure
–
–
Based on its function in national cybersecurity, a National CIRT can operate under a range of modes including: an independent agency with limited operating partnerships, a joint operation with national telecommunications providers, or an integral part of the national military defense strategy. A number of factors must be considered to ensure detection and incident coordination and response are appropriately structured. The following list of structural considerations is meant to be exploratory and not comprehensive:
What level of government directs the National CIRT?
Who funds the National CIRT and who approves the budget?
96
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
There are several considerations that may be helpful in resolving the question of organizational form, in addition to the core principles:
– What structure would best allow the National CIRT to alleviate potential stakeholder concerns with regard to sharing information? Are there any possible organizational structures that may limit the National CIRT’s perceived ability to serve its community in an unbiased fashion?
–
Is there an independent body that oversees the National CIRT?
What set of roles and responsibilities have been identified for National CIRT operating partners?
–
–
Are the nation’s systems and infrastructure already structured in ways that would make multiple
National CIRTs beneficial in terms of information sharing or reporting relationships?
If multiple National CIRTs are instituted, how should they share information? Is there a risk that multiple National CIRTs may not be able to effectively share information across infrastructure sectors? What are the transaction costs associated with having multiple organizations? How to they compare to the benefits of scale of a single National CIRT?
56
Do the various possible organizational forms have any implications for staffing and managing human capital?
3.1.4 Enabling Goal: Determine the Authority of the National CIRT
The National CIRT proponent or sponsor should determine if the National CIRT will have the authority to proscribe or mandate certain actions or security measures. The authority of a National CIRT could involve mandating the reporting of security incidents, or the adoption of certain security measures, or both. In addition, the authority of a National CIRT may differ based on whether it is addressing private citizens and industry, or government departments. It may be entirely appropriate for the National CIRT or the sponsoring organization to maintain authority over various government departments, but to have no authority over private citizens.
These decisions will be made consistently with the nation’s law and culture. However, it is frequently the case that National CIRTs are more effective when they act in an advisory role only. Major national stakeholders are often more willing and – depending on the legal environment – more able to fully share information and discuss security vulnerabilities in a collaborative venue where the National CIRT is not a regulatory or proscriptive body.
3.1.5 Enabling Goal: Determine the Services of the National CIRT
The minimal essential function of a National CIRT is the ability to respond to cybersecurity threats and incidents that are important to national stakeholders. The various National CIRTs currently in existence execute a variety of functions including:
56
A Note about Regional Collaboration: The sponsor of a National CIRT may consider sharing resources and costs with neighboring nations to form a regional computer security incident management capability, essentially a “Regional
CIRT.” This may be an effective way to address the inherent problem of fulfilling many requirements with limited resources. A full examination of such an arrangement is beyond the scope of this report; however there are compromises inherent in this solution.
Because one of the functions of a National CIRT is to reconcile the need to respond to global challenges with the nation’s embedded law, culture, and national structure, the ability of a regionally-based CIRT to provide value to multiple nations may become diluted. Secondly, because cybersecurity is part of a nation’s overall security strategy, regional CIRTs may often possess information that has important national security implications. A regional CIRT may be limited in its ability to solicit this information from certain national stakeholders because of concerns about sharing this information in a multi-national venue. In any event, it would require a high degree of comfort and familiarity between nations - or an effective multi-national governance structure - for a regional CIRT to be successful.
97
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Incident Handling Services Vulnerability Assessments
Incident Analysis
Forensic Services
Network Monitoring Services
Malicious Code Analysis
Research Services
Training/Education/Awareness
Coordinating Response
At the individual nation level these functions are limited by the constraints identified in Enabling Goal
3.1.2 (e.g., funding, staffing, physical resources). The National CIRT sponsor organization must determine which of these activities are realistic given the constraints involved. Typically the most significant constraint is human capital (i.e., staffing). Since the National CIRT serves as the national leader in cybersecurity incident management and analysis, the guiding principle for choosing particular functions should be excellence. It may be that the best way for a particular National CIRT to fulfill its role is through close coordination with other National CIRTs that have a greater technical capability, or who may already have trusted communication channels.
3.1.6 Enabling Goal: Identify Additional Stakeholders
The sponsor of the national incident management capability should evaluate which other institutions may have input or interest in the establishment of a National CIRT. A detailed list of the typical stakeholders in national cybersecurity policy appears in section two of this document. Additionally, some stakeholders may be interested in taking a more active role in the formation and operation of a National CIRT. Typically these include;
– government users (government agencies and ministries, etc)
The National CIRT should understand how the identified stakeholders complement and integrate into
National CIRT operations, and develop a plan to ensure that bi-directional communication is designed into its operations.
3.1.7 Additional Resources: For Planning and Establishing a National CIRT
The following is a list of publicly available resources for sponsors and champions considering the establishment of a National CIRT.
Reference materials
–
–
–
CERT’s Resource for National CIRTs:
CERT listing of National CIRTs: http://www.cert.org/CIRTs/national/ http://www.cert.org/CIRTs/CIRT-staffing.html
http://www.cert.org/CIRTs/national/contact.html
Staffing Your Computer Security Incident Response Team – What Basic Skills Are Needed?:
– Resources for Computer Security Incident Response Teams (CIRTs): http://www.cert.org/CIRTs/resources.html
–
–
Forum of International Response and Security Teams: http://www.first.org
Forums of Incident Response and Security Teams (FIRST) Best Practice Guide: http://www.first.org/resources/guides/#bp21
98
–
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
ENISA: Support for CERTs / CIRTs: http://www.enisa.europa.eu/act/cert/support
ENISA: Baseline capabilities for National CIRTs: http://www.enisa.europa.eu/act/cert/support/ baseline-capabilities
Training resources
– CERT Overview of Creating and Managing CIRTs: http://www.sei.cmu.edu/training/p68.cfm
– CERT Creating a Computer Security Incident Response Team (CIRT): http://www.sei.cmu.edu/ training/p25.cfm
3.2 Strategic Goal: Establish Shared Situational Awareness
The essential function of a National CIRT is the ability to manage cybersecurity threats and incidents that are of importance to national stakeholders. Excellence in incident management helps the National CIRT to build relationships with stakeholders and achieve other strategic objectives, such as supporting the national cybersecurity strategy. The first step in managing incidents is establishing an understanding or awareness of who the National CIRT’s major constituents are, what types of systems they employ
(Information and Communications Technology), and what types of incidents they are experiencing. This general understanding of the environment is typically referred to as shared situational awareness.
The most able staff and the best technical infrastructure are wasted if the community is unwilling to inform the National CIRT about incidents. Therefore, the first enabling goal focuses on this issue.
3.2.1 Enabling Goal: Establish and Maintain Trust Relationships
National CIRTs collect sensitive information about national constituents’ problems, concerns, and vulnerabilities. They frequently use this information to derive lessons learned and publish informational reports, a process which carries the risk of revealing too much information if performed carelessly.
National CIRTs also disseminate general information to stakeholders about threats, vulnerabilities, and best practices. Building trusted relationships with stakeholders is essential to facilitating this two-way information exchange. Without the confidence of knowing that sensitive information will be adequately protected and compartmentalized, stakeholders will be unwilling to share their sensitive information, crucial to the National CIRT. Stated plainly, it is difficult to manage security incidents when the victims are unwilling to tell the National CIRT about them.
By establishing relationships and partnerships with owners and operators of national critical infrastructure and other key constituents, the National CIRT gains access to information crucial to its operations. These relationships and partnerships are directly with the National CIRT and among constituents. The National CIRT may act as a trusted communications channel between key constituents.
Ensuring the confidentiality of stakeholder information is an information security problem. It requires information security risk assessments at the National CIRT level and implementation of the resulting recommendations. Policies to strengthen information security range from properly vetting employees to employee Non-Disclosure Agreements (NDAs) and similar legal devices, which make maintaining confidentiality a condition of employment. Classification levels for information are another basic way to ensure that access to information is limited to persons who need it to perform their job. Regardless of the specific security measures and policies, the National CIRT should proactively address stakeholder concerns in this area and be as transparent as possible about the security steps taken. A fuller discussion of policies to facilitate information sharing and security in a National CIRT environment will appear later in this series.
3.2.2 Enabling Goal: Coordinate Information Sharing between Domestic Constituents
One of the most important factors in establishing a national capability is to facilitate reliable and effective information sharing. A key role for a National CIRT is to obtain incident information from the community
99
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности and to disseminate timely and relevant response information back to the community. This type of information generally includes the following:
–
–
– incoming information about security incidents, collected through a variety of means security bulletins, awareness information on cyber threats and vulnerabilities general, specific, and urgent cyber warnings and alerts (technical and non-technical)
–
– best practices to prevent cybersecurity problems, events, and incidents general National CIRT information (e.g., organizational chart, sponsorship, services provided by the National CIRT, contact number/email address, etc.) resources and reference materials (e.g., security tools, partner organizations) –
The information that the National CIRT collects can be used to reduce risk by providing support to organizations that have been attacked. This support may take the form of direct technical support or it may involve working with third parties to find remedies and workarounds, or raising awareness of the general and private industry. A key part of information sharing is that sensitive information from constituents may be shared with other constituents only after being anonymized during the analysis process and in accordance with the National CIRT’s policies.
–
–
Anonymization requires sensitivity to specific circumstances, either involving computer security incidents themselves or the major constituents. For instance, a publicized incident report may redact the names of the victims or the constituent company involved. However, if it involves a notable incident discussed in the press, it may fail at actually protecting confidences. A basic principle of protecting information is receiving the approval of the parties involved before releasing information or publicizing reports.
A key component of information sharing is maintaining tools, techniques, and methods that enable the
National CIRT to communicate with its community. Examples of these can include the following:
– a website for communicating and disseminating information – both general (publicly accessible) and sensitive (secure portal requiring authentication) between the CIRT and its community mailing lists, newsletters, trends and analysis reports implementation of secure information networks for CIRT operations
3.2.3 Enabling Goal: Integrate Risk Information from the Community
National CIRTs benefit from open, shared information from private industry, academia, and government.
When organizations conduct thorough risk assessments and share the results with the National CIRT, situational awareness increases. Risk information from the community can help the National CIRT understand the effect that security vulnerabilities and system problems might have on important assets and infrastructure, helping the National CIRT to focus and refine its incident management process.
In its operational role of responding to incidents, a National CIRT is a key contributor to situational awareness. By analyzing trends in the incidents being managed, the National CIRT learns about the status of cybersecurity within the community it serves. The National CIRT uses this knowledge and its own perspective on problems to produce a credible, realistic picture of national situational awareness. This helps the National CIRT to identify proactive defense strategies, as well as needed improvements in practices and behaviors within the community.
3.2.4 Enabling Goal: Collect Information about Computer Security Incidents
A National CIRT must be able to collect information about computer security incidents and events, receiving reports about suspected or confirmed incidents that require coordination or response. National
CIRTs collect information about incidents through two primary means; the trusted relationships they build and the technical infrastructure required to process incoming reports. While incident reporting is frequently voluntary and facilitated by trust, in some cases it may be mandated.
100
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A National CIRT receives reports of computer security incidents through a variety of technical means, such as a 24/7 hotline or web portal. Web portals may be accessible from any computer for the general public or may be a secure web portal for the exchange of sensitive information. Capturing reports about computer security incidents requires the community to detect, identify, and track anomalous activity, employing both technical and non-technical methods. Anomalous activity is defined as activity that deviates from some establish norm of system operation. In many cases, collecting computer security incident information may first require educating communities about detecting this activity.
3.3 Strategic Goal: Manage Incidents
A National CIRT, acting as a trusted, national cybersecurity focal point, is uniquely situated to manage incidents of national concern. To accomplish this, many National CIRTs establish certain active capabilities, such as incident response and containment, and service reconstitution. It is important to remember that in many cases the National CIRT will not handle all of the incident handling and analysis itself. A National
CIRT may act to facilitate and coordinate analysis and response, either because of limited resources or because knowledge about the specific problem may reside elsewhere, for instance at another National
CIRT or at a technology vendor.
3.3.1 Enabling Goal: Define Incidents and Threats of National Interest
Resources are scarce. Defining the incidents and threats that are of interest to a National CIRT is perhaps the most challenging task facing the National CIRT. Determining where the National CIRT should focus its attention is an iterative, evolving process. After the initial formation of an incident management capability, the National CIRT typically becomes inundated with questions and requests for assistance. This places the National CIRT in the position of having to balance the scarcity of time and resources with a desire to serve the community and build its relationships with stakeholders.
During the process of building the National CIRT capability there are several resources that will help the sponsor define the initial focus areas for the National CIRT. These include the following:
– Information systems and incidents that affect those critical infrastructure sectors identified in the National Cybersecurity Policy, if there is one. This should be the primary initial driver behind the National CIRT focus areas. Providing guidance to the National CIRT is one of the principle reasons for having a coordinated national policy.
– Incidents and threats that may affect systems in one or more sectors of critical infrastructure.
–
–
–
Types of incidents or activity that may be of unique concern to national authorities because they may directly affect national security, result in revealing sensitive information, cause embarrassment to the nation, or because of other unique factors.
Incidents that substantially affect a majority of computer users in the general public.
The knowledge and experience of the National CIRT’s staff.
– Types of threats that are judged by the National CIRT’s incident analysts and the incident response community as part of greater or evolving threats.
The knowledge and shared wisdom from other National CIRTs. –
Having an awareness of the systems currently in use by the National CIRT’s key constituents can also help the National CIRT focus its analysis of incidents. This awareness is built over time through handling incidents and interacting with the community.
3.3.2 Enabling Goal: Analyze Computer Security Incidents
All National CIRTs must possess the capability to respond to cyber incidents and provide the community with analysis and support. Not all National CIRTs will have identical specific capabilities to do this work.
For instance, National CIRTs will not all have the same level of external partnership with information technology experts, software development communities, and security researchers. Nor will all National
101
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CIRTs have internal teams to perform code-level analysis of malware and software and to replicate attacks and exploits. However, at a minimum National CIRTs should analyze reports of problems for shared characteristics, to determine their importance and accurately gauge the level of threat represented by the problem. Shared characteristics may include such things as attack vector and attack targets. In some cases, these shared characteristics may involve identifying or attribution information that can be useful to the nation’s security services.
–
–
–
–
–
A National CIRT will inevitably receive information from multiple sources about computer security incidents. These notifications will come via email, web form, telephone, fax, or automated process (i.e., event notification from automated information systems and sensors). Personal reports (i.e., those from individuals rather than information systems) should be expected from both known and unknown sources.
Known sources include operating partners, information sharing networks, trusted members of private industry, government stakeholders, and significant domain subject matter experts (research scientists, etc). Unknown sources may include reports from citizens and other organizations where a relationship does not exist. One example is the “hotline,” which is a posted phone number or instant messaging service which allows all parties to report incidents to the National CIRT 24 hours a day and 365 days a year. These incidents will vary in their severity and importance.
In order for the National CIRT to efficiently and fairly handle reports it should establish a clear, consistent workflow process. Typical steps would include
Detect incidents.
Collect and document incident evidence.
Analyze and triage events.
Respond to and recover from incidents.
Learn from incidents.
3.3.4 Enabling Goal: Warn the Community
The National CIRT warns the community it serves for a number of reasons. Timely notification of a threat enables proactive protection of systems as well as recovery from an incident. Warnings and alerts increase the ability of the affected constituents to prepare against and detect threats and vulnerabilities, reducing the potential impact of risk. Warning the community about relevant problems will foster healthy relationships, and promote practices for situational awareness. It also can provide evidence for the
“value-added” benefit of a National CIRT.
A National CIRT uses its relationships with stakeholders and with other National CIRTs, as well as its collected incident reports and analysis of those reports, to learn about threats and vulnerabilities and identify information that needs to be distributed to the community. A National CIRT must design warnings to inform the community and encourage them to act to defend themselves. However the National CIRT must balance the need to disseminate the information quickly with the sensitivity of the information and the format of the warning. Such warnings must be sent to the community in a manner that provides for its authenticity, integrity, and privacy where required. In addition, some warnings require confidentiality regarding the source of the information, particularly in cases where an intelligence source supplies threat information. Care needs to be exercised to ensure that while relevant threat information is effectively shared, it is not shared to those without a need to know. Many National CIRTs remove information that may indicate the source of threat and vulnerability data, limiting communications to the vulnerability discovered or obscuring specific threat data.
Warnings from the National CIRT to stakeholders and the national community in general are typically more effective when transmitted through trusted, confidential communications channels that have already been established. These “channels” may take the form of specific individuals or offices in key organizations. Working through pre-established confidential communication mechanisms has proven to
102
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности be a very successful strategy for building trusted relationships. As a basis of the trusted relationships,
National CIRTs and their stakeholders and major constituents agree upon the communications method, the terms of information handling, and other protections. This enabling goal is closely tied with establishing trusted communications.
3.3.5 Enabling Goal: Publicize Cybersecurity Best Practices
–
–
A National CIRT collects information about security problems through various means and its collective historical knowledge is an excellent source of “Lessons Learned.” The lessons extracted from incidents can form the basis for targeted skills development and general security awareness. Moreover, these lessons learned often improve situational awareness and contribute to overall cyber risk management. A National
CIRT may communicate best practices it has codified through the publication of general cybersecurity best practice documents, guidance for incident response and prevention, training, recommended organizational procedures, and published case studies of practice adoptions. For example, a National CIRT may produce best practices about:
How to secure specific technologies against known attacks and cybersecurity threats.
How to develop, test, and exercise emergency response plans, procedures, and protocols.
– How to coordinate with the National CIRT on security research (e.g., vulnerability identification, root cause analysis, and threat and attack community research).
3.3.6 Additional Resources: For Establishing Situational Awareness and Managing
Incidents
The following is a list of publicly available resources for establishing cybersecurity awareness and managing incidents:
–
–
Reference materials
– Operationally Critical Threat, Asset, and Vulnerability Evaluation (OCTAVE): http://www.cert.org/octave/
– CERT Resiliency Management Model (RMM): reports/10tr012.cfm
http://www.sei.cmu.edu/library/abstracts/
– FIRST Papers & Presentations related to Computer Security: http://www.first.org/resources/ papers/index.html
FIRST Best Practices Guides: http://www.first.org/resources/guides/index.html
ENISA Quarterly Review: http://www.enisa.europa.eu/publications/eqr
–
–
–
–
–
Training resources
– CERT Assessing Information Security Risk Using the OCTAVE Approach: training/p10b.cfm
http://www.sei.cmu.edu/
CERT OCTAVE Approach Instructor Training: http://www.sei.cmu.edu/training/p42b.cfm
CERT Computer Security Incident Handling Certification: http://www.sei.cmu.edu/certification/ security/csih/
FIRST Network Monitoring SIG meetings:
Computer Security Incident Handling:
CERT Virtual Training Environment: http://www.first.org/meetings/nm-sig/ http://www.first.org/conference/ https://www.vte.cert.org/vteweb/default.aspx
– FIRST Technical Colloquia & Symposia: http://www.first.org/events/colloquia/ courses:
103
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Materials on Warning the Community
– United States Department of Homeland Securty Stay Safe Online Website: http://www.staysafeonline.org/ncsam
– The United States’ US-CERT maintains a repository of cybersecurity situational awareness information: http://www.uscert.gov/
–
–
US-CERT Vulnerability Notes Database: https://www.kb.cert.org/vuls/
National Institute of Standards and Technology: National Vulnerability Database: http://web.nvd.nist.gov/view/vuln/search
Australia’s Stay Smart Online Alert Service: https://www.ssoalertservice.net.au/ –
– United Kingdom’s Warning, Advice, and Reporting Point‘s newsletters: http://www.warp.gov.uk/Index/WARPNews/indexnewsletter.htm
– International Telecommunications Union’s collection of Security Alert Providers: http://www.itu.int/osg/spu/ni/security/links/alert.html
3.4 Strategic Goal: Support the National Cybersecurity Strategy
A National CIRT is a significant operational component of a national approach to executing cybersecurity strategy. A National CIRT participates within a broader context for national incident management against a host of diverse threats (i.e., man-made and natural; physical and cyber). A National CIRT can be used to help
–
– determine additional national strategic requirements for cybersecurity identify needed technical practices, educational improvements, skills development of cybersecurity practitioners, and research and development
–
– identify opportunities to improve cybersecurity policy, laws and regulations distribute lessons learned from cybersecurity experiences affecting the national approach to cybersecurity itself
– improve the measurement of damages and costs associated with cyber incidents.
Perhaps most importantly for the national cybersecurity strategy, the National CIRT can help promote a national culture of cybersecurity. By bringing together diverse stakeholders, the National CIRT can help stakeholders better understand cybersecurity issues and the importance of this area to their various communities.
3.4.1 Enabling Goal: Translate Experiences and Information to Improve National Cyber
Incident Management and Cyber Policy Development
While organizations of all sizes will continue to perform internal cyber incident management, a National
CIRT alone has the primary responsibility of addressing national level concerns. Translating National CIRT experiences in a way that is useful to policymakers, stakeholders, and the community of security practitioners generally enhances national cybersecurity. Translating experiences implies considering ways in which the National CIRT’s work and the experiences of the community may have broader implications for national laws and policies. This translation can produce lessons-learned and improve problem avoidance and risk mitigation nationally, as well as influence national regulations, guidance, initiatives and directives.
One example of such an experience may include incidents involving vulnerabilities affecting a system the national government is considering deploying across its departments, agencies, and ministries.
Understanding the inherent risks may determine whether it will choose a technology or not. Another example may involve some ambiguity or inconsistency in privacy law that impedes information sharing
104
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности among private stakeholders. The sources for these lessons learned include both the National CIRT’s experiences and the experiences of stakeholders.
3.4.2 Enabling Goal: Build National Cybersecurity Capacity
A National CIRT is uniquely situated to serve as a trusted, national focal point. By taking advantage of this, a National CIRT can coordinate with all owners and operators of ICT (private and/or public) to gain a uniquely comprehensive perspective of the national cybersecurity landscape. This allows the National
CIRT to support the national cybersecurity strategy, manage incidents of national concern, and support government operations most effectively. A National CIRT typically builds national cybersecurity capacity by publishing best practices and providing services, guidance, training, education, and awareness for the building of other organizational CIRTs.
A National CIRT may foster a national culture of cybersecurity. Publications and advisory services of the
National CIRT should be designed to build collective national capability, rather than cater to specific niche needs. It is incumbent on a National CIRT not to act in the capacity of advocating the interests of a particular stakeholder. The National CIRT can act as a valuable bridge between stakeholders and national policymakers. The extent to which a National CIRT can fulfill this role may depend on legal and structural factors.
3.4.3 Enabling Goal: Leverage Public Private Partnerships to Enhance Awareness and
Effectiveness
–
–
Protecting critical infrastructure and cyberspace is a shared responsibility that can best be accomplished through collaboration between government and the private sector, which often owns and operates much of the infrastructure. Successful government-industry collaboration requires three important elements:
(1) a clear value proposition; (2) clearly delineated roles and responsibilities; and (3) two-way information sharing. The success of the partnership depends on articulating the mutual benefits to government and industry partners. Benefits to all partners include: increased situational awareness through robust two-way information sharing access to actionable information regarding critical infrastructure threats
– increased sector stability that accompanies proactive risk management
National CIRT operational and strategic capabilities require active participation from all its partners.
Governments and industry should collaboratively adopt a risk management approach that enables government and the private sector to identify the cyber infrastructure, analyze threats, assess vulnerabilities, evaluate consequences, and identify mitigations plans.
3.4.4 Enabling Goal: Participate In and Encourage the Development of Information
Sharing Groups and Communities
The National CIRT’s participation in information sharing groups and communities is an important way to enhance situational awareness and build trust relationships. Information sharing in this context should ideally be bi-directional between the National CIRT and its community. With regard to infrastructure operators specifically, incident and risk information should flow to the National CIRT from industry while the National CIRT in turn disseminates threat, vulnerability, and mitigation information. Government, the
National CIRT, and industry can enhance this information flow by collaboratively developing a formal framework for incident handling, including issues surrounding information sharing. The framework should include policies and procedures for sharing information and reporting incidents, protecting and disseminating sensitive (government and industry) proprietary information, and mechanisms for communicating and disseminating information.
There are several different types of information sharing groups. Where the National CIRT identifies a need for a particular venue in which to share information, it should take the lead in establishing such an organization.
105
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Industry groups are comprised of separate firms in the same industry, for instance the several electrical suppliers in a nation. These groups are often a valuable source of information about vulnerabilities and incidents in a particular industry and can be fruitful venues to catalyze discussion about cybersecurity.
While industry groups are very beneficial, participants may sometimes be reluctant to share proprietary or sensitive information in a group of their competitors.
Communities of interest are generally groups with a narrow, technology focus. These groups are integral components of information sharing because they often have deep technical knowledge, skills, and experience to study a problem and create solutions. Participants in these groups are often individuals recognized for their technical skills, leading researchers in the fields of cybersecurity and computer science, and private industry representatives from key information and communications technology providers (i.e., infrastructure providers, software developers, etc.).
In some countries, communities of interest already share information on security threats, vulnerabilities, and impacts. Often, these groups also provide timely alerts and warning to members to facilitate efforts to mitigate, respond to, and recover from actual incidents impacting the critical infrastructures. Examples of these groups include Information Sharing and Analysis Centers (ISACs) in the United States, and
Warning, Advice, and Reporting points (WARPs) in the U.K.
Government-Industry working groups can greatly facilitate information sharing . Government can be informed by industry, soliciting comments from industry for cybersecurity policy and strategy development, and coordinating efforts with private sector organizations through information sharing mechanisms. Government should ensure that the private sector is engaged in the initial stages of the development, implementation, and maintenance of initiatives and policies. Industry can benefit from these groups by gaining the opportunity to affect policy making and learning how their sector fits in the overall national security picture.
Finally, the National CIRT can play an important role organizing working groups among interdependent industries. Incidents involving one infrastructure sector can have cascading effects that result in incidents in others, creating interdependencies that are not always anticipated. For example, service disruptions in one public utility may create high volumes of customer calls, disrupting telephone networks. By developing an understanding of how cybersecurity affects multiple systems, the National CIRT can play an important role in helping infrastructure owners and other organizations be sensitive to these interdependencies. Sharing information across infrastructure firms can facilitate the response to incidents that cut across multiple sectors.
3.4.5 Enabling Goal: Assist the National Government in Responding to Incidents in
Support of Government Operations
Where it is appropriate, based on political and organizational considerations, the National CIRT enhances its role and effectiveness by handling incident response for government entities. Doing so helps to build trust relationships with government departments and helps the National CIRT maintain an awareness of the systems and technology currently in use. In cases where incident response in specific departments is handled by an in-house CIRT, for instance a CIRT dedicated to the nation’s armed forces, the National CIRT can provide support by disseminating threat information and information obtained through outreach with the nation’s various organizational CIRTs.
3.4.6 Additional resources: Support the National Cybersecurity Strategy
The following is a list of publicly available resources for understanding how National CIRTs support a national cybersecurity strategy.
Reference materials
– DHS National Infrastructure Advisory Council: Reports and Recommendations: http://www.dhs.gov/niac
106
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
US-CERT Government Collaboration Groups and Efforts to support government infrastructure: www.uscert.gov/federal/collaboration.html
The National Council for Public-Private Partnerships (U.S.):
Partnership for Critical Infrastructure Security, Inc: www.ncppp.org/ www.pcis.org/
DHS National Infrastructure Protection Plan and Sector-Specific Plans: www.dhs.gov/nipp
– OECD Guidelines for the Security of Information Systems and Networks: Towards a Culture of
Security: www.oecd.org/document/42/0,3343,en_2649_34255_15582250_1_1_1_1,00.html
– CIRTs and WARPs: Improving Security Together: www.warp.gov.uk/Marketing/
WARPCIRT%20handout.pdf
4 Conclusion
Instituting a national computer security incident management capability can be a valuable step towards helping nations manage risk and secure their systems. This handbook is designed to be introductory curricula for cybersecurity capacity development within nations. The intended audience includes potential sponsors of National CIRTs, government policymakers, and individuals responsible for information and communications technologies wanting to learn more about the value proposition of National CIRTs and incident management capability generally. It is not intended to be a guide on the daily operations of a
National CIRT, but as informative materials on how a computer security incident management capability may support a national cybersecurity strategy.
The simple truth is that there is a common need to resist, reduce, and fight cyber threats and respond to attacks. National CIRTs and organizations like them provide a domestically-focused, internationallyamplified operational response to those cyber incidents that can destabilize critical infrastructure.
107
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
References
URLs are valid as of the publication date of this document.
[Brunner 2009]
Brunner, Elgin M. & Suter, Manuel. International CIIP Handbook 2008/2009. Zurich, Switzerland : Swiss
Federal Institute of Technology Zurich. 2009. www.css.ethz.ch/publications/CIIP_HB_08 .
[DHS 2003]
Department of Homeland Security. The National Strategy to Secure Cyberspace. Washington, D.C. 2003. www.dhs.gov/files/publications/publication_0016.shtm
.
[DHS 2008]
Department of Homeland Security. National Response Framework.
Washington, D.C. 2008. www.fema.gov/pdf/emergency/nrf/nrf-core.pdf
.
[DHS 2009]
Department of Homeland Security. National Infrastructure Protection Plan: Partnering to enhance protection and resiliency . Washington, D.C. 2009. www.dhs.gov/xlibrary/assets/NIPP_Plan.pdf
.
[Killcrece 2004]
Killcrece, Georgia. Steps for Creating National CIRTs. Pittsburgh, PA: Software Engineering Institute,
Carnegie Mellon University. 2004. www.cert.org/CIRTs/national/ .
[West-Brown 2003]
West-Brown, Moira; Stikvoort, Don; Kossakowski, Klaus-Peter; Killcrece, Georgia; Ruefle, Robin & Zajicek,
Mark. Handbook for Computer Security Incident Response Teams (CIRTs). Pittsburgh, PA: Software
Engineering Institute, Carnegie Mellon University. 2003. www.sei.cmu.edu/library/abstracts/ reports/03hb002.cfm
.
This work was created in the performance of a Federal Government Contract by Carnegie Mellon
University for the operation of the Software Engineering Institute; a federally funded research and development center. The Government of the United States has a royalty-free government-purpose license to use, duplicate, or disclose the work, in whole or in part and in any manner, and to have or permit others to do so, for government purposes pursuant to the copyright license. The ideas and findings in this report should not be construed as an official US Government position. It is published in the interest of scientific and technical information exchange.
108
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex B: Best practices for Cybersecurity – Managing a National CIRT with
Critical Success Factors
Abstract
This draft report is relevant to Item 2 b) (i) (a) (“with respect to developing a national strategy for cybersecurity, (a) to develop models for national cybersecurity management of the ITU-D Study Group 1
Q22/1 work program) (see Document WTDC-10/162 Rev.1
)
National security, economic vitality, and critical infrastructure are increasingly dependent on secure, reliable information and communications technology (ICT). Government authorities are faced with having to secure information and information assets from complex vulnerabilities and poorly attributable threats. These problems are often beyond the reach of traditional governmental and legal processes.
National CIRTs are an essential element to supporting national cybersecurity and ensuring the resilience of critical ICT.
While National CIRTs are vital to national cybersecurity, they pose significant management challenges.
This paper proposes critical success factors (CSFs) as an aid to leaders and managers in National CIRTs.
CSFs are a way to identify the essential attributes and activities that support an organization’s success, and they have been used to identify information requirements for executives and align information technology (IT) with business drivers in large organizations. This paper introduces the use of CSFs in the
National CIRT community, describes a process to identify them, and provides three examples of how they can be used as part of National CIRT management.
109
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1 Introduction
National security and economic vitality are increasingly dependent on the storage, transmittal, and use of information over interconnected, complex networks. Government and industry leaders are faced with uncertainty and concerns over the confidentiality, availability, and integrity of data and systems that support critical services in their societies. These concerns stem from many causes, including the complexity of the systems themselves, complex supply chains where the end-user is many times removed from the manufacturer, and the rapid exploitation of new vulnerabilities. Online anonymity implies that individuals or groups can affect complex, important systems from behind their own political borders, while national governments are constrained by the limits of their jurisdiction and the speed of legal and organizational processes. As a result, government leaders face a dilemma, one in which they must protect complex, evolving critical information and communications technology (ICT) over which they have little control and which are subject to disruption from a number of poorly understood or non-attributable causes. This security challenge is unique.
A computer security incident response team with national responsibility (referred to in this document as a
National CIRT) is an essential organization for helping national constituencies understand and manage cybersecurity incidents. A National CIRT is a nation’s primary computer security incident response team, with responsibility to one or more constituencies considered important for national security, public health and safety, critical infrastructure, or economic vitality. National CIRTs are frequently, but not necessarily, a formal part of the government. While many nations have a single National CIRT, it is not unusual for there to be more than one National CIRT, each of which serves its own national constituency. A National
CIRT coordinates incident management and facilitates an understanding of cybersecurity issues. It provides the specific technical capability to respond to cyber incidents of interest to its national constituency. In this primary role, the National CIRT provides incident management solutions for government authorities and national constituents.
Beyond the capacity to respond to discrete incidents, National CIRTs can enhance the ability of government departments to fulfill their unique roles. Most government functional areas are touched by IT or cybersecurity threats in some way. Law enforcement and the judiciary are increasingly concerned by the global movement of criminals to the virtual world to commit crimes ranging from the exploitation of vulnerable groups to financial fraud. National CIRTs can help authorities by tracking and analyzing incidents involving the malware and techniques used to commit these types of crimes. The world’s defense services, as well as critical infrastructure sectors–such as food, water, and energy–depend on reliable ICT that may be degraded by cyber vulnerabilities of all kinds. The National CIRT can help national governments manage these vulnerabilities by identifying them and educating its constituency on best practices and mitigation.
Finally, National CIRTs can help foster international cooperation on cybersecurity by serving as a communication channel for information about incidents, threats, and vulnerabilities that cross borders.
Regional and global collaboration with peer organizations, governments, and technology providers can enhance this capability and help leaders better understand the current state of the global cyber threat.
This paper addresses the unique management challenges facing National CIRTs. These organizations frequently operate under varying legal and political environments, are overseen by differing organizations, are staffed by people with unique skill sets, and are funded at different levels. They frequently have widely differing constituencies, ranging from the owners of government agency networks, to academic networks, to critical infrastructure providers. The services that National CIRTs provide depend strongly on the capabilities of their constituents. For instance, some National CIRTs may serve constituents that already have a robust internal response capability. Others may serve constituents with a limited in-house capability, requiring the National CIRT to provide direct technical assistance. National
CIRTs are very rarely “one size fits all” organizations.
Fortunately, these challenges are not unprecedented. Corporations and other industrial organizations have long faced similar problems relating to the management of complex problems, uncertainty, and the demands of ever-changing markets and competitors. While corporations and firms serve different roles in
110
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
– society, both types of organizations must manage operations in uncertain, complex environments to serve constituents and customers with changing, evolving needs.
Over the last two decades, these challenges have become more acute. As IT has become critical to the operations of most organizations, their leaders have struggled to align the use of technology with their business environment and requirements. One useful tool has been critical success factors (CSFs).
This paper will propose and explain the use of CSFs as an aid to helping National CIRT leaders manage their organizations more effectively. CSFs are an expression of the several activities and attributes that are truly important to the success of the organization. Specifically, the paper will explain CSFs, describe the general process an organization would use to derive its own set of CSFs, and provide three examples of how CSFs can be used to help manage a National CIRT: using CSFs as an aid in building a national computer security incident management capability using CSFs to select which constituent services to provide using CSFs to identify priorities for measurement and metrics
How to Read this Document
This document is intended for managers and leaders involved in operating National CIRTs. It is also intended for leaders in organizations interested in best practices for national cybersecurity. The discussion of CSFs presented in this document might also be of interest to managers in other organizations; for instance, those managing incidents across infrastructure sectors or extended supply chains.
This paper employs the example of a fictional National CIRT charged with the mission “Protect national security and critical infrastructure from cybersecurity threats and vulnerabilities.” It is based in no particular country, and is not intended to resemble any actual National CIRT. However, it shares similarities with many incident management organizations. It has limited funding and staffing. Its constituency has evolving and changing needs and may not know what incident management services it really needs. Its parent organization does not really understand what it does or how to measure its performance. The CIRT is usually not noticed until something goes wrong. The goals and CSFs that apply to this fictional National CIRT are not intended to apply generally to actual incident management organizations, although they may to some degree.
57
The use of CSFs relies on two primary assumptions. The first is that a mission and strategic objectives are in place for the National CIRT. The mission describes what the organization does, and why it does it. The
National CIRT mission should ordinarily flow directly from a national cybersecurity strategy, since most of its activity centers on supporting national cybersecurity. Strategic objectives are a more specific articulation of the mission and are designed to provide guidance for the organization itself and also for outside observers seeking to understand the National CIRT’s role.
For example, the mission for our fictional National CIRT is “Protect national security and critical infrastructure from cybersecurity threats and vulnerabilities.” Strategic objectives may express these in more granular terms, such as
– Protect government networks that store and transport information relating to military operations. Protect systems in the water and power generation infrastructure sectors from software vulnerabilities and attack.
The second assumption, which follows closely from the first, is that the constituency for the National CIRT is defined. This might be an explicit, documented decision made by the sponsoring or governing organization through statutes, memoranda, or other documentation. It may also be implicit and follow
57
The question of what community CSFs apply to all or any National CIRT—in other words what every National CIRT must do well—will be the subject of a future paper.
111
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности logically from the organizational placement of the National CIRT. For example, a National CIRT operated by national military authorities may primarily support military networks.
Both assumptions may be more or less true in some cases. Many National CIRTs provide services to their constituents despite the lack of a well-defined national cybersecurity strategy or mission. National CIRT constituencies may also be ambiguous. In some situations, National CIRTs may provide services to a variety of stakeholders on an ad hoc basis or as incidents unfold. Nevertheless, the National CIRT’s managers must have some idea of what it hopes to accomplish and what constituency it intends to serve.
CSFs help leaders manage their organizations to ensure alignment with the mission and strategic objectives. They provide an actionable roadmap with tangible outcomes for measuring success. They will not provide or inform the mission itself.
2 Critical Success Factors
The use of critical success factors started with work conducted by John Rockhart of the Massachusetts
Institute for Technology (MIT) Sloan School of Management [Bullen 1981]. This work originally involved helping organizations identify information needs
58
for senior executives. It has also been applied to the question of helping senior IT managers (CIOs and CISOs, for example) plan the use of IT so that it supports business drivers across large organizations. Rockhart advocated using CSFs as a way for senior executives to better manage information systems.
–
–
Critical success factors themselves have been defined in different ways in the literature, including:
– key activities in which favorable results are necessary to reach goals key areas where things must go right for the business to flourish factors that are critical to the success of the organization
– a relatively small number of truly important areas.
These definitions share similarities. Critical success factors are the things that an organization must do, or attributes the organization must have, to achieve its mission. They have been described as things that
“must be achieved in addition to the organization’s goals and objectives” [Caralli 2004]. Indeed, CSFs can be attributes or conditions, such as “be a trusted partner,” “passion,” “shared ownership,” or “clear authority and responsibility.” In this sense, CSFs are not simply deconstructed or more granular versions of strategic goals. We will use the following definition:
National CIRT critical success factors are the activities that must be done or conditions that must be met in order for the National CIRT to achieve its mission and effectively serve its constituency.
It is important to understand the relationship and differences between CSFs and strategic goals, as these might initially seem to be interchangeable. Strategic goals are the higher-level objectives that describe what the National CIRT must accomplish. An example might be: “Protect government networks that store and transport information relating to military operations.” These typically general statements further describe and explain the mission of the organization. They provide little guidance to National CIRT managers about how to accomplish the strategic goal in the context of their unique operating environments. CSFs, on the other hand, help the manager or executive identify and understand what must be accomplished to achieve the strategic goals and mission. These can then be operationalized into actionable activities.
58
Information needs consist of information executives need about the operations of their organizations. Identifying information needs for executives can be a difficult problem in large, complex organizations because many of the reports or other sources of information are generated, among other reasons, to facilitate routine business functions rather than monitor the health of the organization.
112
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSFs are also different than performance goals, although they are closely related to them. Performance goals are targets established to contribute to the organization’s success or the success of a particular business unit or individual. For instance, the sales office of a manufacturing company may have a goal of
“Achieve a 10 percent increase in sales over the next fiscal year.” By comparison, a particular CIRT serving a private firm may have the goal “Respond to all incidents within 24 hours.”
The usual purpose of performance goals is to provide targets to employees and business units so work can be organized and performance rated. Performance goals are frequently very specific, express quantitative measures of performance, and are often tied to a performance management process. While these types of goals are necessary to operate organizations, they may not always be the best indicator of success.
Managers frequently set performance goals based on assumptions about what type of activity is measureable. In fact, they may show a preference for goals that are easily measureable, even if the activity does not always directly support the mission of the organization. Because performance goals usually involve the performance management of individuals and business sub-units, managers may also write goals that are generally attainable, for reasons relating to leadership and morale.
More fundamentally, performance goals are not really intended to help managers understand and prioritize their organization’s internal activity. Nor are they intended to help solve management problems.
Rather, they are for consumption by those performing the work in the organization. CSFs, by contrast, fill the void between strategic considerations and lower-level goals. The following example, derived from our fictional National CIRT, shows how CSFs can bridge the gap between a higher-level strategic goal and performance goals.
59
Figure 1. Various roles of strategic goals, CSFs, and performance goals
Protect
Government
Networks …
Vulnerabilities
Must be
Mitigated
Rapidly
Unauthorized traffic in military networks must be detected
Staff Must
Coordinate with
Vendors
Vendor contact lists must be error free and validated every two months
Incidents from
Agency “ABC” must be responded to within 2 hours
75% of staff must receive malware training every year
100% of networ traffic must be captured at two specific agencies
Strategic goal Critical Success Factors* Performance Goals
59
This example includes three of the six CSFs for the National CIRT. The full list appears on page 16.
113
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Figure 1 illustrates a set of strategic goals, CSFs, performance goals, and the roles filled by each of these management tools. The strategic goal “Protect Government networks that store and transport information about military operations” provides guidance and indicates the leadership’s intent to the entire organization. At the opposite end of the spectrum, performance goals help those in specific functions to understand how they should be contributing to the overall mission. In this case, the training coordinator knows that 75 percent of staff must receive refresher training on malware each year.
Moreover, this performance goal has been explicitly linked to the strategic goal through a formal CSF process. Likewise, incident handlers understand they should respond to incidents from agency “ABC” within two hours.
The critical success factors identified in this case fill an important niche between extremes: they help the managers understand which activities must be accomplished to accomplish the mission. Together, strategic goals, CSFs, and performance goals can create a seamless web wherein performance measures and goals closely align with the mission and strategic goals. This understanding and prioritization helps the National CIRT prioritize its efforts to foster resilience across the array of constituent technology and information assets.
2.1 Advantages of a CSF Approach
There are several advantages to developing a formal approach to CSFs in National CIRTs, and organizations generally. These advantages include
– Reducing ambiguity. CSFs can help managers build agreement across their staff on the purpose and activities of the organization. The process of identifying and implementing CSFs can help to foster communication throughout teams by involving them in the discussion, improving the
National CIRT’s confidence in the decisions made by management.
–
–
Identifying Candidates for Measurement and Goal Setting. As noted, a key aspect of managing any organization is measuring performance. However, measuring organizational performance involves costs and complicated questions. Gathering and analyzing data can consume man hours and require investment in technology. What is to be measured? How often? Many organizations find measuring the right things difficult—or they measure only those activities that are simple to measure [Hubbard 2009]. Sometimes this uncertainty results in no, or sub-optimal, measurement of the organization’s activity. Evaluating CSFs can provide clarity and direction on this question, ensuring that measurement and metrics help to produce optimal results.
Identifying Information Requirements. When closely aligned with goal setting, CSFs can help managers identify what types of information they really need to understand the operations and health of their National CIRTs. Sometimes an objective, thorough evaluation of CSFs can identify information requirements that are not obvious. For example, the success of a National CIRT often hinges on how willing major constituents are to communicate incident and other information to the organization. An objective, formal examination of CSFs may indicate that whether or not the National CIRT is perceived as trustworthy or as a technology leader in its community is a CSF. This can lead the National CIRT manager to request and watch types of indicators and information he or she may not have considered.
– Identifying Risk Management Concerns. CSFs can help identify the vital assets and services supporting the organization’s mission. This function can help a National CIRT identify which systems and assets should be subject to a risk management process. This use of CSFs has become common in many industries.
CSFs can be especially helpful for new and evolving organizations like National CIRTs. People in organizations with many similarly-situated peers - the automobile industry for example, which serves a mature market with a long, well studied history - have at least some gut-level understanding of what it takes (i.e., the CSFs) to succeed in their industry. This understanding may be based on organizational learning, talking to peers in other firms, or on historical experiences in the industry. Managers of National
114
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CIRTs do not typically have the same advantages, and can benefit from a formal process to identify their essential practices.
2.2 Sources of CSFs
Much of the existing literature about CSFs centers on private industrial firms. These firms look to various entities and sources to derive CSFs [Rockhart 1979, Caralli 2004]. These include their industry, their peers, the general business climate, government regulation, specific problems or barriers facing the organization, and the different hierarchies in their own organization. For a National CIRT, the sources of
CSFs are not very different. They include the following:
– The constituency. This is probably the most important source of CSFs for a National CIRT. The needs and demands of the constituency form a primary input to the services to be provided.
Services will vary depending on the constituency. A National CIRT that supports government agencies directly may monitor government agency networks if granted the authority to do so.
Alternatively, a National CIRT serving private infrastructure owners and operators may collect incident information through voluntary reporting. Much of its role may relate to disseminating best practices and fulfilling a warning function. Beyond the question of selecting services, the constituency can provide input to operational questions for the National CIRT; for instance, how quickly incidents must be processed or analyzed to be of service.
– Governing or oversight organizations. The organization that sponsors and overseas the National
CIRT is an important source of CSFs. This is often expressed in the parent organization’s mission or objectives.
–
–
Peers. The experiences of other National CIRTs can form a valuable bank of knowledge to inform operations. For instance, where peer organizations serve similar constituencies or face similar challenges, they may have already learned lessons that can be helpful.
The legal or political environment. There may be constitutional or regulatory demands or limitations placed on National CIRTs that also affect CSFs. Constitutional limitations may prevent the National CIRT from obtaining certain information, or may place duties on the National CIRT to safeguard particular information to a certain standard. These may include regulations having to do with the privacy of personal information, for instance.
–
Organizational issues fall into this category, as well. For example, if the National CIRT is part of an organization that also overseas or regulates the constituency, this organizational relationship itself may create challenges that must be considered. In this particular case, the willingness of constituents to provide information about incidents or their vulnerabilities, despite an obvious concern that it could be used for regulatory purposes, could be identified as a CSF.
Resource constraints. The resource constraints National CIRTs may face are a potential source of
CSFs. A basic constraint in many environments is the limited availability of skilled staff. Other constraints might include uncertainty surrounding funding. Resource constraints may imply CSFs that limit or constrain operations, or the resulting CSF may express the need to alleviate the constraint and develop human capital or funding sources.
This section is intended to serve as a primer on this topic and to describe a process for identifying CSFs in the context of National CIRTs. The intent is to give National CIRT managers an understanding of the formal process that drives development of CSFs. Additional detail concerning the process of identifying and refining CSFs can be found in the works cited earlier in this report.
Activities such as workshops and working sessions are often used to derive or identify CSFs. The personnel facilitating this work are selected by management based on various traits, such as their ability to think objectively about the organization, their leadership ability, their understanding of the organization, and
115
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности their communication skills. Based on the literature in this area, we propose four phases for the identification and refinement of CSFs for National CIRTs. These are
–
–
Defining Scope
Collecting Data; Document Collection and Interviews
2.3.1 Defining Scope
Defining scope usually involves deciding whether the task of collecting CSFs is focused on enterprise priorities for the organization or on operational activities. Enterprise CSFs focus on long-term, major decisions, such as priorities for staffing, which services to offer, which technology to invest in, or whether or not to move into a new facility. By contrast, operational CSFs involve the daily operations of organizations. For a National CIRT, operational CSFs may involve the speed of incident handling or in what priority different types of incidents should be handled.
Many organizations, especially large firms with many subsidiary divisions and departments, start their CSF process at the enterprise level. They do so for the sake of simplicity. However, for smaller organizations or organizations with a flat organizational structure (where there are few organizational layers between managers and workers), collecting both enterprise and operational CSFs at the same time can be effective. Many of the small teams of which National CIRTs are composed share these characteristics and can feasibly derive CSFs in one exercise.
2.3.2 Collecting Data: Document Collection and Interviews
Collecting data to develop CSFs is done in two primary ways, document collection and interviews of key personnel .
Document collection normally involves gathering important documents that provide information about the essential factors affecting the National CIRT’s mission. The types of documents to be gathered usually include
–
–
–
– the national cybersecurity strategy the mission statements for the National CIRT and the National CIRT’s parent organization the mission statements of the most important stakeholders or constituents previous audit reports concerning the National CIRT
–
– previous reports about incidents that have affected the constituency the legislation or statutes that establish and give authority to the National CIRT
– important laws or other regulations.
Of the two data collection methods, interviewing is typically the more important and fruitful method.
Interviewing managers, employees, constituents, and other stakeholders provides the opportunity to reach agreement and understand what is truly important for the operation of the organization. In addition, the interactive process of an interview allows for participants to help guide the process and expose areas of concern and other nuances in a way that document review usually does not.
–
–
For CSF interviews to be productive, the right people must participate in the event, and forethought should be put into the interview questions. For instance, while simply asking a constituent “What are your critical success factors?” can yield useful information, probing or open-ended questions can be more beneficial. For example
What are your top two or three concerns about losing information?
How could the failure of an information system jeopardize your organization?
116
–
–
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
What are the top two or three things you need to manage cybersecurity incidents, which are currently beyond your capability?
What would cause you not to share information about vulnerabilities or incidents with our
National CIRT?
How do we earn the trust of people in your organization?
After data is collected, it must be analyzed. During the analysis phase, documents and interview responses are examined to identify similar themes. Themes are ideas or activities that seem to recur throughout the documents or responses.
Analyzing documents to identify themes can be relatively straightforward. As an example, Figure 1 presents objectives 3.1 through 3.3 of the United States Department of Homeland Security Strategic Plan for 2008 to 2013 . Certain sections of these objectives are underlined below. These statements and the themes that relate to them appear in Table 1.
Figure 2. Example: Three objectives from the DHS Strategic Plan for 2008 to 2013
Objective 3.1
Protect and Strengthen the Resilience of the Nation’s Critical Infrastructure and Key Resources.
We will lead the effort to mitigate potential vulnerabilities of our Nation’s critical infrastructure and key resources to ensure its protection and resilience. We will foster mutually beneficial partnerships with public and private sector owners and operators to safeguard our critical infrastructure and key resources against the most dangerous threats and critical risks. We will strengthen resilience of critical infrastructure and key resources.
Objective
Ensure Continuity of Government Communications and Operations.
3.2
We will implement continuity of operations planning at key levels of government. We will improve our ability to continue performance of essential functions/business and government operations, including the protection of government personnel, facilities, national leaders, and the
Nation’s communications infrastructure across a wide range of potential emergencies.
Objective
Improve Cyber Security.
3.3
We will reduce our vulnerabilities to cyber system threats before they can be exploited to damage the Nation’s critical infrastructures and ensure that such disruptions of cyberspace are infrequent, of minimal duration, manageable, and cause the least damage possible.
117
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Table 1. Deriving themes from document review
Statement
“Mitigate potential vulnerabilities.”
Theme
Mitigate vulnerabilities
“Reduce our vulnerabilities to cyber system threats.”
“Foster mutually beneficial partnerships.”
Mitigate vulnerabilities
Build partnerships with private industry
“Protection of communications infrastructure.”
“…ensure that such disruptions of cyberspace are infrequent, of minimal duration, manageable, and cause the least damage possible.”
Infrastructure resilience
Infrastructure resilience
Deriving themes from interview notes is done in a similar fashion, but can be more difficult because the team facilitating the activity must not let their personal biases, the position of the interviewee, or other factors skew the results of the work. A process of normalizing data is usually conducted in order to remove bias and grade interview responses equally. Normalizing data means rewriting and presenting the responses in such a way as to limit the effects of bias or other error.
2.3.4 Deriving CSFs
–
–
Deriving CSFs involves taking the themes identified during analysis and further refining them to develop concise, unique CSFs describing the critical areas in which the National CIRT must perform in order to satisfy its mission. Refinement of the themes involves grouping them together by their similar characteristics and, as concisely as possible, expressing what the theme means to the organization. This process is done over and over to eliminate candidate CSFs that are unclear or duplicative. The following is a sample list of operational and enterprise CSFs for our fictional National CIRT.
Unauthorized traffic in government networks must be detected.
Negative publicity from security incidents must be managed.
–
–
Staff must coordinate with vendors.
Vulnerabilities must be mitigated rapidly.
–
–
Strong partnerships must be built with private industry.
Services must be provided with current in-house staff.
60
Once CSFs are identified, they must be implemented to be useful. The following section gives three examples of how CSFs can be used to support National CIRT management.
3 Using Critical Success Factors for National CIRTs
The purpose of identifying CSFs is to help National CIRT managers understand their operations and make better decisions. National CIRTs can use CSFs in ways similar to many IT-centric organizations. For instance, CSFs can be used to help manage security and resilience by helping managers understand what
60
The fictional National CIRT used in this example is like many National CIRTs, in that it faces resource constraints.
118
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности services and assets are truly important and need to be secured. They can also help managers determine the relative priority of securing various assets. Closely related to this question, CSFs can be used to help determine the scope for risk assessments. Risk assessment can be a labor- and time-intensive process.
Consequently, having a formal process to identify important services, and their related assets, is essential for making risk assessment fruitful. Finally, CSFs can be used to help managers identify the resilience requirements (confidentiality, integrity, and availability) that support information assets.
This section will discuss how CSFs can help leaders who want to build or start a National CIRT. It will then focus more narrowly on two examples involving operational management of our hypothetical National
CIRT: selecting services to be offered to the constituency and identifying measurement priorities
3.1 Building a National Computer Security Incident Management Capability
In a previous report in this series [Haller 2010], we identified four strategic goals and a set of enabling goals for the development of a National CIRT capability. These goals are as follows:
1 Plan and establish a centralized computer security incident management capability.
• Identify sponsors and hosts.
• Determine constraints.
2
• Determine the National CIRT structure.
• Determine the authority of the National CIRT.
• Determine the services of the National CIRT.
• Identify additional stakeholders.
Establish shared situational awareness.
• Establish and maintain trust relationships.
• Coordinate information sharing between domestic constituents.
• Integrate risk information from the community.
• Collect information about computer security incidents.
3
4
Manage cyber incidents.
• Define incidents and threats of national interest.
• Analyze computer security incidents.
• Develop an efficient workflow process.
• Warn the community.
• Publicize cybersecurity best practices.
Support the national cybersecurity strategy.
• Translate experiences and information to improve national cyber incident management and cyber policy development.
• Build national cybersecurity capacity.
• Leverage public private partnerships to enhance awareness and effectiveness.
• Participate in and encourage the development of information sharing groups and communities.
• Assist the national government in responding to incidents in support of government operations.
119
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
While these strategic and enabling goals outline the activities for building a National CIRT, the previous report does not conclusively describe how to achieve them. Identifying CSFs can be an important step.
CSFs can provide clarity and answer basic questions about how these goals can be achieved. Table 2 provides some examples of typical questions that might arise when starting a National CIRT. The enabling goals are taken from the previous paper:
Table 2. Questions to address when starting a National CIRT
Enabling Goal Questions
Determine the Services of the National
CIRT
Establish and Maintain Trust
Relationships
Integrate Risk Information from the
Community
• What services should be provided?
• How can a manager be confident that they are the right services?
• In what priority should they be provided?
• Provided to which constituents?
• Establish and maintain trust with whom?
• What types of risk information should be integrated?
• From which members of the community?
• In what priority?
Define Incidents and Threats of
National Interest
Warn the Community
• Incidents affecting which nationally important systems?
• In what priority should they be handled?
• Which members of the community?
• In what priority should they be warned?
• Warned with what information?
Build National Cybersecurity Capacity • What type of capacity should be built?
• In what organizations?
• In what priority?
A complete description of how CSFs could be used for each goal is beyond the scope of this paper.
However, identifying CSFs—what is really important for success-is a discrete, one-time activity that can inform and strengthen many types of organizational decisions.
3.2 Selecting National CIRT Services
The mission and constituency of a National CIRT will determine the services that it provides.
Some services may require large expenditures in terms of funding and staffing.
61
Others may merely duplicate services that constituents can or should do themselves. To avoid wasted time and resources, services should be closely tied to the National CIRT’s operating environment, political and other considerations, the needs of constituents, and the activities that are truly important to the success of the
National CIRT. In short, they should be tied to CSFs.
61
Identifying intrusion sets, for instance, is a type of correlation analysis intended to provide law enforcement and other government authorities with information to attribute malicious activity to the persons or entities behind it. This type of indepth analysis across large sets of incidents can be very labor intensive.
120
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
This section will describe the use of affinity analysis to determine the services our fictional National CIRT should provide. Affinity analysis is a common technique for using CSFs and is described as
…affinity is the inherent or perceived similarity between two things. Affinity analysis is a way of studying this similarity to understand relationships and draw conclusions about the affect of one thing on another [Caralli 2004] .
Affinity analysis is usually performed by constructing a comparison matrix that allows CSFs to be compared and correlated with various criteria. The comparison criteria could be various facets of organizational activity, depending on which type of analysis is to be conducted. For instance, the comparison criteria could be the following:
–
– performance metrics operational unit goals or objectives
The purpose of constructing a comparison matrix is to identify the relationship between some criteria and the CSFs. For instance, in the very simple example below, CSFs are compared to departments in a hypothetical organization to determine which departments support which critical success factors.
121
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Figure 3. CSFs are compared to departments to determine which departments support which critical success factors
–
–
–
–
–
–
The following example involves an analysis of which services our fictional National CIRT should offer its government and critical infrastructure constituency. After a formal process—along the lines described in section two of this report--six CSFs were identified. These are
Unauthorized traffic in government networks must be detected.
Negative publicity from security incidents must be managed.
Staff must coordinate with vendors.
Vulnerabilities must be mitigated rapidly.
Strong partnerships must be built with private industry.
Services must be provided with current in-house staff.
122
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The completed affinity analysis matrix appears on page 18. The matrix was completed by comparing each
CSF with each candidate service to determine if the service supported (or was compatible with) the CSF.
In this case, the completion of a comparison matrix yields lessons and information helpful to the manager of this National CIRT.
An initial observation is that the CSF “Unauthorized traffic in government networks must be detected” is largely unfulfilled and will be very difficult to accomplish. While there are services that can help the
National CIRT detect unauthorized traffic, they cannot be offered while satisfying the constraint CSF
“Services must be provided with current in-house staff.” In this case, the managers of the National CIRT should further discuss this success factor with their government sponsoring organization, either to further refine or eliminate the requirement or to make the case for more funding so that the National CIRT can hire more, and more highly trained staff.
Another initial observation from the matrix is that the most generally useful service the National CIRT can provide is simply to be a trusted point of contact and coordinator.
62
This is because acting as a coordinator supports a large number of CSFs.
Finally, the matrix indicates a weakness in how the National CIRT is currently staffed. “National Alert and
Warning” and “Organizational CIRT Capacity Building” are both services that support two and three CSFs, respectively. However, the National CIRT is currently unable to offer these services because it is not adequately staffed to do so. It cannot provide these services with current in-house staff, which is the last
CSF. This indicates a need to hire additional staff to offer these vital services.
63
62
In this role, the National CIRT acts as a coordinator for domestic organizations attempting to resolve cybersecurity incidents. It also performs this role for foreign entities inquiring about security incidents that may have some nexus or tie to the National CIRT’s constituency. In this role, the National CIRT does not typically analyze or resolve incidents itself, but rather it helps to direct organizations to information, services, or other entities that can help them.
63
Conversely, the National CIRT is staffed to provide two services, Artifact Handling and Technology Watch, that do not significantly contribute to the first five CSFs.
123
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Table 3. Affinity analysis matrix for fictional National CIRT choosing services
Candidate Services Critical Success Factors
Detection of Intrusion Sets
Advise the National Government on
Cybersecurity Matters
Assess National Readiness and Crisis
Management Capability
National Alert and Warning
Organizational CIRT Capacity Building
Trusted Point of Contact and
Coordinator
Build Cybersecurity Culture
Incident Handling
On-site Response
Incident Response Coordination
Vulnerability Handling
Vulnerability Analysis
Vulnerability Response
Artifact Handling
Technology Watch
Intrusion Detection Services
Risk Assessments (provided to infrastructure)
Education and Training x x x x x x
X
X
X x x x
X
X
X X x X
X x x x
X
X
X
X x
X x x
124
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
As is often the case with an analysis using CSFs, the formal process does not yield results that are entirely unexpected. For example, based on historic and anecdotal information, it is often the case that acting as a trusted coordinator is a basic service that broadly supports a variety of functions. However, a formal analytical process helps to foster agreement among managers, stakeholders, and major constituents. In the case of the fictional National CIRT studied here, the comparison matrix offers clear support for the proposition that a basic coordinating service should receive the highest degree of initial support. It is a high-value service in the context of this National CIRT. A formal process can also help managers draw other non-obvious conclusions, such as how the staffing in this particular National CIRT is somewhat mismatched with the services that are really needed.
3.3 Identifying Priorities for Measurement and Metrics
Another area in which CSFs can be helpful is identifying measurement priorities for National CIRT managers. Executives in any organization are often faced with a broad variety of information in the form of reports about activity in their organizations. However, in many cases this information is either irrelevant or not helpful to managers trying to determine the health of their organization and whether or not it is accomplishing its mission.
Reports may often be primarily intended for other parts of the organization or to facilitate general business functions. In a for-profit business, these may take the form of accounts receivable reports or sales reports about a particular item. In some organizations, there is little effort aimed at providing leadership with timely, tailored information about the health of the organization. Sometimes it is assumed the operational and working environment changes so rapidly that formalized reporting about the organization’s health is not practical, or that it’s preferable for managers to determine the state of their organization simply by talking to their staff and customers.
While leaders are usually very interested in knowing the health of their organization, there are costs to measuring intangible aspects of organizational performance. These usually take the form of labor hours and opportunity cost. Therefore, the information requirements for organizational leaders should be identified carefully. CSFs provide a useful way to identify these requirements. In the following example, the CSFs from our fictional National CIRT are presented along with some sample measures that relate to each of them.
Table 4. Sample measurements that support the mission of a National CIRT
Critical Success Factors
Unauthorized traffic in government networks must be detected
Negative publicity from security incidents must be managed
Candidate Information Requirement
• Number of incidents year to date involving beaconing to a compromised or malicious host
• False positive rate for event detection rules
• Percentage of government access points being monitored
• Frequency of updating event detection criteria
• Number of inquiries to the designated public affairs contact person
• Percentage of news stories involving security incidents in the constituency where the National CIRT first learned about the incident from the media itself
• Number of news stories involving computer security incidents among the
National CIRT’s constituency.
• Number of media inquiries answered by National CIRT personnel other than the designated media point of contact
125
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Critical Success Factors
Staff must coordinate with vendors
Strong partnerships must be built with private industry
Vulnerabilities must be mitigated rapidly
Candidate Information Requirement
• Number of IT vendors used by the constituency vs. the number of vendors in the National CIRT’s rolodex.
• Number of incidents voluntarily reported by private industrial constituents
• Number and trending of private industry inquiries to the National CIRT about emerging security threats
• Number of training courses taught at major private industry stakeholders every year.
• Percentage of recurring incidents with costs greater than X from known route causes
• Cycle time between report of zero-day vulnerability and patching done across the constituency
• Percentage of incidents reported that relate to known vulnerabilities that are at least 45 days old.
Alternatively, National CIRT managers may have a catalogue of existing reports about their organization’s activity from which to choose. Or, they may be faced with the task of selecting incident management software that may offer different types of report functionality. In these cases affinity analysis using CSFs— similar to the example in the previous section - can be used to help determine what types of reports should be sustained or which types of reporting utilities would most benefit the organization.
4 Conclusion
CSFs are valuable tools that can help managers in complex organizations make timely decisions and prioritize their services and assets. It is hoped that the materials in this report provide an understanding of how the formal identification and use of CSFs can help the National CIRT manager and other personnel tie their activities directly to the success of the organization.
Managing National CIRTs is a unique, complex leadership challenge. These organizations fill an ever more vital role and help national constituencies understand and manage cybersecurity incidents. The management of National CIRTs must evolve and formalize so that they fully support national cybersecurity and integrate smoothly in their unique operating environments. National CIRTs are evolving organizations and tools such as CSFs may help in their management.
126
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
References/Bibliography
URLs are valid as of the publication date of this document.
[Bullen 1981]
Bullen, Christine V. & Rockhart, John F. A Primer on Critical Success Factors (Working Paper 1220-81, 69).
Sloan School of Management, Center for Information Systems Research, 1981. http://dspace.mit.edu/handle/1721.1/1988
[Caralli 2004]
Caralli, Richard A. The Critical Success Factor Method: Establishing a Foundation for Enterprise Security
Management (CMU/SEI-2004-TR-010). Software Engineering Institute, Carnegie Mellon University, 2004. www.sei.cmu.edu/library/abstracts/reports/04tr010.cfm
[CERT 2002]
CERT Program. CIRT Services. www.cert.org/CIRTs/services.html
(2002).
[DHS 2008]
Department of Homeland Security (DHS). U.S. Department of Homeland Security Strategic Plan: Fiscal
Years 2008–2013. www.dhs.gov/xlibrary/assets/DHS_StratPlan_FINAL_spread.pdf
(2008).
[Haller 2010]
Haller, John; Merrell, Samuel A.; Butkovic, Matthew J.; & Willke, Bradford J. Best Practices for National
Cybersecurity: Building a National Computer Security Incident Management Capability (CMU/SEI-2010-SR-
009). Software Engineering Institute, Carnegie Mellon University, 2010. www.sei.cmu.edu/library/abstracts/reports/10sr009.cfm
[Hubbard 2009]
Hubbard, Douglas & Samuelson, Douglas A. “Analysis Placebos: The Difference Between Perceived and
Real Benefits of Risk Analysis and Decision Models.” Analytics Magazine (Fall 2009): 14–17. http://viewer.zmags.com/publication/2d674a63#/2d674a63/1
[Rockhart 1979]
Rockhart, John. “Chief Executives Define Their Own Data Needs.” Harvard Business Review (March/April
1979): 82–84.
This work was created in the performance of a U.S. Federal Government Contract by Carnegie Mellon
University for the operation of the Software Engineering Institute; a federally funded research and development center. The Government of the United States has a royalty-free government-purpose license to use, duplicate, or disclose the work, in whole or in part and in any manner, and to have or permit others to do so, for government purposes pursuant to the copyright license. The ideas and findings in this report should not be construed as an official US Government position. It is published in the interest of scientific and technical information exchange.
127
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex C: Best practices for Cybersecurity – Guide for the Establishment of a
National Cybersecurity Management System
Abstract
4
5
6
This document contains the revised version of the contribution from Morocco contribution on a “National
Cybersecurity Management System: Framework – Maturity Model – Responsibilities and Implementation
Guide” as a National Roadmap for Global Cybersecurity for discussion in Question 22-1/1. The changes in this document are dated July 27, 2011 and include the following:
1
2
3
Proposed changes by the U.S. delegation, recorded in the May 2011 Rapporteur’s Group
Document RGQ 22-1/1/008 and Document 1/102-E submitted to the September 2011 meeting;
Changes in the various models describing the proposed approach;
Additional paragraph defining the maturity model, taken from the COBIT (ISACA), and this in response to remarks by the representative of FIRST "That There Is a Difference between a" model "and a" maturity model ";
Explanation of the process "EM1" (NCSec observatory);
Introduction of a new table on "Information Criteria NCSec";
Improved descriptions of some of the processes of the maturity model.
128
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Executive Summary
This report is responsive to Question 22-1/1, work item 2 b) ii) a), namely, “to develop models for national security management.The digital revolution has changed how business is transacted, how governments operate. Globalization and technology advancement have made critical infrastructure vulnerable and thus a potential terrorist target. Countries face real risks, and vulnerabilities in the critical information systems could be exploited by adversaries. They seek to incapacitate critical infrastructure and key resources to threaten national security, causing considerable mass casualties, weaken world economy, and damage public morale and confidence. Cyberspace is far from secure today. In the light of this changing environment, there is an urgent need to take action – at national as well as international levels – against all forms of cyberthreats.
It is the role of governments to face computer security challenges. These challenges are serious in a context where there is an absence of appropriate organizational and institutional structures to deal with incidents. But more important than the question of which agency or agencies should be given the responsibility for computer security is the point that some national leadership should be designated to ensure that computer security will receive government-wide attention. Therefore, sectors and lead agencies should assess the reliability, vulnerability, and threat environments of the infrastructures and employ appropriate protective measures and responses to safeguard them.
Countries suffer from a lack of international standards for a State or a region to measure its current security status. Existing standards, such as ISO 27000 family and Cobit, for example, are not adapted to information security implementation at both national and regional levels.
Governmental Cybersecurity Policies are not enough. It becomes necessary to create and endorse a
"Generic Policy Model" of Cybersecurity, associated to "National Coordinated Strategies" against cyberthreats, answering also the needs of ITU through its "Global Cybersecurity Agenda". This process requires a comprehensive strategy that includes an initial broad review of the adequacy of current national practices, and consideration of the role of all stakeholders.
Appropriate national and regional organizational structures to deal with cyberthreats are needed more than any time.
The ITU has already proposed a whole process for developing and implementing a national Cybersecurity plan. But this process requires a comprehensive strategy that includes an initial broad review of the adequacy of current national practices, and consideration of the role of all stakeholders.
This contribution proposes global Governance answering the former needs expressed by the ITU. It is intended to present «NCSecMS», the "National Cybersecurity Management System", which is a guide for the development for effective National Cybersecurity. It ensures the implementation of a National
Roadmap of Cybersecurity Governance, through the 4 following components:
1
2
"NCSec Framework" proposes five domains and 34 processes for covering main issues related to
Cybersecurity at the National level, as the ISO 27002 for organizations;
"NCSec Maturity Model", classifies "NCSec Framework" processes depending on their level of maturity;
3
4
"NCSec RACI chart" helps to define roles and responsibilities for the main stakeholders concerned by Cybersecurity in a country or a region;
"NCSec Implementation Guide" is a generalization of ISO 27001 and 27003 standards at the national level. It underlines best practices that organizations can use to measure their readiness status.
This proposal defines a methodology to implement a Roadmap of National Cybersecurity Governance, including a framework of Best Practices and a Maturity Model, to assess for different aspects related to
National Cybersecurity.
129
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1 Introduction
1.1 Cyber Challenges and Threats
We are heading toward a future of “pervasive computing” in which information technology will be ubiquitously integrated into everyday objects. Information and Communication Technologies (ICT) is a critical component of innovation and is responsible for nearly 40% of productivity growth worldwide. In addition, this highly innovative sector is responsible for more than a quarter of the total industrial effort and plays a key role in the creation of economic growth and jobs throughout a number of economies. The availability, reliability and security of networks and information systems are increasingly central to economies and to the fabric of society.
The information technology infrastructure is critical, but its protection is more critical, by deploying sound security products and adopting good security practices. A number of analysts think that the Cybersecurity threat is real, imminent, and growing in severity. Though Cybersecurity is a problem of national importance, the risks are often underestimated. The relevance of information and communication technologies (ICT) for the economies is undeniable.
There have been significant changes in the level of sophistication of cyberthreats since 1986 when the first known case of a computer virus aimed at advertising a Computer Store in Lahore, Pakistan, was reported.
Spam has also evolved to become a vehicle for delivering more dangerous malware and payloads, such as the dissemination of viruses, worms and Trojans that are today a means for online financial fraud, identity or trade-secret theft as well as various other forms of cyber threats. One of the emerging and rather dangerous trends is the shift in strategy by hackers from the central command-and-control model for controlling botnets to a peer-to-peer model with a distributed command structure capable of spreading to computers located in different countries.
About 70% of global email volume is nothing else but spam. Spam is now used as a vehicle for spreading viruses and spyware. After security violations, damages were experienced by: 25.4% of business endusers; 36.2% of active Internet users. The increasing deployment of mobile devices (including 3G mobile phones, portable video game consoles, etc.) and mobile-based network services poses new threats to security. These threats could turn out to be more dangerous than attacks on PCs as the latter already have a significant level of security. Governments worldwide have faced the computer securities challenges. This challenge is serious where, there is an absence of appropriate organizational and institutional structures to deal with incidents (such as virus and network attacks resulting in fraud, the destruction of information and/or the dissemination of inappropriate content) is also a genuine problem in responding to cyber attacks.
But more important than the question of which agency or agencies should be given responsibility for computer security is the point that some national leadership should be designated to ensure that computer security will receive government-wide attention. Therefore, sectors and lead agencies should frequently assess the reliability, vulnerability, and threat environments of the infrastructures and employ appropriate protective measures and responses to safeguard them.
Cybersecurity has been considered as a priority since a long time: indeed, ITU Membership has been calling for a greater role to be played by ITU in matters relating to Cybersecurity through a number of resolutions, decisions, programmes and recommendations. Moreover, the ITU Secretary-General has set
Cybersecurity as a top priority. ITU constitutes hence a unique global forum to discuss Cybersecurity.
Between 2003 and 2005, world leaders at the « World Summit on the Information Society » (WSIS) entrusted ITU as sole facilitator for WSIS Action Line C5 – « Building Confidence and Security in the use of
ICTs ». WSIS has mandated ITU to promote a global culture of Cybersecurity.
130
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
In 2006, ITU Plenipotentiary Conference in Turkey put Cybersecurity as a priority for the Union, in terms of resolutions and strategic plan. The conference delegates also gave ITU a clear mandate to focus on infrastructure and Cybersecurity.
In 2008, during ITU « World Telecommunications and Standardization Assembly » (WTSA) in South Africa, one of the three evening side events corresponded to Cybersecurity topics. It was convened to address the global concern of security in information and communication technologies (ICT), as well as providing a high-level overview of the subject. This side event also provided insights on security challenges faced by
ICT community, including network operators, enterprises, governments and individuals.
In 2010, ITU World Telecommunication Development Conference (WTDC), held in India, put Cybersecurity as a priority in ITU-D work programme.
1.3 ITU & WSIS
The outcomes of both phases of the « World Summit on the Information Society » (WSIS) emphasize that building confidence and security in the use of ICTs is a necessary pillar for building a global information society. Indeed, the « WSIS Declaration of Principles » states that « strengthening the trust framework, including information security and network security, authentication, privacy and consumer protection, is a prerequisite for the development of the Information Society and for building confidence among users of
ICTs ». It further states that a « … global culture of Cybersecurity needs to be actively promoted, developed and implemented in cooperation with all stakeholders and international expert bodies ».
In particular, the Agenda of the second phase of the WSIS describes the establishment of a mechanism for implementation and follow-up to WSIS, and requests ITU to play a facilitator/moderator role for the WSIS
Action Line C5.
The WSIS Phase II Agenda, proposed in Tunis, seeks to « build confidence and security in the use of ICTs by strengthening the trust framework ». It also reaffirms « the necessity to further promote, develop and implement in cooperation with all stakeholders a global culture of Cybersecurity, as outlined in UNGA
Resolution 57/239 and other relevant regional frameworks ».
This culture requires national action and increased international cooperation to strengthen security while enhancing the protection of personal information, privacy and data. Access and trade will be enhanced by continued development of the culture of Cybersecurity. It will have to take into account the level of social and economic development of each country and to respect the development-oriented aspects of the
Information Society.
The crucial role that confidence and security play as one of the main pillars in building an inclusive, secure and global information society was one of the main conclusions of the World Summit on the Information
Society (WSIS).
The global nature of the legal, technical and organizational challenges related to Cybersecurity can only be properly addressed through a strategy that takes account of the role to be played by all relevant stakeholders, existing initiatives in a framework of international cooperation.
Attempts to address these challenges at the national and regional levels are not sufficient due to the fact that the information society has no definite geographical borders.
WSIS Action Line C5's goal is to help building confidence and security in use of ICTs. As mentioned above, the WSIS recognized the real and significant risks posed by cyberthreats and entrusted the ITU to facilitate the implementation of WSIS Action Line C5: « Building confidence and security in the use of ICTs ».
We will remind the different areas covered by the Action Line C5 along with extracts from the WSIS texts highlighting building confidence and trust in the use of ICTs:
– Critical Information Infrastructure Protection (CIIP) ;
131
–
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Promotion of a Global Culture of Cybersecurity;
Harmonizing National Legal Approaches, International Legal Coordination and Enforcement;
–
–
Developing Watch, Warning and Incident Response Capabilities;
Information Sharing of National Approaches, Good Practices and Guidelines;
– Privacy, Data and Consumer Protection.
According to these statements, confidence and security in using ICTs are vital and fundamental in building an inclusive, secure and global information society as acknowledged by the WSIS.
In this context, and in response to its mandate as sole Facilitator of WSIS Action Line C5, the ITU launched, on 17 May 2007, the Global Cybersecurity Agenda as a framework for international cooperation aimed at enhancing confidence and security in the information society.
ITU has been entrusted by the WSIS community of stakeholders to facilitate the implementation of WSIS
Action Line C5 (Building confidence and security in the use of ICTs). With its 191 Member States and more than 700 Sector Members, ITU is uniquely placed to propose a framework for international cooperation in
Cybersecurity. Its membership includes the least developed, developing and emerging economies as well as developed countries. ITU therefore provides a forum where these diverse views of what Cybersecurity and cyberthreats mean to various countries can be discussed, with the goal of arriving at a common understanding amongst countries on how these challenges can be addressed.
1.3.2 ITU's Global Cybersecurity Agenda
Figure 1: Global Cybersecurity Agenda
The Global Cybersecurity Agenda (GCA) is an ITU framework for international cooperation aimed at proposing solutions to enhance confidence and security in the information society. It will be built on the basis of existing national and regional initiatives in order to avoid duplication of work and encourage collaboration with all relevant partners.
The main goal of Global Cybersecurity Agenda (GCA) is to propose solutions to address some of the challenges faced today in Cybersecurity and cyberthreats. The ultimate objective of the Global
Cybersecurity Agenda is to make significant progress on the agreed goals within the framework of fight against cybercrime. It will also increase the level of confidence and security in the information society. It
132
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности will be based on international cooperation, and will strive at getting the engagement of all relevant stakeholders in a concerted and coordinated effort to make a difference and to build security and confidence in the information society.
The GCA rests on five pillars or work areas:
1 Legal Measures: to develop advice on how criminal activities committed over ICTs could be dealt with through legislation in an internationally compatible manner;
2
3
Technical and Procedural Measures: to focus on key measures for addressing vulnerabilities in software products, including accreditation schemes, protocols and standards;
Organizational Structures: to consider generic frameworks and response strategies for the prevention, detection, response to and crisis management of cyber attacks, including the protection of countries’ critical information infrastructure systems;
4
5
Capacity Building: to elaborate strategies for capacity building mechanisms to raise awareness, transfer know-how and boost Cybersecurity on the national policy agenda;
International Cooperation: to develop a strategy for international cooperation, dialogue and coordination in dealing with cyberthreats.
Since its launch, GCA has attracted the support and recognition of leaders and Cybersecurity experts around the world: H.E. Blaise Compaoré, President of Burkina Faso and H.E. Dr Óscar Arias Sánchez,
Former President of the Republic of Costa Rica and Nobel Peace Laureate, are both Patrons of the GCA.
An important new element of the GCA is the ITU’s Child Online Protection initiative which is a unique and global initiative bringing together partners from all sectors of the community to identify key risks and vulnerabilities in cyberspace; create awareness; develop practical tools; and share knowledge and experience.
The GCA has benefited from the advice of an expert panel, the High-Level Experts Group, on the complex issues surrounding cybersecurity.
The Report of the Chairman of the High Level Expert Group (HLEG) to the Global Cybersecurity Agenda
(GCA) launched by the Secretary-General on 17 May 2007 summarizes the proposals of various experts with respect to the seven main strategy goals embedded within this initiative, with concentration on relevant Recommendations for the following five working areas: 1) Legal measures; 2) Technical and procedural measures; 3) Organizational structure; 4) Capacity building; and 5) International cooperation.
1.3.4 ITU Q22/1 Report on Best Practices
In the last study cycle (2006-2009), ITU-D Question 22/1 developed a report on “Best Practices for a
National Approach to Cybersecurity: Building Blocks for Organizing National Cybersecurity Efforts.” At
WTDC-10, it was agreed that Question 22-1/1 should develop more in-depth reports on various topics in the Report on Best Practices, including reports on models for national security management.
1.4 National Issue: Lack of standards
Cybersecurity organizational and institutional structures may not always be systematically efficient at the national level; this situation makes it difficult, at times, to deal with cyber threats and incidents. National
Cybersecurity challenges are serious in a context where there may be a lack of standards that can help countries identifying responsibilities for specific elements. There are numbers of different best practice documents at the organizational level, in order to affect responsibilities, but there is not always clear guidance for states and regions in this arena.
133
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Cybersecurity standards enable organizational structures to practice safe security techniques in order to minimize the number of successful Cybersecurity attacks. Cybersecurity implementation becomes easier with these guides, through general outlines and specific technical specifications.
Many norms and models that deal with information security do exist: We can mention, for example,
ISO/IEC 27000 family, COBIT, etc. Do these norms address Cybersecurity at the national level?
The basis of the standard was originally a document published by the UK government, re-published first by BSI as BS7799, and by ISO, as ISO 17799, then 27001. The ISO 27002 standard is a code of practice for information security. These two documents are intended to be used together, with one complimenting the other. For the time being, the ISO 27000 series of standards have been specifically reserved by ISO for information security matters at the organizational level, not at the national level.
These control objectives can't be used at the national level. But the methodological approach suggested by ISO is interesting. If adapted to the National context of Cybersecurity, it would offer an appropriate framework of cyberconfidence. This is one of the objectives of the proposed « National Cybersecurity
Framework », and more specifically the pedestal of the whole discussed process. So, as for ISO/IEC 27002, one should first define « control objectives » at the national level.
1.4.2 Cobit
Cobit is a framework developed for IT process management with a strong focus on control, and less on execution. It provides good practices across a domain and process framework and presents activities in a manageable and logical structure. Cobit’s good practices represent the consensus of experts. The maturity model associated to Cobit measures the degree of achievement of processes, and identifies the associated responsibilities of business and IT process owners. Cobit can't be applied to the national level.
The Community Cybersecurity Maturity Model provides a structure which communities and states can use to determine their level of preparedness and to create a plan to improve their security posture and enhance their chances of successfully preventing or detecting and responding to a cyber attack.
But this proposition suffers from the following lacks: The methodology is empiric, based on professional experience rather than systematic approach; The proposed maturity model is not based on a global framework that is already settled, which means that it will be too complex in order to be deployed; The number of stakeholders is limited to 3, which are: Government, Critical Infrastructure, and Citizens.
Whereas in reality, one has to consider more, such as Private Sector, and Academia; The proposed level of maturity n°5 is called: “Full Security Operational Capability”, whereas we all know that “Total Security” doesn't exist. It is recommended in this situation to replace it with “Optimized Security” that is under improvement.
1.4.4 Need for National Standards
This maturity model is dedicated to Critical Infrastructure, which makes it difficult to be applied under a more general e-Government vision.
As a conclusion, we do need indicators at the national level, which link strategic national goals to IT goals, providing metrics to measure their achievement, and to identify from a Cybersecurity viewpoint the associated responsibilities of stakeholders and control process. After identifying critical Information
Technology processes and controls, it becomes easier to point out vulnerabilities and demonstrate them to management. Action plans can be developed to bring these processes up to the desired target level.
We do need to follow an efficient methodology for identifying functional areas where there are ambiguities in terms of responsibilities, at the national level, bringing the differences out and resolving them through a cross-functional collaborative effort.
134
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1.5 National Cybersecurity Management System
National Cybersecurity Management System, called “NCSecMS”, can be considered as a tool the goal of which is to facilitate the achievement of National Cybersecurity, at both the national and regional levels. It consists in 4 steps, containing the following components:
Figure 2: National Cybersecurity Management System
Step 1: NCSecFR (Framework)
The best practice proposal for National Cybersecurity, called “NCSecFR”, is a global framework answering the needs expressed by the ITU in its Global Cybersecurity Agenda (GCA). Fully inspired from ISO 27002 standard, it is a code of practice for Organizational Structures and Policies on Cybersecurity at the national level, consisting in 5 domains and 34 processes, in order to help building regional and international cooperation for watch, warning, and incident response.
Step 2: NCSecMM (Maturity Model)
As long as a global national framework for Cybersecurity is defined, the “NCSecMM” is associated to this best practice proposal for National Cybersecurity, called “NCSecFR”. Inspired from Cobit's maturity model, it will enforce national Cybersecurity Management System implementation, showing thus what has to be done to improve for each process, at the national and regional levels.
135
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Step 3: NCSecRR (Roles & Responsibilities)
Responsibility Charting is a technique for identifying functional areas where there are process ambiguities, bringing the differences out, and resolving them through a cross-functional collaborative effort. A
“National RACI chart”, called “NCSecRR”, is provided, and defines, among the stakeholders, who are
“Responsible”, “Accountable”, “Consulted” and “Informed” for each of the 34 NCSec processes. The “RACI chart” defines in detail what has to be delegated and to whom, and what kind of responsibility will be affected to one stakeholder instead of another.
Step 4: NCSecIG (Implementation Guide)
The implementation guide associated to National Cybersecurity, called “NCSecIG”, offers an efficient process control mechanism, in order to guarantee a good comprehension of the interaction between these processes, using ISO 27001 and ISO 27003 approaches.
In order to reach the corresponding goals of ITU, which consist in the elaboration of strategies for the creation of appropriate national and regional organizational structures and policies on Cybersecurity, and the development of strategies for the creation of a global framework for watch, warning and incident response, we have adopted the following resolution approach for each of the 4 steps: it takes into account the already settled orientations and goals of the ITU instances, and is fully compatible with.
1.6.1 Building a framework for National Cybersecurity (NCSecFR)
Figure 3: NCSec Framework (Step 1)
During this step, we focused on existing ITU documents and
ISO 27002 process based approach: we tried to adapt ISO
27002 approach in order to settle the main processes essential to national Cybersecurity, so that we can produce the national Cybersecurity framework.
Since ISO 27002 is the international standard of
Organization's Information System Security, the proposed
National Cybersecurity Framework is a generalization of the
ISO 27002 standard: we define the Control Objectives of
Cybersecurity at the National level, organized into domains
136
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
We also propose a global roadmap for Cybersecurity Governance, which includes:
– The identification of stakeholders, involved in the application of National Cybersecurity strategy and policy;
– The definition of resources, essentially the organizational structures responsible for the implementation of National Cybersecurity processes;
– The information model, consisting in proposing National Cybersecurity performance measurement indicators: it is responsible for the monitoring of strategy implementation, resource usage, and process performance. It is based on specific information measurement criteria, leading to achieve goals measurable beyond conventional accounting.
1.6.2 National Cybersecurity Maturity Model (NCSecMM)
Figure 4: NCSec Maturity Model (Step 2)
The “NCSec” Framework (step 1) is not enough: a maturity model should be associated to, in order to enforce national
Cybersecurity governance implementation, showing thus what has to be done to improve.
The proposed “NCSecMM” permits to determine what is the country’s maturity, setting thus a maturity target, and planning for maturity enhancement, unlike Cobit V4.1, the maturity model of which is limited to organizations, or companies, not to countries or regions.
“National Cybersecurity Maturity Model” will make it possible also to evaluate the security of a country or a whole region, making thus comparisons between them, and pointing out its forces and threats
137
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1.6.3 Roles and Responsibilities model (NCSecRR)
Figure 5: NCSec RACI Chart (Step 3)
In this step, we identify functional areas where process ambiguities do exist, bringing the differences out, and resolving them through a cross-functional collaborative effort. It is of a main importance to define in detail what has to be delegated and to whom, and what kind of responsibility will be affected to one stakeholder instead of another.
Thus, it will aid organisations and teams identifying the responsibility for specific elements at the national level, at the process level of the NCSec Framework.
A specific National RACI chart will be proposed, defining for each stakeholder who is Responsible, Accountable,
Consulted, or Informed
138
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1.6.4 Implementation Guide (NCSecIG)
Figure 6: NCSec Implementation Guide (Step 4)
Structuring every aspect of NCSec Framework is a major priority. It is important to offer an efficient process control, in order to guarantee a good comprehension of the interaction between these processes. The Implementation Guide will make it possible to structure every process using ISO 27003 and ISO 27001 approaches:
ISO 27003 will provide help and guidance in implementing an ISMS (Information Security
Management System), including focus upon the
PDCA method, with respect to establishing, implementing reviewing and improving the ISMS itself.
ISO 27001, through the “Plan-Do-Check-Act”
(PDCA) model, will be used to structure every process. It will also structure the maturity model itself. PDCA approach will be automatically used within the whole process of implementation of
NCSec Framework and Maturity Model
2 National Cybersecurity Framework
2.1 How NCSec Framework meets the needs
Cybersecurity governance is to be built essentially on a National Framework able to address and govern cyberthreats issues at a national level. In a boundless cyberspace, it should also be able to afford the needed cooperation in a regional and international level in order to meet its goals.
A Framework for National Cybersecurity Management System mainly may rest on:
– National Legal Foundation;
These elements are in line with the broad goals of the Global Cybersecurity Agenda (GCA), and its five (5) strategic pillars (or Work Areas).
139
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Suggested Framework should be organized so as to meet the goals of the GCA initiative, to address the global challenges related to the five (5) Work Areas.
2.1.1 National Legal Foundation
Every country needs laws that address Cybersecurity, procedures for electronic investigations, and assistance to other countries as cyberspace is borderless. The protection of cyberspace requires updating laws and particularly criminal law, procedures and policy to address and respond to cybercrime.
The proposed National Cybersecurity Framework (NCSecFR) makes it possible to elaborate and maintain strategies for the development of model Cybersecurity legislation that is globally applicable and interoperable with existing national and regional legislative measures (Goal 1).
A certain number of sub-goals were elaborated in order to meet the identified objectives from a legal viewpoint. The proposed solution is applicable and interoperable with existing national, transnational and regional initiatives for the prevention of cyberthreats.
It is important for a country to develop a strategy that enables the establishment of globally accepted minimum security criteria and accreditation schemes for software applications and systems (Goal 3).
Without deepening in technical matters and implementation details, the proposed National Cybersecurity
Framework (NCSecFR) includes sub-goals and objectives that guarantee the establishment of globally accepted security services and mechanisms at both the national and regional levels.
The protection of cyberspace and particularly the CIIP requires appropriate structures or organizations for securing cyberspace, which includes watch, warning, response and recovery efforts and the facilitation of collaboration between and among government entities at both the national and international levels.
In the proposed NCSec Framework, strategies have been elaborated in order to create appropriate national organizational structures and policies on Cybersecurity (Goal 2).
It will be important to create a focal point and mechanisms to coordinate all the efforts to serve as a focal point for coordination. The proposed NCSecFR has developed a strategy for the creation of a global framework for watch, warning and incident response to ensure cross-border coordination between new and existing initiatives (Goal 4).
Despite increased awareness around the importance of Cybersecurity and the taken measures to improve capabilities, cyber risks continue to underlie national information networks and the critical systems they manage. Reducing that risk requires an unprecedented, active partnership among diverse components.
But raising awareness, even if it is important, is not enough. Capacity building goes far beyond awareness, because it will solve most of the problems of Cybersecurity that are due to the human dimension of cybersecurity. In fact, most of the time, humans are the weakest link of the security chain: in fact, humanbeing is the end user of ICT services, infrastructure and security.
Enforcing capacity building at the national level will oblige each country to develop effective legal framework, compatible at the international level. It will promote the adoption of Cybersecurity measures, and the settlement of adequate organizational structures. Also, it will enhance cooperation at national, regional and international levels.
The proposed National Cybersecurity Framework allows the development of a global strategy to facilitate human and institutional capacity building to enhance knowledge and know-how across the sectors and amongst the players, in all the above-mentioned areas.
140
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
In order to settle a framework of international cooperation, a national strategy based on efficient national cooperation and coordination between stakeholders is to set and determine Cybersecurity issues and consider protection of cyberspace in general and CIIP in particular as essential to national security and a nation’s economic well-being.
The global nature of the legal, technical and organizational challenges related to Cybersecurity can only be properly addressed through a strategy that takes into account the role to be played by all relevant stakeholders, within a framework of international cooperation. Countries will adopt multi stakeholders approach, because governments alone cannot secure cyberspace. We propose an approach which is based on dialog, partnership and empowerment, where broad participation via Public-Private-Partnership model stands for quality and impartiality.
Cyberspace interconnects industry sectors and crosses national borders which involve:
– Coordination of a national action on the part of government authorities, the private sector, and citizens/users. Adding to that, Academia (learned society: universities, institute, R&D, etc.) contribution is required for the prevention of, preparation for, response to, and recovery from incidents;
– Cooperation and coordination with regional & international partners are also needed.
NCSec supports National Cybersecurity governance by providing a framework to ensure that:
– NCSec is aligned with the national strategy;
– NCSec organizational structure protects the national cyberspace with optimal costs;
–
–
–
NCSec stakeholders use the cyberspace with responsibility;
NCSec risks are managed appropriately, requiring risk awareness by all stakeholders. It also requires a clear understanding of compliance requirements, and embedding of risk management responsibilities into the organisation;
NCSec performance measurement monitors strategy implementation, resource usage, and process performance. It is based on specific information measurement criteria, leading to achieve goals measurable beyond conventional accounting.
141
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Figure 7: NCSec Framework model
This approach is deeply inspired from both ISO 27002 and Cobit (ISACA : IT Governance Institute): it consists in a generalization of the ISO 27002 standard at the National level, providing National
Cybersecurity Management System through some key framework components. A best practice proposal for National Cybersecurity has already been defined (Debbagh and El Kettani 2008). It is a global
Framework answering the needs expressed by the ITU in its Global Cybersecurity Agenda (GCA).
“NCSecFR” is a code of practice for Organizational Structures and Policies on Cybersecurity at the national level, consisting in 5 domains and 34 processes, in order to help building regional and international cooperation for watch, warning, and incident response.
The NCSec Framework key components are:
– NCSec Governance Control Objectives / Focus Areas;
– NCSec Information, based on the hierarchical threat classification.
The need for assurance about the national Cybersecurity, the management of Cybersecurity-related risks and increased requirements for control over information at the national level are now understood as key elements of national Cybersecurity governance. Information, Resources and Stakeholders constitute the core of National Cybersecurity Management System.
2.3 NCSec Framework : Five Domains
2.3.1 Domain 1: Strategy and Policies (SP)
This domain covers strategy, tactics and policies, which can best contribute to the achievement of the
National Cybersecurity Governance. Furthermore, the realisation of the strategic vision needs to be
142
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности planned, communicated and managed for different perspectives. Finally, a proper lead institution as well as technological infrastructure risk management process should be identified.
This domain typically addresses the following questions:
– Is the National Cybersecurity Strategy defined?
– Is the government defining efficient national Cybersecurity policies?
–
–
–
Did each stakeholder understand the NCSec objectives?
How are the risk management processes understood and being integrated into the global framework, especially for CIIP?
Is the degree of readiness of each stakeholder at the security level appropriate for implementing
NCSec strategy?
2.3.2 Domain 2 : Implementation and Organisation (IO)
–
–
–
–
–
To realise the National Cybersecurity strategy, organizational structures need to be identified, created and should start working. These organizational structures should respect the global orientations of the national strategy. They must develop or acquire, as well as implement and integrate the policies of the national strategy. In addition, NCSec service delivery and support, management of National Cybersecurity, changes in and maintenance of existing policies are covered by this domain to make sure the NCSec framework continues to meet NCSec strategy.
This domain typically addresses the following management questions:
– Will the stakeholders meet properly the NCSec goals when implementing the NCSec strategy?
Are NCSec services being delivered in line with NCSec strategy, for each sector/stakeholder?
Are NCSec costs optimised?
Are the stakeholders able to use the CyberSystems productively and safely?
Are new stakeholders likely to deliver services that meet NCSec strategy?
Are new stakeholders likely to apply NCSec policies on time and within budget?
2.3.3 Domain Awareness and Communication (AC)
There is a need for understanding Cybersecurity in order to contribute in setting a “secure cyberspace”.
Government should take a leadership role in bringing this “Culture of Cybersecurity” and in involving and supporting the efforts and contribution of all stakeholders.
This domain is concerned with the actual delivery of required NCSec services, which includes NCSec service support for stakeholders, and the NCSec operational facilities.
This domain typically addresses the following management questions:
– Are the national leaders in the government persuaded of the need for national action to address threats to and vulnerabilities?
–
–
Is there any comprehensive awareness program promoted at the national level so that all participants—businesses, the general workforce, and the general population—secure their own parts of cyberspace?
How are security awareness and communication programs and initiatives implemented for all stakeholders?
– Is there any support to civil society with special attention to the needs of children and individual users?
143
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
2.3.4 Domain 4: Compliance and Coordination (CC)
All NCSec processes need to be coordinated between stakeholders and involved organizational structures.
They should also be assessed over time for their compliance with control requirements. This domain addresses NCSec regulatory compliance in order to provide governance. Continuity activity plans are covered by this domain to make sure the National Cybersecurity strategy continue to be levelled.
It typically addresses the following management questions:
Do the organizational structures ensure that controls are effective and efficient?
Are risk controls and compliance respected and reported?
Are adequate confidentiality, integrity and availability in place among framework components?
2.3.5 Domain 5: Evaluation and Monitoring (EM)
All NCSec processes need to be regularly assessed over time for their quality. This domain addresses
NCSec performance, monitoring of internal control among all stakeholders.
–
–
It typically addresses the following management questions:
– Is NCSec performance measured to detect problems before it is too late?
Can NCSec performance be linked back to the strategic goals of the global NCSec framework?
Are risk, control, compliance and performance measured and reported?
2.4 NCSec Framework : 34 Processes
The National Cybersecurity Framework (NCSecFR) consists in 34 processes divided into 5 domains, as follows:
SP3
SP4
SP5
SP1
Code Process Description
NCSec Strategy
Promulgate & endorse a National Cybersecurity Strategy
Identify a lead institutions for developing a national strategy, and 1 lead institution per stakeholder category
NCSec Policies
Identify or define policies of the NCSec strategy
Critical Information Infrastructures Protection
Establish & integrate risk management for identifying & prioritizing protective efforts regarding NCSec (CIIP)
Stakeholders
Identify the degree of readiness of each stakeholder regarding to the implementation of
NCSec strategy & how stakeholders pursue the NCSec strategy & policies
144
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Code
IO1
Process Description
NCSec Council
Define National Cybersecurity Council for coordination among all stakeholders, to approve the
NCSec strategy
IO3
Define Specific high level Authority for coordination among Cybersecurity stakeholders
National CERT
Identify or establish a national CERT to prepare for, detect, respond to, and recover from national cyber incidents
IO4 Privacy
Review existing privacy regime and update it to the on-line environment
IO5 Laws
Ensure that a lawful framework is settled and regularly levelled
IO6 Institutions
Identify institutions with Cybersecurity responsibilities, and procure resources that enable NCSec implementation
IO7 National Experts and Policymakers
Identify the appropriate experts and policymakers within government, private sector and university
IO8 Training
Identify training requirements and how to achieve them
IO9 International Expertise
Identify international expert counterparts and foster international efforts to address Cybersecurity issues, including information sharing and assistance efforts
IO10 Government
Implement a Cybersecurity plan for government-operated systems, that takes into account changes management , in line with NCSec strategy
IO11 National Cybersecurity and Capacity
Manage National Cybersecurity and capacity at the national level , in line with NCSec strategy
Ensure continuous service within each stakeholder and among stakeholders , in line with NCSec strategy
Code
AC1
AC2
Process Description
Leaders in the Government
Persuade national leaders in the government of the need for national action to address threats to and vulnerabilities of the NCSec through policy-level discussions
National Awareness & Communication
Promote a comprehensive national awareness program so that all participants—businesses, the general workforce, and the general population—secure their own parts of cyberspace. And ensure
National Cybersecurity Communication
145
Code
AC3
AC4
AC5
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Process Description
Awareness Programs
Implement security awareness programs and initiatives for users of systems and networks
Citizen and Child Protection
Support outreach to civil society with special attention to the needs of children individual users and persons with disabilities
NCSec Culture for Business
Encourage the development of a culture of security in business enterprises
Develop awareness of cyber risks and available solutions
2.4.4 Compliance and Coordination Processes
Code Process Description
CC1 International Compliance & Cooperation
Consider regional and international recommendations in developing national regulations. Regional and international recommendations are voluntary. Whether or not to incorporate them into national regulations is a national matter. A regulator should be aware of relevant regional and international recommendations, but regulatory compliance with them is not required
CC3
CC4
CC5
CC6
Identify and establish mechanisms and arrangements for cooperation among government, private sector entities, university and ONGs at the national level, so that organizational structures ensure that controls are effective and efficient
Private sector Cooperation
Encourage cooperation among groups from interdependent industries (through the identification of common threats)
Encourage development of private sector groups from different critical infrastructure industries to address common security interest collaboratively with government (through the identification of problems and allocation of costs)
Research and Development
Enhance Research and Development (R&D) activities (through the identification of opportunities and allocation of funds)
Incidents Handling & Risk Controls
Manage incidents through national CERT to detect, respond to, and recover from national cyber incidents, through cooperative arrangement (especially between government and private sector) , and respect, report risk controls
Points of Contact
Establish points of contact (or CIRT) within government, industry and university to facilitate consultation, cooperation and information exchange with national CERT, in order to monitor and evaluate NCSec performance in each sector
146
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
2.4.5 Evaluation and Monitoring Processes
Code Process Description
EM1
EM2
EM3
EM4
EM5
NCSec Observatory
Set up the National Observatory: It starts with the objective of systematically describing in detail the level of cybersecurity in the Information Society and generating specialised knowledge on the subject. It also makes recommendations and proposals defining valid trends for taking future decisions by stakeholders, especially the public powers. Within this plan of action are tasks of collecting information related to National Cybersecurity issue, that will measure and report national risk controls, compliance and performance, research, analysis, study, consultancy and dissemination
NCSec Business Outcome Metrics for Evaluation
Define mechanisms that can be used to coordinate the activities of the lead institution, the government, the private sector and civil society, in order to monitor and evaluate the global NCSec performance (how are we doing?)
NCSec Assessment
Assess and periodically reassess the current state of Cybersecurity efforts and develop program priorities
NCSec Internal Business Process Metrics
Define adequate NCSec management and technical metrics (for example confidentiality, integrity and availability) in place for each stakeholder, among framework components (what are we doing?)
NCSec Governance
Provide National Cybersecurity Governance through the NCSecMM, especially with optimized costs and cybersystems productivity and safety
2.5 NCSec Framework Components
2.5.1 Stakeholders
NCSec stakeholders are:
– Government;
– Academia (Universities, R&D, etc.);
–
–
NCSec is a code of practice for Organizational Structures and Policies on Cybersecurity at the national level, consisting in 5 Domains and 34 processes, in order to help building regional and international cooperation for watch, warning, and incident response.
We can develop the composition of each stakeholder, in order to describe with more details the components that are involved in an NCSec process. We will present further the conditions that have to be fulfilled by each process, in order to satisfy one of the 5 levels of maturity, or to define the responsibility of each stakeholder above the National RACI chart.
For example, we have developed the involved components of the Government side:
Government / Cabinet
Head of Government
147
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
National Cybersecurity Council –
–
–
–
–
–
–
Authority in charge of ICTs
Ministry of Interior
Ministry of Defence
Ministry of Finance
Ministry of Education
National Cybersecurity Authority
This approach is flexible, since we can do the same thing for the other stakeholders, by developing the components of another stakeholder whenever it is necessary.
This list will vary from country to country. Any country may have fewer or more components, or they may have different names.
At the time when the countries know a rapid expand in connection with digital economy, the stakes of national sovereignty and economic intelligence need a genuine strategy related to information systems security. National Cybersecurity governance is the responsibility of executives’ structures, and consists in the leadership, organisational structures and processes that ensure that the national’s NCSec sustains and extends the national strategies and objectives.
It is indeed duty of the State to strengthen its competences to protect the national heritage and the critical infrastructures which make it up [5]. Therefore, we propose with that aim the creation of an organization charged to enact the rules allowing the safeguarding of the National information systems.
The national resources identified in NCSec can be defined as follows:
• National Cybersecurity Council (NCC):
National Cybersecurity Council (NCC) will have the role of the protection of the information systems of the critical infrastructures of the country. In order to do this, the NCC will have to identify the whole companies and Administrations critical systems whose maintenance in operational condition is important.
It will also enact the rules and requirements of safety to which these companies and administrations will have to meet.
For example, it involves the companies of the water or energy sector, Telecom companies, the emergency services, the bank and finance, transport, the food or of administrative services. The NCC will be also the coordinator organization of the various emergency plans and business continuity plans of these companies and Administrations.
• National Cybersecurity Authority (NCA):
The NCA has the role of checking of the NCC rules implementation in the administration and in the companies which compose the critical infrastructures of the country. With this intention, it may conduct any audit on its own initiative against these companies and administrations in order to ensure the compliance with these enacted rules.
148
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Figure 8: NCSec Organizational Structure
Within the framework of monitoring the business continuity activities of the critical infrastructures, the
NCA could be charged to organize various tests of the security emergency plans that already set up and to coordinate a whole security emergency plan. Thus, the whole test plan could be carried out at a frequency to be determined in order to ensure the dependences’ good management between the services.
National CERT
A national CERT is an organisation which represents either a government’s IT security infrastructure protection, or in some cases, a point of national co-ordination for IT security threats within a particular nation. Many countries opt for a non-nationalised CERT structure, focussing instead on providing a collaborative platform for incident handlers to share experience and knowledge, rather than a hierarchical structure.
The “CERT” will study computer and network security in order to provide incident response services to victims of attacks, publish alerts concerning vulnerabilities and threats, and to offer other information to help improve computer and network security.
Organisations should satisfy the quality, fiduciary and security requirements for their information, as for all assets. To achieve its objectives, the organizational structures proposed may already exist in different countries, under perhaps others names. Each country has to define its own relevant structures, with specific assigned missions, functions and economic model to support them. Depending on the scale of the country, its specific organisation and functioning mode, several alternatives for organisational structures could be designed.
149
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
2.5.3 Informations
The information model associated to NCSec depends on the kind of threat that is considered. The figure below shows the different levels of threat.
Figure 9: Hierarchical threat classification
–
–
–
–
We can distinguish 4 levels of threat:
Internal (inside an organisation);
Intra-Domain (between 2 organisations of the same stakeholder category);
Inter-Domain (between 2 organisations from 2 different stakeholders in the same country);
Transnational (between 2 organisations from 2 different countries).
To satisfy NCSec goals, information needs to conform to certain control criteria, which are defined as
National Cybersecurity requirements. Based on the broader quality, fiduciary and security requirements, six distinct information criteria are combined with the 4 hierarchical levels of threats:
150
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Requirements Levels of threat
NCSec Framework Processes
NCSec Strategy and Policies Processes
SP1 NCSec Strategy H * * * * * * *
SP2
SP3
SP4
Lead Institutions
NCSec Policies
CIIP
SP5 Stakeholders
NCSec Implementation and Organisation Processes
M * * *
M * * *
H * * * * * * * * * *
L * * * * *
IO1
...
NCSec Council
...
IO12 Continuous Service H * * * * * * * *
Awareness and Communication Processes
AC1 Leaders in the Gov.
... ...
AC6 Available Solutions
Compliance and Coordination Processes
CC1
...
International Compl. & Coop.
...
M * * * * * * *
H * * * * * *
H * * * * * *
L * * * * * * * * CC6 Points of Contact
Evaluation and Monitoring Processes
EM1 National Observatory
... ...
EM5 NCSec Governance
M * * * * * * *
H * * * * * * *
151
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
NCSec information criteria have the following objectives:
– Effectiveness deals with information being relevant and pertinent to the NCSec process as well as being delivered in a timely, correct, consistent and usable manner;
– Efficiency concerns the provision of information through the optimal (most productive and economical) use of resources:
–
–
–
–
–
Confidentiality concerns the protection of sensitive information from unauthorised disclosure;
Integrity relates to the accuracy and completeness of information as well as to its validity in accordance with policies and expectations;
Availability relates to information being available when required by the NCSec strategy and policies now and in the future. It also concerns the safeguarding of necessary resources and associated capabilities;
Compliance deals with complying with those laws, regulations and contractual arrangements to which the NCSec process is subject;
Reliability relates to the provision of appropriate information for management to operate the entity and exercise its fiduciary and governance responsibilities.
Figure 10: Confidentiality, integrity and availability
The important aspect of National Cybersecurity is to preserve the confidentiality, integrity and availability of a national’s information. Loss of one or more of these attributes, can threaten the continuity of many
Agencies and Organisations.
Confidentiality: Assurance the certain information are shared only among authorised organisations. The classification of the information should determine is confidentiality and hence the appropriate safeguards.
Integrity: Assurance that the information is authentic and complete. The term Integrity is used frequently when considering Information Security as it is represents one of the primary indicators of security (or lack of it).
Availability: Assurance that the systems responsible for delivering, storing and processing information are accessible when needed, by those who need them.
152
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
2.5.3.4 Classification levels of Confidentiality
Classified information is sensitive information to which access is restricted by law or regulation to particular groups of persons. There are typically several levels of sensitivity, with differing clearance requirements. This sort of hierarchical system of secrecy is used by virtually every national government.
The act of assigning the level of sensitivity to data is called data classification.
The purpose of classification is ostensibly to protect information from being used to damage or endanger national security. Classification formalises what constitutes a "state secret" and accords different levels of protection based on the expected damage the information might cause in the wrong hands.
Classification levels
Although the classification systems vary from country to country, most have levels corresponding to the following British definitions (from the highest level to lowest):
Top Secret (TS)
The highest level of classification of material on a national level. Such material would cause "exceptionally grave damage" to national security if made publicly available.
Secret
Such material would cause "grave damage" to national security if it were publicly available.
Confidential
Such material would cause "damage" or be "prejudicial" to national security if publicly available.
Restricted
Such material would cause "undesirable effects" if publicly available. Some countries do not have such a classification.
Each country or region need to implement the specific strategy related to confidentiality of national information, by law or regulation. And it’s necessary to define the national authority for managing this issue.
3 NCSec Maturity Model
3.1 How the Maturity Model meets the needs
It is important for a country or a whole region to consider how well cyber-security is being managed. In response to this, a national cyber-security framework must be developed for improvement in order to reach the appropriate level of management and control. This approach gains cost-benefit balance in the long term, answering the following related questions:
–
–
–
What is neighbour country peers doing, and how are we placed in relation to them?
What can be considered as acceptable national cyber-security best practice, and how are we placed with regard to these practices?
Can we be said to be doing enough, based upon these comparisons?
– How do we identify what is required to be done to reach an adequate level of management and control over our NCSec processes?
It can be difficult to supply meaningful answers to these questions, because there are actually few benchmarking initiatives and self-assessment tools in response to the need to know what to do in an efficient manner at the national level. But if we start from NCSec’s processes taken from the 5 high-level
153
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности control objectives, the process owner (stakeholder) should be able to incrementally benchmark against that control objective, affording to the following information:
–
–
–
A relative measure of where the stakeholder is, in comparison with the NCSec strategy
A manner to efficiently decide where to go
A tool for measuring progress against the strategic goals
3.2 Maturity Model approach
3.2.1 COBIT Framework Maturity Model (source: ISACA – ITGI)
“Senior managers in corporate and public enterprises are increasingly asked to consider how well IT is being managed. In response to this, business cases require development for improvement and reaching the appropriate level of management and control over the information infrastructure. While few would argue that this is not a good thing, they need to consider the cost-benefit balance and these related questions:
–
–
–
What are our industry peers doing, and how are we placed in relation to them?
What is acceptable industry good practice, and how are we placed with regard to these practices?
Based upon these comparisons, can we be said to be doing enough?
– How do we identify what is required to be done to reach an adequate level of management and control over our IT processes?
It can be difficult to supply meaningful answers to these questions. IT management is constantly on the lookout for benchmarking and self-assessment tools in response to the need to know what to do in an efficient manner.
Starting from COBIT’s processes, the process owner should be able to incrementally benchmark against that control objective. This responds to three needs:
1.
2.
A relative measure of where the enterprise is
A manner to efficiently decide where to go
3. A tool for measuring progress against the goal Maturity modelling for management and control over IT processes is based on a method of evaluating the organisation, so it can be rated from a maturity level of non-existent (0) to optimised (5).
This approach is derived from the maturity model that the Software Engineering Institute (SEI) defined for the maturity of software development capability. Although concepts of the SEI approach were followed, the COBIT implementation differs considerably from the original SEI, which was oriented toward software product engineering principles, organisations striving for excellence in these areas and formal appraisal of maturity levels so that software developers could be ‘certified’.
In COBIT, a generic definition is provided for the COBIT maturity scale, which is similar to CMM but interpreted for the nature of COBIT’s IT management processes. A specific model is provided from this generic scale for each of COBIT’s 34 processes.
Whatever the model, the scales should not be too granular, as that would render the system difficult to use and suggest a precision that is not justifiable because, in general, the purpose is to identify where issues are and how to set priorities for improvements. The purpose is not to assess the level of adherence to the control objectives.
The maturity levels are designed as profiles of IT processes that an enterprise would recognise as descriptions of possible current and future states. They are not designed for use as a threshold model, where one cannot move to the next higher level without having fulfilled all conditions of the lower level.
154
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
With COBIT’s maturity models, unlike the original SEI CMM approach, there is no intention to measure levels precisely or try to certify that a level has exactly been met. A COBIT maturity assessment is likely to result in a profile where conditions relevant to several maturity levels will be met, as shown in the example graph in figure 11.
Figure 11: Possible maturity level of an IT process
–
–
This is because when assessing maturity using COBIT’s models, it will often be the case that some implementation will be in place at different levels even if it is not complete or sufficient. These strengths can be built on to further improve maturity. For example, some parts of the process can be well defined, and, even if it is incomplete, it would be misleading to say the process is not defined at all. Using the maturity models developed for each of COBIT’s 34 IT processes, management can identify:
The actual performance of the enterprise—Where the enterprise is today
The current status of the industry—The comparison
–
–
The enterprise’s target for improvement—Where the enterprise wants to be
The required growth path between ‘as-is’ and ‘to-be’
To make the results easily usable in management briefings, where they will be presented as a means to support the business case for future plans, a graphical presentation method needs to be provided (figure
12).
155
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Figure 12: Graphic representation of maturity models
The development of the graphical representation was based on the generic maturity model descriptions shown in figure 13.
Figure 13: Generic Maturity Model
COBIT is a framework developed for IT process management with a strong focus on control. These scales need to be practical to apply and reasonably easy to understand. The topic of IT process management is inherently complex and subjective and, therefore, is best approached through facilitated assessments that raise awareness, capture broad consensus and motivate improvement. These assessments can be performed either against the maturity level descriptions as a whole or with more rigour against each of the individual statements of the descriptions. Either way, expertise in the enterprise’s process under
156
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
–
– review is required. The advantage of a maturity model approach is that it is relatively easy for management to place itself on the scale and appreciate what is involved if improved performance is needed. The scale includes 0 because it is quite possible that no process exists at all. The 0-5 scale is based on a simple maturity scale showing how a process evolves from a non-existent capability to an optimised capability.
However, process management capability is not the same as process performance. The required capability, as determined by business and IT goals, may not need to be applied to the same level across the entire IT environment, e.g., not consistently or to only a limited number of systems or units.
Performance measurement, as covered in the next paragraphs, is essential in determining what the enterprise’s actual performance is for its IT processes. Although a properly applied capability already reduces risks, an enterprise still needs to analyse the controls necessary to ensure that risk is mitigated and value is obtained in line with the risk appetite and business objectives. These controls are guided by
COBIT’s control objectives.
The maturity model is a way of measuring how well developed management processes are, i.e., how capable they actually are. How well developed or capable they should be primarily depends on the IT goals and the underlying business needs they support. How much of that capability is actually deployed largely depends on the return an enterprise wants from the investment.
For example, there will be critical processes and systems that need more and tighter security management than others that are less critical. On the other hand, the degree and sophistication of controls that need to be applied in a process are more driven by the enterprise’s risk appetite and applicable compliance requirements. The maturity model scales will help professionals explain to managers where IT process management shortcomings exist and set targets for where they need to be.
The right maturity level will be influenced by the enterprise’s business objectives, the operating environment and industry practices. Specifically, the level of management maturity will depend on the enterprise’s dependence on IT, its technology sophistication and, most important, the value of its information.
A strategic reference point for an enterprise to improve management and control of IT processes can be found by looking at emerging international standards and best-in-class practices. The emerging practices of today may become the expected level of performance of tomorrow and, therefore, are useful for planning where an enterprise wants to be over time. The maturity models are built up starting from the generic qualitative model (see figure 13) to which principles from the following attributes are added in an increasing manner through the levels:
Awareness and communication
Policies, plans and procedures
Tools and automation
Skills and expertise
Responsibility and accountability
Goal setting and measurement.
NCSecMM consists in linking national cybersecurity strategy to strategic national goals, providing metrics and maturity model levels to measure their achievement, and to identify the associated responsibilities of stakeholders and control objective process. This approach is derived from the maturity model that the
Software Engineering Institute defined for the maturity of software development capability.
As long as a global national framework for cyber-security is defined (NCSecFR), the National Cybersecurity
Maturity Model, called « NCSec », is associated to this best practice proposal for National Cybersecurity.
But we have to choose the level of granularity that will be associated to the proposed maturity model.
We can distinguish 3 levels of granularity:
157
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
Level 1: High Level Control Objectives (associated to NCSec domains, such as SP, IC, AC, CC and
EM);
Level 2: Process (Each of the 34 processes has a High Level Control Objective);
Level 3: Detailed Control Objectives (Each process has a number of detailed control objectives);
The scales should not be too granular, as that would render the system difficult to use and suggest a precision that is not justifiable because, in general, the purpose is to identify where issues are and how to set priorities for improvements. The proposed maturity model is based on level 2 : We evaluate the national cyber-security, so that each of the 34 NCSec processes can be classified itself from a level of nonexistent (0) to optimised (5). The scale includes 0 because it is quite possible that no process exists at all.
The proposed NCSecMM permits to determine what the country’s maturity is. Setting thus a maturity target, and planning for maturity enhancement.
It contains the following levels:
0. Non existent : There is no recognition of the need for National Cybersecurity Framework, and there is a high risk of national control deficiencies and incidents.
1. Initial: The need for a NCSec Framework has been recognized. There are ad hoc approaches that might be applied on a case by case basis, instead of using standardized processes among the different stakeholders, whom are not aware of their responsibilities.
2. Repeatable but intuitive: Similar procedures are followed by different stakeholders undertaking the same task, and are very close to NCSec processes. There is no formal training or communication of standard procedures, and responsibility is left individually to each organization. Stakeholders might not be aware of their responsibilities, and errors are likely.
3. Defined process: Procedures have been standardised and documented in conformity with NCSec framework, and communicated through training. However, each stakeholder will decide whether to follow these processes or not. The procedures are not sophisticated: they formalize existing practices.
Stakeholders are aware of their responsibilities.
4. Managed and measurable: compliance can be measured and monitored through standardized procedures. It is possible to take action where processes seem to work badly. Processes are under constant management and provide good practice. Automation and tools are used in a limited or fragmented way.
5. Optimized: As a consequence of continuous improvement and maturity modelling with other stakeholders (at the national level) and countries (at the transnational level), processes have been refined to the level of best practice. NCSec framework is used in an integrated way to automate the national strategy, providing tools to improve quality and effectiveness, making the whole country quick to adapt.
In order to define the maturity levels of each process, ISO 27001 process approach will be followed. It enables an efficient process control, and a good comprehension of the interaction between these processes, and the inputs and outputs that “glue” these processes together. ISO 27001 suggests structuring every process using the “Plan-Do-Check-Act” (PDCA) model.
This means that, in order to reach maturity level 5, any NCSec process should be:
• Implemented, operated, and maintained (DO)
•
•
Monitored, measured, audited, and reviewed (CHECK)
Improved (ACT)
PDCA model will be run in the NCSec Maturity Model in order to structure every aspect of NCSec
Framework. Not only PDCA model will be used to structure every process, but it will also structure the
158
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности maturity model itself. PDCA approach will be automatically used within the whole process of implementation of NCSec framework and maturity model.
3.2.4 Example
If we organize the processes through domains (corresponding to the 5 Domains of NCSec framework), each process should respect the PDCA approach, and thanks to this, the maturity of the process will be evaluated.
For example, let's consider the first process SP1 of the first domain: process SP1 is associated to the national Cybersecurity strategy, and consists in “Promulgating and endorsing a National Cybersecurity
Strategy”.
Process SP1 is in conformance with level 5 if the following conditions are respected:
– the NCSec strategy is “announced and planned”, and
–
– the NCSec strategy is “operational”, and the NCSec strategy is under a “regular review”, and
– the NCSec strategy is under “continuous improvement”.
More precisely, in level 5, there is an integrated performance measurement system linking security performance to NCSec strategic goals by global application of the NCSec information criteria scorecard.
Continuous improvement is a way of life.
159
160
В 22-1/1 Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
161
162
В 22-1/1 Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
163
164
В 22-1/1 Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
165
166
В 22-1/1 Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
167
168
В 22-1/1 Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
169
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
To assess the maturity level of a country to its National Cybersecurity Strategy, we propose to retain 10 major processes in order to conduct an inventory at any given time, as shown in the "radar" below, which will compare different countries and assess the evolution of a country between two dates.
Figure 14: "Radar" - Inventory of National Cybersecurity Strategy
Legend:
SP1: National Cybersecurity Strategy
SP4: Critical Information Infrastructures Protection
IO2: National Cybersecurity Authority
IO3: National-CERT
IO5: Cyber Laws
AC5: Awareness Programme
CC1: International Cooperation
CC2: National Coordination
EM4: Cybersecurity Governance
4 NCSec Roles and Responsabilities
Within a global need to settle National Cybersecurity Governance, the RACI chart should be associated to a global framework. This approach has already been used in COBIT, and has proved its efficiency (IT
Governance Institute 2005): COBIT framework includes a certain number of components, such as the
“framework”, the “domains”, the “processes”, the “maturity model” and the “RACI chart”. COBIT is dedicated to the organizational level, but it isn't applicable at the national level.
4.1 How the RACI Matrix meets the needs
We do need to follow an efficient methodology for identifying functional areas where there are ambiguities in terms of responsibilities, at the national level, bringing the differences out and resolving them through a cross-functional collaborative effort.
Responsibility Charting enables managers from the same or different organizational levels or programs to actively participate in a focused and systematic discussion about process related descriptions of the
170
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности actions. These actions must be accomplished in order to deliver a successful end product or service. But no “Responsibility Charting” models are dedicated to National Cybersecurity.
Responsibility Chart is a 5-Step Process (Smith and Erwin 2005): First, we have to identify processes.
Second, the stakeholders, resources and information useful to chart should be determined. The RACI chart can then be developed, by completing the Chart Cells. Overlaps should be then resolved. At last, gaps should be also resolved. We will follow this methodology in order to build and produce the RACI chart table.
4.2 RACI chart approach
The RACI model is a relatively straightforward tool used to clarify roles, responsibilities, and authority among stakeholders involved in managing or performing processes; especially during organizational change process. It is useful to describe what should be done by whom to make a transformation process happen (Kelly 2006).
A RACI chart is a table that describes the roles and responsibilities of various stakeholders in operating a process. It is especially useful to help them managing more efficiently a function during the design or redesign of processes, by highlighting decisions. It also clarifies overlapping, redundant, “bottle-necked,” or inconsistent responsibilities. It makes it easier to structure and distribute responsibility and authority. It finally establishes clear lines of communication; reduces duplication of efforts. From a timing viewpoint, it is useful but not necessary to have identified stakeholders prior to applying RACI. But RACI can be applied anytime. If confusion impedes progress during the project implementation, RACI may point to the source of problems and to solutions.
Within the context of NCSec framework, “RACI Chart” will clarify roles and responsibilities of the different stakeholders, at the national level. For each of the 34 processes of NCSec framework, it will associate to the list of stakeholder’s information about roles they have in relation to those processes.
For each process, one or more letters taken from the acronym ‘RACI’ will be associated to each stakeholder, depending on his role(s) and responsibility. This acronym stands for:
– Responsible (R): Those who do work to achieve the process, including Support, which is to provide resources to complete the task in its implementation.
– Accountable (A): Those who are ultimately accountable to the correct completion of the task. It stands for the final approving authority. Accountable authority must approve work that
Responsible authority provides before it is OK. There must be only one Accountable specified for each process.
–
–
Consulted (C): Those whose opinions are sought, in a two-way communication. It stands for the authority that is asked for their input, and has information and/or capability necessary to complete the work.
Informed (I): Those who are kept up-to-date on progress, under a one-way communication. It stands for the authority that must be told about the work, and notified of results, but needs not be consulted.
Very often the role specified as "Accountable" can be also specified "Responsible”. But it is generally recommended that each role for each process receives at most one of the participatory role types. If double participatory types appear in the RACI chart, it means that the roles have not yet been truly resolved. It is then necessary to clarify each role on each task.
4.3 NCSec RACI methodology
The chosen methodology in the case of NCSec RACI chart will not be that different of the classical one. It will consist in completing the Chart Cells, after having identified who has the (R), (A), (C), (I) for each process. As a general principle, every process should preferably have one and only one (R). Otherwise, a
171
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности gap occurs when a process exists with no (R), and an overlap occurs when multiple stakeholders have an
(R) for a given process.
We will begin with the (A). Guidelines for designating roles are:
– Designate one point (role, position) of Accountability (A) for each process;
–
–
Assign responsibility (R) at the level closest to the action or knowledge required for the task.
Verify that any shared responsibilities are appropriate;
Ensure that appropriate stakeholders are Consulted (C) and Informed (I), but limit these roles to necessary involvement only.
4.4 Example
Now, let’s take for example the first process of the first domain SP (Strategy and Policies) of NCSec framework. If we use the RACI technique to identify responsibilities and role combination in Process SP1
("Promulgate & endorse a National Cybersecurity Strategy”), we have the following distribution:
– The government is accountable (A), especially the National Cybersecurity Council (NCC), for the promulgation of the NCSec Strategy. It is also responsible (R) for the endorsement of the NCSec
Strategy;
–
–
–
At this level, Critical Infrastructure is consulted (C), because it has information and capability necessary to complete the promulgation of the NCSec Strategy, especially when it is under continuous improvement;
Private sector is also consulted (C), because it has information and capability necessary to complete the promulgation of the NCSec Strategy;
Civil Society and Academia remain Informed (I), because they are kept up-to-date on progress, under a one-way communication. They must be notified of results, but need not be consulted.
The following table shows the RACI chart associated to process SP1.
172
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit. Infra
Academia
PrivateSector
Trade union
Civil Soc
Nat Cybsec Auth
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat.Cyb Council
Head Of Gvt
GovernMntCabinet
173
174
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit. Infra
Academia
Private Sector
Trade union
Civil Soc
Nat Cybsec Auth
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat.Cyb Council
Head Of Gvt
Govern Mnt Cabinet
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit. Infra
Academia
Private Sector
Trade union
Civil Soc
Nat Cybsec Auth
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat.Cyb Council
Head Of Gvt
Govern Mnt Cabinet
175
176
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit.Infra
Academia
Private Sector
Trade union Syndicat
Civil Soc
NatCybsec Auth
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat. Cyb Council
Head Of Gvt
Govern Mnt Cabinet
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit.Infra
Academia
Private Sector
Trade union Syndicat
Civil Soc
NatCybsec Auth
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat. Cyb Council
Head Of Gvt
Govern Mnt Cabinet
177
178
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit.Infra
Academia
Private Sector
Trade union Syndic
Civil Soc
Nat Cybsec Aut
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat. Cyb Council
Head Of Gvt
Govern Mnt Cabinet
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit.Infra
Academia
Private Sector
Trade union Syndic
Civil Soc
Nat Cybsec Aut
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat. Cyb Council
Head Of Gvt
Govern Mnt Cabinet
179
180
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit.Infra
Academia
Privat E Sector
Trade union Syndic
Civil Soc
Nat Cybsec Aut
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat. Cyb Council
Head Of Gvt
Govern Mnt Cabinet
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CSIRTs
Nat.CERT
Crit.Infra
Academia
Privat E Sector
Trade union Syndic
Civil Soc
Nat Cybsec Aut
Min of Ed u
Min of Fin
Min of Just
Min of Def
Min of Int
ICTs Authority
Legisl Auth
Nat. Cyb Council
Head Of Gvt
Govern Mnt Cabinet
181
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
5 NCSec Implementation Guide
5.1 How NCSecIG meets the need
The purpose of the implementation guide is to assist any/all stakeholders in the NCSec to implement a traceability system in line with the NCSec Framework, NCSec Maturity Model, and NCSec Responsibility charting.
Any/all stakeholders from the NCSec framework that want to implement a National Cybersecurity
Governance traceability system, will use this this implementation guide, such as Government, Private
Sector, Critical Infrastructure, Academia, and Civil Society.
The target audience of this guideline is any component of the previous stakeholders. In addition, this implementation guide can be used by Member States of ITU, to support the implementation efforts of their local stakholders, within a self-assessment process.
5.
6.
7.
8.
9.
1.
2.
3.
4.
10.
11.
ISO 27003 provides help and guidance in implementing an ISMS (Information Security Management
System), including focus upon the PDCA method, with respect to establishing, implementing reviewing and improving the ISMS itself.
ISO committee SC27 will oversee the development, as with other information security standards. Its suggested title at the present time is: "Information technology - Security techniques. Information security management system implementation guidance”.
The originally mooted broad table of contents is:
Introduction
Scope
Terms & Definitions
CSFs (Critical success factors)
Guidance on process approach
Guidance on using PDCA
Guidance on Plan Processes
Guidance on Do Processes
Guidance on Check Processes
Guidance on Act Processes
Inter-Organization Co-operation
ISO IEC 27001 also uses a process approach. The process approach is a management strategy. When managers use a process approach, it means that they control their processes, the interaction between these processes, and the inputs and outputs that “glue” these processes together. It means that they manage by focusing on processes and on inputs and outputs. ISO IEC 27001 suggests that you use a process approach to manage and control your ISMS processes.
182
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
In general, a process uses resources to transform inputs into outputs. In every case, inputs are turned into outputs because some kind of work or activity is carried out. And because the output of one process often becomes the input of another process, inputs and outputs are really the same thing.
ISO IEC 27001 suggests that you structure every ISMS process using the Plan-Do-Check-Act (PDCA) model.
This means that every process should be:
Planned (PLAN)
Implemented, operated, and maintained (DO)
Monitored, measured, audited, and reviewed (CHECK)
The PDCA model runs through every aspect of the ISO IEC 27001 standard. The standard not only recommends that the PDCA model be used to structure every ISMS process, it was also used to structure the standard itself. And since it was used to structure the standard, you will automatically use a PDCA approach as you use the standard to develop your own ISMS.
The implementation guide consists in six main steps, which are all based on the PDCA approach:
Figure 15: Implementation Guide Steps
The adopted resolution approach is inspired from the proposed National Cybersecurity Management
System, called “NCSecMS” (Figure 2), and combined with its components. In fact, since the “NCSecMS” is a tool the goal of which is to facilitate the achievement of National Cybersecurity, the implementation guide will stick to its main principles, at both the national and regional levels.
183
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Figure 16: NCSecIG resolution approach
A - Overview on approval for implementation
B - Define Objectives and National Requirements for Cybersecurity
At this level should be defined with the high level leaders of the country what are the objectives to be achieved through the establishment of NCSec Governance.
And the definition of these goals will require the analysis of Cybersecurity’s needs for the country.
C - Define Initial NCSec Governance scope
This approach is to determine the initial scope to be covered by the NCSecMS, and especially to define the key components to be included but also those excluded, in order to clarify the directions to be taken by policy makers.
184
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
D - Obtain a high level Decision Makers approval
–
–
This step is crucial, because it present coverage of the NCSecMS scope to policymakers, in order to obtain their approval. This decision will be concurrent with the commitment of decision makers in the country to implement the NCSecMS which will be developed.
At the end of this stage, two documents will be produced:
The Government High Level commitment
The Mission Letter for responsible of the establishment of NCSec Management System.
5.3.2 Define scope and strategy
A - Overview on defining NCSecMS and strategy
B - Defining National Cyberspace boundaries
The head of the establishment of NCSecMS, must define the limits of national cyberspace, its development and its interactions with other countries. This cyberspace is divided into coverage areas, their nature as well as relevant stakeholders.
C - Completing boundaries for NCSecMS scope
From the initial scope, defined in the first phase, and analysis of national context of cyberspace, it is to detail the scope of NCSecMS.
This approach will be to define in detail both the inclusions and the exclusions, to avoid any ambiguity in the implementation of NCSecMS.
D - Developing the NCSec Strategy
After defining the scope to cover, and based on the NCSec Framework, the responsible must develop the strategy for implementation of MS NCSec to meet the objectives previously defined by the High Level
Decisoin Makers of the country.
A - Overview on conducting National context analysis
B - Defining Information security requirements
Relying on the strategy for implementation of the components of the scope and NCSec Framework, it is clearly defined by what are the needs of information security for the country.
The list of needs will take into account the level of use of networks and information systems, and decide on priorities.
C - Defining Critical Information Infrastructure Protection (CIIP)
The information systems of critical infrastructure require attention, as they must be handled with priority.
Disruptions of critical infrastructure can have very serious consequences throughout the country.
D - Generating an National Information Security Assessment
The main objective of the analysis of country context is to develop an assessment of the level of information protection at the national level. This assessment will be made from NCSec Maturity Model and give rise to a report detailing the strengths and weaknesses in information security and the maturity of key processes.
185
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
5.3.4 Conduct National Risk Assessment
A - Overview on conducting Risk Assessment
B - Risk Assessment description
On the basis of NCSec Framework and the National Information Security Assessment ", this step will develop descriptions of risk factors, mapping or associating them with types of risk, e.g. human factors, organizational and technological at the national level for a particular country..
C - Conducting Risk Assessment
The list of risks established beforehand, will be an evaluation which will be based on the likelihood and impact of each risk. And starting, tools of analysis it will be developed priorities of the risks would be covered, taking into account the severity of their impact.
D - Plan Risk treatment
The analysis and risk assessment will enable us to select the process NCSec Framework, which must be implemented to mitigate and monitor risks priorities.
5.3.5 Design NCSec Management System
A - Overview on designing the NCSecMS
B - Defining Organizational Structures
From the selected process and NCSec Roles & Responsibility (RACI Chart) will be to define the organizational structures that exist or to be put in place to support the implementation of key processes.
At this stage, it is also to identify critical infrastructure and key institutions that bear the NCSec strategy.
C - Designing the monitoring and measuring
At this stage managers describe all processes related to the implementation of NCSec Management
System. It is also to define the set of indicators to measure changes in the establishment of NCSecMS.
D - Producing the NCSecMS implementation Program
After setting, organizational structures and processes related to implementation, it describes the program implementation.
This program will be divided into projects with an overall planning for implementation, and for each of them, the roles and responsibilities of stakeholders will be defined.
5.3.6 Implement NCSec Management System
A - Overview on implementing the NCSecMS
B - Setting up the implementation Management System
Before launching the program implementation of NCSecMS, we must implement the "Program Steering
Committee” will ensure that governance and oversight of the entire program and will be assisted by a
PMO (Project Management Office).
C - Carrying out implementation Projects
The Program Executive Committee will launch the various projects taking into account the priorities defined in advance. For each project, it is to define the “Project Steering Committee", the scope, deadlines and budgets. A mission letter will be submitted for each designated project manager. Project managers will be assisted by the PMO to implement their projects.
186
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
D - Documenting the procedures and Control
All components of NCSecMS will be reflected in a clear and accessible documentation. All procedures will be described, as well as performance indicators and monitoring
6 Conclusion
We have proposed a National Cybersecurity Management System applicable to Cybersecurity Governance at both national and regional levels.
Taking in consideration the boundless nature of cyberspace, this framework would build synergies between different actors at the National, Regional and Global levels to achieve stated goals.
Our approach is aligned with the objectives expressed by the ITU in the Global Cybersecurity Agenda
(Section 7.1), and we used the HLEG work initiated by the Secretary General as a starting point.
This system will help a country or a whole region to determine how well Cybersecurity is being managed, through self-assessment based on a well-defined Maturity Model. The National Cybersecurity
Management Framework would allow countries and regions to reach adequate levels of management and control through continuous improvement, taking in consideration cost benefits of short and long term objectives.
7.1 NCSec Framework Vs Global Cybersecurity Agenda Domains
Proc Strategy and Policies Processes Legal Technical
Org
Structures
Capacity
Building
SP1
SP2
SP3
SP4
SP5
NCSec Strategy
Promulgate & endorse a National Cybersecurity
Strategy
Lead Institutions
Identify a lead institutions for developing a national strategy, and 1 lead institution per stakeholder category
NCSec Policies
Identify or define policies of the NCSec strategy
Critical Information Infrastructures
Establish & integrate risk management for identifying & prioritizing protective efforts regarding NCSec (CIIP)
Stakeholders
Identify the degree of readiness of each stakeholder regarding to the implementation of
NCSec strategy & how stakeholders pursue the
NCSec strategy & policies
X
Intern
Coop
X
X
X
X
187
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Proc
IO1
IO2
IO3
IO4
IO5
IO6
IO7
IO8
IO9
IO10
IO11
IO12
Implementation and Organization Processes
NCSec Council
Define National Cybersecurity Council for coordination among all stakeholders, to approve the NCSec strategy
NCSec Authority
Define Specific high level Authority for coordination among cybersecurity stakeholders
National CERT
Identify or establish a national CERT to prepare for, detect, respond to & recover from national cyber incidents
Privacy
Review existing privacy regime and update it to the on-line environment
Laws
Ensure that a lawful framework is settled and regularly levelled
Institutions
Identify institutions with cybersecurity responsibilities, and procure resources that enable NCSec implementation
National Experts and Policymakers
Identify the appropriate experts and policymakers within government, private sector and university
Training
Identify training requirements and how to achieve them
International Expertise
Identify international expert counterparts and foster international efforts to address cybersecurity issues, including information sharing and assistance efforts
Government
Implement a cybersecurity plan for governmentoperated systems, that takes into account changes management , in line with NCSec strategy
National Cybersecurity and Capacity
Manage National Cybersecurity and capacity at the national level , in line with NCSec strategy
Continuous Service
Ensure continuous service within each stakeholder and among stakeholders , in line with
NCSec strategy
Legal Technical
Org
Structures
Capacity
Building
Intern
Coop
X
X
X
X
X
X
X
X
X
X
X
X
188
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
AC1
AC2
AC3
AC4
AC5
CC4
AC6
CC1
CC2
CC3
Awareness and Communication Processes Legal Technical
Org
Structures
Capacity
Building
Intern
Coop
Leaders in the Government
Persuade national leaders in the government of the need for national action to address threats to and vulnerabilities of the NCSec through policylevel discussions
National Communication
Promote a comprehensive national awareness program so that all participants—businesses, the general workforce, and the general population— secure their own parts of cyberspace. And ensure
National Cybersecurity Communication
Awareness Programs
Implement security awareness programs and initiatives for users of systems and networks
Citizen and Child Protection
Support outreach to civil society with special attention to the needs of children and individual users and persons with disabilities
NCSec Culture for Business
Encourage the development of a culture of security in business enterprises
Available Solutions
Develop awareness of cyber risks and available solutions
X
X
X
X
X
X
Compliance and Coordination Processes
International Compliance & Cooperation
Ensure regulatory compliance with regional and international recommendations, standards
National Cooperation
Identify and establish mechanisms and arrangements for cooperation among government, private sector entities, university and ONGs at the national level, so that organizational structures ensure that controls are effective and efficient
Private sector Cooperation
Encourage cooperation among groups from interdependent industries (through the identification of common threats)
Encourage development of private sector groups from different critical infrastructure industries to address common security interest collaboratively with government (through the identification of problems and allocation of costs)
Research and Development
Enhance Research and Development (R&D) activities (through the identification of opportunities and allocation of funds)
Legal Technical
Org
Structures
Capacity
Building
Intern
Coop
X
X
X
X
189
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
CC5
CC6
EM1
EM2
EM3
EM4
EM5
Compliance and Coordination Processes Legal Technical
Org
Structures
Capacity
Building
Intern
Coop
Incidents Handling & Risk Controls
Manage incidents through national CERT to detect, respond to, and recover from national cyber incidents, through cooperative arrangement
(especially between government and private sector) , and respect, report risk controls
Points of Contact
Establish points of contact (or CIRT) within government, industry and university to facilitate consultation, cooperation and information exchange with national CERT, in order to monitor and evaluate NCSec performance in each sector
X
X
Evaluation and Monitoring Processes
NCSec Observatory
Set up the NCSec observatory, that will measure and report NCSec risk controls, compliance and performance before it is too late
NCSec Business Outcome Metrics for Evaluation
Define mechanisms that can be used to coordinate the activities of the lead institution, the government, the private sector and civil society, in order to monitor and evaluate the global NCSec performance
(how are we doing?)
NCSec Assessment
Assess and periodically reassess the current state of cybersecurity efforts and develop program priorities
NCSec Governance
Provide National Cybersecurity Governance, especially with optimized costs and cybersystems productivity and safety
NCSec Internal Business Process Metrics
Define adequate NCSec management and technical metrics (for example confidentiality, integrity and availability) in place for each stakeholder, among framework components (what are we doing?).
Legal Technical
Org
Structures
Capacity
Building
Intern
Coop
X
X
X
X
X
190
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
7.2 ICEGOV 08 Cairo / 2nd International conference for theory and practice of
Electronic Governance
ACM Publication
191
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
7.3 ECEG 09 London / 9th European Conference on e-Government
ECEG 2009
9th European Conference on e-Government
Westminster Business School, University of Westminster, London, UK
29-30 June 2009
NCSecMM: A National Cyber Security Maturity Model for an
Interoperable “National Cyber Security” Framework
Taïeb Debbagh, Mohamed Dafir Ech-Cherif El Kettani
Abstract: Security Maturity Model is a systematic approach that replaces traditional security metrics.
There is more than one Security Maturity Model (SMM, COBIT, CERT/CSO, ISM3), and each of them has only five levels of maturity, providing the blueprint for a complete security program, telling management the order in which to implement security elements (ISM3 Consortium 2007), and leading toward the use of best practice standards (e.g., BS 17799). But very few of them are dedicated to National Cybersecurity.
We propose in this paper a “National CyberSecurity Maturity Model”, that will make it possible to evaluate the security of a country or a whole region, making thus comparisons between them, and pointing out its forces and threats.
192
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
7.4 ECIW 09 Lisbon / 8th European Conference on Information Warfare and Security
ECIW 2009
8th European Conference on Information Warfare and Security
Military Academy, Lisbon & the University of Minho, Braga, Portugal.
6-7 July 2009
A National RACI Chart for an Interoperable “National Cyber Security”
Framework
Taïeb Debbagh, Mohamed Dafir Ech-Cherif El Kettani
Abstract :
Governments worldwide have faced serious Cyberterrorism threats, in a context where interoperability of “TransNational CyberSecurity Plans” is quite absent, in order to deal with incidents.
It is important to know which agency or agencies should be given the responsibility for “National
Cybersecurity”, in order to ensure that computer security will receive government-wide attention.
Therefore, sectors and lead agencies should assess the reliability, vulnerability, and threat environments of the infrastructures and employ appropriate protective measures and responses to safeguard them.
Responsibility Charting is a technique for identifying functional areas where there are process ambiguities, bringing the differences out, and resolving them through a cross-functional collaborative effort. We provide in this paper a “National RACI chart” that defines for each National Cyber Security process, who is “Responsible”, “Accountable”, “Consulted” and “Informed”. The “RACI chart” defines in detail what has to be delegated and to whom, and what kind of responsibility will be affected to one stakeholder instead of another. Thus, it will aid organisations and teams identifying the responsibility for specific elements at the national level.
193
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Acronyms
CIRT
CIIP
CISRT
CERT
COBIT
GCA
HLEG
NCSecFR
NCSecIG
NCSecMM
NCSecMS
Computer Incident Response Team
Critical Information Infrastructures Protection
Computer Information Security Response Team
Computer Emergency Response Team
Control Objectives for Information and related Technologies
Global Cybersecurity Agenda
High Level Experts Group
National Cybersecurity Framework
National Cybersecurity Implementation Guide
National Cybersecurity Maturity Model
National Cybersecurity Management System
NCSecRR
RACI
PDCA
National Cybersecurity Roles and Responsibilities
Responsible, Accountable, Consulted, Informed
Plan, Do, Check, Act
194
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex D: Best practices for Cybersecurity – Internet Service Provider (ISP)
Network Protection Best Practices
Abstract
An industry working group in the United States addressed the area of Internet Service Provider (ISP)
Network Protection, with a focus on addressing “bots” and “botnets”, which are serious and growing problems for end-users and ISP networks. Botnets are formed by maliciously infecting end-user computers and other devices with bot
64
software through a variety of means, and surreptitiously controlling the devices remotely to transmit onto the Internet spam and other attacks (targeting both end-users and the network itself).
The working group examined potentially relevant existing Best Practices (BPs), and in consultation with industry and other experts in the field, identified additional Best Practices to address this growing problem.
The Working Group identified 24 Best Practices to address protection for end-users as well as the network. The Best Practices in this Annex, are organized into the logical steps required to address botnets.
The first step is Prevention (12 BPs), followed by Detection (5 BPs), Notification (2 BPs), and then
Mitigation (3 BPs). Finally, 2 BPs on Privacy Considerations were identified to address the handling of customer information in botnet response. The BPs identified are primarily for use by ISPs that provide service to consumer end-users on residential broadband networks but may apply to other end-users and networks as well.
Sector Members are encouraged to have their respective subject matter experts review these Best
Practices for applicability. It is critical to note that Best Practices in general are not applicable in every situation because of multiple factors, and such a caveat applies to the work product of the Working
Group. Therefore, the Best Practices set out below are intended to be voluntary in nature for ISPs, and may not apply in all contexts (and thus for a host of reasons should not be made mandatory). With this understanding, the Working Group recommends that the Best Practices be implemented by ISPs, where applicable, in order to address the growing botnet problem in consumer end-user devices and ISP networks.
64
(from the word “robot”)
195
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
1 Introduction
The most pressing area of the botnet problem lies in consumer-focused residential broadband networks.
Although botnets are also a concern with business-focused networks and service, the business arrangements in that context are far more diverse than in the residential consumer market, and there is already more activity in the business context in response to botnets. The focus for this Report is thus on identifying Best Practices for ISPs that provide services to consumers on residential broadband networks.
Notwithstanding this focus, many of the Best Practices identified here would also be valuable practices to apply in non-consumer, non-residential network contexts. In light of the complexity and diversity of individual networks, and the fast-changing nature of the botnet security threats, individual networks should be able to respond to security threats in the manner most appropriate for their own network.
The Best Practices should not be viewed as an exhaustive list of all steps that ISPs could take to address botnets and compromised computers. Indeed, many service providers take additional steps in response to the botnet problem, and many are often assessing what new or additional techniques should be considered – beyond the foundational measures suggested below.
2 Objective, Scope, and Methodology
2.1 Objective
This report investigates current practices that ISPs use to protect their networks from harms caused by the logical connection of computer equipment, as well as desired practices and associated implementation obstacles. These efforts address techniques for dynamically identifying computer equipment that is engaging in a malicious cyber attack, notifying the user, and remediating the problem.
The report focuses on the relationship between ISPs and end users in the residential broadband context
(the problem of botnet–compromised, end-user devices) and identifies Best Practices for ISPs that are effective in addressing end-user device compromise.
2.2 Scope
Security flaws in the hardware and/or software used by consumers coupled with poor or non-existent system administration practices by end-users have resulted in an epidemic of compromised computers, many of which can be remotely controlled as a part of what are frequently called ‘botnets.’ Once compromised, the owners of these computers are put at risk as their personal information and communications can be monitored.
As used here “computer equipment” includes a wide variety of personal equipment (e.g., servers, PCs, smart phones, home routers, etc.) as well as household devices with embedded IP network connectivity.
“Logical connection” refers to end-user data communications protocol signaling and transmission. Harms result from the ability to degrade the communications infrastructure though malicious protocol exchanges and information transmission and their computing power and Internet access can be exploited by those controlling the botnet. Armies of these compromised computers can also be used together to disseminate spam, store and transfer illegal content, and to attack the servers of government and private entities with massive, distributed denial of service (DDoS) attacks.
This report investigates current practices that ISPs use to protect their networks from harms caused by the logical connection of computer equipment as well as desired practices and associated implementation obstacles. The work addresses techniques for dynamically identifying computer equipment that is engaging in a malicious cyber attack, notifying the user, and remediating the problem. The report proposes recommendations for best practices and actions that could be taken to help overcome implementation obstacles.
The following is a summary of findings from expert presentations and consultations:
196
–
–
–
–
–
–
–
–
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Botnet compromise of end-user devices is a significant problem that affects all ISPs - large and small.
Botnet malware is rapidly proliferating into end-user devices.
A rapid increase in botnet infections and technological sophistication appears to have been driven by the funding of botnet technology by sophisticated criminal elements.
Botnet malware technology, infections, and the resulting impacts resulting from them are moving faster than ISP industry methods and technologies have, to date, been able to respond to.
Botnets are a complex issue involving both end-user and network issues.
ISP efforts to address botnets must include cooperation and information sharing among ISPs in order to fully address the problem.
There are existing Best Practices (including some IETF RFCs) that address certain aspects of botnets (e.g., concerning responses to spam), but no comprehensive approach has been identified or widely implemented (at least in United States networks).
Botnet detection methods raise issues of end-user privacy which need to be considered when developing approaches to the botnet problem.
The problem of botnets in end-user devices can be substantially improved by implementation of these Best Practices, as applicable, by ISPs serving consumers on residential broadband networks.
2.3 Next Steps
This report sets a foundation for ISPs to address bots in end-user devices on residential broadband networks, helping to reduce the impact of botnet attacks on the network. Possible next steps in dealing with bots and botnets could be to widen the scope of this work to include attack vectors which exploit network vulnerabilities to propagate bots and provide for obfuscation of botnet Command and Control channels. Although this report touches on this area based on initial work in DNS, dynamic space, and spam, this work could be expanded to include improved protection from social engineering vulnerabilities, the infection of public web sites with bot-related Trojans and other malware, and further work on the network detection and isolation of bot Command and Control traffic.
As mentioned in the Recommendations section, these Best Practices should be reviewed frequently and updated to reflect the latest technology and methods in dealing with botnets. In addition, additional best practice work could be valuable in network-focused areas beyond the residential broadband networks that formed the focus of this Report.
2.4 Creation of New Best Practices
Best Practices have been categorized in terms of the logical steps required to address botnets. The Best
Practice categories include Prevention, Detection, and Notification of end-users, Mitigation, and Privacy
Considerations in detecting bots and notifying end-users. The Best Practices are included in this Annex.
2.4.1 Prevention Best Practices
The twelve Prevention Best Practices are aimed at preventing botnet infections in end-user devices and major impacts to ISP networks. For end-users, the main focus is on how ISPs can help residential broadband end-users prevent bot malware infections from occurring in their devices and networks. This is accomplished by identifying Best Practices for end-user awareness and education of the importance of good Internet hygiene, e.g., keeping operating systems and applications up to date, being aware of social engineering scams, etc., and the use of anti-virus software to aid in malware and bot detection. ISP personnel need to keep abreast of the latest botnet technology and malware in order to effectively
197
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности address botnet issues. Network prevention Best Practices address bot exploits of the Domain Name
System, dynamic address space, and the prevention of bot-originated spam (which helps to spread bots and other malware and create network congestion.)
2.4.2 Detection Best Practices
The five Detection Best Practices are aimed at providing effective ISP bot detection capabilities and sharing information among ISPs. Because of the increasing sophistication of botnets and the rapidly changing technologies being utilized in botnets, maintaining effective detection methods and sharing of information are critical to addressing botnet deployments. Also, the need for utilizing non-interfering detection methods and timely execution are also addressed.
2.4.3 Notification Best Practices
Once a bot infection is detected, the end-user needs to be notified so that mitigation action can be taken.
The two Notification Best Practices are aimed at maintaining effective notification methods and ensuring that critical service information is conveyed to end-users who likely have a bot infection on their device or network. It is suggested that a good balance be struck between the certainty of the detection and the speed of notification.
2.4.4 Mitigation Best Practices
Three Mitigation Best Practices are aimed at mitigating bots on end-user devices and the protection of end-users and the network from botnet attacks. Mitigation Best Practices address the need for the ISP to notify end-users by providing information on how to address a likely bot infection. Best Practices are also identified for ISP cooperation in the face of critical cyber incidents that can be caused by a botnet attack, as well as the potential need for the temporary isolation of actively attacking bots to reduce the possibility of adverse end-user or network impact (recognizing that such action should only be used as a
“last resort” or in other critical circumstances, and that any use should be sensitive to the needs of the affected users).
2.4.5 Privacy Considerations Best Practices
Some of the Prevention, Detection, Notification, and Mitigation Best Practices raise the recurring issue of protecting end-user information. To address these concerns, the report offers two Best Practices focused on end-user privacy issues. The first deals with respecting consumers’ privacy with regard to exposed customer information in addressing bot infections and attacks and the second suggests a multi-pronged strategy in designing technical measures that protect the privacy of customer information.
3 Analysis, Findings and Recommendations
3.1 Analysis
The report defines Best Practices in terms of the logical steps required to address botnets.
Prevention Best Practices are those aimed at preventing botnet infections and the impact on
ISP networks. Detection Best Practices are aimed at ISP detection of botnet infections and attacks. Notification Best Practices are targeted at notifying end-users of possible botnet infections. Mitigation Best Practices are aimed at mitigating end-user device botnet infections and the network impact.
3.2 Findings
Botnets represent a rapidly shifting malware landscape of infection, command and control, and attack capability fueled primarily by the desire for economic gains by those who develop and deploy these botnets – often sophisticated criminals. Weaknesses in end-user devices as well as a lack of understanding
198
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности and thus protective reactions by end-users themselves are largely responsible for the massive infections caused by sophisticated malware infection vectors.
Once infected with malware, botnets are formed when bot malware is activated on the infected device.
The bot then establishes a connection with the botnet “command and control” system and then typically goes dormant to reduce the risk of detection while it awaits attack orders from the botnet owner. The level of sophistication has grown to the point where bots can often be updated with new versions of bot malware to add new attack capabilities and obfuscation techniques.
The botnet is comprised of all the infected bots under a common command and control. The bot malware itself is sometimes polymorphic, defying signature base detection at the device level. Use of sophisticated command and control mechanisms, including the use of peer-to-peer technology, makes bot and botnet detection challenging. Command and control mechanisms exploit weaknesses in the ISP and Internet infrastructure, e.g., DNS, to avoid detection of command and control traffic and to creatively provide infection vectors to spread the bot malware.
Once the end-user device becomes part of a botnet, threats exist to both the end-user and the ISP network. End-user personal information, such as identity, bank accounts, and credit card information, can be compromised; the ISP network can be exposed to denial of service attacks, spam, and other network related attacks.
To address these problems, the botnet lifecycle needs to be disrupted and mitigation of device bot malware needs to be addressed. This report looks at end-user and end-user device issues, and some key network weaknesses that support botnet proliferation and exacerbate the impact of botnets.
The problem of botnets may be substantially mitigated by implementation, as applicable, of the suggested Best Practices in the residential broadband context. By looking at botnets from the perspective of Prevention, Detection, Notification, and Mitigation, a comprehensive program can be established which should have a significant impact on botnets and their impact on end-users and ISP networks. Most botnet control strategies examined have some, but not all, elements of the Best Practices.
These findings support the contention that botnet technology and deployment have, to date, moved faster than ISP industry methods to address them. One common theme within the findings is that cooperation with the end-user and other ISPs is critical in effectively dealing with this issue. There are no silver bullets that can completely eradicate this problem. Rather a partnership with end-users and other
ISPs is required to address botnets in a comprehensive way.
3.3 Recommendations
The report suggests that the rapid growth of botnets in end-user devices has been faster than the ability to effectively address the problem, hence significant work beyond the implementation of Best Practices is strongly encouraged. The following recommendations resulted from the research and Best Practice work of the Group:
– Because of the rapid growth of botnets and the rapidly changing technology, botnet Best
Practices for ISPs should be revisited at least every two years.
–
–
Standard methods for sharing information with end users and among ISPs should be better defined.
Protection (and discarding) of customer information that may be collected by ISPs while addressing botnets is an important issue that warrants continued attention.
– ISP implementation of the botnet Best Practices should be benchmarked to get a better idea how ISPs are dealing with the botnet problem.
Additional possible policy actions are:
199
–
–
–
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The creation, perhaps with government funding, of an anti-botnet website available to end users to assist in the removal of botnet malware from their device, similar to the anti-botnet centers created in Germany (see http://botfrei.de
) and Japan (see, https://www.ccc.go.jp/en_ccc/ );
The creation of a cybersecurity public information campaign that includes botnet awareness;
The creation of a Computer Emergency Readiness Team (CERT) Information and Resource
Center, available to ISPs and end users, devoted to botnet detection, mitigation, etc.; and
Improvements in technology for network detection of botnet command and control and exploitation of traffic could be encouraged through research at government or other sites.
4 Conclusions
This report identifies 24 Best Practices to address bot-infected, end-user devices and the impact of botnets on end-users and ISP networks. These BPs form a foundation for addressing this growing problem and are for consideration by ISPs that provide service to consumers on residential broadband networks.
Potential future work includes regularly reviewing these BPs to keep them up-to-date and to potentially expand the scope of future Best Practice work to identify Best Practices aimed at addressing the spread of bot malware through the network and detecting and disrupting botnet command and control traffic.
The new Best Practices are organized in areas of Prevention (12 BPs), Detection (5 BPs), Notification (2
BPs), and Mitigation (3 BPs). In addition, 2 BPs were identified in the area of Privacy Considerations concerning customer information in the context of addressing botnets.
It is critical to note that Best Practices are not applicable in every situation because of multiple factors.
Therefore, these Best Practices are intended to be voluntary for the ISPs. Mandating a particular set of practices could contribute to suboptimal network operation and reliability, or result in other negative consequences.
With these qualifications, this report recommends that the Best Practices set out in this Annex be implemented, as applicable, by ISPs in order to address the growing botnet problem in consumer enduser devices and ISP networks.
Introduction to Best Practices
These Best Practices are statements that describe guidance for the best approach to addressing a concern. They incorporate industry cooperation that engaged vast expertise and considerable resources.
The implementation of Best Practices is intended to be voluntary. Decisions of whether or not to implement a specific Best Practice are intended to be left with the responsible organization (e.g., Service
Provider, Network Operator, or Equipment Supplier). In addition, the applicability of each Best Practice for a given circumstance depends on many factors that need to be evaluated by individuals with appropriate experience and expertise in the same area addressed by the Best Practice.
Mandated implementation of these Best Practices is not consistent with their intent. The appropriate application of these Best Practices can only be done by individuals with sufficient knowledge of company specific network infrastructure architecture to understand their implications. Although the Best Practices are written to be easily understood, their meaning is often not apparent to those lacking this prerequisite knowledge and experience. Appropriate application requires understanding of the Best Practice impact on systems, processes, organizations, networks, subscribers, business operations, complex cost issues and other considerations. For these reasons, this report does not recommend here that government authorities impose these best practices on industry, e.g. by regulations.
Prevention Best Practices
Note that the Best Practices in this grouping are primarily aimed at ISPs that provide service to consumer end-users on residential broadband networks, but may be applicable to other users and networks as well.
200
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.1 BP Number: Prevention 1
Stay Informed about Botnet/Malware Techniques:
ISPs should stay informed about the latest botnet/malware techniques so as to be prepared to detect and prevent them.
65
A.2 BP Number: Prevention 2
–
–
–
–
–
–
–
–
–
–
ISP Provision of Educational Resources for Computer Hygiene / Safe Computing:
ISPs should provide or support third-party tutorial, educational, and self-help resources for their customers to educate them on the importance of safe computing and help them develop safe practices safe computing.
66
ISPs’ users should know to protect end user devices and networks from unauthorized access through various methods, including, but not limited to:
Use legitimate security software that protects against viruses and spywares;
Ensure that any software downloads or purchases are from a legitimate source;
–
–
Use firewalls;
Configure computer to download critical updates to both the operating system and installed applications automatically;
Scan computer regularly for spyware and other potentially unwanted software;
Keep all applications, application plug-ins, and operating system software current and updated and use their security features;
Exercise caution when opening e-mail attachments;
Be careful when downloading programs and viewing Web pages;
Use instant messaging wisely;
Use social networking sites safely;
Use strong passwords;
Never share passwords.
65
BP Prevention 1: References/Comments: See the following document for more information: www.maawg.org/sites/maawg/files/news/MAAWG_Bot_Mitigation_BP_2009-07.pdf
More information can also be found at: isc.sans.edu/index.html www.us-cert.gov/ www.itu.int/ITU-D/cyb/cybersecurity/projects/botnet.html
66
BP Prevention 2: References/Comments: More information can be found at:
National Cybersecurity Alliance - www.staysafeonline.org/
OnGuard Online -www.onguardonline.gov/default.aspx
Department of Homeland Security - StopBadware – www.stopbadware.org/home/badware_prevent
Comcast.net Security - security.comcast.net/
Verizon Safety & Security - www.verizon.net/central/vzc.portal?_nfpb=true&_pageLabel=vzc_help_safety
Qwest Incredible Internet Security site: www.incredibleinternet.com/
Microsoft - www.microsoft.com/security/pypc.aspx
201
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.3 BP Number: Prevention 3
ISP Provision of Anti-Virus/Security Software:
ISPs should make available anti-virus/security software and/or services for its end-users.
67
If the ISP does not provide the software/service directly, it should provide links to other software/services through its safe computing educational resources.
A.4 BP Number: Prevention 4
–
–
–
Protect DNS Servers:
–
–
ISPs should protect their DNS servers from DNS spoofing attacks and take steps to ensure that compromised customer systems cannot emit spoofed traffic (and thereby participate in DNS amplification attacks).
68
Defensive measures include: managing DNS traffic consistent with industry accepted procedures; where feasible, limiting access to recursive DNS resolvers to authorized users; blocking spoofed DNS query traffic at the border of their networks, and routinely validating the technical configuration of DNS servers by, for example, utilizing available testing tools that verify proper DNS server technical configuration.
A.5 BP Number: Prevention 5
Utilize DNSSEC
ISPs should use Domain Name System (DNS) Security Extensions (DNSSEC) to protect the DNS.
69
ISPs should consider, at a minimum, the following: sign and regularly test the validity of their own DNS zones, routinely validate the DNSSEC signatures of other zones;
67
BP Prevention 3: References/Comments: None
68
BP Prevention 4: References/Comments:
Widely accepted DNS traffic management procedures are discussed in the following document: www.maawg.org/sites/maawg/files/news/MAAWG_DNS%20Port%2053V1.0_201006.pdf
Security issues on recursive resolvers are discussed in IETF BCP 140/ RFC 5358. Responses to spoofed traffic, including spoofed DNS traffic, are discussed in IETF BCP 38/RFC 2827.
Some tools examining different aspects of DNS server security include: dnscheck.iis.se/ recursive.iana.org/ www.dnsoarc.net/oarc/services/dnsentropy www.iana.org/reports/2008/cross-pollination-faq.html
69
BP Prevention 5: References/Comments: More information can be found at: www.dnssec.net
www.dnssec-deployment.org
202
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности employ automated methods to routinely test DNSSEC-signed zones for DNSSEC signature validity.
A.6 BP Number: Prevention 6
Encourage Use of Authenticated SMTP/Restrict Outbound Connections to Port 25
ISPs should encourage users to submit email via authenticated SMTP on port 587, requiring Transport
Layer Security (TLS) or other appropriate methods to protect the username and password.
70
In addition,
ISPs should restrict or otherwise control inbound and outbound connections from the network to port 25
(SMTP) of any other network, either uniformly or on a case by case basis, e.g., to authorized email servers.
A.7 BP Number: Prevention 7
Authentication of Email:
ISPs should authenticate all outbound email using DomainKeys Identified Mail (DKIM) and Sender Policy
Framework (SPF).
71
Authentication should be checked on inbound emails; DKIM signatures should be validated and SPF policies verified.
A.8 BP Number: Prevention 8
Immediately Reject Undeliverable Email:
ISPs should configure their gateway mail servers to immediately reject undeliverable email, rather than accepting it and generating non-delivery notices (NDNs) later, in order to avoid sending NDNs to forged addresses.
72
A.9 BP Number: Prevention 9
Blocking e-mail from Dynamic Space:
ISPs should not accept e-mail that originates from mail servers in dynamically-assigned IP address blocks, and should consider using one of the available services that identify such blocks.
73
A.10 BP Number: Prevention 10
Share Dynamic Address Space Information:
70
BP Prevention 6: References/Comments: See the following document for more information: www.maawg.org/sites/ maawg/files/news/MAAWG_Port25rec0511.pdf
71
BP Prevention 7: References/Comments: See the following document for more information: www.maawg.org/sites/maawg/files/news/MAAWG_Email_Authentication_Paper_200807.pdf
More information can be found at: www.dkim.org/ www.openspf.org
72
BP Prevention 8: References/Comments: By rejecting undeliverable email, the gateway mail will inform the sending mail server, which can apply local policy regarding whether or not to notify the message sender of the non-delivery of the original message. See the following document for more information: www.maawg.org/sites/maawg/files/news/MAAWG-BIAC_Expansion0707.pdf
73
BP Prevention 9: References/Comments: None
203
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
ISPs should share lists of their dynamic IP addresses with operators of DNS Block Lists (DNSBLs) and other similar tools. Further, such lists should be made generally available, such as via a public website.
74
A.11 BP Number: Prevention 11
Make Dynamic IPv4 Space Easily Identifiable by Reverse DNS Pattern:
ISPs should make IPv4 dynamic address space under their control easily identifiable by reverse DNS pattern, preferably by a right-anchor string with a suffix pattern chosen so that one may say that all reverse DNS records ending in <*.some.text.example.com> are those that identify dynamic space.
75
A.12 BP Number: Prevention 12
Make Dynamic Address Space Easily Identifiable by WHOIS:
ISPs should make all dynamic address space under their control easily identifiable by WHOIS or RWHOIS lookup.
76
Detection Best Practices
Note that the Best Practices in this grouping are primarily aimed at ISPs that provide service to consumer end-users on residential broadband networks, but may be applicable to other users and networks as well.
74
BP Prevention 10: References/Comments: More information can be found at: www.maawg.org/sites/maawg/files/news/MAAWG_Dynamic_Space_2008-06.pdf
www.spamhaus.org/pbl/ www.mail-abuse.com/nominats_dul.html
75
BP Prevention 11: References/Comments: Refer to related Best Practice Prevention 5.
76
BP Prevention 12: Reference/Comments: See the following document for more information: www.maawg.org/sites/maawg/files/news/MAAWG_Dynamic_Space_2008-06.pdf
Refer to related Best Practice Prevention 4.
204
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.13 BP Number: Detection 1
Communicate Implementation of Situational Awareness and Protective Measures with other ISPs:
ISPs should make reasonable efforts to communicate with other operators and security software providers, by sending and/or receiving abuse reports via manual or automated methods.
77
These efforts could include information such as implementation of "protective measures" such as reporting abuse (e.g., spam) via feedback loops (FBLs) using standard message formats such as Abuse Reporting Format (ARF).
Where feasible, ISPs should engage in efforts with other industry participants and other members of the internet ecosystem toward the goal of implementing more robust, standardized information sharing in the area of botnet detection between private sector providers.
A.14 BP Number: Detection 2
Maintain Methods to Detect Bot/Malware Infection:
ISPs should maintain methods to detect likely malware infection of customer equipment. Detection methods will vary widely due to a range of factors.
78
Detection methods, tools, and processes may include but are not limited to: external feedback, observation of network conditions and traffic such as bandwidth and/or traffic pattern analysis, signatures, behavior techniques, and forensic monitoring of customers on a more detailed level.
A.15 BP Number: Detection 3
Use Tiered Bot Detection Approach:
ISPs should use a tiered approach to botnet detection that first applies behavioral characteristics of user traffic (cast a wide net), and then applies more granular techniques (e.g., signature detection) to traffic flagged as a potential problem.
79
77
BP Detection 1: References/Comments: See the following document for more information: www.maawg.org/sites/maawg/files/news/CodeofConduct.pdf
. Vulnerabilities can be reported in a standardized fashion using information provided at nvd.nist.gov/
Also see puck.nether.net/mailman/listinfo/nsp-security ops-trust.net/ www2.icsalabs.com/veris/
78
BP Detection 2: References/Comments: See www.team-cymru.org
www.shadowserver.org
www.abuse.ch
www.cbl.abuseat.org
79
BP Detection 3: References/Comments: This technique should help minimize the exposure of customer information in detecting bots by not collecting detailed information until it is reasonable to believe the customer is infected. Looking at user traffic using a “wide net” approach can include external feedback as well as other internal approaches.
205
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.16 BP Number: Detection 4
Do Not Block Legitimate Traffic:
ISPs should ensure that detection methods do not block legitimate traffic in the course of conducting botnet detection, and should instead employ detection methods which seek to be non-disruptive and transparent to their customers and their customers’ applications.
80
A.17 BP Number: Detection 5
Bot Detection and the Corresponding Notification Should Be Timely:
ISPs should ensure that bot detection and the corresponding notification to end users be timely, since such security problems are time-sensitive.
81
If complex analysis is required and multiple confirmations are needed to confirm a bot is indeed present, then it is possible that the malware may cause some damage, to either the infected host or remotely targeted system (beyond the damage of the initial infection) before it can be stopped. Thus, an ISP must balance a desire to definitively confirm a malware infection, which may take an extended period of time, with the ability to predict the strong likelihood of a malware infection in a very short period of time. This “definitive-vs.-likely” challenge is difficult and, when in doubt,
ISPs should err on the side of caution by communicating a likely malware infection while taking reasonable steps to avoid false notifications.
Notification Best Practices
Note that the Best Practices in this grouping are primarily aimed at ISPs that provide service to consumer end-users on residential broadband networks, but may be applicable to other users and networks as well.
A.18 BP Number: Notification 1
Notification to End Users:
ISPs should develop and maintain critical notification methods to communicate with their customers that their computer and/or network has likely been infected with malware.
82
This should include a range of options in order to accommodate a diverse group of customers and network technologies. Once an ISP has detected a likely end user security problem, steps should be undertaken to inform the Internet user that they may have a security problem. An ISP should decide the most appropriate method or methods for providing notification to their customers or internet users, and should use additional methods if the chosen method is not effective. The range of notification options may vary by the severity and/or criticality of the problem. Examples of different notification methods may include but are not limited to:
80
BP Detection 4: References/Comments: None
81
BP Detection 5: References/Comments: None
82
BP Notification 1: References/Comments:
An ISP decision on the most appropriate method or methods for providing notification to one or more of their customers or
Internet users depends upon a range of factors, from the technical capabilities of the ISP, to the technical attributes of the
ISP's network, cost considerations, available server resources, available organizational resources, the number of likely infected hosts detected at any given time, and the severity of any possible threats, among many other factors. The use of multiple simultaneous notification methods is reasonable for an ISP but may be difficult for a fake anti-virus purveyor.
Mitigation BP 3 provides information on how to address the malware infection.
206
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности email, telephone call, postal mail, instant messaging (IM), short messaging service (SMS), and web browser notification.
A.19 BP Number: Notification 2
Notification Information to End Users:
ISPs should ensure that botnet notifications to subscribers convey critical service information rather than convey advertising of new services or other offers.
83
Mitigation Best Practices
Note that the Best Practices in this grouping are primarily aimed at ISPs that provide service to consumer end-users on residential broadband networks, but may be applicable to other users and networks as well.
BP Number: Mitigation 1
Industry Cooperation During Significant Cyber Incidents:
ISPs should maintain an awareness of cybersecurity threat levels and, when feasible, cooperate with other organizations during significant cyber incidents, helping to gather and analyze information to characterize the attack, offer mitigation techniques, and take action to deter or defend against cyber attacks as authorized by applicable law and policy.
84
A.21 BP Number: Mitigation 2
Temporarily Quarantine Bot Infected Devices:
ISPs may temporarily quarantine a subscriber account or device if a compromised device is detected on the subscribers’ network and the network device is actively transmitting malicious traffic.
85
Such quarantining should normally occur only after multiple attempts to notify the customer of the problem
(using varied methods) have not yielded resolution. In the event of a severe attack or where an infected host poses a significant present danger to the healthy operation of the network, then immediate quarantine may be appropriate. In any quarantine situation and depending on the severity of the attack or danger, the ISP should seek to be responsive to the needs of the customer to regain access to the network. Where feasible, the ISP may quarantine the attack or malicious traffic and leave the rest unaffected.
83
BP Notification 2: References/Comments: This best practice is to help ensure that the notification message is not confused with other communications the customer may receive from the provider and help underscore the seriousness of the situation.
84
BP Mitigation 1: References/Comments: In the United States, for example, the National Cyber Incident Response Plan -
The National Cyber Risk AlertLevel (NCRAL) is currently envisioned as a 4-level system in order to facilitate synchronization with several other alert level systems, such as the IT-ISAC, SANS and those from security vendors. Significant Cyber
Incidents are generally labeled as Severe (level 1) and Substantial (level 2).
85
BP Mitigation 2: References/Comments:
The temporary delay of web pages for the purpose of providing web browser notification, as suggested above in the
Notification Best Practices (see section 6.1.18), does not constitute a “quarantine” as used in this Best Practice.
Some information regarding quarantine technology can be found at: www.trustedcomputinggroup.org/developers/trusted_network_connect
207
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A.22 BP Number: Mitigation 3
Provide a Web Site to Assist with Malware Remediation:
ISPs should, either directly or indirectly, provide a web site to assist customers with malware remediation.
86
Remediation of malware on a host means to remove, disable, or otherwise render a malicious bot harmless. For example, this may include but is not limited to providing a special web site with securityoriented content that is dedicated for this purpose, or suggesting a relevant and trusted third-party web site. This should be a security-oriented web site to which a user with a bot infection can be directed to for remediation. This security web site should clearly explain what malware is and the threats that it may pose. Where feasible, there should be a clear explanation of the steps that the user should take in order to attempt to clean their host, and there should be information on how users can strive to keep the host free of future infections. The security web site may also have a guided process that takes non technical users through the remediation process, on an easily understood, step-by-step basis. The site may also provide recommendations concerning free as well as for-fee remediation services so that the user understands that they have a range of options, some of which can be followed at no cost.
Privacy Best Practices
Note that the Best Practices in this grouping are primarily aimed at ISPs that provide service to consumer end-users on residential broadband networks, but may be applicable to other users and networks as well.
A.23 BP Number: Privacy Considerations 1
Privacy Considerations in Botnet Detection, Notification, and Remediation:
Because technical measures to (a) detect compromised end-user devices, (b) notify end-users of the security issue, and (c) assist in addressing the security issue, may result in the collection of customer information (including possibly “personally identifiable information” and other sensitive information, as well as the content of customer communications), ISPs should ensure that all such technical measures address customers’ privacy, and comply and be consistent with all applicable laws and corporate privacy policies.
87
A.24 BP Number: Privacy Considerations 2
Measures to Protect Privacy in Botnet Response:
In designing technical measures for identification, notification, or other response to compromised enduser devices (“technical measures”), ISPs should pursue a multi-prong strategy to protect the privacy of customers’ information, including but not limited to the following:
88
–
–
ISPs should design technical measures to minimize the collection of customer information;
In the event that customer information is determined to not be needed for the purpose of responding to security issues, the information should promptly be discarded;
86
BP Mitigation 3: References/Comments: None
87
BP Privacy Considerations 1: References/Comments: None
88
BP Privacy Considerations 2: References/Comments: None
208
–
–
–
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Any access to customer information collected as a result of technical measures should at all times be limited to those persons reasonably necessary to implement the botnet-response security program of the ISP, and such individuals’ access should only be permitted as needed to implement the security program;
In the event that temporary retention of customer information is necessary to identify the source of a malware infection, to demonstrate to the user that malicious packets are originating from their broadband connection, or for other purposes directly related to the botnet-response security program, such information should not be retained longer than reasonably necessary to implement the security program (except to the extent that law enforcement investigating or prosecuting a security situation, using appropriate procedures, has requested that the information be retained); and
The ISP’s privacy compliance officer, or another person not involved in the execution of the security program, should verify compliance by the security program with appropriate privacy practices.
209
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
References
Alliance for Telecommunications Industry Solutions (ATIS) - http://www.atis.org/
Anti-Botnet - http://botfrei.de
Comcast.net Security - http://security.comcast.net/
Composite Blocking List - http://cbl.abuseat.org
Cyber Clean Center - https://www.ccc.go.jp/en_ccc/
Department of Homeland Security – http://www.dhs.gov/files/programs/gc_1158611596104.shtm
Department of Homeland Security – United States Computer Emergency Readiness Team (US-CERT) http://www.us-cert.gov/
DNS Check – http://dnscheck.iis.se/
DNS Security Extensions Securing the Domain Name System (DNSSEC) http://dnssec.net
DNSSEC https://www.dnssec-deployment.org
Domain Name System Operations Analysis and Research Center (DNS-OARC) – https://www.dnsoarc.net/oarc/services/dnsentropy
DomainKeys Identified Mail (DKIM) http://www.dkim.org/
International Telecommunication Union Botnet Mitigation Toolkit – http://www.itu.int/ITU-
D/cyb/cybersecurity/projects/botnet.html
Internet Assigned Numbers Authority Cross Pollination Check - http://recursive.iana.org/
Internet Assigned Numbers Authority FAQs on Cache Poisoning and Cross Pollination – http://www.iana.org/reports/2008/cross-pollination-faq.html
Internet Storm Center http://isc.sans.edu/index.html
Messaging Anti-Abuse Working Group (MAAWG.org) – Code of Conduct – http://www.maawg.org/sites/maawg/files/news/CodeofConduct.pdf
Messaging Anti-Abuse Working Group (MAAWG.org) – Common Best Practices – http://www.maawg.org/sites/maawg/files/news/MAAWG_Bot_Mitigation_BP_200907.pdf
Messaging Anti-Abuse Working Group (MAAWG.org) – Email Authentication – http://www.maawg.org/sites/maawg/files/news/MAAWG_Email_Authentication_Paper_2008-07.pdf
Messaging Anti-Abuse Working Group (MAAWG.org) – Expansion and Clarification of the BIAC & MAAWG
Best Practices for Internet Service Providers and Network Operators – http://www.maawg.org/sites/maawg/files/news/MAAWGBIAC_Expansion0707.pdf
Messaging Anti-Abuse Working Group (MAAWG.org) – Managing Port 25 – http://www.maawg.org/sites/maawg/files/news/MAAWG_Port25rec0511.pdf
Messaging Anti-Abuse Working Group (MAAWG.org) – Methods for Sharing Dynamic Address Space – http://www.maawg.org/sites/maawg/files/news/MAAWG_Dynamic_Space_2008-06.pdf
Messaging Anti-Abuse Working Group (MAAWG.org) – Overview of DNS Security – www.maawg.org/sites/maawg/files/news/MAAWG_DNS%20Port%2053V1.0_2010-06.pdf
Microsoft – http://www.microsoft.com/security/pypc.aspx
National Cybersecurity Alliance – http://www.staysafeonline.org/
National Vulnerability Database – National Institute of Standards and Technology – http://nvd.nist.gov/
NSP Security Forum (NSP-SEC) – http://puck.nether.net/mailman/listinfo/nsp-security
210
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
OnGuard Online – http://www.onguardonline.gov/default.aspx
OPSEC-Trust – https://www.ops-trust.net/
Qwest Incredible Internet Security Site – http://www.incredibleinternet.com/
Shadowserver Foundation – http://www.shadowserver.org
Spamhaus Policy Block List - http://www.spamhaus.org/pbl/
SPF Project – http://openspf.org
StopBadware – http://www.stopbadware.org/home/badware_prevent
Swiss Security Blog – http://abuse.ch
Team Cymru Research NFP – http://www.team-cymru.org
Trend Micro Maps – http://www.mail-abuse.com/nominats_dul.html
Trusted Computing Group – http://www.trustedcomputinggroup.org/developers/trusted_network_connect
U.S. Commerce Department’s National Institute of Standards and Technology (NIST) – http://www.nist.gov/index.html
Verizon Enterprise Risk and Incident Sharing (VERIS) – https://www2.icsalabs.com/veris/
Verizon Safety & Security – http://www.verizon.net/central/vzc.portal?_nfpb=true&_pageLabel=vzc_help_safety
211
212
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex E: Best practices for Cybersecurity – Training Course on Building and
Managing National Computer Incident Response Teams (CIRTs)
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
213
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
National CIRTs are concerned with supporting the cyber resilience of their country or economy.
National incident management organizations frequently go by different names. In these materials,
“National CIRT” is used because it is in common use. While the specific names of cyber incident management organizations vary, the choice of name may be relevant to the organization’s relationship with members of the response community. It is also not unusual for nations to have more than one
National CIRT. Depending on the country’s government and other structural factors, there may be a natural preference for certain constituencies to be served by different organizations. The most obvious example is where a government operates a CIRT under the military or defense establishment and a separate organization to serve the public or the private owners of critical infrastructure*.
*
Note : Organizations and countries around the world have defined Critical Infrastructure (CI) differently in but all reflect CI’s importance to the society. For example:
Germany: Critical infrastructures (CI) are organizational and physical structures and facilities of such vital importance to a nation's society and economy that their failure or degradation would result in sustained supply shortages, significant disruption of public safety and security, or other dramatic consequences.”
Japan: “Critical infrastructure which offers the highly irreplaceable service in a commercial way is necessary for people's normal lives and economic activities, and if the service is discontinued or the supply is deficient or not available, it will seriously influence people's lives and economic activities.”
This course is not intended as a review or discussion of national cybersecurity strategy. However, National
CIRTs should ideally reflect and support their country’s security strategy.
Creating a national strategy for cybersecurity is the first step in establishing a national program. The goals that a nation identifies and promotes through its strategy give the program a consistent vision and establish a clear direction. The national strategy should stress the benefits of a culture of cybersecurity, integrate security fundamentals, such as raising awareness, and emphasize cooperative relationships
214
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности among national stakeholders. The national strategy may also serve as a backdrop for the creation of laws that relate to cybersecurity; for instance in the areas of computer crime, the protection of intellectual property, and privacy. Finally the national strategy should reconcile the need for security with the need to honor citizens’ rights and the nation’s cultural values and norms.
A frequently asked question is, must a nation have a complete, cogent cybersecurity strategy before instantiating a National CIRT? Generally the answer is no, and it has often been the case that the National
CIRT has helped the national government develop and refine their strategy after operating for some years.
A National CIRT capability may also fall under a different government strategy.
The three documents pictured are:
1. U.S.’ National Strategy to Secure Cyberspace www.us-cert.gov/reading_room/ cyberspace_strategy.pdf
2. U.K.’s Cybersecurity Strategy of the United Kingdom www.cabinetoffice.gov.uk/media/216620/ css0906.pdf
3. Norwegian’s (Norsk) Nasjonal strategi for cybersikkerhet https://www.nsm.stat.no/Documents/ andre_dokumenter/Nasjonal%20strategi%20for%20cybersikkerhet.pdf
A variety of organizations have CIRTs. Here are the national-level roles that a National CIRT provides to the government and to the nation that organizational CIRTs typically do not. This slide is not meant to imply that all National CIRTs must provide all of these services. These are simply the kinds of services that a National CIRT would provide.
Analyze computer security incident information ... Examples include correlations and analysis based on malware type and behavior, social engineering methods and signatures, IP addresses used – and many others.
215
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Be a technical resource ... The National CIRT acts as the government’s “go-to” organization on questions of cyber-security.
Help to assess ... the National CIRT can help to assess national readiness. It does so by integrating risk information from major stakeholders and constituents, and play a key role in development and execution of exercises.
Alerts and Warning ... One of the key roles, the National CIRT establishes warning channels. It builds relationships with key stakeholder organizations to relay alerts and warnings about security vulnerabilities and threats. The National CIRT also alerts and warns the general public about computer security problems.
Build cybersecurity capacity ... Externally, the National CIRT builds capacity by engaging with other
National CIRTs to build their capabilities through the sharing of best practices, training, etc. Internally, the
National CIRTs can help organizational CIRTs in the nation in a variety of ways including advice, training, best practices, or in some cases staffing.
Be a trusted national point of contact ... The National CIRTs acts as the nation’s representative in the international computer security response community.
Encourage a cybersecurity culture ... The National CIRT has a role to play in fostering a cybersecurity culture, in reinforcing the role everyone plays in cybersecurity.
216
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A Mission Statement is the purpose of an organization. It defines the organizations reason for existence. It generally includes three key pieces of information:
1) identity of stakeholders, constituents, or customers
2)
3) the purpose of an organization
the value/advantage/service provided.
For National CIRTs this would include:
1) Constituents of the CIRT
2) Contribution made to the Constituents
3) Distinction of the CIRT from other providers of similar services
As an example, Japan Computer Emergency Response Team Coordination Center http://www.jpcert.or.jp/english/about.html
“ JPCERT/CC is a first CIRT (Computer Security Incident Response Team) established in Japan. The organization coordinates with network service providers, security vendors, government agencies, as well as the industry associations . As such, it acts as a "CIRT of the CIRTs" in the Japanese community . In Asia
Pacific region , JPCERT/CC helped form APCERT (Asia Pacific Computer Emergency Response Team) and provides a secretariat function for APCERT . Globally, as a member of Forum of Incident Response and
Security Teams (FIRST) , JPCERT/CC coordinates its activities with the trusted CIRTs worldwide .”
217
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The follow examples are from rfc 2350 section 3 “Information, Policies and Procedures” from: CERT.at, SI-
CERT, CZ.NIC-CIRT, KIT-CERT, Team Cymru, ID-SIRTII, IRISS-CERT, HANCERT, CERT-RU, CIRCL
Commonly Used Terms for Constituents:
– “national level in Austria”
– “systems and networks located in Slovenia”
–
–
“Karlsruhe Institute of Technology community”
–
–
– “organizations”
– “national level in Indonesia”
“Irish based organisations and citizens”
“information processing facilities”
“Radboud University of Nijmegen”.
218
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
–
–
The follow examples are from rfc 2350 section 3 “Information, Policies and Procedures” from: CERT.at, SI-
CERT, CZ.NIC-CIRT, KIT-CERT, Team Cymru, ID-SIRTII, IRISS-CERT, HANCERT, CERT-RU, CIRCL
Commonly use terms for Contribution:
– “coordinate security efforts and incident response”
–
–
“assistance in computer and network security incident handling and provides incident coordination functions for all incidents involving systems and networks”
“raising awareness on issues of network and information security and provides advisories and alerts to the general public”
–
–
“implementing proactive measures to reduce the risk of such incidents to occur.”
“coordinate security efforts and incident response for critical infrastructure and IT-security problems on a national level”
–
“provide a range of high quality information security based services”
“provide information security prevention, response and mitigation strategies”
“coordinate the prevention and resolution of security incidents”
“coordinate the resolution of IT security incidents”
“help prevent such incidents from occurring”
“coordinate communication among national and international incident response teams during security emergencies…”
“provide a security related alert and warning system for national ICT users”.
219
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
The follow examples are from rfc 2350 section 3 “Information, Policies and Procedures” from: CERT.at, SI-
CERT, CZ.NIC-CIRT, KIT-CERT, Team Cymru, ID-SIRTII, IRISS-CERT, HANCERT, CERT-RU, CIRCL
–
–
Commonly used terms for Distinction:
– “offers assistance … in Slovenia”
–
“solve incidents within .CZ DNS”
“members of the KIT community”
“researching the ‘who’ and ‘why’ of malicious Internet activity worldwide”
“helps organizations identify and eradicate problems in their networks”
“in accordance with industry recognised standards and compliance requirements”
“become a recognised centre of information security excellence for national and international organisations to refer to”.
220
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Before the first cybersecurity incident can be managed, the capability must itself be established in an organizational form such as a National CIRT. Having a sole source or point of contact for computer security incidents and cybersecurity issues provides a number of benefits. A single organization provides stakeholders with a known source of information. A National CIRT can also provide the government with a conduit for coherent, consistent messaging on cybersecurity issues. With a single National CIRT, government departments have a source for technical information to support their individual functional areas. Finally, the National CIRT can encourage the discussion about cybersecurity and facilitate international cooperation on this issue. In some nations, unique considerations may dictate that there are multiple National CIRTs, or even an incident management capability that is spread across several organizations.
221
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Identify Sponsors
In order to succeed, a National CIRT must have adequate sponsorship and commitment to resourcing.
– Executive sponsorship is critically important to the success of the National CIRT.
– Organizational alignment is very important between the government sponsor and the National
CIRT to avoid potential pitfalls. For instance, what if a regulatory agency wants to be the host?
Will the constituency be willing to share information with their regulator? In some countries the answer may be “certainly”, in others perhaps not. In some situations there may be considerations involving human resources that dictate a certain agency taking the lead, for instance if one agency has the authority to pay the salary needed to attract the right talent to the organization.
Determine constraints
The sponsor of a National CIRT must have a clear understanding of what the staffing, technical, budget, and other constraints are. CIRTs in many organizations are often faced with budget shortfalls. A guiding principle is for the organization to perform a few core services well, rather than attempting to provide a broad array of services.
Determine the National CIRT structure
A National CIRT can be structured in a number of different ways, such as: an independent agency with limited operating partnerships, a joint operation with national telecommunications providers, or an integral part of the national military defense establishment. Some National CIRTs have also been started by universities.
222
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
For new organizations, the following list of structural considerations is meant as guidance:
– What level of government directs the National CIRT?
Who funds the National CIRT and who approves the budget?
What structure would best allow the National CIRT to alleviate potential stakeholder concerns with regard to sharing information? Do the nation’s privacy laws have any implications?
If multiple National CIRTs are instituted, how should they share information?
Budgeting is an allocation of funds to activities in order to achieve a business objective or goal. Through the process of budgeting for a CIRT, funds will be allocated to specific activities, gaps will be identified, and hopefully, actual costs are tracked for future planning.
The majority of services offered by a CIRT are staff intensive, thus the largest percentage of budget would be allocated to them. An exception would be monitoring. At the national level, network monitoring would have a high cost on equipment.
223
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
–
–
“If you want to build a computer security incident response team (CIRT) with capable incident handlers, you need people with a certain set of skills and technical expertise, with abilities that enable them to respond to incidents, perform analysis tasks, and communicate effectively with your constituency and other external contacts. They must also be competent problem solvers, must easily adapt to change, and must be effective in their daily activities. It is not often easy to find such qualified staff, so sometimes
CIRTs nurture and train internal staff members to advance into these incident handling roles. “
“The composition of CIRT staff varies from team to team and depends on a number of factors, such as mission and goals of the CIRT nature and range of services offered available staff expertise constituency size and technology base anticipated incident load severity or complexity of incident reports
CERT ®
224
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Determine the Authority of the National CIRT
The National CIRT champion or sponsor should determine if the National CIRT will have the authority to proscribe or mandate certain actions. This authority could involve mandating the reporting of security incidents, or the adoption of certain security measures, or both. In addition, the authority of a National
CIRT may differ based on whether it is addressing private citizens and industry, or government departments. It may be appropriate for the National CIRT or the sponsoring organization to maintain authority over various government departments, but to have no authority over private citizens.
These decisions will be made consistently with the nation’s law and culture. However, frequently National
CIRTs are more effective when they act in an advisory role only. Major national stakeholders are often more willing and – depending on the legal environment – more able to fully share information and discuss security vulnerabilities in a collaborative venue where the National CIRT is not a regulatory or proscriptive body.
Identify constituency
A basic consideration for standing up any CIRT organization is deciding upon the constituency. Whom – specifically which organizations and individuals – will the National CIRT serve? For an organization just standing up, the leaders behind the effort should consider how cyber incident management is being done currently. With whom is the constituency communicating now and from whom are they receiving services? Are there any other response organizations that the new National CIRT will need to coordinate with? Does all of the constituency know that the National CIRT will be providing services to them? What do they need?
225
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The National CIRT sponsor organization must determine which of these activities are realistic given the constraints involved. Typically the most significant constraint is human capital (staffing). Since the
National CIRT serves as the national leader in cybersecurity incident management and analysis, the guiding principle for choosing particular services should be the ability to do it well. It may be that the best way for a particular National CIRT to fulfill its role is through close coordination with other National CIRTs that have a greater technical capability or who may already have trusted communication channels.
From https://www.cert.org/CIRTs/services.html
226
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The essential function of a National CIRT is the ability to manage cybersecurity threats and incidents that are of importance to national stakeholders. Excellence in incident management helps the National CIRT to build relationships with stakeholders and achieve other strategic objectives, such as supporting the national cybersecurity strategy. The first step in managing incidents is establishing an understanding or awareness of who the National CIRT’s major constituents are, what types of systems they employ
(Information and Communications Technology), and what types of incidents they are experiencing. This general understanding of the environment is typically referred to as shared situational awareness.
227
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Building and maintaining trust relationships is a very important operational imperative for a National
CIRT. The most basic prerequisite is that the National CIRT must ensure the confidentiality of stakeholder information. A basic best practice to protecting confidential information is to never release information about an incident or event – even if the specific victim or organization information has been anonymized
– without the permission of the victim organization.
–
–
–
–
–
Regardless of the specific security measures and policies, the National CIRT should proactively address stakeholder concerns in this area and be as transparent as possible about the security steps taken.
One of the most important factors in establishing a national capability is to facilitate reliable and effective information sharing. A key role for a National CIRT is to obtain incident information from the community and to disseminate timely and relevant response information back to the community. The information generally includes the following: incoming information about security incidents, collected through a variety of means security bulletins, awareness information on cyber threats and vulnerabilities
– general, specific, and urgent cyber warnings and alerts (technical and non-technical) best practices to prevent cybersecurity problems, events, and incidents general National CIRT information (e.g., organizational chart, sponsorship, services provided by the National CIRT, contact number/email address, etc.) resources and reference materials (e.g., security tools, partner organizations).
228
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
National CIRTs benefit from open, shared information from private industry, academia, and government.
When organizations conduct thorough risk assessments and share the results with the National CIRT, situational awareness increases. Risk information from the community can help the National CIRT understand the effect that security vulnerabilities and system problems might have on important assets and infrastructure, helping the National CIRT to focus and refine its incident management process.
In its operational role of responding to incidents, a National CIRT is a key contributor to situational awareness. By analyzing trends in the incidents being managed, the National CIRT learns about the status of cybersecurity within the community it serves. The National CIRT uses this knowledge and its own perspective on problems to produce a credible, realistic picture of national situational awareness. This helps the National CIRT to identify proactive defense strategies, as well as needed improvements in practices and behaviors within the community.
229
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A National CIRT, acting as a trusted, national cybersecurity focal point, is uniquely situated to manage incidents of national concern. To accomplish this, many National CIRTs establish certain active capabilities, such as incident response and containment, and service reconstitution. It is important to remember that in many cases the National CIRT will not handle all of the incident handling and analysis itself. A National
CIRT may act to facilitate and coordinate analysis and response, either because of limited resources or because knowledge about the specific problem may reside elsewhere, for instance at another National
CIRT or at a technology vendor.
230
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
Determining where the National CIRT should focus its attention is an iterative, evolving process. It is not unusual for a National CIRT to be inundated with requests for assistance shortly after its creation. This places the National CIRT in the position of having to balance the scarcity of time and resources with a desire to serve the constituency. To address this potential problem the National CIRT should decide which events and interests it will focus its attention on, and then communicate these “incident criteria” to its stakeholders and constituents.
A sample list of “incident criteria” could be:
– Information systems and incidents that affect those critical infrastructure sectors identified in the National Cybersecurity Policy, if there is one;
Incidents and threats that may affect systems in one or more sectors of critical infrastructure;
Types of incidents or activity that may be of unique concern to national authorities because they may directly affect national security, result in revealing sensitive information, or even cause embarrassment to the nation;
Incidents that substantially affect a majority of computer users in the general public;
Incidents that are part of greater or evolving threats.
231
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
–
–
–
–
For the National CIRT to efficiently and fairly handle reports, it should establish a clear, consistent workflow. Typical steps are documented here in the expanded incident management lifecycle.
It is common to create and maintain standard operating procedures at each step in the workflow. Typical steps would include:
Collect and document incident evidence
Analyze and triage events
Respond to and recover from incidents
Learn from incidents
232
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
While organizations of all sizes will continue to perform internal cyber incident management, National
CIRTs alone have the primary responsibility of addressing national level concerns. Translating National
CIRT experiences in a way that is useful to policymakers, stakeholders, and the community of security practitioners enhances national cybersecurity. Translating experiences implies considering ways in which the National CIRT’s work and the experiences of the community may have broader implications for national laws and policies. This translation can produce lessons learned, best practices, and improve problem avoidance and risk mitigation nationally, as well as influence national regulations, guidance, initiatives, and directives.
233
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A National CIRT is uniquely situated to serve as a trusted, national focal point. By taking advantage of this position, a National CIRT can coordinate with all owners and operators of Information and
Communication Technologies (ICT)(private and/or public) to gain a uniquely comprehensive perspective of the national cybersecurity landscape. This allows the National CIRT to support the national cybersecurity strategy, manage incidents of national concern, and support government operations most effectively. A National CIRT typically builds national cybersecurity capacity by publishing best practices and providing services, guidance, training, education, and awareness for the building of other organizational CIRTs.
234
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
This exercise involves a basic checklist to track the status of action items to develop a National CIRT.
235
236
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The overarching theme: It is very hard to generalize about National CIRTs. As discussed in the first section of this material, many of the key decisions made to stand up and operate a National CIRT depend on factors that are often unique to each situation.
237
238
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
The use of critical success factors started with the work of John Rockhart of the Massachusetts Institute for Technology (MIT) Sloan School of Management. This work originally involved helping organizations to identify information needs for senior executives.
It has also been applied to the question of helping senior IT managers (CIOs and CISOs, for example) to plan the use of information technology so that it supports business drivers across large organizations.
Rockhart advocated using CSFs as a way for senior executives to better manage information systems.
“Critical success factors (CSFs) define key areas of performance that are essential for the organization to accomplish its mission. Managers implicitly know and consider these key areas when they set goals and as they direct operational activities and tasks that are important to achieving goals. However, when these key areas of performance are made explicit, they provide a common point of reference for the entire organization. Thus, any activity or initiative that the organization undertakes must ensure consistently high performance in these key areas; otherwise, the organization may not be able to achieve its goals and consequently may fail to accomplish its mission.”
–
–
Critical success factors have been defined in different ways in the literature, including:
Key activities in which favorable results are necessary to reach goals
Key areas where things must go right for the business to flourish
–
–
“factors” that are “critical” to the “success” of the organization
A relatively small number of truly important areas.
These definitions share similarities. CFSs are the things that an organization must do or attributes the organization must have to achieve its mission. They have been described as things that “must be achieved in addition to the organization’s goals and objectives.
239
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Indeed, CSFs can be attributes or conditions such as “be a trusted partner”, “passion”, “shared ownership”, or “clear authority and responsibility”. In this sense, CSFs are not simply deconstructed or more granular versions of strategic goals.
It is important to understand the relationship and differences between CSFs and strategic goals, as they might initially seem to be interchangeable. Strategic goals are the higher level objectives that describe what the National CIRT must do to accomplish its mission (for example, “Protect the availability and confidentiality of information in government networks.”) These are typically fairly general statements that further describe and explain the mission of the organization. They provide little guidance to National CIRT managers about how to accomplish the strategic goal in the context of their unique operating environment. CSFs, on the other hand, help the manager or executive identify and understand the several important things that must be accomplished to meet the strategic goals and mission. These can then be operationalized into actionable activities. CSFs can, in turn, be used to generate performance goals that help the manager understand how well the organization is meeting its requirements.
240
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
These notes highlight a few of the items here.
Reducing ambiguity CSFs can help managers build agreement across their staff on the organization’s purpose and activities. The process of identifying and implementing CSFs can help to foster
241
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности communication throughout teams by involving them in the discussion, helping the National CIRT have more confidence in the decisions made by management.
Identifying Candidates for Measurement and Goal Setting As stated above, a key aspect of managing any organization is measuring performance. However, measuring organizational performance involves costs and complicated questions. Gathering and analyzing information data can consume staff hours and require technology investment. What is to be measured? How often? Many organizations find measuring the right things difficult – or they measure only those activities that are simple to measure. Sometimes this uncertainty results in no or sub-optimal measurement of the organization’s activity. Evaluating CSFs can provide clarity and direction on this question, ensuring that measurement and metrics help to produce optimal results.
Identifying Information Requirements Closely aligned with goal setting, CSFs can help managers identify what types of information they really need in order to understand the operations and health of their
National CIRTs. Sometimes an objective, thorough evaluation of CSFs can identify information requirements that are not obvious. For example, the success of a National CIRT often hinges on how willing major constituents are to communicate incident and other information to the organization. An objective, formal examination of CSFs may indicate that whether the National CIRT is perceived as trustworthy or a technology leader in its community. Examining CSFs can lead the National CIRT manager to watch indicators and information that he or she may not have considered.
Identifying Risk Management Concerns CSFs can help identify the vital assets and services that support the organizational mission. This function can help a National CIRT identify which systems and assets should be subject to a risk management processes. This is common use of CSFs in many industries.
242
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
243
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Detailed materials are available about the process of identifying and refining CSFs. This section serves as a primer on this topic, describing a process for identifying CSFs in the context of National CIRTs. The intent is to give National CIRT managers an understanding of the formal process that drives development of
CSFs.
Deriving CSFs is accomplished through activities that take the form of workshops and working sessions.
The personnel that facilitate this work are selected by management based on various traits, such as their ability to think objectively about the organization, their leadership ability, their understanding of the organization, and their communication ability, among others. There are four phases to the identification and refinement of CSFs for National CIRTs. These are
244
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Defining Scope
Defining scope ordinarily involves an analysis of whether the task of collecting CSFs is focused on enterprise priorities for the organization or on operational activities.
Enterprise CSFs focus on long-term, major decisions such as priorities for staffing, which services to offer, which technology to invest in, or whether or not to move into a new facility. By contrast, operational CSFs involve the daily operations of organizations. For a National CIRT, operational CSFs may involve the speed of incident handling or the priority for handing different types of incidents.
Many organizations, especially large firms with many subsidiary divisions and departments, start their CSF process at the enterprise level, for the sake of simplicity.
However, for smaller organizations or organizations with a flat organizational structure – where there are few organizational layers between managers and workers – collecting both enterprise and operational
CSFs at the same time can be effective. Many of the small teams that comprise National CIRTs share these characteristics and can feasibly derive CSFs in one exercise, with no distinction between enterprise and operational CSFs.
245
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Defining scope usually involves deciding whether the task of collecting CSFs focuses on enterprise priorities for the organization or on operational activities.
Enterprise CSFs focus on long-term, major decisions, such as priorities for staffing, which services to offer, which technology to invest in, or whether or not to move into a new facility.
By contrast, operational CSFs involve the daily operations of organizations. Operational CSFs may involve the speed of incident handling or in what priority different types of incidents should be handled.
246
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Collecting data to develop CSFs is done in two primary ways, document collection and interviews of key personnel.
247
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Document collection normally involves gathering important documents that provide information about the essential factors that affect the National CIRT’s mission. These types of documents are typical.
Of the two collection methods, interviewing is typically the more productive method. Interviewing managers, employees, constituents, and other stakeholders provides the opportunity to reach agreement and understand what is truly important for the operation of the organization. Also the interactive process of an interview allows for participants to guide the process and expose areas of concern and other nuances in a way that reviewing documents usually does not.
248
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
For CSF interviews to be productive, the right people must participate in the event, and forethought should be put into the interview questions. For instance, while simply asking a constituent “What are your
Critical Success Factors?” might yield useful information, probing or open-ended questions can be more beneficial.
249
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
250
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
After data is collected, it must be analyzed . During the analysis phase, documents and interview responses are examined to identify similar themes. Themes are ideas or activities that seem to recur throughout the documents or responses.
251
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Deriving themes involves grouping similar statements from documents and interview responses into like categories.
Deriving CSFs involves taking the themes identified during analysis and further refining them to develop concise, unique CSFs that describe the critical areas where the National CIRT must perform in order to
252
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности satisfy its mission. Refinement of the themes involves grouping them together by their similar characteristics and expressing what the theme means to the organization as concisely as possible. This process is repeated to eliminate candidate CSFs that are unclear or duplicative.
Once CSFs are identified, they must be implemented to be useful. The following section gives two examples of how CSFs can be used to support National CIRT management.
253
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
National CIRTs can use CSFs in ways similar to many IT-centric organizations. For instance, CSFs can be used to help manage security and resilience by helping managers understand what services and assets are truly important and need to be secured. They can also help managers determine the relative priority of securing various assets. Closely related to this question, CSFs can be used to help determine the scope for risk assessments. Risk assessment can be a labor- and time-intensive process. Consequently, having a formal process to identify important services, and their related assets, is essential for making risk assessment fruitful. Finally, CSFs can be used to help managers identify the resilience requirements
(confidentiality, integrity, and availability) that support information assets.
Affinity analysis is usually performed by constructing a comparison matrix that allows CSFs to be compared and correlated with various criteria. In the example on this slide, it is Candidate Services.
The purpose of constructing a comparison matrix is to identify the relationship between some criteria and the CSFs. For instance, in this simple example, CSFs are compared to Candidate Services in a hypothetical
National CIRT to determine which Candidate Services support which critical success factors.
254
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
As is often the case with an analysis using CSFs, the formal process does not yield results that are entirely unexpected. For example, based on historic and anecdotal information, it is often the case that acting as a trusted coordinator is a basic service that broadly supports a variety of functions. However, a formal analytical process helps to foster agreement among managers, stakeholders, and major constituents.
255
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Another area in which CSFs can be helpful is identifying measurement priorities for National CIRT managers. Executives in any organization are often faced with a broad variety of information in the form of reports about activity in their organizations. However, in many cases this information is either irrelevant or not helpful to managers trying to determine the health of their organization and whether or not it is accomplishing its mission.
Reports may often be primarily intended for other parts of the organization or to facilitate general business functions. In a for-profit business, these may take the form of accounts receivable reports or sales reports about a particular item. In some organizations, there is little effort aimed at providing leadership with timely, tailored information about the health of the organization. Sometimes it is assumed the operational and working environment changes so rapidly that formalized reporting about the organization’s health is not practical, or that it’s preferable for managers to determine the state of their organization simply by talking to their staff and customers.
While leaders are usually very interested in knowing the health of their organization, there are costs to measuring intangible aspects of organizational performance. These usually take the form of labor hours and opportunity cost. Therefore, the information requirements for organizational leaders should be identified carefully. CSFs provide a useful way to identify these requirements.
256
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
A .pdf version of http://www.cert.org/CIRTs/services.html
is embedded in this slide.
257
258
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
259
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
260
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex F: Best practices for Cybersecurity – Survey on Measures Taken to
Raise Awareness on Cybersecurity
261
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
262
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
263
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
264
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
265
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
266
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
267
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
268
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
269
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
270
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
271
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
272
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
273
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
274
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex G: Best practices for Cybersecurity – Public-Private Partnerships in
Support of Cybersecurity Goals and Objectives
275
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
276
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
Annex H: Compendium on Cybersecurity Country Case Studies
Abstract
This document presents the updated draft for Question 22-1/1 country case studies compendium, which will assemble, based on the contributions submitted, a volume of cases describing the current status of countries' cybersecurity efforts, and their cybersecurity policies, in accordance with Question 22-1/1
Work Program, 2, “d”.
The contributions are classified according to the subject matter headings set forth in the Question 22-1/1
Final Report (Developing a National Strategy for Cybersecurity; Establishing National Government –
Private Sector Collaboration; Deterring Cybercrime; Creating National Incident Management Capabilities; and Promoting a National Culture of Cybersecurity).
The cases assembled in this proposal reflect the contributions received in the last cycle of the Question
22-1/1 work and the ones received in this cycle (updated until May 13 th
, 2013). This version of the compendium is structured according to the discussion held during the last meeting of Question 22-1/1
Member States are invited to to review and to approve the Compedium, as one of Question 22-1/1 expected outputs.
277
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
COUNTRY CASE STUDIES COMPENDIUM
The country case studies here assembled had their subject matter classified in accordance with the key elements of Question 22/1 Final Report (Developing a National Strategy for Cybersecurity; Establishing
National Government – Private Sector Collaboration; Deterring Cybercrime; Creating National Incident
Management Capabilities; and Promoting a National Culture of Cybersecurity).
278
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
279
280
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
281
282
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
283
284
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
285
286
В 22-1/1: Защищенность сетей информации и связи : передовой опыт по созданию культуры кибербезопасности
СВЯЖИТЕСЬ С НАМИ веб‑сайт: www.itu.int/ITU-D/study_groups
Электронный книжный магазин мсЭ: www.itu.int/pub/D-STG/
Электронная почта : телефон: devsg@itu.int
+41 22 730 5999
Международный союз электросвязи ( МСЭ )
Бюро развития электросвязи ( БРЭ )
Канцелярия Директора
Place des Nations
CH-1211 Geneva 20 - Switzerland
Эл . почта : bdtdirector@itu.int
Te л .: +41 22 730 5035/5435
Факс : +41 22 730 5484
Заместитель Директора и руководитель Департамента администрирования и координации основной деятельности (DDR)
Эл . почта : bdtdeputydir@itu.int
Тел .: +41 22 730 5784
Факс : +41 22 730 5484
Африка
Эфиопия
Региональное отделение МСЭ
P.O. Box 60 005
Gambia Rd., Leghar ETC Bldg 3rd Floor
Addis Ababa – Ethiopia
Эл . почта : itu-addis@itu.int
Тел .: (+251 11) 551 49 77
Тел .: (+251 11) 551 48 55
Тел .: (+251 11) 551 83 28
Факс : (+251 11) 551 72 99
Департамент инфраструктуры , благоприятной среды и электронных приложений (IEE)
Эл . почта : bdtiee@itu.int
Te л .:
Факс :
+41 22 730 5421
+41 22 730 5484
Камерун
Зональное отделение
Immeuble CAMPOST, 3
МСЭ
étage
Boulevard du 20 mai
Boîte postale 11017
Yaoundé – Cameroun
Эл . почта : itu-yaounde@itu.int
Тел
Тел
.:
.:
(+ 237) 22 22 92 92
(+ 237) 22 22 92 91
Факс : (+ 237) 22 22 92 97
Департамент инноваций и партнерских отношений (IP)
Эл . почта : bdtip@itu.int
Тел .: +41 22 730 5900
Факс : +41 22 730 5484
Сенегал
Зональное отделение МСЭ
Immeuble Fayçal, 4 e étage
19, Rue Parchappe x Amadou Assane Ndoye
Boîte postale 50202 Dakar RP
Dakar - Sénégal
Эл . почта : itu-dakar@itu.int
Тел .: (+221) 33 849 77 20
Факс : (+221) 33 822 80 13
Департамент поддержки проектов и управления знаниями (PKM)
Эл . почта : bdtpkm@itu.int
Тел .: +41 22 730 5447
Факс : +41 22 730 5484
Зимбабве
Зональное отделение МСЭ
TelOne Centre for Learning
Corner Samora Machel and Hampton Road
P.O. Box BE 792
Belvédère Hararé - Zimbabwe
Эл . почта : itu-harare@itu.int
Тел .:
Тел .:
(+263 4) 77 59 41
(+263 4) 77 59 39
Факс : (+263 4) 77 12 57
Северная и Южная Америка
Бразилия
Региональное отделение МСЭ
SAUS Quadra 06 Bloco "E"
11º andar – Ala Sul
Ed. Luis Eduardo Magalhães (Anatel)
CEP 70070-940 Brasilia, DF – Brésil
Эл . почта : itubrasilia@itu.int
Тел .: (+55 61) 2312 2730-1
Тел .: (+55 61) 2312 2733-5
Факс : (+55 61) 2312 2738
Барбадос
Зональное отделение МСЭ
United Nations House
Marine Gardens
Hastings - Christ Church
P.O. Box 1047
Bridgetown - Barbados
Эл . почта : itubridgetown@itu.int
Тел .: (+1 246) 431 0343/4
Факс : (+1 246) 437 7403
Чили
Зональное отделение МСЭ
Merced 753, Piso 4
Casilla 50484 - Plaza de Armas
Santiago de Chile - Chile
Эл . почта : itusantiago@itu.int
Тел .: (+56 2) 632 6134/6147
Факс : (+56 2) 632 6154
Арабские государства
Египет
Региональное отделение МСЭ
Smart Village, Building B 147, 3rd floor
Km 28 Cairo - Alexandria Desert Road
Giza Governorate
Cairo - Egypt
Эл . почта : itucairo@itu.int
Тел .: (+202) 3537 1777
Факс : (+202) 3537 1888
Европа
Швейцария
Международный союз электросвязи ( МСЭ )
Бюро развития электросвязи ( БРЭ )
Европейское подразделение ( ЕВР )
Place des Nations
CH-1211 Geneva 20 - Switzerland
Эл . почта : eurregion@itu.int
Тел .: +41 22 730 5111
Азиатско
-
Тихоокеанский регион
Таиланд
Региональное отделение МСЭ
Thailand Post Training Center,
5th floor,
111 Chaengwattana Road, Laksi
Bangkok 10210 - Thailand
Mailing address:
P.O. Box 178, Laksi Post Office
Laksi, Bangkok 10210, Thailand
Эл . почта : itubangkok@itu.int
Тел .:
Факс :
(+66 2) 575 0055
(+66 2) 575 3507
Индонезия
Зональное отделение МСЭ
Sapta Pesona Building, 13th floor
JI. Merdan Merdeka Barat No. 17
Jakarta 10001 - Indonesia
Mailing address: c/o UNDP - P.O. Box 2338
Jakarta 10001 - Indonesia
Эл . почта : itujakarta@itu.int
Тел .:
Тел .:
Тел .:
Факс :
(+62 21) 381 35 72
(+62 21) 380 23 22
(+62 21) 380 23 24
(+62 21) 389 05 521
Гондурас
Зональное отделение МСЭ
Colonia Palmira, Avenida Brasil
Edificio COMTELCA/UIT 4.º Piso
P.O. Box 976
Tegucigalpa - Honduras
Эл . почта : itutegucigalpa@itu.int
Тел .: (+504) 22 201 074
Факс : (+504) 22 201 075
СНГ
Российская Федерация
Зональное отделение МСЭ
4, building 1
Sergiy Radonezhsky Str.
Moscow 105120
Russian Federation
Mailing address:
P.O. Box 25 - Moscow 105120
Russian Federation
Эл . почта : itumoskow@itu.int
Тел .: (+7 495) 926 60 70
Факс : (+7 495) 926 60 73
Международный союз электросвязи
Бюро развития электросвязи
Place des Nations
CH-1211 Geneva 20
Switzerland www.itu.int
1
Заключительный отчет
МСЭ-D 1-я ИССледовательСкая коМИССИя
ВОПРОС 22-1/1
За щ и щ е н н о с т ь с е т е й и н ф о р м а ц и и и с в я З и :
передовой опыт по соЗданию культуры кибербеЗопасности
Отпечатано в Швейцарии
Женева, 2014 г.
5 ‑ й и с с л е д о в ат е л ь с к и й п е р и о д 2 0 1 0 ‑ 2 0 1 4 Г.
с е к т о р р а з в и т и я э л е к т р о с в я з и
