Информационная (без)опасность: Обама отмечает успехи

В середине июля Говард Шмидт, координатор по вопросам безопасности США, поспешно созвал в Белом Доме совещание с участием около 100 государственных и частых экспертов по вопросам безопасности, чтобы рассказать об изменениях, произошедших в течение шести месяцев с момента его вступления в должность.

Очевидный национальный приоритет

В дополнение к замечаниям президента Барака Обамы и Говарда Шмидта, на заседании выступили министр кабинета внутренней безопасности Джанет Наполитано, и министр торговли — Гэри Лок. На мероприятие допускались только приглашенные эксперты из администрации, государственных и местных органов власти, сотрудники правоохранительных органов, руководители некоторых отраслей, научные работники, представители частного сектора, а также представители групп гражданских свобод.

До приезда президента, Эд Аморосо отметил, что впервые за многие годы, по прибытии в Вашингтон, становятся очевидными достижения нынешней администрации. Это, несомненно, один из важнейших итогов встречи. Тот факт, что президент находит время для решения проблем кибер-безопасности, даже при таких неотложных делах, как необходимость восстановления экономики, война в Афганистане, авария нефтяной платформы компании BP и надвигающиеся выборы, показывает важность вопросов обсуждаемых на собрании.

Президент Обама воспринимает интернет и информационные технологии как неотъемлемую часть жизни современных американцев. Он верит, что американцы хорошо подготовлены к еще более полному использованию кибер-возможностей, однако, наша зависимость от технологий, одновременно, делает нас очень уязвимыми. «Для того чтобы страна успешно использовала киберпространство необходима слаженная деятельность нескольких различных отраслей: правительства, телеком-индустрии, исследовательских институтов, СМИ и групп гражданских свобод», — прокомментировал президент.

Шутя, Обама объяснил, что люди его возраста находятся как бы «на стыке поколений» в технологическом плане. Обама отметил, что он, безусловно, знает, как пользоваться Blackberry (а по слухам даже лоббировал внедрение S/MIME на платформе Blackberry), но в то же время, в отличие от многих «бейби бумеров», имеет слабое представление о том, как создаются мобильные приложения или как именно работает Blackberry. Поскольку технологическая невежественность обыкновенное явление среди политиков, очень приятно, что президент понимает и использует технологии.

Обама выделил основные достижения в сфере кибер-безопасности, достигнутые со времени вступления в должность Говарда Шмидта:

• Усиление безопасности правительственных сетей (особенно домена .gov);
• Единый план действий в случае кибер-катастрофы;
• Укрепление государственно-частного партнерства;
• Усиление защиты сетей ШПД, грид-сетей, а также электронных медицинских записей;
• Создание планов по улучшению общественной цифровой грамотности в вопросах безопасности.

Президент понимает, что гражданская свобода и безопасность иногда работают и друг против друга. Он отметил, что в обществе есть противоречивые ценности, которые необходимо обсудить и через которые нужно пройти. Также он не игнорировал и не уходил от вопросов, касающихся личной жизни и проблем гражданской свободы.

Ирония аутентификации

Мое приглашение в Белый дом было доставлено по электронной почте от Карен Ричардсон, адрес электронной почты которой зарегистрирован на сервере who.eop.gov. Письмо было не подписано и не зашифровано, чем очень напомнило попытку фишинга, тем более что в сообщении содержалась просьба прислать мой номер социального обеспечения, для облегчения фоновой проверки (также не было указанно ни одного телефона для получения дополнительной информации).

После выходных я начал сомневаться в подлинности приглашения. Я даже проверил whois DNS сервера. К счастью, Говард позвонил мне и рассеял мои опасения. Тем не менее, эта история наглядно демонстрирует проблемы, с которыми мы сталкиваемся, когда речь идет о компьютерных технологиях. Пригласить на собрание через интернет — это вполне естественно, к тому же это просто и эффективно, но если приглашенные слишком хорошо осведомлены о проблемах безопасности, вполне вероятно, что сообщение даже не будет прочитано! Для проверки подлинности письма я использую S/MIME, но это технология пока что используется в узком круге фанатов интернет-безопасности. Получается, многие инструменты, которые нам нужны для улучшения безопасности уже существуют, просто они не используются массово… даже в Белом Доме.

Прогресс и застой кибер-безопасности

Как и во всех мероприятиях, посвященных кибер-безопасности, и в этот раз было поднято множество волнующих меня тем. Много раз всплывал термин государственно-частного партнерства. Я считаю, что по сравнению с тем, на каком уровне мы находились год назад, наблюдается несомненный прогресс, достигнутый именно благодаря администрации президента Барака Обамы. (Смотри мою статью http://www.informit.com/articles/article.aspx?p=1379758 за июль 2009-й года)

Хотя приятно видеть, что произошли изменения к лучшему, моя главная цель была (и есть) уделять особое внимание созданию системы безопасности — особенно с точки зрения программного обеспечения. Я бы хотел видеть, что государство прогрессирует, принимая и адаптируя лучшие практики использования ПО.

Пока мы не начнем акцентировать внимание на причине проблем в этой области (а причина кроется в ПО), все остальные меры будут просто показухой.

С моей точки зрения, когда речь идет об использовании программного обеспечения, государство (включая армию) на несколько лет отстает от частного сектора. Это не только вопрос закупок, и не вопрос рыночных операций — это вопрос компетентности в технологиях обеспечения безопасности. На мой взгляд, до тех пор, пока мы не начнем акцентировать внимание на причине проблем в этой области (а причина кроется в ПО), все остальные меры будут просто показухой.

Подчеркивая прогресс в сфере безопасности, секретарь Лок указал на предстоящие развертывания DNSsec в корневых узлах доменов .com, .us, .edu, и .gov. Это долгожданное и давно предвиденное мероприятие. Также он обсудил участие NIST — национального института стандартов и технологий в определении стандартизованного контроля безопасности (совместно с NSA) и их собственную образовательную инициативу в сфере кибер-безопасности. Несмотря на постоянную работу в сфере безопасности, NIST не является общепризнанным лидером в этой области.

Наполитано подчеркнула, что Департамент внутренней безопасности США считает присмотр за киберпространством одним из пяти главных своих приоритетов (наряду с борьбой против терроризма, безопасностью границ, ликвидацией последствий чрезвычайных ситуаций и иммиграции). Департамент внутренней безопасности США утроил число специалистов по кибербезопасности среди своих сотрудников, а в следующем году их количество увеличится еще в два раза.

Закончено составление национального плана по реагированию на чрезвычайные кибер-ситуации. Создан центр безопасности по работе с кибер-инцидентами. Конечно, это все отличная реактивная защита, в то время как в действительности нам нужны средства для обеспечения активной защиты.

В будущем Департамент внутренней безопасности США намерен сократить количество точек доступа государственных сетей к интернету, а также укрепить оставшиеся точки соединения с помощью системы обнаружения вторжений «Эйнштейн». «Эйнштейн-2» уже используется в 12 из 19 федеральных округов, а к концу года его будут использовать и остальные семь. Это, несомненно, важный прогресс, однако это всего лишь один из первых шагов. Наполитано подчеркнула, что Департамент внутренней безопасности США осознает всю важность кибербезопасности, сформирована сильная команда специалистов, и для достижения ощутимого прогресса налажено сотрудничество с частным сектором.

Моя любимая цитата Говарда: «план написания плана — еще не план». Говард стремился продемонстрировать продвижение вперед, в то же время, признавая, что многие проблемы так и остаются нерешенными. Он считает, что мы находимся на распутье, и что сейчас отличное время для долгосрочных изменений, которые окажут влияние на кибер-безопаснось и помогут ей развиваться в течение долгого времени. Он указал на недавно реконструированное и централизованное кибер-управление во главе с генералом Кейтом Александром, изменения в Федеральном законе США об управлении информационной безопасностью, нацеленное на уменьшение бюрократии, улучшение возможности реагирования на инциденты, а также оценку и тестирование энергосистемы кибербезопасности Министерством Энергетики.

Я с нетерпением ожидаю других подобных докладов о ходе работы. Надеюсь, что в будущем больше внимания будет уделено безопасности ПО и формированию правильного направления развития. Защищать сломанную вещь от плохих людей равносильно проигрышу.

Говард описал свои впечатления о встречи и ее целях в блоге Белого дома. Официальный доклад также доступен здесь.

Источник: InformIT

Перевод Анастасии Червинской