На днях президент Касым-Жомарт Токаев в ходе посещения АО "Государственная техническая служба" выслушал краткий отчет о мерах по обеспечению информационной безопасности страны.
Продемонстрировав главе государства работу ряда подведомственных подразделений – Национального координационного центра информационной безопасности, Центра управления сетями телекоммуникаций, Национальной службы реагирования на компьютерные инциденты и Центра исследования вредоносного кода, была оглашена и некоторая статистика отражения угроз.
В частности, согласно озвученным данным, только с начала текущего года было пресечено более 163 миллионов кибератак на ресурсы государственных органов и объектов критической инфраструктуры.
Кстати, в октябре прошлого года на портале посещения АО "Государственная техническая служба" было размещено сообщение об отражении 20 миллионов кибератак, произведенных лишь за один месяц. Специалисты ведомства тогда напрямую связали всплеск таких угроз информационной безопасности с началом электорального периода в канун президентских выборов. С этим был и согласен и сам Касым-Жомарт Токаев:
– Определенные внешние силы таким образом намерены посеять смуту в нашей стране. Они хотят воспрепятствовать позитивным изменениям в Казахстане. Но мы не свернем с избранного курса…
К сожалению, более развернутой расшифровки "определенных внешних сил" не последовало, очевидно, как из соображений секретности, так и политической целесообразности. Поэтому никакой конкретики на тему – кто больше всего посягал на информационную безопасность Казахстана в году нынешнем, не было публично озвучено и теперь.
Согласно сообщениям республиканских СМИ, президент работой соответствующих служб в целом остался удовлетворен и, как положено, "дал ряд конкретных поручений по вопросам совершенствования деятельности в области обеспечения информационной безопасности".

Реальные поводы для беспокойства
Вопрос целесообразности подобного совершенствования, надо отметить, далеко не праздный и не риторический. Инциденты, связанные с угрозами информационной безопасности (причем, из числа тех, которые стали достоянием широкой общественности), в последние годы фигурируют в стране все чаще и во все более изощренно угрожающем виде.
Например, в сентябре этого года стало известно о наличии сразу нескольких Telegram-ботов, предоставляющих персональную информацию о гражданах Казахстана, в том числе адреса проживания, контактные телефоны и сведения о трудоустройстве.
После разразившегося скандала Министерство цифрового развития, инноваций и аэрокосмической промышленности поспешило дать успокоительный комментарий о том, что эти боты, дескать, существуют уже давно, и посему, мол, содержащаяся в них информация уже частично устарела:
"Тelegram-боты существуют три года и собирают информацию из ранее утекших баз данных, а также обобщают данные, используя уязвимости в сервисах. При этом эти боты выводят старые сведения об адресах проживания (прописки). Кроме того, некоторые адреса, возможно, были указаны в общедоступных источниках либо сервисах доставки товаров и услуг. В связи со сложившейся ситуацией министерство реализует меры по усилению ответственности за несанкционированное разглашение персональных данных. Кроме того, министерство разработало поправки, обязывающие оперативные центры информационной безопасности и службы реагирования на компьютерные инциденты выявлять случаи нарушения защиты персональных данных граждан Казахстана. Эти организации должны будут оперативно передавать информацию уполномоченному органу управления, ответственному за соблюдение ограничений доступа к скомпрометированным ресурсам. Этот пакет поправок сейчас находится на рассмотрении в Мажилисе Парламента…"
Почему соответствующие структуры ответственные за защиту персональных граждан страны отреагировали на наличие подобных ботов только после случившегося резонанса, к сожалению, не уточнялось.
Да и сами мажилисмены (которым, согласно министерскому сообщению, скоро предстоит принимать некий пакет поправок в сфере информационной безопасности) пока лишь также проявляют простое человеческое беспокойство.
В частности, в конце сентября этого года депутат Никита Шаталов поинтересовался у вице-министра цифрового развития, инноваций и аэрокосмической промышленности Малика Олжабекова как подобное вообще стало возможным и не были ли эти данные банально "слиты" из государственных информационных сетей?
Как выяснилось из ответа чиновника, о происхождении утечки в министерстве достоверных данных пока нет:
– Мы предполагаем, что одним из источников может выступать сервис, запрещенный в Казахстане, по выдаче таких сведений по номеру телефона. Касательно адресов, которые выдает бот, в основном это информация с ранее имевших место утечек. Это устаревшая информация… Возможно, утечка данных произошла из общедоступных сервисов, таких как доставка еды или товаров. Мы заявку по блокировке этих сервисов направили в Минкультуры и информации. И продолжаем с экспертами проверять выдаваемую информацию, чтобы выявить источники, откуда информация могла утекать, чтобы провести проверку в их отношении…
В свою очередь, глава Комитета информационной безопасности МЦРИАП (то есть, структуры, напрямую ответственной за обеспечение порядка в этой сфере) Руслан Абдикаликов уточнил, что ни одна система в мире ни в одном государстве не может быть защищена на все 100%:
– Таких систем просто не существует… Мы должны быть готовы к тому, что априори такие случаи могут быть. Сегодня проблема не в том, что закон недостаточно хорош, а в том, что не совсем правильно и не в полном объеме исполняются требования законодательства. Что же касается конкретных действий, то мы попросили коллег из КНБ, они сейчас закончили анализ этой утечки. Кроме того, это не одна утечка, а серия утечек, которые произошли в разное время и из разных систем. Сейчас мы должны получить более подробную информацию, и тогда начнем работу по государственному контролю – мы будем выходить к владельцам информационных систем и проверять, были у них утечки или нет. Об этой работе мы будем дополнительно информировать…
В общем, пока идет комплексное изучение проблемы. И здесь можно вспомнить, что когда в июле 2021 года в ряде зарубежных СМИ были опубликованы предположения о том, что с помощью разработанного в Израиле некоего шпионского софта ПО Pegasus была возможна слежка за высшим руководством страны, включая самого президента Токаева, действующего на тот период премьер-министра Аскара Мамина и его предшественника на этом посту Бакытжана Сагинтаева, то "компетентные органы" тогда предпочли вообще воздержаться от публичных комментариев на этот счет, а например, в Администрации президента предложили обществу проявить "здоровый скептицизм":
– Сложно комментировать то, о чем точно ничего не известно. Нам дали довольно интригующую информацию без каких-либо доказательств и просто предлагают нам поверить в это. По-хорошему, в этот список можно включить кого угодно и таким образом посеять зерна сомнений в стране среди элиты, среди журналистов и так далее. Мне кажется, тут важно придерживаться принципа разумного скептицизма. Пока мне больше сказать нечего… – заявил в те дни тогдашний первый заместитель руководителя администрации президента Даурен Абаев и к этой теме больше не возвращался, оставив для наиболее любознательных сограждан пространство для самостоятельных версий на тему – был ли подобный инцидент вообще и кто (при достоверности подобных сведений) мог быть инициатором утечки столь важной информации и, соответственно, ее несанкционированным потребителем.
Между тем, в наличие подобных шпионских файлов и программ (и соответственно, их применении на территории Казахстана) сомневаться не приходится.
В нынешнем сентябре на своем портале о очередном выявлении такой шпионской программы сообщило АО "Государственная техническая служба", а чуть раньше, в мае нынешнего года, это же ведомство проинформировало о повышенной уязвимости и иных проблемах в программном обеспечения "Geoserver" (между прочим, широко используемом в крупных квазигосударственных компаниях страны для разных нужд – от геологии и экологии до сельского хозяйства и управления городским хозяйством и из-за которого, по мнению специалистов, их информационная безопасность может оказаться под угрозой).
Так что, работы у соответствующих служб действительно достаточно и посему, наверное, стоит более подробно рассмотреть, что входит в само понятие "информационная безопасность" в Казахстане, как обстоит дело с соответствующей законодательной базой, какие ведомства ответственны за исполнение действующих нормативно-правовых актов в этой области, что ими предпринимается с технической точки зрения и в какую сумму это обходится государственной казне.

Поспешишь – кибершпионов насмешишь?
Впервые о необходимости обеспечения информационной безопасности заговорили на высшем уровне еще в октябре 1997 года, когда соответствующе тезисы прозвучали в ежегодном послании президента Нурсултана Назарбаева "Казахстан-2030. Процветание, безопасность и улучшение благосостояния всех казахстанцев", где в качестве одного из долгосрочных приоритетов была определена национальная безопасность, одной из составляющих которой является безопасность информационная.
Что же до конкретных документов на этот счет, то здесь, очевидно, работа была долгой и весьма кропотливой, так как первая отраслевая Программа по обеспечению информационной безопасности Республики Казахстан на 2011–2014 годы была принята в январе 2011 г. правительственным постановлением №45 (ДСП), а чуть позже, в ноябре 2011 года, президентским указом была утвержденаКонцепция информационной безопасности РК до 2016 года, которая согласно своей преамбуле была разработана с учетом как непосредственно Конституции РК, так и законов "О национальной безопасности Республики Казахстан", "О государственных секретах", "О борьбе с терроризмом", а также принятого в 2003 году Закона "Об информатизации", Закона " О противодействии экстремизму" образца 2005 года, а также "всего имеющегося международного опыта в области информационной безопасности".
Как часто бывает в подобных документах, преамбула содержала много самокритики и невеселых выводов:
"Анализ современного состояния информационной безопасности в Казахстане показывает, что ее уровень в настоящее время не соответствует потребностям человека, общества и государства. Сегодняшние условия политического и социально-экономического развития страны вызывают обострение противоречий между потребностями общества в расширении свободного обмена информацией и необходимостью сохранения отдельных ограничений на ее распространение. Для обеспечения государственных органов полной, достоверной и своевременной информацией требуются принятие обоснованных решений, в том числе для защиты государственных информационных ресурсов, а также разработка отечественных средств защиты информации и системы подтверждения соответствия импортируемых технических средств установленным требованиям. Негативное влияние на организацию информационной безопасности в республике оказывает недостаточное количество профессиональных специалистов и области защиты информации. Требуется дальнейшая проработка вопросов противодействия техническим разведкам, защиты от информационного оружия и совершенствования нормативной правовой базы в данной сфере. В этих целях необходима комплексная координация мер по защите информации в общегосударственном масштабе и на ведомственном уровне для обеспечения целостности и конфиденциальности информации…"
Указывалось и на необходимость дальнейшего совершенствования законодательства, а также модернизацию имеющихся технических возможностей:
"Требуется актуализация действующих нормативных правовых и технических актов в области информационно-технического развития и защиты информации, в том числе защиты государственных секретов. Будет проведена градация информационных систем и ресурсов по уровням информационной безопасности, усовершенствованы процедуры сертификации технических и программных средств, аттестации информационных систем на соответствие требованиям информационной безопасности, развито международное сотрудничество в данной области, выработаны государственные меры по повышению ответственности за состояние информационной безопасности и защиты государственных секретов.
Кроме того, реалии сегодняшнего дня требуют выделения существующих норм законодательства в отдельную отрасль законодательства – информационное право, разработки законодательства по вопросам защиты критической информационной инфраструктуры, внесения изменений в существующее законодательство по вопросам отнесения отдельных видов информационных правонарушений к уголовно-наказуемым деяниям, также требуется совершенствование законодательства, регулирующего вопросы защиты персональных данных, совершенствование международных правовых норм в области информационной безопасности и защиты государственных секретов для обеспечения соблюдения национальных интересов Республики Казахстан…"
Что касается отнесения информационных правонарушений к уголовным преступлениям, то с этим справились относительно быстро. В 2014 году была принята новая редакция Уголовного кодекса РК, которая пополнилась целым рядом составов уголовных деяний в области информационной безопасности в целом, а также отдельными видами правонарушений в сфере информатизации и связи.
Затем, судя по всему, на некоторое время в нормативно-правовом поле наступило затишье (возможно связанное с организационно-техническими моментами) и лишь в декабре 2016 года вышло очередное правительственное постановление №832 "Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности", которое, в свою очередь, отсылало к утвержденным Стандартам обеспечения информационной безопасности (ИБ) и Своду правил по средствам управления защитой информации.
Там же регламентировались такие новшества, как выявление угроз ИБ и их источников, выявление уязвимостей, которые могут привести к реализации угроз, определение каналов утечки информации, формирование модели нарушителя.

Как выяснилось чуть позже, это стало преамбулой к новой Национальной концепции "Киберщит Казахстана", создать которую поручил в январе 2017 года президент Нурсултан Назарбаев.
Как впоследствии вспоминал председатель Комитета по информационной безопасности, сформированного при Министерстве цифрового развития, инноваций и аэрокосмической промышленности Руслан Абдикалиев:
"В январе 2017 года президент Нурсултан Назарбаев поручил правительству создать Киберщит Казахстана. Спустя пять месяцев правительство утвердило концепцию. Первоначально был разработан проект концепции, основанный на существующей ситуации с кибербезопасностью в стране. Однако при этом учитывались только интересы государства. Затем состоялись обсуждения, и проект концепции был раскритикован профессионалами как слишком "однобокий". Ключевые проблемы, с которыми мы столкнулись, включали нехватку специалистов по информационной безопасности, неадекватную инфраструктуру защиты информации, пренебрежение организациями требований информационной безопасности и риски, связанные с оказанием электронных государственных услуг…"
Еще через некоторое время увеличилось и количество уполномоченных органов. В 2018 году в стране был создан Национальный координационный центр информационной безопасности (НКЦИБ), который, согласно своему положению, "обеспечивает защиту информационных ресурсов государственных органов и критически важной информационной инфраструктуры от кибератак и является главным элементом в системе обеспечения информационной безопасности в масштабе страны". Также при НКЦБ было создано сразу 16 оперативных центров информационной безопасности, которые собирали оперативную информацию с мест.
Дополнительную координацию происходящего осуществлял Совет безопасности РК (в ту пору его секретарем являлся генерал-полковник Калмуханбет Касымов), который в рамках заседаний экспертного совета периодически проводил различные мероприятия на тему "Актуальные проблемы информационной безопасности Республики Казахстан".

О других нововведениях и достижениях в этой сфере чуть позже отчитался вице-министр цифрового развития, инноваций и аэрокосмической промышленности Асхат Оразбек, выступая на проводимом в столице Казахстана форуме американской торговой палаты по кибербезопасности:
"В Глобальном индексе кибербезопасности Казахстан за последние два года стремительно улучшил свою позицию. Так, в предпоследнем отчете Казахстан поднялся сразу на 42 пункта – до 40-го места и удерживает эту позицию уже второй год. В национальном индексе кибербезопасности наша страна занимает 67-е место, что тоже неплохо, учитывая, что мы являемся относительными новичками в данной сфере.

За прошедшие два года в стране были выработаны базовые концептуальные подходы к развитию сферы кибербезопасности страны. Была разработана и утверждена концепция кибербезопасности "Киберщит Казахстана", а также целый ряд законодательных актов и большое количество отраслевых приказов. Помимо этого, созданы испытательные лаборатории по исследованию вредоносного кода, запущен Национальный координационный центр информационной безопасности.

В рамках программы "Киберщит Казахстана" государство определило 336 критически важных объектов для кибербезопасности, к которым относятся госструктуры, банки и промышленные предприятия, атаки на которые могут иметь страновой или межгосударственный эффект. Еще в сентябре в этот список входило 219 объектов. Пополнение списка продолжается…"
На этом, собственно, публичный отчет о проделанной работе и заканчивался (здесь, правда, можно допустить, что довольно большая часть сведений и конкретики оглашению перед иностранными партнерами не подлежала).

Таким образом, на тот период времени, пожалуй, наиболее интересной цифрой стали официальные данные о том, что на работу по созданию первого "Киберщита" в период 2017–2021 год включительно было потрачено 28,8 миллиардов тенге, из которых 7,9 миллиардов расходовались на закуп специального электронного оборудования и программного обеспечения.
А затем довольно предсказуемо встал вопрос о новых денежных средствах (как, впрочем, и о новом "Киберщите" и дополнительных координационных структурах).
При этом, размах озвученных планов действительно впечатлял…

(Продолжение следует)