В Узбекистане растет интерес к информационной безопасности

В последние полгода информационные ленты из Узбекистана пестрят сообщениями о проводимых там мероприятиях по информационной безопасности (ИБ) и колонками специалистов по данной проблеме. Digital.Report попробовал выяснить, чем вызвано столь пристальное внимание к этой сфере.

По данным аналитического сайта SecureList, Узбекистан входит в группу риска по заражению пользовательских устройств различными вредоносными программами. Согласно отчетам Kaspersky Lab, в 2014 году страна входила в «пятерку» стран по риску заражения, с особым уровнем опасности в части заражения вирусами, крадущими банковскую информацию пользователей.

В аналогичном отчете за прошлый год к ним добавились программы-«вымогатели», блокирующие устройство и требующие денег за его разблокировку. В 2015 году Узбекистан также вошел в десятку стран по проценту пользователей, атакованных мобильными вирусами.

Официальная статистика также говорит о наличии вызовов для информационных систем страны. В прошлом году хакеры атаковали 493 веб-сайта в Узбекистане, в том числе было зарегистрировано 95 случаев дефейса (изменения главной страницы), на 389 сайтах злоумышленники совершили несанкционированный доступ в файловую систему, на 4 ресурсах был размещен фишинговый контент. В 2014 году, по данным правительственного портала открытых данных, число выявленных инцидентов было почти вдвое меньше — 270 случаев, из которых подавляющее большинство составляли дефейсы.

Специалист по информационным технологиям Евгений Скляревский говорит, что также часты DDoS-атаки c целью перехвата управления сервером и использования его в своих целях — рассылки спама или включания сайта в сеть для осуществления подобных атак. «Дефейс не столько взламывает сайт, сколько дает понять, что у тебя «не все в порядке», своего рода намек владельцу сайта с тем, чтобы тот обратил внимание на безопасность», — комментирует Скляревский в интервью Digital.Report. По его данным, географически атаки чаще всего идут из Турции и, в последнее время, из африканских стран, например, Нигерии.

Обеспокоенность государства такими показателями и понимание необходимости конкретных шагов к обеспечению информационной безопасности показывает и наличие в столице университета информационных технологий, при котором еще в 2006 году была создана кафедра ИБ, выпускающая специалистов с дипломами по информационной безопасности, криптографии и криптоанализу. По словам заведующей кафедрой Дурдоны Эргашевой, одним из вариантов обеспечения информационной безопасности узбекских пользователей и бизнеса может считаться использование национальных серверов для поиска информации и разработанной Центром развития и внедрения компьютерных и информационных технологий UZINFOCOM службы электронной почты.

Рекомендация не выходить за пределы действующего в стране интранета TAS-IX и созданной в его рамках информационной сети под названием ZiyoNET, может показаться самым легким путем для обеспечения ИБ, попутно решающим и вопросы ограничения нежелательного контента. Однако, пока власти страны не запрещают доступ к внешним ресурсам, угрозы безопасности будут оставаться.

Коллега Эргашевой из Казахстана Нуржан Дузбаев, руководитель кафедры компьютерных систем Международного университета информационных технологий в Алматы, считает, что современные технологии защиты информации, построенные на хэшировании и открытых ключах, достаточно эффективны. «Для достижения максимальной информационной безопасности можно ограничить доступ ко всем внешним хранилищам информации, включая флеш-накопители и интернет, но, с другой стороны, можно осознанно использовать современные средства хранения, передачи и шифрования информации», — говорит он.

Узбекистан, планирующий в ближайшие годы инвестировать значительные средства в расширение каналов и наращивание количества пользователей интернета, неизбежно столкнется также и с увеличением вызовов для информационной безопасности. О такой корреляции — роста пользователей и их активности и увеличения угроз ИБ — говорят многие исследования. И именно этим, возможно, вызвана активная работа госструктур и госкомпаний Узбекистана в области информационной безопасности.

В стране с 2013 года работает Центр обеспечения информационной безопасности, регулярно проводящий мероприятия — семинары для профессионалов и тренинги для простых пользователей, круглые столы и конференции — посвященные проблемам информационной безопасности. В его компетенцию также входит сбор и анализ информации по компьютерным инцидентам и их предотвращение.

Узбекский CERT – Служба реагирования на компьютерные инциденты — ранее входивший в структуру UZINFOCOM, перешел в ведение Центра обеспечения информационной безопасности, что, вероятно, указывает на повышение его статуса, ведь CERT теперь подчиняется не технологической госкомпании, а, регулятору в лице Комитета связи, информатизации и информационных технологий Республики Узбекистан.

В 2015 году Центром обеспечения информационной безопасности обработано 40 инцидентов информационной безопасности, причем чаще всего владельцы сайтов сами не уделяют должного внимания безопасности принадлежащих им ресурсов.

Другая госструктура — Центр научно-технических и маркетинговых исследований UNICON.UZ при Агентстве связи и информатизации — концентрируется на работе с бизнесом. Например, при ее участии в банках второго уровня запускают услуги онлайн-банкинга и развивают применение электронной цифровой подписи.

Кроме того, Центр разработал государственные стандарты по криптографической защите информации, алгоритму шифрования данных и др. Сегодня Узбекистан входит в двадцатку стран, имеющих национальные стандарты шифрования.

О повышенном внимании к проблеме говорит и то, что узбекская столица в декабре прошлого года выступила хозяйкой первой ежегодной конференции IDC «IT Security and Datacenter Transformation 2015», посвященной вопросам информационной безопасности и центрам обработки данных в условиях высокой сетевой интеграции. Еще одной причиной интереса в развитии ИБ может быть форсированное развитие электронного правительства в Узбекистане. На это указал и Мирадиль Сангилов, заместитель председателя Государственного комитета связи, информатизации и телекоммуникационных технологий, на недавнем семинаре по ИБ в Ташкенте.

Эксперты также отмечают, что согласно глобального индекса кибербезопасности ITU, Узбекистан с Таджикистаном делят «почетное» третье место от конца. Индекс был опубликован в 2015 году и, возможно, это тоже послужило причиной активизации усилий госорганов.

При этом законодательная база по вопросам ИБ действует в стране уже больше 10 лет. В Законе «О принципах и гарантиях свободы информации» 2002 года определил основные понятия и принципы информационной безопасности в стране. Регулирование вопросов криптографической защиты информации отражено в постановлении президента Узбекистана 2007 года, которым был определен уполномоченный орган в данной сфере — Служба национальной безопасности. Средства криптографической защиты информации в Узбекистане подлежат сертификации.

При этом, по словам юристов Lex.uz, на сегодня в республике нет единого концептуального документа в области информационной безопасности, который позволил бы систематизировать эту область права.

В 2007 году в Уголовный Кодекс Узбекистана была введена глава XX-1, посвященная «преступлениям в сфере информационных технологий». В соответствии с ее положениями, несанкционированный доступ к компьютерной информации наказывается штрафом, исправительными работами или лишением свободы до трех лет. Модификация компьютерной информации и компьютерный саботаж влекут наказание вплоть до трех лет лишения свободы, а максимальное наказание за создание, использование или распространение вредоносных программ предусматривает тюремный срок до трех лет.

По словам Рустама Юнусова, заместителя директора Центра обеспечения информационной безопасности, шаги в направлении обеспечения ИБ должны быть грамотно организованы и выполнены, и соответствовать законодательству, национальным и международным стандартам в области информационной безопасности.

В интересах конечного пользователя, по мнению Скляревского, меры по достижению информационной безопасности должны включать постоянное информирование через СМИ об угрозах и способах защиты от них. Дузбаев также полагает, что для повышения безопасности своих данных — как финансовых, так и личных — люди сами должны повышать общую цифровую грамотность.

Комментарии узбекских источников собрал Шухрат Хуррамов.