Чинники формування інформаційної безпеки Естонії

1. створення багаторівневої системи безпекових заходів;

2. розширення компетенції та обізнаності громадян країни з питань інформаційної безпеки;

3. правове регулювання питань кібербезпеки;

4. зміцнення позиції Естонії як однієї з країн-лідерів у міжнародній співпраці в сфері кібербезпеки.

При створенні багаторівневої системи безпекових заходів пріоритетне значення надається захисту критичної інформаційної інфраструктури, розробці і впровадженню заходів безпеки та організаційному співробітництву.

Діяльність щодо захисту критичної інформаційної інфраструктури включає:

визначення послуг, необхідних для функціонування критичної інформаційної інраструктури;

визначення взаємозалежності критичної інфраструктури та критичної інформаційної інфраструктури;

розробка загальної методології оцінки уразливості інформаційних систем критичної інфраструктури;

збір та обробка інформації щодо поточної ситуації у кіберпросторі для планування превентивних заходів та контрзаходів у сфері національної кібербезпеки.

Розробка та впровадження системи заходів безпеки передбачає визначення додаткових засобів безпеки інформаційних систем; визначення мінімального рівня функціональності інформаційної інфраструктури та забезпечення цього рівня функціонування у кризовій ситуації; визначення заходів протидії у надзвичайній ситуації, якщо на об’єкти критичної інфраструктури здійснено атаку; вироблення економічно прийнятних й оптимальних методів забезпечення інформаційної безпеки; розробка методів тестування для засобів безпеки; вдосконалення систем ідентифікації та моніторингу електромангітного впливу на критичну інфраструктуру; зміцнення інфраструктури Інтернет; підвищення безпеки систем контролю (наприклад, SCADA (Система управління і збору даних) – автоматизована система управління і контролю, що використовуються в промисловості) ; перевірка рівня безпеки об’єктів критичної інформаційної інфраструктури з точки зору електромагнітних впливів.

Контроль за впровадженням заходів безпеки для критичної інфраструктури здійснює Міністерство внутрішніх справ та Міністерство економіки і комунікацій у співробітництві з іншими міністерствами, що відповідають за різні сектори критичної інфраструктури.

Для зміцнення організаційного співробітництва передбачено реалізацію таких заходів:

• створення Ради з кібербезпеки в Комітеті з питань безпеки естонського уряду, уповноваженого втілювати у життя cтратегію кібербезпеки;
• визначення повноважень структурного підрозділу Міністерства економіки і комунікацій, що відповідає за безпеку державних інформаційних систем;
• вдосконалення методів оцінки ризиків, розроблених міністерствами та використання цих методів в сфері кібербезпеки;
• створення експертної робочої групи (яка надаватиме професійні поради Раді з кібербезпеки), уповноваженої виявляти прогалини в інформаційній безпеці, визначати необхідні ресурси для оновлення безпекових заходів та обмінюватися оперативною інформацією;
• формулювання пропозицій для внесення поправок у національне і міжнародне законодавство;
• координація заходів щодо підвищення обізнаності в сфері кібербезпеки та визначення органу, відповідального за проведення цих заходів.

Основними способами підвищення компетентності в сфері кібербезпеки визначено організацію навчань (тренінгів) з питань кібербезпеки та проведення досліджень. Сюди відноситься, зокрема, встановлення вимог до знань в сфері інформаційної безпеки та кіберзахисту для робітників державного і приватного секторів та впровадження відповідної системи оцінювання; підвищення рівня підготовленості до кризових ситуацій в державному та приватному секторах; створення в Естонії під егідою НАТО Центру експертизи з питань кооперативної кібер-оборони (NATO Cooperative Cyber Defence Centre of Excellence). [4]

Діяльність щодо правового регулювання сфери кібербезпеки включає розробку правових визначень кібербезпеки та кіберзлочину; впровадження законодавства щодо питань кібербезпеки, включаючи запровадження обов’язкових заходів та стандартів безпеки і встановлення мінімальних вимог до безпеки інформаційних систем; започаткування ініціатив у законотворчій діяльності на міжнародному рівні тощо.

Діяльність щодо зміцнення міжнародної співпраці з питань кібербезпеки передбачає винесення проблем кібербезпеки на міжнародний «порядок денний»; сприяння ратифікації країнами Конвенції Ради Європи про кібезлочинність; обговорення проблем кібербезпеки на конференціях, семінарах та форумах; надання підтримки міжнародним корпораціям, асоціаціям, дослідницьким інститутам та неурядовим організаціям, які займаються проблемами кібербезпеки; просування кращої практики в сфері кібербезпеки на міжнародному рівні; направлення представників Естонії до експертних груп міжнародних організацій, задіяних в сфері кібербезпеки.

Важливу роль у вирішенні проблем інформаційної безпеки в Естонії відіграє Естонська інспекція захисту даних. Це установа державного нагляду, основними напрямами діяльності якої є [11]:

• надання правової допомоги і здійснення контролю (надання порад, роз’яснення, розгляд скарг, здійснення перевірок, участь у діяльності європейських організацій з питань захисту даних) ;
• створення баз даних державного сектору;
• реєстрація обробки конфіденційних персональних даних;
• авторизація обробки даних (авторизація обробки даних для наукових або статистичних цілей без згоди людини, авторизація передачі персональних даних з недостатнім рівнем захисту до зарубіжних країн) ;
• здійснення адміністративного примусу та виконання наказів щодо правової відповідальності тощо.

Інспекція здійснює нагляд за власниками інформації та особами, які обробляють персональні дані. Крім приватного сектору, діяльність Інспекції охоплює усі державні установи. У випадках, коли інтереси по захисту персональних даних протирічать інтересам щодо розголошення інформації, роль Інспекції полягає у тлумаченні та застосуванні правових норм так, щоб забезпечити збалансований захист обох благ.

З 2006 року в Естонії працює Комп’ютерна група швидкого реагування (CERT Estonia) – організація, відповідальна за управління безпековими інцидентами в національних комп’ютерних мережах (точніше, мережах домену «. ee»). Організація надає допомогу естонським Інтернет-користувачам у реалізації превентивних заходів, з метою мінімізації шкоди від безпекових інцидентів та у реагуванні на загрози безпеці. Обсяг підтримки, що надається CERT Estonia, залежить від типу та серйозності безпекового інциденту, від кількості потенційно постраждалих користувачів та наявних в організації ресурсів.

Комп’ютерною групою швидкого реагування Естонії надаються такі послуги:

• управління інцидентом – прийняття повідомлень про інцидент, пріоритизація інцидентів залежно від рівня серйозності; аналіз інциденту; надання допомоги у реагуванні на інцидент; координація дій з реагування на інцидент;
• інформування