Кибербезопасность в Великобритании

По мнению парламентского комитета, правительство Великобритании не предпринимает достаточных мер по защите страны от кибератак^[1].

• EURIM, Альянс по цифровой политике^[2]

Правительство Великобритании периодически публикует Стратегию кибербезопасности^[3]. Многие заинтересованные стороны во всех сферах принимают участие в реализации этой стратегии.

Общая ответственность за безопасность в Великобритании возложена на Национальный совет безопасности, который является комитетом Кабинета министров, возглавляемым премьер-министром и курирующим все вопросы национальной безопасности, координации разведки и стратегию обороны.

Координацией внутренней защиты правительства занимается Главный государственный инспектор по вопросам безопасности (GCSO) в составе Канцелярии Кабинета министров, который с 2021 года – Винсент Девайн^[4]. Центральной поддерживающей организацией GCSO является Группа государственной безопасности (GSG), включающая также распределённую функцию и профессию государственной безопасности по различным департаментам и независимым учреждениям (ALB), а также три Национальных технических центра (NTA), каждый из которых имеет свою область в информационной и/или кибербезопасности:

• Национальным техническим центром по кибербезопасности (NTA-C) является Национальный центр кибербезопасности (NCSC) – основной авторитет по кибербезопасности в стране, подчинённый GCHQ. Он объединил и заменил подразделение CESG (ранее подразделение по информационной безопасности GCHQ), Центр оценки киберугроз, Британскую команду реагирования на компьютерные инциденты (CERT UK), а также кибернетические компетенции бывшего Центра по защите национальной инфраструктуры (CPNI). NCSC оказывает поддержку и консультации государственному и частному секторам по вопросам противодействия киберугрозам^[5]. CESG (изначально Communications-Electronics Security Group) был подразделением GCHQ, отвечавшим за защиту коммуникационных и информационных систем правительства и критической инфраструктуры. NPSA оказывал консультации по обеспечению защиты национальной инфраструктуры для бизнеса и организаций.
• Национальным техническим центром по обеспечению физической безопасности (NTA-P) является Национальное агентство по защите (NPSA) — правопреемник CPNI, но сохраняет ряд функций по информационной и кибербезопасности, включая защиту киберфизических систем (CPS), а также контейнеров, замков и структур для защиты активов.
• Национальным техническим центром по технической безопасности (NTA-T) является Национальный центр технической защиты от подслушивания (UK NACE), занимающийся, главным образом, вопросами противодействия технической разведке.

Роль ведущего министерства по вопросам кибербезопасности в настоящее время выполняет Министерство науки, инноваций и технологий Великобритании (DSIT), ранее эта функция была возложена на:

• Министерство цифровой, культурной, медийной и спортивной политики
• Министерство бизнеса, энергетики и промышленной стратегии Великобритании
• Министерство бизнеса и промышленной стратегии
• Министерство торговли и промышленности

Во всех остальных министерствах и ALB работают сотрудники, занимающиеся задачами государственной безопасности, как для внутреннего обеспечения, так и для клиентов этих ведомств.

К прежним органам в этой категории относится:

• Управление кибербезопасности и информационной гарантии, которое поддерживало министра Канцелярии Кабинета министров, достопочтенного Фрэнсиса Мода, и Национальный совет безопасности при определении приоритетов в области кибербезопасности. Данный отдел занимался разработкой стратегического направления и координацией действий по повышению кибербезопасности и информационной гарантии в Великобритании. Руководителем OCSIA был Джеймс Куино^[6], но позже функционал был интегрирован в Группу государственной безопасности.

Министерство обороны Великобритании несёт главную ответственность за информационную и кибербезопасность как среди гражданских, так и среди военных сотрудников (около 250 000 человек), а также для цепочек поставок (DSB – порядка 30 000 компаний).

В структуре министерства два основных подразделения по безопасности:

• Дирекция безопасности и устойчивости, ориентированная преимущественно на физическую и кадровую безопасность
• Дирекция киберобороны и управления рисками, преимущественно занимающаяся вопросами информационной и кибербезопасности

Эти подразделения совместно разрабатывают не только внутренние правила, но также стандарты в области обороны и отраслевые уведомления по безопасности^[7].

В апреле 2016 года Министерство обороны объявило о создании Центра киберопераций по безопасности с бюджетом более 40 миллионов фунтов. Он располагается в МоД Коршам (MoD Corsham)^[8][9].

Министерство обороны взаимодействует с поставщиками по вопросам информационной и кибербезопасности при помощи ряда организаций, включая:

• Партнёрство по защите от киберугроз в оборонной сфере^[10]

К прежним структурам относится:

• Группа кооперации по вопросам информационной безопасности в обороне

Национальные киберсилы объединяют наступательные кибервозможности Министерства обороны Великобритании и GCHQ.

Национальное агентство по борьбе с преступностью включает отдел по борьбе с киберпреступлениями, в состав которого входит Центр по борьбе с эксплуатацией детей и интернет-преступлениями.

Ранее в структуре правоохранительных органов действовало Национальное подразделение по борьбе с высокотехнологичными преступлениями.

В рамках расширенного государственного сектора действуют следующие объединения:

• Консультативная группа по обеспечению, организующая серию конференций SUAC
• Консультативная техническая группа по кибербезопасности^[11], ранее — Координационная группа по информационной гарантии государственного сектора

Два регулирующих органа выполняют специфические функции в области кибербезопасности:

• Управление по вопросам комиссара по информации^[12] — отвечает за защиту персональных данных.
• OFCOM — осуществляет регулирование в области телекоммуникаций и безопасности вещания.

Большинство других регулирующих органов имеют службы, отвечающие за информационную и кибербезопасность для своих сотрудников и клиентов.

• Ассоциация специалистов по киберфорензике и расследованию инцидентов^[13]
• Британское компьютерное общество — профессиональная организация и научное общество, объединяющее специалистов по информационным технологиям в Великобритании и за её пределами. В обществе действует группа по вопросам безопасности, данных и конфиденциальности^[14].
• Институт обеспечения непрерывности бизнеса основан в 1994 году для предоставления членам поддержки и обмена опытом между экспертами по обеспечению непрерывности бизнеса. Институт разработал шесть сертификатов для подтверждения компетентности специалистов^[15].
• Совет зарегистрированных специалистов по этическому тестированию безопасности — некоммерческая организация по аккредитации и сертификации^[16]. Не предоставляет собственных учебных материалов, а сертификация осуществляется на основе программ третьих сторон. По состоянию на 24 августа 2022 года стоимость членства составляет 5000 фунтов стерлингов для одной национальной структуры и 25 000 — для регионального членства.

• ADS — отраслевое объединение компаний в аэрокосмической, оборонной, охранной и космической индустрии Великобритании^[17].
• Альянс по утилизации активов и информационной безопасности
• Форум крипторанывателей^[18]
• Форум по ИТ-безопасности
• Юридическое общество
• Nominet
• Tigerscheme — коммерческая сертификационная схема для технических специалистов по безопасности, основанная на университетских стандартах, охватывающая широкий спектр специализаций^[19]. Система сертифицирована и оценивается независимым академическим органом. Основана в 2007 году; с июня 2014 года операционное управление перешло компании USW Commercial Services Ltd.
• UK Cloud Pooled Audit Group — объединение крупнейших банков Великобритании, созданное в 2020 году для коллективного аудита облачных провайдеров, таких как Google, Amazon и Microsoft. Управляется компанией Worshipful Company of Information Technologists.
• Форум по кибербезопасности Великобритании — социальное предприятие, представляющее интересы малых и средних предприятий в сфере кибербезопасности. Форум включает 20 региональных кибер-кластеров, каждый из которых работает как дочерний и управляется отдельной группой добровольцев. Форум организует мероприятия для просвещения общественности и повышения квалификации специалистов.

Действующие объединения, покрывающие несколько секторов:

• Британский институт стандартов^[20] — национальный орган по стандартам, разрабатывающий национальные и международные стандарты в области информационной и кибербезопасности, а также представляющий Великобританию в ISO, IEC, ITU-T, CEN, CENELEC и ETSI.
• Фонд доверенного программного обеспечения^[21] — деятельность в сфере стандартизации, сертификации и оценки соответствия, выросшая из Инициативы доверенного программного обеспечения.
• Совет по кибербезопасности Великобритании^[22]
• Пункты предупреждения, консультации и отчётности (WARP) обеспечивают доверенную среду для обмена проблемами и решениями между членами сообщества^[23].

Ранее действовали следующие организации:

• Сеть передачи знаний по кибербезопасности при поддержке Innovate UK
• Совет по вопросам информационной гарантии — объединял представителей промышленности, государства и академии, занимался вопросами информационной безопасности в Великобритании^[24]. Создана Полин Невилл-Джонс, баронесса Невилл-Джонс, председателем до 2007 года, затем её сменил сэр Эдмунд Бёртон. Среди аффилированных компаний: BT Group, Northrop Grumman, QinetiQ, Raytheon, PwC, O2 UK, Ultra Electronics, GlaxoSmithKline^[25].
• Координационная группа по вопросам информационной гарантии (IACG) создана после национальной конференции по информационной гарантии в 2006 году^[26]. Группа способствовала сотрудничеству между поставщиками продуктов и услуг в области информационной гарантии для госсектора^[27]. Поддерживала карту информационного сообщества Великобритании^[28], размещённую на сайте CESG. Имеет двух сопредседателей — Колин Роббинс и Росс Парселлё. Деятельность группы прекращена в 2014 году.
• Инициатива по продуктам и услугам информационной гарантии.
• ITSafe — бывшая государственная организация по информированию о угрозах, впоследствии интегрирована в GetSafeOnline.
• NDI UK — государственный проект по развитию цепочек поставок для Министерства обороны^[29].