Голова Держспецзв'язку України Щиголь: Не відкривайте листів від невідомих вам адресатів
Можна придбати новітні системи за захмарними сумами, але без навчених фахівців це все не працюватиме
– Кіберзахист України до 2020 року і зараз – у чому головна різниця?
– До 2014 року питання кібербезпеки були актуальними у світі, а Україна особливо не стикалася з ними. Коли почалася війна з Росією, кіберпростір став ще одним майданчиком, на якому розгортаються воєнні дії. Країна-агресор безпосередньо впливає на стан захищеності нашої держави. Тому із 2020 року ми почали реформу сфери кіберзахисту.
Держспецзв'язку – той орган, який формує державну політику й координує всі служби, залучені до сфери кіберзахисту. Це досить молодий напрям не тільки для України, але й у всьому світі. Ми розвиваємося паралельно з усім світом, тому що неможливо побудувати кібербезпеку в окремо взятій країні.
Наша служба – великий механізм, у якого понад 11 тис. співробітників по всій Україні і який виконує 92 функції (у процесі розвитку 93-тя – ми будуємо центр резервування даних і станемо його адміністратором). Більше функцій тільки в Міністерства економіки та Міністерства з питань стратегічних галузей промисловості України.
Кілька напрямів: кібербезпека (цим займаються кілька департаментів і безпосередньо Державний центр кіберзахисту), захист інформації, формування держполітики, розроблення нормативних актів і методологій, спеціальний урядовий зв'язок і забезпечення спеціальним зв'язком посадовців, органи державної влади. Окрім того, у нас є освітні установи (Інститут спеціального зв'язку при КПІ, де для нас й інших силових органів готують фахівців), Концерн радіозв'язку, радіомовлення та телебачення, фельд'єгерська служба.
– 13 травня в Києві відбулося відкриття кіберцентру. Як він допоможе у справі захисту від зовнішніх атак?
– Центр кіберзахисту – установа, яка безпосередньо займається захистом державних інформаційних ресурсів. При ньому функціонує команда CERT-UA – єдина в Україні, яка є членом міжнародного форуму FIRST і здійснює обмін інформацією з усіма міжнародними партнерами. Кіберцентр також є й сервісною службою, яка надаватиме послуги не тільки держорганам, але громадянам і бізнесу. Люди можуть звернутися туди по допомогу чи пораду.
Будь-яка людина сьогодні є суб'єктом кіберпростору. Смартфон – потенційно уразливий гаджет. Отже, кожен українець щодня стикається з певними загрозами. Найпростіша – розсилання фішингових листів із незрозумілими пропозиціями. Такі листи не тільки завантажують шкідливе програмне забезпечення, блокують телефон чи комп'ютер із метою вимагання грошей, але й можуть бути елементом проникнення в системи, у яких людина працює. Рівень уразливості системи визначають за найслабшою її ланкою. Коли кожен член команди досить освічений, тоді можна побудувати надійну корпоративну систему.
– Скільки коштує кіберзахист?
– Неможливо побудувати ідеальну систему, тому що наш противник постійно розвивається, отже, збільшуються й витрати коштів на захист. Фінансування набагато покращили. 2020 року модернізацію систем кіберзахисту профінансували лише на 2%. Сьогодні завдяки президенту й Кабміну фінансування збільшили на 148%, що у грошовому еквіваленті становить приблизно 1,2 млрд грн. Але однаково не можна назвати його достатнім. Кошти витрачають на системи розвитку, придбання ліцензій, навчання й перепідготовку фахівців. Водночас потреби, можна сказати, нескінченні, тому що обладнання і програмне забезпечення коштує дорого. Від потреб нас профінансовано десь на 30%.
Але повірте, навіть якщо дати 100 млрд грн, це не врятує від атак. Можна придбати новітні системи за захмарними сумами, але без навчених фахівців це все не працюватиме. Тому основний наш капітал – кадри. Мало взяти випускника вишу, його потрібно постійно навчати. Найкращі курси у світі коштують $10–20 тис. на місяць.
– А якщо порахувати вартість підготовки нашого фахівця?
– Навчання курсанта Держспецзв'язку в інституті коштує приблизно 1 млн грн за п'ять років. Цього точно недостатньо. Середня вартість підготовки фахівця з кіберзахисту в європейських та американських вишах становить приблизно $1 млн.
Можна говорити, що в нас досить низька заробітна плата, але головне – це база, на якій готують фахівців. Кіберцентр стане ще й однією з баз, де відбуватиметься навчання. Тренінговий центр побудували за принципом червоної й синьої команд, які змагаються в реальних умовах. Це одночасно навчання і практика. Так навчають у всьому світі.
– Ваші фахівці, напевно, гарна здобич для мисливців за головами. Уже навчені, а зарплати в держсекторі невеликі, отже, їх легко переманити.
– Українські фахівці у сфері ІТ і кіберзахисту одні з найзатребуваніших у світі завдяки рівню підготовки й оплаті праці. У нас на початку служби молодий фахівець, лейтенант, який підписав контракт на п'ять років, заробляє 25 тис. грн. Південнокорейський чи японський фахівець на початку кар'єри коштує набагато дорожче – на початковому етапі заробляють $3–5 тис.
До речі, цього року ми підвищили зарплату, раніше було й за це менше. Протягом останніх трьох років зарплат не підвищували зовсім, тому стався відтік кадрів. Але не тільки в нас є така проблема, оскільки фахівців у державному секторі оплачують гірше, ніж у середньому по ринку. У будь-якій розвиненій країні приватні компанії готові платити за якісного фахівця набагато більше.
Щотижня кількість атак та аномалій зростає. Приріст становить приблизно 10% щомісяця
– Нам складно уявити, який вигляд має наш ворог у кіберпросторі?
– Держспецзв'язку займається безпекою всередині країни. У нас немає функції розвідки, кібервійськ, але їх найближчим часом створять в Україні. Але ми знаємо, хто нас атакує, і працюємо на захист. Кожна група хакерів має свій унікальний почерк, використовує певні інструменти, тому можна визначити, до якої країни вона належить. Деякі елементи, звісно, можна придбати в DarkNet, але загалом таких речей не продають, їх не можна купити, зокрема й тому, що це дуже дорого.
– За інформацією вашого відомства, протягом одного тижня із 6-го до 11 травня було зафіксовано 45 тис. різних видів атак. Це нормальна ситуація?
– Щотижня кількість атак та аномалій зростає. Приріст становить приблизно 10% щомісяця. Це не тільки в нас. Таку ситуацію фіксують у всьому світі. Треба розуміти, що йдеться про найпростіший спосіб заробітку для людей із певною підготовкою.
У нашому випадку не останню роль відіграє той чинник, що Україна перебуває у стані війни. Кіберпростір – такий самий полігон, як суша, море чи повітря. Цей чинник впливає на кількість кібератак.
– А якщо порівняти, скажімо, із минулим роком?
– Кількість кібератак і аномалій зросла вдвічі-втричі. У кожному держоргані розміщується програмно-апаратний комплекс, який захищає їхні зв'язки. Сенсорні системи опрацьовують сигнали і виявляють аномалії. Кожне спрацювання сенсора враховують і перевіряють. Дивимося, як розвиваються події, і класифікуємо їх – кібератака чи фішингова атака, а далі вирішуємо, як відпрацьовувати. На цьому етапі долучається команда CERT-UA, яка перебуває на передовій боротьби та визначає механізми реагування на аномалії.
– Хто нас атакує?
– Понад 90% усіх атак, які приходять із-за кордону, пов'язані з РФ та хакерськими групами, які фінансує російська влада.
Кібератаки завжди мають певну мету, адже підготовка нападу коштує дорого – від десятків тисяч до сотень мільйонів доларів. Якщо подивитися на найгучніші кібератаки за останні два місяці у світі, той же випадок у США з атакою на нафтопровід, – її готували два-три роки точно. Неможливо за один день усе влаштувати, адже це і підготовка програмного забезпечення, і розвідка слабких місць, і доправлення шкідливого коду, що потребує часу й чималих коштів.
Основні напрями – кібершпигунство для одержання інформації з обмеженим доступом, заробляння коштів і, як у випадку з нашим сусідом, РФ – завдання економічної та репутаційної шкоди державі.
– Окрім росіян, хто ще нападає на Україну?
– Хакерські угрупування з усього світу, мета яких – гроші. Блокування комп'ютерів, щоб потім їх розблокувати за біткоіни – типовий спосіб заробітку хакерів. Згадайте вірус Petya. За п'ять днів та атака заподіяла збитків приблизно на $10 млрд не тільки Україні, а й іншим країнам світу. Тому говорити про важливість кіберзахисту варто саме в розрізі шкоди, якої завдають кіберзлочинці.
Хтось може сказати: даремно ви витрачаєте стільки грошей. Але є конкретні приклади. Коли трубопровід, який забезпечує всю східну частину Америки нафтою, просто зупинився і довелося перейти на транспортування палива по-старому – автомобілями. Ця атака обійшлася Штатам точно в сотні мільйонів доларів. Чи потрібно вкладати гроші в побудову систем захисту і підготовку фахівців? Звісно, потрібно, що підтверджують такі приклади.
– Чи є сенс розбиратися, хто саме здійснив атаку на конкретний об'єкт?
– Однозначно це потрібно робити, адже кожна атака має свій унікальний почерк і ознаки. Реагування на неї не може бути протокольним. Це завжди унікальна робота. Методи атак і їхні розробки змінюються щодня. Щодня у світі створюють приблизно 3 тис. вірусів. Кожен із них – окремий унікальний код, і на нього треба реагувати.
Наприклад, росіяни використовують певні розробки, у китайських хакерів – свої методи. Тільки розуміючи, із чим ти маєш справу, можна ефективно цьому протидіяти. Наш тренінговий центр при Кіберцентрі, до речі, вчить не того, як саме реагувати на конкретну загрозу, а дає змогу довести до автоматизму реакцію на загрозу як таку і навички роботи в команді. Треба розуміти, що один системний адміністратор не в змозі відбити атаку – має бути злагоджена робота команди.
– На які структури та підприємства найчастіше нападають?
– Основні завдання Росії – послаблення потенціалу нашої країни. Тому всі напрями життєдіяльності України (економіка, оборона, освіта тощо), усі державні органи, починаючи від найменшої сільради, є метою для РФ. Адже будь-яка система об'єднана в загальну мережу. Ті самі фішингові розсилання листів – це, по суті, проба системи на надійність. Десь спрацює, і зловмисники проникають усе глибше. Це один із методів підготовки кібератаки. Коли ворог розставив свої пастки в інформаційних системах, відбувається напад.
Також метою є порушення сталого функціонування об'єктів критичної інфраструктури. Адже втручання, скажімо, у систему управління "Укрзалізниці" призведе до транспортного колапсу. Останні пів року в Україні ведуть формування переліку об'єктів критичної інфраструктури, куди потрапляють не тільки держпідприємства. Серед тих самих обленерго є і приватні. Держспецзв'язку розробило методологію зарахування об'єктів до критичної інформаційної інфраструктури, відбувається формування переліку, визначення категорій. Для кожної буде розроблено свої правила. До кінця року завершимо цю роботу, тоді з'являться чіткі нормативи і стандарти захисту таких об'єктів.
Оскільки кіберзахист неможливо побудувати в окремо взятій країні, ми, звісно ж, співпрацюємо з аналогічними службами США, Великобританії, Естонії, Бразилії, Іспанії
– На що схожа робота фахівців, які забезпечують кіберзахист?
– Це можна порівняти з роботою пожежної команди: є небезпечна ситуація, надходить виклик, і за свистком усі побігли. (Сміється.) Наші команди працюють 24/7 – з огляду на кількість атак, роботи всім вистачає. Сенсорні системи постійно сканують активність у мережах. Коли вони фіксують щось нестандартне, передають сигнал.
Наші фахівці методично розбирають дані, які надійшли, і, в разі виявлення шкідливого коду, до роботи береться спеціальна група. Спочатку вона працює дистанційно, визначає, де сталося зараження, долучає фахівців органів держвлади або держпідприємств, які зазнали нападу (найближчим часом, коли ми станемо сервісною службою, до нас зможуть звертатися і приватні підприємства), а потім фахівці виїжджають на місце і допомагають розв'язати проблему.
Є різні ситуації, але зазвичай необхідний виїзд на місце, тому що у разі зараження комп'ютерна система локалізується, щоб далі вірус не поширювався і не могла розвинутися кібератака. І саме на місці відбуваються основні дослідження та "лікування" постраждалої системи.
– Чи взаємодієте ви у сфері кіберзахисту з іншими державами?
– Процес диджиталізації не залежить від наших бажань і розвивається за своїми законами. Команда, яка прийшла до влади два роки тому, розуміє це. Багато інформаційних продуктів, які вже реалізовано в Україні, не мають аналогів у світі. Комусь це подобається, комусь ні, але це робить державу зручною. І оскільки кіберзахист неможливо побудувати в окремо взятій країні, ми, звісно ж, співпрацюємо з аналогічними службами США, Великобританії, Естонії, Бразилії, Іспанії. Найближчим часом планують кіберконсультації з Польщею та Ізраїлем. Це постійний безперервний процес обміну інформацією. Також команда CERT, яка є акредитованим членом First, має можливість обмінюватися інформацією з учасниками цього міжнародного форуму.
Треба розуміти, що ми не можемо самі щось робити, оскільки запозичуємо основні технології. У нас на низькому рівні розроблення, ми використовуємо програмне забезпечення та обладнання іноземного виробництва, і навички правильного з ним поводження напрацьовують саме у процесі співпраці.
Щоб відомості реєстрів не губилися, ми почали процес створення державного центру резервування даних, першу чергу буде побудовано до кінця року
– Зараз час бездротових технологій, цікаво, ще використовують дротяні телефони з кнопками і дисками?
– Звісно. Це один із найнадійніших способів зв'язку. Якщо на цифрове обладнання можна здійснювати вплив, скажімо, електромагнітний, то на таку систему вплинути складно і ресурсовитратно. Водночас ми займаємося їх заміною на сучасну IP-телефонію і, думаю, до кінця цього року впровадимо нову модель спеціального зв'язку. Ми вже почали перехід, поступово кількість телефонів зменшується, незабаром у кожного чиновника їх стане менше, а ми дістанемо сучасну захищену телефонію – це завдання президента.
– З огляду на те, що ми будуємо електронний уряд (держава у смартфоні), оцифровуємо реєстри тощо, виникає логічне запитання про збереження персональної інформації громадян. Як зберігають таку інформацію і наскільки вона захищена?
– Ми виходимо з того, що держава має бути підмогою, а не перешкодою в житті кожної людини. І "Дія" стала основним продуктом, який виконує цю функцію. Але "Дія" не зберігає персональних даних. Це технологічний портал, який вам у певний час відображає запитану інформацію. Наприклад, генерує QR-код доступу до паспорта. Код діє три хвилини і є шлюзом між державним реєстром і громадянином. Це просто послуга. "Дія" не збирає даних про громадян і не зберігає у себе. А Держспецзв'язку створює умови й вимоги, застосування яких обов'язкове і гарантує безпеку як "Дії", так і інших реєстрів.
– Де розміщено реєстри?
– На серверах органів, відповідальних за їх формування та функціонування. Деякі реєстри фізично зберігають у Держспецзв'язку. У структурі є підприємство "Українські спеціальні системи", яке надає послуги колокейшену – розміщення серверів органів держвлади. Ми відповідаємо за їх збереження та безпеку.
– В Україні ще не всі реєстри оцифровано, якісь відомості зберігають на папері. І вже були прецеденти втрати даних із реєстрів. Як оберігають таку інформацію?
– Збереження даних на папері не є надійнішим, ніж зберігання в цифровому вигляді. Їх теж можуть загубити, а головне – вони не захищені від людей зі злими намірами. Як мають захищати реєстри? Є нормативна база, де викладено правила, як зберігати і користуватися, хто має право на доступ, які програмні рішення мають застосовувати, щоб не було витоку даних.
Усі витоки – завжди людський чинник: або умисні дії, або непрофесійні дії та неправильна поведінка в мережі. Щоб відомості реєстрів не губилися, ми почали процес створення державного центру резервування даних, першу чергу якого буде побудовано до кінця цього року. Там будуть зберігати копії в захищеному вигляді. У випадку кібератак або якогось збою ми зможемо відновити дані в найкоротші строки й передати власникам реєстрів. Це одне з основних завдань нашої служби.
– Дорого коштує?
– Будь-яке збереження даних – недешеве задоволення. Перший етап інвестиції – приблизно 200 млн грн. Програма розрахована до 2023 року, її оцінюють приблизно в 500–600 млн грн.
– Не так давно стався витік даних користувачів у мережу, і багато людей вважає, що це сталося через "Дію". Чи розслідують такі випадки і чи відстежуєте ви їх?
– Ця проблема виникла навесні минулого року. "Дія" до цього не причетна, що було доведено під час кримінального розслідування. Займаються такими кейсами кіберполіція та СБУ. Нашу структуру залучали до розслідування як фахівців у сфері кіберзахисту для пошуку точки витоку інформації.
– Можете сказати, звідки вийшла інформація?
– Це компетенція правоохоронних органів. Справи в суд не передано, тому я не можу цей випадок коментувати.
Найслабша ланка в кожній історії – людина. Знехтувала кібергігієною, не перевірила абонента, який зателефонував, – і прокололася
– Ми розуміємо, у всіх є ці вразливі апарати – смартфони, і у президента, і у прем'єра, і членів РНБО. Як захищають їх?
– Якщо Україна перебуває у стані війни, у нас має бути захищений мобільний зв'язок. Ми працюємо над створенням такої системи для високопосадовців держави, оскільки для ухвалення певних оперативних рішень у критичній ситуації не завжди можна використовувати наземний телефонний зв'язок. Зараз із кількох пропозицій обираємо найбільш відповідну за ступенем захисту і вартості. Устаткування і забезпечення може поставити будь-яка міжнародна організація, але головна умова – використання українських криптоалгоритмів, до яких не має доступу більше жодна країна у світі. Цього року це завдання буде реалізовано.
– А, наприклад, народних депутатів ви захищаєте? Ми бачимо, що відбуваються витоки їхніх дзвінків і переписок...
– Усі особи, яким має бути надано державну охорону (серед них і народні депутати, тому що вони є носіями певної інформації), підлягають захисту. Але тут важливо розуміти, що основна проблема – не рівень їхнього захисту, а те, як вони поводяться в мережі. Далеко не всі є фахівцями у сфері захисту власних даних. Ми над цим теж працюємо, навчаємо їх, як працювати з інформацією, що має бути захищено.
– Пранкери в якийсь спосіб примудряються пробивати захист і виходити навіть на перших осіб держави. Тут можна згадати історію з розіграшем п'ятого президента Петра Порошенка, наприклад. Чия це помилка?
– Найслабша ланка в кожній такій історії – людина. Знехтувала кібергігієною, не перевірила абонента, який зателефонував, – і прокололася. Переконаний, що правил кібергігієни потрібно навчати всіх, починаючи від дітей у дитсадку і закінчуючи президентами, прем'єр-міністрами, депутатами. Інакше ніхто не буде в безпеці. Сьогодні кожен українець переймається, чи не витекли його дані в мережу, але мало хто замислюється, наскільки правильно він поводиться, щоб із його смартфона не витекли дані.
– На що кожному користувачеві уразливого смартфона звернути увагу передусім?
– Потрібно постійно оновлювати свої знання і завжди уважно ставитися до того, що ви робите на своєму пристрої.
Не відкривайте листів від невідомих вам адресатів. Пам'ятайте, вірусам підвладні всі пристрої, усі операційні системи, усі поштові служби й месенджери.
Одні з найпоширеніших – повідомлення, що ваш невідомий дядечко залишив вам $10 млн у спадок десь в Африці. Нерозумно? Але досить часто це спрацьовує, тому що люди від природи цікаві. Одержувачам просто цікаво, що буде далі. Не варто вступати в переписку, тому що з такими листами поширюють програмне забезпечення, яке викрадає дані або є інструментом кібератаки.