Что сулит Украине Акт о сотрудничестве с США в сфере кибербезопасности
Палата представителей Конгресса США 404 голосами «за» поддержала законопроект Бойла-Фицпатрика H.R.1997 - Ukraine Cybersecurity Cooperation Act of 2017. О документе, усиливающем сотрудничество между Украиной и США в сфере кибербезопасности, уже говорят как о победе, хотя его должен ещё поддержать Сенат и потом подписать Дональд Трамп.
InternetUA разбирался, чего ожидать от одного из ключевых документов в сфере украино-американского киберсотрудничества.
Украина – центр геополитической войны?
Законопроект H.R.1997 – Ukraine Cybersecurity Cooperation Act of 2017, по данным сайта Конгресса США, был получен Палатой представителей (нижняя палата Конгресса – Ред.) шестого апреля 2017 года и в этот же день перенаправлен в Комитет Палаты представителей по иностранным делам. 18 мая прошлого года проект документа был перенаправлен в подкомитет по вопросам Европы, Евразии и опасным глобальным угрозам, где «провисел» до декабря. 5 февраля уже этого года Палата представителей начала рассмотрение проекта закона, но не собрала кворума для голосования. 7 февраля после в 19-17 документ был проголосован.
Отметим, что согласно данным Управления Конгресса США по бюджету, внедрение законопроекта обойдется Соединенным Штатам в сумму около 500 000 долларов в период с 2018-2022 годов. Такие расходы будут зависеть от наличия бюджетных средств США.
– Кибербезопасность – это сложная и серьезная проблема для любой нации, - считает инициатор законопроекта Брайан Фитцпатрик. – В течении многих лет Украина находилась под угрозой кибератак, целью которых было ослабление правительства и подрыв открытого и демократического общества. Соединенные Штаты должны играть важную роль в этой борьбе.
В свою очередь, соавтор законопроекта Брендан Бойл уверен, что помощь Украине в борьбе с кибератаками поможет США в разработке новых, более эффективных технологий и стратегий в сфере кибербезопасности.
Также один из членов Палаты представителей США Уилл Херд поддерживает законопроект, поскольку считает, что то, что сейчас происходит в Украине, может случиться и в Европе. По мнению Херда, эффективная стратегия борьбы с дезинформацией требует правительственного сотрудничества не только с частным сектором, но и со странами-союзниками, а именно - с Украиной.
– Центр этой геополитической войны – Украина, – заявил Херд.
О чем говорится в документе
Принятый Палатой представителей Билль утверждает поддержку Украины Соединенными штатами в трех ключевых направлениях:
– усовершенствование системы безопасности правительственных систем, особенно таких, которые защищают критическую инфраструктуру Украины.
– снижение зависимости от российских информационно-коммуникационных технологий.
– наращивание потенциала, расширение обмена информацией по кибербезопасности и сотрудничества в киберпространстве.
В случае утверждения документа Сенатом и подписания его президентом США, за 180 дней будет подготовлен доклад о состоянии сотрудничества США и Украины в сфере кибербезопасности.
Отчет, как того требует документ, должен содержать сведения:
– об усилиях Соединенных Штатов по укреплению способности Украины предотвращать, смягчать и реагировать на киберинциденты, в том числе посредством обучения, образования, технической помощи, наращивания потенциала и стратегий управления рисками кибербезопасности.
– о новых областях сотрудничества и взаимопомощи между Соединенными Штатами и Украиной в решении общих проблем кибербезопасности, включая киберпреступность, защиту критической инфраструктуры и устойчивость к ботнетам и другим киберугрозам.
– об усилиях НАТО по оказанию помощи Украине в разработке технических возможностей для противодействия киберугрозам.
Отметим, что документ от момента внесения его на рассмотрение комиссии Палаты представителей и до его принятия претерпел ряд существенных изменений. В частности, принятый документ «визуализирует агрессора» – в нем говорится о «поддерживаемых Россией дезинформационных и пропагандистских усилиях в киберпространстве», «пророссийской пропаганде и наступательных кибероперациях». Ранее в документе избегали таких формулировок.
Также в утвержденном законопроекте изменилось и «понимание» многих событий: «неудачная попытка уничтожить ПО компьютеров избирательной комиссии посредством кибератаки» стала «атакой хакеров на избирательную инфраструктуру страны», а «опыт внеплановых отключений электроэнергии из-за кибератак» – «злонамеренным кибервмешательством в работу украинских предприятий электроэнергетики» и пр.
Многие изменения в текст Билля продиктованы временем – атака вируса Петя, заявление генсека НАТО, кибердиалог «Украина-США» в Киеве в сентябре 2017 года появились в документе позже. События, последовавшие с момента внесения проекта, несколько изменили «вектор» документа: первоначальный текст гораздо больше акцентирует внимание на проблемах уязвимостей объектов энергетики и даже отводит Министерству энергетики США роль организатора группы по разработке Украинской системы кибербезопасности. В принятом же документе речь идет, в большинстве своём, о кибербезопасноти объектов критической инфраструктуры в целом. Это можно объяснить тем, что в апреле 2017-го самым громким киберинцидентом в Украине считались именно атаки на облэнерго, а США небезосновательно рассматривают нашу страну как полигон для тестирования российского кибероружия.
Подробно с изменениями в документе можно ознакомиться в справке от InternetUA внизу после публикации.
Заграница нам поможет?
Документ в Украине профильным сообществом – практиками и экспертами в сфере кибербезопасности – был воспринят достаточно позитивно. Впрочем, с одной существенной поправкой – на украинские реалии.
– Это, прежде всего, серьезный политический шаг: США признает Украину как союзника в киберпространстве, – говорит специалист по информационной безопасности Владимир Стыран. – Актом определяются три плоскости сотрудничества: поддержание защиты систем критической инфраструктуры, отказ от российских информационных продуктов и дальнейшее содействие развитию отрасли в Украине в целом. Акт также свидетельствует о том, что теперь Украина сможет получить помощь напрямую, что значительно ускорит рост отрасли и, возможно, за 2-3 года мы выйдем на уровень Польши и Эстонии.
То, что Акт является победой (и не первой) украинской дипломатии, считает один из основателей «Украинской группы информационной безопасности» Константин Корсун, однако главный вопрос, отмечает эксперт, в том, каким образом Закон будет реализован после утверждения Сенатом и подписания президентом США: открытыми остаются вопросы финансирования, имплементации этой Программы с украинской стороны и многие другие.
На реальную помощь США, а не консультации, надеется основатель и руководитель Украинских кибервойск Евгений Докукин. Настроен он довольно скептически:
– Главное – это как после подписания закона он будет внедряться на практике. Чтобы это не были только пожелания, а реальная помощь в поднятии уровня безопасности. Из текста законопроекта видно, что документ предусматривает помощь Украине в совершенствовании стратегии кибербезопасности. То есть, вероятно, США только предоставит консультации – советы нашей власти как улучшать безопасность, а наша власть это проигнорирует и все останется на том же месте, – считает Докукин. – Учитывая, что у власти нет действенной стратегии кибербезопасности, американцам, получается, не к чему давать советы для улучшения. А полное нежелание власти за 27 лет заниматься защитой сайтов и всей государственной IТ-инфраструктуры сведет любые пожелания США на нет.
Принятый документ может иметь, мягко говоря, малоприятные последствия для украинских властей – отчет, который должны будут составить американцы, может стать «точкой невозврата» для украинских государственных деятелей от кибербезопасности, считает спикер Украинского киберальянса, известный под ником Sean Brian Townsend:
– Американцы проведут обзор «всилякой», как говорит один из моих друзей, инфраструктуры, и в течении 180 дней будет опубликован отчёт. И мы как бы уже знаем, что будет в этом отчёте – #FuckResponsobleDisclosure показал это вполне наглядно. Комитет по международным отношениям, думаю, придёт к тем же выводам. Радует то, что Соединенные Штаты в очередной раз подтверждают свою приверженность договоренностям (reaffirmed). Но это только первый шаг, после него уже нельзя будет сказать, что «всё у нас хорошо, и всё в порядке», – говорит Sean Brian Townsend. – То, что стратегию подправят, это, конечно, хорошо. Потому что нашим деятелям пора бы понять, что управление - это не контроль и наказание. Управление должно облегчать и упрощать какие-то процессы, а не «регулировать» их. Надеюсь американцы как-то помогут донести эту нехитрую мысль. У нас не получилось.
На момент публикации материала нашему изданию не удалось получить комментарий Государственной службы специальной связи и защиты информации. Его мы опубликуем после получения.
По разным оценкам, американским парламентариям может понадобиться около года, дабы Акт прошел все необходимые процедуры и был подписан Трампом. Оптимисты указывают на довольно быстрый ход документа в конце прошлого года и настроены ждать его утверждения ещё в этом году. Пессимисты сетуют на длительное рассмотрение законопроекта различными комиссиями, «незаинтересованность» Трампа, российское лобби и рекомендуют надеяться на 2019 год. И те, и другие пристально следят за судьбой документа и рекомендуют украинским властям готовиться к довольно неприятному для них отчету о состоянии сотрудничества с США в сфере кибербезопасности.
СПРАВКА ОТ INTERNETUA
Как менялся текст Ukraine Cybersecurity Cooperation Act of 2017
Проект закона, проголосованный в феврале Палатой представителей, и документ, который внесли туда в апреле прошлого года, имеют ряд существенных различий. Большинство из них продиктованы усилением агрессии РФ против Украины в киберпространстве за то время, пока документ блуждал коридорами американской политики.
За время рассмотрения документа, из раздела «FINDINGS» исчезли некоторые тезисы, а многие формулировки стали жестче. К примеру, тезис об атаке на ЦВК из «неудачной попытки уничтожить ПО компьютеров избирательной комиссии посредством кибератаки» превратился в «атаку хакеров на избирательную инфраструктуру страны», а «опыт внеплановых отключений электроэнергии из-за кибератак» на украинские энергокомпании (декабрь 2015 – Ред.) заменен на «злонамеренное кибервмешательство в работу украинских предприятий электроэнергетики».
Из документа исчезла цитата экс-министра торговли США Брюса Эндрюса о важности сотрудничества в сфере кибербезопасности. Вместо этого появилось заявление генсека НАТО о важности помощи Украине в вопросах кибербезопасности.
Документ дополнился сведениями о наступательных кибератаках на Украину, пророссийскую пропаганду в российских же соцсетях как угрозу нацбезопасности, и упоминанием вируса Petya. Также появился пункт от кибердиалоге между Украиной и США в сентябре 2017 года.
Раздел 3 «STATEMENT OF POLICY» также претерпел изменения. Из текста убрали «обтекаемые» понятия и четко выписали пункты о поддержке Соединенными штатами сотрудничества Украина-НАТО, политических и экономических реформ в Украине, а также выполнения условий Будапештского меморандума. В проголосованном документе отдельной строкой появился тезис об «улучшение способности Украины реагировать на поддерживаемые Россией дезинформационные и пропагандистские усилия в киберпространстве». Отметим, что в предыдущем документе враг страны в киберпространстве не был так чётко обозначен. В принятом Палатой представителей документе недвусмысленно говорится о российской киберагрессии.
Пожалуй, главный раздел принятого документа – «Сотрудничество Соединенных штатов с Украиной» немного проливает свет на причины заинтересованности «западных партнеров» в Украине. В первоначальном тексте гораздо большее внимание отводится энергетическому сектору и работе Министерства энергетики США: ключевой информацией в отчете о кибербезопасности Украины должна была стать «обновленная информация об усилиях Министерства энергетики США по созданию Рабочей группы заинтересованных сторон США и Украины в качестве элемента их работы с Украиной для разработки Украинской программы кибербезопасности».
Становится очевидным, что США, на момент подготовки документа, были очень серьезно обеспокоены атакой на украинские объекты энергоинфраструктуры в декабре 2015 года и рассматривали их как подготовку к атакам на объекты критической инфраструктуры своей страны. Косвенно об этом свидетельствуют неоднократные упоминания украинского инцидента американскими политиками и СМИ в контексте того, что Украина становится испытательным полигоном для дальнейших атак на США.
В утвержденном документе формулировки стали «общими», исчезли некие подробности отчета, а акцент смещен с энергетики на кибербезопасность в целом:
