Ассоциация Телекоммуникационной Промышленности (TIA)

 Повышение интеграции информационных и коммуникационных технологий (ИКТ) в повседневной деятельности отраслей,  правительств, семей и потребителей – а также соответствующее увеличение киберпространства – было одним из основных факторов экономического роста  и производительности. По мере того как кибер пространство создает не только беспрецедентные возможности  для экономического роста, но также и для плохих актеров.  Действительно, Белый Дом назвал кибербезопасность «одной из самых серьезных экономических и национальных проблем безопасности, стоящих перед нацией.» [i]  От эффективности совместной работы промышленности и правительства по обеспечению безопасности киберпространства, в конечном счете, будет зависеть наша безопасность и то, в какой степени общество будет пожинать плоды существования в эпоху цифровых технологий.

 

Две области, представляющие особый интерес, включают защиту критической инфраструктуры страны (примерно 80-90% которой находится в частной собственности) от киберугроз, а также устранение потенциальных уязвимостей в глобальной цепи снабжения информационными и коммуникационными технологиями (ИКТ). Информационные и коммуникационные технологии промышленности и политики имеют общую цель в решении этой проблемы.  Что касается критической инфраструктуры, существующая модель государственно-частного добровольного партнерства обеспечила владельцев частного сектора и операторов гибкостью, необходимой им для отражения новых атак – в частности ввиду того, что количество кибератак увеличилось, и они стали более сложными.  Значительные инвестиции операторов и производителей в безопасность, сильный менеджмент сети, внедрение передового опыта и методов и добровольная координация всех важнейших компонентов существующей экосистемы защитили критическую  инфраструктуру от серьезных атак. Эти компоненты должны и впредь служить основой для развития стратегии критической инфраструктуры.

Обязательное регулирование критической инфраструктуры, наоборот, не будет должным образом обеспечивать нужды кибербезопасности страны.  Однако в отличие от типичных политических дебатов о достоинствах обязательных правил, основной проблемой промышленности во время перехода на режим обязательного регулирования является не нерациональное использование ресурсов, или то, что соответствующие усилия будут дублировать уже существующие мероприятия.  Хотя эти проблемы и существуют, основная проблема состоит в том, что навязывание жестких нормативных требований, которые по своей природе не смогут идти в ногу с быстро развивающимися технологиями и угрозами, потребует от промышленности концентрировать внимание на устаревших требованиях к безопасности, а не быстро реагировать на  угрозу. Это ослабляет безопасность системы. Ключ совершенствования кибербезопасности – усиление расширяющейся кибер-экосистемы. Оно позволит ускорить обмен информацией, усилить государственно-частное партнерство и будет способствовать росту инвестиций для устранения существующих и назревающих угроз.

Производство ИКТ носит глобальный характер.  Мировой рынок неразрывно связан с глобальной сетью поставок продукции и услуг ИКТ, а усилия по обеспечению безопасности требуют глобального подхода, основанного на внедрении передового опыта и мировых стандартов на промышленном уровне.  Промышленность осознает, как важна для политиков цепь снабжения. Для них в равной степени важно обеспечить безопасность и сохранность цепи снабжения.  В самом деле, промышленность уже имеет очень сильные рыночные стимулы, чтобы сделать сети безопасными, надежными и не подвергать их рискам. Для этого участники производства должны сотрудничать с государственными органами и даже с конкурентами.  

Ассоциация Телекоммуникационной Промышленности дает следующие рекомендации относительно того, как политики могут предоставить владельцам и операторам критических инфраструктурных систем ту гибкость, которая необходима им, чтобы противостоять новым киберугрозам, а также рекомендации для решения проблем в цепи снабжения ИКТ.

Рекомендация 1: Сотрудничество государственного и частного сектора должно способствовать повышению кибербезопасности и служить эффективным инструментом для совместного решения проблем существующих и будущих угроз.

 Рекомендация 2:  Правительство США должно обеспечить возможность и способствовать более широкому обмену информацией о киберугрозах между государственным и частным сектором. 

 Рекомендация 3: Политики и руководство должны решать проблемы экономических барьеров, существующих у владельцев и операторов критических инфраструктур для обеспечения безопасности киберпространства.  

 Рекомендация 4:  Конгресс должен определить приоритеты государственного финансирования исследований в области ИКТ и, в частности, исследований и развития в области кибербезопасности. 

 Рекомендация 5: Мировая индустрия требует обязательного глобального подхода к решению проблем кибербезопасности.

 Рекомендация 6: Безопасность мировой цепи поставок может быть обеспечена только за счет промышленно управляемого внедрения передового опыта и мировых стандартов.

 

I. ВВЕДЕНИЕ

Киберпространство становится все более всеобъемлющим и важным для каждого человека, семьи, рода деятельности и власти. С 1994 года Интернет широко доступен, и с тех пор киберпространство быстро растет и развивается, драматически изменяются целые секторы экономики. Сегодня киберпространство создает большие выгоды, и крупнейшие критические инфраструктуры предоставляют каждому гражданину.  Однако и количество, и стоимость деятельности в киберпространстве создали новые возможности и для плохих актеров.  В результате масштабы кибербезопасности, потенциальное воздействие на национальную безопасность, на США вообще и на мировую экономику продолжает расти. 

Защита киберпространства крайне важна для промышленности и для правительства. Они заинтересованы в укреплении доверия и безопасности использования информации и ИКТ в целях содействия экономическому росту и национальной безопасности. Рыночные силы заставляют ИКТ компании уделять внимание в первую очередь кибербезопасности своей продукции и услуг. Кибератаки усиливаются и становятся всё более изощренными, поэтому исключительно важно, чтобы партнеры по государственному и частному сектору создавали гибкие экосистемы для борьбы с угрозами.

Промышленность и правительство играют важную роль в обеспечении безопасности киберпространства.  Частный сектор владеет 80-90% критически важной инфраструктуры страны и несет главную ответственность за обеспечение безопасности ее сетей. Разведка правительства может распознавать угрозы и помогать промышленности защищать критическую инфраструктуру, а также сотрудничать с государственным и частным сектором в других сферах. Однако быстро меняющийся характер киберугроз означает, что обязательное соблюдение нормативно управляемых моделей было бы неэффективным и могло препятствовать развитию промышленности. И наоборот, успешные шаги в этой области должны стать стимулом для того, чтобы частный сектор был высоко мотивирован и принимал участие в обеспечении кибербезопасности не только критической инфраструктуры, но и глобальной цепи снабжения.

II. КРИТИЧЕСКАЯ ИНФРАСТРУКТУРА

Критически важные объекты инфраструктуры США, такие как  электрические сети, водоснабжение, транспорт, финансовые системы и аварийно-спасательные службы получили значительные преимущества от усиления интеграции информационно-коммуникационных технологий и сделали эти системы более эффективными, гибкими и надежными, поэтому промышленные системы контроля и передовые системы связи практически повсеместно обслуживают критические объекты инфраструктуры.

Рисунок 1: Министерство Энергетики, PNNL, Технологии безопасности, предназначенные для оценки возможностей и применения промышленных систем управления в энергетическом секторе.

Например, продолжающаяся модернизация электрических систем имела и впредь будет очень выгодна, в том числе: использование электроэнергии солнца и ветра в электросети, интеграция электрических транспортных средств, которая позволит распределять генерацию и сокращение потерь на линии, а также многие другие преимущества.[1]

Правительство и промышленность озабочены необходимостью обеспечить безопасность критической инфраструктуры наших ИКТ и сопутствующих систем управления от кибератак. В то время как в США до сих пор происходят значительные нарушения на важнейших объектах инфраструктуры, все признаки указывают на то, что критическая инфраструктура будет продолжать подвергаться все большему количеству атак.   Например, в последнем Сводном Отчете по Промышленным Системам Управления команды оперативного интернет реагирования (ICS-CERT) сообщалось об увеличении количества инцидентов на 400%. В Отчете названы инциденты, оказавшие воздействие на организации, которые  владеют и контролируют системы управления, связанные с критической инфраструктурой в период с 2010 по 2011 год.[2]

Объем атак увеличивается, кроме того промышленность озабочена тем, что кибератаки становятся всё более изощренными. APT атаки существенно изменили ландшафт киберугроз.. Обладая высоким уровнем знаний, финансирования и организации, участники АРТ атаки вероятнее всего добьются успеха в нарушении системы объекта нападения. APT атакам невозможно противостоять, используя нормативные государственные стандарты, передовой опыт или традиционное периферийное оборудование.   Скорее всего, борьба с АРТ атаками требует более широкого и быстрого обмена информацией, а также предоставления владельцам и операторам критической инфраструктуры гибкости, чтобы сфокусировать внимание на атаке. Остановить все атаки невозможно,  но государство может позволить промышленности гибко и быстро реагировать на них.

Владельцы и операторы критической инфраструктуры и частный сектор серьезно относятся к киберпреступности и долгое время сотрудничают, обмениваясь информацией и передовыми технологиями. Хорошая новость заключается в том, что хотя критическая инфраструктура Соединенных Штатов постоянно и все сильнее подвергается атакам, мы до сих пор не знаем о каком-либо масштабном успешном взломе, который имел бы серьезные последствия. Частный сектор успешно препятствовал многим кибератакам, потому что современная экосистема, основанная на добровольном сотрудничестве, позволила промышленности гибко реагировать и фокусировать внимание на защите ИКТ систем от атак. Значительные инвестиции в безопасность от операторов  и производителей, сильный менеджмент сети, внедрение передового опыта и технологий и добровольная координация всех критических компонентов экосистемы способствуют защите критической инфраструктуры от атак. 

Основная проблема промышленности при обязательном регулировании заключается не в количестве ресурсов, которое ей потребуется, и которые она будет неэффективно использовать, дублируя уже проводимые мероприятия по обеспечению безопасности. Основная проблема заключается в том, что навязывание жестких нормативных требований, которые по своей природе не могут идти в ногу со стремительно развивающимися технологиями, потребует, чтобы промышленность фокусировала внимание на выполнении устаревших  требований безопасности, а не на существующей угрозе, которая будет подвергать опасности инфраструктуру и клиентов, которых она обслуживает.  Ключ для обеспечения кибербезопасности важнейших объектов инфраструктуры – это усиление кибер экосистемы. Оно позволяет быстро обмениваться информацией, укрепляет государственно-частное партнерство и предоставляет достаточное количество экономических ресурсов.

Ассоциация Телекоммуникационной Промышленности (TIA) дает следующие рекомендации, которые обеспечат гибкость, необходимую частному сектору, чтобы реагировать на киберугрозы важнейшим объектам инфраструктуры.

Рекомендация 1: В целях повышения кибербезопасности необходимо использовать и укреплять существующее государственно-частное сотрудничество, что является эффективным инструментом сотрудничества при решении существующих и возникающих угроз.  

Государственно-частное партнерство было определено как основа киберзобороны важнейших объектов инфраструктуры и киберполитики в последнее десятилетие. [3]  Действительно, успех владельцев и операторов важнейших объектов инфраструктуры в отражении всё более изощренных атак стал результатом модели добровольного партнерства государственного и частного сектора. Эта модель способна развиваться вместе с изменениями, происходящими в жизненно важной инфраструктуре, и рисками окружающей среды. В условиях усложнения атак и увеличения их количества будет важно способствовать и развивать государственно-частное партнерство.  Переход от модели успешного государственно-частного партнерства к обязательному регулированию негативно отразится на безопасности важнейших объектов инфраструктуры. 

 В Национальном Плане Защиты Инфраструктуры (NIPP) утвердил государственно-частное партнерство в 18 важнейших секторах инфраструктуры в конкретных планах. Специальный Планах Секторов и Координационный Совет Секторов описывает преимущества государственно-частного партнерства следующим образом.

Многомерное партнерство государственного и частного секторов является ключом к успеху этой сложной по своей сути миссии. *** [Оно] способствует тесному сотрудничеству и доверительным отношениям 18 секторов Критической Инфраструктуры и Ключевых Ресурсов (CIKR) и между ними. *** Путь к успешному усилению безопасности Критической Инфраструктуры и Ключевых Ресурсов государства – это объединение руководства различных юрисдикций и секторов, потенциальных возможностей и ресурсов, предусматривающее адаптацию к каждому сектору, региональные особенности и операционную среду.

Реализация Национального Плана Защиты Инфраструктуры согласована между партнерами Критической Инфраструктуры и Ключевых Ресурсов (CIKR), чтобы она не привела к созданию дублирующих и дорогостоящих требований к управлению рисками, не предоставляющих усиления безопасности  Критической Инфраструктуры и Ключевых Ресурсов. *** Национальный План Защиты Инфраструктуры создает основу для беспрецедентного сотрудничества, необходимого для разработки, внедрения и поддержки скоординированного усилия государства, чтобы объединить все уровни власти, частный сектор, неправительственные организации и иностранных партнеров. [4]

Короче говоря, модели государственно-частного партнерства в целях обеспечения кибербезопасности выполняют задачи, которые не может выполнить принудительная модель: 1) сотрудничество, а не исполнение; 2) гибкий и единый подход к отражению атаки; 3) упразднение дублирующих и дорогостоящих требований, что позволяет направлять ресурсы на защиту, а не на выполнение устаревших приказов.

Между Национальным Планом Защиты Инфраструктуры и другими программами существует множество других вариантов сотрудничества, которые могут быть использованы для усиления защиты критической инфраструктуры,  такие как Национальный Координационный Центр / Центр обмена информацией и анализа (NCS / ISAC), Национальный Центр Кибербезопасности и Интеграции Коммуникаций (NCCIC), Партнерство по безопасности критической инфраструктуры (PCIS), Программа Управления Системами Безопасности (CSSP), Координационный Совет по коммуникациям, Координационный Совет Информационных Технологий, Безопасность Информационного Обмена Сетей,  Рабочая Группа Кросс-Сектора Кибербезопасности  (CSCSWG), Совет безопасности, надежности и функциональной совместимости связи (CSRIC), и Специальный Консультативный комитет при президенте США по вопросам телекоммуникаций в интересах национальной безопасности (NSTAC).  До тех пор, пока государственно-частное партнерство не будет успешным, они должны служить основой для развития безопасности критической инфраструктуры.

Вместо того, чтобы концентрировать усилия на новом режиме регулирования, Ассоциация Телекоммуникационной Промышленности (TIA) рекомендует

Федеральному правительству выделять ресурсы на укрепление государственно-частного партнерства, так как они имеют эффективные средства для обеспечения промышленности той гибкостью, которая необходима для отражения атак.  

Рекомендация 2:  Правительство США должно способствовать и стимулировать обмен информацией об угрозах кибератак между государственным и частным секторами.

Расширение обмена информацией позволяет владельцам и операторам критической инфраструктуры  противостоять киберугрозам.  Государство должно своевременно предоставлять промышленности подробные сведения о киберугрозах, чтобы частные коммуникационные сети смогли распознавать их.    Счетная Палата Правительства США неоднократно обнаруживала, что ожидания акционеров частного сектора в отношении обмена информацией о киберугрозах не удовлетворяются и рекомендовала улучшить обмен информацией. [5]

Правительство также может предоставить участникам частного сектора больше возможностей обмениваться информацией о киберугрозах как между собой, так и с правительством.  Палата Представителей США уже приняла закон о кибербезопасности CISPA (Cyber Intelligence Sharing and Protection Act), который поддержали две партии, который послужит достижению этой цели. Промышленность может и должна тесно сотрудничать для отражения кибератак и ожидает, что Конгресс устранит препятствия для более эффективного сотрудничества. Кроме того, промышленность будет продолжать совместную работу по дальнейшему развитию стандартных унифицированных методов сбора, анализа и представления данных о нарушениях во всем мире. Таким образом, промышленность и правительство  будут лучше осведомлены об угрозах кибербезопасности.

Рекомендация 3: Политики и руководство должны решать проблемы экономических барьеров, существующих у владельцев и операторов критических инфраструктур для обеспечения безопасности киберпространства.

Появляется все больше данных о том, что экономические соображения в отношении защиты своих сетей являются важным фактором для владельцев и операторов критической инфраструктуры.  В отчете Cyberspace Policy Review, предоставленном Белым Домом говорится: «Многие технические и сетевые решения по управлению, позволяющие значительно усилить безопасность, уже существуют на рынке. Однако их не всегда используют из-за высокой стоимости или сложности.», ”[6]  Руководители отраслей промышленности, работающих в системе жесткого регулирования, должны обеспечить достаточное финансирование владельцам и операторам критических инфраструктур, чтобы они могли противостоять киберугрозам. Для менее регулируемых отраслей политики могут создать экономические стимулы с помощью реформ об ответственности, снижающих издержки обмена информацией.

Обмен данными кибер разведки и Закон о Безопасности, принятый Палатой Представителей, помогут упразднить некоторые их этих экономических препятствий.  В конечном счете обеспечение владельцев и операторов критических инфраструктур финансовыми ресурсами для приобретения и использования соответствующих систем безопасности – тех, которые уже имеются на рынке – будет более эффективным средством для обеспечения безопасности критической инфраструктуры, чем обязательные требования.

Рекомендация 4: Конгресс должен определить приоритеты государственного финансирования исследований в области ИКТ и, в частности, исследований и развития кибербезопасности.

Хотя США до сих пор гордятся самыми сильными исследованиями экосистемы в мире, существуют некоторые признаки эрозии в секторе  ИКТ, так как конкурирующие страны предпринимают серьезные шаги для привлечения инвестиций в разработку ИКТ и создания инновационной экономики. [7] У США мало конкурентов в области исследований экосистемы, поэтому их сектору ИКТ грозят вполне реальные последствия.  По наблюдениям Национальной Академии наук отмечает, что, «государство рискует уступить  IT лидерство другим поколениям уже через поколение, если только Соединенные Штаты не возобновят предоставление ресурсов, необходимых для подпитки IT инноваций Соединенных Штатов.”[8]  Пока правительство США не приложило достаточно усилий, чтобы предотвратить этот прогноз. Федеральные инвестиции в исследования ИКТ остаются низкими по сравнению с другими областями науки.  Помимо экономических затрат, из-за которых другие страны могут обогнать США в исследовании ИКТ, наиболее тревожны затраты на устранение последствий для национальной безопасности.

Конгресс должен уделять приоритетное внимание финансированию исследований и развития кибербезопасности и должно координировать научно-исследовательскую деятельность различных участвующих учреждений при поддержке промышленности.  Конгресс должен также содействовать расширению частных инвестиций в научные исследования в целом введением закона о постоянном упрощенном кредитовании на разработку и исследования.  

III. ЦЕПЬ СНАБЖЕНИЯ

Революция ИКТ была обусловлена глобальным развитием торговли и доступом на мировые рынки. Глобальный рынок создает значительные преимущества для промышленности США, открывая рынки для высокотехнологичной продукции и услуг США.  А глобальная цепь поставок ИКТ развивалась одновременно с мировым рынком. 

Политики по всему миру начали выражать озабоченность по поводу глобального характера цепи поставок, опасаясь враждебного вмешательства за рубежом или на местном уровне, манипулирования системами ИКТ и саботажа. Например, Директор Национальной разведки назвал «очень сложные уязвимости связанные с IT цепью поставок для сети США» как одну из крупнейших стратегических задач в области киберугроз.[9]

Программное обеспечение было определено как потенциально уязвимое. Атака на цепь поставок может быть направлена на любую категорию программного обеспечения, включая специальное программное обеспечение, программное обеспечение, поставляющее услуги через облака, программный продукт или программное обеспечение, встроенное в устройство.[10]  Задержка коммерческого процесса разработки программного обеспечения часто связана с разработкой дизайна и качеством кода. Стороны выразили озабоченность по поводу незащищенных участков кода, оставляющих лазейку для физических лиц и правительств, заинтересованных в нарушении работы программного обеспечения. Кроме того существует возможность  поступления в цепи поставок контрафактного программного обеспечения, не отвечающего стандартам компании, и предоставленного клиентам вместо настоящего.   

Кроме того, есть опасения по поводу характера и качества компонентов ИКТ оборудования. Риски, связанные с поддельным оборудованием, - это «фальшивая» продукция и продажа или использование старых деталей (ссылаются на то, что они были новыми в процессе поставки).[11] К другим потенциальным рискам относятся такие, как установка в устройства в процессе производства вредоносных программ, вирусов и других вредоносных элементов, в результате чего устройства становятся уязвимыми для пульта дистанционного управления или портятся после установки в среде пользователя.  

Промышленность действительно крайне заинтересована в сотрудничестве, чтобы обеспечивать гарантии для программного обеспечения и оборудования.  Ассоциация Телекоммуникационной Промышленности (TIA) предлагает следующие рекомендации для цепи поставок

Рекомендация 5: Мировая индустрия требует обязательного глобального подхода к решению проблем кибербезопасности

ИКТ продукты часто изобретают и создают в разных местах, поставляя компоненты к ним сл всего мира, поэтому сложно классифицировать продукцию как американскую или неамериканскую.  Например, в недавнем исследовании GAO использована следующая схема, представляющая сложную цепь поставок для обычного ИКТ оборудования – ноутбука. 

Рисунок 3: Отчет GAO о безопасности цепи поставок

Помимо сложности в определении страны производства конкретного продукта, ИКТ компании осуществляют различные функции (производство, исследование и разработка, услуги) в нескольких разных странах, поэтому сложно классифицировать компании как американские или неамериканские. Чтобы оставаться конкурентоспособными компаниям необходимо продолжать использовать распределенный подход к развитию технологий и производства. Ассоциация Телекоммуникационной Промышленности абсолютно согласна с рекомендациями  Конгресса по вопросам кибербезопасности и подходом к решения проблем цепей поставок.

Любой подход должен включать международное сотрудничество и тесное взаимодействие с частным сектором, но не должен содержать язык, который может заставить правительство определять будущее проектирование и разработку технологии.  Также как и положения правоохранительных органов, США должно сотрудничать с правительствами других стран  для создания международных стандартов безопасности, чтобы не тормозить промышленность США использованием только американских стандартов. Мы обеспокоены тем, что правительство США устанавливает конкретные технологические стандарты. Это может повлиять на глобальную конкурентоспособность США, а также на инновационные технологии и разработки.[12]

Правительство США не должно предписывать политику кибербезопасности, которая ограничит торговлю телекоммуникационным оборудованием, импортируемым в разные страны или экспортируемым из разных стран, являющихся частью глобальной торговой системы. Другие страны также озабочены в отношении импортного оборудования ИКТ и в настоящее время обсуждают ограничительные меры в области торговли. Ассоциация Телекоммуникационной Промышленности (TIA) рекомендует правительству США крайне осторожно подходить к этому вопросу, так как политика США будет эффективно служить в качестве мирового стандарта.  Если США разработают уникальные подходы, без необходимости ограничивающие торговлю, глобальная экономическая конкурентоспособность США может сильно пострадать , так как другие рынки экспорта примут аналогичные меры.  

Рекомендация 6: Безопасность мировой цепи поставок может быть обеспечена только за счет промышленно управляемого внедрения передового опыта и мировых стандартов.

Глобальное производство ИКТ зависит от глобальной гибкости цепи поставок, которая характеризуется жесткой конкуренцией и колебанием цен и поставок различных материалов.  Действительно, требования рынка таковы, что для коммерческого сектора было бы непрактично отказаться от и использования глобальных ресурсов и распределенной модели цепи поставок. Поэтому Ассоциация Телекоммуникационной Промышленности (TIA) считает, что в целях безопасности надо концентрировать внимание на том, как изготовлен продукт, а не где он изготовлен.

Государственные органы озабочены рисками, связанными с использованием частей и компонентов по всему миру для производства высокотехнологичных устройств, используемых в Соединенных Штатах.  Промышленность понимает меру озабоченности политиков; она заинтересована в обеспечении безопасности и целостности своей цепи поставок.  У нее есть сильные рыночные стимулы, чтобы гарантировать сохранность, надежность и безопасность сетей.  Промышленники предпринимают активные меры, чтобы самым ответственным образом гарантировать безопасность глобальной цепи снабжения. Эти усилия предпринимаются как совместно с промышленными конкурентами, а также в рамках государственно-частного партнерства с правительственными органами.

Одним из мероприятий ИКТ промышленности, направленных на решение проблем цепи снабжения, является Форум Открытой Группы Доверенных Технологий (OTTF).  OTTF - совместная государственно-частная инициатива во главе с Министерством Обороны. Участники Форума - представители коммерческих технологических компаний.  Форум был создан для адаптации передовых технологий, усиления безопасности и целостности продуктов во время их перемещения по глобальной цепи снабжения.  В рамках Форума создана инфраструктура для соблюдения целостности каждой фазы жизненного цикла разработки продукта.  Форум разработает процесс аккредитации для работы в этой инфраструктуре, чтобы гарантировать, что избранная исполнителем практика соответствует инфраструктуре.

Кроме того, группа коммерческих провайдеров ИКТ под руководством Министерства Национальной Безопасности США создала организацию SAFECode. Она предназначена для повышения доверия к программным продуктам, обеспечения гарантия программного продукта, решение проблем возникающих в процессе производства ИКТ продукции путем использования передовых технологий. Эта организация занимается разработкой, выявлением и распространением передового опыта для создания более безопасного и надежного программного обеспечения, оборудования и услуг. SAFECode определила инфраструктуру для сохранения целостности снабжения программным обеспечением. Она обеспечивает общую таксономию для оценки рисков при разработке программного обеспечения и определяет роль, которую участники отрасли должны играть в решении этих рисков.  SAFECode координирует Форум Software Assurance Министерства Национальной Безопасности США.

Эти мероприятия, уже проводимые в промышленности, используют правильный подход, используя передовой опыт и методы. Ассоциация Телекоммуникационной Промышленности (TIA) считает, что самым лучшим подходом к решению проблем уязвимости цепи снабжения – снизу вверх, а не выполнение жестких и потенциально вредных директив правительства.  Саморегулируемая модель позволяет сторонам полностью изучить процесс технологической цепи  снабжения  для оценки существующей практики и представления рекомендаций по минимизации риска.  

IV. ЗАКЛЮЧЕНИЕ

Владельцы и операторы критической инфраструктуры несут основную ответственность за безопасность своих сетей и могут мотивированно и эффективно решать проблемы усиливающихся киьеругроз.  Продвигаясь вперед, модель добровольного государственно-частного сотрудничества будет ключом для обеспечения гибкости, необходимой для борьбы с киберугрозами.  Ассоциация Телекоммуникационной Промышленности (TIA) считает, что обязательное выполнение требований не сможет идти в ногу с быстро изменяющимися технологиями и новыми угрозами. Это означает, что режим исполнения предписанных требований непригоден для обеспечения кибербезопасности.  Более того, промышленность участвует в решении проблем уязвимости цепи снабжения, используя добровольные и мировые промышленные стандарты.

Когда речь заходит о кибербезопасности, промышленность осознает, что все – правительства, производители ИКТ, владельцы и операторы  - сражаются вместе, и участники производства решают общую задачу, отодвигая на второй план интересы конкуренции.  Ассоциация Телекоммуникационной Промышленности (TIA)  и другие компании-участники надеются, что политики будут сотрудничать с  нами как наши партнеры.

[i]White House Comprehensive National Cybersecurity Initiative, available at www.whitehouse.gov/cybersecurity/comprehensive-national-cybersecurity-initiative. [1] TIA, Smart Grid Policy Roadmap (Feb. 2011) available at www.tiaonline.org/sites/default/files/pages/TIASmartGridPolicyRoadmap.pdf.

[2] ICS-CERT, ICS-CERT Incident Response Summary Report 2009-2011, 2 (Jun 2012) available at www.us-cert.gov/control_systems/pdf/ICS-CERT_Incident_Response_Summary_Report_09_11.pdf.

[3] Cyberspace Policy Review: Assuring a Trusted and Resilient Information and Communications Infrastructure, 18 (2009) available at www.whitehouse.gov/assets/documents/Cyberspace_Policy_Review_final.pdf:

[4] National Infrastructure Protection Plan, i-8 (2009) available at www.dhs.gov/xlibrary/assets/NIPP_Plan.pdf.

[5] GAO, Testimony Before the Subcommittee on Cybersecurity, infrastructure Protection, and Security Technologies, House Committee on Homeland Security, Cybersecurity: Continued Attention Needed to Protect Our Nation’s Critical Infrastructure and Federal Information Systems, 8 (March 16, 2011). 

[6] Cyberspace Policy Review: Assuring a Trusted and Resilient Information and Communications Infrastructure, 31 (2009) available at www.whitehouse.gov/assets/documents/Cyberspace_Policy_Review_final.pdf

[7] TIA, U.S. ICT R&D Policy Report, (2011) available athttp://www.tiaonline.org/sites/default/files/pages/TIA%20U%20S%20%20ICT%20RD%20Policy%20Report.pdf.

[8] NRC, Assessing the Impacts of Changes in the Information Technology R&D Ecosystem: Retaining Leadership in an Increasingly Global Environment, 1 (2009), available at www.nap.edu/catalog/12174.html.

[9] James Clapper, Director of National Intelligence, Worldwide Threat Assessment of the US Intelligence Community, Senate Select Committee on Intelligence Hearing, (Jan. 31, 2012) available athttp://intelligence.senate.gov/120131/clapper.pdf.

[10] SAFECode, The Software Supply Chain Integrity Framework, (July 21, 2009) available atwww.safecode.org/publications/SAFECode_Supply_Chain0709.pdf.

[11] Hearing to Receive Testimony on the Committee’s Investigation into Counterfeit Electronic Parts in the Department of Defense Supply Chain, 2 (Nov. 8, 2011) available at http://armed-services.senate.gov/Transcripts/2011/11%20November/11-72%20-%2011-8-11.pdf.

[12] Recommendations of the House Republican Cybersecurity Task Force, 19 (Oct. 2011) available athttp://thornberry.house.gov/UploadedFiles/CSTF_Final_Recommendations.pdf.

Источник  T I A