Правила определяют порядок выявления инцидентов кибербезопасности в сетях связи, взаимодействия центров обеспечения кибербезопасности с Национальным координационным центром кибербезопасности, принятия решения о приостановлении оказания услуг связи и восстановления оказания услуг связи.
В ответе на запрос Zakon.kz в министерстве рассказали подробности.
Так, говорится, что основанием для рассмотрения вопроса о приостановлении оказания услуг связи является информация о критическом инциденте кибербезопасности, поступившая от центра обеспечения кибербезопасности либо от Национального координационного центра кибербезопасности.
Как поясняется, инцидент кибербезопасности – событие или совокупность событий, негативно влияющих на кибербезопасность цифрового объекта.
Порядок выявления и уведомления об инцидентах кибербезопасности
Предусмотрено, что операторы связи в соответствии с Национальным антикризисным планом реагирования на инциденты информационной безопасности разрабатывают и утверждают планы реагирования, в которых предусматриваются меры по обработке угроз (рисков) кибербезопасности, обеспечению непрерывной работы и восстановлению работоспособности активов, связанных со средствами обработки информации, и следующие обязательные мероприятия:
- организация и проведение мероприятий по недопущению возникновения кризисной ситуации кибербезопасности;
- сбору и анализу данных о состоянии кибербезопасности в цифровой инфраструктуре;
- осуществление взаимодействия с Центром обеспечения кибербезопасности и Национальным координационным центром информационной безопасности;
- поддерживающие меры обеспечения непрерывности работы и устойчивости к внешним изменениям;
- информирование заинтересованных субъектов системы по вопросам обнаруженных инцидентов кибербезопасности и их устранению;
- порядок действий при ликвидации инцидентов кибербезопасности и их последствий, минимизации воздействия на цифровую инфраструктуру субъекта системы;
- меры сохранения цифровых следов инцидентов кибербезопасности (журналов, отчетов и форм);
- установление причин инцидентов кибербезопасности;
- действия, которые предприняты после инцидента кибербезопасности;
- устранение причины инцидента кибербезопасности;
- процедуры восстановления.
Для эффективного взаимодействия операторы связи определяют ответственных должностных лиц за обеспечение кибербезопасности. Контактные данные лиц направляются в Национальный координационный центр информационной безопасности.
Обо всех случаях замены ответственного должностного лица, либо его контактов Национальный координационный центр кибербезопасности информируется в течение 48 часов.
Указывается, что центр обеспечения кибербезопасности обеспечивает круглосуточный мониторинг сетей связи.
При выявлении инцидента кибербезопасности оператор связи:
- осуществляет первичную оценку уровня критичности инцидента;
- принимает меры по локализации угрозы;
- уведомляет уполномоченный орган и Национальный координационный центр информационной безопасности в срок не позднее 15 минут с момента подтверждения инцидента.
Уведомление направляется в электронной форме с использованием защищенных каналов связи платформы Национального координационного центра информационной безопасности и должно содержать:
- описание инцидента;
- предполагаемое время начала;
- затронутые сегменты сети;
- предполагаемые последствия;
- принятые меры реагирования.
Приостановление услуг связи
Оператор связи временно ограничивает или приостанавливает оказание услуг в случае, если:
- продолжающееся оказание услуг создает угрозу масштабного распространения вредоносной активности;
- существует риск разрушения сетевой инфраструктуры;
- технически невозможно локализовать инцидент без временного отключения сегмента сети.
Решение о приостановлении оказания услуг связи оформляется документально с указанием технического обоснования и объема вводимых ограничений.
Уполномоченный орган в сфере связи по результатам оценки информации о критическом инциденте кибербезопасности направляет оператору связи обязательное для исполнения предписание:
- о полном приостановлении оказания услуг связи;
- частичном приостановлении оказания услуг связи (в отношении отдельных сегментов сети, IP-адресов, автономных систем, каналов связи, сервисов либо категорий трафика);
- применении иных ограничительных мер, направленных на локализацию и нейтрализацию угрозы кибербезопасности.
Указывается, что оператор связи исполняет предписание незамедлительно, но не позднее двух часов с момента его получения.
При чрезвычайных ситуациях социального, природного и техногенного характера, введении чрезвычайного или военного положения уполномоченный орган по обеспечению информационной безопасности осуществляет координацию деятельности по управлению интернет-ресурсами и объектами цифровой инфраструктуры.
Информирование пользователей (абонентов) о приостановлении оказания услуг связи осуществляется уполномоченным органом в сфере связи.
Размещение информации производится незамедлительно после принятия решения о приостановлении оказания услуг связи.
Информация доводится до сведения пользователей (абонентов) посредством:
- размещения на официальном интернет-ресурсе уполномоченного органа в сфере связи;
- опубликования в средствах массовой информации (при необходимости);
- иных доступных способов доведения информации до пользователей (абонентов).
В размещаемой информации указываются:
- основание и факт приостановления оказания услуг связи;
- объем вводимых ограничений (полное либо частичное приостановление);
- предполагаемая продолжительность ограничений (при наличии такой информации);
- контактные данные для получения разъяснений.
Правила также предусматривают порядок восстановления оказания услуг связи.
Действие Правил распространяется на операторов связи, осуществляющих деятельность на территории Казахстана.
Документ размещен на сайте "Открытые НПА" для публичного обсуждения до 14 апреля.