ECSM - Recommendations for ALL - BG

Published under European Cybersecurity Month

Месец на европейската киберсигурност е кампания с подкрепата на ЕС, която ще се проведе през октомври. Нейната мисия е да популяризира осведомеността на гражданите относно киберсигурността. Кампанията има за цел да ИЗМЕНИ представите за киберзаплахите във всекидневния живот — на работното място или при ползване на интернет за лични цели

Мрежова и информационна сигурност за образователни специалисти

Целева аудитория
Целевата аудитория са образователните специалисти, определени като обучаващи специалисти, преподаватели и специалисти в областта, участващи във формалното и неформалното образование, включително ученето през целия живот. Значителната роля на образователните специалисти не трябва да се забравя при изготвянето на която и да е карта на заинтересованите лица в сферата на ИКТ!

Съвети за образованието в областта на мрежовата и информационната сигурност (МИС)

Резултатите от проведено от ENISA проучване показват, че при изготвянето на „най-добрата сесия“ образователният специалист следва да вземе под внимание следното: кратко въведение и практически занятия; истории и примери от реалния живот; обучителната сесия с цялостна ангажираност може да включва: ролеви игри, симулационни упражнения, работа в екип; делови игри като част от изпитите; комбинация от подходящи видеоклипове;
Предизвикателства, които трябва да се преодолеят:
Разбиране, че използването на дадена технология предполага рискове, както и разбиране, че рисковете са не само лични, но могат да засегнат и други хора. Важно е технологията не само да се ползва, но и да се разбира;
Повторно определяне на реалните човешки взаимоотношения и поведения в интернет: етикет на поведение в мрежата;
Вземане под внимание на мултидисциплинарни експертни познания (юридически, технически, организационни и т.н.);
Модел за посредничество при образованието в областта на МИС

Препоръки

Препоръчваме прилагането на подход на увереност („can do“) от образователните специалисти и лицата, които те обучават;
Стремеж към създаване на публично-частни партньорства за финансиране и разработване на актуални материали и сесии.

Повече информация: http://www.enisa.europa.eu/activities/stakeholder-relations/nis-brokerage-1

Обучение в областта на мрежовата и информационната сигурност за служители

Целева аудитория
Обучението е от съществено значение за поддържане на информираността както на експертите в областта на информационната сигурност, така и на служителите, относно последните развития в областта, а също така и за подобряване на уменията с цел борба със заплахите по икономически ефективен начин.

Съвети

Информационната сигурност в наши дни е широко обсъждана тема, защото се развива много бързо и по един или друг начин засяга живота на всички. Хората трябва да имат достъп до ресурси, ръководства, упътвания и специализирани обучения относно това как да поддържат приемливо ниво на сигурност и неприкосновеност на личния живот в хода на ежедневните си дейности, които зависят във все по-голяма степен от информационните технологии;
Когато става въпрос за областта на защитата на жизненоважните за държавите услуги и комуникационна инфраструктура, чрез които се осигуряват прясна вода, електричество и възможност за комуникация, е налице необходимост от експерти, които могат да отстраняват неизправности, разрешават проблеми и дават съвети. В случай на нужда голям интерес представляват услугите, свързани с информационната сигурност, като например действия при инциденти, сигнали за тревога, предупреждения и анализ на артефакти. В много случаи е необходима намесата на екип за незабавно реагиране при компютърни инциденти (http://www.enisa.europa.eu/activities/cert/). Тъй като всеки екип е толкова силен, колкото са силни членовете му, съществува постоянна необходимост знанията на служителите, служителите за реакция, както и на обучаващите специалисти, да бъдат актуализирани, за да може да се реагира на най-новите заплахи и те да бъдат ограничавани по-най-бързия и ефикасен начин;
От гледна точка на обучаващия специалист заемането на тази позиция му предоставя отлична възможност да работи „на място“ и да възприема действителността от различни перспективи, тъй като комуникацията в залата за обучение следва да бъде двупосочна. Опитът и актуалните знания са неизменна част за изграждането на доверие с обучаващата се аудитория, тъй като, както показва обратна информация от обучения, аудиторията оценява високо примери от реалния живот и случаи от практиката;
За предаването на информация към обучаващата се аудитория могат да се използват няколко различни метода, например организиране на работни семинари и специални събития или просто предоставяне на достъп до материали за самостоятелно обучение. И двата подхода имат своите ползи, като самостоятелното обучение може да бъде полезно за осигуряване на гъвкавост и намаляване на крайната цена. Обучението чрез работни семинари насърчава комуникацията и е отлична възможност за хората да споделят своя опит и знания.

Препоръки

ENISA предоставя обучения на място в подкрепа на екипите за незабавно реагиране при компютърни инциденти, както и в подкрепа на капацитета на други оперативни общности, като материалите за обучение са публикувани на уебсайта на ENISA.

Повече информация: http://www.enisa.europa.eu/activities/cert/support/exercise

Софтуерни актуализации

Целева аудитория

ENISA предупреждава за рисковете от използването на неподдържан софтуер не само поради липсата на поддръжка от страна на производителя, но и от трети страни, например производители на софтуер за отстраняване на зловреден софтуер или производители на друг вид софтуер или на компютърни периферни устройства. Това ще доведе до постоянно излагане на уязвимости и невъзможност за актуализация на периферните устройства или приложенията на трети страни.

Съвети

Използването на неподдържан софтуер предполага излагане на следните рискове:
Крайните потребители няма да могат да проверяват цялостността на софтуера, тъй като подписаните сертификати може да са изтекли; невъзможността да се провери цялостността на софтуерния пакет може да изложи потребителя на риск от зловреден софтуер; потенциално заразените системи може да разпространят заразата в цялата мрежа; също така това би могло да доведе до нарушаване на политиките за сигурност;
Загубата на продуктовата поддръжка от софтуерния производител, прекратил поддръжката, може да доведе до следното: потребителите на неподдържаните системи няма да се възползват от актуализации за защита или напомняния; новите уязвимости няма да се регистрират, докладват и анализират, следователно няма да се осигуряват нови софтуерни поправки за защита; съответно неподдържаният софтуер може за постоянно да остане изложен на всяка такава уязвимост, все едно е подложен на атака в нулев ден; липсата на поддръжка от трети страни производители на софтуер и хардуер би могла да доведе до невъзможност за ползване на платформата, например неизвестни грешки могат да спрат работата на неподдържания софтуер; несъвместимостта на старите операционни системи с нови устройства и липсата на драйвери за новите версии на периферните устройства може да попречи на потребителите да актуализират или заменят използвани или повредени устройства; спирането на поддръжката на съществуващите устройства на неподдържана платформа може да доведе до невъзможност устройството да продължи да се използва в случай на повреда; спирането на поддръжката от трети страни производители на инсталиран софтуер може да попречи на потребителите да актуализират също и софтуер на трети страни с по-нови версии или да приложат изменения за него. Това важи и за нови приложения. Това може да е особено важно в случай на липса на актуализирани версии на решения за отстраняване на вируси и зловреден софтуер.

Препоръки

Мениджърите в областта на ИТ следва винаги да поддържат системите актуализирани с последните софтуерни поправки за защита. Неподдържаният софтуер следва да се възприема като пораждащ висок риск за сигурността на критични ИТ компоненти, който следва да се намали чрез мигриране към по-нови решения или други платформи. В случая на информационните системи на критични инфраструктури рискът от излагане може да засегне и гражданите, поради което отговорността на мениджърите в областта на ИТ е още по-голяма.
Производителите следва да гарантират, че предоставят достатъчно време за мигриране. В този период ENISA настоятелно препоръчва използването на предварителни уведомления, както и на задълбочен анализ на очакваното въздействие върху сигурността на потребителите след спирането на поддръжката на продукта.
Потребителите следва да се уверят, че са осведомени и че разбират риска за сигурността, на който се излагат, когато продължават да използват остарял софтуер.

Повече информация: http://www.enisa.europa.eu/publications/flash-notes#b_start=0

Кибернетични учения за технически експерти

Целева аудитория

ENISA се е ангажирала с улесняването на паневропейските кибернетични учения и по-общо с подпомагането на обмена на добри практики от сферата на сътрудничеството и ученията в областта на киберкризите. ENISA има основна заслуга за редицата паневропейски кибернетични учения Cyber Europe, както и за проведеното съвместно от ЕС и САЩ кибернетично учение (Cyber Atlantic) и за ежегодните международни конференции, които обхващат теми от сферата на сътрудничеството и ученията в областта на киберкризите. До момента са организирани две паневропейски учения за действия при киберкриза, Cyber Europe 2010 и Cyber Europe 2012, както и едно европейско-американско кибернетично учение — „Cyber Atlantic“ през 2011 г.; в момента се провежда третото паневропейско учение за действия при киберкриза, Cyber Europe 2014 (CE2014). Могат да участват всички заинтересовани страни от публичния и частния сектор на ЕС и ЕАСТ, включително институциите и органите на ЕС. Примерите включват, но не се ограничават до органи, занимаващи се с киберкризи, като например агенции за киберсигурност, национални или правителствени CERT, национални регулаторни органи, както и организации от частния сектор и експерти в областта на МИС.

Препоръки

Учението Cyber Europe 2012 беше от полза за подобряването на паневропейското управление на кибернетични инциденти. Поради това е важно да продължат да се полагат усилия и допълнително да се развива областта на европейските кибернетични учения. При бъдещите кибернетични учения следва да се проучват междусекторните зависимости и да се поставя по-голям акцент върху специфични общности;
Учението Cyber Europe 2012 предостави възможност за сътрудничество на международно равнище и за укрепване на европейската общност за управление на кибернетични инциденти. От съществено значение за насърчаване на международното сътрудничество е улесняването на обмена на добри практики в областта на кибернетичните учения, извлечените поуки, експертния опит и организирането на конференции. Това ще гарантира една по-силна общност, способна да се справя с транснационални киберкризи. Всички заинтересовани страни в областта на международното сътрудничество при киберкризи трябва да бъдат обучени как да използват процедурите, за да знаят как да прилагат адекватно. Включването на организации от частния сектор като участници имаше добавена стойност за учението. Поради това държавите ― членки на ЕС, и страните от ЕАСТ следва да обмислят включването на частния сектор в бъдещи учения;
Европейската общност за управление на кибернетични инциденти може да бъде укрепена чрез приноса на други изключително важни европейски сектори (напр. здравеопазване, транспорт), които са от значение за преодоляването на широкомащабни кризи;
Cyber Europe 2014: основаващо се на извлечените поуки от предходните две паневропейски учения, CE2014 е високоусъвършенствано кибернетично учение, провеждано в хода на 2014 г. със следните цели: изпитване на съществуващите процедури и механизми за сътрудничество за управление на киберкризи в Европа; укрепване на възможностите на национално равнище; проучване на съществуващото сътрудничество между частния и публичния сектор; анализиране на процесите на ескалация и деескалация (на техническо, оперативно и стратегическо равнище); разбиране на проблемите в областта на обществените дела, свързани с широкомащабни кибернетични атаки.

Повече информация: http://www.enisa.europa.eu/activities/Resilience-and-CIIP/cyber-crisis-cooperation

Сигурност в „облакa“ за всички ползватели на цифрови технологии

Целева аудитория

Служители в сферата на информационната сигурност от публичния и частния сектор, които използват и са интегрирали услуги за изчисления в облак в ежедневния си живот или биха обмислили ползването на услуги за изчисления в облак за своите дейности. Аудиторията включва и всички ползватели на цифрови технологии, които ежедневно използват популярни услуги за изчисления в облак (социални мрежи и т.н.), напр. Facebook, Dropbox, Instagram, Тwitter и много други, така че последните да знаят как функционира „облачният“ модел и какви са предимствата и недостатъците, както и да са в състояние да оценят каква информация следва или не следва да качват в „облака“. ENISA насочва вниманието си предимно към подпомагането на МСП и органите на публичната администрация за изготвяне на оценка на ситуацията преди преминаване към услуги за изчисления в облак.

Съвети

ENISA съветва всички потенциални ползватели на „облака“ да зададат следните въпроси при обсъждане на услуги за изчисления в облак:

Какви услуги могат да се прехвърлят в „облака“ и какви са ползите от изчисленията в облак, които ще улеснят ежедневието им (т.е. разширяване на мащабите, огромен потенциал за съхранение, оперативна съвместимост);
Какъв вид информация ще бъде прехвърлена в „облака“ и колко важна е тази информация за нейните собственици (т.е. лични данни, чувствителни данни или свързани с бизнеса данни)?
Какви са недостатъците на изчисленията в облак, които ще окажат най-голямо въздействие върху ежедневната ви работа, и как да се опитате да ги ограничите?
Как да вземете информирано решение за вида услуга за изчисления в облак, от която се нуждаете (IaaS, PaaS, SaaS), и докъде се простират отговорностите ви при всеки вид услуга;
Отделете време да обсъдите въпроса с вашия доставчик на услуги за изчисления в облак (CSP) и договорете общо разбиране, което да е посочено в споразумението за нивото на обслужване (SLA);

Препоръки

Публикациите на ENISA относно сигурността в „облакa“ са подходящ наръчник за това как всички ползватели на „облака“ могат да защитят активите си и да са наясно със задълженията и правата си при използването на услуги за изчисления в облак.
Сигурността в „облака“ трябва да се отчете като едно от най-големите предимства за ползване на услуги за изчисления в облак благодарение на възможността за промяна на мащаба.

Повече информация: http://www.enisa.europa.eu/activities/Resilience-and-CIIP/cloud-computing

Неприкосновеност на личния живот за всички ползватели на цифрови технологии

Целева аудитория

Аудиторията включва ползвателите на цифрови технологии. В онлайн средата потребителите имат същите права като тези в реалния свят и те следва да са осведомени за своите онлайн права. Националните органи за защита на данните имат за задача да подпомагат потребителите.
„Всеки има право на защита на личните му данни“ — член 16 от Договора от Лисабон.

Съвети

Съгласно правната рамка на ЕС гражданите на Европейския съюз разполагат с редица права в цифровата среда, като например защита на личните данни и неприкосновеност на личния живот, свобода на изразяване на мнение и свобода на информация;
Принципите за защитата на данните и неприкосновеността на личния живот невинаги се зачитат в онлайн средата. Според проучване на Евробарометър от 2011 г. за нагласите относно защитата на данни и електронната самоличност в ЕС 43 % от потребителите на интернет заявяват, че от тях е искана лична информация в по-голяма степен от необходимото, когато са получавали достъп до или са използвали онлайн услуга, а 70 % от европейците се тревожат, че личните им данни може да се използват за различна цел от тази, за която са събрани. 75 % от европейците искат да изтрият лична информация от даден уебсайт, независимо в кой момент решават да го направят;
Предизвикателства за преодоляване: Тези действия на хората невинаги отразяват опасенията им относно неприкосновеността на личния живот; дори потребителите да са загрижени за неприкосновеността на своя личен живот, те може да решат да споделят лични данни за стоки и услуги, предлагани с намаление; само една трета (33 %) от европейците са осведомени за съществуването на национален публичен орган, отговорен за защитата на правата им във връзка с личните им данни;
Накрая, европейските граждани трябва също така да разполагат с правомощия да идентифицират практики, нарушаващи тези важни принципи, и да предприемат съответните действия, включително чрез упражняване на правата си като субекти на данни спрямо администратори на данни, извършващи нарушение, и чрез подаването на жалби пред съответните органи, когато е приложимо. Това означава също така, че се повишава осведомеността на субектите на данни, като първата стъпка в тази посока е гарантирането, че субектите на данни знаят и разбират важността на защитата на техните данни от ненужно разкриване.

Препоръки

Препоръчваме на потребителите да идентифицират практики, които нарушават техните права като субекти на данни, и да предприемат подходящи действия, включително чрез подаване на жалби пред компетентните органи, когато е приложимо. Органите за защита на данните следва да имат за цел да подобряват осведомеността на потребителите относно техните права, произтичащи от законодателството в областта на защитата на данните, както и относно предлаганите им от правната система възможности за упражняване на тези права, включително чрез подаване на жалби в случай на прекомерно събиране и съхранение на лични данни.

Повече информация

http://www.enisa.europa.eu/activities/identity-and-trust/privacy-and-trust/pat

ЕВРОБАРОМЕТЪР, 2011 г.: http://ec.europa.eu/public_opinion/archives/ebs/ebs_359_en.pdf

Национални органи за защита на данните: http://ec.europa.eu/justice/data-protection/bodies/authorities/eu/index_en.htm

Защитени интелигентни мрежи

Целева аудитория

Всички препоръки са адресирани до Европейската комисия, държавите членки, частния сектор и експертите в областта на критичната инфраструктура.
Критичната инфраструктура представлява актив, система или част от система, които се намират в държави членки и които са от основно значение за поддържането на жизненоважни функции на обществото, здравеопазването, безопасността, сигурността, икономическото или социалното добруване на хората и чието прекъсване или разрушаване би оказало съществено въздействие върху дадена държава членка в резултат на неспособност тези функции да се поддържат. По-долу са представени препоръки относно защитените интелигентни мрежи.

Препоръки

Препоръка 1. Европейската комисия (ЕК) и компетентните органи на държавите членки следва да предприемат инициативи за подобряване на регулаторната рамка и рамката на политиката в областта на киберсигурността на интелигентните мрежи на национално и европейско равнище.
Препоръка 2. ЕК в сътрудничество с ENISA и държавите членки следва да насърчава създаването на публично-частни партньорства (ПЧП) за координирането на инициативи относно киберсигурността на интелигентните мрежи.
Препоръка 3. ENISA и ЕК следва да насърчават инициативи за повишаване на осведомеността и за обучение.
Препоръка 4. ЕК и държавите членки в сътрудничество с ENISA следва да насърчават инициативи за разпространение и споделяне на знанията.
Препоръка 5. ЕК в партньорство с ENISA, държавите членки и частния сектор следва да разработи минимален набор от мерки за сигурност въз основа на съществуващите стандарти и насоки.
Препоръка 6. Както ЕК, така и компетентните органи на държавите членки, следва да насърчават разработването на схеми за удостоверяване на сигурността за компоненти, продукти и организационна сигурност.
Препоръка 7. ЕК и компетентните органи на държавите членки следва да насърчават създаването на изпитвателни платформи и изготвянето на оценки на сигурността.
Препоръка 8. ЕК и държавите членки в сътрудничество с ENISA следва допълнително да проучат и усъвършенстват стратегии за координация на широкомащабни паневропейски кибернетични инциденти, засягащи електроенергийни мрежи.
Препоръка 9. Компетентните органи на държавите членки в сътрудничество със CERT следва да инициират дейности за включване на CERT с консултативна роля в разрешаването на проблеми относно киберсигурността, засягащи електроенергийни мрежи.
Препоръка 10. ЕК и компетентните органи на държавите членки в сътрудничество с академичните среди и сектора на научноизследователската и развойната дейност следва да насърчават изследвания в областта на киберсигурността на интелигентните мрежи, които да имат ефект на лоста за съществуващите изследователски програми.

Повече информация: http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/smart-grids-and-smart-metering/ENISA-smart-grid-security-recommendations