Сепак, вели тој, НДЦ мора да биде изграден и управуван според највисоки меѓународни стандарди за информациска безбедност.
Од Националиот центар за одговор на компјутерски инциденти, МКД-ЦИРТ (MKD-CIRT) велат дека од аспект на сајбер безбедноста, НДЦ треба да се третира како критична информациска инфраструктура уште од фазата на неговото проектирање. Со оглед на тоа што во Националниот дата центар (НДЦ) се очекува да бидат сместени и обработувани податоци и информациски системи од значење за функционирањето на државните институции и јавните услуги, од МКД-ЦИРТ предупередуваат дека прекин, компромитирање или уништување на ваквата инфраструктура може да предизвика сериозни последици за работата на институциите, економијата, безбедноста на граѓаните и националната безбедност.
„Контролата не треба да биде во надлежност само на институцијата што управува со дата-центарот или на избраниот технолошки оператор. Потребен е повеќеслоен систем на управување, надзор и независна проверка. Операторот треба да воспостави сопствен систем за управување со информациската безбедност, додека надлежните органи треба да вршат стручен надзор, редовни и вонредни проверки и да бараат независни безбедносни ревизии. Поради можноста за преклопување на надлежностите, потребно е Владата однапред јасно да ги утврди одговорностите, начинот на координација и постапувањето во случај на инцидент“, советуваат од МКД-ЦИРТ.
Безбедноста почнува уште со проектирањето на Националниот дата центар
За да се постигне тоа, објаснува Димитровски, Националниот дата центар мора да биде изграден и управуван според највисоки меѓународни стандарди за достапност, безбедност и деловен континуитет.
„Тоа подразбира Tier III или еквивалентно ниво на инфраструктурна сигурност, како и примена на стандардите ISO/IEC 27001 за информациска безбедност, ISO 22301 за деловен континуитет и ISO/IEC 20000-1 за управување со ИТ-услуги (целокупното организирање, испорачување, одржување и подобрување на сите информатички услуги што ги користат државните институции). Важни се и EN 50600 за инфраструктурата на дата-центрите, како и стандардите за енергетска ефикасност и заштита на животната средина. Потребна е и усогласеност со европските правила за сајбер безбедност и заштита на личните податоци, вклучително и со принципите на NIS2 и GDPR, каде што тие се применливи. Сепак, не е доволно да биде сертифициран само објектот. Подеднакво важни се луѓето, процесите, безбедносните процедури и начинот на кој секојдневно ќе се управува со услугите“, вели Димитровски.
Од МКД-ЦИРТ недвојбено велат дека безбедносните барања треба да се дефинираат уште во проектната и тендерската документација, врз основа на принципите „безбедност по дизајн“ и „безбедност како стандардна поставеност“.
„Како минимум, треба да се предвидат систематска проценка и редовно ажурирање на сајбер ризиците, физичка заштита со повеќе безбедносни зони, контрола и евиденција на пристапот, видеонадзор и заштита од пожар, поплава, земјотрес и други непогоди, резервни и независни системи за снабдување со електрична енергија, ладење и телекомуникациско поврзување, мрежна сегментација и раздвојување на системите според нивната критичност, принцип на најмали привилегии, повеќефакторска автентикација и посебно управување со привилегираните кориснички сметки, шифрирање на податоците при складирање и пренос, со сигурно управување со криптографските клучеви, постојан безбедносен мониторинг преку оперативен центар достапен 24 часа дневно, централизирано собирање и заштита на логовите, откривање аномалии и навремено реагирање, управување со ранливости, безбедносни ажурирања и редовно тестирање на системите, резервни копии што се географски одвоени, непроменливи или офлајн и редовно тестирани, планови за континуитет на работењето, закрепнување по катастрофа и управување со инциденти, со точно утврдени рокови за обновување на услугите, безбедност на синџирот на снабдување и проверка на производителите, добавувачите, подизведувачите и нивниот персонал, јасно утврдена сопственост, локација, класификација и правила за обработка на државните податоци, редовни независни ревизии, пенетрациски тестирања и национални вежби за одговор на инциденти“, велат од МКД-ЦИРТ.
За максимална безбедност, и експертите од МКД-ЦИРТ и Димитровски се согласни дека државата не треба да се потпира на само еден клауд (облак) оператор (компанијата што ќе ги чува и што ќе управува со податоците во Националниот дата центар).
Експертите од МКД-ЦИРТ појаснуваат дека зависноста од еден облак-оператор создава концентрационен ризик.
„Прекин на услугите, сајбер напад, технички дефект, правен или договорен спор или промена на комерцијалните услови кај еден оператор може истовремено да влијае врз повеќе државни институции и јавни услуги. Дополнителни ризици се технолошка и договорна зависност (vendor lock-in), отежнато пренесување на податоците и апликациите кај друг оператор, недоволна контрола врз локацијата и начинот на обработка на податоците, зависност од странска јурисдикција (правен систем), заедничка ранливост на повеќе институции, ограничена можност државата самостојно да реагира во случај на поголем инцидент“, велат од МКД-ЦИРТ.
Оттаму дополнуваат дека дури ни користењето повеќе оператори само по себе не обезбедува сигурност, туку може да ја зголеми техничката и оперативната сложеност и да доведе до погрешни конфигурации (начинот на кој е организиран еден компјутерски систем за да функционира правилно).
За МАСИТ, при изборот, важно е државата да обезбеди флексибилност, сигурност и можност за користење различни даватели на услуги, без создавање долгорочна зависност од еден оператор.
„Најсоодветен е хибриден мулти-клауд модел. Тоа значи најчувствителните системи и податоци да се чуваат во владин облак, додека за други услуги, во зависност од нивото на ризик и потребите, може да се користат повеќе домашни или европски облак-провајдери. Ваквиот пристап го намалува оперативниот ризик, ја поттикнува конкуренцијата и ѝ овозможува на државата поголема флексибилност при изборот и промената на технологиите и давателите на услуги. Предуслов за негово успешно спроведување е јасна национална класификација на податоците и информациските системи“, вели Димитровски.
Тој додава дека не е доволно да постои само еден дата центар, затоа што доколку целата државна инфраструктура е сместена на една локација, таа локација станува единствена точка на ризик.
„Потребен е примарен Национален дата центар и физички одвоен резервен центар, кој ќе овозможи продолжување на работата во случај на прекин, природна непогода, сајбер напад или друг сериозен инцидент. Треба да постојат и независни комуникациски и енергетски врски.
Управувањето мора да биде професионално, со јасно утврдени одговорности, мерливи нивоа на услуга, редовни независни ревизии и целосна транспарентност“, дециден е Димитровски.
Што се однесува до чувањето на податоците, Димитровски вели дека различни податоци имаат различна чувствителност, па во зависност од тоа треба да се чуваат на различни начини.
„Класифицираните податоци, критичните државни регистри и системите што се неопходни за функционирањето на државата треба да се чуваат во Македонија и да останат под домашна правна и оперативна контрола. За одредени, помалку чувствителни услуги може да се користат и европски облак-инфраструктури, но само кога се исполнети јасни услови за правна заштита, локација на податоците, енкрипција, контрола на пристапот и можност за нивно пренесување кај друг оператор. Затоа, пред да се одлучува каде ќе се чуваат податоците, државата треба да воспостави формален систем за нивна класификација според нивото на чувствителност и ризик“, препорачува Димитровски.
Повеќе безбедност за државата, нови можности за домашните ИКТ-компании
Но, и покрај сите ризици, Националниот дата-центар може значително да го подобри нивото на сајбер безбедност во државата преку централизирано применување безбедносни политики и стандарди, подобра контрола врз државните податоци, унифицирано управување со корисничките пристапи, постојан мониторинг и побрзо откривање на инциденти, подобра координација при одговор на сајбер напади, намалување на бројот на небезбедни и застарени системи во поединечните институции, поефикасно воспоставување резервни системи и механизми за закрепнување, уверуваат од МКД-ЦИРТ.
„Истовремено, централизирањето на голем број системи и податоци го прави дата-центарот високоатрактивна цел за сајбер напади. Доколку нема соодветна сегментација, резервна локација и механизми за изолација на компромитираните системи, еден инцидент може да има широко и системско влијание. Затоа, Националниот дата-центар ќе претставува придобивка за сајбер безбедноста само доколку биде изграден и управуван како критична инфраструктура, со јасна институционална одговорност, повеќеслојна заштита, географска редундантност, независен надзор и постојан капацитет за откривање и одговор на инциденти“, велат од МКД-ЦИРТ.
Македонија располага со добро развиен ИКТ-сектор, искусни компании и висококвалификувани професионалци, чие знаење и практично искуство можат значително да придонесат во процесите околу планирањето, изградбата, имплементацијата и долгорочното управување со Националниот дата центар, уверен е Димитровски.
„Тука спаѓаат проектирањето и интеграцијата на системите, мрежната инфраструктура, сајбер безбедноста, миграцијата на постојните системи, модернизацијата на апликациите, мониторингот, техничката поддршка, одржувањето и обуката на кадар. Дел од специјализираната опрема секако ќе доаѓа од меѓународни производители. Сепак, дизајнот, имплементацијата, поврзувањето на системите и долгорочното управување во голема мера можат да бидат реализирани од домашниот сектор. Важно е условите во јавните набавки да бидат засновани на реални технички и безбедносни критериуми и да не бидат поставени на начин што однапред ги исклучува македонските компании“, вели Димитровски.
Тој додава дека со добро поставени правила, македонските компании би можеле да развиваат различни услуги, резервни центри и услуги за обновување по инциденти, решенија за сајбер безбедност, платформи за вештачка интелигенција и обработка на податоци, како и сопствени софтверски производи за домашниот и регионалниот пазар.
„За тоа ќе бидат потребни соработка со универзитетите, развој на стручен кадар и програми за создавање домашни облаци (cloud), сајбер и АИ-компетенции. На тој начин, Националниот дата центар нема да биде само инфраструктурен проект, туку инвестиција во долгорочниот дигитален развој и конкурентноста на државата“, заклучува Димитровски.
Искра Опетческа
