Закон

Юрие Цуркану из агентства электронного управления  Молдовы прокомментировал инцидент с кражей данных 750 тысяч граждан и объяснения чиновников.

«О «старых» системах и их «плохой» архитектуре. Для начала простой вопрос: о каких «старых» системах мы говорим?

Насколько мне известно, госинфраструктура по-прежнему основана на тех же платформах и сервисах, которые были разработаны и введены в эксплуатацию много лет назад. Системы, которые работали, обслуживали миллионы взаимодействий и выдержали многочисленные попытки кибератак.

В августе 2022 года Республика Молдова столкнулась с кибератакой исключительного масштаба. Немногие граждане тогда узнали о серьезности угрозы. И знаете, почему? Потому что инцидент был урегулирован так, чтобы не нанести массового ущерба.

Если архитектура систем была настолько несовершенной, возникает вопрос: что сделало руководство агентства для устранения этих проблем за те почти два года управления учреждением?

Архитектура может быть устаревшей. Ответственность за ее безопасность всегда актуальна.

Об 11 миллионах заходов, которые никто не заметил. Злоумышленники совершили примерно 11 миллионов заходов, а несанкционированный вывод данных происходил в течение нескольких дней.

И кто же поднял тревогу? Из объяснений, данных самой бывшей директрисой, следует, что обращения граждан, заметивших подозрительные запросы к личным данным. Более того, она признала, что системы мониторинга не зафиксировали этот подозрительный трафик.

Госинфраструктура подвергается массивному трафику, происходит извлечение персональных данных, а механизмы мониторинга не срабатывают, не выдавая предупреждений? И системы мониторинга имели «устаревшую архитектуру»? Или, возможно, проблема заключается в том, как был организован мониторинг безопасности и взаимодействие между ответственными учреждениями?

Еще одно объяснение: злоумышленники якобы использовали ИИ - вполне возможно. И даже вероятно. ИИ стал мощным инструментом для выявления уязвимостей, анализа кода и автоматизации атак. Но есть одна небольшая деталь - ИИ доступен не только злоумышленникам.

Те же технологии могут использоваться и теми, кто отвечает за защиту систем. Для аудита кода, выявления уязвимостей, анализа трафика и обнаружения аномального поведения. Если злоумышленники использовали ИИ для поиска уязвимостей, то возникает законный вопрос: какие инструменты и методы использовали системные администраторы, чтобы обнаружить их раньше злоумышленников?

Ссылаться на искусственный интеллект для объяснения атаки может быть вполне оправданно с технической точки зрения. Ссылаться на него, чтобы уклониться от вопросов о мерах предотвращения и обнаружения, - совсем другое дело.

О менеджерских «достижениях» и институциональной памяти.

Мне хотелось бы узнать, какие именно госуслуги являются по-настоящему новыми - то есть полностью разработанными, созданными и введенными в эксплуатацию под нынешним руководством. Имеются в виду не новые интерфейсы для уже существующих услуг. Не переработка ранее разработанных функциональных возможностей. А новые услуги с новой архитектурой, созданные с нуля. Было бы интересно увидеть этот список.

Вместо этого за этот период учреждение потеряло опытных специалистов, глубоко знакомых с госинфраструктурой.

Не менее важно сотрудничество с учреждениями кибербезопасности, в том числе с STISC. Межведомственные отношения не строятся на самолюбии, конфронтации и соперничестве за внимание.

И все же - кто несет ответственность?

Я отказываюсь мириться с тем, чтобы тех, кто создал цифровую инфраструктуру государства, превращали в козлов отпущения без технических аргументов и без доказательств. Особенно со стороны тех, кто нес ответственность за управление этой инфраструктурой.

Руководство агентством - это не просто имиджевая должность. Те, кто осуществляет назначения, должны убедиться, что выбранные кандидаты обладают необходимой подготовкой, опытом и управленческими способностями. Ведь ответственность за назначение не исчезает с подписанием указа. Напротив, она начинается именно тогда».