Постановление № 811 от 29.10.2015

ПРАВИТЕЛЬСТВО РЕСПУБЛИКИ МОЛДОВА

ПОСТАНОВЛЕНИЕ

о Национальной программе кибербезопасности

Республики Молдова на 2016-2020 годы

№ 811  от  29.10.2015

 (в силу 13.11.2015) 

Мониторул Офичиал ал Р.Молдова № 306-310 ст. 905 от 13.11.2015

* * *

Примечание: По всему тексту постановления и Программы слова «Министерство информационных технологий и связи» в любом падеже заменить словами «Министерство экономики и инфраструктуры» в соответствующем падеже, согласно Пост.Прав. N 738 от 20.07.2018, в силу 17.08.2018

На основании положений Закона № 136/2017 о Правительстве (Официальный монитор Республики Молдова, 2017 г., № 252, ст.412), Правительство

[Вступительная часть изменена Пост.Прав. N 738 от 20.07.2018, в силу 17.08.2018]

ПОСТАНОВЛЯЕТ:

1. Утвердить Национальную программу кибербезопасности Республики Молдова на 2016-2020 годы (прилагается).

2. Министерствам и другим центральным административным органам представлять Министерству экономики и инфраструктуры каждые полгода, до 1 августа и 1 февраля, информацию о выполнении Национальной программы кибербезопасности Республики Молдова на 2016-2020 годы, в соответствии с установленными обязательствами.

3. Министерству экономики и инфраструктуры обобщать полученную информацию и представлять Правительству каждые полгода, до 1 сентября и 1 марта, отчет о выполнении Национальной программы кибербезопасности Республики Молдова на 2016-2020 годы.

4. Мониторинг и координацию процесса выполнения Национальной программы кибербезопасности Республики Молдова на 2016-2020 годы возложить на Министерство экономики и инфраструктуры.

Утверждена

Постановлением Правительства

№ 811 от 29 октября 2015 г.

НАЦИОНАЛЬНАЯ ПРОГРАММА

кибербезопасности Республики Молдова на 2016-2020 годы

I. ОБЩИЕ ПОЛОЖЕНИЯ

1. Целью Национальной программы кибербезопаности Республики Молдова на 2016-2020 годы (в дальнейшем – Программа) является создание системы менеджмента кибербезопасности Республики Молдова путем обеспечения безопасности услуг информационного общества, способствуя, таким образом, развитию экономики, основанной на знаниях, что в свою очередь будет стимулировать рост уровня экономической конкурентоспособности, социального единства, а также обеспечит создание новых рабочих мест.

2. Термины, использованные в Программе, имеют следующие значения:

1) киберугроза – обстоятельство или событие, которое представляет потенциальную угрозу для кибербезопасности;

2) киберзащита – действия, проведенные с целью защиты, мониторинга, анализа, обнаружения, противодействия агрессиям и обеспечения своевременного реагирования на угрозы кибернетическим инфраструктурам, предназначенным для национальной обороны;

3) кибератака – враждебное действие в киберпространстве, нарушающее кибербезопасность;

4) аудит кибербезопасности – системная, подробная, измеряемая и техническая оценка способа применения политик кибербезопасности на уровне кибернетических инфраструктур, а также составление рекомендаций по минимизации выявленных рисков;

5) кибернетический инцидент – событие, произошедшее в киберпространстве, последствия которого нарушают кибербезопасность;

6) событие, произошедшее в киберпространстве, – мероприятие, проведенное в киберпространстве, вследствие которого изменяется состояние кибернетических инфраструктур;

7) кибернетические инфраструктуры – инфраструктуры сферы информационных технологий и связи, состоящие из информационных систем, соответствующих приложений, сетей и услуг электронных коммуникаций;

8) кибернетические инфраструктуры национального значения (КИНЗ) – кибернетические инфраструктуры, которые поддерживают публичные услуги или услуги общественного значения, а также услуги информационного общества, нарушение которых может негативно повлиять на национальную безопасность или нанести серьезный ущерб государству или его гражданам;

9) менеджмент идентичности – методы подтверждения идентичности лиц в момент их доступа к определенным кибернетическим инфраструктурам;

10) управление рисками – сложный, непрерывный и гибкий процесс идентификации, оценки и противодействия рискам для кибербезопасности, основанный на использовании комплексных техник и инструментов для предотвращения потерь любого характера;

11) операции в компьютерных сетях – сложный процесс планирования, координации, синхронизации, согласования и проведения мероприятий в кибернетическом пространстве для защиты, контроля и использования компьютерных сетей с целью получения информационного превосходства при одновременной нейтрализации возможностей противника;

12) устойчивость кибернетических инфраструктур – способность составляющих частей кибернетических инфраструктур противостоять киберинциденту или кибератаке и восстановиться до нормального состояния;

13) риск безопасности в киберпространстве – вероятность того, что угроза материализуется, используя уязвимость, характерную для кибернетических инфраструктур;

14) кибербезопасность – нормальное состояние, возникшее вследствие применения комплекса проактивных и реактивных мер, посредством которых обеспечивается конфиденциальность, целостность, доступность, достоверность и невозможность отказа в доступе к информации в электронном формате, информационных систем и ресурсов, государственных и частных услуг в киберпространстве. Проактивные и реактивные меры включают в себя политики, концепции, стандарты и руководства по безопасности, управление рисками, деятельность по подготовке и информированию, внедрение технических решений по защите кибернетических инфраструктур, менеджмент идентичности, менеджмент последствий;

15) киберпространство – виртуальное пространство, сгенерированное кибернетическими инфраструктурами, включая обработанное, сохраненное или переданное информационное содержание, а также действия, предпринятые пользователями в этой среде;

16) уязвимость в киберпространстве – неэффективность в проектировании и внедрении кибернетических инфраструктур или надлежащих мер безопасности, что может быть использовано с угрозой.

Другие термины в Программе используются в значении, определенном в Законе № 20-XVI от 3 февраля 2009 года о предотвращении и борьбе с преступностью в сфере компьютерной информации, Законе № 241-XVI от 15 ноября 2007 года об электронных коммуникациях и Законе № 467-XV от 21 ноября 2003 года об информатизации и государственных информационных ресурсах.

3. Концепция кибербезопасности основана на следующих принципах:

1) защита прав и основных свобод человека. Обеспечение кибербезопасности может быть целесообразным и эффективным только в случае, если оно основано на правах и основных свободах человека, в том числе на общечеловеческих ценностях. Никакой процесс передачи, обработки или хранения данных, в том числе персонального, коммерческого и конфиденциального характера, не может выполняться без использования информационных систем, сетей или услуг безопасных электронных коммуникаций. Любая обработка информации, выполненная с целью обеспечения кибербезопасности, должна соответствовать правовой основе и международным соглашениям, стороной которых Республика Молдова является;

2) общедоступность. Надежный и свободный доступ к интернету и его ресурсам является правом каждого лица. Ограниченный доступ или его отсутствие, а также цифровая неграмотность является недостатком как для граждан, так и для властей;

3) кибернетическая устойчивость. Предварительное или раннее выявление угроз и кибератак, других событий, происходящих в киберпространстве, является существенным из-за их трансграничного и ассиметрично материализующегося характера, они должны выявляться для устранения или смягчения последствий, которые могут повлиять на нормальное состояние кибербезопасности. Кибернетические угрозы возникают вследствие использования уязвимостей. Среда угроз и уязвимостей чрезвычайно изменчивая и динамичная: угрозы могут возникнуть в течение дней или даже часов. Следовательно, ответственные лица и координаторы по кибербезопасности должны непрерывно контролировать эту среду, выявлять киберугрозы и постоянно обращаться к признанным источникам информации компаний-лидеров в сфере кибербезопасности, экспертам научного сообщества и различным публикациям;

4) совместное управление. Киберпространство не может быть под контролем одной структуры как на местном или национальном, так и на региональном или глобальном уровне. В киберпространстве не могут быть установлены границы, аналогичные границам между административно-территориальными единицами или государствами. Таким образом, для обеспечения кибернетической устойчивости государственные власти и частный сектор должны развить необходимые навыки и эффективно сотрудничать. Посредством совместного управления и общих мероприятий государственные органы и частный сектор смогут успешно бороться с кибернетическими рисками и атаками, содействовать согласованными и эффективными мерами на события национального и межгосударственного значения, происходящие в киберпространстве;

5) совместная ответственность и персональная ответственность за обеспечение кибербезопасности. Растущая зависимость человеческой деятельности от информационных технологий и связи влечет за собой уязвимости, которые должны быть выявлены, тщательно проанализированы и удалены или уменьшены в зависимости от потенциальной угрозы в адрес кибербезопасности. Все стороны, участвующие в выполнении мер по обеспечению кибербезопасности, будь то органы государственной власти, либо представители частного сектора или простые граждане, должны признать эту совместную ответственность и персональную ответственность, предпринимать собственные и совместные действия по защите, способствовать укреплению кибербезопасности и киберзащиты в соответствии с нормативно-правовой базой.

II. ТЕКУЩАЯ СИТУАЦИЯ И ОПРЕДЕЛЕНИЕ ОСНОВНОЙ ПРОБЛЕМЫ

4. Ускоренное развитие современных информационных и коммуникационных технологий поднимает на новый уровень подход к угрозам, рискам и уязвимостям в информационном обществе. В настоящее время на мировом уровне кибератаки возникают все чаще, они все сложнее и масштабнее, нанося огромный ущерб государственному, частному сектору и гражданам вследствие их асимметричного характера. Несанкционированный доступ к сетям и услугам электронных коммуникаций, неавторизированное изменение, удаление или повреждение информационных данных, нелегальное ограничение доступа к этим данным и кибершпионаж – проблемы мирового уровня. Угрозы и риски, атаки и кибернетические инциденты, а также другие события, происходящие в киберпространстве, материализуются путем использования уязвимостей человеческого, технического и процедурного характера. Экономические потери вследствие подобных уязвимостей весьма существенны.

5. Таким образом, в соответствии с докладами Нортон¹ за 2012 и 2013 годы, суммарная стоимость киберпреступлений растет. Общие потери в 2013 году составили около 113 миллиардов долларов по сравнению с 110 миллиардами долларов в 2012 году, а потери в среднем на одного пострадавшего составили 298 долларов США в 2013 году по сравнению с 197 долларами США в 2012 году. Согласно данным из тех же докладов мы постоянно подвержены значительным рискам при использовании незащищенных wi-fi сетей. Достаточно большой риск составляет несанкционированный доступ к личной электронной почте (54% в 2013 году по сравнению с 64% в 2012 году) вследствие перехвата пароля доступа, а также риск несанкционированного доступа к личным страницам пользователей социальных сетей (56% в 2013 году по сравнению с 63% в 2012 году). Достаточно высок и риск в электронной торговле, осуществляемой посредством онлайн-магазинов, доступ к которым осуществляется через незащищенные wi-fi сети (29% в 2013 году по сравнению с 31% в 2012 году). Вырос риск несанкционированного доступа к банковским счетам вследствие выполнения операций посредством незащищенных wi-fi сетей, который в 2013 году вырос до 29% по сравнению с 24% в 2012 году. Доступ к банковским счетам посредством незащищенных wi-fi сетей существенно увеличивает риск перехвата данных доступа, и, следовательно, дальнейший несанкционированный доступ к ним в преступных целях.

____________________

¹ Источник: https://symantec.com

6. Из-за достаточно высокого уровня вышеуказанных рисков доступа, а также других характерных кибернетических рисков в 2013 году число пострадавших от кибернетического мошенничества, кибератак и кибернетических происшествий насчитывает приблизительно 379 миллионов по сравнению с 558 миллионами пострадавших в 2012 году. Таким образом, в 2013 году пострадали 64% владельцев мобильных устройств, 63% пользователей социальных сетей, 68% пользователей публичных wi-fi сетей, 65% родителей детей и 68% развивающихся рынков. Несмотря на очень большое число пострадавших, только часть пользователей интернета осознает, что их электронные устройства (мобильные телефоны, планшеты, ноутбуки, компьютеры, и т.д.) могут быть подвержены кибератакам при их подключении к интернету, воздействие которых может быть существенно снижено, если соблюдать самые простые рекомендациям по безопасности. Именно этот факт значительно способствует росту кибернетической (информационной) преступности, эксплуатируя уязвимость человеческого характера.

7. До настоящего времени не выполнено ни одного аудита по кибербезопасности, не существует исследований или отчетов, подробно отображающих ситуацию относительно информационной преступности в Республике Молдова, кибернетических угроз и рисков, кибернетических атак и происшествий, других событий, произошедших в киберпространстве, количества жертв и экономических потерь вследствие их материализации.

8. Единственным официальным источником статистических данных об информационной преступности является Регистр учета преступлений, уголовных дел, лиц, совершивших преступления, и материалов о преступлениях в рамках Автоматизированной интегрированной информационной системы учета преступлений, уголовных дел и лиц, совершивших преступления. Согласно информации из Автоматизированной информационной системы «Регистр криминалистической и криминологической информации», предоставленной Министерством внутренних дел, начиная с 2013 года и до августа 2015 года включительно, зарегистрировано 72 информационных преступления по статьям 208¹ и 259-261¹ Уголовного кодекса Республики Молдова, с материальным ущербом в размере около 21588 тысяч леев. В частности вследствие действий Генеральной прокуратуры и Генерального инспектората полиции были в 2013 году зарегистрированы 23 преступления с ущербом около 14139 тысяч леев, в 2014 году – 24 преступления с ущербом около 1323 тысяч леев, а за первые 8 месяцев 2015 года – 25 преступлений с ущербом приблизительно в 6126 тысяч леев. Одновременно в этот же период времени зарегистрировано 57 нарушений авторского права и смежных прав на общую сумму наложенных штрафов приблизительно 99 тысяч леев. Несмотря на то, что данные из Регистра криминалистической и криминологической информации еще не полные и не отображают все категории преступлений и правонарушений в понимании Будапештской конвенции Совета Европы о киберпреступности, можно констатировать, число информационных преступлений и правонарушений растет.

9. В то же время, по данным Центра специальных телекоммуникаций, в 2014 году по сравнению с 2013 годом количество кибератак на web-серверы увеличилось на 26%, а уязвимость открытых портов – приблизительно на 385%. Вероятность заражения компьютеров информационными вирусами увеличилась приблизительно на 27%. Число инцидентов относительно электронной правительственной почты в 2014 году уменьшилось на 1% по сравнению с 2013 годом. В то же время снизилась доля этих инцидентов в общем количестве кибератак. В 2014 году эта доля снизилась до 40% по сравнению с 51% в 2013 году.

10. Высокая опасность материализации этих событий, произошедших в киберпространстве, в котором не существует границ, принудила ряд стран начиная с 2009 года включить в повестку дня в качестве доминирующего вопрос кибербезопасности. Уже 56 государств утвердили документы политик² в сфере кибербезопасности, в том числе 21 государство Европейского Союза. 37 государств мира утвердили документы политик в течение 2013-2015 годов, в том числе 14 государств – в 2015 году.

____________________

² https://www.enisa.europa.eu/activities/Resilience-and-CIIP/national-cyber-security-strategies-ncsss/national-cyber-security-strategies-in-the-world.

11. Внутренняя нормативно-правовая база этих стран приведена в соответствие с положениями Конвенции Совета Европы о киберпреступности, утвержденной в Будапеште 23 ноября 2001 года с учетом Рекомендаций Международного союза электросвязи, касающихся кибербезопасности.

12. Республика Молдова ратифицировала Конвенцию Совета Европы о киберпреступности Законом № 6-XVI от 2 февраля 2009 года. В то же время принят Закон № 20-XVI от 3 февраля 2009 года о предупреждении и борьбе с преступностью в сфере компьютерной информации, внесены изменения и дополнения в Уголовный кодекс в соответствии с положениями ратифицированной конвенции, но ее положения процедурного характера, а также положения, касающиеся развития точки контакта сети 24/7, еще не внедрены.

13. В результате проведенного анализа выявлена основная проблема – отсутствие системы менеджмента кибербезопасности, в рамках которой согласованно выполнялись планирование и использование доступных ресурсов, определение уязвимостей и рисков вследствие аудита кибербезопасности, вмешательства, необходимые для уменьшения пагубного воздействия кибернетических преступлений, атак и инцидентов на устойчивое развитие информационного общества. Эта система должна распространяться на все сферы социальной, экономической и политической жизни страны. Ее необходимо создать и внедрить соответствующим структурам государственной и частной сферы.

14. Отсутствие системы менеджмента кибербезопасности Республики Молдова генерирует и отсутствие полных, достоверных, обновленных и структурированных статистических данных, что в свою очередь накладывает некоторые ограничения на выполненный анализ и определение оптимальных решений. От результата решения основной проблемы зависит эффективность мер, предпринятых ввиду развития безопасного информационного общества в Республике Молдова, технологического и научного прогресса, активного участия граждан в социальной и культурной жизни, а также динамика экономического роста страны.

15. До настоящего времени не существует законодательной базы относительно разграничения и согласования компетенций и ответственностей государственных и частных учреждений в области кибербезопасности, не применяется обязательный механизм аудита кибербезопасности, посредством которого могут быть выявлены кибернетические уязвимости, риски и угрозы с целью предотвращения или уменьшения при помощи специальных мер воздействия произошедших в киберпространстве атак, инцидентов и других событий, происхождение которых трудно определить.

16. Помимо правовых, нормативных и техническо-нормативных регламентов существует ряд конкретных проблем, касающихся обеспечения кибербезопасности Республики Молдова, которые являются составными частями основной проблемы, установленной выше:

1) не обеспечена полная безопасность при обработке, хранении и доступе к данным, независимо от их классификации;

2) безопасность и целостность сетей и услуг электронных коммуникаций не приведены в соответствие со стандартами и рекомендациями Европейского Союза, Международного союза электросвязи, с положениями Соглашения об ассоциации между Республикой Молдова и Европейским Союзом;

3) недостаточный потенциал для предупреждения и срочного реагирования на национальном уровне (CERT) с учетом ассиметричного характера кибернетических атак и инцидентов;

4) национальная законодательно-нормативная база не в полной мере приведена в соответствие с положениями Конвенции Совета Европы о киберпреступности, компетентные учреждения не располагают четкими компетенциями касательно обеспечения кибербезопасности;

5) низкая способность киберобороны вследствие ассиметричного характера кибератак;

6) не обеспечено непрерывное образование, обучение и информирование в сфере кибербезопасности;

7) недостаток международного сотрудничества и взаимодействия относительно выявления рисков, уязвимостей, других событий, происходящих в мировом киберпространстве, и предупреждения трансграничных кибернетических угроз и атак.

17. Решение основной проблемы, в том числе специфических проблем, предполагает внесение корректировок в законодательную и институциональную базу, нормативную и техническо-нормативную базу, в непрерывную подготовку и сертификацию специалистов в сфере кибербезопасности, аудита кибербезопасности структур, которые обладают кибернетическими инфраструктурами, информационными системами и сетями электронных коммуникаций, в том числе тех, которые предоставляют информационные услуги и услуги электронных коммуникаций.

18. При этом решение указанных проблем соответствует общей горизонтальной цели относительно обеспечения кибербезопасности в рамках Национальной стратегии развития информационного общества «Цифровая Молдова 2020», утвержденной Постановлением Правительства № 857 от 31 октября 2013 года, положениями Соглашения об ассоциации между Республикой Молдова и Европейским Союзом, ратифицированного Законом № 112 от 2 июля 2014 года, а также новым видением Стратегии национальной безопасности Республики Молдова.

III. ЦЕЛИ ПРОГРАММЫ

19. Основной целью Программы, установленной вследствие проведенного анализа и определения основной проблемы, является создание и внедрение системы менеджмента кибербезопасности Республики Молдова, обеспечивающей соответствующим структурам публичной и частной сферы планирование и использование доступных ресурсов, определение вмешательств, необходимых для понижения пагубного воздействия кибернетических преступлений, атак и инцидентов на устойчивое развитие информационного общества.

20. Достижение основной цели Программы, в соответствии с проблемами, определенными в предыдущей главе, произойдет путем комплексного выполнения 7 специфических задач:

1) обработка, хранение и доступ к данным, в том числе к публичным данным;

2) безопасность и целостность сетей и услуг электронных коммуникаций;

3) развитие потенциала по предупреждению и срочному реагированию на национальном уровне (национальная сеть CERT);

4) предотвращение и борьба с киберпреступностью;

5) укрепление потенциала по киберзащите;

6) непрерывное обучение, подготовка и информирование в области кибербезопасности;

7) международное сотрудничество и взаимодействие в сферах, касающихся кибербезопасности.

IV. ДЕЙСТВИЯ, КОТОРЫЕ НЕОБХОДИМО ВЫПОЛНИТЬ

ДЛЯ ДОСТИЖЕНИЯ ЦЕЛЕЙ

21. Для достижения целей, сформулированных в предыдущей главе, совместно с соответствующими структурами определен ряд действий, подлежащих выполнению, которые – для удобства и в соответствии со специфическими задачами – систематизированы в виде Плана действий по внедрению Национальной программы по кибербезопасности Республики Молдова (в дальнейшем – План действий).

22. Согласно Плану действий (приложение к настоящей Программе), специфическая задача «Обработка, хранение и доступ к данным, в том числе публичным данным» будет достигнута путем корректировки нормативно-правовой базы относительно кибербезопасности Республики Молдова, классификации типов информации, анализа и разработки предложений по применению на национальном уровне стандартов, относящихся к безопасной обработке, хранению и доступу к данным, определения методологии для оценки уязвимостей информационных систем на основе ранее установленных стандартов, разработки минимальных обязательных требований кибербезопасности, сертификации специалистов, выполнения аудита кибербезопасности с разработкой планов по устранению выявленных уязвимостей, выполнение других мер согласно Плану действий.

23. Специфическая задача «Безопасность и целостность сетей и услуг электронных коммуникаций» будет достигнута путем согласования законодательства в сфере электронных коммуникаций с рамочными директивами Европейского Союза в данной сфере, установления минимальных мер безопасности, которые должны быть предприняты поставщиками для обеспечения безопасности и целостности сетей и услуг электронных коммуникаций, с сообщением об инцидентах, оказывающих воздействие на эти сети и услуги, применения на национальном уровне, европейских и международных стандартов относительно защиты и безопасности сетей электронных коммуникаций, в том числе путем выполнения других мер согласно Плану действий.

24. Специфическая задача «Развитие потенциала по предупреждению и срочному реагированию на национальном уровне (национальная сеть CERT)» будет достигнута путем создания Национального центра реагирования на инциденты кибербезопасности (CERT) и ведомственных центров в центральных органах публичного управления, органах местного публичного управления, других структурах, которые обладают информационными государственными системами, установления обязательств по обязательной оперативной отчетности и учету инцидентов киберзащиты для центральных и местных органов публичного управления и деловой среды в области информационных технологий и связи, разработки и применения методов раннего предотвращения инцидентов кибербезопасности Республики Молдова, проведения практических занятий и тренировок по укреплению способностей реагирования на кибернетические инциденты и атаки с их блокированием, в том числе путем проведения других мероприятий согласно Плану действий.

25. Специфическая задача «Предотвращение и борьба с киберпреступностью» будет достигнута путем разработки проектов законов для дальнейшего согласования уголовно-процессуального и административного законодательства с положениями Европейской конвенции о киберпреступности и решениями Комитета этой Конвенции, ратификации Дополнительного протокола к этой Конвенции, согласования законодательства и национальной статистики с положениями Конвенции Совета Европы о защите детей от сексуальной эксплуатации и сексуального насилия и Дополнительного протокола к этой Конвенции, консолидации потенциала по предупреждению и борьбе с киберпреступностью в рамках Генеральной прокуратуры, Службы информации и безопасности, Генерального инспектората полиции Министерства внутренних дел, обучения сотрудников правоохранительных органов в области кибербезопасности в соответствии с рекомендациями проекта EAP Совета Европы, в том числе путем осуществления других мер согласно Плану действий.

26. Специфическая задача «Укрепление потенциала по киберзащите» будет достигнута путем установления ответственных органов и взаимного сотрудничества в мирное время, во время осады и войны в киберпространстве, путем разработки раздела киберзащиты Республики Молдова как составляющей части Стратегии информационной безопасности Республики Молдова, обучения в сфере кибербезопасности персонала в сфере национальной безопасности и обороны, развития военных возможностей защиты критической инфраструктуры и услуг, касающихся национальной обороны, осуществления других мер, согласно Плану действий.

27. Специфическая задача «Непрерывное образование, обучение и информирование в сфере кибербезопасности» будет достигнута путем создания лаборатории кибербезопасности, дополнения куррикулума, изучения учебного материала в области кибербезопасности, разработки и внедрения концепции кампаний по информированию и осознанию рисков в киберпространстве, установления требований по компетенции в сфере кибербезопасности персонала публичного и частного сектора, учета, обучения, оценки и сертификации этого персонала, организации и проведения тренингов и семинаров в сфере кибербезопасности для персонала учреждений, содержащих элементы критической кибернетической инфраструктуры, осуществления других мер согласно Плану действий.

28. Специфическая задача «Международное сотрудничество и взаимодействие в сферах, касающихся кибербезопасности» будет достигнута путем создания Центра передового опыта для исследований и развития в сфере кибербезопасности, установления и развития отношений с международным сообществом по исследованиям в конкретных областях, которые лежат в основе кибербезопасности, развития сотрудничества между публичным и частным сектором относительно определения общих решений по кибербезопасности, внедрения мер по оценке угроз и рисков по отношению к установленным кибернетическим уязвимостям, заключения соглашений о международном сотрудничестве с европейскими, северо-атлантическими, национальными командами типа CERT других стран, осуществления других мер, согласно Плану действий.

V. ЭТАПЫ, СРОКИ И ОТВЕТСТВЕННЫЕ ЗА ВЫПОЛНЕНИЕ

29. Программа не предусматривает поэтапную реализацию. Но по истечении каждого года внедрения будет осуществляться промежуточная оценка, в рамках которой промежуточные результаты будут анализироваться и сопоставляться с ожидаемыми, будет определяться уровень внедрения Программы. На основе выводов из Отчетной информации мониторинга и оценки (ОИМО), в случае необходимости, будут предлагаться корректировки целей и/или ожидаемых результатов, новые действия, актуализация Программы и/или Плана действий.

30. В Плане действий, прилагаемом к Программе, мероприятия сгруппированы согласно специфическим задачам, которые необходимо выполнить. В соответствующих рубриках Плана действий установлены ответственные за исполнение мер, соисполнители и сроки исполнения для получения ожидаемого результата. Первое учреждение в списке ответственных считается «главным ответственным» за исполнение мероприятия, оно координирует действия соисполнителей и других ответственных, привлекает партнеров по развитию для достижения ожидаемого результата в срок, установленный для действия.

VI. ОБЩАЯ ОЦЕНКА РАСХОДОВ И ОЖИДАЕМЫЕ РЕЗУЛЬТАТЫ

31. В соответствующих рубриках Плана действий указываются ожидаемые результаты и расчетная стоимость реализации каждого мероприятия в отдельности для достижения этих результатов. Источники финансирования включают ресурсы партнеров по развитию и бюджетные средства.

32. Так, расчетная стоимость для достижения ожидаемых результатов, подытоженная по отдельным мероприятиям в рамках каждой программной цели, составляет:

1) обработка, хранение и безопасный доступ к данным, в том числе данным, представляющим общественный интерес – около 9504 тысяч леев;

2) безопасность и надежная целостность сетей и услуг электронных коммуникаций – около 1944 тысяч леев;

3) развитие потенциала по предупреждению и срочному реагированию на национальном уровне (национальная сеть CERT) – около 49608 тысяч леев;

4) предотвращение и борьба с киберпреступностью – около 2916 тысяч леев;

5) укрепление кибернетической обороноспособности – около 2232 тысяч леев.

6) непрерывное образование, обучение и информирование в сфере кибербезопасности – около 10089 тысяч леев;

7) международное сотрудничество и взаимодействие в сферах, касающихся кибербезопасности – около 648 тысяч леев.

33. Предварительная расчетная стоимость внедрения Программы в полном объеме составляет 76941 тысяч леев. Ожидаемым результатом внедрения Программы является система менеджмента кибербезопасности Республики Молдова, созданная и внедренная в соответствующих структурах государственной и частной сферы, которая обеспечит планирование и использование имеющихся ресурсов, выявление необходимых мер в целях снижения пагубного воздействия киберпреступности, кибератак и киберинцидентов на устойчивое развитие информационного общества. Эта система будет распространяться во всех сферах социальной, экономической и политической жизни страны.

VII. ПОКАЗАТЕЛИ ПРОГРЕССА И ДОСТИЖЕНИЙ

34. Область кибербезопасности, будучи относительно новой в мире, еще не имеет показателей прогресса и достижений, рекомендованных для мониторинга и оценки внедрения документов политик в данной области. Тем не менее, исходя из необходимости мониторинга и оценки внедрения Программы, будут применены в комплексе 17 показателей результата (ПР):

ПР1 – доля разработки проектов законодательных и нормативных актов, документов политик и технических документов (рассчитанная в процентах от их общего количества), предусмотренных в Плане действий;

ПР2 – доля отчетов (информации) о выполненных мониторинге и оценке (рассчитанная в процентах от их общего количества), предусмотренных в Программе;

ПР3 – количество мер, выполненных в рамках Плана действий (до, после установленных сроков и в установленные сроки);

ПР4 – количество рекомендаций по предотвращению рисков и снижению киберуязвимостей;

ПР5 – количество разработанных технических предписаний и проектов стандартов по кибербезопасности;

ПР6 – число организаций, которые воспользовались возможностью обучения сотрудников обеспечению кибербезопасности, число лиц, которые прошли это обучение;

ПР7 – число организаций, в которых был проведен внешний/внутренний аудит кибербезопасности с целью выявления киберрисков и киберуязвимостей на уровне организаций;

ПР8 – доля органов публичного управления, которые применяют собственные политики внутренней кибербезопасности;

ПР9 – доля центральных органов публичного управления, которые создали собственный ведомственный CERT в национальной сети CERT;

ПР10 – количество организаций-участников Системы менеджмента кибербезопасности Республики Молдова;

ПР11 – количество уголовных дел и дел по правонарушениям, относящихся к киберпреступности, зарегистрированных в Автоматизированной информационной системе «Регистр криминалистической и криминологической информации», число лиц, совершивших эти преступления и/или правонарушения, число пострадавших людей, объем ущерба, причиненного пострадавшими, объем наложенных штрафов;

ПР12 – количество исследований и обзоров, проведенных в сфере кибербезопасности;

ИР13 – количество опубликованных рефератов/сообщений о кибербезопасности;

ПР14 – количество проведенных семинаров, круглых столов, тренингов, семинаров и других мероприятий по кибербезопасности, число участников этих мероприятий;

ПР15 – количество практических рекомендаций по повышению уровня информирования населения о киберрисках и киберугрозах, обеспечение кибербезопасности по месту жительства;

ПР16 – число информационных кампаний, организованных соответствующими учреждениями в сфере кибербезопасности;

ПР17 – объем информации (отчеты о мониторинге и оценке, информационные справки и т.д.), опубликованной на официальном веб-сайте Министерства экономики и инфраструктуры.

35. Чтобы определить прогресс и достижения текущего и окончательного внедрения, показатели результата периодически будут сопоставляться с показателями Национальной стратегии развития информационного общества «Цифровая Молдова 2020», с текущими результатами выполнения Соглашения об ассоциации между Республикой Молдова и Европейским Союзом, с рекомендациями Международного союза электросвязи, рекомендациями партнеров по развитию.

VIII. ПРОЦЕДУРЫ ОТЧЕТНОСТИ И ОЦЕНКИ

36. Процедуры отчетности и оценки направлены на максимизацию эффектов, достигнутых вследствие реализации Программы в соответствии с ожидаемыми результатами, указанными в рубрике «Показатель результата» Плана действий.

37. Процесс внедрения Программы сопровождается непрерывным мониторингом на институциональном, национальном и международном уровнях выполнения намеченных действий и реально полученных результатов, чтобы, в случае необходимости, были внесены соответствующие изменения в продвигаемые публичные политики и предпринимаемые действия, а также согласованием целей и мер Плана действий с результатами, ожидаемыми от реализации Программы, в целях проведения наиболее точной оценки процесса реализации Программы.

38. В рамках процесса мониторинга составляется Отчетная информация о мониторинге и оценке, которая включает релевантные данные о результатах выполнения задач Программы и выполнении соответствующих мер Плана действий, согласованных с результатами внедрения Национальной стратегии развития информационного общества «Цифровая Молдова 2020». К данной информации прилагаются отчеты о достижениях, отчеты об оценке и/или пояснительные записки с выводами и предложениями. В частности, процесс мониторинга и оценки направлен на содействие анализу текущей ситуации и тенденций в достижении целей Программы, анализу выполнения Плана действий и точной оценке текущих и конечных результатов, достигнутых по сравнению с ожидаемыми результатами.

39. На уровне международных организаций-доноров (партнеров по развитию), финансирующих некоторые этапы, составные части или комплексы мер в рамках Программы, отчетность и мониторинг будут соответствовать их требованиям. Периодические отчеты о ходе реализации, информационные справки и отчеты об оценке будут составляться в формате, одобренном соответствующим донорским финансовым учреждением и Правительством.

40. На национальном уровне процедуры отчетности и оценки выполняются Министерством экономики и инфраструктуры на основании Отчетной информации о мониторинге и оценке, представляемой каждое полугодие главными ответственными за выполнение мер из Плана действий. За каждый год внедрения Министерство экономики и инфраструктуры, в сотрудничестве с главными ответственными, указанными в Плане действий, и другими заинтересованными учреждениями, составляет годовой отчет об оценке внедрения Программы, который представляется Правительству и Межсекторальному совету по кибербезопасности до 1 марта следующего года. В зависимости от случая, Министерство экономики и инфраструктуры, на основании результатов промежуточной или полугодовой оценки, представляет на рассмотрение и утверждение проекты постановлений Правительства по актуализации Программы и/или Плана действий.

41. На институциональном уровне процедуры отчетности и оценки осуществляются каждое полугодие учреждениями, ответственными за меры, предусмотренные в Плане действий. Главное ответственное учреждение за выполнение меры составляет Отчетную информацию о мониторинге и оценке реализации меры, за которую несет ответственность, и представляет эту информацию Министерству экономики и инфраструктуры до 1 августа и 1 февраля следующего семестра. В случае необходимости, главное ответственное учреждение за выполнение меры, создает рабочую группу из представителей ответственных учреждений и соисполнителей, партнеров по развитию, других профильных учреждений в целях организации и эффективного выполнения соответствующей меры, согласно утвержденному плану работы. Факт создания рабочей группы и утверждения плана работы по выполнению меры отражается в Отчетной информации о мониторинге оценки.

42. Оценка осуществляется путем сравнения реально достигнутых результатов с ожидаемыми результатами за соответствующий отчетный период. В зависимости от ситуации, оценка может проводиться путем исследований и обзоров, в сотрудничестве с заинтересованными учреждениями, указанными в Плане действий.

43. По истечении каждого года внедрения Программы осуществляется промежуточная оценка, а по завершении ее внедрения – итоговая оценка. В рамках промежуточной оценки анализируются промежуточные результаты по сравнению с ожидаемыми результатами. После выводов и предложений, изложенных в Отчете об оценке внедрения Программы, в случае необходимости, предлагаются корректировки задач и/или ожидаемых результатов, новые меры, актуализация Программы и/или Плана действий.

44. В конце 2020 года составляется Итоговый отчет об оценке внедрения Программы, в котором отражаются реализация задач Программы, выполнение мер, предусмотренных в Плане действий, в том числе влияние внедрения Программы на кибербезопасность Республики Молдова. Итоговый отчет должен включать выводы и предложения по развитию и распространению результатов внедрения в других сферах социальной, экономической и политической жизни страны.

45. Министерство экономики и инфраструктуры информирует общественность о ходе внедрения Программы путем размещения на своем официальном сайте пресс-релизов о действиях по внедрению Программы, полугодовых, годовых и конечных результатах, достигнутых в ходе ее внедрения, а также путем предоставления соответствующей информации местным и зарубежным партнерам.

46. В процессе мониторинга важная роль отводится гражданскому обществу, которое должно:

1) активно участвовать в качестве социального наблюдателя за выполнением настоящей Программы, в том числе путем обобщения и распространения независимой информации о показателях реального прогресса, а также путем информирования о накопленном передовом опыте и выявленных недостатках;

2) участвовать в социальном диалоге с Правительством, в частности с Министерством экономики и инфраструктуры, другими центральными административными органами и предлагать новые решения по повышению эффективности внедрения Программы.

Приложение

к Национальной программе кибербезопасности

Республики Молдова на 2016-2020 годы

ПЛАН ДЕЙСТВИЙ

по внедрению Национальной программы кибербезопасности Республики Молдова

на 2016-2020 годы

[План изменен Пост.Прав. N 522 от 06.07.2017, в силу 14.07.2017]