Кратко

  • Ведомства должны ранжировать критически важные услуги по возможным последствиям компрометации и до 30 ноября внести перечень в Enterprise Portfolio Management Treasury Board of Canada Secretariat.
  • Treasury Board of Canada Secretariat, Shared Services Canada и Canadian Centre for Cyber Security будут учитывать риски, зависимости и возможности исполнения при определении приоритетов и поддержки.

Анализ

Новое федеральное уведомление о реализации политики безопасности (SPIN) вступило в силу 1 октября. Оно превращает широкую программу киберготовности в конкретный выбор: какие государственные услуги труднее всего будет поддерживать при компрометации их систем? Пункт IDT-1 требует пересмотреть критически важные услуги и поддерживающие системы, ранжировать их по возможному операционному, правовому, финансовому ущербу или ущербу репутации и до 30 ноября подать список в Enterprise Portfolio Management (EPM) Treasury Board of Canada Secretariat.

Цель — помочь централизованной расстановке приоритетов и планированию Shared Services Canada; публикация списка не обещана.

Ранжирование должно связать непрерывность услуг с технической работой. Предписание также требует актуальных реестров приложений, схем систем и путей атаки, а также учета активов, доступных из интернета. Это помогает связать услуги с идентификаторами, сетями, приложениями и внешними поставщиками, от которых зависят доступность и восстановление. Более широкая программа включает инвентаризацию, устранение уязвимостей, защиту идентичностей и сетей, мониторинг и подготовку к восстановлению.

Роли распределены явно. Treasury Board of Canada Secretariat (TBS) совместно с Shared Services Canada (SSC) и Canadian Centre for Cyber Security определит приоритеты реализации и поддержку SSC по критериям киберриска, зависимостей и возможностей исполнения. SSC оказывает общие ИТ-услуги, однако ведомства остаются ответственными за информацию и активы правительства даже при участии третьих лиц или поставщиков управляемых услуг. Требования безопасности поэтому должны попадать в закупки, договоры и текущую работу с ними; общая инфраструктура не переносит ответственность за услугу.

Если ресурсов недостаточно, чтобы охватить все критические услуги одновременно, предписание рекомендует начать максимум с трех наиболее приоритетных и затем расширить тот же подход на остальные. Это совет о последовательности, а не постоянный предел. Важно обосновать выбор первой группы последствиями и не потерять зависимости при дальнейшем расширении.

HRD-6 включает ИИ-агентов в число нечеловеческих субъектов наряду с сервисными учетными записями и машинными идентификаторами. Требуются понятный владелец, документированная цель, управление жизненным циклом и регулярный пересмотр привилегий; постоянный доступ и статические учетные данные следует сокращать. Практические вопросы таковы: кто отвечает за автоматизированную идентичность с доступом к критической системе, кто может отозвать доступ и как проверяется ее активность?

Руководство Canadian Centre for Cyber Security по передовому ИИ дает технический контекст для ограничений автономных действий, контроля доступа, журналирования, тестирования и вмешательства, но не доказывает конкретный инцидент.

TBS также намерен активно проверять правительственный периметр и общедоступные системы, следить за прогрессом и при необходимости привлекать руководителей при невыполнении обязательных мер. Приложение A называет предложенные показатели «предлагаемыми»: например, актуальность реестров или наличие владельца у нечеловеческих субъектов. Текущих результатов там нет. Первый ориентир — 30 ноября, а затем важно увидеть, как списки превратятся в приоритеты и подтвержденные действия.

Источники