«Держспецзв’язку» запропонував ряд законодавчих змін для підвищення кіберзахисту державних інформаційних ресурсів

З метою покращення стану кібербезпеки держави та запобігання інцидентам, подібним тому, який трапився 14 січня, було ухвалене рішення щодо невідкладного внесення законодавчих змін для узаконення процедури BugBounty. Про це на брифінгу за підсумками засідання «Ради національної безпеки й оборони» повідомив Юрій Щиголь, голова «Державної служби спеціального зв'язку та захисту інформації України».

Це дасть можливість залучити зовнішніх фахівців до пошуку помилок і вразливостей програмних продуктів, інформаційно-комунікаційних систем тощо та оперативно усувати всі недоліки та прогалини у безпеці.

Для цього пропонується внести зміни до статей 361 та 361-1 «Кримінального кодексу України». Перша стосується несанкціонованого втручання в роботу комп'ютерів, автоматизованих систем, комп'ютерних мереж чи мереж електрозв'язку, друга – створення шкідливих програмних чи технічних засобів, а також їх розповсюдження або збут.

«Також законодавчі новації передбачають запровадження в органах державної влади та на об’єктах критичної інформаційної інфраструктури посад офіцерів із кіберзахисту. Їм підпорядковуватимуться служби захисту інформації. Для таких спеціалістів буде встановлено заробітну плату на рівні не нижче ринкової», – підкреслив голова «Держспецзв’язку».

Також серед новацій:

• Створення інструментів фінансового стимулювання співробітників державних органів, що виконують завдання з адміністрування ІТ-систем;
• Посилення відповідальності посадових осіб за невиконання вимог із кіберзахисту в органах державної влади та на об’єктах критичної інформаційної інфраструктури;
• Закріплення комплексу заходів із виявлення вразливостей і недоліків у налаштуванні інформаційних систем, в яких обробляються державні інформаційні ресурси;
• Надання повноважень впроваджувати вимоги з кібербезпеки до підрядних організацій, які працюють з органами державної влади;
• Надання повноважень від органів державної влади та об’єктів критичної інфраструктури вимагати усунення критичних вразливостей із подальшим звітуванням, а також встановлення відповідальності за порушення або невиконання зазначених вимог.