План за действие за устойчиво управление на информационните ресурси

29 август 2018, сряда Facebook Twitter Viber

Демократична България с план за устойчиво управление на информационните ресурси

С оглед на:

1. Кризата с Търговския регистър, която създаде сериозен риск за стопанския оборот и националната сигурност, и която въздейства не само на търговските дружества, но и на хиляди техни служители, множество институции и граждани;
2. Рисковете, които стоят пред други критични регистри, в т.ч. Национална база данни “Население”, български документи за самоличност, регистър на пътните превозни средства, регистрите на НАП, и много др.;
3. Липсата на подготовка на държавните органи, както на политическо, така и на експертно ниво, да поддържат системите си устойчиви и в съответствие със съвременните добри практики.

И при спазване на следните принципи:

1. Неделимост на киберустойчивостта от националната сигурност – политическото ниво трябва да е наясно, че срив, умишлен или не, в критични системи, се отразява директно на националната сигурност.
2. Политическа ангажираност – политическа воля за провеждане на реформата и екип от експерти, отговорни на ниво премиер, които да гарантират успешното изпълнение на заложените политически цели.
3. Партньорство – сътрудничество на институциите с частния сектор и с партньорите ни от Европейския съюз и НАТО.
4. Прозрачност и отчетност – всички параметри на управлението на информационните ресурси, на закупените хардуер и софтуер да бъдат максимално прозрачни, а отговорността за управлението да бъде ясно определена.
5. Споделени услуги – централизиране на извършването на услуги в звена със специфична експертиза и опит, вместо разпокъсана, децентрализирана работа с ниско качество.
6. Меритокрация – припознаване и промотиране на мотивираните експерти и ръководители, в т.ч. чрез предоставяне на свобода за действие.
7. Експертност – решения за управление на информационните ресурси трябва да се вземат с участие на експерти. Изцяло политически решения често са неефективни и несъобразени с техническите реалности.

Предлагаме следния план за действие:
1. Поддържане на оперативен регистър на регистрите – регистърът на регистрите не е функциониращ и липсва единно място, на което са описани всички регистри в рамките на публичния сектор (регистърът трябва да се поддържа по чл. 2 от Наредбата за общите изисквания към информационните системи, регистрите и електронните административни услуги (НОИИСРЕАУ)). Първоначално е достатъчно да бъдат вписани основните регистри и бази данни, като впоследствие да се допълват с по-маловажни такива.

2. Оценка на риска и категоризиране на регистрите – за всеки регистър, вписван в регистъра на регистрите, трябва да бъдат определени нивата на риск и параметрите “критичност”, “време за възстановяване”, “въздействие” и др., на база на които да бъдат приоритизирани всички действия, свързани с поддръжката и сигурността на регистрите. Търговският регистър, Национална база данни население, имотният регистър, например, трябва да бъдат с най-висока степен на критичност, съответно с високо въздействие при срив и с минимално време, в което да бъдат възстановени.

3. Приемане на политика за управление на информационните ресурси – съгласно чл. 7в, т. 5, Председателят на Държавна агенция “Електронно управление” разработва и предлага за приемане от Министерския съвет единна политика за информационните ресурси, издава методически указания и координира нейното изпълнение. Политиките трябва да включват детайлни планове за продължителност на работата и възстановяване при срив, както и за провеждане на тестове и профилактики;

4. Пускане в експлоатация на регистъра на информационните ресурси – Законът за електронното управление в чл. 7е предвижда създаване на регистър на информационните ресурси, в който да бъдат описани всички софтуерни, хардуерни и мрежови ресурси в държавната администрация, в т.ч. техните характеристики, години на производство, планове за подмяна и др. За първоначалното въвеждане на данните е изпълнен проект за инвентаризация, финансиран по Оперативна програма “Добро управление”. Пускането на регистърa в експлоатация е наложително с оглед изпълнението на политиката за управление на информационните ресурси.

5. Създаване на Държавно предприятие “Единен системен оператор” – Законът за електронното управление, в чл. 7к, определя създаването на Държавно предприятие “Единен системен оператор”, което обаче все още не съществува. Предприятието е крайно необходимо и трябва да извършва ИТ услуги за администрацията по определен от Министерския съвет каталог на услугите. Тези услуги включват писане на технически задания, текущ и последващ контрол, управление на поддръжката и др. Видимо администрацията няма кадри за извършване на тези дейности, тъй като експертите са скъпо платени и много над предвиденото заплащане в класификатор на длъжностите в администрацията. Държавното предприятие, например, можеше да управлява поддръжката на Търговския регистър от името на Агенция по вписванията, и така да не допусне немарливостта, довела до срива.Предприятието трябва да се управлява прозрачно и в съответствие с изискванията на закона.

6. Изграждане на Държавен хибриден частен облак – инфраструктурата, върху която са разположени държавните регистри е често остаряла и зле поддържана. Липсва гъвкавост, разходите са по-високи от необходимото. Поради това в Пътната карта за развитие на стратегията за електронното управление (2016-2020) е включен приоритетен проект за изграждане на Държавен хибриден частен облак, който да предоставя “инфраструктура като услуга” на държавната администрация, с високо качество на поддръжка, гъвкавост и икономии от мащаба. Облакът ще включва няколко дейта-центъра, като така ще даде необходимата резервираност на регистрите и базите данни на администрацията. Изготвяне на правила за използване и на частни облачни услуги в допълнение на държавните центрове.

7. Използване на съществуващи резервни центрове и изграждане на нови – има съществуващи резервно-възстановителни центрове на територията на страната, а съществуват възможности и предпоставки за изграждане на такива на територията на държави-съюзници. Необходимо е осигуряване като минимум на резервни копия в тези центрове, като за по-критични системи следва да бъдат поддържани цялостни копия на системите в готовност да поемат заявки в случай на сривове.

8. Подобряване и унифициране на процедурите за резервни копия – според отчетите на администрацията, в под 15% от случаите се създават изобщо резервни копия на регистрите. В много малка част от тях се правят опити за възстановяване на резервните копия. Следва да се предприемат мерки за унифициране на процедурите по създаване на резервни копия и те да отговарят на изискванията на чл. 42 от НОИИСРЕАУ, като включват процедури по възстановяване и периодично тестване.
Нужна e редовна валидация на съществуващите резервни копия, тяхната пълнота и използваемост. Изрично условие на проверката на резервни копия е пълното възстановяване на информационния масив без използване на титулярните системи или техни компоненти (дискови масиви, оперативна памет, машинно-четими интерфейси и др.)

9. Преглед на договори за поддръжка – необходимо е да бъдат прегледани договорите за поддръжка на всички системи, както и да се установи има ли системи без осигурена текуща поддръжка. В договорите трябва да бъдат прегледани т.нар. споразумения за ниво на обслужване (SLA), неустойки, задължения за мониториране на ресурсите и др. В резултат трябва да бъдат направени препоръки за последващи договори или за допълване на настоящите.

10. Оценка на съответствие с приложимите наредби, както и сертифициране по стандарти за информационна сигурност и качество – следва да бъде установено нивото на съответсвие на всички администрации и техните информационни системи с ключови изисквания на наредбите към Закона за електронното управление, в т.ч. Наредбата за общите изисквания за мрежова и информационна сигурност. Оценката може да бъде извършена на няколко етапа, като първият може да бъде с въпросници за самооценка. На следващ етап критичните системи следва да бъдат сертифицирани по стандарти като тези от серията ISO 27000.
.
11. Създаване на съвет на главните информационни мениджъри – решенията за управлението на информационните ресурси и за посоката на развитие следва да се предлага от съвет на най-високо ниво. Към момента функциониращият съвет по интеграция към Държавна агенция “Електронно управление” следва да бъде изнесен на ниво Министерски съвет, като в него участват главните информационни мениджъри на министерства и държавни агенции. Такъв съвет трябва да участва във формирането на политиките по управление на информационните ресурси и киберустойчивост, определянето на ресурсите за тяхното прилагане, както и да консултира управлението на Държавно предприятие “Единен системен оператор”. За целта следва да бъде създадена и позицията “Главен информационен мениджър” като част от общата администрация, със съответните правомощия и ресурси.

12. Създаване на национална координационно-организационна мрежа за киберсигурност – в изпълнение на стратегията за киберсигурност, следва да се стартира създаването на такава мрежа на партньорство между администрацията, частния сектор и академичните институции, като бъдат определени роли, отговорности и способности за развитие на държавните и неправителствените участници, установяване на общ механизъм, дефиниране на процеси и протоколи за взаимодействие и мониторинг на кибер картината на национално ниво на базата на координирана мрежа от центрове за кибер сигурност (CERT/CSIRT и други органи).