С быстрым развитием технологии дронов ее применение в различных областях, таких как военное дело, сельское хозяйство, логистика, геодезия и картография, а также безопасность, становится все более распространенным. Будучи поставщиками ключевых технологий, производители дронов обладают не только ключевыми данными, такими как алгоритмы управления полетом, технологии объединения данных с датчиков и разработка протоколов связи, но и имеют доступ к большому объему крайне конфиденциальной информации, касающейся архитектуры оборудования, навигационных систем и систем обработки изображений. После утечки эта информация может быть скопирована конкурентами или даже использована в незаконных целях, угрожая национальной безопасности и конкурентоспособности отрасли. Поэтому создание эффективного механизма изоляции конфиденциальной информации стало ключевой задачей, которую должны решить производители дронов.
В процессе исследований, разработок и производства дронов конфиденциальная информация охватывает множество уровней.
Для достижения эффективной изоляции информации производители дронов должны создать иерархическую организационную структуру. Рекомендуется создать независимый ?Комитет по информационной безопасности?, состоящий из директора по исследованиям и разработкам, руководителя юридического отдела, менеджера по соблюдению нормативных требований и внешнего консультанта по безопасности, ответственный за разработку стандартов классификации информации и политики предоставления доступа.
В рамках системы НИОКР можно использовать модель ?изоляции функциональных областей?, разделяя различные функциональные группы (например, группу управления полетами, группу обработки изображений и группу связи) на физически или виртуально изолированные подсистемы, чтобы обеспечить открытие только необходимых интерфейсов при межведомственном взаимодействии. Одновременно следует внедрить ?принцип наименьших привилегий?, означающий, что сотрудники могут получать доступ только к данным, необходимым для выполнения своих должностных обязанностей, предотвращая несанкционированный доступ.
Опираться только на системы недостаточно для полного предотвращения рисков утечки информации; в качестве дополнительных мер необходимо использовать передовые технические средства.
Двойная защита физической и сетевой среды
Производители дронов должны строго различать физические границы между офисными помещениями, зонами НИОКР и зонами тестирования. В основных зонах НИОКР следует внедрить систему контроля доступа, оснащенную биометрическими системами и видеонаблюдением, запрещающую доступ мобильных устройств. Терминалы НИОКР должны быть единообразно настроены в режиме только для чтения, запрещая несанкционированную установку программного обеспечения или подключение к внешним устройствам хранения данных. На сетевом уровне рекомендуется создать систему ?трехсетевого разделения?: интранет (для повседневной офисной работы), выделенную сеть для исследований и разработок (для хранения основного кода и проектных материалов) и внешнюю тестовую сеть (для интеграционного тестирования и интерфейсов третьих сторон).
Даже самые строгие технические меры неразрывно связаны с человеческим сотрудничеством. Предприятия должны регулярно проводить обучение по вопросам информационной безопасности, охватывающее такие темы, как выявление фишинговых писем, предотвращение социальной инженерии и надлежащие процедуры передачи информации увольняющимся сотрудникам. Для персонала отдела исследований и разработок следует предложить специальный курс ?Ответственность за конфиденциальность и юридические последствия?, подчеркивающий потенциальную гражданскую ответственность, административные санкции и даже уголовную ответственность за утечки информации.
При сотрудничестве с университетами, научно-исследовательскими институтами или поставщиками, производителям дронов часто необходимо обмениваться техническими данными. В этом случае следует подписать юридически обязывающее соглашение о неразглашении (NDA), четко определяющее объем использования данных, срок их хранения и метод уничтожения. Для партнеров, получающих доступ к внутренним системам, следует использовать временную учетную запись + метод ограниченного по времени доступа, а все записи операций должны быть полностью зарегистрированы.
Даже при наличии надежной системы изоляции способность реагировать на чрезвычайные ситуации по-прежнему имеет важное значение. Предприятиям следует разработать подробные планы действий в чрезвычайных ситуациях, связанных с утечкой информации, включая процедуры отчетности об инцидентах, методы оценки воздействия, механизмы внешнего оповещения и планы по урегулированию юридической ответственности. Для проверки эффективности существующих систем защиты следует регулярно проводить тестирование на проникновение и учения ?красно-синей команды?. Одновременно необходимо создать систему аудита журналов для отслеживания и анализа всех случаев доступа, изменения и экспорта конфиденциальных данных, обеспечивая отслеживаемость и подотчетность каждой операции.
В связи с углублением применения таких законов и нормативных актов, как Закон о безопасности данных, Закон о кибербезопасности и Закон о защите персональных данных, государственный надзор за критической информационной инфраструктурой становится все более строгим. Если производители беспилотников участвуют в военных или секретных проектах, они также должны соблюдать соответствующие правила Государственного управления по науке, технологиям и промышленности в интересах национальной обороны. Поэтому предприятиям следует заблаговременно привести свою деятельность в соответствие с международными стандартами, такими как система управления информационной безопасностью ISO/IEC 27001 и ITAR (Правила экспортного контроля США), чтобы заранее создать систему соответствия и повысить свою репутацию и конкурентоспособность на мировом рынке.
Рекомендации по смежным темам
Лесные беспилотные летательные аппараты: со···
