Группа политики сетевой безопасности

Департамента науки, инноваций и технологий (DSIT)

2-й этаж
Уайтхолл, 22,
Лондон
SW1A 2EG

Открытая консультация

Предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года

От:: Департамент науки, инноваций и технологий
Опубликовано: 28 августа 2025 г.

Краткое содержание

Мы хотим узнать мнения по предложениям по обновлению Кодекса правил безопасности телекоммуникаций 2022 года. Консультации открыты для всех, однако мы особенно заинтересованы в мнениях поставщиков сетей и услуг общественной электронной связи.

Эта консультация закрывается в
23:59 22 октября 2025 г.

Описание консультации

В ходе консультаций излагаются предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года . Предлагаемые обновления призваны помочь поставщикам телекоммуникационных услуг общего пользования защитить телекоммуникационные сети и услуги Великобритании в свете меняющихся угроз и новых технологий.

Предлагаемые обновления включают в себя:

некоторые редакционные изменения для большей ясности в разделах 1, 2 и 3 Кодекса
некоторые дополнительные меры в разделе 3 Кодекса
соответствующие указания в разделе 2 Кодекса

Предлагаемые обновления:

поясняется в статье «Предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года: по каким вопросам мы проводим консультации»
показаны как отслеживаемые изменения в «Предлагаемых обновлениях Кодекса правил безопасности телекоммуникаций 2022 года» (PDF) ниже

Документы

Предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года: по каким вопросам мы проводим консультации

HTML

Предлагаемые обновления Кодекса правил безопасности телекоммуникаций 2022 года (PDF)

PDF , 2,94 МБ , 182 страницы

Этот файл может не подойти пользователям вспомогательных технологий.

Запросите доступный формат.

Способы реагирования

Ответить онлайн

или

Электронная почта:

telecoms.security.consultation@dsit.gov.uk

Напишите по адресу:

Группа политики сетевой безопасности
Департамента науки, инноваций и технологий (DSIT),
2-й этаж
, Уайтхолл, 22,
Лондон
, SW1A 2EG

Опубликовано 28 августа 2025 г.

WikiVisa — ВикиВиза — VikiVisa

Открытая консультация

Предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года: по каким вопросам мы проводим консультации

Опубликовано 28 августа 2025 г.

Почему мы консультируем

В Кодексе правил безопасности телекоммуникаций (2022 г.) правительство излагает намерение «периодически пересматривать и обновлять Кодекс правил по мере возникновения новых угроз и развития технологий».

После консультаций по вопросам безопасности, предоставленных правительству Национальным центром кибербезопасности (NCSC), а также отзывов, полученных как от Ofcom, так и от отрасли, правительство считает, что некоторые разделы Кодекса практики теперь требуют обновления.

В ходе данной консультации будут изложены предлагаемые обновления и запрошены отзывы по ним от поставщиков сетей и услуг общественной электронной связи.

Правительство тщательно проанализирует все отзывы, полученные в ходе этих консультаций, с целью дальнейшей доработки предложений по обновленному Кодексу практики и обеспечения его эффективной поддержки организаций в выполнении требований, предъявляемых к ним Законом Великобритании о безопасности телекоммуникаций (2021 г.) и связанными с ним Положениями об электронных коммуникациях (меры безопасности) 2022 г.

Подробности консультации

Выпущено : 28 августа 2025 г.
Ответить до : 23:59 22 октября 2025 г.

Запросы по адресу:

Группа политики сетевой безопасности
Департамента науки, инноваций и технологий ( DSIT )
, 2-й этаж
, Уайтхолл, 22,
Лондон
, SW1A 2EG

Электронная почта: telecoms.security.consultation@dsit.gov.uk

Ссылка для консультации : Кодекс правил безопасности телекоммуникаций

Аудитория:

Любой (это публичные консультации)
Компании, предоставляющие общедоступные сети и услуги электронной связи

Территориальный охват:

географический охват этих консультаций — Великобритания

Как реагировать

Отправьте свои ответы онлайн: форма консультации .

Консультация продлится до 23:59 22 октября 2025 года .  

При ответе, пожалуйста, укажите, отвечаете ли вы как частное лицо или представляете точку зрения организации. 

В исключительных случаях, если вам необходимо предоставить печатную копию или требуется другой формат (например, шрифт Брайля или крупный шрифт), свяжитесь с нами по адресу telecoms.security.consultation@dsit.gov.uk .  

Предоставленная вами информация будет использована для разработки будущей политики и может передаваться между государственными ведомствами Великобритании, Ofcom и другими агентствами с этой целью. В таких случаях персональные данные будут удалены. Копии ответов, полные или в кратком изложении, могут быть опубликованы после даты окончания консультаций на веб-сайте ведомства.

Конфиденциальность и защита данных

Информация, которую вы предоставляете в ответ на эту консультацию, включая персональные данные, может быть раскрыта в соответствии с законодательством Великобритании (Закон о свободе информации 2000 г., Закон о защите данных 2018 г. и Положение об экологической информации 2004 г.).

Если вы хотите, чтобы предоставленная вами информация рассматривалась как конфиденциальная, сообщите нам об этом, но учтите, что мы не можем гарантировать конфиденциальность при любых обстоятельствах. Автоматический отказ от конфиденциальности, сгенерированный вашей IT-системой, не будет рассматриваться нами как запрос на конфиденциальность.

Мы будем обрабатывать ваши персональные данные в соответствии со всеми действующими законами о защите данных. Ознакомьтесь с нашей политикой конфиденциальности .

Гарантия качества

Эти консультации проводились в соответствии с принципами консультаций правительства .

Предложения

Обзор

Будущее процветание Великобритании зависит от безопасности и устойчивости сетей и сервисов общественной электронной связи, которые нас объединяют. Однако по мере развития технологий возникают новые угрозы для этих сетей и сервисов.

Киберхакеры способны угрожать коммуникациям по всему миру, поскольку ценовые барьеры для масштабных нарушений продолжают снижаться. Противодействие государственным угрозам является важнейшей задачей в условиях растущей конкуренции и агрессии в киберпространстве со стороны таких стран, как Россия, Китай, Иран и Северная Корея.

Мы становимся всё более зависимыми от телекоммуникационной инфраструктуры по мере развития скорости и масштабирования сетей и услуг. Растущая зависимость нашей экономики, общества и критически важной национальной инфраструктуры (КНИ) от телекоммуникационной инфраструктуры требует от нас уверенности в её безопасности. Без этой уверенности разрушительное воздействие успешных кибератак со стороны злоумышленников будет продолжать расти, а последствия нарушений или сбоев в работе сети могут быть катастрофическими.

Структура безопасности телекоммуникаций

В обзоре цепочки поставок телекоммуникационных услуг Великобритании за 2019 год отмечена необходимость создания усовершенствованной законодательной базы для обеспечения безопасности телекоммуникаций, что было введено в действие Законом о безопасности телекоммуникаций 2021 года.

Закон о телекоммуникациях (безопасности) 2021 года внес поправки в Закон о коммуникациях 2003 года («Закон 2003 года»), чтобы создать новую структуру безопасности телекоммуникаций для повышения безопасности и устойчивости сетей и услуг связи общего пользования.

Закон 2003 года с поправками включает в себя:

Основные обязанности по обеспечению безопасности, возложенные на поставщиков услуг связи общего пользования, заключаются в выявлении и снижении риска возникновения нарушений безопасности, обеспечении готовности к возникновению нарушений безопасности, предотвращении неблагоприятных последствий, возникающих в результате произошедшего нарушения безопасности, а также в устранении или смягчении таких неблагоприятных последствий.
Полномочия Государственного секретаря по разработке положений, устанавливающих конкретные меры безопасности, которые должны быть приняты государственными поставщиками телекоммуникационных услуг.
Полномочия Государственного секретаря издавать кодексы практики, содержащие рекомендации относительно мер, которые должны быть приняты государственными поставщиками телекоммуникационных услуг для выполнения своих юридических обязательств.
Положения, гарантирующие, что регулятор телекоммуникаций Ofcom сможет эффективно контролировать и обеспечивать соблюдение поставщиками государственных телекоммуникационных услуг своих юридических обязательств в соответствии с Законом.

На основе этих полномочий были разработаны Регламент электронных коммуникаций (меры безопасности) 2022 года (далее – «Регламент») и Кодекс правил безопасности телекоммуникаций. Они направлены на устранение рисков, угрожающих безопасности сетей и услуг связи общего пользования Великобритании. Они были разработаны совместно с Национальным центром кибербезопасности (NCSC), национальным техническим органом Великобритании по кибербезопасности, и Ofcom, регулятором телекоммуникаций.

Положения вступили в силу 1 октября 2022 года. В них изложены конкретные меры безопасности, которые должны принимать поставщики услуг связи общего пользования в дополнение к общим правовым обязанностям, изложенным в разделах 105A и 105C Закона 2003 года (с поправками, внесенными Законом о безопасности телекоммуникаций 2021 года).

Свод правил был опубликован в декабре 2022 года. Он содержит подробные рекомендации для крупных и средних государственных поставщиков телекоммуникационных услуг (т. е. тех, чей оборот за соответствующий период превышает или равен 50 миллионам фунтов стерлингов) относительно предпочтительного для правительства подхода к подтверждению соблюдения обязанностей, предусмотренных Законом 2003 года, и требований, содержащихся в Положениях.

Предложения по обновлению Кодекса правил безопасности телекоммуникаций

Правительство стремится постоянно оценивать эффективность Системы безопасности телекоммуникаций.

В действующем Кодексе практики (пункт 0.30) правительство обозначило намерение «периодически пересматривать и обновлять Кодекс практики по мере возникновения новых угроз и развития технологий» и уточнило, что «при этом ему будет оказывать поддержку Ofcom посредством регулярного предоставления отчетов по вопросам безопасности Государственному секретарю в соответствии с разделом 105Z Закона».

Первый отчётный период для Ofcom составил два года после вступления в силу раздела 11 Закона (то есть с 1 октября 2022 года по 1 октября 2024 года). Отчёт по безопасности, подготовленный Ofcom за этот период, включал информацию о том, в какой степени поставщики услуг связи соблюдали Кодекс практики. Доступ к этой информации помог правительству оценить эффективность новой системы и выявить необходимые изменения в Кодексе практики.

Правительство также рассмотрело:

NCSC предоставляет правительству рекомендации по безопасности, в которых на основе анализа и разведывательных данных указывает, где находятся эти новые угрозы и уязвимости.
Данные от поставщиков общедоступных телекоммуникационных услуг о новых уязвимостях, выявленных в ходе продолжающегося и расширенного тестирования безопасности, а также новые сообщения об инцидентах, связанных с нарушениями безопасности.

Учитывая эти факторы, а также регулярные отзывы, получаемые от отрасли, правительство считает, что сейчас подходящее время для обновления Кодекса практики.

Предлагаемые обновления направлены на:

Отражайте развитие технологий . С момента публикации Кодекса практики использование некоторых технологий, включая eSIM, инструменты автоматизации и интерфейсы прикладного программирования ( API ), увеличилось. Чтобы обеспечить безопасное и надежное внедрение таких технологий, нам необходимо предоставлять поставщикам общедоступных телекоммуникационных услуг эффективные и актуальные рекомендации.
Отражайте возникающие угрозы безопасности . Недавние атаки на телекоммуникационные сети США, связанные с враждебными государствами, продемонстрировали драматические последствия кибератак. Необходимо обеспечить, чтобы Кодекс практики отражал необходимость принятия государственными поставщиками телекоммуникационных услуг адекватных и соразмерных мер для защиты своих сетей от подобных угроз.
Внесите дополнительную ясность . Поставщики услуг связи общего пользования отметили, что Кодекс практики местами неоднозначен и не содержит конкретных указаний по некоторым мерам, например, по тестированию безопасности и использованию рабочих станций с привилегированным доступом. Предлагаемые обновления призваны предоставить дополнительные рекомендации по этим вопросам.
Еще раз подчеркнуть необходимость комплексного подхода к Кодексу практики.

Подводя итог, предлагаемые обновления включают в себя:

(i) некоторые редакционные изменения для большей ясности в разделах 1, 2 и 3 Кодекса,
(ii) некоторые дополнительные меры в разделе 3 Кодекса и
(iii) соответствующие рекомендации в разделе 2 Кодекса.

Как указано выше, предлагаемые обновления призваны помочь поставщикам государственных телекоммуникационных услуг защитить телекоммуникационные сети и услуги Великобритании в свете меняющихся угроз и новых технологий.

Предлагаемые обновления также включают некоторые изменения:

Глоссарий в Приложении А , в целях разъяснения значения некоторых терминов, используемых в предлагаемом новом руководстве;
Оценка безопасности поставщика в Приложении B , с целью добавления нового раздела, взятого из Оценки безопасности поставщика («VK – Планирование непрерывности бизнеса и восстановления после сбоев ( BCDR )»);
Выдержки из Рамок оценки кибербезопасности в Приложении C , отражающие обновления, внесенные в Рамки оценки кибербезопасности с момента публикации Кодекса практики; а также
Сопоставление мер с Правилами, изложенными в Разделе 3 Кодекса практики. Как указано в Кодексе практики, это сопоставление носит лишь ориентировочный и неисчерпывающий характер.

Документ PDF «Предлагаемые обновления Кодекса практики обеспечения безопасности телекоммуникаций 2022 г.» содержит наши предлагаемые обновления, отраженные в отслеживаемых изменениях.

Все существенные изменения Кодекса практики отражены в документе. В некоторых случаях мы внесли более мелкие изменения, которые не были отражены в отслеживаемых изменениях. К ним относятся:

Термины «поставщики телекоммуникационных услуг» и «провайдеры» были заменены на «поставщики общедоступных телекоммуникационных услуг» для обеспечения единообразия в документе.
исправления незначительных ошибок форматирования и грамматических ошибок, включая написание термина «Кодекс практики» с заглавной буквы по всему документу.

Предлагаемый нами подход

Целью данной консультации является получение мнений по предлагаемым обновлениям Кодекса правил безопасности телекоммуникаций.

Консультационные вопросы излагают каждое из существенных предлагаемых обновлений в том порядке, в котором они указаны в трех основных разделах Кодекса практики:

Каждое из этих обновлений описано вместе с обоснованием необходимости их включения. Для поощрения целенаправленной обратной связи по предлагаемым изменениям предусмотрены вопросы для консультаций.

При необходимости в конце каждого раздела приводится более открытый вопрос, в ответ на который заинтересованные стороны могут предоставить более широкую обратную связь по предлагаемым обновлениям, которая не соответствует более конкретным вопросам консультаций.

Обратите внимание, что эта консультация:

мы ищем только обратную связь по конкретным предлагаемым обновлениям.
Мы не запрашиваем обратную связь по всему Кодексу практики. Любые отзывы, предоставленные по более широкому содержанию Кодекса практики, не будут рассматриваться в рамках данной консультации.

Вопросы для консультации

Ответьте на каждый вопрос консультации, используя нашу форму онлайн-консультации .

Вопрос 0.1

Укажите ваше имя, название организации и контактный адрес электронной почты. Мы можем связаться с вами, если нам потребуется дополнительная информация или разъяснения по вашему ответу.

Раздел 1 – введение и предыстория

Раздел 1 Кодекса практики содержит ключевой контекст документа, включая следующие положения:

Законодательная база, включая Закон о безопасности телекоммуникаций 2021 года, Положение об электронных мерах безопасности 2022 года и действующий Кодекс правил безопасности телекоммуникаций.
Роли и обязанности органов государственной власти, включая правительство, Ofcom и NCSC.
Информация, подтверждающая практическое применение Кодекса практики, включая многоуровневую систему, объяснение ключевых терминов, правовой статус Кодекса практики и соответствующие сроки внедрения.

Раздел 1: существенные предлагаемые изменения, изложенные ниже

Введение

Добавление предлагаемой формулировки, поощряющей комплексный подход к «работе по обеспечению безопасности», описанной в Кодексе в отношении принятия соответствующих и соразмерных мер безопасности (пункты 0.1, 0.3, 0.6). Добавлены ссылки, подчеркивающие важность комплексного, основанного на оценке рисков подхода к работе по обеспечению безопасности, а не принятия отдельных мер безопасности изолированно.

Сроки реализации

Добавление предлагаемой формулировки, поощряющей своевременное внедрение мер безопасности (пункты 0.28 и далее по всему Кодексу). В связи с постоянно меняющимся ландшафтом угроз мы добавили рекомендации, призывающие поставщиков услуг связи общего пользования, по возможности, не откладывать внедрение мер до дат, указанных в Разделе 3 Кодекса, если они могут реализовать их раньше.

Вопрос 1.1

Согласны ли вы с предлагаемыми поправками к Разделу 1? Если нет, объясните, почему. Предлагаемые поправки к Разделу 1 будут способствовать комплексному подходу к обеспечению безопасности и побудят поставщиков услуг, где это возможно, внедрять меры до даты вступления их в силу.

Вопрос 1.2

Есть ли у вас ещё какие-либо отзывы по предлагаемым поправкам к разделу 1 (вопрос 1.1)? Если да, предоставьте подробную информацию.

Раздел 2 – ключевые понятия

Раздел 2 Кодекса практики призван обеспечить четкое понимание терминологии и принципов, лежащих в основе мер безопасности, подробно изложенных в документе.

Раздел 2: существенные предлагаемые изменения, изложенные ниже

Заголовки ниже отражают соответствующие разделы Кодекса практики.

Основные ключевые концепции

Уточнение действующего руководства по критически важным функциям безопасности (пункты 1.3–1.5). В Положении (пункт 2) указано, что «критическая функция безопасности» применительно к общедоступной электронной сети связи или общедоступной электронной службе связи означает «любую функцию сети или службы, функционирование которой может оказать существенное влияние на надлежащее функционирование всей сети или службы или её существенной части». Поставщики услуг запросили более чёткое разъяснение понятия критически важной функции безопасности; предлагаемое дополнительное руководство содержит примеры, отвечающие на этот запрос.

Сетевая архитектура

Поправки к руководству по сторонним администраторам (пункты 2.25–2.27) – в связи с тем, что поставщики публичных облачных услуг запросили разъяснения относительно того, кто подпадает под терминологию действующего Кодекса практики. Предлагаемые поправки направлены на то, чтобы явно включить сторонних поставщиков в случаях, когда они могут оказать существенное влияние на конфиденциальность, целостность или доступность облачной среды.
Добавление нового руководства по сетевой автоматизации (пункты 2.67–2.72) – это область, где использование новых технологий растёт и будет продолжать расти. NCSC выпустил новое руководство, включающее набор принципов обеспечения безопасности машинного обучения, и предлагаемый новый текст призван соответствовать существующему руководству.
Добавление новых рекомендаций по плоскости сигнализации (пункты 2.76–2.89) — предлагаемые поправки расширяют этот раздел в некоторых местах с учетом отзывов поставщиков общедоступных телекоммуникационных услуг и продолжающегося нацеливания плоскости сигнализации на субъектов киберугроз.
Добавление нового руководства по сохранению национальной устойчивости (пункты 2.103 и 2.107) — этот предлагаемый текст был добавлен для того, чтобы поощрить рассмотрение соответствующего опыта среди тех, кто участвует в обеспечении безопасности сетей и услуг связи общего пользования, а также для того, чтобы гарантировать, что поставщики услуг связи общего пользования переоценивают существующие риски в ответ на изменения угроз или геополитического ландшафта.

Защита данных и сетевых функций

Переработка существующих рекомендаций по рабочим станциям и привилегированному доступу (пункты 3.3–3.6) – предлагаемая поправка внесена в ответ на отзывы поставщиков услуг связи, которые отметили, что первоначальные рекомендации недостаточно подробны и их сложно интерпретировать в их нынешнем виде. Этот подраздел Кодекса был существенно обновлен в связи с развитием технологий и на основе отзывов поставщиков услуг связи общего пользования, что обеспечивает дополнительную ясность и соответствие новым стандартам Европейского института телекоммуникационных стандартов ( ETSI ).
Добавление новых рекомендаций по eSIM (пункты 3.21–3.24) — предлагаемые обновления призваны отразить растущее распространение eSIM и связанные с этим угрозы для этой технологии.
Добавление новых рекомендаций по шифрованию и защите данных (пункты 3.26–3.32) — предлагаемые обновления призваны обеспечить, чтобы поставщики услуг связи общего пользования знали не только о необходимости защиты персональных данных, но и о необходимости защиты сетевых данных и других больших объемов данных.

Мониторинг и анализ

Расширение руководства по мониторингу и анализу (пункты 5.8, 5.9, 5.14, 5.18, 5.44) — этот подраздел Кодекса был расширен предлагаемыми дополнительными рекомендациями по укреплению передовой практики обеспечения безопасности в отношении ведения журналов и мониторинга в свете меняющихся угроз.

Цепочка поставок

Поправки к руководству по сторонним администраторам (пункты 6.12 и 6.19) – поставщики услуг связи общего пользования указали на отсутствие ясности в отношении того, кто подпадает под терминологию действующего Кодекса. Предлагаемая поправка направлена на то, чтобы явно включить сторонних поставщиков в случаях, когда они могут оказать существенное влияние на конфиденциальность, целостность или доступность сети.
Добавление нового руководства по оценке безопасности поставщиков (пункты 6.36) — это предлагаемое руководство было добавлено для того, чтобы гарантировать, что поставщики услуг связи общего пользования учитывают совокупную стоимость владения ( TCO ) при принятии решений о закупках.

Предотвращение несанкционированного доступа или вмешательства

Добавление нового руководства по учетным записям служб (пункты 7.4–7.10) — предлагаемое новое руководство отражает тот факт, что учетные записи служб из-за их широкого распространения и высокопривилегированного доступа являются основной целью для компрометации и должны рассматриваться соответствующим образом.
Добавление нового руководства по интерфейсам прикладного программирования ( API ) (пункты 7.11–7.26). Интерфейсы прикладного программирования ( API ) стали использоваться чаще с момента разработки Кодекса практики, и мы наблюдаем рост числа атак, направленных на их использование. Предлагаемое дополнительное руководство призвано гарантировать, что поставщики услуг связи общего пользования принимают меры для снижения этой растущей угрозы.

Патчи и обновления

Добавление новых рекомендаций по соответствующему периоду установки исправлений (пункты 11.6, 11.7, 11.8) — предлагаемые рекомендации призваны предоставить дополнительные рекомендации по установке исправлений и обновлению, включая передовой опыт по обеспечению корректной установки, применения и работы исправлений.

Тестирование

Добавление нового руководства по тестированию (пункты 13.3–13.18) – предлагаемое руководство добавлено в ответ на запросы отрасли. Целью руководства является внесение большей ясности в вопросы тестирования и более точное отражение текущей деловой практики в сообществах операторов и поставщиков.

Вопрос 2.1

Согласны ли вы с тематическими направлениями, на которые направлены предлагаемые поправки в Разделе 2? Если нет, объясните, почему.

Вопрос 2.2

Согласны ли вы с конкретными поправками, предложенными в Разделе 2? Если нет, объясните причину и предложите альтернативные предложения (если возможно).

Вопрос 2.3

Есть ли у вас ещё какие-либо отзывы по предлагаемым поправкам к разделу 2 (вопрос 2.1 и вопрос 2.2)? Если да, предоставьте подробную информацию.

Раздел 3 – технические меры руководства

В разделе 3 Кодекса практики изложены конкретные технические меры, которые должны быть приняты государственными поставщиками телекоммуникационных услуг, сгруппированные по дате, к которой они должны быть завершены.

Каждая отдельная мера, предусмотренная руководством, в данном разделе, также сопоставлена с соответствующими требованиями безопасности, предусмотренными нормативными актами, включая нормативные акты, которые могут быть косвенно связаны с данной мерой. Следует отметить, что в некоторых случаях, когда предлагаемые поправки существенно изменяют конкретную техническую меру, существующее сопоставление с нормативными актами также было обновлено с учетом предлагаемых изменений.

Чтобы отразить меняющиеся угрозы и технологии, мы предложили различные обновления Раздела 3 (изложены ниже), а также их обоснования.

Общие меры безопасности

M1.03 — поправка предлагает включить в эту меру слово «ненужные», чтобы квалифицировать конфиденциальные данные критически важных для безопасности функций, которые не должны размещаться на оборудовании, находящемся на открытом крае.

Вопрос 3.1

Согласны ли вы с предлагаемой поправкой? Если нет, объясните почему и предложите альтернативное решение (если возможно).

Плоскость управления 1

M2.01 – поправка предлагает добавить фразу «в соответствии с требованиями модели наименьших привилегий на основе ролей». Это призвано подчеркнуть важность данного принципа, призванного затруднить злоумышленнику получение привилегий уровня системного администратора.
M2.05 — поправка предлагает добавить фразу «это включает в себя тестовые сети или службы», чтобы пояснить, что пароли по умолчанию не должны использоваться ни в одной части сети.

Вопрос 3.2

Согласны ли вы с предлагаемыми поправками? Если нет, объясните причину и предложите альтернативные решения (если возможно).

Сигнальная плоскость 1

M3.08 — поправка предлагает добавить слова «или другие идентификаторы», «или идентификатор» и «мошенничество или», чтобы отразить доказательства того, что злоумышленникам могут быть доступны не только диапазоны номеров, и что это может привести к дальнейшему мошенничеству, а также к проблемам с безопасностью.
M3.10 — поправка предлагает добавить «мобильную и фиксированную связь», «для операторов сетей мобильной связи» и «однако поставщики услуг связи общего пользования также должны учитывать при принятии этой меры любые протоколы сигнализации, включая те, которые явно не охвачены руководством Ассоциации глобальной системы мобильной связи ( GSMA )». Это было добавлено для того, чтобы помочь поставщикам услуг связи общего пользования учитывать соответствующие руководства, выходящие за рамки руководства GSMA .

Вопрос 3.3

Сторонний поставщик 1

M4.02 – поправка предлагает добавить фразу «и учитывать совокупную стоимость владения», чтобы разъяснить, что поставщики услуг связи общего пользования должны, как минимум, учитывать сквозную стоимость продукта при принятии решений о закупках.
M4.05 — поправка предлагает добавить слова «и документировать действия» и «при управлении рисками», чтобы разъяснить, что помимо документирования рисков поставщики услуг связи общего пользования должны также документировать необходимые действия, предпринимаемые для снижения этих рисков.

Вопрос 3.4

Поддержка бизнес-процессов

M5.01 – поправка предлагает обновить ссылки на соответствующие разделы Системы оценки кибербезопасности ( CAF ). В частности, некоторые разделы CAF будут отделены от данной конкретной меры, чтобы включить в неё дополнительные новые меры с более поздними сроками реализации.
M5.03 — в поправке предлагается добавить фразу «эти резервные копии должны регулярно тестироваться», чтобы пояснить, что резервные копии, которые выступают в качестве основной защиты от программ-вымогателей, должны регулярно тестироваться, чтобы убедиться в их работоспособности.

Вопрос 3.5

Плоскость управления 2

M8.06 — поправка предлагает добавить «любые неиспользуемые протоколы, порты или службы, включая» в ответ на развивающийся ландшафт угроз и для отражения передовой практики безопасности в этой области.
M8.07 – в поправке предлагается добавить «и следует проводить регулярные испытания для обеспечения надлежащего функционирования регистрации», чтобы разъяснить, что поставщики услуг связи общего пользования должны гарантировать, что регистрация функционирует надлежащим образом, поскольку это основополагающий элемент поиска неисправностей и надежный индикатор компрометации.

Вопрос 3.6

Оборудование для помещений клиента ( CPE )

M9.01 — поправка предлагает заменить слово «настроен» на «установлен», чтобы подчеркнуть, что учетные данные должны быть защищены с момента установки.
M9.03 — в ответ на отзывы поставщиков и возникающие угрозы мы предлагаем пересмотреть эту меру, чтобы лучше отразить передовую практику безопасности для обеспечения того, чтобы никакие интерфейсы управления оборудованием на территории клиента ( CPE ) не были доступны через Интернет.
M9.04 — поправка предлагает добавить «не устаревшие», чтобы гарантировать, что устаревшие протоколы больше не будут использоваться.
M9.06 — поправка предлагает добавить «обнаружены и», чтобы пояснить, что двухэтапный процесс защиты сети от нежелательных входящих подключений к сети клиента (и поддержки регистрации и мониторинга) должен включать обнаружение таких подключений в дополнение к их блокировке.

Вопрос 3.7

Меры стороннего поставщика 3

M10.08 — поправка предлагает добавить слова «и осуществляться безопасным образом», чтобы гарантировать, что любые необходимые передачи данных осуществляются в соответствии с передовой практикой безопасности.
M10.22 — поправка предлагает добавить фразу «и иметь соответствующий билет на устранение неполадок», что отражает передовую практику обеспечения безопасности при отслеживании и контроле доступа к сетевому оборудованию.
M10.53 — поправка предлагает добавить ссылки на «M8.07, M10.41» и добавить «и сохраняет любую конфигурацию, связанную с безопасностью» для обеспечения последовательной защиты от угроз.

Вопрос 3.8

Плоскость управления 3

M11.21 — мы предлагаем заменить «эти» на «всю плоскость управления», чтобы гарантировать применение процедур тестирования ко всем правилам, политикам и мерам безопасности для управления сетевыми устройствами и системами.
M11.24 – M11.26, M11.29, M11.30 и M11.31 – в ответ на отзывы отрасли мы предлагаем обновить и переписать эти меры, чтобы предоставить дополнительные рекомендации по разработке подходящего решения для рабочих станций с привилегированным доступом ( PAW ). Обновления также направлены на приведение рекомендаций Кодекса практики в соответствие со стандартами ETSI для PAW .
M11.36–M11.42 – мы предлагаем добавить 7 новых мер в отношении рабочих станций с ограниченным доступом (PAW) . Как указано выше, мы также предлагаем дополнить эти новые меры соответствующими рекомендациями в разделе 2 Кодекса практики. Добавление этих мер обусловлено отзывами поставщиков услуг связи общего пользования. Они направлены на обеспечение соответствия Кодекса практики стандартам ETSI в отношении рабочих станций с ограниченным доступом (PAW) .

Вопрос 3.9

Меры стороннего поставщика 4

M14.01 – поправка предлагает добавить два дополнительных условия («d») и («e»), которые должны быть соблюдены поставщиками услуг связи общего пользования для продолжения использования оборудования, срок службы которого истек у поставщика. Эти дополнительные условия связаны с наличием финансируемого плана вывода оборудования из эксплуатации и оценкой рисков, которая обновляется не реже одного раза в год, а также при возникновении существенных изменений, влияющих на состояние оборудования. Эти условия призваны гарантировать завершение вывода из эксплуатации и отсутствие в сети оборудования, срок службы которого истек, создавая ненужные риски.

Вопрос 3.10

Дополнительные новые меры

Помимо семи новых мер по обеспечению безопасности труда (PAW ), упомянутых выше (M11.36–M11.42), реализация которых будет зависеть от существующих сроков, мы предлагаем включить в Кодекс практики дополнительные новые меры. В их число входят:

Следующая новая мера с предлагаемым сроком реализации 31 декабря 2026 года .

Поддержка бизнес-процессов — «Поставщики услуг связи общего пользования должны учитывать внедрение следующих частей CAF ( содержащихся в Приложении C ), которые определяют бизнес-процессы поставщика услуг связи общего пользования: A2b — Понимание угроз; B2d — Управление идентификацией и доступом; B3 ac — Понимание данных, данных в пути, хранимых данных; D2 — Извлеченные уроки».

Предлагаемая мера призвана дать поставщикам достаточно времени для рассмотрения обновленных разделов Рамочной программы кибероценки, содержащейся в Приложении C.

Вопрос 3.11

Согласны ли вы с предлагаемой новой мерой? Если нет, объясните почему и предложите альтернативное решение (если возможно).

Следующая новая мера с предлагаемым сроком реализации 31 марта 2027 года .

Поддержка бизнес-процессов — «поставщики услуг связи общего пользования должны учитывать внедрение следующих частей CAF ( содержащихся в Приложении C ), которые определяют бизнес-процессы поставщика услуг связи общего пользования: управление устройствами B2B».

Вопрос 3.12

Следующие новые меры со сроком реализации 31 декабря 2028 года .

Ведение журнала и мониторинг — «необходимо проводить регулярные тесты, чтобы убедиться, что ведение журнала функционирует должным образом».

Предлагаемая мера направлена на закрепление передовой практики обеспечения безопасности в отношении регистрации и мониторинга в свете меняющихся угроз сектору.

Вопрос 3.13

SIM-карты – «государственные поставщики телекоммуникационных услуг должны проверить сертификаты поставщиков SIM-карт на веб-сайте, аккредитованном GSMA SAS, и убедиться в том, что поддерживающие сайты и внешние стороны достаточно надежны».

Предлагаемая мера направлена на обеспечение того, чтобы поставщики государственных телекоммуникационных услуг, передающие свои услуги на аутсорсинг, проводили надлежащую проверку.

Вопрос 3.14

Сигнализация – «справочные данные анализа номеров (согласно руководству в пункте 2.80), которые используются для настройки сетевого оборудования, должны регулярно поддерживаться и часто пересматриваться».

Сигнализация – «поставщики услуг связи общего пользования должны обеспечивать защиту от внедрения вредоносных сигнальных сообщений в сеть поставщика услуг связи общего пользования».

Сигнализация – «поставщик услуг связи общего пользования должен внедрить систему обнаружения вторжений ( IDS ), которая отслеживает исходящие сигнальные сообщения и оповещает поставщика услуг связи общего пользования в случае обнаружения утечек данных. Рекомендуется, чтобы поставщик IDS отличался от поставщика сигнального межсетевого экрана ( IPS )».

Предлагаемые меры направлены на то, чтобы гарантировать, что поставщики услуг связи общего пользования предпринимают соответствующие шаги для защиты своих сетей от вредоносного вмешательства, обеспечивают точную и безопасную настройку сетевого оборудования и обнаруживают потенциальные утечки данных.

Вопрос 3.15

Согласны ли вы с предлагаемыми новыми мерами? Если нет, объясните причину и предложите альтернативные решения (если возможно).

Управление – «поставщики услуг связи общего пользования должны проводить моделирование угроз для обоснования своих оценок рисков. Это моделирование должно выявлять соответствующие угрозы, уязвимости и потенциальные векторы атак и должно использоваться для определения и оценки рисков безопасности в сетях и сервисах. Например, посредством оценки рисков или моделирования угроз поставщики услуг связи общего пользования должны гарантировать, что эти риски не окажут существенного влияния на надлежащее функционирование всей сети, сервиса или любой его значительной части».

Предлагаемая мера направлена на поощрение комплексного подхода к безопасности, в том числе посредством разработки оценок рисков и другой документации.

Вопрос 3.16

Плоскость управления – «оборудование, подвергающееся атакам высокого уровня, должно, если это технически возможно, реализовывать доверенную загрузку и периодически перестраиваться/развертываться до актуального заведомо исправного состояния».

Предлагаемая мера направлена на обеспечение того, чтобы поставщики услуг связи общего пользования принимали меры по предотвращению и смягчению последствий предварительных и постоянных атак в ответ на развивающиеся векторы угроз.

Вопрос 3.17

Автоматизация – «поставщики услуг связи общего пользования должны гарантировать, что данные или программное обеспечение, используемые в автоматизированных конвейерах, получены из надежного источника и проверены, а также проверять, соответствуют ли выходные данные ожидаемым».

Предлагаемая мера направлена на обеспечение того, чтобы поставщики услуг связи общего пользования использовали автоматизацию в своих сетях безопасным образом и проверяли результаты автоматизированных процессов.

Вопрос 3.18

Оборудование, установленное на территории клиента ( CPE ) – «поставщики услуг связи общего пользования должны отслеживать активность CPE на предмет аномального поведения, которое может повлиять на их сети».

Предлагаемая мера направлена на обеспечение надлежащей защиты сетей публичных операторов связи, поскольку это распространенный вектор атак.

Вопрос 3.19

Учётные записи услуг – «для учётных записей услуг общедоступные поставщики телекоммуникационных услуг должны учитывать необходимость привилегированного доступа для каждой задачи и следовать модели наименьших привилегий на основе ролей, а также документировать их в реестре активов. Учётные записи должны быть предназначены для той задачи или услуги, для которой они назначены (т.е. не быть привязанными к конкретному пользователю)».

Учетные записи служб — «для управления учетными записями служб следует использовать решение для привилегированного доступа, которое безопасно хранит и часто меняет учетные данные».

Предлагаемые меры направлены на обеспечение безопасного управления учетными записями служб, при этом следует отметить, что из-за их широкого распространения и высокого привилегированного доступа они являются основной целью для компрометации и должны рассматриваться соответствующим образом.

Вопрос 3.20

Интерфейсы прикладного программирования ( API ) – «поставщики услуг связи общего пользования должны обеспечить, чтобы их API были четко и полностью документированы в реестре активов и реализованы безопасно, чтобы свести к минимуму воздействие на Интернет и/или неуполномоченных лиц».

Предлагаемая мера направлена на то, чтобы гарантировать, что поставщики услуг связи общего пользования предпримут шаги по снижению роста числа атак, направленных на использование API , и по обеспечению безопасного использования.

Вопрос 3.21

Тестирование безопасности : «поставщики услуг связи общего пользования должны внедрить автоматизированный процесс сканирования для выявления уязвимостей, отсутствующих исправлений или изменений конфигурации».

Тестирование безопасности – «поставщики услуг общественной связи несут ответственность за определение комплексного подхода к тестированию безопасности, которое включает в себя тестирование безопасности, соответствующее их конкретным условиям, основанное на оценке рисков и адаптированное к их конкретным развертываниям».

Предлагаемая мера разработана в ответ на отзывы отрасли. Она направлена на сокращение времени, в течение которого поставщики услуг связи общего пользования подвержены уязвимостям, и на внедрение комплексного подхода к тестированию в соответствии с дополнительными рекомендациями, изложенными в разделах 1 и 2.

Вопрос 3.22

Смета расходов

Мы хотели бы предоставить возможность поставщикам государственных телекоммуникационных услуг сообщить нам о любых дополнительных расходах для их бизнеса, которые они предвидят в связи с реализацией предлагаемых новых/измененных мер, предложенных в Разделе 3 (вопросы 3.1–3.22).

Вопрос 4.1

Предоставьте оценку любых дополнительных затрат, связанных с реализацией новых/измененных мер, предложенных в Разделе 3. Если возможно, разбейте эти затраты по каждой конкретной мере.

Эти оценки должны отражать только дополнительные расходы, связанные с предлагаемыми мерами. Они не должны включать расходы, уже понесенные в связи с реализацией мер, предусмотренных в настоящее время Кодексом практики.

Приложение А – глоссарий

Мы предлагаем несколько новых определений для глоссария Кодекса практики. Эти дополнения в основном являются ответом на отзывы отрасли или подкреплением рекомендаций и мер, которые мы предлагаем включить в Кодекс.

По возможности эти определения повторяют существующие определения в руководствах или законодательстве.

Вопрос 5.1

Согласны ли вы с новыми определениями, добавленными в Приложение А? Если нет, объясните причину и предложите альтернативные определения (если возможно).

Приложение B – оценка безопасности поставщика

Мы предлагаем добавить новый раздел в приложение по оценке безопасности поставщика – «VK – Планирование непрерывности бизнеса и восстановления после сбоев ( BCDR )».

Этот раздел был добавлен в связи с возросшей зависимостью от третьих лиц в вопросах обеспечения непрерывности обслуживания. Он призван в целом отразить требования Закона о безопасности телекоммуникаций и Свода правил, предъявляемые к самим поставщикам телекоммуникационных услуг.

Вопрос 5.2

Согласны ли вы с дополнениями к Приложению B? Если нет, объясните почему.

Приложение C – выдержки из Рамочной программы оценки кибербезопасности ( CAF )

Информация, включенная в это приложение, изначально была взята из версии 3.1 «Рамки кибероценки» ( CAF ) NCSC, опубликованной 11 апреля 2022 года.

С момента публикации Кодекса практики данная структура неоднократно обновлялась.

Мы предлагаем внести поправки в приложение CAF , чтобы отразить текущую версию CAF ( версию 4.0, опубликованную 6 августа 2025 года).

Вопрос 5.3

Согласны ли вы с дополнениями к Приложению C? Если нет, объясните почему.

WikiVisa — ВикиВиза — VikiVisa

Обновление Кодекса правил безопасности телекоммуникаций

Предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года

Краткое содержание

Описание консультации

Документы

Предложения по обновлению Кодекса правил безопасности телекоммуникаций 2022 года: по каким вопросам мы проводим консультации

Предлагаемые обновления Кодекса правил безопасности телекоммуникаций 2022 года (PDF)

Способы реагирования

Электронная почта:

Напишите по адресу:

Поделиться этой страницей

О нас

NOTA BENE