Цифровой мир и его риски

Большинство читателей журнала "Системы безопасности" хорошо представляют себе вопросы обеспечения физической, пожарной и экономической безопасности, постоянно работают с техническими средствами обеспечения охраны. Но готов поручиться, что об информационной безопасности и масштабе существующей угрозы многие не имеют даже примерного представления.

Человек хорошо осознает и умеет бороться с тем, что может воспринимать непосредственно своими органами чувств, – это явления, соразмерные ему по масштабу, например огонь. Огонь хорошо виден каждому, каждый может ощутить жар, увидеть разрушения, оценить ущерб. Огонь может привести к пожару. Существует масса решений для борьбы с пожарами, от специализированных служб, средств тушения, подготовленных специалистов, законов, инструкций, системы сертификации и лицензирования до регулярных обязательных учений и преподавания основ пожарной безопасности в школах. Человечество борется с пожарами на протяжении всей своей истории. И при всем этом мы регулярно слышим звуки сирен пожарных машин на улицах.

Несколько сложнее шел у человечества процесс борьбы с болезнями, вызываемыми микроорганизмами. До изобретения микроскопов микроорганизмы невозможно было увидеть, все, что человек мог ощутить органами чувств, лишь симптомы. И это уже огромная разница в восприятии рисков по сравнению с тем же очевидным пожаром. Все успели познакомиться с уровнем готовности и оценки рисков болезней во время пандемии COVID-19. А что можно сказать о восприятии и оценке рисков в цифровом мире?

Простые вопросы, о которых стоит задуматься

У человека нет никакой возможности напрямую видеть цифровой мир или взаимодействовать с ним. Все, что мы видим, – симптомы и сложносоставные инструменты взаимодействия с информацией в цифровом виде. Единицы понимают хотя бы общую концепцию того, как происходит обработка и хранение информации. Риски легко оценивать, когда ты понимаешь процесс досконально. Очевидно, что у большинства людей нет никаких способов оценить риски самостоятельно. Им необходимо поверить в проблему и методы ее решения, без понимания выучить необходимые действия, которые разработаны специалистами, довериться автоматизированным системам борьбы с цифровыми угрозами. Мало кто лично видел микробы, но многие запомнили свои ощущения от отравления и крепко выучили, что необходимо мыть руки перед едой, не пить воду из лужи и т.д.

Простой вопрос: вы моете руки перед едой? А теперь вопрос посложнее: проверяете ли вы адрес интернет-ссылки, прежде чем кликнуть по ней? Не тот, что вы видите в тексте, – это не более чем текст, а тот, что содержится внутри и куда фактически будет совершен переход после клика?

Еще один простой вопрос: вы проверяете, что спичка или сигарета потушена, прежде чем выкинуть ее в мусор? Судя по регулярно дымящимся мусорным бакам, не все и не всегда. А втыкая в компьютер флешку, вы проверяете ее на наличие вирусов и вредоносного программного обеспечения? А при открытии файлов из Интернета, из электронной почты всегда проверяете, какой именно формат файла вы пытаетесь открыть? Точно так же, как и со спичками? Нет. А ведь последствия "цифрового пожара" могут быть такими же масштабными и дорогими, как реального.

Масштабы проблемы

На данный момент большая часть информации создается, обрабатывается, хранится и передается в цифровом виде. От руки мы подписываем только открытки ко дню рождения, даже рецепты врачи все чаще выписывают на компьютере и потом распечатывают. Получается, мы совсем не понимаем, что же на самом деле храним и как обрабатываем.

И вот все результаты работы могут быть одномоментно утеряны из-за ошибки или сбоя программ и железа, из-за вредоносного программного обеспечения – вирусов, из-за специализированного программного обеспечения – инструментов совершения преступлений в цифровом мире.

Чтобы представить масштабы проблемы, попробуйте оценить один день работы вашей организации – аренду, зарплаты, исполнение договоров. Даже если у вас в компании есть достаточно хорошо проработанный план восстановления работоспособности компьютерных систем и данных, даже если у вас есть свежая резервная копия, восстановление работоспособности может занять несколько дней. Но чаще всего – так уж устроен мир – что-то пойдет не по плану. Копии окажутся недельной, а то и годовой давности, какой-то объем данных не прочтется, резерв окажется поврежденным. При восстановлении удастся вернуть только основное, но никакой вспомогательной информации, которая была нужна для оперативной работы, вернуть не получится. Работа за несколько лет окажется утраченной. Часть данных вообще невозможно будет восстановить. Опись имущества, восстановление бухгалтерского учета по первичным документам, запрашиваемым от контрагентов, и много всего прочего – это время, простой и паралич деятельности любой организации.

И опять простые и понятные вопросы: как давно вы теряли данные по любой причине – сломалась флешка, залили ноутбук, потеряли телефон, у вас украли или взломали аккаунт? Вы лично сталкивались с потерями данных?

И снова более сложный вопрос: как давно вы проверяли бюллетени безопасности и обновления от устройств, которыми вы регулярно пользуетесь? Например, от роутера, который дает вам домашний Wi-Fi? От смарт-телевизора? Никогда с момента покупки? Что-то там устанавливается автоматически, но вы обычно нажимаете кнопку "отложить установку обновления", так как некогда? Сперва поем, потому что голоден, а руки помою потом. Тушить огонь не буду, я спешу. При всей гротескности это события одного рода.

Невидимый цифровой периметр

Рассмотрим другой пример масштаба рисков цифрового мира. Физический периметр офиса вашей организации защищать несложно. У вас есть определенное количество точек прохода и почти наверняка есть охранник или вахтер – специальный человек, который следит за проходом людей, выносом и вносом предметов. Конечно, есть регламенты, приказы, инструкции, журналы. Все просто и понятно, можно пощупать и проверить.

А что на цифровом периметре? Как информация попадает в вашу организацию? Через сеть и компьютеры, через телефоны и планшеты сотрудников, флешки и внешние диски сотрудников и контрагентов. К вам пришли на переговоры и презентацию партнеры и попросили пароль от офисного Wi-Fi. Часть сотрудников сидит на удаленке и работает с домашнего компьютера, на котором вечером сын и его одноклассники играют в игры, добытые на торрентах с пиратских ресурсов.

Нет, вы не такой? Вы не пускаете детей за рабочий компьютер, а просто сидите в одной домашней сети Wi-Fi. И заходите из этой сети в корпоративную. Вместе со всеми другими домашними умными устройствами, телефонами гостей, которые у вас дома подключались к Wi-Fi. Сформировать и осознать периметр, цифровую границу в таком случае просто невозможно. Каждый сотрудник, его супруг и одноклассники их ребенка становятся сторожами на проходной вашего цифрового периметра, внутри которого хранится информация на миллионы рублей и тысячи человеко-часов – пусть она даже не нужна никому, кроме вашей организации. Но это ценность, которой можно лишиться разом из-за цепочки нелепых событий.

Что мы имеем? Невидимый и сложный цифровой мир, бесценные результаты работы в нем, запредельный уровень плохо контролируемых рисков, единицы специалистов по информационной безопасности с космическими денежными запросами, отсутствие вбитых в головы людей правил элементарной цифровой гигиены. Звучит очень опасно и даже драматически безвыходно. 

Что мы можем с этим сделать? Как специалисты по обычной безопасности могут повлиять на ситуацию, улучшить ее? Пора снизить накал ужаса и паники.

Решение есть

Что стоит предпринять? Службам безопасности и старшему руководящему составу необходимо помочь своим айтишникам прежде всего административно и на уровне процедур и дисциплины. Чтобы понять, кто из ваших сотрудников вообще знаком с понятиями безопасности и дисциплины, часто достаточно посмотреть те отчеты, которые подает организация в военкомат. Кто служил, кто обучался, кто имеет звание, кто в принципе хотя бы соприкасался с настоящей дисциплиной. Но многим придется сначала объяснить неразрывную связь между дисциплиной и безопасностью. Сотрудники служб безопасности могут прописать понятные процедуры и контролировать эти процессы. Важно не отдавать это полностью на откуп единственному приходящему сисадмину – "сыну маминой подруги". Необходимо навести порядок с журналами и время от времени проверять, не создавая при этом чудовищное давление, как привыкли сотрудники безопасности.

Айтишникам и так есть чем заняться, нужно помочь именно выстроить дисциплину, выйти на простые и понятные регламенты – на уровень "простой гигиены", чтобы ее соблюдение стало настолько же привычным, как помыть руки. И постепенно "цифровой фронт" отодвинется.

В мире масса сложных вещей, понятных только узким специалистам. В информационной безопасности разбирается примерно тот же 1% людей, они-то как раз и обновляют свои домашние интернет-устройства. Но сотрудникам безопасности нет необходимости знать непонятные термины. Их знают айтишники – и нужно помочь им с организацией, дисциплиной и распорядком. Нужно попросить айтишников объяснить, какой у них план восстановления в случае сбоев или атаки. Это должен быть абсолютно понятный план: телефон такой-то, встали, отключили здесь, отключили там, сходили туда… В реальности почти ни у кого толком проработанных планов нет, а тренировок по ним тем более. Все сочиняется на ходу, а необходимо иметь заготовки. Нужно убедиться, что резервный массив данных размещен разными способами в трех местах и в двух разных физических локациях, что есть копии. Тут уместен прямой контроль: "Давайте посчитаем", "Давайте проверим по графику, когда все обновляли". Для этого не нужно понимать все, что пишут в заумных статьях программисты в очках с толстыми линзами. Но нужно понимать, что существует порядок и дисциплина. Вот то, что можно сделать в общем случае в области информационной безопасности, даже не привлекая специалистов.

Особенности защиты музея

Если говорить о специфике безопасности в музейном мире, то она мало отличается от безопасности в любой конторе. За тем лишь исключением, что в силу некоммерческого профиля деятельности и скромных бюджетов эти организации не представляют интереса для тех, кто ворует информацию или нападает на компании с целью шантажа, угрожая "цифровым пожаром". Музеи скорее подвержены эпидемиям компьютерных вирусов, которые распространяются волнами во всем мире, или инцидентам из-за действий конкретных сотрудников. Да, есть уникальные данные музейных учетных систем, фотографии и описания, черновики еще неизданных каталогов музейных коллекций. Есть системы автоматизации инженерного оборудования, которое обеспечивает температурно-влажностный режим при хранении фондов. Есть чувствительная информация для служебного пользования. Есть охраняемые законом персональные данные, требования к обеспечению сохранности которых достойны отдельной строчки в штатном расписании и бюджете (но у вас ведь не так?).

Не стоит забывать о проблеме кадрового голода и непривлекательном уровне зарплат в музейном мире. Специалистов по информационной безопасности с огромным удовольствием вычищают с рынка труда богатые коммерческие и специализированные ИТ-компании. Существует проблема баланса между удобством пользования информационными системами и стоимостью систем безопасности и резервирования. Все, как и в мире обычной физической безопасности, только в цифровом слое вселенной – невидимом, как микробы и радиация, горючем, как бензин, дорогом, как само время.

Пора соблюдать цифровую гигиену

В заключение вернемся к простым аналогиям. Хозяйка на кухне использует две доски – для овощей и для сырого мяса. В банку с вареньем лезут чистой ложкой. Люди избегают темных переулков, знают про защищенный секс, ненавидят звонки из так называемой службы безопасности банка. Вот так же внимательно необходимо следить за тем, куда вы идете в Интернете, на какие ссылки нажимаете, что и кому сообщаете в сети. В технологическую сеть автоматики и СКУД нужно заходить для настройки с отдельных заведомо чистых компьютеров, сети – сегментировать, пароли – обновлять, уходя – блокировать компьютеры.

Государство начало разговор о цифровом суверенитете, об объектах критической информационной инфраструктуры. Музеи получают централизованные рассылки с рекомендациями ФСТЭК. Но сколько специалистов, которые понимают эти рекомендации? Какой огромный объем работ и бюджет нужны для пересмотра всей цифровой инфраструктуры и ее перевода на отечественное ПО? При отсутствии специальных средств и кадровом голоде это займет годы. Но нет повода отчаиваться.

Пожаров становится меньше, если следить за системой и развивать ее. Преступников находят быстрее благодаря развитию видеонаблюдения и аналитики, если они включены. Медицина успешно борется с болезнями. На все это ушли столетия. А цифровой мир в сравнении с общей историей человечества еще молод. И порядок в нем так или иначе будет наведен. Уже сейчас основную борьбу с массовыми атаками и эпидемиями ведут автоматизированные средства, комплексы, использующие машинное обучение. Скорость их реакции недоступна человеку, но соответствует уровню угрозы. Программы воюют с программами. Вы можете этого не замечать, но на самом деле мы достаточно защищены.

Крупные производители автоматизируют тестирование и проверку рисков, обновления, сплошную проверку передаваемых по каналам связи данных. Надо просто соблюдать элементарные правила и цифровую гигиену. И вовремя делать то, что машины оставляют сделать людям.

Опубликовано в журнале "Системы безопасности" № 6/2022

Все статьи журнала "Системы безопасности"
доступны для скачивания в iMag >>

Фото: pxhere.com