Бывший сотрудник американских спецслужб Эдвард Сноуден, сделавший достоянием общественности секретные программы ЦРУ о массовой слежке за интернет-пользователями и абонентами телефонных сетей, своими действиями оказал существенное влияние на мировую политику и функционирование рынков телекоммуникационного оборудования. Последствия этого влияния будут ощущаться еще долго, и сегодня мы наметим только их контуры.
Проблема недоверия
В сфере кибербезопасности проблема недоверия существует давно и разоблачения Сноудена лишь добавили конкретики. Американское правительство многие годы, как теперь выяснилось, лицемерно обвиняло Китай в воровстве секретов. Президент США Барак Обама утверждал, что Китай занимается "кражами" коммерческих и технических секретов крупных американских компаний, а также конфиденциальных военных и дипломатических сведений.
В октябре прошлого года Конгресс США запретил доступ к внутреннему рынку китайским Huawei и ZTE из соображений национальной безопасности. Китайцы отрицают эти обвинения. В марте этого года Барак Обама подписал закон о расходах, в котором содержится ясно выраженный запрет федеральным структурам покупать ИТ-системы китайских компаний без согласования с Федеральным бюро расследований и иными отвечающими за безопасность ведомствами.
Китай, со своей стороны, совершал аналогичные действия без лишней огласки, не желая обвинений в протекционизме. Поскольку основные игроки телекоммуникационного бизнеса в Китае принадлежат государству, американцы подозревали их в тесном сотрудничестве с властью.
Конечно, в США присутствие компаний Huawei и ZTE было непропорционально меньше, чем Cisco в Китае. Тем не менее некоторые американские чиновники рассматривали стремление к расширению их присутствия на рынке как фактор риска национальной инфраструктуры. И это притом, что документированные факты кибершпионажа отсутствовали. На ментальном уровне определяющим была тесная связь бизнесов с руководством КНР, на основе которой и формировалось недоверие. Американский же корпоративный ИТ-бизнес считался независимым, а значит, по определению находился вне подозрений общества.
Действительно, американские компании никогда не подтверждали, что они работают с правительством США, тем более в вопросах кибершпионажа. Сноуден назвал девять компаний - Yahoo, Microsoft, Google, Facebook, PalTalk, Youtube, Skype, AOL и Apple как сотрудничающих с Агентством национальной безопасности. Разумеется, последовали опровержения, тем не менее 14 июня Facebook и Microsoft признали, что правительство США просило их предоставить информацию о своих пользователях, и они представили запрашиваемые сведения, что вызвало волну общественного недовольства. При этом никто не хочет учитывать, что компании были юридически обязаны предоставлять данные правоохранительным структурам США.
Известный французский философ Андре Глюксманн в связи с последствиями разоблачений Сноудена пишет: "Приход гиперкибершпионажа приводит к разрушению границ и традиционных делений. Кто может поручиться, что однажды либеральные китайцы и авторитарные китайцы не сыграют друг против друга, как это уже не раз случалось между китайцами, русскими, арабами, европейцами? Будущее как никогда открыто и непредсказуемо".
Проблема недоверия уже давно перешла с межгосударственного уровня на уровень бизнеса и потребительских предпочтений. Никто не может гарантировать, что имеющие доступ к системе киберслежки PRISM государственные структуры и частные подрядчики, не поставляют получаемые данные для американских компаний и корпораций. А это уже угрозы для ведения бизнеса в конкурентной среде.
Следствием ориентации ИТ-бизнеса на конъюнктурные интересы сотрудничества с властью стало существенное снижение конкурентоспособности страны. Достаточно показательно, что Apple, упомянутая в списке компаний, предоставлявших государству сведения о своих пользователях, была вынуждена уменьшить на вторую половину этого года планы производства iPhone из-за падения продаж за рубежом. Пользователи и до откровений Сноудена неоднократно обвиняли Apple в несанкционированных утечках персональных данных и многочисленных недокументированных возможностях артефактов.
С точки зрения общественности, и китайские и американские телекоммуникационные компании априори должны нести ответственность за происходящее, поскольку они являются частью правительственных корпоративных комплексов. При этом корпорации подобные Apple, получают сверхдоходы за счет паразитирования на системе глобальных экономических отношений, поскольку продают продукты, сделанные низкооплачиваемыми работниками в таких странах, как Китай.
Для развития недоверия и шпиономании существует обширный социальный базис. В США в оборонной промышленности и сфере корпоративных ИТ-систем работает большое число этнических китайцев, а в самом Китае производятся многочисленные высокотехнологические артефакты, поставляемые практически всюду. Достаточно показательно, что китайские телекоммуникационные компании ZTE и Huawei занимают соответственно второе и четвертое места в мире по производству телекоммуникационного оборудования.
Если, по свидетельству Сноудена, АНБ удалось похитить больше данных из Индии, чем из России и Китая, это только иллюстрация бессилия развивающихся стран в противостоянии высокотехнологичному шпионажу. Хотя и Китай, и США активно используют приемы кибервойны, никто до сих пор ее не выиграл. Единственными жертвами стали доверие между странами и снижение легитимности власти.
Угрозы национальной безопасности
Безусловно, в основе разрастающегося конфликта находится стремление сторон всеми доступными средствами обеспечить интересы национальной безопасности. Если США используют свои компании, чтобы шпионить за Китаем и другими странами, Китай по логике должен делать то же самое. Речь идет как о промышленном, так и о финансовом шпионаже, результаты которого позволяют контролировать рынки по всему миру, а при необходимости организовывать и крах неугодных правительств. Так проблематика корпоративных ИТ-систем становится инструментом геополитики.
Учитывая открытый характер Интернета, а также ставшие известными практики, в рамках которых хакеры, имея доступ к относительно небольшим вычислительным мощностям, могут взламывать большинство коммерческих и правительственных сайтов, необходимо вести речь о переходе проблемы на качественно новый уровень. На этом уровне АНБ с его суперкомпьютерами может взломать почти все. Не случайно и китайцы создали несколько кластеров суперкомпьютеров. В этом контексте остальные страны могут только обсуждать перспективы безопасности своих ИТ-систем, а также задумываться над тем, каким у них будет формируемое "информационное общество".
С точки зрения кибербезопасности в целом появившиеся глобальные задачи гегемонизма в киберпространстве требуют совместного подхода национальных правительств и представителей промышленности к их решению. Но пока никто об этом не размышляет, что еще даст о себе знать в обозримой политической и экономической перспективе.
Сейчас же в западных странах больше политических спекуляций, чем сбалансированного видения создания систем кибербезопасности. В частности, широко распространяются мифологемы, в соответствии с которыми кибершпионаж в пользу Китая по сравнению с США более опасен в силу особенностей политического устройства страны. При этом сбрасываются со счетов факты нарушения в США, Великобритании и других странах базовых принципов презумпции невиновности и неприкосновенности честной жизни. На практике наблюдается иррациональный, но почти повсеместный антиамериканизм, в том числе проявляющийся и в отказе использования соответствующих артефактов.
Связанные со Сноуденом события свидетельствуют о существовании в современном обществе обширной зоны до времени находящихся в латентной форме паранойи и страхов. Нерешенность базовых вопросов развития общества способствует воспроизводству множества неопределенностей, которые сложно игнорировать, но и не менее сложно найти универсальное решение "вечных" проблем.
Разрастающиеся скандалы в межгосударственных отношениях разворачиваются на фоне лжи высокопоставленных чиновников и априори невыполнимых обещаний политиков. В такой атмосфере вся правда о современных системах киберслежки может стать публично доступной только следующим поколениям, а миф о гигантском техническом всемогуществе спецслужб будет лишь разрастаться.
Основной вопрос связан с эффективностью созданных систем с точки зрения обеспечения национальной безопасности. Огромная стоимость создания и эксплуатации таких корпоративных сетей может сопровождаться неэффективностью в ее крайних формах. Сама по себе возможность "пылесосить" сетевой трафик и сохранять данные в хранилищах еще не гарантия высокого КПД системы. Что реальней, так это использование создаваемых баз данных для внутренних политических целей и получения коммерческой выгоды в рамках промышленного шпионажа.
Стратегические итоги
Упомянутые выше кризисные ситуации необходимо рассматривать прежде всего как интеллектуальные вызовы существующим в разных странах формам коллективной безответственности в сфере информационной безопасности. Возрастание сложности телекоммуникационных систем способствует фрагментации их понимания, что само по себе является сущностной проблемой.
Граждане должны получить реальные инструменты влияния на среду своего цифрового обитания, частью которой является информационная безопасность. Аналогичный тренд признан в офлайне, теперь его надо перенести в онлайн, но решение проблемы тормозится непониманием происходящего элитой общества, не разбирающейся в сущности информационной безопасности. Отсутствие эффективных инструментов работы с элитами пока беспокоит только разработчиков и вендоров корпоративных ИТ-систем.
Как верно заметил американский специалист в сфере ИБ Марк Керфей: "Информационная безопасность - не совсем технология. Это - о людях, процессах, и технологии, именно в таком порядке - или, говоря точнее, о соединении людей, процессов и технологических решений таким образом, чтобы люди в рамках системы могли принимать обоснованные решения. Это не означает, что я умаляю роль технологии в безопасности. Я убежден, что мы находимся в самом начале революции информационной технологии, которая затронет наши жизни способами, которые немногие из нас могут вообразить, не говоря уже о том, чтобы предсказать". Масштабы связанных с феноменом Сноудена последствий - лучшая тому иллюстрация.
Несмотря на широкое освещение в прессе масштабов нанесенного разведслужбами США различным странам ущерба, в России считают, что проблема в практической плоскости нас не касается. Еще до разоблачений Сноудена американские эксперты Крэйг Тимберг и Эллен Накасима в феврале этого года писали в "Вашингтон Пост": "Спросите экспертов по безопасности, компьютеры каких влиятельных вашингтонских учреждений были взломаны китайскими кибершпионами, и в ответ услышите: почти все. Список атакованных хакерами за последние годы организаций включает в себя адвокатские конторы, научно-исследовательские центры, СМИ, правозащитные организации, контракторов, управления Конгресса, посольства и федеральные агентства". Аналогичные опросы в российских госструктурах, дают прямо противоположные результаты.
Если, к примеру, в США согласно метафоре, которую приписывают Рональду Рейгану, правительство не решает проблемы, но оно их финансирует, то в России вопросы кибербезопасности отнесены к прерогативе силовых ведомств и фактически выведены из под общественного контроля, а финансирование их весьма и весьма скромное.
Необходимо признать, что реализация на практике положений Указа Президента Российской Федерации от 15.01.2013 № 31c "О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации" до настоящего времени не привело к каким-либо позитивным изменениям. Власти катастрофически не хватает морального авторитета, необходимого для стимулирования других акторов воспринимать проблемы кибербезопасности в соответствии с требованиями формирующегося информационного общества.
В условиях обострения связанных с кибербезопасностью проблем возникает необходимость переосмысления механизмов задействования возможностей интеллекта нации. Каждый стратегический документ в сфере кибербезопасности должен учитывать существование пяти уровней, на которых возможны угрозы компьютерным системам.
- Уровень индивидуальных пользователей, малого бизнеса, локальных масс-медиа и муниципальных органов управления.
- Уровень крупных и средних предприятий, а также общенациональных масс-медиа.
- Уровень критической инфраструктуры государства.
- Уровень государственных структур.
- Уровень коммуникации с глобальными телекоммуникационными сетями.
Имеющиеся у автора и его коллег наработки позволяют предложить принципиально новую концепцию продвижения знаний в сфере защиты информационных систем и на ее основе разработать национальную образовательную инициативу. В основе новой концепции находится широкое вовлечение всех заинтересованных лиц (включая активных пользователей и представителей общественных структур) в процессы создания систем и сетевые модели обеспечения безопасности. Необходимо обучать и чиновников, и простых "цифровых" граждан осознанно действовать в новой среде обитании, понимая существование социальной и профессиональной взаимозависимости. Иначе поколения бездумных потребителей услуг электронного правительства сами по себе превратятся в угрозу национальной безопасности.
С точки зрения государственных интересов элита должна по своей инициативе изменить политику в этой сфере, но на практике без давления самих граждан это оказывается нереальным. Инициативы, требуемые для улучшения информационной грамотности, должны существенно отличаться от того что реализуется сейчас, иначе государство вынуждено будет расписаться в своем бессилии противостоять росту киберкриминала.
Кроме того, без решения этой проблемы не создать в массовом масштабе компетентную рабочую силу, востребованную в информационном обществе. Чтобы достичь этих целей, на наш взгляд следует:
- инициировать в общенациональном масштабе общественную дискуссию о необходимости и формах образования в сфере кибербезопасности в целом и безопасности электронного правительства в частности;
- для продвижения понимания связанных с новой средой рисков, внести изменения в систему реализации инфраструктурных проектов, ориентированные на стимулирование участия граждан и представителей независимых экспертных структур на всех стадиях реализации таких проектов.
Правительства, операторы и поставщики оборудования должны взять на себя ответственность и предпринять реальные шаги по переводу существующих стандартов кибербезопасности на новый уровень. Для этого потребуется внесение изменений в нормативную базу, но самое главное и самое сложное - это изменить ментальность всех нас, в той или иной мере причастных к тематике безопасности информационных систем.
Кстати, китайцы уже начали предпринимать соответствующие действия. В частности, Huawei по собственной инициативе в разных странах по определенным типам оборудования открывает исходные коды. Такие инициативы производителей корпоративных систем надо приветствовать. Но код регулярно обновляется, и если не создать систему, в рамках которой и уполномоченные силовые ведомства и игроки рынка начнут учитывать уроки американо-китайского киберпротивостояния, то и Россия когда-нибудь может ощутить на себе финансовые последствия недальновидной цифровой политики.