Не взломать: как создать эффективную систему кибербезопасности

Перед построением надежной системы государственной кибербезопасности необходимо ответить на два важных концептуальных вопроса. Первый: где находятся знания по кибербезопасности и где сосредоточены специалисты, в совершенстве владеющие вопросами сетевой безопасности?

Эти специалисты работают в частных компаниях. Причем это не является отличительной особенностью Украины: так устроено во всем мире, может быть, за некоторым исключением Соединенных Штатов, где в государственном секторе задействовано значительное число профессионалов. Почему так сложилось? Потому что частные компании всегда находятся "на острие", будучи вынуждены сражаться с киберугрозами непрерывно, в том числе с угрозами от конкурентов. Поэтому настоящие специалисты по кибербезопасности сосредоточены именно там.

Кроме того, безопасность напрямую связана с доверием. Для того чтобы построить какую-то систему, необходимо доверие между участниками этой системы и уверенность в том, что знания, которыми они делятся между собой, не будут использованы им во зло либо таким образом, как они не хотели бы.

Во всем мире такие системы строятся на основе партнерства государства и частного сектора. Государство организует некую доверительную среду, в которой все специалисты по безопасности общаются, при помощи которой они передают друг другу знания и могут пользоваться наработками друг друга.

И чтобы создать в Украине эффективную систему кибербезопасности именно как систему, нужна такая доверительная среда общения между специалистами. А доверие - производная времени. Государственные координирующие органы должны заработать доверие. Сегодня же у них даже такой задачи нет. Сейчас бизнес воспринимает любой государственный орган как потенциального врага. Никакими наработками по безопасности бизнес с потенциальным врагом делиться не станет.

Вообще ситуация, когда государство находится в состоянии непрерывной борьбы с собственным бизнесом, имеет много негативных следствий, и одно из них - в области безопасности.

Второй концептуальный вопрос связан с отношением к технологиям, которые обеспечивают безопасность. Приведу пример. Одна из основных технологий, обеспечивающих безопасность, - шифрование в том или ином виде. У нас же до сих пор исповедуется подход времен холодной войны, когда государство всячески старалось ограничить распространение технологии шифрования в частном секторе, чтобы иметь хорошие инструменты для слежки за этим же частным сектором и гражданами.

Современная концепция прямо противоположна: государство, по аналогии с оружием, должно смириться с тем, что противостоять внешним угрозам оно сможет, только вооружив граждан и бизнес. Государство должно всячески способствовать распространению знаний и технологий в области шифрования. Настоящего, сильного шифрования, без бэкдоров и т. д. Да, это осложняет работу правоохранительных органов. Но это тысячекратно осложнило бы работу потенциального противника.

Поэтому современная концепция по кибербезопасности, на мой взгляд, должна включать даже некоторое давление со стороны государства, чтобы стимулировать частный бизнес и своих граждан использовать технологии шифрования максимально широко, вплоть до личной переписки.

Шифровать тотально все - это способ выжить в современном мире, и для государства в том числе. Потому что современные технологии анализа данных - Big Data - позволяют анализировать большие массивы безобидных на первый взгляд данных и делать очень далеко идущие выводы, в том числе и в военной плоскости. И противостоять этому можно, только если тотально шифровать все первоисточники данных. Это выглядит несколько фантастично, но я уверен, что в ближайшие 10 лет мессенджеры станут на 100% шифрованными. Уровень использования SSL в интернете последние 5 лет растет экспоненциально, большая часть крупных сервисов уже переводят все сайты на полностью шифрованные протоколы. Это не так страшно, как кажется обычному пользователю: он может даже не замечать, что давно уже пользуется Facebook или Google в зашифрованном режиме. В данном случае, Facebook и Google об этом позаботились, поскольку именно государственные органы США занимают позицию максимального распространения механизмов шифрования.

То же самое нужно делать нашим государственным органам, отвечающим за безопасность. Но это очень странная для них концепция - они привыкли делать противоположное. Я не зря говорю, что это похоже на распространение оружия: есть страны, которые ограничивают распространение оружия, а есть страны, которые принуждают своих граждан, чтобы те его покупали. На мой взгляд, выживание в современном мире - это подход распространения как оружия, так и шифрования. Преимущество будут иметь те страны, которые внешних врагов боятся гораздо больше, чем внутренних. Сейчас наша политика такова, что мы внутренних боимся больше, чем внешних. Своим мы шифровать не разрешаем, чем облегчаем жизнь разведкам всех наших соседей. В России пока что политика такая же - постсоветская.

Это довольно новый "сдвиг" в теории вопроса кибербезопасности, и я уверен, что в ближайшее время, лет за 10, это станет применимо во всех странах в той или иной степени. Вопрос в том, кто начнет первым и кто будет быстрее двигаться по этому пути. Я хочу подчеркнуть, что только ответив на два этих концептуальных вопроса, Украина может создать по-настоящему эффективную систему кибербезопасности.

Автор колонки - Александр Ольшанский, руководитель imena.ua, один из докладчиков iForum-2015

Подготовлено при поддержке оргкомитета iForum-2015