Снижение кибер-рисков: возможно ли объединение усилий государства и бизнеса?

Ответственность за безопасность важнейшей национальной инфраструктуры всегда будет лежать на государстве. Причиной является риск уязвимости информационных операций, который нельзя возложить на одни лишь бизнес-структуры. Однако между глобальными киберугрозами и государственной киберзащитой существует разрыв. Государство зачастую стремится действовать осторожно, минимизируя риски, и поэтому некоторые изменения могут происходить медленно и запаздывать. Киберпреступники же, напротив, действуют очень гибко и работают сообща, а это означает, что состав и содержание киберугроз постоянно изменяется.

Это лишь увеличивает риск уязвимости критической национальной инфраструктуры перед кибератаками и повышает риски для глобальной безопасности в целом. Бизнес должен играть все более важную роль в обнаружении угроз и защите критически важной национальной инфраструктуры, в то время как государство должно проследить за тем, чтобы принятые меры оказались эффективными и своевременными.

Недавние дискуссии в ООН по информационной безопасности дали экспертам как в России, так и на Западе повод для осторожного оптимизма. В 2018 г. были приняты три резолюции о поведении государств в киберпространстве, две из которых предложила Россия, а третью — Соединенные Штаты. В соответствии с этими инициативами, в 2019 г. две экспертные группы должны приступить к разработке норм и принципов ответственного поведения стран в киберпространстве. Одна из них — предложенная Россией Рабочая группа открытого состава (РГОС), а вторая — предложенная США Группа правительственных экспертов ООН (ГПЭ ООН), которая успешно подготовила доклады в 2013 и 2015 гг., но не смогла этого сделать в 2017 г. Удастся ли этим двум группам экспертов добиться подлинного прогресса с тем, чтобы страны-члены ООН согласились соблюдать общие принципы поведения в киберпространстве и реагирования на кибератаки? Несмотря на наметившийся позитивный тренд, в дискуссиях звучат и сомнения, причем наиболее серьезные исходят от деловых кругов.

Анастасия Толстухина:
Лучше две киберрезолюции, чем ни одной

По их мнению, от кибератак больше всего страдают именно предприятия; чаще всего именно компании несут бремя ответственности за последствия кибератак. Логично, что бизнес хочет взять инициативу на себя в вопросе борьбы с киберпреступностью, однако в ООН продолжают обсуждать возможность универсального решения. Вместе с тем, между странами-членами ООН существует как разногласия, так и возможность сближения их позиций по данному вопросу.

В то время как ООН играет ключевую роль в международных отношениях, ее государства-члены склонны воспринимать вопросы киберпространства как предмет межгосударственного или двустороннего диалога. Нередко заявляется, что страны самостоятельно определяют свои «правила дорожного движения» для всех других областей, и киберпространство не должно быть исключением.

Ключевая роль государства в этом вопросе бесспорна, однако деятельность компаний выходит за пределы государственных границ. Многие фирмы действуют по всему миру, открывают офисы в странах с разной юрисдикцией, и обмен информацией происходит круглосуточно. Это означает, что предприятия находятся на переднем крае борьбы за информационную безопасность, особенно в финансовом секторе, и государство должно идти в ногу с ними. Облачная обработка данных и распространение мобильного доступа к глобальной сети снижают эффективность разработки правил для киберпространства странами в одиночку. Для достижения успеха государствам надлежит действовать не только сообща, но и вместе с бизнесом. Только это позволит обеспечить эффективность кибербезопасности во всем мире.

Никто не оспаривает того факта, что ООН служила основной площадкой для переговоров по информационной безопасности на протяжении последних 20 лет. Россия всегда придавала этим переговорам большое значение, а в последнее время и США начинали продвигать свои кибер-инициативы в рамках Организации. Хотя сейчас и распространено мнение об ООН как об островке стабильности в постоянно меняющемся мире, но скептики не верят, что в отношении норм для киберпространства есть достаточно возможностей для нахождения консенсуса. Во всех государствах — членах ООН есть свои специалисты по вопросам кибербезопасности, но проблема заключается в том, как эти вопросы сделать приоритетными для каждой из стран. Постоянное внимание ведущих стран к кибер-повестке будет содействовать обеспечению информационной безопасности на глобальном уровне. Проблемы неизбежно возникнут, когда государству потребуется сохранить информацию, например, по вопросам, относящимся к национальной безопасности, втайне от других. Это неизбежно накладывает ограничения на возможности открытого обмена информацией между государствами.

Не следует забывать и о межгосударственных соглашениях. В отсутствие всеобъемлющего универсального соглашения по киберпространству многие страны по-прежнему активно используют двусторонние и многосторонние форматы для обмена информацией: государства принимают решения о взаимоприемлемых правилах, которые обязаны соблюдать как частные, так и государственные структуры.

Илона Стадник:
Новая кибердипломатия: государства сдают позиции в нормотворчестве?

Государствам проще решать проблемы информационной безопасности с помощью межгосударственных соглашений, однако проблема здесь связана с ее степенью и развитием. В какой-то момент государства будут вынуждены пойти на сотрудничество и компромисс, иначе мир глобальной информации никогда не станет по-настоящему безопасным для ведения бизнеса. Определяющую роль в этом будет играть индустрия, поскольку у компаний есть возможность выбирать, куда направлять информацию и где размещать свои мощности. Поскольку это влечет за собой налоги на занятость и прибыль для государства, каждая страна заинтересована в нахождении согласованной позиции, которая позволит предприятиям функционировать в ней успешно и безопасно.

Наконец, некоторые вопросы, такие как защита ядерных и других критически важных объектов национальной инфраструктуры, находятся в компетенции исключительно государства. Хотя отдельным международным компаниям может быть разрешено оказывать помощь в разработке компьютерного обеспечения этих важных объектов, но государство всегда будет нести ответственность за их безопасность в случае серьезного вторжения в информационные операции в компьютерных сетях.

Ответственность за безопасность важнейшей национальной инфраструктуры всегда будет лежать на государстве. Причиной является риск уязвимости информационных операций, который нельзя возложить на одни лишь бизнес-структуры. Однако между глобальными киберугрозами и государственной киберзащитой существует разрыв. Государство зачастую стремится действовать осторожно, минимизируя риски, и поэтому некоторые изменения могут происходить медленно и запаздывать. Киберпреступники же, напротив, действуют очень гибко и работают сообща, а это означает, что состав и содержание киберугроз постоянно изменяется.

Это лишь увеличивает риск уязвимости критической национальной инфраструктуры перед кибератаками и повышает риски для глобальной безопасности в целом. Бизнес должен играть все более важную роль в обнаружении угроз и защите критически важной национальной инфраструктуры, в то время как государство должно проследить за тем, чтобы принятые меры оказались эффективными и своевременными.

Впервые опубликовано в RUSI.