Слагаемые качества обеспечения информационной безопасности

Скородумова Ольга Борисовна доктор философских наук профессор, кафедра философии, Российский государственный социальный университет 123154, Россия, г. Москва, ул. Маршала Тухачевского, 37/21 Skorodumova Ol'ga Borisovna Doctor of Philosophy Professor, the department of Philosophy, Russian State Social University 123154, Russia, g. Moscow, ul. Marshala Tukhachevskogo, 37/21 obsel@mail.ru Скородумов Борис Иванович кандидат технических наук доцент, кафедра информационной безопасности, Финансовый университет 125993, Россия, г. Москва, ул. Ленинградский Проспект49, 49 Skorodumov Boris Ivanovich PhD in Technical Science Docent, the department of Information Security, Financial University 125993, Russia, g. Moscow, ul. Leningradskii Prospekt49, 49 bisko2003@list.ru

Матронина Лилия Федоровна кандидат философских наук доцент, кафедра философии, социологии и политологии, Московский технологический университет 199454, Россия, г. Москва, ул. Проспект Вернадского, 78 Matronina Liliya Fedorovna PhD in Philosophy Docent, the department of Philosophy, Sociology and Political Science, Moscow Technological University 199454, Russia, g. Moscow, ul. Prospekt Vernadskogo, 78 lmatronina@gmail.com

Происходящие ныне процессы информатизации общества обусловливают необходимость исследования особенностей функционирования и развития информационно-коммуникативных технологий и их влияния на все сферы жизни социума и человека. Открывая невиданные ранее возможности, инновационные технологии в то же время порождают новые проблемы и риски.

На рубеже XX-XXI вв. информационная безопасность превращается в одну из глобальных проблем человечества, которая наряду с технико-технологической составляющей все более приобретает социально-политический и гуманитарный характер. При определении специфики современного общества в научной литературе наблюдается общая тенденция трактовать его как общество риска ^{[1, 2]}. Риск обусловлен как деятельностью людей, выбирающих альтернативные решения и рассчитывающих степени вероятности исхода, так и общей социально-экономической и социально-культурной ситуацией. Человеку приходится принимать решения в условиях неопределенности. В связи с этим одной из важнейших задач является гуманитарная оценка технической и технологической новации на предмет степени рискосодержащих компонентов и возможностей их снижения.

В современных научных исследованиях, посвященных проблеме обеспечения информационной безопасности, как правило, рассматриваются технические и технологические аспекты: методы комплексного обеспечения информационной безопасности, технологии и средства многоуровневой защиты информации в информационных системах и компьютерных сетях, вопросы защиты национальных/государственных информационных ресурсов, обусловленные расширением доступа к ним через открытые информационные сети типа интернет и др.

Так, в работе «Основы программно-аппаратной защиты информации» ^[3] авторы предпринимают попытку системного изложения существующих подходов к решению проблемы защиты информации в информационных системах, а также теоретических основ применения добавочных средств защиты. Они раскрывают возможности типовых средств защиты из состава современных операционных систем и прикладного программного обеспечения, анализируют причины их уязвимостей на основе существующей статистики угроз.

Одним из наиболее эффективных и перспективных средств защиты информации в системах, а также реальным способом предотвращения несанкционированного доступа, согласно российским исследователям Дезы Е. И. и Котовой Л. В., являются криптографические методы защиты информации ^[4]. Заметим, что в настоящее время на основе криптографии создан «тандем» технологий биткойн (криптовалюты) и блокчейн (распределенные реестры), вокруг которых образовался финансовый ажиотаж. Слово «блокчейн» все больше используется в маркетинговых целях для привлечения внимания к продуктам и услугам той или иной компании. Более того, блокчейн рассматривается как новая организационная парадигма для координации любого вида человеческой деятельности ^[5]. Разработчики данной технологии считают в качестве главного преимущества децентрализованного хранения данных и учета различных активов возможность обеспечения информационного обмена в сферах с устоявшимся низким уровнем доверия между участниками. В этих сферах работа осуществляется через посредников, которые устанавливают удобные для себя правила, хранят данные в частных закрытых системах. И если централизация становится причиной многих сценариев атак, когда злоумышленник проникает в единый для всех защищенный ресурс и наносит ущерб всей системе, то, как считают разработчики, с блокчейном такой подход перестает работать, так как информация продублирована на тысячах узлах и взлома одного из них будет недостаточно ^[6]. Наряду с этим, в ряде работ ^{[7, 8]} представлен детальный анализ существующих недостатков модели распределенного хранения данных, связанных непосредственно с информационной безопасностью. Показано, что на данный момент существует множество не освещаемых должным образом вопросов, затрагивающих эффективность и надежность распределенных реестров, а, следовательно, и потенциал внедрения децентрализованного хранения данных в информационных системах, предназначенных для широкого круга пользователей.

Действенным способом обеспечения информационной безопасности является заблаговременное предупреждение информационных угроз, их прогнозирование. Но в настоящее время прогнозирование инцидентов информационной безопасности слабо развито, и основные средства организации направляются на распознавание инцидентов. В работе «Kaspersky Security Bulleton: 2017. Развитие угроз» ^[9] на основе мониторинга различных систем рассматриваются основные типы инцидентов информационной безопасности компаний, делаются обоснованные выводы об информационных угрозах, даются конкретные рекомендации по защите информации, представляющие значительный интерес не только для специалистов, но и для общественности.

Таким образом, информационные науки, применяя общенаучные и частнонаучные методы исследования, сосредоточены на выявлении и последущей разработке технических механизмов и инструментов обеспечения информационной безопасности. Не менее важным является анализ социальных и гуманитарных факторов, влияющих на рост преступности в области информационных технологий, поиск комплексных средств и методов, направленных на снижение антропологических рисков, обусловленных компьютерной преступностью ^{[10, с. 89-92; 11, с. 104]}. Информационная безопасность как социальный феномен представляет значительный интерес для экономистов, социологов, политологов, философов и т.д. На рубеже XX-XXI веков проблема информационной безопасности приобретает междисциплинарный характер и требует для своего решения совместных усилий специалистов различных научных направлений исследования.

Обратимся к исходным понятиям, определяющих анализ рассматриваемой темы. Согласно «Доктрине информационной безопасности Российской Федерации» ^[12], информационная безопасность – «это состояние защищенности личности, общества и государства от внутренних и внешних информационных угроз, при котором обеспечиваются реализация конституционных прав и свобод человека и гражданина, достойное качество и уровень жизни граждан, суверенитет, территориальная целостность и устойчивое социально-экономическое развитие Российской Федерации, оборона и безопасность государства». Обеспечение информационной безопасности характеризуется как «осуществление взаимоувязанных правовых, организационных, оперативно-розыскных, разведывательных, контрразведывательных, научно-технических, информационно-аналитических, кадровых, экономических и иных мер по прогнозированию, обнаружению, сдерживанию, предотвращению, отражению инфорационных угроз и ликвидации последствий их проявления».

Как следует из выше представленного определения, информационная безопасность напрямую связана с реализацией (и решением) экономических, социальных и гуманитарных аспектов человеческой жизнедеятельности. Она характеризует защищенность информационной среды социума, направлена на обеспечение ее формирования и выработку стратегий развития в интересах индивидуальных пользователей, организационных структур, наций и государств. К основным проблемам информационной безопасности следует отнести следующие: предотвращение несанкционированного доступа к конфиденциальной информации; предотвращение использования персональных данных во вред конкретной личности, социальной группы, государства; предотвращение компьютерной преступности; защита авторских прав; предотвращение психических расстройств и техностресса у пользователей компьютеров; предотвращение опасности ограниченного доступа к информации и свободы ее распространения и ряд других.

Обеспечение информационной безопасности, в свою очередь, включает комплекс мер, направленных на обнаружение и предотвращение информационных угроз. Среди этих мер основополагающими являются: нормативно-техническое обеспечение защиты личности и общества в информационной сфере, нормативно-правовое регулирование отношений в области создания и использования современных информационных технологий, социально-культурные факторы, направленные на сохранение культурно-нравственных ценностей в условиях глобализации мира и на формирование новой образовательной парадигмы. Совокупность этих мер, как представляется, определяют качество обеспечения информационной безопасности, если исходить из понимания качества как социокультурного феномена, фиксирующего не только существенную определнность объекта, но и его функционально-смысловую значимость для человеческой жизнедеятельности. Социальный контекст обеспечения информационной безопасности непосредственно сязан с защитой государственных и национальных интересов, развитием социальной структуры и общественных отношений, системы жизнеобеспечения и социализации людей, их образа жизни ^[13].

Решение этих и других проблем сопряжено с рядом трудностей. Во-первых, пограничный характер проблематики, находящейся на «стыке» технического и гуманитарного знания, затрудняет разработку мер по информационной защите. Во-вторых, существует трудность получения эмпирического материала в силу того, что есть «закрытая» информация, которой владеют специалисты по информационной безопасности, субъекты компьютерных преступлений (инсайдеры, хакеры) и их объекты – пострадавшие организации. Они, как правило, не склонны к тому, чтобы публиковать данные как о мотивах и методиках подготовки нападений, так и о фактах самих нападений и их последствиях. В-третьих, наблюдаются тенденции расширения использования методов социальной инженерии при подготовке вторжений и взломов. Опираясь на знания в области информационно-коммуникативных технологий, психологии, нейролингвистического программирования и других наук, социальные инженеры эффективно используют разнообразные приемы и способы деструктивного влияния на человека, программируют его к совершению действий, необходимых для получения конкретных сведений с целью последующего использования их в корыстных целях ^{[14, 15]}. Об этом свидетельствует, в частности, мониторинг публикаций на специализированных хакерских сайтах, адреса которых представлены на сайте ISO27000.ru Искусство управления информационной безопасностью ^[16]. Прикладная социальная инженерия направлена на решение узко-прагматических задач и не принимает во внимание нравственно-этические нормы, представляющие необходимое условие существования любого социума. Тем самым, она порождает антропологические риски, связанные с неконтролируемым воздействием применяемых методик на сознание человека, формированием общественного мнения и личностных установок ^{[17, с. 53-59]}.

В XXI веке одной из основных угроз для компаний являются несанкционированные действия инсайдеров – людей, работников компании, имеющих доступ к «закрытой» информации. Обладая широким доступом к конфиденциальной информации о методах безопасности внутри организации, данных и компьютерных системах, они занимаются ее хищением. Инсайдерские угрозы – это вредоносные угрозы, включающие мошенничество, кражу конфиденциальной и коммерчески ценной информации, воровство интеллектуальной собственности, саботаж компьютерных систем. Утечки информации наносят ущерб компаниям во всех отраслях. Даже очень крупные и успешные организации и фирмы не застрахованы от деятельности инсайдеров, что подтверждается периодически появляющимися в прессе сообщениями об утечках.

Британская компания Ernst&Young (EY), являющаяся лидером в области аудита и консультирования, подготовила отчет «Информационная безопасность в России: обзор EY на 2016 год» ^[18]. Проведенный опрос показал, что более одной трети компаний в мире не могут противостоять киберугрозам. Среди основных причин – неосмотрительность и несознательность сотрудников (ответ 64% респондентов) и отсутствие квалифицированных кадров (53%). В обзоре Software Engineering Institute (США, 2016) установлено, что 27 % электронных преступлений вызваны инсайдерами ^[19].

В России вопросы защиты информации от утечек не менее актуальны. Исследования, проведенные группой компаний InfoWatch ^[20], свидетельствуют о том, что российские утечки информации данных близки к американским. Электронный документооборот приводит к использованию чужих персональных данных в собственных целях. Многие компании и организации, которые занимаются информационной безопасностью, собирают подобные сведения из материалов прессы и других источников для получения обоснованных количественных характеристик процессов, происходящих при информатизации общества. Авторы исследования, наряду с утечками выделяют случаи, когда сотрудник имеющий легитимный доступ к данным, использует их в целях мошенничества (манипуляции с платежными данными, инсайдерской информацией); когда сотрудник получает доступ к данным, которые не нужны ему для исполнения служебных обязанностей (превышение прав доступа). Обзоры инцидентов при автоматизации бизнеса служат основой аргументации принятия конкретных технических решений безопасности. Анализ информации содержит множество составляющих: сбор полной статистики, отслеживание тенденций и т.д. В базу данных включаются публичные сообщения об инцидентах из коммерческих и некоммерческих (государственных, муниципальных) организаций. Такой подход к формированию поля исследования приходится считать допустимым ввиду отсутствия более обоснованных данных. В одних компаниях не обращают необходимого внимания на методологию сбора и обработки исходных данных и считают получившуюся выборку репрезентативной для генеральной совокупности. Другие компании пользуются подобными методиками обработки информации, но не уделяют внимания на их описание.

Учитывая сложившуюся ситуацию, связанную с необходимостью защиты информации, в США создан и успешно функционирует центр реагирования на компьютерные инциденты (Computer Emergency Response Team, CERT), который занимается рисками на уровне операционных систем и программного обеспечения. Исследовательский проект CERT базируется на изучении реальных киберинцидентов и осуществляет разработку моделей, программ обучения и инструментарий для повышения осведомленности о рисках инсайдерской угрозы для индентификации факторов, мотивирующих инсайдеров, и разрабатывает контрмеры по защите организации от угрозы инсайда. Представленные эмпирические данные по борьбе с потенциальными и реализованными угрозами указывают на то, что характер инсайдерских угроз отличается от других вызовов кибребезопасности и требует иной стратегии их предотвращения и устранения ^[21].

Положительным примером комплексного решения проблемы защиты информации от несанкционированного доступа является банковская система России, которая недавно начала публиковать в открытом доступе материалы инцидентов при переводе денег. Основываясь на требованиях Федерального закона «О персональных данных» ^[22], в 2012 году Центральный банк Российской Федерации (Банк России) совместно с Ассоциацией Российских банков разработал отраслевые документы по приведению организаций банковской системы в соответствие с требованиями законодательства в области персональных данных. В 2016 году был принят комплекс документов в области стандартизации Банка России, которые упорядочивают и нормализуют методологию оценки инцидентов информационной безопасности; разработаны рекомендации к деятельности организаций банковской системы Российской Федерации ^{[23, с. 3]}. Сегодня, когда фактографическая база инцидентов Банка России достигла необходимой зрелости (репрезентативности) и полностью отлажена, ее материалы используются для прогнозирования процессов информационной безопасности.

Большое значение в решении проблемы обеспечения информационной безопасности имеет не только обнаружение, изучение, прогнозирование существующих и потенциальных угроз, оповещение системынх администраторов и другого технического персонала об этих угрозах, координация их деятельности, но и образовательная политика государств и международных сообществ, направленная на разработку системы подготовки квалифицированных профессиональных кадров в области информационной безопасности. Эффективность системы образования во многом определяется тем, насколько «встроены» в нее механизмы выявления потребительских интересов и ожиданий. Сегодня запросы общества формируются под влиянием рыночной экономики, наблюдается востребованность профессионалов, обладающих определенным набором качеств или компетенций в виде знаний, умений, навыков. Федеральный государственный образовательный стандарт высшего образования ориентирует на формирование общекультурных, общепрофессиональных и профессиональных компетенций. Современный специалист должен уметь свободно ориентироваться в информации, реализовывать на практике полученные знания, обладать когнитивными способностями и критическим мышлением, уметь выбирать адекватные способы и методы решения проблем, создавать новые значимые формы, налаживать коммуникативные связи и отношения, работать в команде. Но не менее важным является развитие социальной и личной отвественности специалиста, понимание им социальной значимости своей будущей профессии, соблюдение норм профессиональной этики и т.д. ^{[24, с. 7]}. Формирование общекультурных компетенций при подготовке профессиональных кадров в области иинформационой безопасности имеет чрезвычайно большое значение, так как профессиональные знания, умения, навыки являются, по сути, амбивалентными: их можно использовать как во благо, так и во вред личности, общества и государства. Понимание важности проблемы сохранения «человеческого качества» знаний ведет к переосмыслению места и роли социально-гуманитарных дисциплин при подготовке специалистов в области информационной безопасности, главная задача которых состоит в формировании целостной личности, ее духовно-нравственных ценностей.

В заключении отметим, что в XXI веке проблема обеспечения информационной безопасности приобретает глобальный характер. Более того, в условиях гипердинамичного развития и совершенствования высоких технологий (Hi-Tech) актуальность этой проблемы будет сохраняться в дальнейшем. Как следствие, возрастает необходимость разработки теоретико-методологических оснований исследования проблемы обеспечения информационной безопасности. Одним из них, на наш взгляд, является трансдисциплинарный подход, специфика которого заключается в том, что он «выходит за рамки» научных исследований и требует привлечения правительственных органов, парламентских комиссий, широкой общественности для социальной оценки современного научно-технического развития и его последствий в целом и информационной безопасности в частности. Трансдисциплинарное исследование, как справедливо отмечают российские философы Киященко Л. П. и Моисеев В. И., «...нуждается для своего проведения, с одной стороны, в осмыслении мотивов, ценностей, оценки рисков последствий совместных действий различных познавательных практик, их вписываемости в современную культуру и цивилизацию, а с другой, – во взгляде на ситуацию в целом, что характерно для философского подхода» ^{[25, с. 29]}. Проведение этой оценки невозможно только с точки зрения специалистов в области информационных технологий, поскольку они являются заинтересованной стороной, и, как правило, не обладают достаточными знаниями социально-экономических, социально-политических, этических, правовых аспектов исследования научно-технического развития. Поэтому возрастает роль незаинтересованных экспертов из сферы политики, экономики, права, социально-гуманитарных наук, а также представителей конкретных областей науки и техники, ообладающих способностью к методологической рефлексии и обобщениям.