В последнее время наблюдается заметное увеличение внешних атак на государственные структуры различных стран, сопровождающихся крупными утечками данных. По данным Аналитического центра InfoWatch, за последние три года доля утечек из государственных органов и учреждений выросла с 15,7 до 18,1%.
Эта объективная проблема действительно должна вызывать озабоченность соответствующих структур, активизировать их на активное противодействие. Однако, к сожалению, данная проблема часто решается, по крайней мере на публичном уровне, чисто политическими методами, что может быть и позволяет объявить виновника, но ни на шаг не приближает к искоренению реальных причин.
Пояснения Аналитического центра ГК InfoWatch
В последнее время любые кибератаки на органы власти зарубежных стран без особенного стеснения связывают с «российскими хакерами», которых якобы поддерживает государство. Это очень удобно, поскольку «российских хакеров» зачастую изображают как стихийное бедствие — внезапную и неотвратимую силу. Получается, сколько ни вкладывай в информационную безопасность, все равно придут хакеры и все сломают.
В большинстве случаев, однако, ссылки на хакеров лишь прикрывают давно известные проблемы с информационной безопасностью в государственных учреждениях. Во-первых, госструктуры по всему миру традиционно тяготеют к выстраиванию таких систем безопасности, где бумажные регламенты не соответствуют бизнес-процессам, существующим в реальности.
Например, по бумагам запрещено использование бесплатной электронной почты, а в реальности сотрудники сплошь и рядом ее используют. Просто потому, что это удобно — можно переслать себе важный документ и поработать из дома, можно коммуницировать с контрагентом, которого лучше «не светить» в публичном аккаунте и т. д.
При этом госчиновники изобретают систему псевдонимов, называют друг друга вымышленными именами, придумывают иносказательные названия для проектов. И все это потому, что пользоваться защищенной почтой неудобно. То же самое можно сказать про публичные облака, которые якобы запрещены, а на деле, как правило, пользуются большой популярностью среди сотрудников госучреждений. Особенно, если их работа требует доступа к служебным документам в режиме 24*7.
Во-вторых, ошибки сотрудников и случайные утечки данных вследствие этих ошибок занимают первое место среди факторов, определяющих картину утечек в любой отрасли. Можно свести эти ошибки к минимуму, развивая культуру обращения с информацией ограниченного доступа, но полностью устранить ошибки вряд ли получится. Это замечание в полной мере относится к государственным структурам, с одной оговоркой — в большинстве случаев госчиновник имеет дело с информацией, которая не представляет для него особенной ценности.
Например, персональные данные граждан — утечка этих данных не отразится на репутации органа, не приведет к финансовым потерям. Даже утечка государственной тайны, если не ясен конкретный виновник, для госоргана в целом не влечет никаких последствий. Отсюда соответствующее отношение к информации. Из недавних российских примеров — публикация в Интернете списков должников, обманутых вкладчиков, раскрытие государственной тайны на главном канале страны. В целом по миру складывается довольно спокойное отношение к многомиллионным утечкам из госструктур. До той поры, конечно, пока в утечке не обвиняют «российских хакеров».
Очевидно, что властные структуры обрабатывают информацию ограниченного доступа, возможно, даже в больших объемах, чем коммерческие организации. И с каждым годом эти объемы будут только увеличиваться. В таких условиях атака на правительственное учреждение будет не только актом «хактивизма», но и способом прилично заработать на похищенных данных.
С другой стороны, объемы утечек из-за ошибок легитимного пользователя также вырастут. Следует в первую очередь задуматься о том, как решать эту проблему, как обеспечить безопасность «чужих» для государства данных, повысить уровень защиты информации в госструктурах в целом, как совместить требования к обеспечению безопасности и удобство конечного пользователя — чиновника. Если решить эти проблемы, надобность в отговорке в виде «российских хакеров» отпадет сама собой.