Читати книгу - "ВІЙН@: битви в кіберпросторі, Шейн Харріс"

Ринок дозрів для складних і надійних технологій кібербезпеки. Щоразу, коли стає відомо про масштабний витік даних, як-от викрадення даних дебетових і кредитних карт у компанії Target у 2013 році, яке торкнулося майже третини населення США і заполонило перші шпальти всіх головних ЗМІ країни на декілька тижнів, дедалі більше компаній відчайдушно потребують захисту від потенційних утрат. У 2013 році федеральна влада повідомила понад триста компаній про проникнення в їхні мережі – це величезна кількість, але, вірогідно, аж ніяк не повна. Адже йшлося лише про вторгнення, виявлені державою або компаніями, що займаються комп’ютерною безпекою. Власники критично важливих об’єктів інфраструктури опинились у надзвичайно загрозливій ситуації. У грудні 2013 року міністр енергетики Ернест Моніз заявив, що більшість минулорічних кібератак у Сполучених Штатах була скерована проти енергетичної інфраструктури, до якої входять компанії, що володіють і управляють електромережами, а також видобутком нафти й природного газу. Дотепер хакери намагалися лише проникнути в мережі управління цими об’єктами або ж у комп’ютери, розташовані в офісах корпорацій, яким ці об’єкти належать. Проте, за словами Моніза, «немає жодних сумнівів», що Сполучені Штати зазнають масштабніших атак, які загрожують частковим знеструмленням. «Абсолютно зрозуміло, що, коли йдеться про кібератаки, слова “якщо” вже не існує. Я не хочу, щоб дійшло до виходу з ладу енергомережі. Але це перегони, і ми намагаємось якнайшвидше посилити захист... На нас чекає багато роботи».

Очевидно, держава також бере участь у цих перегонах і вона може дещо зробити для компаній: давати більше конкретної та корисної інформації про те, з якого боку очікувати небезпеки; чинити тиск на провайдерів, аби ті блокували доступ до відомих ворожих джерел; урешті-решт, іти у наступ для відбиття атаки, наближення якої можна спрогнозувати. Не всі із запропонованих рішень вимагають змін у законодавстві. Адміністрація має на це повноваження виконавчої влади. Проте енергетичні компанії, так само як менш важливі для економіки підприємства, і досі покладаються лише на власні сили, стримуючи нападників, які щодня наближаються до брами, загрожуючи пробити стіну захисту. Збільшується кількість мереж, розкиданих географічно, і держава просто не в змозі їх захистити, навіть у тому разі, якби втілила план Александера, інсталюючи сенсори у кожній банківській мережі.

Вороги не вгамовуються. Лише з вересня 2013-го до березня 2014 року банки зазнали понад триста DDOS-атак, подібних до приписуваної Ірану операції з виведення в офлайн сайтів, що викликала сильну паніку в фінансовому секторі. Владі чудово відомо про ці атаки – їхня кількість зазначена у звіті АНБ. Якщо компанії прагнуть захистити себе, їм доведеться ділитися з владою деякою інформацією про те, що відбувається в їхніх мережах. Хоча в них є сильний мотив подбати про власну безпеку й захищатися власноруч.

Урешті-решт, потужні заходи з безпеки стануть популярним товаром, особливістю, яку банки, провайдери інтернету та інші компанії, що мають доступ до персональних даних, використовуватимуть для залучення клієнтів – точнісінько так, як автовиробники рекламують товар, згадуючи про подушки безпеки і ABS. Це вже відбувається. Компанія American Express, яка тривалий час позиціонувала себе не як постачальника кредитних карт, а як закритий клуб із річним внеском за членство, яке дає особливі привілеї (певний статус, вищий кредитний ліміт), 2013 року запустила на телебаченні та в інтернеті серію рекламних роликів, у яких наголошує на системі «інформаційної безпеки», що надсилає повідомлення на мобільний телефон клієнта, щойно з’явиться підозра про шахрайське списання коштів. У одному з роликів охайний, добре одягнений міський мешканець під спостереженням відеокамер минає охоронців на вході до елегантного багатоквартирного будинку, повз який мчать поліцейські машини. Лунає голос за кадром: «А хто захистить вас у мережі, де ми витрачаємо понад два мільярди доларів щороку?» Відповідь: «American Express – завдяки алгоритму, що вивчає характер ваших витрат і виявляє аномалії». (Випадково чи ні, закадровий текст озвучила акторка Клер Дейнс, яка зіграла в серіалі Homeland роль оперативної співробітниці ЦРУ, що намагалася запобігти терористичній атаці на США.)

Звичайно, фінансові організації багато років поспіль використовували системи виявлення шахрайських операцій, однак лише нещодавно почали рекламувати їх як престижний сервіс, реагуючи на ріст усвідомлення клієнтами того, що вони та їхні гроші вразливі у кіберпросторі. Наш стильний власник кредитки отримує попередження на айфон і, стоячи посеред жвавої вулиці, повідомляє American Express, що ні, дев’ять секунд тому він не авторизовував операції купівлі в інтернет-магазині електроніки на суму $1245. Він спокійно насолоджується обідом у кафе й упевнено кладе на стіл кредитку Amex, знаючи, що він «громадянин безпечнішого світу». Повідомлення прозоре. Ви можете себе захистити. (Ви повинні хотіти себе захистити.) Але це коштуватиме вам грошей.

У лютому 2014 року адміністрація Обами підготувала низку інструкцій у сфері кібербезпеки та прикладів «кращих практик», заохочуючи компанії переймати їх. Проте не примушувала до цього. «Урешті-решт, саме ринок визначає, як треба чинити компаніям» і чи дотримуватися цих інструкцій, пояснював один із керівників адміністрації президента.

Саме комерційні компанії відповідальні за більшість інновацій у сфері кібербезпеки – за появу нових засобів і методів безпечного зберігання даних і проведення кібератак на противників. Компанії, що спеціалізуються у сфері кібербезпеки, спроможні залучати найдосвідченіших і найкваліфікованіших працівників, оскільки платять значно більше, ніж державні агентства та військові організації. Держава ніколи не зможе запропонувати конкурентну зарплату кваліфікованим технічним фахівцям. Аби звабити талановитих працівників, державні та військові структури обіцятимуть повну пригод роботу – шпигунство, військові операції – і апелюватимуть до почуття обов’язку й честі, які завжди супроводжують працю заради суспільства. Проте цього виявиться не досить, щоб вирішити проблеми безпеки, з якими стикнеться держава, особливо у цивільних агентствах, де рівень безпеки досі незадовільний. Найімовірніше, вам спадає на гадку Міністерство у справах ветеранів, яке регулярно втрачає інформацію про пацієнтів, зокрема номери соціального страхування та інші важливі дані, але не ЦРУ з його надійним захистом. На жаль, державні організації, які володіють особистою інформацією громадян, доволі вразливі та зазвичай найгірше захищені.

Агентства, які не можуть найняти захисників, звертатимуться до корпорацій, у лавах яких працюють досвідчені колишні військові або державні службовці і керівники яких колись відповідали за низку державних програм і операцій з кіберзахисту. Державну службу вже нині вважають лише сходинкою на шляху до особистого збагачення. Державні агентства та військові вже знають, що більшість співробітників затримаються на стільки часу, скільки потрібно для здобуття знань і навичок, високого рівня доступу до секретної інформації (необхідна вимога для роботи у сфері кібербезпеки) і накопичення професійних контактів, а потім перейдуть у приватний бізнес. Це наче обертові двері між державним і приватним сектором, що рухатимуться дедалі швидше.

Уряд США