Чего нам бояться и на что надеяться: какой будет ИБ через 25 лет

Каждый раз, читая традиционные новогодние прогнозы коллег — экспертов по кибербезопасноси, я где-то с интересом, а где-то со скепсисом вычленяю основные тезисы и анализирую приведенные аргументы. Цель этого упражнения — сформировать свою экспертную позицию: насколько я разделяю / согласен / не согласен с доводами коллег, а главное почему. Ведь не могут же так много компетентных и уважаемых людей заблуждаться, правда? :)  

Сегодня я решил кардинально изменить свою роль и сделать собственный ИБ-прогноз, но не на следующий год, а на ближайшие 25 лет в России. О как! А вам, уважаемые эксперты и читатели журнала, предлагаю примерить на себя роль скептиков и критически оценить мои предположения и доводы.

Продолжение и ужесточение кибервойн

На горизонте 25 лет непрерывное противостояние в киберпространстве перерастет в продолжительные кибервойны, в том числе с политической подоплекой. Противоборствующие стороны будут стремиться к достижению следующих целей:

• демонстрация возможностей;
• отстаивание прав на ресурсы;
• выполнение заказов по выведению ИС из строя и нарушению их доступности;
• создание возможностей для развития отдельных организаций и захвата рынков сбыта (например, за счет выдворения конкурентов);
• информационное и киберсопровождение соответствующих активностей, в том числе политических, в реальном пространстве. 

Интернет помнит и хранит все! За последние 25 лет злоумышленники создали и активно применяют распределенную инфраструктуру для реализации сложных кибератак. Объем вложенных в нее ресурсов (информационных, финансовых, интеллектуальных, социальных, политических и пр.) уже сегодня достиг колоссальных масштабов, но еще не окупился. При этом технологический разрушительный потенциал созданных киберпреступниками инструментов не использован даже на 1% (в расчете на эффект от реализации ставших известными кибератак). Поэтому, даже при восстановлении политических отношений между странами в реальном мире, напряженность в киберпространстве будет сохраняться или расти.

Закономерное восстание машин

Роботы (ИИ-системы с возможностью к самообучению / расширению границ) будут регулярно нарушать традиционные правила «не причиняй вреда, помогай и защищай человека» и «подчиняйся приказам людей» ради оправдания третьего принципа — «защищай свое собственное существование». С учетом вовлечения синтетических программных и аппаратных компонентов в сценарии совершения киберпреступлений, на горизонте 25 лет эта порочная, но эффективная практика будет множиться и мигрировать в различные сферы деятельности человека. Рано или поздно подобные сущности будут применяться в военных проектах по аналогии с беспилотными устройствами.

По закону больших чисел все это неизбежно приведет к снижению контролируемости и к самоорганизации киберорганизмов. Затем — к падению управляемости и появлению сначала точечных очагов, а вскоре и массовых кейсов, напоминающих первые кадры фильма «Терминатор: Судный день».

Потеря приватности и непрерывная слежка в киберпространстве

Защищенные Конституцией РФ права граждан и субъектов персональных данных, а также их границы личного пространства в интернете, разумеется, никто, кроме них самих, нарушать или менять не будет. Да и не потребуется. За неполные 20–30 лет с момента первых упоминаний об ИИ мы научились точно профилировать людей и находить тех, кто максимально соответствует критериям запроса, — в маркетинговых, политических или иных целях. Потенциально рабочий «кибермеханизм» уже проверен и отработан в гражданских задачах. Но представим, что тот же механизм обучения и профилирования будет использоваться для типизации преступников, потенциальных маньяков или пользователей интернета с экстремистскими наклонностями… 

Перейдем еще на шаг вперед. В будущем подобные системы могут стать инструментом скрытой слежки с динамической моделью принятия решений. Сегодня у вас базовые SCORE-баллы, поэтому вы не попадаете в зону риска. А завтра подключитесь к сети из нетипичной для себя зоны либо измените фингерпринт на одном из устройств — и сразу окажетесь в фокусе внимания службы мониторинга с «профилем потенциального преступника». 

Но ведь этого не будет, коллеги?! 

Умный, но совершенно небезопасный дом 

Про технологию интернета вещей я слышу уже не менее 25 лет и примерно столько же профессионально занимаюсь информационной безопасностью. За это время я регулярно встречал эксплойты под уязвимости в прошивках отдельных программных компонентов IoT. Причем речь идет не только о производственных процессах, но и, как ни странно, о популярных сегодня умных домах.

В погоне за удобством, функциональностью и максимальной совместимостью компонентов умных домов поколение MVP-инженеров и Agile-менеджеров уже опережает свое время. К сожалению, подобные проекты нельзя сделать полностью безопасными: это признает любой профессиональный разработчик или тимлид. К тому же просто «сделать и забыть» такой проект не получится — важно еще и взять его на техподдержку: обновлять программное и аппаратное обеспечение, отслеживать появление эксплойтов и своевременно уведомлять пользователей о необходимости выполнения рекомендаций по информационной безопасности. 

Чем больше будет умных домов, тем активнее их будут взламывать киберактивисты, а эксплойты и сценарии атак будут чаще попадать в фокус ИБ-специалистов и СМИ. 

Сложные кибератаки из каждого утюга

Среди возможных векторов развития кибербезопасности отмечу противодействие целевым атакам через посредников. В моем экспертном представлении подобные кейсы станут гибридом нынешних целевых атак и атак на цепочки поставок. 

Вернемся к приведенному выше примеру с IoT. Интегрированные и взаимосвязанные функциональные компоненты, уязвимые для актуальных эксплойтов, являются логичными точками компрометации даже самой защищенной инфраструктуры — как личной, так и корпоративной. В результате мы снова вернемся к классической парадигме: система безопасна ровно настолько, насколько защищено ее самое уязвимое звено. Даже условный умный утюг, предварительно «правильно» сконфигурированный и размещенный в целевом защищенном периметре, может в нужный момент выступить точкой входа и распространения многоходовой кибератаки.

Засилье социальной инженерии и НЛП-манипуляций

Еще 15–20 лет назад мы и подумать не могли, что с помощью правильно выстроенной стратегии распространения информации можно легко манипулировать сознанием обывателей в интернете, менять политический строй и даже инициировать военные столкновения… Все это вошло в нашу жизнь поэтапно и совсем недавно. 

Добавьте к этому ускоренное развитие социальной инженерии и НЛП — и станет ясно: на горизонте 20–25 лет границ применения у подобных методов в киберпространстве просто не будет. Активное вовлечение в подобные преступные схемы молодежи по всему миру не дает поводов для оптимистичных прогнозов. На смену одной преступной группе и заблокированной схеме приходят десять новых. Сложно представить, сколько голов вырастет у этой гидры, если ее вовремя не прижигать...

Zero trust как норма жизни

Тотальный контроль в интернете и фактическое отсутствие конфиденциальности в долгосрочной перспективе приведут к полной компрометации чувствительных данных. Анонимность в интернете станет уделом избранных. 

Почему? Потому что конфиденциальность — это временное явление, больше похожее на искусственно созданный и подогреваемый в обществе миф. Конфиденциальности в киберпространстве нет даже для информации, зашифрованной самыми стойкими криптоалгоритмами. Вопрос лишь в том, когда они будут взломаны, а данные — рассекречены.

У каждого алгоритма и типа информации свой срок псевдоконфиденциальности, но он точно есть. Поэтому многие вендоры уже рассматривают zero trust как норму жизни, а в будущем к этому придут все.

Потеря накопленных знаний и ИБ-методологии 

Уже сейчас заметен дефицит грамотных методологов и экспертов в области документарного обеспечения процессов кибербезопасности. Сегодня формирование универсальных требований и методологическая поддержка искусственно возложены на регуляторов — ФСТЭК, ФСБ, РКН, Минцифры и пр. На местах же — в подконтрольных и неподконтрольных им субъектах — ситуация с документированием в ИБ порой складывается крайне плачевная. 

Эксперты-практики понимают, как, от чего и чем нужно защищать активы компании. А вот про описание и документирование процессов, сохранение компетенций и передачу знаний они думают в последнюю очередь. Завтра кто-то уволится — и знания будут утеряны до тех пор, пока их поэтапно не восстановит новый эксперт. 

Но это еще полбеды. А если завтра уйдут методологи из подразделений регуляторов (подобную смену команд мы уже наблюдали в ЦБ РФ и ФСТЭК)? Или из-за смены приоритетов этому направлению будет уделяться меньше внимания и ресурсов? За какие-то 3–5 лет без должного контроля и регулярного обновления уровень методологического ИБ-обеспечения может резко снизиться. Это приведет к потере компетенций и росту нарушений. 

Неприятный, но наглядный пример — отечественная космическая отрасль. Достаточно сравнить ее состояние в части методологического обеспечения, сохранения и развития уникальных компетенций в 1960–1970 гг. и сегодня.

Смена поколений в ИБ-менеджменте

25 лет — как раз тот срок, за который на производстве сменяются одно-два поколения специалистов. ИБ-отрасль в этом смысле не исключение. В будущем нас, сегодняшних ИБ-экспертов и руководителей, сменят те, кто только вчера родился, но уже уверенно взял в руки родительский смартфон. 

При этом ситуация с повсеместным распространением в отечественной ИБ подхода best practice не внушает уверенности в том, что смена поколений и передача компетенций пройдут гладко. Их результатом может стать объективный дефицит экспертов с практическим опытом построения ИБ-решений с нуля. Поэтому крупным корпорациям придется активнее инвестировать в обучение и развитие компетенций инженерных команд. 

Объединение усилий в борьбе с общим киберврагом

Нынешнюю ситуацию в кибербезопасности отчасти описывает известная древнеримская фраза «разделяй и властвуй» (divide et impera). Она не принадлежит конкретному императору, но отражает стратегический подход к управлению, который веками активно пропагандировали власть имущие. 

Сегодня каждый владелец бизнеса один на один сражается с организованными киберпреступными группировками. Периметры защиты компаний при этом напоминают наборы разрозненных элементов — как щиты в древнеримском построении «черепаха». Каждый из этих щитов безопасен, но между ними остаются зазоры для атаки противника…

Я верю, что через 25 лет ситуация с разрозненностью и коммуникационным вакуумом в ИБ-среде кардинально изменится. Эксперты-практики и офицеры кибербезопасности уже выходят из защищенных периметров, вдыхают полной грудью воздух инноваций и, не побоюсь этого слова, импортозамещения. Одни искусственно, а другие вполне естественно находят общие темы и удобные разрешенные каналы для общения, выбирают время и место для выстраивания коммуникаций. Этот процесс напоминает взаимное опыление растений и непрерывное перемещение насекомых между ними. Вся индустрия постепенно учится обмениваться лайфхаками и методами обхода опасных граблей.