Любознательная безопасность, или Данных много не бывает

Содержимое чужих писем гораздо ценнее содержимого чужих кошельков

Игры Престолов

На заре интернет-экономики интернет-бизнесмены, шутили, что Россия – это страна интрАнет-экономики, ведь большинство инноваций, которые на Западе ассоциировались с B2C, в России перерождались в B2B. В те годы причиной такого положения с Интернетом были плохие публичные каналы и плохая связность по сравнению с корпоративными коммуникациями: когда в публичных сетях еще еле-еле грузились картинки, в корпоративных уже во всю смотрели видео в браузерах. Поэтому в начале 2000-х, например, интернет-образование выглядело так: крупная региональная компания заключала договор с университетом, тот выгружал свои курсы на сервер заказчика и его сотрудники учились уже внутри интранета. Как только дело касалось логистики, проблемы коммуникаций мультиплицировались, поэтому мы даже однажды договорились с крупным интернет-магазином, что он выгрузит свои каталоги и оболочку для заказа на серверы клиента из Сибири, решив таким образом сразу несколько проблем: гарантию честности клиента, заказывающего товар через интранет своего работодателя, и логистику – грузы консолидировались, что позволяло радикально уменьшить стоимости доставки.

Потом публичный Интернет догнал по скоростям и перегнал по стоимости корпоративный интранет, и интранет-экономика сошла на нет. Но локомотивная роль крупных компаний с мощной внутренней ИТ-инфраструктурой никуда не делась. Например, пока страна обсуждает телемедицину как прорыв, крупные территориально распределенные компании давно оптимизировали ведомственные поликлиники и больницы за счет удаленных консультаций. Корпорации проще сосредоточиться на технологической и экономической составляющих и сразу начать получать выгоду от технологий. Компания может сделать это быстрее, чем государство, которое должно начинать с юридической и моральной стороны вопроса: какой правовой статус будет у инновационного процесса, кто будет признавать, скажем, эти диагнозы или дипломы, кто будет отвечать в случае неудачи, как будут разбираться конфликты, и так далее.

Инновации в безопасности на грани риска

Случается, то, о чем много говорят и спорят в публичном поле, давно тихой сапой реализовано в корпорациях, без глобального обсуждения и массовых протестов, к тому же на более высоком технологическом уровне, чем только еще планирует сделать государство.

Какой шум был вокруг принятия «пакета Яровой», точнее вокруг его требования хранить и обрабатывать трафик пользователей. Между тем сейчас практически каждый крупный работодатель не только хранит и индексирует весь трафик своих сотрудников, прошедший через корпоративную инфраструктуру, но и пользуется им вне пределов правового поля страны, на основании внутренних должностных инструкций. В специализированной прессе и на конференциях по информационной безопасности открыто и с гордостью рассказывают о «позитивных кейсах», например, о том, что, заподозрив сотрудника в нечистоплотности, служба безопасности воспользовалась перехваченными паролями к личной почте сотрудника (он заходил на свой ящик из корпоративной сети) и изучила ее содержимое, после чего доложила о раскрытии злоупотребления.

Сегодня крупные компании почти поголовно имеют собственный «корпоративный СОРМ», если конкретнее – весь его технический функционал и даже больший, поскольку поверх перехвата трафика в компаниях «навернута» сильная аналитика, включающая семантику и большие данные. Но использование СОРМ регламентируется российским законодательством: 144-ФЗ «Об оперативно-розыскной деятельности», подзаконными актами и должностными инструкциями, поэтому подразумевает мотивированное решение суда по каждому запросу к данным. А использование «корпоративного СОРМ» регулируется лишь корпоративными должностными инструкциями, позволяя сотрудникам службы информационной безопасности доступ к любой информации по их желанию.

Формально, конечно, регламенты применения корпоративной системы информационной безопасности проходят юридическую экспертизу, но практика реализации таких регламентов совсем иная. Например, регламенты говорят, что при сообщении автоматизированной системы об инциденте, для расследования которого требуется доступ к переписке сотрудника, должна запускаться процедура ознакомления с содержимым почтового ящика. Такая процедура предусматривает следующее: к нарушителю обращается комиссия, состоящая из сотрудника службы информационной безопасности, непосредственного начальника подозреваемого в нарушении и кого-то из отдела кадров или профсоюза, и просит предъявить содержимое почты, которое вызвало срабатывание системы контроля. Этот подход законен, но очень неудобен для ежедневного использования. Поэтому на практике оператор безопасности просто читает всю почту и публикации в Сети, вызвавшие у него подозрения, и с помощью средств удаленного администрирования заходит на компьютеры сотрудников, снимает скриншоты, и лишь когда нужно легализовать какое-то из найденных сообщений, то и созывает комиссию, уже точно зная, что ей предъявит сотрудник.

Представьте, что с помощью системы СОРМ полицейский просто читает те сообщения, которые посчитает нужным, никак не формализуя свой доступ к ним. Ни уголовных дел, ни ордеров от суда – ничего, кроме желания самого полицейского и лично его понимания своих служебных задач. Возмущены? Но если вы читаете этот текст с корпоративного компьютера, то вполне возможно, что вместе с вами его читает и сотрудник службы информационной безопасности, а то и делает скриншоты. Помашите ему рукой, улыбнитесь в камеру, вас снимают. Почему вы еще не на митинге протеста?

В обмен на доступ к корпоративной информации с личного смартфона компания поставила на ваше устройство агента MDM (Mobile Device Management)? Поздравляю, теперь сотрудник службы информационной безопасности вашей компании имеет доступ к вашей геопозиции (то есть знает, в частности, где вы ночуете, проводите выходные и отпуск) и фоточкам.

Компания подарила сотрудникам фитнес-браслеты и устроила на корпоративном сервере соревнования, кто из сотрудников активнее? Теперь компании известна не только ваша геопозиция в любой момент времени (она и так была известна с помощью агента на смартфоне), но и время, когда у вас повышается пульс.

Что служба безопасности вашей компании и отдельные ее сотрудники будут делать с этими знаниями, регламентируется не законом, а внутренними инструкциями, имеющими непонятный правовой статус.

Социальные рейтинги

Еще одной заботой общества и одновременно его страхом является система социальных рейтингов. Вспоминается Китай, в котором, по сообщениям прессы, обладатели низкого социального рейтинга лишены возможности покупать билеты на самолеты и поезда. Или сериал «Черное зеркало», в котором, общаясь с изгоями, ты теряешь свой рейтинг и сам становишься изгоем. То есть составитель рейтинга не просто присваивает тебе какое-то значение, но и давая обратную связь, поощряя и наказывая за определенные действия, формирует у тебя нужное ему поведение. Самый что ни на есть оруэлловский «Большой Брат», все как предсказывалось.

Страшно? С чего бы? Если вы работаете в крупной компании, то у вас давно есть внутренний социальный рейтинг. Формальный, то есть конкретное число, занесенное в некоторый реестр, или неформальный, подразумеваемый руководством и HR-службой, но он есть. Именно на его основе строится ваша карьера, составляются «грейды» и их изменения. Не верите? Давайте порассуждаем.

Спросите HR-сотрудника, кого уволить в первую очередь? Если в отделе оставить трех человек, то кого именно? Ответ будет четким, потому что в крупных компаниях всегда есть сценарий внезапного сокращения, сотрудники виртуально «выстроены в колонну», у которой можно оптимальным образом «отрубить хвост», то есть освободиться от сотрудников с минимальным рейтингом относительно корпоративных ценностей. В каждой компании про любого сотрудника HR может сказать, насколько он лоялен организации, как минимум готов перейти в компанию конкурента при первой возможности или будет работать даже при предложениях, превышающих его нынешний статус и уровень доходов. Только в одних компаниях такие рейтинги формализованы, а в других еще нет.

В информационной безопасности давно существуют механизмы построения социальных рейтингов – нам это просто необходимо для «развешивания» инцидентов с участием сотрудников. Предположим, случился инцидент внутренней безопасности, какой сценарий реагирования выбрать? Одно дело, если человек совершил проступок впервые, другое – если он злостный нарушитель. «Злостность» определяется статистикой, количеством предыдущих инцидентов, результатами обучения после них и наложенных взысканий, причем как абсолютной, так и в сравнении с другими сотрудниками. Такие рейтинги существуют уже лет 20, с появлением первых автоматизированных систем обработки инцидентов информационной безопасности и программного обеспечения help-desk.

Большие данные для «Большого Брата»

С открывшимися сегодня возможностями по сбору и обработке разнообразных сведений из корпоративной информационной системы такие рейтинги переживают второе рождение. Получая информацию не только с систем обработки инцидентов, но и с трафика, событий в корпоративной инфраструктуре, агентов на смартфонах, «умных» камер, носимых устройств, социальных сетей и т. п. рейтинги становятся рабочим инструментом оптимизации, помогая не только реагировать на инциденты и реализовывать различные сценарии такого реагирования, но и предотвращать их на основе корреляций поведения и статистики инцидентов. То есть если человек с повышенной склонностью к генерации инцидентов со своим участием начал вести себя таким же образом, как и в прошлый раз, когда такое поведение закончилось инцидентом, можно среагировать раньше, предотвратив инцидент. Обогащая данные о событиях в информационной системе паттернами поведения сотрудников, их «аппетиту к риску» и содержимым коммуникаций, безопасники сегодня умеют буквально «видеть будущее», и даже наказывать за несовершенные, а только задуманные преступления, как это было предсказано в «Особом мнении» Спилберга.

Кстати, «аппетит к риску», то есть склонность нарушать правила ради достижения своих целей, хорошо определяется по косвенным признакам и универсально для человека в различных областях трудовой деятельности. Один из слушателей мастер-класса, посвященного этой теме, рассказал, что в их нефтяной компании на буровых работах действует правило: тот, кто утром срезал угол и пошел от общежития к столовой напрямую по грязи, а не по положенным деревянным дорожкам, сразу после завтрака отправляется на дополнительный инструктаж по технике безопасности. Так компания наблюдает устойчивую корреляцию между нарушениями маршрутов и травматизмом, то есть тот кто «срезает углы» в одном месте, будет срезать их и в другом – не наденет каску или перчатки, не закрепит страховочный трос и т. п.

Рейтинги из систем контроля инцидентов и сами инциденты уже передаются в HR – без этой службы невозможно ни наказать, ни переобучить сотрудника, а это подразумевается сценариями обработки инцидента. Когда HR-рейтинги окончательно объединятся с рейтингами информационной безопасности – лишь вопрос времени. Можно представить себе недалекое будущее, когда при достижении определенного уровня рейтинга сотрудник будет автоматически оштрафован или даже уволен – ему заблокируют пропуск в офис и доступ в информационную систему. Технически для этого все уже есть, ну разве что осталось прикрутить к системам принятия решений смарт-контакты, выполняющиеся при наступлении определенных условий – и будет корпоративный аналог государственной системы автоматического выписывания штрафов по результатам работы камер наблюдения за транспортом. Считаете, человека не может судить и штрафовать робот? Да легко! Посадят в конце процесса человека, уполномоченного принимать решения, и он будет автоматически подписывать сгенерированные машиной решения, как уже сейчас делается в той же ГИБДД.

Что делать?

Итак, большинство компаний уже умеет вычислять социальные рейтинги своих сотрудников – есть и данные, и методики их анализа, а многие уже применяют их на практике. И опять, как и в предыдущем примере, вне правового поля. Например, в самой ужасной «цифровой диктатуре» обладатель рейтинга имеет право, как минимум, узнать свой точный рейтинг и критерии того, что надо делать, чтобы его повысить, и чего не делать, чтобы он не понизился. А в корпорациях эти рейтинги часто скрыты от сотрудников.

У меня нет однозначных выводов по этой теме. Можно начинать обсуждать засилье корпораций и игнорирование ими общечеловеческих ценностей в угоду эффективности. Можно рассматривать эксперименты в корпоративной среде как пилотные для общегосударственных, позволяющие оценить риски инноваций до их массового внедрения. Одно можно сказать: регулярного диалога на эту тему между корпорациями и государством сегодня нет, хотя сами корпорации все чаще обсуждают такие проекты между собой, что называется, делятся опытом. Может, стоить начать?