Кибербезопасность и COVID19

Пандемия заставила переосмыслить вопросы защиты персональных данных, переоценить риски мировой финансово-экономической системы, всколыхнула волну специфических киберпреступлений.

Эти беззащитные персональные данные

Опыт пандемии изменил отношение к защите персональных данных (ПД) – требование их конфиденциальности, очевидно, сохранится в будущем только для здоровых людей.

Во времена карантина успешно работали сервисы, позволявшие определять факт нахождения владельца смартфона рядом с зараженным человеком. В некоторых странах до сих пор активно используется биллинг телефонных звонков и истории безналичных платежей в торгово-сервисных предприятиях (ТСП) с целью предупреждения граждан о возможном нахождении в ТСП носителя инфекции. В мэрии Москвы обсуждается вопрос об использовании информации о карточных транзакциях в качестве одной из мер контроля за самоизоляцией жителей столицы. Законодателям сегодня остается определить главное – принципы и стандарты использования конфиденциальной информации: что именно может служить обоснованием для ее открытия и в какой мере она может быть открыта.

Инфицированные или анонимизированные?

С заболевшими гражданами, порой, обращаются достаточно бесцеремонно. Так, в Австралии в некоторых штатах разрешено устанавливать видеонаблюдение в домах для контроля за самоизоляцией инфицированных. В Москве внедрена система видеофиксации движения автомобиля по городу, которая следит за перемещениями граждан в период карантина. Эти и подобные контроли, очевидно, вносят угрозу противоправного вмешательства в личную жизнь. В перспективе потребуются специальные процедуры наблюдения за тем, чтобы собираемые ПД всякий раз должным образом анонимизировались и не происходило их бесконтрольное накопление в хранилищах сборщиков данных. Отметим, что анонимизация ПД – это всегда нетривиальная задача, а гарантий того, что выполненная анонимизация не будет дешифрована, может не быть.

Опыт пандемии изменил отношение к защите персональных данных (ПД) – требование их конфиденциальности, очевидно, сохранится в будущем только для здоровых людей. С заболевшими гражданами, порой, обращаются достаточно бесцеремонно.

Инфекция в цепочках носителей

Возможным примером конструктивного решения проблем контроля за перемещениями граждан явится новая европейская инициатива Pan European Privacy Preserservation Proximity Tracing (PEPP-PT). Проект запущен для оказания помощи национальным организациям в деле легитимизации контроля за перемещениями граждан во время пандемий. PEPP-PT обобщает лучшие практики и призван предоставить апробированные механизмы и стандарты в этой области. Ожидается, что процедуры и механизмы PEPP-PT будут иметь функционал в части защиты данных, обеспечивающий и должную анонимность, и соответствие требованиям GDPR. Предполагается международная совместимость всех проектов по отслеживанию локальных (местных) инфекционных цепочек – в этих целях создается служба сертификации решений.

Вопрос переноса сложнотехнических производств из Китая уже обсуждается в правительствах и транснациональных корпорациях. Новые цепочки поставок станут короче (в длинной цепочке сбои более вероятны) и будут многократно дублируемыми.

Риски всякие важны

Риски, связанные с пандемией – сегодня ключевые риски финансово-экономической системы мира, другие риски (такие, например, как риски санкционных отключений) потребуют переоценки. Напомним, для минимизации рисков санкционных отключений в НСПК использовано оборудование китайского провайдера Huawei (вместо американской компании Cisco). Однако, Китай первым пострадал от вирусной атаки и сам едва с ней справился.

Шок от пандемии приведет к попыткам минимизации глобальных рисков во всем – прежде всего, появлению мировых цепей поставок, способных адекватно реагировать на сбои, связанные с появлением очагов инфекций. Вопрос переноса сложнотехнических производств из Китая уже обсуждается в правительствах и транснациональных корпорациях. Новые цепочки поставок станут короче (в длинной цепочке сбои более вероятны) и будут многократно дублируемыми. Востребованными станут технологии, позволяющие быстро и оперативно воссоздавать компоненты оборудования в случае сбоя поставок. Такие примеры есть сегодня – когда владельцы 3D-принтеров оперативно их приспосабливали для производства отсутствующих медицинских масок.

При удаленных коммуникациях популярными станут атаки класса deep fake , причем, в условиях дистанционной работы преступникам вместо копирования лица гораздо проще будет воссоздавать голос владельца.

В офисе как дома

Происходящее заставит многих пересмотреть парадигмы ведения бизнеса. Компании активнее начнут предлагать дистанционные сервисы, использовать дистанционную работу своих сотрудников. Некоторые инновационные банки, предоставлявшие сервисы дистанционно в формате BaaS, уже стали удаленным объектом для своих собственных сотрудников.

При удаленных коммуникациях популярными станут атаки класса deep fake , причем, в условиях дистанционной работы преступникам вместо копирования лица гораздо проще будет воссоздавать голос владельца. Как сообщил недавно WSJ , директор одной из британских энергетических компаний уже пострадал от подобной атаки – он посчитал , что с ним по телефону разговаривает его босс (из немецкой материнской компании) и по его устному указанию перечислил € 220 000 на банковский счет поставщика в Венгрию. Как отметил горе-директор, он даже «узнал тонкий немецкий акцент в голосе босса». Когда денежный перевод был выполнен, преступники его переправили с банковского счета в Венгрии «веерной рассылкой» другим получателям.

В период пандемии активизировался фишинг – с рассылкой лжеизвещений о штрафах, выплатах и компенсациях группам населения, о дистанционной продаже поддельных лекарств COVID-19 и проч.

На крутых волнах хайпа

В период пандемии активизировался фишинг – с рассылкой лжеизвещений о штрафах, выплатах и компенсациях группам населения, о дистанционной продаже поддельных лекарств COVID-19 и проч.

Огромный и ожидаемый риск в том, что глобальный тренд перевода всего и всех на «дистанционку» превратится в очередной модный «хайп» – и этот хайп будет сопровождаться потерей осторожности, торопливым созданием законопроектов, направленных на упрощение дистанционных цифровых сделок и проч. Следствием происходящего станут новые лазейки для цифровых преступлений.

Быть готовым ко всему

Ближайшее будущее пока туманно, ясно одно – оно не будет радужным. Выход из пандемии будет непростым – для бизнеса, для граждан, для государства в целом. В перспективе возможен приход новых волн эпидемий и инфекций, появление новых вирусов и т.п. Ко всему этому надо быть готовым заранее. На все частные вопросы, затронутые выше, должны быть даны ясные ответы, в том числе, в формальном формате концептуальной и нормативно-правовой базы документов по обеспечению кибербезопасности в чрезвычайных или близких к ним ситуациях. Все мы вместе и каждый в отдельности должны четко знать, что делать и как, и психологически быть готовыми к этому. Теперь эта готовность, очевидно, с нами уже навсегда.