5 трендов в регулировании киберпространства

Это Kaspersky Security Bulletin, и наш первый выпуск аналитического обзора текущей ситуации и тенденций в регулировании киберпространства и кибербезопасности.

Глядя на 2022 год, можно с уверенностью заявить, что напряженность в международных отношениях между государствами растет и это всё больше сказывается на том, как развиваются попытки регулировать киберпространство и сферу кибербезопасности. Ниже мы делимся нашим взглядом на текущие тенденции, которые, как мы думаем, имеют потенциал определить развитие киберпространства и его контуры в последующие годы.

1. Переход от фрагментации к поляризации: государства и негосударственные организации всё больше делятся на группы и закрытые сообщества

Фрагментация киберпространства в целом, и в частности интернета («Сплинтернет», или «балканизация интернета»), которую мы наблюдаем и обсуждаем уже не первый год, приобретает новую форму. Первые признаки того, что государства по-разному смотрят на регулирование киберпространства и кибербезопасности, начали появляться давно. И хотя лишь некоторые страны успели принять правила, нормы и законодательства с экстерриториальным действием (примером может быть GDPR — Общий регламент защиты персональных данных Европейского Союза, устанавливающий требования к различным организациям за пределами ЕС), сделав это, они расширили свое влияние далеко за пределы национальных границ.

Однако 2022 год вынудил нас по-новому взглянуть на фрагментацию киберпространства. Она по-прежнему имеет место, но теперь разделение происходит по принципу схожести убеждений — не только среди государств, но и среди негосударственных структур. Военные действия на территории Украины усугубили поляризацию между разными группами государств и сообществ. Так, например, традиционно сплоченное IT-сообщество, которое, как предполагается, должно занимать нейтральную позицию и помогать бороться с киберугрозами, также разбивается на отдельные закрытые группы. Например, международная организация Forum of Incident Response and Security Teams (FIRST) приостановила членство всех организаций, учрежденных в России и Беларуси, что противоречит фундаментальному принципу доверия в области кибербезопасности. Такое решение препятствует расширенному обмену информацией об угрозах между командами реагирования на киберинциденты. И не удивительно, что исключенные организации стали обсуждать возможность создать собственные альтернативные сообщества.

Растущая поляризация киберпространства создает риски для безопасности для многих, ведь киберугрозы и инциденты не знают границ. Даже если злоумышленники изначально планируют атаковать одну или несколько конкретных организаций, атака может выйти далеко за пределы первой цели и распространиться на все цепочки поставок ИКТ (пример — эпидемия шифровальщика WannaCry). Способны ли будут организации, относящиеся к разным юрисдикциям, обмениваться информацией об угрозах и смогут ли они сотрудничать глобально по реагированию на угрозы? Некоторые — да, но возникает все больше и больше барьеров и вместе с ними — рисков для безопасности.

2. Тренд на локализацию и «цифровой суверенитет» теперь охватывают не только данные

В 2022 году глобализация продолжается, но сторонников, кажется, у нее становится все меньше — по соображениям безопасности многие государства и организации критической инфраструктуры предпочитают использовать IT-продукты локального производства. К сожалению, киберпространство и технологический сектор становятся еще одной ареной для экономического и геостратегического соперничества между странами, а понятия «цифрового суверенитета», «суверенитета данных», «стратегической автономии» и т. д., сформулированные (скорее всего, намеренно) довольно расплывчато, все больше обсуждаются в различных сообществах. Это происходит как на уровне руководства стран, так и на уровне СМИ. Изначально инициативы, воспринимаемые как попытки правительств регулировать и защищать данные (после появления первых законов о локализации данных), теперь могут повлиять и на другие сферы, включая производство микросхем и другого аппаратного обеспечения, а также разработку программного обеспечения. Конечно, уже давно можно было наблюдать тенденцию, где в критический сектор многих государства локальные IT-компании могли и могут поставлять решения. Но может ли это правило затронуть и другие сферы и потребительский рынок?

Если данный тренд будет и дальше развиваться глобально, то повсеместная локализация, например, в области обработки данных может создать препятствия для обеспечения кибербезопасности (например, будет труднее получить качественные актуальные данные о киберугрозах для реагирования). Соответственно, если о существующих киберугрозах будет меньше данных, то и меньше будет возможностей разработать эффективные инструменты для их обнаружения.

Это может привести к дилемме, где, с одной стороны, стремление локализовать обработку данных продиктовано соображениями безопасности (экономической, национальной безопасности, а, с другой стороны — они же ее и ослабят (из-за отсутствия доступа к данным об угрозах и недостаточного обзора ландшафта киберугроз). Решением может стать гибкий подход к регулированию, а также применение четких критериев безопасности к поставщикам услуг и решений.

3. Кибердипломатия и международная кибербезопасность еще существуют? Если да, то в этом году они отошли на задний план

«Лаборатория Касперского» активно участвует в различных многосторонних инициативах по развитию кибердипломатии, в том числе на уровне ООН, международных и региональных организаций. С нашей субъективной точки зрения, в 2022 году дискуссии на темы кибербезопасности проводятся реже и стали менее содержательными. Что это значит? Военные действия на Украине и, как следствие, напряженность в международных отношениях вывели на первый план безопасность в традиционном её понимании за «закрытыми дверьми» и заставили рассматривать кибербезопасность лишь как один из ее аспектов. Трудно предсказать, что будет дальше, но, если военные действия продолжатся, кибердипломатия, скорее всего, останется второстепенным вопросом. Будем надеяться, что о ней не забудут совсем.

4. Полномасштабной кибервойны не случилось, и это, без сомнения, хорошие новости. Но в то же время мы уже столкнулись с более серьезной проблемой — гибридными угрозами

«Киберармагеддона» не произошло. Его опасались многие эксперты на протяжении последних лет, но их прогнозы пока еще не оправдались. Без сомнения, это хорошие новости. Однако недавние события на Украине указывают на то, что кибероружие используется для организации гибридных операций, происходящих и в цифровом пространстве (с манипулированием данными и кампаниями по дезинформации), и в зоне военных действий. Проблема в том, что международное сообщество еще не разработало четкие меры реагирования на такие действия. Более того, просто при помощи технических или технологических средств ответить на этот вызов вряд ли удастся, и потребуется куда более многогранная работа по разработке решений.

5. Ответственность производителей цифровых продуктов: новое направление для дальнейших инициатив по регулированию

В настоящее время условных индикаторов качества для программного обеспечения еще нет. Но что если уязвимость в приложении создает риск для информационной безопасности, пользователь может задаться вопросом: кто несет за это ответственность? К кому обращаться за возмещением убытков? Сейчас к обеспечению защиты пользователей применяют вертикальный подход: например, в случаях утечки персональных данных применяется законодательство о защите таких данных. Финансовый и банковский секторы тоже хорошо регулируются. Но что если через распространенное приложение для редактирования фото, устройство пользователя было заражено программой-шпионом? Несет ли разработчик ответственность в этом случае? Некоторые государства, по всей видимости, уже могут ответить на этот вопрос. Европейский Союз (один из безусловных «законодателей» в сфере регулирования) одним из первых предложил новый законопроект, налагающий такие же высокие штрафы, как и GDPR. США также попытались определить базовые критерии для маркировки кибербезопасности потребительского ПО. Мы обсуждали это в отдельной статье. Вероятно, начиная со следующего года и другие правительства подхватят подобные инициативы. А учитываю сложившееся разнообразие в подходах государств к регулированию технологий, которые могут использоваться повсеместно, фрагментация в киберпространстве, скорее всего, усилится ещё больше.