США: Совет по кибербезопасности?

Недавно австралийско-британская некоммерческая организация The Conversation опубликовала статью американского ученого Скотта Шакелфорда (Scott Shackelford) в отношении некоторых вопросов, связанных с расследованием авиационных происшествий и кибератак. Полагаем, что статья может быть интересной для многих наших читателей, а также государственных организаций. Статья приводится в изложении.

Первое время авиаперевозки в США особо тщательно не регулировались. Примерно то же самое происходит сегодня и с вопросами кибербезопасности. Тогда происходило огромное количество авиационных происшествий. Но изменения произошли только после того как случились громкие трагедии. В 1931 году в авиакатастрофе в Канзасе погиб легендарный футбольный тренер команды «Нотр-Дам» Кнут Рокне. А в 1935 году американский сенатор Бронсон Режет погиб в результате катастрофы в штате Миссури рейса авиакомпании Trans World Airlines. Эти события способствовали созданию в 1938 году первого Совета по безопасности в США. Но только в 1967 году были созданы новое Министерство транспорта и независимый Национальный совет по безопасности на транспорте (NTSB).

С тех пор NTSB тщательно расследовал все авиационные катастрофы и другие инциденты в сфере транспорта США. Публичные отчеты о его выводах приводили к изменениям в правительственных нормах, корпоративной политике и производственных стандартах, что делало авиаперевозки в США и во всем мире более безопасными.

По мере того как инциденты, связанные с кибербезопасностью, распространяются по всей стране и миру, предприятия, правительственные учреждения и общественность не должны ждать неизбежной катастрофы, чтобы исследовать, понять и предотвратить такие сбои. Примерно через столетие после первого Закона об авиационной торговле в 1926 году, растет количество голосов за то, чтобы информационная индустрия вписала новую страницу в истории авиации и создала Совет по кибербезопасности.

Национальный совет по безопасности на транспорте стал первым независимым агентством, которому было поручено исследовать безопасность различных транспортных систем, — от автомобильных трасс и трубопроводов до железных дорог и самолетов. С 1967 года NTSB расследовал более 130 000 происшествий.

Эти расследования имеют жизненно важное значение, поскольку они помогают установить, «кто, что, где, когда, как и [возможно] почему – стоИт за инцидентом». После того как факты установлены, разработчики политики могут использовать уже имеющиеся материалы и подкреплять рекомендации NTSB новыми нормативно-правовыми актами. В противном случае авиаперевозчики, например, обычно добровольно внедряют изменения, которые предлагает NTSB. Подобный подход может помочь улучшить Интернет, — новую технологию, которая, как и самолеты, связывает мир, даже если это угрожает нашей общей безопасности.

Два элемента NTSB для повышения кибербезопасности могут быть особенно полезны. Во-первых, NTSB отделяет сбор фактов от любых вопросов юридической ответственности. Во-вторых, эти расследования являются широкими и используют участие различных заинтересованных сторон, таких как производители и авиакомпании. Киберпространство также состоит из широкого спектра компаний и технологий.

Совет по кибербезопасности не обязательно должен быть национальным. Его создание может начаться снизу вверх, когда компании, которые объединяются вместе, чтобы защитить своих клиентов, обмениваются передовыми методами.

Критики создания Совета по кибербезопасности, скорее всего, будут утверждать, что скорость изменения технологий затрудняет внедрение любых рекомендаций, даже если они будут быстро реализованы, для обеспечения достаточной защиты организаций от кибератак. Расследования NTSB могут занимать год или больше; для обеспечения того, чтобы результаты были по-прежнему актуальны, запросы по кибербезопасности должны быть более быстрыми, например, путем оптимизации киберзащиты и использования широко используемых инструментов, таких как Национальный институт стандартов и технологии кибербезопасности.

Другие проблемы включают стандартизацию терминологии по всей отрасли и определение «правильных» экспертов для изучения случаев взлома баз данных, — это, возможно, проще сказать, чем сделать, учитывая нехватку талантов среди профессионалов в области кибербезопасности. Чтобы справиться с этим недостатком, следует поощрять широкие образовательные программы по кибербезопасности, такие как новое партнерство между высшими учебными заведениями, преподающими право, бизнес и информатику.

Вероятно, потребуются дополнительные меры, чтобы создание Совета по кибербезопасности стало успешным, — например, начинать расследование только серьезных нарушений, таких как атаки на инфраструктуру, связанную с жизнеобеспечением.

Всё больше стран и регионов, включая Европейский Союз, предъявляют жесткие требования к компаниям, которые допускают утечку данных, включая обязательную, в течение 72 часов, отчетность о кибератаках и более строгие превентивные меры. Предприятия, правительства и ученые во всем мире работают над улучшением обеспечения безопасности данных. Если бы они объединились для поддержки глобальной сети Советов по кибербезопасности, то их усилия могли бы способствовать защите от киберугроз как для людей, так и для учреждений.

Все, что необходимо, — это решимость действовать, желание экспериментировать с новыми моделями управления кибербезопасностью и признание того, что нам следует извлекать уроки из истории.