Які загрози в кіберсфері, на ваш погляд, є зараз найактуальнішими?
— Я думаю, що найсерйознішими є загрози об’єктам ядерної енергетики й промисловим системам спостереження та керування (Supervisory Control And Data Acquisition, SCADA. — Ред.). Гадаю, що в наступні кілька років ми побачимо в Європі та Україні ще більше атак, пов’язаних із системами SCADA, що задіяні в об’єктах критичної інфраструктури, особливо на підприємства енергетичного сектору, зокрема ядерні. Ключова проблема при цьому та, що зазначені системи SCADA працюють уже по 20–25 років, вони застарілі, і в разі кібератаки на об’єкт виникає майже гарантована вразливість «нульового дня», тобто ми не маємо можливості до неї підготуватися. Це вже можна було побачити в Ірані з вірусом Stuxnet. Ми знаємо, на що здатен вірус Duqu, але досі не маємо точних відомостей про тих, хто зробив Duqu 2.0. Відомо тільки те, що на його розробку мали бути витрачені значні кошти — від $50 млн до $100 млн. А ще більшою проблемою може стати те, що зараз на ринку є щось набагато потужніше. Імовірність цього дуже висока. Одна з ознак такого — нещодавні кібератаки проти США, які можна вважати невідворотними ударами на випередження.
Читайте також: Сценарії зриву виборів
Які контрдії можуть бути ефективними задля зміцнення захисту в кібернетичній сфері?
— Потрібно виконати цілу низку речей. Крім підрозділів, які безпосередньо задіяні до кіберзахисту, ми маємо ще керівні державні органи, командування поліцією та військами, а також відносно нове кіберкомандування. Нам потрібно провести перепідготовку персоналу в цих установах, усіх, хто відповідальний за реагування на атаки. Оновити їхню підтримку й постачання, а також їхні освітні програми. Тому що в разі критичної інфраструктури мусимо мати відповідне реагування в стислий термін. Тривалість кібератаки вимірюється кількома секундами, тому для довгих роздумів про захист просто немає часу. Частково цим також займаються команди реагування на комп’ютерні надзвичайні події (Computer Emergency Response Team, CERT). Крім того, ми маємо інтегрувати всі підрозділи CERT не лише в Україні чи в Європі, а й по всьому світу.
У той чи інший спосіб це необхідно зробити в майбутньому. Тому я вважаю головними завданнями освіту та нарощування сил реагування. До всього ми поступово рухаємося від суто військових до змішаних кібервійськових систем. Тому будь-які командні структури в майбутньому мають отримати компонент кіберзахисту.
Не слід забувати й про об’єкти критичної інфраструктури, хоча вони й не військові, а переважно належать до транспорту чи енергетики. Ключовою частиною будь-якого об’єкта критичної інфраструктури є механізми та їхні системи керування, вони мають бути захищеними. Що ми побачили в Україні у 2013–2014-му: критична інфраструктура була беззахисною та вразливою. І коли атаки відбувалися на об’єкти в Криму, вся національна система була під загрозою. Саме цього треба уникати, мусимо бути розумнішими. Хоча ми й досі не маємо чіткого уявлення про те, що відбулося в Криму, якщо казати про кібернетичну сферу.
Читайте також: Навшпиньки над прірвою
Як, за вашими спостереженнями, розвивається кіберзброя?
— Насамперед це новий тип озброєння, кажу про це вже останні п’ять років. Я попереджав, що ми побачимо такі атаки. Які цілі потрапили під удар? Здебільшого вокзали, станції, транспорт. Тому що це збиває людей із пантелику, поширює панічні настрої. Ми вже пройшли той етап, адже тероризм також еволюціонує. Тепер уже не транспортні системи будуть пріоритетом, а енергетичні об’єкти. І якщо зловмисникам удасться знайти певні алгоритми для цих атак, їм стане дуже легко перемкнутися на інші сфери, як-от системи водопостачання чи хімічна промисловість. Навіть якщо ви матимете військові підрозділи та активну CERT-програму, цього буде недостатньо. Саме тому ми, учасники проекту CyberPOL, вважаємо, що потрібно мати симбіоз програм, що слугуватиме своєрідним містком між нашим поточним станом і футуристичним світом майбутнього, який настане за кілька сотень років.
На сьогодні в нас недостатньо сил для захисту в кіберсфері. Ми вже пройшли етап суперобчислень, пройшли квантові комп’ютери. У нас уже є Facebook, Twitter та інші соціальні платформи. Ми можемо казати, що всі електронні листи так чи інакше зламані. І тепер маємо іншу загрозу. Людям треба зрозуміти, звідки взялися великі дані (big data), як вони працюють, а головне — як працюють великі «мізки», що здатні їх обробити, адже ніхто про це не говорить. Ми розпочали проект Європейської організації з ядерних досліджень (Conseil Européen pour la Recherche Nucléaire, CERN) із його технологією розподілених мережевих обчислень і забули про нього. Тому великі дані зараз опинилися без контролю, а міжнародний контроль за інформацією більше не працює. Що станеться, коли, наприклад, уся таємна інформація потрапить у вільний доступ в інтернет? Це створить надзвичайні проблеми. На додаток ми створили ще й штучний інтелект (ШІ). Що станеться, якщо ШІ вирішить відтворити сам себе? Як ми його називатимемо? Якщо ми вважаємо, що живемо в часи ШІ, то помиляємося, це також уже минулий етап. Підтвердженням цього є вірус Duqu 2.0, який практично неможливо подолати. Він надзвичайно небезпечний, бо поширюється не лише в інтернеті, а й у промислових електронних системах. І ми зараз дуже близькі до того, щоб якісь надпотужні системи обчислень почали контролювати певні аспекти життя людей. Ризик у тому, що ШІ, здатний до самовідтворення, може вступити в певний симбіоз із такими системами квантових суперкомп’ютерів. Тож важливо казати про це зараз, адже ми мовчали 10 років тому. Важливо дивитися в майбутнє, бо якщо цього не робити, нас просто може не бути через сотню років. Тому що Росія чи Північна Корея можуть використати ці технології у своїх цілях.
Читайте також: Невидима війна
Як Україна може захистити себе від хакерських атак?
— Вашій країні потрібно розвивати систему ІТ-освіти, створити ІТ-хаб і запровадити політику для регулювання кіберсфери, причому зробити це в правильній послідовності. Ваша країна має одних із найкращих ІТ‑спеціалістів у світі. Необхідно зберегти ці українські ІТ-таланти для того, щоб вони працювали не на закордонні компанії, а на користь держави. Якщо поєднати кращих спеціалістів навіть із спроможностями вашого приватного сектору, то швидко зможете знайти правильні рішення. Поки це залишається відокремленим і поза державним управлінням, ви в зоні ризику. Це те, чим зараз нехтує Євросоюз. ЄС витрачає більше ніж €11 млрд щороку на технологічні дослідження, але повертає патентів на суму близько €100 млн. Де губиться решта? Особи, що отримують патенти, — це переважно не європейці, понад 90% їх росіяни або китайці. Схожу проблему має й Україна.
Інша, не менш важлива річ — вам доцільно створити своє командування CyberPOL. Для зупинки ворога треба мати зброю. CyberPOL і є тією зброєю, адже ви зможете інтегрувати всі міжнародні служби з національною. Таке рішення стане ідеальним для запобігання втратам інформації, контролю та технологій. Мета — отримати реальний контроль над інформацією. Ця справа дорога, але витрати можна зменшити, якщо разом підійти до вирішення проблем. Україна та ЄС мають працювати спільно для подолання таких викликів.
Однак є думка, що більший контроль над інформацією наділяє надзвичайною владою державу й порушує свободи людини…
— Призначення CyberPOL — створити умови для ефективного обміну інформацією про загрози між національними службами та підрозділами кібербезпеки, навчання, а також розробки політик для кращої регуляції в цій сфері. Тобто CyberPOL діє не проти людей, а для держави. Організація зміцнює верховенство права. І, що важливіше, головним нашим пріоритетом є захист персональних даних кожного. Знадобилося три роки, щоб дотиснути Європейську комісію ухвалити закон про захист персональних даних. І насправді більше шкоди може бути, якщо його не ввести в дію, ніж навпаки. Який із варіантів вам ліпше подобається: мати зовнішню загрозу, яку ви не здатні контролювати, чи запровадити те, що може її блокувати?
—————————–
Рікардо Барон Барецкі народився в 1968 році в Кейптауні, ПАР. Президент Європейського центру інформаційної політики та безпеки, очолював Міжнародну раду з питань політики та безпеки. Барецкі є засновником CyberPOL — міжнародної організації у сфері регулювання та охорони кіберпростору, а також генеральний директор консалтингової компанії Baretzky & Associates Limited Corporation, що займається дослідженнями глобальних ризиків і боротьбою з кіберкорупцією.