{215}. И это{216}, между прочим, то, что хотят сохранить сторонники сетевого нейтралитета.
Я предвижу, что в итоге мы придем к апогею компьютеризации и связываемости. Потом начнется движение в обратном направлении. И этот процесс будет регулироваться не рынком, а законодательными нормами и политическими решениями, продиктованными идеей, что безопасность и благосостояние общества стоят выше интересов корпораций и отдельных отраслей промышленности. В результате произойдут серьезные социальные сдвиги, и многим будет трудно с этим смириться, но от этого зависит наша безопасность.
С этого момента мы начнем принимать осознанные решения относительно того, что и как нам объединять и связывать. Можно провести аналогию с атомной энергетикой. В начале 1980-х гг. мы наблюдали бурное развитие этой отрасли, после чего поняли, что хранить ядерные отходы трудоемко и опасно. Сегодня мы по-прежнему используем атомную энергию, но более тщательно продумываем, когда и где строить атомные электростанции, существует ли альтернатива этому. Когда-нибудь то же самое произойдет с компьютеризацией.
Но не сегодня. Пока еще мы переживаем «медовый месяц» в области объединения систем. Правительства и корпорации придавлены потоком наших данных, и лихорадочная погоня за подключением всех и вся к интернету подстрекается отдельными субъектами, стремящимися обрести власть и захватить долю рынка.
Глава 7Как мы можем защитить интернет+
Собственно говоря, технологии, удовлетворяющие всем принципам, перечисленным в предыдущей главе, уже существуют. Да, остаются уязвимости. Да, появляются вопросы относительно удобства использования некоторых предлагаемых решений. Однако в общем и целом я говорю о разумных принципах безопасности, которые можно было бы начать внедрять уже сегодня, если бы у компаний был стимул.
Нам нужно создать такой стимул, и сделать это можно с помощью сильной государственной политики. Политика может оказывать влияние на общество в четырех базовых аспектах{217}. Первый из них – ex ante (до события [лат.]), «профилактический»: это правила, соблюдение которых предотвращает нежелательные события. К таким правилам относятся технические регламенты на те или иные виды продукции, сертификаты качества товара, лицензии на осуществление того или иного вида деятельности, тестирование специалистов, а также использование передового опыта. Сюда же можно отнести выделение субсидий и предоставление налоговых льгот за должное ведение дел. Второй базовый аспект – ex post (по факту [лат.]), «постфактум»: меры взыскания за действия, повлекшие за собой нежелательные последствия. К таким мерам относятся наложение штрафов и привлечение к материальной ответственности. Третий базовый аспект предполагает прозрачность информации и подкрепляется законами о маркировке продукции, созданием специализированных агентств по тестированию и оценке качества товаров и услуг, взаимодействием между членами правительства и представителями промышленности и законами о раскрытии информации о нарушениях. (Какие-то меры, связанные с раскрытием информации, могут быть ex ante, какие-то – ex post.) Четвертый базовый аспект – меры, влияющие на среду. К ним относятся создание продуманной рыночной инфраструктуры, финансирование исследований и образования в этой области, использование контрольных закупок для улучшения качества продукта. Это инструментарий. Это то, с чем нам нужно работать.
Политические меры направлены не столько на безопасность, сколько на создание стимулов безопасного поведения. Другими словами, суть их может состоять в том, чтобы слабую защищенность сделать дорогой и невыгодной или (реже) снизить расходы на безопасность.
Проведение политических решений сопряжено с процессом правоприменения. Соблюдение стандартов – зона ответственности правительства, профессиональных сообществ, промышленных групп и других заинтересованных в должном результате организаций. Существует четыре основных способа обеспечения политики безопасности интернета+. Первый способ: применение нормативов и передового опыта. Для групп защиты прав потребителей, представителей СМИ и акционеров корпораций нормативы – инструмент, позволяющий привлекать недобросовестные компании к ответственности. Второй способ: стимулирование к добровольным действиям в области защиты, применение саморегулирования. Некоторые промышленные предприятия и профессиональные организации самостоятельно разрабатывают стандарты и следуют им. Это укрепляет доверие со стороны потребителей и создает защитный барьер от новых конкурентов. Третий способ: судебное разбирательство. Если компании будут привлекаться к ответственности за причиненный ими ущерб, они станут намного серьезнее относиться к вопросам безопасности. Четвертый способ: воздействие через регулирующие органы. Государственные структуры, обладающие полномочиями налагать на организации штрафы, требовать отзыва их продукта с рынка или устранения дефектов, способны обеспечить выполнение стандартов.
Политические соображения могут подтолкнуть нас к принятию определенного пакета решений. В отличие от тех, кто отдает предпочтение рыночным инициативам, я убежден, что именно правительству должна отводиться ведущая роль в вопросах безопасности. В качестве дополнительных мер могут применяться документы рекомендательного характера, добровольное внедрение стандартов, основанных на передовом опыте, а также международные соглашения с участием нескольких заинтересованных сторон. Но оставим эти темы для главы 8. Сейчас сосредоточимся на «как», оставляя за рамками рассуждения о том, «кто» будет все это делать.
Ни одну из предложенных в этой главе мер нельзя считать достаточной. Проблему не решит ни внедрение минимальных стандартов безопасности, ни введение материальной ответственности. И это не страшно, потому что все меры, о которых речь пойдет дальше, будут работать в комплексе, иногда дополняя друг друга, а иногда противореча друг другу. Иначе никак, если мы действительно собираемся сделать интернет+ безопасным.
В первую очередь нам нужно разработать актуальные стандарты для большинства принципов, названных и раскрытых в главе 6.
Я умышленно использую термин «стандарт», а еще я вкладываю в него политический смысл. Необходимо различать правила, обязательные к исполнению, и стандарты, имеющие вариативный характер и основывающиеся на принципах. Стандарты предоставляют выбор или свободу действий, они могут очерчивать круг факторов, которые следует учитывать, кроме того, стандарты корректируются в зависимости от обстоятельств. Например, если правило звучит так: «Максимальная скорость при снегопаде составляет 35 миль в час», то стандарт может быть сформулирован следующим образом: «Соблюдайте осторожность в снежную погоду». Если говорить о безопасности интернета+, то среди жестких правил могут быть, например, такие: «Потребители должны иметь возможность проверять свои персональные данные» или «Производитель устройства должен обеспечить его безопасное функционирование». Стандарт, предписывающий владельцу базы данных «соблюдать осторожность» при их защите, оставляет простор для интерпретации, кроме того, смысловое содержание стандарта может меняться в зависимости от технологий.
Стандарт интернета+ может содержать такой принцип: производителям устройств интернета вещей необходимо «предпринимать все возможные действия для того, чтобы их продукция была защищена». Возможно, звучит слабовато, но это настоящая правовая норма. Если устройство из области интернета вещей подверглось взлому в результате использования изготовителем незащищенных протоколов, отсутствия шифрования данных или разрешения пользователям применять пароли, установленные по умолчанию, то получается, что производитель «не предпринял все возможные действия». Если изготовители устройства сделали все, что предписывалось, и даже больше, но хакер нашел уязвимость, которую они не сумели предвидеть, изготовителей нельзя считать виновными.
Нам, скорее всего, понадобятся и правила, и стандарты. Однако выполнение стоящих перед нами задач зависит от степени гибкости стандарта. На мой взгляд, в динамичном мире безопасности интернета+ большинство норм будут существовать в форме стандартов, а не жестких правил.
Возникнет необходимость в создании стандартов для разных категорий вещей. Например, подход к безопасности холодильника будет отличаться от подхода к безопасности одноразовой лампочки. Если лампочка имеет уязвимость, проще выбросить ее и купить новую (возможно, потребовав денежную компенсацию от производителя). С холодильником так не поступишь – это дорогое устройство, да и производителей холодильников меньше, чем производителей лампочек. Ввести стандарты для ограниченного числа производителей не составит большого труда.
Как правило, намного эффективнее фокусироваться на результатах, чем на процессах. Это называется регулирование, основанное на результатах{218}. Оно все чаще применяется в самых разных областях – строительстве, сфере продовольственной безопасности, техносфере. Именно поэтому стандарт не должен предписывать методы установки патчей на тот или иной продукт. Это слишком узкий вопрос для того, чтобы правительство озадачивалось его решением, особенно в условиях быстроразвивающейся технологической среды. Правильнее поставить конкретную цель – уязвимости в продуктах из мира интернета вещей следует устранять быстро и безопасно – и дать производителям возможность придумать, как этого добиться. Регулирование, основанное на результатах, оживляет инновации, а не подавляет их. Сравните такой подход с требованием добиться к следующему году эффективности бытовых приборов на x%, сопровождаемым конкретным техническим решением.