Безпека як потреба людства. Вступ до кібербезпеки.

Що таке безпека? Концепція, психологія, філософія, етимологія безпеки. Історичні, юридичні, філософські передумови. Поява кібернетики. Виникнення інформаційної та кібернетичної безпеки. Безпекове мислення, культура, цінності. Цей матеріал є частиною курсу “Основи кібербезпеки” від KR. Laboratories.

У чому полягає суть та цінність безпеки?

Безпека – це стани, норми, рівні, механізми захищеності

Безпека – це центральне поняття життєдіяльності. Об’ємна і багатогранна категорія, яку досліджують різні науки, такі як: філософія, психологія, соціологія, політологія, кримінологія, право, економіка, військова справа та багато інших.

Безпека охоплює майже усі аспекти нашого життя: матеріальні, морально-етичні, фінансові, юридичні, соціально-політичні, інтелектуальні, технічні тощо. Вона існує на всіх рівнях – світоглядному, концептуальному, організаційному, технологічному.

Безпеку як багатогранне і всеохоплююче явище можна поділити на такі складові:

1. Духовно-моральна (психологічна) безпека.
2. Демографічна безпека.
3. Соціальна безпека.
4. Екологічна безпека.
5. Політична безпека.
6. Військова (оборонна) безпека.
7. Економічна (фінансова) безпека.
8. Інформаційна безпека.
9. Технологічна, кібернетична безпека (кібербезпека).

Безпека – це базова потреба людства

Потреба у безпеці – актуальна від найдавніших часів до сьогодення. Це фундаментальна, базова потреба, яка вконструйована в тіло і психіку людини й продиктована біологічною природою. Тому що, безпека – це стійкість, постійність, структурованість, системність, визначеність, злагодженість, узгодженість, результативність.

Людина перебуває у середовищі постійної небезпеки. Довкола нас існують різноманітні перешкоди і дестабілізуючі фактори. Щомиті люди стають об’єктами різноманітних загроз – екологічних, стихійних, техногенних. Злочини, нещасні випадки, травми, самогубства, війни і терористичні акти, голод, репресії, епідемії – все це є проявами небезпеки.

Саме тому, значення безпеки є глобальним і всеохоплюючим. Безпека – це наш природній імунітет. Ідея безпеки = ідея життя, ідея виживання.

“Піраміда” американського психолога Абрагама Маслоу ставить безпеку на друге місце в ієрархії всіх людських потреб. На думку вченого, безпека здоров’я, майна, майбутнього є одними з найважливіших в системі цінностей людини. Відчуваючи себе захищеною, людина зможе перейти до інших потреб та успішно розвиватися.

У перекладі з давньогрецької, слово “безпека” означає – володіти ситуацією, попереджати. Латинське “securitas” перекладається як – “без турботи і страху”. За мовознавцем Володимиром Далем, “безпека” – це  збереженість, надійність. В українців досі зберігся вислів “Береженого Бог береже!”. Бути береженим – означає бути безпечним, бути господарем свого життя.

У наших пращурів слов’ян побутував окремий символ “бережа”, котрий уособлював богиню-заступницю Берегиню (Оранту, Богородицю) та символізував – захист персонального життя, захист долі. Цей знак наші пращури наносили на вишивках, предметах побуту, зброї і обладунках, на своїх домівках, щоб відвернути лихо та привернути злагоду і удачу.

Отже, рівень особистої безпеки прямопропорційно впливає на благополуччя і добробут. Відтак, безпека – це основа і запорука успіху.

Безпека як управління ризиками, загрозами, резервами, ресурсами

Будь-яка система, інфраструктура чи процес – включають безпеку як обов’язкову складову.

Тому що, безпека допомагає виявляти, оцінювати, знешкоджувати, запобігати та прогнозувати потенційні ризики, втрати і вразливості, загрози, проблеми, слабкі ланки тощо.

Безпека – це постійний аудит і контроль. Це мотивація, аналіз, планування, вдосконалення, зростання, покращення. А отже, досягнення поставлених цілей і завдань у будь-якій сфері.

Безпека – це законність, гармонійність, успішність

Безпека – це закони, свободи, конституційні права і обов’язки людей. Це стабільність і впевненість.

Безпека – як “протиотрута” брехні й обману, насильству, нестабільності, несправедливості, всьому, що призоводить до розвалу і дестабілізації.

У 1994 році в ООН була проголошена концепція “human security” (особиста безпека), яка визначила базові матеріальні потреби та людську гідність найвищими пріоритетами, включаючи емансипацію (звільнення) від будь-якої залежності, обмеження, переслідування. Результатом “особистої безпеки” є такі складові як: гармонія, здоров’я, розум, гнучкість, досвід, достаток, забезпеченість.

Стародавні філософи, такі як Арістотель й Спіноза, писали, що ідеальне суспільство немислиме без забезпечення безпеки та прав громадян, які грунтуються на рівності, дотриманні людських прав та достоїнств. Держава, на їх думку, має виступати гарантом цих свобод та безпечного існування. Власне, держави початково і створювалися задля захисту нації людей від зовнішніх загроз та ворогів.

Рано чи пізно, кожна держава приходила до потреби систематизувати закони та звичаї й регулювати ними суспільні відносини, що гарантувало б мирне співіснування й злагоду. Одним з найдавніших прикладів кодексу права є давньоіндійський манускрипт “Закони Ману” (II ст. до н.е.), у якому було закладено індоєвропейські принципи судочинства, правила шляхетності, додержання традицій.

Одним із значущих правових документів Давньої України є “Руська Правда”, складена в Києві у X-XI століттях на основі прадавнього звичаєвого права. Її головним завданням було дати можливість народу – боронити свої права на життя, здоров’я, майно, а судові — підставу до справедливого вироку. Характерною прикметою “Руської Правди” була еволюція судової влади в бік гуманності – наприклад, заміна смертної кари грошовим покаранням.

Ще однією пам’яткою є Конституція Пилипа Орлика 1710 року (“Пакти і Конституції прав і вольностей Війська Запорозького”), де було відбито правові ідеали запорожців – громада, козацька рада виступала основним джерелом влади. Також було проголошено національну безпеку – повна (фізична та духовна) незалежність від будь-яких зовнішніх сторін, зокрема Московії.

У сучасній Конституції України чітко прописані статті, які гарантують кожному громадянину інформаційну свободу та безпеку:

• Стаття 30. Кожному гарантується недоторканність житла. Не допускається проникнення до житла чи до іншого володіння особи, проведення в них огляду чи обшуку інакше як за вмотивованим рішенням суду.
• Стаття 31. Кожному гарантується таємниця листування, телефонних розмов, телеграфної та іншої кореспонденції. Винятки можуть бути встановлені лише судом у випадках, передбачених законом, з метою запобігти злочинові чи з’ясувати істину під час розслідування кримінальної справи, якщо іншими способами одержати інформацію неможливо.
• Стаття 32. Ніхто не може зазнавати втручання в його особисте і сімейне життя, крім випадків, передбачених Конституцією України. Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
• Стаття 33. Кожному, хто на законних підставах перебуває на території України, гарантується свобода пересування, вільний вибір місця проживання, право вільно залишати територію України, за винятком обмежень, які встановлюються законом. Громадянин України не може бути позбавлений права в будь-який час повернутися в Україну.
• Стаття 34. Кожному гарантується право на свободу думки і слова, на вільне вираження своїх поглядів і переконань. Кожен має право вільно збирати, зберігати, використовувати і поширювати інформацію усно, письмово або в інший спосіб — на свій вибір. Здійснення цих прав може бути обмежене законом в інтересах національної безпеки, територіальної цілісності або громадського порядку з метою запобігання заворушенням чи злочинам, для охорони здоров’я населення, для захисту репутації або прав інших людей, для запобігання розголошенню інформації, одержаної конфіденційно, або для підтримання авторитету і неупередженості правосуддя.
• Стаття 40. Усі мають право направляти індивідуальні чи колективні письмові звернення або особисто звертатися до органів державної влади, органів місцевого самоврядування та посадових і службових осіб цих органів, що зобов’язані розглянути звернення і дати обґрунтовану відповідь у встановлений законом строк.
• Стаття 50. Кожен має право на безпечне для життя і здоров’я довкілля та на відшкодування завданої порушенням цього права шкоди. Кожному гарантується право вільного доступу до інформації про стан довкілля, про якість харчових продуктів і предметів побуту, а також право на її поширення. Така інформація ніким не може бути засекречена.
• Стаття 54. Громадянам гарантується свобода літературної, художньої, наукової і технічної творчості, захист інтелектуальної власності, їхніх авторських прав, моральних і матеріальних інтересів, що виникають у зв’язку з різними видами інтелектуальної діяльності. Кожний громадянин має право на результати своєї інтелектуальної, творчої діяльності; ніхто не може використовувати або поширювати їх без його згоди, за винятками, встановленими законом.
• Стаття 59. Кожен має право на професійну правничу допомогу. У випадках, передбачених законом, ця допомога надається безоплатно. Кожен є вільним у виборі захисника своїх прав.
• Стаття 64. Конституційні права і свободи людини і громадянина не можуть бути обмежені, крім випадків, передбачених Конституцією України.

Безпека – це добробут. Відсутність безпеки як загроза для існування

Відсутність або порушення безпеки – це прямопротилежний процес, який призводить до численни помилок, зловживань, втрат, ризиків, збитковості та їх незворотніх наслідків.

Відсутність безпеки – це відсутність стратегії і методології розвитку. А відтак – падіння успішності, ефективності, продуктивності, погіршення репутації.

Там, де немає безпеки – настає хаос і безкарність. А разом з тим – війни, криза, корупція, зубожіння, занепад, деградація. Отже, виникає загроза для існування.

Натомість, там, де безпека і людські права на першому місці – там захищені, щасливі і успішні люди працюють на благо Батьківщини та приносять користь своєму народу й усьому світу.

Варто додати, що ми говоримо не про тоталітарну і централізовану безпеку, як по роману Джорджа Орвелла “1984”, а безпеку – як гармонійний, природний, захищений устрій. Безпеку відкриту – OpenSource, яку творить сам народ, а держава лише постає скріплювачем і проявленням його волі. 

У багатьох процвітаючих країнах з розвинутим Інститутом безпеки спостерігається високий рівень життя, майже відсутні внутрішні загрози і конфлікти, висока народжуваність, низькі безрозбіття, смертність і злочинність, наявність інтелектуальної еліти. Приклади: Швеція, Норвегія, Люксембург, Швейцарія, Австрія, Австралія, Нідерланди, Канада, Японія. Ці країни одними з перших включили концепцію “human security” у свою внутрішню політику.

Безпека – це ще й особисте вміння критично мислити, зважувати, аналізувати ситуацію, приймати мудрі рішення, системно долати перешкоди, грамотно вирішувати суперечки й стресові ситуації, працювати над своїми помилками та формулювати правильні висновки.

Таким чином, без безпеки неможливий ані суспільний, ані особистий поступ.

Що таке інформаційна та кібербезпека? У чому їх цінність?

Історія інформаційної безпеки

Світ постав зі Слова. В основі світобудови лежать два початки: інформація та її носії. Життя – це по суті теж інформаційна система (ІС), де людина – комп’ютер, а людське ДНК – носій закодованої інформації, наших ген, які передаються з покоління у покоління як спадок.

Важливим аспектом функціонування будь-якої інформаційної системи є забезпечення захисту та цілісності інформації.

Відомий вислів стверджує: “Хто володіє інформацією, той володіє світом”.  У всі часи люди намагалися отримати доступ до секретної, таємної, закритої інформації. Полководці, воїни, князі і вожді прагнули дізнатися, що думає і планує ворог, скільки сил у противника, де локалізується опонент й коли збирається напасти. Відправляли гінців-розвідників в далекі і небезпечні подорожі. Інформаційна безпека і гігієна вже тоді були на вагу золота.

Важливо було не лише добути чи передати, а й попередити, захистити інформацію від розкриття, поширення, перекручення. Люди використовували найрізноманітніші способи та засоби, вигадували спеціальні жести, шифри, стенограми.

Давньогрецький історик Плутарх писав так про принцип шифрування інформації у еллінів:

“Відправляючи до місця служби начальника флоту або сухопутного війська, ефори (вищі посадові особи спартанської держави) беруть дві круглі палиці абсолютно однакової довжини і товщини. Одну вони залишають собі, іншу передають від’їжджаючому. Ці палиці називають скиталами. Коли ефорам потрібно повідомити якусь важливу таємницю, вони вирізують довгу і вузьку, на зразок ременя, смужку папірусу, намотують її на свою скиталу, не залишаючи на ній жодного проміжку, так щоб вся поверхня палиці була охоплена цією смугою. Потім, залишаючи папірус на скиталі у тому вигляді як він є, вони пишуть на ньому те, що потрібно, і написавши, знімають смугу й без палиці відправляють її воєначальнику. Так як букви на ній стоять без будь-якого зв’язку, розкидані в безладді, прочитати написане він може тільки взявши свою скиталу і намотавши на неї вирізану смугу, розташовуючи її звивини в колишньому порядку, щоб водячи очима навколо палиці і переходячи від попереднього до наступного, скласти перед собою зв’язане повідомлення. Смуга папірусу зветься, як і дерев’яна палиця, “скиталою…“.

Скитала стала одним з найдревніших способів криптографії, історики назвали її “шифром давньої Спарти”. Дослідники зазначають, що скитала використовувалася у війні Спарти проти Афін наприкінці V століття до н.е.

Згадаємо “Шифр Цезаря”, який застосовував римський імператор Юлій Цезар для приватного листування. В його основу була покладена система підстановки. Суть проста: літери алфавіту зсуваються на кілька позицій. Таким чином, літера “А” замінюється на “Г”, “B” на “Д” й так далі. Для непосвяченого такий текст виглядав “абракадаброю”. Щоб розшифрувати послання потрібно було скористатися спеціальним диском – це пристрій, що складається із зовнішнього та внутрішнього дисків, які дозволяють зашифрувати повідомлення з допомогою шифру простої заміни. “Шифр Цезаря” довго вважався надійним, адже його тривалий час не могли розшифрувати.

Яскравим прикладом захисту інформації є німецька шифрувальна машина “ENIGMA”, яка була сконструйована на основі іншого шифрувального апарарату – “Дисків Джефферсона”. Можна було подумати, що “Енігма” щось друкувала і комусь передавала. Насправді вона зашифровувала повідомлення з допомогою тих же шифрувальних дисків. Усі повідомлення, які потрібно було зашифрувати, виводилися на спеціальній панелі у вигляді лампочок, що спалахують: натискаєш на клавішу “Т” – отримуєш лампочку “О”, записуєш отриманий символ. Третій Рейх випустив близько сотні тисяч різних модифікацій цієї шифрувальної машини. Останню модифікацію “Енігми” вдалося взламати геніальному британському математику, першому хакеру – Алану Тюрингу й тим самим переламати хід Другої світової війни.

Перші стандарти інформаційної безпеки

Починаючи з XX століття, з винайденням електронно-обчислювальних машин (ЕОМ), інформаційна безпека набуває стратегічного значення. При міністерствах оборони різних країн створювалися науково-дослідницькі центри, інститути та лабораторії з вивчення інформаційних технологій, де велику увагу відділяли створенню криптографічних алогритмів і шифруванню даних.

У 1960-х роках в США при Массачусетському та Стенфордському інститутах започатковуються перші технологічні клуби, комуни та гуртки хакерів-інженерів ЕОМ. Вони займалися розробкою програмного забезпечення, експериментуванням з новими комп’ютерними технологіями, обміном знаннями та ідеями, а також створенням перших мережевих систем і основ для сучасного інтернету. Хакери також виступали за децентралізовані інформаційні системи, конфіденційність і відкрите програмне забезпечення.

В кінці 1960-х – початку 1970-х відбувається Науково-технічна революція. В світ випускають перший мікропроцесор Intel 4004, а в пресі з’являється термін “Кремнієва долина” (Silicon Valley) – унікальний технологічний центр в штаті Каліфорнія, на території затоки Сан-Франциско. Назва пішла від кремнію, з якого виробляли мікропроцесори. Саме в “Кремнієвій долині” зародилися такі технологічні гіганти як: Google, Amazon, Apple, Microsoft та інших. Одним з ключових питань над якими задумувались вендори – це безпека і захищеність їх продуктів.

У 1985 році Міноборони США видало “Помаранчеву книгу” (Orange Book), названу за кольором обкладинки, у якій були представлені критерії безпеки комп’ютерних систем. Вона включала близько 10-ти документів. В ній надійна система визначається як “система, яка використовує достатні апаратні та програмні засоби, щоб забезпечити одночасну обробку інформації різного ступеня секретності групою користувачів без порушення прав доступу”. Вперше на загальний розгляд було винесено таке поняття як “політика безпеки” – набір законів, правил і норм поведінки, які визначають як треба обробляти, захищати та поширювати інформацію. В “Помаранчевій книзі” виділялись три ролі: системний адміністратор, системний оператор і адміністратор безпеки.

На основі “Помаранчевої книги” у подальшому виникне чимало важливих стандартів інформаційної безпеки, зокрема ISO/IEC 15408 та ISO/IEC 27000.

Таким чином, Інформаційна безпека (information security) перетворилася в самостійну і багатодисциплінарну галузь, основними завданнями якої є захист інформації і її носіїв, захист інформаційних вузлів та систем. Вона охоплює: комунікацію, програмні (Software) та апаратні (Hardware) засоби.

Об’єктами інформаційної безпеки є: 

• Соціальні вузли – люди, громади, суспільні верстви;
• Технічні вузли – інформаційні системи і підсистеми, електронні ресурси, канали телекомунікації, комп’ютерні мережі, елементи інфраструктури.

Інформаційну безпеку можна поділити на: Фізичну, Персональну та Організаційну.

Цілями інформаційної безпеки є: виявлення, запобігання, нейтралізація, усунення, локалізація, відбиття, знешкодження, знищення загроз, мінімізація ризиків.

Основоположниками були сформульовані три принципи інформаційної безпеки (тріада CIA):

1. Конфіденційність (Confidentiality) – захист інформації від несанкціонованого доступу.
2. Цілісність (Integrity) – захист інформації від несанкціонованих змін.
3. Доступність (Availability) – забезпечення безпечної передачі та вчасного, зручного отримання інформації.

Загрози інформаційної безпеки мають чимало форм, умовно їх можна поділити на: 

• Апаратні – це тип загроз, джерело яких є апаратне забезпечення. До них належать: прослуховування, відеоспостереження, електромагнітне випромінення, відключення, пошкодження, незаконне підключення та інше.
• Програмні – це тип загроз, джерелом яких є програмне забезпечення. Наприклад: злами, ін’єкції, атаки, перехоплення, відмова в обслуговуванні (DOS/DDOS), шкідливе ПЗ (Malware), помилки коду, системні збої, зависання, знищення і втрата даних, некоректні права доступу, хибна конфігурація (misconfiguration) та інші.
• Антропогенні – це тип загроз, які пов’язані безпосередньо з людьми (від грец. ανθρωπος — людина). Це дезінформація, шпигунство, вербування, підкуп, шантаж, крадіжки, розкриття або викривлення інформації, будь-які людські помилки та необережні дії. Організаторами антропогенних загроз можуть виступати різноманітні групи: диверсанти, екстремісти, кримінальні структури, шахраї, зловмисники, недобросовісні партнери, агенти спецслужб і так далі. Подібні загрози можуть мати і ненавмисний характер, в такому випадку їх джерелом можуть бути: оператори, співробітники, технічний або обслуговуючий персонал тощо.
• Стихійні – це тип загроз, які викликані певними надзвичайними обставинами природнього або штучного характеру. Аварії, диверсії, стихійні лиха, природні і техногенні катастрофи, пожежі, повені, землетруси, урагани, епідемії та інше.

15 жовтня 2021 року в Україні ввели рішення РНБО “Про Стратегію інформаційної безпеки”, згідно з якою інформаційна безпека – це складова національної безпеки України, стан захищеності державного суверенітету, територіальної цілісності, демократичного конституційного ладу та інших життєво важливих інтересів людини, суспільства і держави.

Становлення і походження кібербезпеки

Початком становлення галузі кібербезпеки можна вважати Весняну комп’ютерну конференцію 1967 року в США (SJCC), організовану Віллісом Вером (1920-2013) – американським дослідником комп’ютерних технологій, ентузіастом, випускником МІТ, шанувальником конфіденційності і основоположником комп’ютерної безпеки.

У 1970 році Вілліс підготував звіт для Міноборони США – “Security Controls for Computer Systems”, у подальшому названий “Звітом Вера”. Вілліс Вер представив загальну модель комп’ютерної системи із зазначенням можливих слабких місць і способів порушення безпеки цієї системи – по суті це було перше представлення моделі загроз інформаційної безпеки. В результаті спільнота програмістів ЕОМ дізналася про проблематику комп’ютерної безпеки, а також про можливі негативні наслідки, пов’язані з експлуатацією вразливостей. Цей звіт стане основою для майбутніх концепцій кібербезпеки, зокрема стандарту NIST.

З появою інтернету, в комп’ютерному лексиконі з’явилось таке поняття як кіберпростір (cyberspace) – це віртуальне, інтерактивне, комунікативне, інформаційне середовище, яке функціонує з допомогою електронно-обчислювальних систем, електронних ресурсів та комп’ютерних мереж. Сам термін вперше згадується у науково-фантастичних творах канадця Вільяма Гібсона – “Burning Chrome” (1982) та “Neuromancer” (1984).

Кіберпростір породив поняття кіберкультура (cyberculture) – це соціокультурне явище, яке формує цифрову спільноту і ідентичність. Кіберкультура за своїм характером є подібна субкультурі, адже продукує різні форми самовираження, як от: мистецтво, музика, література, кінематограф, дизайн, світогляд, звички, навички. Однак її медіатором постає віртуальне середовище. Учасники комунікують між собою через інтернет – соцмережі, месенджери, веб-сайти, форуми, блоги, чати, стріми, групи, канали. Яскравими носіями кіберкультури є: хакери, шифропанки (криптоанархісти), кіберпанки, кракери, фрікери, хактивісти, геймери, вікіпедисти, шанувальники GNU/OpenSource ПЗ та інші групи.

Сам термін “кібер”(cyber) походить від грецького κυβερ та означає – навігатор. А слово “кібернетика” від грецького κυβερνητική – мистецтво керувати. У давнину “кіберами” звали керманичів, правителів, капітанів морських кораблів. Вони згадуються в праці давньогрецького філософа Платона – “Закони” (354 р. до н.е.).

У 1830 році французький фізик і математик Андре-Марі Ампер (1775-1836) ввів поняття “кібернетика”, що означало – мистецтво керувати державою та передбачало забезпечення усіх благ її громадянам.

У 1948 році виходить у світ фундаментальна книга американського математика Норберта Вінера (1894-1964) – “Кібернетика: або Контроль і комунікація у тварин і машин”, де науковець вперше вжив термін “кібернетика” як наука для регулювання/керування/адміністрування будь-яких організмів, включаючи сервоорганізми – механічні, гідравлічні, електричні, електронні. З того часу кібернетика вивчає зберігання, відтворення і передачу інформації та тісно асоціюється з інформаційними технологіями й комп’ютерними системами.

Кібербезпека на сторожі кіберпростору

Згідно науково-технологічної парадигми, ми живемо в епоху VI Економічного укладу (біо-, нано-, інфо-, когнотехнології), яка передбачає повну цифрову трансформацію та автоматизацію процесів. Відповідно, об’єкти інфраструктури почали мігрувати кіберпростір. А разом з тим почали з’являтися нові ризики і загрози – кібератаки, кіберінциденти, кібершпигунство, кібертероризм.

Новою галуззю, яка покликана захистити кіберпростір – стала кібернетична безпека, або кібербезпека.

Кібербезпека (cybersecurity) – це захист цифрових технологічних активів, мережевих систем та об’єктів ІТ-інфраструктури у кіберпросторі. Кібербезпека включає методики, техніки, тактики, інструменти для комплекного забезпечення кіберзахисту та своєчасного виявлення, запобігання і нейтралізації загроз на всіх рівнях комп’ютерної мережевої моделі.

Основними напрямками кібербезпеки є:

1. Захист ком’ютерних мереж (Network Security)
2. Захист додатків і програмного забезпечення (Application Security)
3. Захист веб-сайтів і електронних ресурсів (Web Application Security)
4. Захист мобільних пристроїв, додатків і систем (Mobile Security)
5. Захист об’єктів критичної інфраструктури (SCADA Security)
6. Захист інтернету речей (IoT Security)

Кібербезпека окрім захисту також включає кіберрозвідку та контрзаходи:

• Кіберрозвідка – це збір і добування інформації усіма можливими цифровими засобами: інтернет, радіоінженерія, супутники, дрони, аудіо- і відеоспостереження, стільниковий зв’язок.
• Контрзаходи – це будь-які попереджувальні операції й дії, заходи інформаційного впливу та кібернетичного спротиву з метою послабити або недопустити/випередити майбутні потенційні атаки/загрози.

Якщо порівнювати кібербезпеку та інформаційну безпеку, то остання є більш старішою, глобальною та академічною галуззю. Вона виникла ще тоді, коли кіберпростору як такого не існувало і все базувалося на теоретичних основах. Кібербезпека ж активно застосовує та втілює ці теоретичні основи на практиці. Кібербезпека вимагає бездоганного знання технологій і активну взаємодію з комп’ютерними пристроями, системами і мережами. Можна сказати, що інформаційна безпека – це голова, а кібербезпека – руки.

Сучасний розвиток кібербезпеки

На сьогодні існує безліч професій та дисциплін, з яких складається кібербезпека, ось деякі з них:

• Vulnerability Management – фокусується на пасивному і активному зборі інформації, аналітиці, пошуку, вивявленні, оцінці і систематизації вразливостей електронних систем та ресурсів. Включає практики IT Аудиту, Security Operation Center (SOC).
• Penetration Testing – фокусується на моделюванні кібератак з метою відтворити дії зловмисників та перевірити стійкість кіберзахисту. Застосовуються Offensive Security практики, включаючи Ethical Hacking, Social Engineering, Red Team.
• Malware Analysis – фокусується конкретно на дослідженні комп’ютерних вірусів і шкідливого програмного забезпечення, аналізі коду. Включає чимало лабораторної роботи. Застосовується Reverse-інженерія.
• Threat Intelligence – фокусується на виявленні та знешкодженні кіберзагроз, вивчає та систематизує кібератаки і кіберзлочини. Включає постійне спостереження і моніторинг, оперативно-розшукову роботу, мережеву розвідку, деанонімізацію. Застосовується OSINT.
• Digital Forensics – фокусується на ретельному вивченні кіберзлочинів і збору доказів, спостереженні, пошуках і аналізу цифрового сліду, виявленні, обробці та прочитанні зашифрованої, прихованої, технічної інформації. Застосовується в Цифровій криміналістиці.

У 2001 році була заснована міжнародна некомерційна організація OWASP (Open Worldwide Application Security Project), яка здійснила величезний вплив на розвиток кібербезпеки по всьому світі. Учасниками спільноти були розроблені численні інструкції, матеріали і документації, які у подальшому стали стандартами. Наприклад: OWASP TOP-10, OWASP Application Security Verification Standard (ASVS), OWASP Testing Guide та багато інших.

У тому ж 2001 році Європейська Комісія представила перший документ «Мережева та інформаційна безпека: пропозиція щодо підходу до європейської політики», в якому окреслено підхід до проблеми кібербезпеки.

8 листопада 2001 року Рада Європи підписала так-звану Будапештську конвенцію – перший міжнародний договір, спрямований на боротьбу з інтернет-злочинністю та комп’ютерною злочинністю (кіберзлочинністю) шляхом гармонізації національних законів, удосконалення методів розслідування та розширення співпраці між державами.

У березні 2004 р. створено Агентство Європейського Союзу з мережевої та інформаційної безпеки (ENISA), яке активно співпрацює з Європолом, Європейським центром кіберзлочинності та іншими спеціалізованими структурами ЄС.

У лютому 2005 р. Рада ЄС прийняла Рамкове рішення 2005/222/JHA про напад на інформаційні системи, встановивши мінімальні правила щодо визначення кримінальних злочинів і санкцій.

У травні 2007 р. Європейська комісія представила документ «На шляху до загальної політики щодо боротьби з кіберзлочинністю». У березні 2009 р. опубліковано повідомлення Європейської комісії «Захист Європи від широкомасштабних кібератак та зривів: підвищення готовності, безпеки та стійкості», в якому визначено проблеми, що потребують негайного реагування.

В лютому 2013 р. була затверджена стратегія кібербезпеки «Стратегія кібербезпеки Європейського Союзу: відкритий та безпечний кіберпростір». З тих пір досі відбувається інтенсивний розвиток кібербезпеки в різних країнах світу.

У 2015 році некомерційна американська організація MITRE створила фреймворк-матрицю з кіберзахисту під назвою MITRE Att&ck, яка містить велику кількість алгоритмів, сценаріїв, методик, технік атак і ризиків та допомагає командам безпеки в усіх секторах захищати свої організації від відомих й невідомих загроз.

27 січня 2016 року в Україні було створено Національний координаційний центр кібербезпеки (НКЦК), який покликаний координувати роботу усіх державних інституцій, які займаються кіберзахистом.

14 квітня 2016 року в межах законодавства Європейського Союзу був прийнятий “Загальний регламент про захист даних” (General Data Protection Regulation, GDPR), який був покликаний захистити персональні дані резидентів ЄС. Цей закон вплинув на чимало соцмереж і додатків, які збирали дані користувачів без їх відома.

У 2017 році в Україні був прийнятий Закон “Про основні засади забезпечення кібербезпеки України”. Кібербезпека була проголошена станом захищеності життєво важливих інтересів людини, громадянина, суспільства та держави, який забезпечує сталий розвиток інформаційного суспільства та цифрового комунікативного середовища, виявлення і нейтралізацію загроз національній безпеці.

8 серпня 2024 року Комітет ООН схвалив проєкт глобальної Конвенції про кіберзлочинність. Під час Генеральної Асамблеї ООН восени за неї голосуватимуть представники 193 країн-членів. Якщо її підтримає більшість, розпочнеться процес ратифікації, у ході якої уряди 40 країн мають підписати конвенцію. Документ має закласти основу для співпраці країн у боротьбі зі злочинами в інтернеті, серед яких: незаконний доступ, перехоплення комп’ютерної інформації, електронне прослуховування, сексуальне насильство над дітьми в інтернеті та інші.

Перспективи галузі кібербезпеки

Сьогодні кіберпростір за своїм впливом та значенням впевнено наближається до фізичного. Сюжети фантастів і футурологів минулого стають реальністю. Левову частку дій та операцій людина проводить в Інтернеті: електронні книги, послуги, банки, криптовалюта, цифрові підписи, соціальні мережі, месенджери. Онлайн вдома, на роботі, на зупинці, в машині, в метро, у літаку. Всюди з нами цифровий слід. Ще 100 років тому усе це здавалось примарним.

Разом з тим, криміногенне середовище теж поступово оцифровується. Щороку мільйони людей стають жертвами кібербандитизму і шахрайства. Десятки тисяч нових зразків шкідливого ПЗ щодня з’являються у кіберпросторі. Фішинг, смішинг, вішинг стають серйозними загрозами для більшості користувачів. Регулярно проводяться інформаційно-психологічні атаки. Комп’ютерні мережі стають полігоном для протистоянь. Щоб убезпечитися, різні держави світу створюють цілі кіберкоаліції та розробляють власні екосистеми кіберзахисту. Міністерство оборони Сполучених Штатів офіційно визнало кіберпростір п’ятою сферою конфліктів. Кібермогутність стає зброєю нового покоління.

Отже, світ стає все більш залежним від кібербезпеки. Надання послуг із захисту даних стають новим видом послуги. Хтось створює вакцини, а хтось системи кіберзахисту, які не менш важливі. Фахівці з кібербезпеки – найзатребуваніші на ринку праці. За статистикою, у найближчі десятиліття їх просто не вистачатиме. Тому що, кібербезпека – це ніша, яка стрімко та безперервно розвивається, застосовуючи передові знання різних наук, практик, дисциплін. Постійно задіюються нові інструменти, пристрої, тактики, стратегії. З’являються нові професії, пов’язані з кібербезпекою. І цьому немає меж.

Однією з найважливіших та найперспективніших сфер застосування кібербезпеки є медицина. Медичні пристрої, апарати, системи моніторингу, імпланти і стимулятори, підключені до Wi-Fi/Bluetooth/LAN мереж, можуть стати ціллю зловмисників. В такому випадку під загрозою опиняються сотні і тисячі людських життів.

Не менш важливою є критична інфраструктура. Трубопроводи, електростанції і мережі, магістралі, аеропорти, залізничні колії, водосховища і очисні споруди, господарства – вже неодноразово зазнавали кібератак в різних куточках світу. Згадаємо атаку на нафтопровід “Colonial Pipeline” в США, в результаті чого вся система трубопроводів була виведена з ладу, автомобільні заправки працювали з перервами, а в країні запровадили надзвичайний стан.

Приорітетною є фінансова безпека. Банки, фінансові установи, криптовалютні біржі і платіжні системи перебувають під постійною загрозою організованих APT-груп (Advanced Persistent Threats), вірусів-шифрувальників, діпфейків та ботнетів. У найближчі 5-10 років ці атаки тільки посиляться.

Нові виклики безпеки несуть в собі мобільні мережі та стільниковий зв’язок (4G/5G), фунціональність яких залежать від коректної роботи програмного забезпечення, обслуговуючого персоналу та телекомунікаційного, комп’ютерного устаткування.

Штучний інтелект, машинне навчання (роботизація) та програми освоєння космосу теж вимагають посиленої кібербезпеки, але вони зараз перебувають в процесі становлення.

Таким чином, можливості та перспективи кібербезпеки безграничні. Можна впевнено сказати, що за нею майбутнє. Безпеку варто поглиблювати, популяризувати та вивчати у всіх її проявах. Нові виклики доводять, що для людства надзвичайно важливо бути захищеними.

Додаткова література

1. Ситник Г.П., Орел М.Г. Національна безпека в контексті європейської інтеграції України (2021).
2. Ліпкан В.А. Національна безпека України (2009)
3. Даник Ю.Г., Ворoбієнко П.П., Чернега В.М. Основи кібербезпеки та кібероборони (2019)
4. Ю.П. Лісовська. Кібербезпека: Ризики та заходи (2019)
5. В.В.Горлинський. Філософія безпеки і сталого людського розвитку (2011)
6. Бурячок В.Л. Інформаційна та кібербезпека: соціотехнічний аспект (2018)
7. Богуш В.М. Інформаційна безпека: Термінологічний навчальний довідник (2004)
8. Д. В. Дубов. Кіберпростір як новий вимір геополітичного суперництва (2014)
9. Ліпкан В.А. Безпекознавство (2003)
10. В. М. Богуш, В. В. Богуш, В. Д. Бровко, В. П. Настрадін. Основи кіберпростору, кібербезпеки та кіберзахисту (2020)

Автор: © Konrad Ravenstone, KR. Laboratories Research Labs