Информационные системы как источник повышенной опасности в условиях цифровизации

В эпоху индустриальной революции невозможно представить даже наипростейший бытовой процесс, который бы не задействовал информационные системы1. Немногим более 10 лет назад, когда Закон об информации, информационных технологиях и о защите информации вступил в силу, информационная система имела вполне четкое определение, под которым понималась «совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств». На сегодняшний день, когда основополагающими документами в информационном праве являются Стратегия развития информационного общества (далее – Стратегия) и Доктрина информационной безопасности (далее – Доктрина), когда человечество осознает, что живет в эпоху индустрии 4.0, информационная система стала объектом все новых и новых исследований. И этому способствует ряд правовых и технологических факторов:

– повсеместное использование информационных систем для выполнения различных функциональных процессов;

– сбор, обработка и анализ данных проводится с помощью информационных систем;

– появление новых объектов в информационном праве с развитием информационных технологий является причиной стремительного развития информационного права в части регулирования искусственного интеллекта, робототехники, кибер-физических систем и др.

В связи с этим устоявшееся понимание информационной системы требует дополнения и актуализации, поскольку на данный момент информационная система может представлять собой самостоятельный объект регулирования, выполняющий новые функции, реализация которых приводит к новым правоотношениям, которые ранее не попадали в сферу регулирования информационного права и права в целом, поскольку стали возможны лишь с развитием цифровых технологий и их применением в обществе и промышленности. Неверная работа системы может нанести как моральный вред в виде утечки данных, материальный в виде оценочной стоимости утечки таких данных, так и вред здоровью и жизни человека – в случае реали- зации угрозы или неверного функционирования на производстве.

Стратегия констатирует тот необратимый факт, что «информационные и коммуникационные технологии стали частью современных управленческих систем во всех отраслях экономики, сферах государственного управления, обороны страны, безопасности государства и обеспечения правопорядка». Безусловно, хранение и обработка данных в информационных системах должны соответствовать всем существующим правовым и техническим нормам, поскольку зачастую эти данные являются объектом права (речь идет не только о персональных данных, но и об информации, на основании которой может приниматься решение, так называемая «аналитическая информация», которая влияет на важные общественные процессы, и неверное формирование такой информации может привести к необратимым последствиям). Для недопущения подмены, искажения, блокирования, удаления, снятия с каналов связи и иных манипуляций с информацией развитие информационной инфраструктуры Российской Федерации осуществляется на уровне информационных систем и сопутствующих технологий. Но технологии развиваются и в целях повышения эффективности государственного управления, с развитием экономики и социальной сферы создаются новые системы сбора, обработки и хранения данных с использованием различных технологий получения данных – кибер-физические системы. К такой системе можно отнести, например, единую биометрическую систему, обеспечивающую информационнотехнологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме, включая средства для сбора, обработки и хранения данных, а также методы и алгоритмы, которые позволяют сопоставлять данные с образцами и провести между ними соответствие. Безусловно, нарушение работы такой системы может повлечь утечку данных пользователей, совершение ложных операций, потерю данных и материальных средств и т.д., то есть привести к катастрофе. В связи с этим необходимо вводить требования для предотвращения развития катастрофических действий и для минимизации последствий реализации таких катастроф, а не только требования, предъявляе- мые к сохранности данных системы. Сюда же можно отнести последствия от неверной работы системы, являющейся кибер-физической системой, и привести следующие примеры:

– смерть от автомобилей с автоматическим управлением (США, штат Аризона) [1];

– крушение вертолета от дрона (без жертв) [4];

– крушение боинга, причиной которого стал отказ системы и невозможность ручного пилотирования [3] и т.д.

В данном случае чрезвычайные ситуации были вызваны отказом работы системы или ее части в результате неверной работы с данными – сбор, получение, анализ информации, а также несоблюдением норм использования такой техники.

Безусловно, несанкционированное распространение данных, содержащихся в различных информационных системах, а также нарушение функциональности хотя бы одной из компонент системы могут привести к катастрофе. К сожалению, в законодательстве недостаточно полно нашел отражение данный вопрос и его возможные пути решения. Многие нормы законодательства направлены на противодействие (минимизацию) уже имеющих место фактов. Например, большая работа проделана в части противодействия вредоносному программному обеспечению – это и лицензирование, и сертификация, и использование только лицензионного программного обеспечения (в том числе противовирусного). Но, как показывает статистика [7], за несколько часов возможно обнаружение десятков новых вредоносных программ. Не каждая из таких программ сможет нанести действительный вред пользователям или организациям, но само по себе количество довольно шокирующее; также согласно статистике число вредоносных программ для атак на устройства Интернета вещей превысило семь тысяч в 2017 году [2]. Поскольку количество устройств, подключаемых к сети Интернета вещей и входящих в кибер-физические системы, экспоненциально увеличивается [6], то количество угроз на один объект также будет увеличиваться. Данный парадокс объясняется экономическим фактором – ведь стоимость защиты системы не должна превышать стоимости хранящихся и обрабатываемых в ней данных. Но в рамках реализации кибер-физических систем на первый план выходит безопасность человека, жизнь которого является высшей ценностью государства. Увеличивается объем законодательных норм, соответствие требованиям различных стандартов, в том числе и первому в России стандарту Интернета вещей [5], при увеличении количества вредоносного программного обеспечения, таким образом, общественность признает тот неочевидный факт, что увеличение норм и требований не спасает информационные системы, и тем более не спасет системы Интернета вещей и кибер-физические системы от влияния вредоносного обеспечения. Сбор информации об угрозах, ошибках - это работа не с ограниченным числом объектов, а с безграничным. Необходимо изменить подход к проектированию, эксплуатации и модернизации информационных систем, кибер-физических систем в целях обеспечения их катастрофоустойчивости.

Требования к катастрофоустойчивости информационных систем неявно прослеживаются в некоторых документах, регламентирующих использование информационных систем (в частности, в банковской сфере): к обеспечению бесперебойности осуществления перевода электронных денежных средств операторами электронных денежных средств; одним из важных условий является наличие регламента действий - требования к составлению плана действий и мероприятий в случае наступления катастрофы, а также перечень и периодичность проведения регламентных работ по обеспечению отказоустойчивости. Как видно, опять меры являются постмерами, направленными на снижение негативных последствий.

На наш взгляд, очень важным пунктом в процессе разработки системы является определение перечня функционала, которым обладает данная система. Многие руководящие документы ФСТЭК регламентируют работу с недекларированными возможностями в программном обеспечении. Такие возможности появляются в ходе использования непроверенного программного обеспечения, которое используется изначально либо появляется в результате модернизации. То есть одной из главных задач в части обеспечения катастро-фоустойчивости становится написание такого технического задания, которое бы содержало описание всего возможного функционала, реализуемого системой, что свело бы к минимуму появление недекларированных возмож- ностей. С другой стороны, данное решение препятствует задачам масштабируемости, особенно в сфере Интернета вещей. Функционал системы имеет конечное множество возможных состояний - если состояние не описано или неизвестно, тогда это проблема, особенно если нет путей ликвидации (сокращение, минимизация) последствий после наступления такого состояния и наступления неизвестного состояния, что, по большей части, и является наступлением катастрофы.

На сегодняшний день в рамках ГОСТ документов существуют требования к организации площадок для систем, дата-центров и т.д., но эти требования действительны еще со времен СССР. Для катастрофоустойчивых решений информационных и кибер-физических систем необходимо обновить и разработать новые требования именно к физическому устройству системы, поскольку работа с данными - семантической сущностью - системы ведется непрерывно - постоянное обновление закона о персональных данных, появление закона об объектах критической информационной инфраструктуры, где одним из главных принципов обеспечения безопасности критической информационной инфраструктуры является приоритет предотвращения компьютерных атак. Но разве будут в сохранности данные, если физическая целостность системы будет нарушена?

Согласно Доктрине национальным интересом в информационной сфере являются обеспечение устойчивого и бесперебойного функционирования информационной инфраструктуры, в первую очередь критической информационной инфраструктуры Российской Федерации и единой сети электросвязи Российской Федерации, что является неотъемлемыми компонентами современных систем. Исследователи определяют [8], что с правовой точки зрения решением некоторых вопросов поставленной задачи может являться:

- введение основ законодательства о ки-берфизических системах, в том числе понятие и классификация таких систем, ответственность, защите данных при использовании их в различных частях системы (как персональные данные, так и данные на основании которых принимается дальнейшее решение).

С другой стороны, необходимы нововведения в части технического регулирования для обеспечения катастрофоустойчивости информационных систем и кибер-физических систем.