Культура информационной безопасности: психолого-правовой аспект
Бегишев И.Р.
Казанский инновационный университет имени В.Г. Тимирясова (КИУ им. В.Г. Тимирясова), г. Казань, Российская Федерация
Цифровые технологии стали неотъемлемой частью современной деятельности человека. Сегодня они проникают во все сферы деловой и личной жизни. Большинству организаций для развития и процветания нужны информационные системы, и поэтому они должны серьезно относиться к защите своих цифровых активов. Многие процессы, необходимые для обеспечения безопасности цифровых активов, в значительной степени зависят от взаимодействия человека. В работе предпринята попытка осветить культуру информационной безопасности сквозь призму психологии и права. Результаты исследования показали, что с психологической точки зрения культура информационной безопасности включает готовность современного человека к преодолению цифровой экспансии за счет овладения им инструментарием противодействия негативным информационным факторам. В свою очередь, с правовой точки зрения культура информационной безопасности базируется на нормативно-правовой базе, регулирующей правоотношения в сфере кибербезопасности.
Ключевые слова: информационная безопасность, информационно
психологическая безопасность, киберпсихология, культура, социальная инженерия, угроза, цифровая экспансия, человеческий фактор.
Cyber-Security Culture: Psychological and Legal Aspects
Ildar R. Begishev
Kazan Innovative University named after V.G. Timiryasov, Kazan, Russian Federation
Digitalization has become part and parcel of the modern-day human activities. Nowadays it is going into every field of business and personal life. To develop and prosper, most organizations need IT systems, and hence to take the safeguarding of their informational assets seriously. Many of the processes which are essential for securing their IT assets, largely depend on human interaction. This study has attempted to address the culture of cyber-security in the light of psychology and law. The results of the research showed that from the psychological standpoint, the culture of cyber-security involves the willingness on the part of a modern human to overcome the digital expansion by mastering the tools for countering the negative IT factors. In its turn, from the legal standpoint, the culture of cyber-security is based on the legislative framework which regulates the legal relations in the field of cybersecurity.
Keywords: cyber-security, informational and psychological security, cyberpsychology, culture, social engineering, threat, digital expansion, human factor.
В современном обществе объем информационных потоков имеет постоянную тенденцию к росту. В этой связи цифровая информация выступает важным, дорогостоящим активом, который часто становится предметом посягательства со стороны злоумышленников. Основная опасность указанного посягательства заключена в том, что при несанкционированном доступе к цифровой информации, цель которого незаконное завладение ею, под угрозой может находиться безопасность личности, общества и государства [19]. Следовательно, одной из важных проблем становится задача обеспечения информационной безопасности.
Необходимо также отметить комплексность проблемы обеспечения информационной безопасности. Существует мнение, что для обеспечения информационной безопасности достаточно создания мощной программной или технической защиты, которая ограничит нежелательный доступ посторонних лиц к цифровой информации. Однако это не совсем верно. Обеспечить информационную безопасность как на макро-, так и на микроуровне только техническими средствами невозможно, равно как и только при помощи мер, предпринимаемых правоохранительными органами. Необходимо, чтобы все участники информационных процессов осознали необходимость и важность информационной безопасности для общества, учитывали факторы, которые создают угрозу безопасности, понимали свою ответственность и роль в обеспечении информационной безопасности и по необходимости принимали меры по повышению безопасности цифровой информации, цифровой инфраструктуры и цифровых технологий. Все вышесказанное и составляет основу культуры информационной безопасности.
Рассмотрим составляющие данного понятия. Непосредственно культура являет собой совокупность нравственных, моральных и материальных ценностей, умений, знаний, а также обычаев и традиций. Кроме того, культуру именуют также определенной формой деятельности, или процессом создания, и в качестве результата вышеозначенного выступает комплекс нравственных, моральных и материальных ценностей.
В свою очередь, информационная безопасность -- категория двоякая -- она включает информационно-психологическую безопасность, обеспечивающую защищенность субъектов от негативных информационных воздействий, и безопасность информации, которая обеспечивает защиту непосредственно информации. Указанные составляющие информационной безопасности во многом определяют сущность культуры информационной безопасности [16].
В работе [29] культура информационной безопасности определяется с академической и отраслевой точек зрения. Результаты исследования показали, что научные интерпретации определений и факторов культуры информационной безопасности намного шире, чем их понимание в отрасли кибербезопасности.
Кроме того, некоторые ученые утверждают, что необходимо изучить культуру информационной безопасности различных профессиональных сообществ [39].
Статья [30] освещает вопросы исследования концепции культуры информационной безопасности и то, как конфиденциальность информации может быть включена в определение культуры защиты информации. Культура информационной безопасности является предиктором конфиденциальности информации.
В исследованиях [38; 41; 44] применена оценка отношений между культурой безопасности и информационной безопасностью. Выводы исследований говорят о том, что организации должны сосредоточиться на культуре информационной безопасности, чтобы улучшить состояние информационной безопасности, экономя при этом время и ресурсы.
Можно согласиться с точкой зрения А. Мартинса и Я. Элофе, считающих, что в каждой организации культура информационной безопасности зависит от того, как люди ведут себя по отношению к информации и ее безопасности. Процедуры, которые сотрудники используют в своей повседневной деятельности, могут представлять собой самое слабое звено в цепочке информационной безопасности. Поэтому важно развивать и совершенствовать культуру информационной безопасности через структурированную модель, учитывающую поведение сотрудников [34].
К аналогичной точке зрения на природу рассматриваемого феномена приходят Т. Шлингер и С. Тойфель в работе «Культура информационной безопасности. Социокультурное измерение в управлении информационной безопасностью». Они объясняют концепцию корпоративной культуры на примере культуры информационной безопасности организации, выдвигая теорию смещения парадигмы с технического подхода на социокультурный, с подхода «пользователь -- мой враг» к подходу «пользователь -- мой актив безопасности» [40].
Не следует забывать, что большинство нарушений безопасности являются результатом человеческих ошибок. Для того чтобы организации могли повысить свою кибербезопасность и обеспечить более качественную подготовку своих сотрудников к противодействию киберугрозам, они должны исследовать понимание человеческих ошибок, типов человеческих ошибок, что делает их основной причиной нарушений, а также способы уменьшения их количества [23]. Человеческий фактор является основной причиной угроз информационной безопасности в организациях [25]. Широко признано, что создание организационной субкультуры информационной безопасности является ключом к управлению человеческими факторами, вовлеченными в информационную безопасность [43].
Эксперты подчеркивают важность сотрудников в стратегиях противодействия киберпреступности, учитывая, что людей часто считают самым слабым звеном в цепи безопасности. Фактически международные отчеты, анализирующие кибератаки, подтверждают, что основная проблема представлена действиями сотрудников, например, открытием фишинговых писем и непроверенных вложенных файлов, передачей конфиденциальной информации посредством атак социальной инженерии. Следует признать, что сотрудники, если они хорошо подготовлены, являются первой защитной линией в организации. Следовательно, в любом образовательном плане по кибербезопасности первостепенным шагом является анализ восприятия рисков людьми с целью разработки индивидуальной программы обучения [27].
Используя эффективные образовательные программы, сотрудники организаций могут быть обучены тому, как принимать безопасные решения. Для успеха программы крайне важно, чтобы сотрудники были обучены надлежащим образом, поскольку они являются основным уровнем защиты от неправомерных действий и стали бесценной частью общей стратегии информационной безопасности организации [33]. К тому же образовательные программы в сфере информационной безопасности необходимы для выработки сотрудниками представления о способах и средствах обеспечения безопасности информации. Основная цель этих программ -- формирование позитивной культуры информационной безопасности в организации [31].
Современные организации работают во взаимосвязанной и глобальной цифровой среде, что позволяет им сотрудничать друг с другом и обмениваться цифровой информацией. В то же время эта взаимосвязанность подвергает организацию множеству внутренних и внешних угроз. Внутренняя угроза является одной из главных проблем информационной безопасности, с которой сталкиваются организации [37]. Сотрудники, умышленно или по неосторожности, часто из-за недостатка знаний, представляют наибольшую угрозу информационной безопасности.
В области кибербезопасности человеческий фактор считается одним из важнейших элементов. Эксперты по безопасности хорошо знают важность таких мер безопасности, как управление паролями, предотвращение фишинговых атак и т. п. Однако организациям по-прежнему не хватает сильной культуры кибербезопасности для управления рисками безопасности, связанными, в частности, с человеческим фактором. Компьютерные атаки, основанные на методах социальной инженерии, считаются одними из самых успешных, поскольку используют психологические принципы для манипулирования восприятием людей и получения ценной информации [28].
Проблема манипулирования людьми с помощью различных методов социальной инженерии и технологий информационно-психологической войны стала массовым явлением и представляет собой серьезную угрозу информационно-психологической безопасности личности [45]. При этом основная суть манипуляции человеком сводится к скрытому психологическому принуждению личности.
Соблюдение каждым сотрудником требований информационной безопасности носит индивидуальный характер и ставится в зависимость от его индивидуальных психологических особенностей. Оно опосредовано таким аттитюдом, как устойчивое субъективное отношение сотрудников к политике информационной безопасности организации, к правилам защиты информации, к своим должностным обязанностям. Строгая дисциплина и культура информационной безопасности являются ключевым фактором в деле обеспечения информационной безопасности [3, с. 63--64].
Кроме того, низкий уровень культуры информационной безопасности (недостаточная осведомленность руководителей и специалистов организаций в вопросах обеспечения информационной безопасности, игнорирование сотрудниками требований политики информационной безопасности организации, несоблюдение сотрудниками требований федерального законодательства в сфере информационной безопасности и т. д.) является причиной синдрома безопасной атаки -- состояния субъектов информационных правоотношений, осознающих опасность нарушения и важность обеспечения безопасности информационной инфраструктуры, но в силу различных причин не обеспечивающих ее, в том числе при проведении в отношении нее компьютерных атак [1, с. 30].
По мнению австралийских ученых из психологической школы Университета Аделаиды, для успешного принятия решений в области информационной безопасности необходимы знание и соблюдение политик информационной безопасности, правовое поведение сотрудников [38].
Таким образом, знание сотрудниками того, какие политики и процедуры информационной безопасности они должны соблюдать, их понимание того, почему они должны придерживаться правил и что они на самом деле делают (своего поведения), может положительно повлиять на состояние защищенности цифровой информации и цифровой инфраструктуры [35].
Исследователи из малазийского университета акцентируют внимание на том, что организации выиграют от мониторинга информационной безопасности, поощряя поведение сотрудников, выходящее за рамки политики безопасности. Они уверены, что некоторые сотрудники склонны отказываться от безопасных действий, когда такое поведение воспринимается как неудобное. Следовательно, организации должны найти способы уменьшить воспринимаемые неудобства, используя различные методы автоматизации информационной безопасности и специализированные программы обучения [22], поскольку создание позитивной культуры информационной безопасности -- это эффективный способ пропаганды поведения и практики безопасности среди сотрудников организации [36].
Существует мнение, что культура информационной безопасности определяет порядок действий в организации в отношении информационной безопасности с целью защиты информационных активов и влияния на безопасность сотрудников [24].
Весьма полезными для нас оказались результаты исследований зарубежных ученых, которые при изучении связи между кибербезопасностью и культурными, личностными и демографическими переменными выявили закономерности и пришли к выводу, что культура, поведение, самоэффективность и отношение к частной жизни оказывают влияние на культуру информационной безопасности по сравнению с другими психологическими и демографическими переменными [32], в том числе при решении проблемы апатии сотрудников к информационной безопасности [42]. Подход организации к информационной безопасности должен быть ориентирован на поведение сотрудников, поскольку успех организации сильно зависит от того, что и как ее сотрудники делают .