Консорциум «Партнерство ради мира» предлагает путеводитель по образованию в области кибербезопасности
Шон Костиган и Майкл Хеннесси
В заголовках сегодняшних новостей постоянно фигурируют утечки и взломы коммерческих данных, электронное мошенничество, нарушение работы государственных ведомств или критической инфраструктуры, кража интеллектуальной собственности, утечка секретов в сфере национальной безопасности, а также возможность иных разрушений в киберпространстве. То, что ранее являлось сферой радиоэлектронной борьбы, информационной борьбы и экспертов по сетевой безопасности – часто называемой «информационными операциями» или «информационной войной», – ныне трансформируется в намного более широкую сферу, называемую «кибербезопасностью». Эта новая область исследований и практики поставила образовательные учреждения в сфере обороны перед необходимостью работать с тематикой и методами, традиционно находящимися за пределами стандартного образования в сфере обороны.
Ввиду указанной смены парадигмы стремительные и неослабевающие темпы возникновения изменений и вызовов в области кибербезопасности побудили Рабочую группу по новым вызовам безопасности Консорциума «Партнерство ради мира» (ПРМ) поставить задачу по разработке новой учебной программы в области информационной безопасности для военных академий. Разработанная в результате программа была опубликована весной 2016 г. и является плодом работы многонациональной команды, состоящей из выразивших желание участвовать в ее разработке более чем 30 ученых и исследователей из 14 стран, ассоциированных с Консорциумом ПРМ военных академий и институтов по изучению вопросов безопасности. Нашей задачей было создать гибкий и комплексный подход к кибербезопасности с помощью логичной разбивки на конкретные категории в соответствии с уровнем знаний, необходимым для различных групп слушателей, а также включение полезных ключевых ссылок, с тем чтобы каждая страна, заимствующая эту программу, могла адаптировать ее к своим нуждам.
Образование в области безопасности и рисков
Меры безопасности чаще всего принимаются на основе оценки угроз и рисков. В новой учебной программе обоим указанным понятиям уделено много внимания. Однако, говоря простым языком, киберпространство полно угроз, но меры по их уменьшению должны опираться на оценку риска. Международная организация по стандартизации определяет риск как «влияние неопределенности на цели». Это влияние может заключаться в положительном или отрицательном отклонении от ожидаемого. Принимаемые для «обеспечения безопасности» меры должны быть соразмерными допустимому риску. Таким образом, обеспечение безопасности киберпространства влечет за собой ряд соображений по уменьшению рисков и угроз, одновременно поощряя открытое общение в различных типах взаимосвязанных сетей.
Нахождение необходимого баланса между доступностью, удобством использования и безопасностью является трудной задачей. Новая учебная программа рассматривает различные подходы к оценке угроз и рисков, а также к их идентификации и смягчению правительствами и органами власти на техническом и политическом уровне. Она также содержит рекомендуемые передовые практики и сравнительный анализ существующих политик различных государств и организаций.
Задачей данной учебной программы является обеспечить четкую отправную точку для разработки или улучшения преподавания вопросов кибербезопасности высшим военным и гражданским чинам, а также сотрудникам среднего звена. Как и в случае других учебных программ, разработанных Консорциумом ПРМ, данный документ преследует достаточно скоромные цели. Он не содержит единой общей схемы курса, которой все должны следовать. Он не является исчерпывающим в плане содержания, деталей или подходов. Однако мы полагаем, что он обеспечит полезный эвристический подход к различным областям, в совокупности обеспечивающим всестороннее введение в спектр вопросов, связанных с национальной безопасностью. Слушатели, не имеющие технической подготовки, найдут здесь введение в тему на разумном уровне сложности и получат понимание того, где и почему требуется техническая глубина. А технически подготовленные слушатели смогут найти здесь полезный обзор уже знакомых им областей, а также введение в более широкий диапазон вопросов международных, национальных и юридических политик и практик.
Предлагаемая учебная программа представлена через четыре широкие темы:
киберпространство и основы кибербезопасности;
векторы риска;
международные организации, политики и стандарты в области кибербезопасности;
управление кибербезопасностью в национальном контексте.
Предполагается, что институты, принимающие данную программу, будут работать совместно с экспертами для определения национальных политик и процедур на том уровне детализации, который требуется для целевой аудитории. Механическое знание преходящих технических вопросов может оказаться востребованным, однако целью данной учебной программы является формирование более широкого понимания вызовов в области кибербезопасности во всем их многообразии.
Данная новая типовая учебная программа по кибербезопасности не предлагает единую или рекомендуемую структуру курса. Скорее она является ключевым справочным документом, содержащим общее описание вопросов и тем. Она может служить путеводителем для технических сотрудников, помогающим им определить свои приоритеты. Или же она может задавать направление вводных курсов для высокопоставленных лиц, принимающих решения в области национальной безопасности, обеспечивая технический контекст, необходимый им для формирования национальной политики.
Накопленный опыт
В ходе разработки данной программы мы опросили входящие в Консорциум ПРМ институты и другие военные колледжи, а также проанализировали программы военной подготовки стран-партнеров НАТО и Консорциума ПРМ, чтобы установить содержание учебных программ. Нашей задачей было обнаружение пробелов и общих подходов, выходящих за традиционные рамки правительственных и военных структур. Команда по разработке учебной программы извлекла большую пользу из семинаров, посвященных конкретным странам, которые способствовали более глубокому пониманию разнообразных вызовов, стоящих перед каждой страной в области кибербезопасности.
В целом, самый большой обнаруженный нами пробел заключается в недостаточном понимании практик уменьшения угроз и рисков в области кибербезопасности со стороны лиц, определяющих политику в области национальной безопасности и обороны. Аналогичный пробел был обнаружен в понимании техническими экспертами базовых рамок национальной политики. Границы между этими двумя группами нельзя описать лишь в терминах положения в военной или гражданской иерархии; таким образом, мы не стали разделять данную типовую учебную программу на блоки в соответствии со служебным положением слушателей.
Были также сделаны дополнительные выводы в нескольких ключевых областях, а именно:
Пол – Область кибербезопасности остается преимущественно мужской сферой деятельности. Военные образовательные учреждения имеют возможность сократить этот разрыв.
Возраст – Представление о «рождении в цифровую эпоху» продолжает создавать когнитивные трудности для определяющих политику лиц, которые воспринимают кибербезопасность как сферу деятельности молодых людей, а не как критически важную область, в которой должны разбираться руководители любого возраста.
Технический потенциал – В странах Восточной Европы существует слишком мало лабораторий по кибербезопасности. Западным военным институтам следовало бы способствовать созданию более современных лабораторий для слушателей.
Понимание политики – При обсуждении вопросов национальной кибербезопасности следует принимать во внимание много различных точек зрения, включая культурные. Некоторые страны разработали свою собственную терминологию и сделали осознанный выбор в пользу отказа от использования некоторых широко распространенных терминов
Международные различия – Некоторые страны пытаются воспользоваться кажущейся неопределенностью для продвижения своих повесток дня, идущих вразрез с наилучшими интересами демократических стран и глобального обмена информацией.
Неоправданный акцент на технических вопросах – Кибербезопасность не является исключительно технической сферой, однако зачастую она рассматривается в качестве таковой как преподавателями, так и принимающими решения лицами. Для того чтобы кибербезопасность стала обычной частью портфеля принимающих решения лиц, требуется определенная степень интеграции этих двух сфер.
Правовой контекст – Существует широкий разброс в подходах различных государств к вопросам кибербезопасности в их внутреннем законодательстве. Задача установления авторства – трудности, связанные с установлением источника враждебной, угрожающей или незаконной киберактивности, – добавляет проблем в сферах внутреннего и международного законодательства.
Общегосударственный подход – Подходы к решению вопросов кибербезопасности значительно отличаются в разных странах, но кибербезопасность выходит за многие институциональные и организационные рамки. Наилучшие решения должны основываться на комплексном общегосударственном подходе.
Комментарии закрыты.