Кибердипломатия «Лаборатории Касперского»

В последнее время растет интерес со стороны частных компаний к кибердипломатии, что особенно хорошо это видно на примере «Лаборатории Касперского» («ЛК»). С чем связан интерес этой компании к такому относительно новому виду дипломатии? Почему на площадке ООН нужен один переговорный процесс по вопросам информационной безопасности, а не два или три? Каковы особенности работы частных компаний в рамках РГОС? Об этом и о многом другом в эксклюзивном интервью РСМД рассказала старший менеджер по связям с государственными органами «Лаборатории Касперского» Анастасия Казакова.

В последнее время растет интерес со стороны частных компаний к кибердипломатии, что особенно хорошо это видно на примере «Лаборатории Касперского» («ЛК»). С чем связан интерес этой компании к такому относительно новому виду дипломатии? Почему на площадке ООН нужен один переговорный процесс по вопросам информационной безопасности, а не два или три? Каковы особенности работы частных компаний в рамках РГОС? Об этом и о многом другом в эксклюзивном интервью РСМД рассказала старший менеджер по связям с государственными органами «Лаборатории Касперского» Анастасия Казакова.

В компании «ЛК» есть целое направление — кибердипломатия. Как и для чего оно возникло?

Анастасия Казакова:
Участие «Лаборатории Касперского» в киберинициативах ООН

За последние два года стало больше понимания, что такое кибердипломатия, к которой возрос интерес в том числе и со стороны негосударственных организаций. Мы тоже стали развивать это направление. Зачем? Есть вопросы, которые тяжело решать в рамках одного государства: защита критической инфраструктуры (КИ), реакция на инциденты, расследование киберпреступлений. Без международных институтов и сотрудничества не обойтись. Поэтому для нас кибердипломатия — это возможность обеспечить безопасность и стабильность в киберпространстве через международные процессы. Рост интереса к кибердипломатии со стороны компаний — это позитивный тренд, поскольку без их экспертизы, ресурсов и знаний невозможно справиться с существующими вызовами и угрозами.

Появление этого направления в «ЛК» было связано с каким-то конкретным случаем? Например, произошло ли это после того, как у «Лаборатории Касперского» начались проблемы в США, или из-за чего-то другого?

Думаю, мы следовали за изменениями в нашей сфере. Но если бы государства сами не инициировали переговорные процессы в ООН: РГОС (Рабочая группа открытого состава) и ГПЭ (Группа правительственных экспертов), то вовлекаться было бы некуда. До этого не было такого институционализированного формата, где частный сектор и гражданское общество могли бы участвовать.

По сути, появился формат (РГОС), в котором можно было участвовать, и это дало импульс?

Да. После неспособности ГПЭ договориться в 2017 г. наступила «передышка» до создания в 2019 г. РГОС и новой ГПЭ. При этом, несмотря на временную «заморозку» межгосударственных переговоров в ООН, рост угроз в киберпространстве продолжился. Страны реагировали не сообща, а самостоятельно, что привело к большей фрагментации в подходах и регулировании. Поскольку КИ обслуживается специалистами, технологиями, продуктами и сервисами из разных стран, фрагментация в регулировании КИ несет риски, и об этом я писала в прошлом году. Институциональная фрагментация делает частный сектор уязвимым. В итоге системы, продукты, сервисы и инфраструктуры становятся более уязвимыми и привлекательными для злоумышленников, а это может привести к тому, что они станут менее надежными для экономики, общества и страны в целом.

Я работаю и в других регионах с коллегами, и вижу, как подходы стран, например, к защите критической инфраструктуры, всё больше разнятся. В этой связи возобновление переговоров в ООН — это возможность для частного сектора принять участие и поддержать — здесь ключевое слово именно поддержать — переговоры и общие усилия государств для большей безопасности в киберпространстве.

А в «ЛК» это насколько высокий приоритет? Когда в сентябре 2020 г. прозвучало заявление Владимира Путина по возобновлению сотрудничества с США в области информационной безопасности, то Евгений Касперский отметил, что это позволило бы эффективнее бороться с киберпреступностью. Если говорить про кибердипломатию в целом, то внимание к ней прослеживается на уровне руководства или, скорее, на рабочем уровне?

Наша команда — часть CEO Office (аппарата управления генерального директора). Так что приоритеты, ценности и стратегическое видение напрямую транслируются от СЕО Евгения Касперского и руководителя CEO Office и GR команды Олега Абдурашитова. Более того, я работаю в российской штаб-квартире и физически нахожусь ближе к руководству, поэтому в плане координации мне, возможно, чуть легче, чем коллегам в других регионах синхронизироваться с тем, куда мы движемся.

Получается, что благодаря присутствию в разных регионах вы лучше видите расхождения в подходах и чувствуете необходимость как-то сводить их на глобальном уровне?

Да. Например, анализ законодательств в других странах — это часть моей работы. Мы проводим параллели между государственными подходами, системами, законопроектами, и нам действительно лучше видно, где есть различия, а где — возможности и риски для частного сектора и нашей компании, в частности.

При этом «Лаборатория Касперского» позиционирует себя именно как глобальная, а не как российская компания. Чем это объясняется?

«Лаборатория Касперского» — это глобальная компания, у нас большой штат сотрудников из других стран и помимо российской штаб-квартиры имеется еще 33 офиса в более чем 30 странах мира. В России находится разработка, но экспертиза, команды исследователей и многие другие команды разбросаны по всему миру. «Глобальность» чувствуется и на уровне каждодневных задач. Например, мы работаем сейчас над созданием тренинга для кибердипломатов по технической атрибуции в игровом формате. В этом проекте участвуют несколько людей из разных стран мира (Франции, Португалии, Швейцарии), а обсуждаться проект может с коллегами из Соединенных Штатов, Сингапура, Китая, Австралии и т. д.

Наша «глобальность», кстати, также позволяет нам особенно остро чувствовать рост фрагментации в киберпространстве. Есть конечно и позитивная динамика: некоторые государства учитывают мнение частного сектора в проектах законов, выработке стратегий и политики. Например, в Австралии был уникальный кейс: правительство запустило публичные консультации для выработки национальной стратегии в сфере кибердипломатии. В них участвовали несколько вендоров и НКО. После приема письменных позиций были организованы онлайн-дискуссии, где можно было выступить и послушать других. Как итог — делегация Австралии в ООН собрала ключевые мнения от негосударственных организаций, включая «Лабораторию Касперского», и направила в письменном виде в РГОС, что позволило и другим делегациям ознакомиться с предложениями от индустрии. Такие практики важны и нужны, поскольку помогают лицам, принимающим решения, лучше понимать возможности, проблемы и сферу в целом.

Можно ли рассматривать ваше участие в таких консультациях как посредничество между разными странами и как элемент кибердипломатии?

Олег Шакиров:
Широкий киберконсенсус

Можно и так сказать. Но кибердипломатия для нас — это все-таки про межгосударственные процессы и переговоры, где роль компаний заключается в поддержке государств. Такая поддержка заключается, прежде всего, в том, что мы готовы делиться и делимся нашей экспертизой и знаниями с участниками переговоров. При этом ООН — важная, но не единственная площадка. Мы участвуем в процессах региональных организаций (ОБСЕ, АСЕАН), институтов ООН (UNIDIR), отдельных стран (например, Женевский диалог или Парижский призыв).

Были также примеры сотрудничества одновременно с национальными делегациями и негосударственными участниками. В ноябре прошлого года вместе с делегациями Австралии, Египта, Канады, Франции и ещё ряда стран наша компания вместе с другими организациями провела серию сессий под названием Let’s Talk Cyber. Мы были со-организатором сессии по регулярному институциональному диалогу (regular institutional dialogue).

Дополнительно мы запускаем и свои проекты. С конца 2020 г. по май 2021 г. мы провели Community Talks on Cyber Diplomacy — серию из пяти дискуссий в формате подкастов между кибердипломатами и исследователями, а также техническими экспертами. Это был очень классный опыт. Мы собрали дипломатов, технических экспертов, представителей Европола и Интерпола, научно-академического сообщества. У них, казалось бы, одна цель — повысить стабильность и безопасность киберпространства. Однако круг задач, проблематика и уровень экспертизы настолько разный, что без сотрудничества не достичь общей цели.

Как Вы отметили ранее, есть и другие компании с большим международным охватом. Получается, что сейчас существует довольно много компаний, которые за счет своего размера и глобального присутствия, во-первых, понимают важность таких дипломатических функций, а во-вторых, могут себе это позволить. Расскажите, пожалуйста, подробнее об этом сообществе кибердипломатов от частного сектора?

На мой взгляд, четкое понимание того, что такое кибердипломатия, имеется у очень небольшого круга людей, и я до сих пор не уверена, что есть универсальное понимание о том, в чем принципиальное отличие кибердипломатии от цифровой дипломатии (использование современных технологий и средств связи для решения дипломатических задач). Я помню ряд дискуссий в прошлом году с национальными делегациями, когда мы рассказывали о том, чем мы занимаемся как компания. И прозвучал один очень хороший вопрос от итальянского дипломата: «А что вы как компания понимаете под кибердипломатией, и зачем вам все это нужно?»

В течение всего прошлого года у нас постепенно выкристаллизовывалось понимание, дополнялось и корректировалось видение, появлялась стратегия. И думаю, то же самое можно сказать в отношении многих государств. Эта сфера активно развивается. Год назад было пять или шесть стран с командой по кибердипломатии. Сейчас у многих государств есть либо направления и команды в МИДе по вопросам информационной безопасности (ИБ), либо специально назначенный посол. Конечно, так не везде, ведь возможности и ресурсы у государств разные.

При этом вопросы киберпространства обсуждаются государствами в Первом и Третьем комитетах ООН. У комитетов разные повестки и процессы, одобренные Генеральной Ассамблеей. Однажды меня предупредили: «Мы работаем в Первом комитете [который занимается вопросами разоружения и международной безопасности], а в Третьем комитете [где обсуждается киберпреступность] работают другие коллеги, и мы не можем это комментировать». Индустрии нужно это учитывать, хотя для нас это очень смежные вопросы. Человеку, далекому от их процессов и протокола, может быть непросто. Возможно поэтому больших компаний, таких как Apple или Google вообще нет в этих дискуссиях, и это очень интересно. Пожалуй, в этом контексте Microsoft — уникальный случай, так как у компании огромная команда, официальное представительство и офис в ООН, а еще с несколькими НКО эта компания связана как спонсор или партнер.

Вроде CyberPeace Institute?

Верно. При этом среди таких вендоров по кибербезопасности, как «Лаборатория Касперского», в этих международных процессах больше никого нет.

Именно среди компаний, которые продают решения для кибербезопасности?

Да, на всех площадках из компаний, у которых реально есть экспертиза исследователей по кибербезопасности, — это мы и Microsoft. Остальных я пока не видела, но думаю, что это вопрос времени и скоро все изменится.

А еще наряду с дипломатами и индустрией есть третья группа людей, которые не выступают официально или напрямую с государствами и компаниями, но влияют на выработку и принятие решений тех и других. Я их называю инфлюенсерами (смеется). Это, например, Институт по изучению проблем безопасности ЕС (EUISS), финансируемый Европейской Комиссией. Там есть ряд исследователей, которые могут быть одновременно аффилированы с несколькими институтами из разных стран Европы. Они регулярно пишут в Twitter, публикуют статьи, выступают. Они не занимают государственные должности, но могут влиять на то, как формируются позиции национальных делегаций.

Теперь перейдём к РГОС. Почему «ЛК» не присоединилась к этому формату с самого начала?

Стив Краун:
Microsoft призывает к государственному регулированию киберпространства. Интервью с вице-президентом Microsoft Стивом Крауном

У нас всего семь человек в команде. Хотя мы делаем много крутых проектов по всему миру, наши ресурсы ограничены. Когда только появился РГОС, у всех были свои проекты, регионы, и отдельно выделенного человека на этот переговорный формат не было. Когда у нас в команде появился еще один сотрудник на европейский проект, я предложила руководителю развивать кибердипломатию. Руководитель сказал: «Давай попробуем». С тех пор мы стали активно заниматься РГОС. Это произошло как раз тогда, когда началась пандемия.

Получается, «ЛК» не была на первой и, по сути, единственной оффлайн-встрече для консультаций с негосударственными стейкхолдерами, которая прошла в Нью-Йорке в конце 2019 г., и присоединилась, когда уже все закрылось на карантин?

Не были, верно. Пожалуй, единственный плюс карантина в том, что впервые все желающие без исключения могли принять участие. Раньше нужно было пройти какую-то очень сложную бюрократическую схему и получить аккредитацию. Мы слышали о недовольстве большого количества организаций, что их не пустили. Но когда наступила пандемия, все перешли на гибкий режим участия. Председатель группы на официальном сайте опубликовал драфт доклада РГОС, и буквально всех пригласили поучаствовать и поделиться мнением. Так мы начали работать: первый пакет комментариев подготовили весной 2020 г., потом летом. В сентябре я подумала, почему бы нам не прислать свои предложения и не поделиться экспертизой, статистикой и трендами по ландшафту угроз. Мы написали OEWG Support Team и сперва уточнили, можно ли это сделать. В итоге мы дополнительно подготовили технические предложения по выполнению некоторых ранее достигнутых норм. Это пример того, как мы могли участвовать проактивно. Когда был опубликован финальный драфт доклада РГОС, мы его тщательно проанализировали и снова подготовили комментарии и предложения.

OEWG Support Team — это группа в секретариате, которая обеспечивает работу РГОС?

Да-да, у меня была почта человека, который занимался организационными вопросами. Добавлю, что внутри нашей компании возник большой интерес от исследователей безопасности и технических экспертов к тому, что вообще делают государства на уровне ООН. Тут я говорю про коллег из GReAT (Global Research and Analysis Team). — это ведущие аналитики и профессионалы мирового класса, изучающие всевозможные киберугрозы и создающие передовые защитные технологии. И это было неожиданно. Обычно ты думаешь, что исследователям все эти вопросы, касающиеся международной политики, не очень интересны. А тут двое коллег присылают нам драфты своих постов и говорят: «Мы хотим опубликовать тексты про киберконфликты, про то, как это все должно развиваться». И с тех пор вместе с ними мы часто работаем над выработкой позиции компании. Я присылаю им черновые варианты, а они помогают с точки зрения технического экспертизы проверить, насколько те или иные предложения реальны и адекватны.

Их тексты — это был комментарий на какой-то драфт доклада?

Нет, это были не связанные с РГОС идеи и мысли. В итоге мы проработали около двух недель, сделали несколько итераций и опубликовали два текста: «Исследователи призывали к решительным действиям в вопросах кибербезопасности» («Researchers call for a determined path to cybersecurity») и «Будущее киберконфликтов» («The future of cyberconflicts»).

То есть участие «ЛК» не ограничивалось командой GR., это был более широкий процесс и коллективная работа, в том числе технических специалистов? И в ваших комментариях для РГОС была сильная техническая основа, правильно?

Абсолютно. С самого начала мы говорили, что у нашей компании есть экспертиза по исследованиям в сфере кибербезопасности. И все. Мы не можем говорить про международное право: ни у меня, ни у кого-либо другого в компании нет этой экспертизы. Мы не можем говорить о том, применимо ли и как применимо международное право или международное гуманитарное право к киберпространству. Это прерогатива государств. Но мы можем, например, подсказать, поделиться опытом, как какие-то нормы уже реализуются или могут быть реализованы. Мы верим, что вклад негосударственных участников, таких, как мы, важен в плане реализации норм и мер укрепления доверия (confidence-building measures, CBMs). Мы можем вовлекаться в вопросы укрепления потенциала в области кибербезопасности (capacity building). И последний аспект на повестке в ООН — это институциональный диалог по вопросам кибербезопасности. Наше участие в его обсуждении ограничено: мы можем просто повторить, что всячески ратуем за него. Чем более понятный, прозрачный, открытый и структурный диалог, тем эффективнее и выше шансы достижения общего успеха.

В марте этого года работа РГОС завершилась довольно успешно — был принят доклад группы. Но если вернуться на два года назад, то тогда у многих наблюдателей было ощущение, что повестка раздваивается на РГОС и ГПЭ, и в итоге, может, государства вообще ничего не примут. У вас были опасения, что доклад могут не принять? И стало ли достижение консенсуса позитивным знаком?

Наверное, были небольшие опасения, но в целом было ощущение, что некий базовый документ все-таки будет принят. Очень здорово, что сессии прямо перед принятием финального документа были в прямой трансляции. И можно было наблюдать за динамикой выступлений. Например, глава российской делегации Андрей Крутских предложил отдельно сделать доклад, а часть [по которой не было консенсуса] опубликовать как документ от имени председателя РГОС. После его выступления можно было услышать, какие делегации поддерживают это решение. Благодаря этому предложению в итоге все чувствительные вопросы были вынесены за рамки доклада, но все же остались в так называемом Chair’s Summary, что позволило мировому сообществу ознакомиться со всем спектром вопросов, которые обсуждали делегации.

Некоторые говорят, что дипломаты работают медленно и нужно быстро принять какую-то конвенцию, быстро все определить и закрыть этот вопрос. Однако вопрос с регулированием киберпространства, на мой взгляд, очень сложен. Непонятно, где заканчиваются его границы, а спектр обсуждаемых вопросов очень большой. Для этого необходимо обладать компетенцией сразу в нескольких областях и, более того, быть открытым к диалогу с большим количеством стейкхолдеров: индустрия, НКО, представители научно-технических и академических кругов, международные юристы и эксперты. И у каждой группы свой интерес, своя позиция, следовательно, у каждого в этом процессе будет своя повестка. Кибердипломатия — это ключ к достижению стабильного и безопасного киберпространства, и я недавно написала пост про это.

Принятие консенсусного доклада не дало большого продвижения в плане содержания: мы не увидели новых норм. Но это был очень важный шаг и большой успех дипломатов, и, в частности, российской делегации по чьей инициативе изначально РГОС была создана. Впервые всеми странами была выражена поддержка многих достигнутых ранее договоренностей, например, о том, что международное право применимо к киберпространству.

Дэниел Штауффхер:
Пора создать единую переговорную площадку по проблемам киберпространства под эгидой Первого комитета ГА ООН

Достижение консенсуса на фоне растущей конфронтации между государствами — это огромный успех и позитивный сигнал всему сообществу.

По своему содержанию доклад затрагивает широкий спектр вопросов. Разные участники переговоров выделяли те пункты, которые они считают наиболее для себя важными. Какие темы выделяет «ЛК»?

В первую очередь, это выполнение достигнутых норм, мер укрепления доверия и усилий по укреплению потенциала в области кибербезопасности. Далее — защита КИ и выработка единых мер и требований. Третье — это все, что связано с обеспечением безопасности и целостности цепочки поставок в сфере ИКТ. В этой связи, в частности, мы поддерживаем развитие глобального механизма реагирования на инциденты.

Его основой, как нам кажется, могут быть меры, рекомендованные в докладах РГОС и ГПЭ: национальные контактные центры (National Points of Contact), более тесное сотрудничество групп реагирования на угрозы (CERT, Сomputer Emergency Response Team). Представим, что госпиталь, который классифицируется как КИ в стране «А», подвергся атаке с помощью вируса-шифровальщика, и какие-то важные системы просто стали недоступны для врачей и пациентов. В госпитале не знают, что делать, и первое, что необходимо будет решить, — с кем связаться и откуда искать помощи. Впоследствии может обнаружиться, что необходимо подключить производителя программы (подвергнувшейся атаке) из страны «B», а также компанию из страны «С», которая поможет с реагированием на инцидент. Возникает вопрос: если произошла атака на КИ, то как государства будут сотрудничать и обмениваться информацией, учитывая трансграничный характер инцидента? Отсутствие налаженного сотрудничества стран для реагирования на такие инциденты несет дополнительный риск стабильности в киберпространстве. Поэтому одно из наших прагматичных предложений состоит в том, что необходим какой-то механизм на глобальном уровне для обмена информацией между государствами, CERT’ами и компаниями. В качестве точки входа разумно было бы использовать рекомендованную идею о национальных контактных центрах.

В реальности все очень ad hoc получается…

Супер ad hoс. Если это вопрос КИ, и ты не знаешь, с кем связаться, то многие предприятия, возможно, позвонят своему вендору по кибербезопасности. Кто-то позвонит в полицию. Кто-то — национальному агентству по кибербезопасности. А кто-то решит не звонить никому, чтобы избежать репутационных рисков.

А что, если эта инфраструктура находится сразу на территории нескольких государств? Об этом, кстати, делегация Сингапура в своих комментариях писала и предлагала дефиницию «наднациональная критическая инфраструктура» (supranational critical information infrastructure). Эта дефиниция впоследствии не прижилась, потому что возникли вопросы что это означает с юридической точки зрения. Почти каждая делегация при этом подчеркивала, что прерогатива каждого отдельного государства определять, что такое КИ и выделять отдельные секторы КИ для регулирования.

У вас также была идея, что нужно выработать общую консенсусную терминологию относительно этих тем. Можете пояснить, почему это важно, и сформировалась ли она уже?

Общей терминологии ещё нет. Мы проводили серию Community Talks, и каждый раз поднимался вопрос киберпреступности и кибертерроризма. И сами спикеры, то есть кибердипломаты, признавали, что у нас сейчас нет единого понимания этих терминов.

Без четко унифицированного свода дефиниций, конечно, можно работать и сотрудничать, но, когда дело доходит до деталей и юридических тонкостей, консенсус важен — это позволяет избежать барьеров в коммуникации и сотрудничестве.

РГОС была уникальна по своей природе. Во-первых, никогда раньше переговоры по информационной безопасности не велись таким широким кругом государств. Во-вторых, мандат группы предполагал более или менее оформленное участие неправительственных игроков, в том числе бизнеса, то есть был реализован мультистейкхолдерный подход. Как в дальнейшем можно привлекать компании к этому процессу?

Было бы здорово, если бы государства согласились с тем, что в рамках Первого комитета Генассамблеи будет идти единый процесс, а не множество процессов. Сейчас их было два, РГОС и ГПЭ. Есть слухи, что предложенная Францией и Египтом Программа действий по продвижению ответственного поведения государств в киберпространстве станет третьим процессом, не связанным с существующими.

Причем они сказали, что Программа действий наоборот должна объединить повестку, но есть вероятность, что это может стать процессом номер три или два с половиной.

Да, и нам как представителям индустрии сложно понять, как они соотносятся между собой, что важнее в плане приоритета, учитывая, что наши ресурсы ограничены — чтобы не просто так участвовать, но и создавать ценность. В идеале было бы здорово иметь единый институциональный диалог, относительно которого государства договорились, и, возможно, в рамках него могли бы быть созданы рабочие группы по отдельным вопросам, где могли бы принимать участие и негосударственные стейкхолдеры. Чем понятнее рамки взаимодействия и четче прояснены границы для негосударственных участников, тем эффективнее будет взаимодействие.

В то же время есть один открытый вопрос. Я говорила, что пандемия позволила участвовать практически всем желающим, и это был большой плюс. Но во время пандемии некоторые сессии РГОС классифицировались как «неформальные», потому что официально сессии ООН не могут проходить через Webex. Если после пандемии хотя бы гибридный режим не будет доступен, круг негосударственных участников и государств, я думаю, резко сузится. Поэтому открытый вопрос как, с точки зрения протокола и устава ООН, будет (или нет) адаптирована работа кибердипломатов.

В конце апреля Андрей Крутских, спецпредставитель президента по вопросам международного сотрудничества в области информационной безопасности, выступал в Фонде Горчакова и сказал, что в новой РГОС Россия хотела бы видеть рабочую группу, в которой взаимодействовали бы представители бизнеса. РГОС начинается в июне, как «ЛК» видит продолжение работы в ней?

1 и 2 июня состоялись организационные встречи, на которых выбран председатель. Первая сессия состоится только в декабре. Честно говоря, очень мало информации и непонятно, как будет организована работа РГОС, в каком формате будет запущена Программа действий.

Мы готовы участвовать дальше и оказывать поддержку. Надеюсь, что это будет возможно.

Хотя мы оговорили, что «Лаборатория Касперского» — глобальная компания, тем не менее в РГОС вы, по сути, были единственным неправительственным участником с российскими корнями. МИД России призывает к более активному участию российского бизнеса в данном переговорном процессе. Есть ли в рамках РГОС потребность, чтобы в дискуссиях участвовало большее количество российских стейкхолдеров?

Павел Карасев:
Кибербезопасность энергетического сектора: сравнительный опыт и пути к сотрудничеству

За РГОС говорить не могу, но от себя лично добавлю, что чем больше будет российских экспертов и экспертов из стран Африки, Латинской Америки, Азии, которые хорошо говорят по-английски, понимают проблематику и могут предложить экспертное мнение, тем лучше. На существующих площадках, как мне кажется, часто высказываются позиции за других. Например, эксперты из Европы или США комментируют государственную внешнюю политику Австралии, Индии, России, Китая, Бразилии. Часто обсуждаются глобальные вопросы, но не хватает первоисточников и экспертов из этих стран, которые могут понимать внутриполитическую динамику намного лучше и поэтому транслировать важную информацию для других, рассказывать, как те или иные практики работают в их странах.

В этой связи одним из вызовов для кибердипломатов будет поиск достоверной информации и точек сближения между государствами, а для этого просто необходим постоянный экспертный диалог и обмен практиками.

Могу поделиться недавним примером. Нас пригласили выступить на мероприятии UNIDIR, это была закрытая встреча для государственных представителей и кибердипломатов, чтобы обсудить вместе с индустрией, как строится сотрудничество между государствами в случае киберинцидента и как, в частности, применяется принцип due diligence («должная добросовестность»). Дискуссия была очень интересной по двум причинам. Во-первых, я впервые увидела настолько большое число слушателей и экспертов по международному праву из России, которые активно участвовали в этой виртуальной встрече. Мне было интересно понять подход России в этом вопросе. Во-вторых, среди спикеров были дипломаты разных стран, и буквально во время дискуссии уже становилось видно, что подходы и трактовки этого принципа между государствами различаются. Если позиция Европейского союза или Австралии были более или менее понятны (потому что их представители выступают буквально на всех мероприятиях), то понять подходы в дипломатии Великобритании, Китая, Мексики и других было очень полезно.

Хотел бы спросить и о Вашем личном опыте. У Вас образование в сфере международных отношений, но сейчас Вы занимаетесь темой кибербезопасности. Вы уже сказали, что у многих людей, которые со стороны государства этим занимаются, не обязательно был опыт в этой области. Многих международников этому не учат на факультетах международных отношений, хотя сейчас появляются курсы по этой теме. Почему людям с таким бэкграундом тоже может быть интересно этим заниматься, и как они могут прийти к теме кибербезопасности?

Ключевые технические знания по кибербезопасности я получаю в компании благодаря проектам с коллегами из разных департаментов. Мне везёт работать с очень крутыми коллегами и, я даже бы сказала, настоящими легендами в области кибербезопасности. Например, выходит законопроект в стране «А». Наша задача — понять риски и возможности для нашей компании, а также сформулировать позицию. Мы идем к коллегам (аналитикам, исследователям, командам по продукту) и спрашиваем, что работает, что не работает, где возможности, а где проблемы, что бы изменило или ухудшило ситуацию в индустрии и так далее. Таким образом, наш главный первоисточник — это люди, которые на протяжении последних 20 лет работают в этой сфере каждый день.

Отдельно также нужно сказать огромное спасибо нашей глобальной инициативе по открытости (Global Transparency Initiative, GTI), потому что благодаря ей мне повезло участвовать в крупных R&D проектах. За последние 3,5 года с момента запуска инициативы я много узнала о наших процессах, продуктах, да и в целом о том, как всё устроено в индустрии. В рамках GTI мы открыли несколько Центров прозрачности, провели аудиты внутренних инжиниринговых практик и практик по обработке данных, построили новую инфраструктуру для обработки и хранения данных в Швейцарии, запустили свой тренинг (Cyber Capacity Building Program) для государственных и коммерческих организаций, университетов по защите инфраструктуры от кибератак и еще запустили Bug Bounty программу, где выплачиваем финансовые премии исследователям, которые находят уязвимости в нашем софте. В этом плане работа с GTI — это огромная возможность и прокачка hard skills.

Поэтому, мне кажется, лучший вариант для обучения — это, конечно же, практика и как можно раньше. Параллельно важно развивать сеть профессиональных контактов, изучать, что делают ключевые люди в твоей сфере, начинать с ними общение, обмен мнениями. Люди в целом очень открыты.

Скажите, пожалуйста, в завершение пару слов о том, почему сфера кибербезопасности — это важно для всех и особенно для молодых людей? Мне понравился Ваш сценарий про кибератаку на госпиталь, он показывает, как уже сейчас это влияет на разные аспекты жизни.

Кибер — это не то, что было в научно-фантастических книгах 30–40 лет назад. Это реальность, и порой граница между киберпространством и физическим миром становится почти незаметной. Понимать то, как работает киберпространство важно, чтобы лучше осознавать возможности и риски для себя, лучше знать свои права и лучше их защищать. Особенно, когда речь заходит об использовании персональных данных или защите своих банковских данных от злоумышленников.

Сфера кибербезопасности критически важна, и ее стратегическая роль будет возрастать во всех странах, потому что темпы цифровизации набирают обороты, а без экспертизы и технологий в области кибербезопасности и речи идти не может об устойчивом цифровом развитии. При этом очень важны как технические специалисты, так и юристы, дипломаты и все те, на чьи плечи выпадет задача сохранить киберпространство глобальным, открытым и стабильным. Глобальность информационной среды, мне кажется, — одно из самых важных достижений человечества, и потерять это было бы большой ошибкой.

Беседовал Олег Шакиров, старший эксперт Центра перспективных управленческих решений, консультант ПИР-Центра, эксперт РСМД.