Современные направления исследований в области стратегий информационной безопасности

Яблочкин Александр Сергеевич аспирант, кафедра политологии и социологии, ФГБОУ ВО «Российский экономический университет имени Г.В. Плеханова» 117997, Россия, г. Москва, ул. Стремянный Переулок, 32, оф. 340 (корп. 1) Yablochkin Aleksandr Sergeevich Postgraduate student, the department of Political Science and Sociology, Plekhanov Russian University of Economics 117997, Russia, g. Moscow, ul. Stremyannyi Pereulok, 32, of. 340 (korp. 1) alexander7985@bk.ru Другие публикации этого автора

Кошкин Андрей Петрович доктор политических наук профессор, кафедра политологии и социологии, ФГБОУ ВО «Российский экономический университет имени Г.В. Плеханова» 117997, Россия, г. Москва, ул. Стремянный Переулок, 32, оф. 340 (корп. 1) Koshkin Andrey Petrovich Doctor of Politics Professor, the department of Political Science and Sociology, Plekhanov Russian University of Economics 117997, Russia, g. Moscow, ul. Stremyannyi Pereulok, 32, of. 340 (korp. 1) 160957@mail.ru Другие публикации этого автора

По мере того как интернет-технологии становятся все более распространенными во всех обществах, угроза кибератак и необходимость кибербезопасности становятся еще более важными. Сегодня люди получают повсеместный доступ к Интернету, имея беспроводные технологии, такие как смартфоны и планшеты, с помощью которых могут получить доступ к беспроводным сетям практически везде. Однако у интернет-технологий, используемых в киберпространстве, как и практически для всех новых технологий, наряду с позитивными существуют и негативные стороны.

Кибератаки, попытка взломать или иным образом разрушить или уничтожить компьютерные сети или другие интернет-устройства, являются одним из видных негативных последствий этого бума в интернет-технологиях ^[7]. Кибератака может варьироваться от чего-то столь незначительного, как индивидуальная загрузка компьютерного вируса, до чего-то столь же крупного, как взлом целых транснациональных корпораций с целью получения инсайдерских знаний или кражи финансовой информации у клиентов. Кибератаки могут привести к краже личной информации человека или его финансовой информации, а также к выходу из бизнеса малых предприятий в результате этих атак.

Информационная и кибербезопасность не является новой темой исследований, но она была серьезной национальной проблемой на протяжении более 20 лет и привела к быстрому росту исследовательской литературы за последние 10 лет ^{[26, 27, 95, 96, 97]}. Учитывая быстрорастущую литературу по существующим проблемам в области кибербезопасности, целью настоящей обзорной статьи является синтез текущей литературы для исследователей, политиков, практиков и даже широкой общественности. Первый и наиболее систематический обзор литературы был опубликован в 2006 году тремя учеными С. Кэноем, П. Пальвией и Р. Шилхави ^[18]. В этом обзоре исследовалась существующая литература, опубликованная между 1996-2005 годами в ведущих журналах в области информационных систем, и нашли 82 статьи. В частности, они выделили девять основных областей, сосредоточенных в существующей литературе (например, правовые вопросы, мониторинг и мораль, уязвимости, риски и обнаружение), и разработали продуманную основу для теоретизации основных конструкций и их взаимосвязей для исследования безопасности информационных систем. Этот важный обзор внес значительный вклад в исследования в области кибербезопасности, обобщив существующую литературу и представив всеобъемлющую основу.

Настоящий обзор, основанный на этой важной работе, призван внести новый вклад в обобщение знаний в области исследований кибербезопасности в трех аспектах. Во-первых, была найдена текущая литература между 2005-2018 годами, чтобы обеспечить обновление обзора. Во-вторых, был расширен поиск литературы от информационной безопасности в частности до кибербезопасности в целом, включая личную, деловую и государственную кибербезопасность, с тем чтобы составить общую картину текущих исследований в данной области. В-третьих, была разработана широкая структура, которая синтезирует современную литературу по кибербезопасности, сосредоточив внимание на трех последовательно взаимосвязанных основных темах, то есть на различных кибератаках, различных факторах, способствующих им, и различных стратегиях борьбы с ними.

Метод

Для локализации существующих исследований были использованы многочисленные методы поиска литературы, включая поиск по электронным базам данных и основным журналам, а также ручной поиск ссылок на выявленные статьи. Основные электронные базы данных, такие как PsychInfo, Pubmed, SCOPUS, Web of Science и Science Direct. В ходе первоначального поиска было выявлено в общей сложности 536 статей по кибербезопасности. Эти статьи были дополнительно изучены с использованием следующих трех критериев для отбора рассматриваемых исследований: во-первых, исследования, включенные в обзор, должны непосредственно рассматривать человеческие факторы, связанные с кибербезопасностью и её последствиями; во-вторых, исследования должны публиковаться в рецензируемых журналах; и в-третьих, исследования не должны фокусироваться на технологическом аспекте кибербезопасности. После применения этих трех критериев было отобрано и рассмотрено 222 вопроса в трех основных областях: кибератаки, способствующие факторы и стратегии борьбы с ними.

Особенности кибератак

Идентификация.Первая основная функция кибербезопасности – идентификация кибератак. Это включает в себя понимание риска, связанного с кибератаками, и как управление этими рисками. Существует относительно небольшое количество научной литературы по кибератакам. Она в основном фокусируется на трех темах: типах кибератак, используемых технологиях и последствиях. Около 31,5% найденных статей были связаны с этой областью (общее количество обсуждаемых исследований превысит 100% из-за того, что некоторые статьи относятся более чем к одной категории).

Во-первых, накоплено знание, сфокусированное на конкретных типах кибератак, таких как фишинг ^{[5, 14]}, вредоносные программы ^{[56, 57]}, взлом ^{[53, 62, 77]}, и мошенничество ^{[69, 98]}. К. Багчи и Г. Удо внесли свой вклад в понимание скорости различных типов кибератак ^[6]. По прогнозам, кража информации, мошенничество и вирусы будут расти с течением времени по сравнению с другими преступлениями, связанными с компьютерами, такими как кража ноутбуков и несанкционированный инсайдерский доступ. Однако существуют и другие типы кибератак, не изученных в литературе, таких как социальная инженерия и компьютерные вирусы.

Во-вторых, технологии, участвующие в этих атаках, могут включать смартфоны, планшеты, ноутбуки, персональные компьютеры и т.д. Существует также первоначальное понимание киберугроз для медицинских технологий ^{[28, 39, 84]}.

В-третьих, накапливаются знания о непосредственных последствиях кибератак. Это включает в себя кражу личной информации ^[41], кражи денег ^[33], кражи интеллектуальной собственности ^[3], потери данных ^{[35, 60, 80]} и потери веб-трафика для бизнеса ^[34]. Тем не менее, существует мало знаний о том, как кибератаки влияют на человека в долгосрочной перспективе. Например, есть ли какие-либо психологические последствия от того, чтобы быть жертвой киберпреступления? По-разному ли люди подходят к кибербезопасности после того, как стали жертвой атаки? Сколько времени потребуется среднему пользователю Интернета, чтобы даже заметить, что он стал жертвой киберпреступления? Все эти направления не были подробно исследованы в современной литературе. Другим возможным обсуждаемым эффектом кибератак, является возможность кибервойны между государствами ^{[73, 105]}. Подобные типы войн могут стать неизбежными, если не будут созданы и использованы более эффективные национальные стратегии информационной безопасности.

Способствующие факторы

Человеческий фактор. Сегодня быстро растет число исследований, связанных с человеческими факторами, которые влияют на поведение в сфере кибербезопасности. В общей сложности 50,4% статей, найденных для этого обзора, были посвящены факторам, влияющим на поведение людей и предприятий в области кибербезопасности. По мере того как инженеры-программисты создают более совершенные и сложные системы для предотвращения кибератак, человеческий фактор, который приводит к атакам, становится еще более важным ^[1]. Современная литература в этой области фокусируется на четырех основных факторах, связанных с поведением человека в области кибербезопасности: 1) знания и опыт в области кибербезопасности; 2) нереалистичное доверие или оптимизм в киберпространстве; 3) демографические факторы и индивидуальные различия, влияющие на кибербезопасность; и 4) убеждения и представления о кибербезопасности.

Во-первых, знание человеком проблем инофрмационной безопасности ^{[4, 8, 87, 88]} и опыт работы с информационными технологиями ^{[74, 100]} были положительно связаны с участием в безопасном поведении. Например, пользователи, которые лучше разбираются в компьютерах, как правило, сохраняют предупреждения о вредоносных программах ^[74], а пользователи, которые часто отправляют и получают электронные письма, реже становятся жертвами фишинга ^[100]. Тем не менее, общие знания о кибербезопасности могут помочь человеку обнаружить вредоносные события, но этого недостаточно, чтобы понять ряд событий, которые приводят к атаке. Вместо этого, опыт работы с сетью наряду с конкретными знаниями в области информационной безопасности приводит к лучшему принятию решений в отношении кибератаки ^[8].

Во-вторых, исследования обнаружили существенные доказательства нереалистичного оптимизма и доверия людей к интернет-пространству, полагая, что они меньше других подвержены риску возникновения чего-то негативного, например, мошенничества или кражи личных данных ^{[17, 29]}. Это доверие к киберпространству заставляет людей подвергать себя риску при активном использовании информационных технологий. Чем больше времени человек проводит в Интернете, тем более вероятно, что он будет иметь эту предвзятость ^[17]. Однако другие исследования показывают, что большинство ИТ-специалистов считают, что они станут жертвой кибератаки в какой-то момент в течение следующего года ^[91]. Предполагается, что знания и опыт могут смягчить этот эффект, но необходимы дополнительные исследования, чтобы понять эту тонкую взаимосвязь.

В-третьих, исследователи изучили, как демографические факторы, такие как возраст и пол ^{[44, 47]} и индивидуальные различия ^[104] связаны с кибербезопасностью. Пожилые люди менее осведомлены об информационной безопасности, чем молодые люди, причем пожилые женщины являются наименее осведомленными, поэтому они наиболее восприимчивы к киберпреступлениям ^[44]. Люди с низким уровнем настойчивости и высоким уровнем самоконтроля менее склонны делиться паролями ^[104].

В-четвертых, было проведено исследование в целях понимания отношения людей к кибербезопасности ^{[24, 63]} и восприятия технологий информационной безопасности ^{[1, 2, 48, 53, 61, 62]}. Удобство, как правило, перевешивает другие факторы, когда речь идет о внедрении методов кибербезопасности, таких как наличие служб аутентификации электронной почты и использование эффективных паролей ^{[49, 61]}. Когда речь заходит о конфиденциальности в Интернете, анонимность является функцией, которая очень важна для пользователей ^[25].

В современной литературе также существует множество исследовательских моделей, созданных для объяснения взаимосвязи между пользователями и технологиями кибербезопасности ^{[29, 63, 93]}. Накопленные знания в области информационной безопасности учитывают многие факторы, такие как знания, опыт, доверие, отношение, возраст и пол, которые влияют на поведение человека в киберпространстве. Злоумышленники, как правило, ищут самое слабое звено, чтобы прорваться через систему, и обычно это самое слабое звено –человек, поскольку он непосредственно участвует в небезопасном поведении. В связи с этим необходимы дополнительные исследования в этой области для разработки более эффективных стратегий борьбы с киберапреступлениями. Таким образом, исследователи должны продолжать оценивать, как отдельные люди подвергают себя риску в информационном мире.

Экономический фактор. Еще одним новым направлением исследований в области информационной безопасности являются факторы, влияющие на практику и поведение компаний в области кибербезопасности. Два основных компонента в литературе – это то, как компании должны обращаться с сотрудниками в отношении кибербезопасности и затрат на реализацию и совершенствование своих стратегий защиты информации, а также оценки управлению рисками информационной безопасности.

Компании должны заботиться не только о защите своей сети от кибератак, но и о том, чтобы их сотрудники не подвергали компанию риску. Исследования были сосредоточены на факторах, которые могут заставить сотрудника участвовать в рискованном поведении во время работы, которое может негативно повлиять на бизнес. Эти факторы, исследуемые в современной литературе, включают мотивацию сотрудников ^{[49, 7]}, стресс ^[30], этику ^[63], личность ^{[98, 102]}, и знание политики информационной безопасности компании ^[85]. Т. Хеарз и Х. Рао обнаружили в ходе опроса сотрудников, что как внешние мотиваторы, такие как штрафы за несоблюдение инструкций, так и внутренние мотиваторы, такие как воспринимаемая сотрудниками эффективность соблюдения политики кибербезопасности, являются важными факторами, влияющими на соблюдение сотрудниками политики предприятий ^[49]. Некоторые исследователи обнаружили, что организационное доверие является еще одним важным фактором соблюдения сотрудниками политики информационной безопасности предприятия ^[64].

Исследования в этой области также начали документировать экономические факторы, связанные с кибербезопасностью. Были проведены различные анализы управления рисками и экономической эффективности для изучения того, как реализовать стратегии кибербезопасности для предприятий, а также снизить экономические потери, связанные с атаками ^{[12, 52, 89]}. Кроме того, существует первоначальное понимание экономических рисков для бизнеса в случае информационных угроз. Исследование 259 компаний по всему миру показало, что, если компания выпустит предупреждение о фишинге, рыночная стоимость бизнеса может снизиться на 411 миллионов долларов ^[14]. Достаточно угрожающе выглядит другое исследование, которое показало, что 60% малых предприятий, которые страдают от киберпреступлений, закрываются в течение шести месяцев после атак из-за экономических потерь ^[87].

Литература также дала знания об уникальных факторах, влияющих на отрасль здравоохранения, в то время как людьми все больше используется мобильных устройств ^{[46, 86]}. Согласно одному исследованию, 94% медицинских предприятий стали жертвами кибератак ^[79]. Эта первоначальная литература была сосредоточена на том, как создать безопасные сети, чтобы обеспечить конфиденциальность данных пациентов, поскольку медицинские записи хранятся в электронном виде ^[41]. Кроме того, поскольку медицинские устройства становятся более продвинутыми, требуя программного обеспечения, которое восприимчиво к вредоносным программам, были проведены поисковые исследования о том, как защитить эти устройства от угроз ^{[28, 84]}.

Стратегии решения проблем

Наибольшее количество исследований в области кибербезопасности посвящено стратегиям совершенствования технологий обеспечения безопасности и улучшения поведения в области информационной безопасности среди отдельных лиц и предприятий посредством государственных мер. В общей сложности 75,2% найденных статей были связаны со стратегиями улучшения поведения в области кибербезопасности. Перспективным направлением исследований может стать сокращение возможностей совершения киберпреступлений, поскольку это подход ведет к сокращению преступлений других видов ^{[50, 67, 83]}.

Персональные стратегии. Наиболее изученной стратегией повышения кибербезопасности среди частных лиц являются учебные программы по обучению и повышению осведомленности об информационной безопасности. Они могут быть осуществлены с помощью лекций или семинаров, игр или симуляций ^{[1, 57, 70]}. Наиболее эффективным способом повышения осведомленности о кибербезопасности является сочетание различных методов обучения ^[1]. В литературе также изучались более простые способы повышения кибербезопасности, такие как увеличение предупреждений на компьютерах ^[20] или способы помочь пользователям создавать лучшие пароли ^{[58, 92, 101]}, такие как использование биометрических данных для пользователей смартфонов ^[23].

Исследования также анализировали, как использовались знания о человеческих факторах, связанных с кибербезопасностью, для создания более безопасной интернет-среды ^{[31, 74, 87]}. М. Дарк предполагает, что важно объединить то, что известно о нейробиологии и педагогической науке, чтобы лучше обучать людей проблемам информационной безопасности ^[32]. Это все еще небольшая область исследований и в дальнейшем она должна быть изучена на основе междисциплинарных исследований, объединяющих психологов и экспертов по кибербезопасности для создания наилучшего образования. Отдельные лица также взяли на себя обязанность контролировать Интернет для кибератак ^{[55, 59]}. Однако сейчас еще мало изучен опыт этих кибер-активистов, их методах и эффективности их работы.

Кроме того, во всей литературе обсуждалась необходимость изменения и улучшения дискурса между профессионалами в области кибербезопасности и другими участниками ^{[10, 13]}. Обычный человек испытывает трудности с пониманием языка, используемого специалистами по кибербезопасности, и это может повлиять на их готовность и способность использовать технологии.

Стратегии бизнеса. Основная стратегия повышения кибербезопасности, обсуждаемая в литературе, заключается в сотрудничестве компаний и обмене информацией друг с другом для повышения безопасности каждого ^{[40, 42, 49]}. Первоначальная забота об этой стратегии, однако, заключается в том, как правильно обмениваться информацией и одновременно защищать конфиденциальность компании ^[68]. В литературе также есть несколько моделей, пытающихся количественно оценить риск информационной безопасности для бизнеса, чтобы определить доступные, но эффективные стратегии ^{[12, 75]}.

Другие изученные стратегии включают обучение сотрудников быть более внимательными на рабочем месте и обеспечивать соблюдение политики информационной безопасности компании ^{[5, 85]}. Однако обучение и образование стоят дорого. Д. Форте и Р. Пауэр создали контрольный список кибербезопасности для предприятий, чтобы использовать его, чтобы помочь им обучать своих сотрудников экономичным способом ^[38]. Этот контрольный список включает информацию о безопасности паролей, безопасности электронной почты, безопасности домашних компьютеров, краже личных данных, безопасности детей, социальной инженерии и безопасности мобильных устройств. Хотя это не охватывает все аспекты кибербезопасности, он охватывает многие актуальные темы, которые работодатели хотели бы, чтобы их сотрудники знали о том, чтобы защитить себя и бизнес.

Одной из проблем для бизнеса является нехватка квалифицированных специалистов по кибербезопасности для бизнеса ^{[16, 66, 78]}. Это стало такой проблемой для бизнеса, что его называют «кризисом навыков» ^[16], поскольку даже многие профессионалы в этой области не имеют достаточных навыков для защиты систем бизнеса. Л. Хоффман, Д. Берли и С. Торегас рассмотрели, как создать лучшую рабочую силу по кибербезопасности с более целостным подходом, путем интеграции работы преподавателей, специалистов по информационной безопасности и государства ^[51]. Ученые и правительство должны работать вместе, чтобы поощрять людей из разных слоев общества к профессиональному развитию в области кибербезопасности. Кроме того, преподаватели и специалисты по кибербезопасности должны сотрудничать, чтобы создать больше программ степени и учебных программ для людей, чтобы преследовать.

Государственные стратегии. В литературе появляется консенсус в отношении того, что национальное правительство должно взять на себя ведущую роль в кибербезопасности ^{[5, 9, 22, 36, 37, 43, 82]}. Утверждается, что правительству необходимо разработать политику, которая повысит информационную безопасность и программы, которые будут готовить специалистов по кибербезопасности, а также увеличить финансирование исследований и разработок новых технологий. С другой стороны, некоторые теоретики утверждают, что акцент национальных правительств на кибербезопасности это всего лишь попытка усилить наблюдение, что в конечном итоге приведет к снижению личной безопасности граждан ^[21]. Частные лица, предприятия и правительства должны работать вместе, чтобы повысить информационную безопасность всего общества в целом ^{[45, 71, 72]}.

В литературе накапливаются знания о том, как страны и правительства по всему миру пытались улучшить информационную безопасность. Это включает исследования в Эстонии ^[19], Хорватии ^[11], Голландии ^[26], Канаде ^[81] и Великобритании. И. Луиийф, К. Бесселинг, П. Де Грааф сравнили национальные стратегии информационной безопасности 19 стран, комментируя сходства и недостатки каждой из них ^[65]. Поскольку кибербезопасность является глобальной проблемой, сотрудничество между странами по всему миру может быть особенно полезным в борьбе с преступностью.

Заключение

В поведенческих науках кибербезопасность все еще является новой областью исследований. В области информационной и компьютерной безопасности исследования высветили многие критические темы, такие как правовые вопросы, мониторинг и мораль, уязвимости и риски, осведомленность и мотивации ^{[15, 18, 76, 90, 103]}. Основываясь на этих исследованиях, настоящий обзор расширяет сферу охвата от безопасности информационных систем в частности до кибербезопасности в целом и синтезирует текущую литературу о кибератаках и потенциальных последствиях этих атак, различных факторах, способствующих различному поведению в области кибербезопасности и стратегиях, помогающих отдельным лицам и предприятиям принимать более эффективные решения в киберпространстве. Также раскрываются столь необходимые области для будущих исследований.

Во-первых, исследование информационной безопасности в социальных науках, связанных с человеческим, а не с технологическим аспектом кибербезопасности является новой областью литературы. Наиболее известные обсуждаемые типы кибератак включают фишинг и хакерство. Существует современное понимание основных и непосредственных последствий атак. Однако мало что известно о психологических и долгосрочных последствиях этих нападений для человека. Будущие исследования могут углубиться в этот неисследованное направление кибербезопасности, чтобы лучше помочь тем, кто испытывает негативные последствия этих преступлений.

Во-вторых, сейчас многое известно о факторах, влияющих на поведение человека в сфере информационной безопасности. Такие факторы, как знания и опыт, нереалистичное доверие и оптимизм, демографические факторы и индивидуальные различия, а также представления и убеждения о кибербезопасности, оказывают влияние на то, как человек ведет себя в интернет-пространстве. В то время как большинство исследований до этого момента было сосредоточено только на одном из этих факторов, будущие исследования могут изучить, как комбинация этих факторов взаимодействует, чтобы повлиять на поведение человека.

Кроме того, на поведение компаний в сфере кибербезопасности влияют не только финансовые мотивы, но и то, как их сотрудники ведут себя в информационном пространстве. Предприятиям необходимо постоянно оценивать соотношение затрат и выгод при внедрении различных мероприятий кибербезопасности и для достижения этой цели были созданы многочисленные модели. Кроме того, факторы, влияющие на поведение человека в области кибербезопасности в бизнес-среде, отличаются от факторов, влияющих на его поведение дома или с персональными устройствами. На работе сотрудник будет принимать решения по кибербезопасности, основанные на таких факторах, как мотивация и предполагаемая эффективность их решений.

В-третьих, наиболее развитым направлением исследований в этой области являются стратегии улучшения поведения человека в области информационной безопасности, будь то дома или на рабочем месте. Существует тенденция, что стратегии борьбы с кибератаками являются наиболее заметной областью исследований в настоящее время, что иллюстрирует поспешность в данной области дать рецепт по полному пониманию диагноза –неэффективной стратегии решения проблем. Многие стратегии были признаны эффективными для повышения кибербезопасности, такие как семинары и игры. Один общий вывод, однако, заключается в том, что многие исследователи считают, что правительство должно играть большую роль в борьбе с кибератаками. Тем не менее, исследователи должны сыграть свою роль и придумать эффективные способы защиты пользователей от киберпреступлений. Исследования должны продолжать изучать факторы, влияющие на поведение человека в области кибербезопасности, чтобы лучше продумать эффективные стратегии, а не спешить принимать решения. Важно использовать известные данные о том, как люди воспринимают кибербезопасность, так и то, что известно об эффективных методах обучения и обучения, чтобы создать лучшие стратегии, поскольку хакеры, безусловно, будут продолжать изобретать способы обмануть пользователя в получении доступа к его информации.