Страх как тормоз развития ИБ

Намедни встречался я с одним чиновником, в функции которого входило принятие решения по одному нормативному акту. Решение он принял отрицательное, попутно говоря о государственности, ответственности перед детьми, новом курсе России, и использовал иные аналогичные сентенции. А уже на пути от него я подумал, что причина его отказа кроется не в нежелании что-то делать, а в страхе! Да-да, в страхе неизвестного.

Психологи давно знают, что встреча с чем-то новым и неизвестным угрожает привычному функционированию и стабильности человека, который привыкает жить в равновесии и не хочет ничего менять. Возникает страх неизвестного, который может вызвать разные формы сопротивления; среди них нерешительность, неуверенность, самооправдание и ряд других. Самым популярным поведением в такой ситуации становится… бездействие.

Почему человек ведет себя именно так в условиях неизвестности? Объясняется все просто. Человек неспособен понять и спланировать последствия своих действий. Вы не знаете как все пойдет и чем закончится, ведь вы раньше такого не делали. А чиновники очень редко понимают то, чем они занимаются. Назначают их обычно за иные заслуги и за верность. И чем выше чиновник, тем чаще это правило действует. Тут можно было бы вспомнить принцип Питера, но в чиновничей среде помимо него действуют и иные законы, которые все равно приводят к тому, что чиновник отлично разбирается в административной работе, но мало в сфере, которую он регулирует (за редким исключением). Большинство чиновников не знакомо с объектом, которым занимается их ведомство. По крайней мере в области ИТ и ИБ это так. Какие-то основы им, безусловно, известны, но в целом они выглядят как первоклашки на фоне экспертов их окружающих, кругозор которых значительно шире.

Тут впору вспомнить эффект Даннинга-Крюгера, который тоже имеет место у чиновников, но разговор не о нем. Непонимание объекта регулирование приводит к тому, что предсказать, чем закончится “да” проекту нормативного акта заранее нельзя. Может стать как хорошо (чиновнику), так и плохо. Вдруг не только по головке не погладят, но и выпорят еще за отсутствие следования линии партии. А раз в результате положительного решения чиновника сквозит полная неопределенность, то ему проще сказать “нет”. Что чиновник как правило и делает.

Геронтолог Обри ди Грей в статье “Чувство меры в страхе перед неизвестным” так высказался об этом: “Один аспект этой проблемы особенно важен с точки зрения желания общественности избежать некомфортных для себя ситуаций — это неприятие риска. Когда неопределенность проявляется в таких областях, как этика (если речь идет о ядерном трансфере) или экономическая политика (как в вопросе вакцинации против гриппа), соответствующее планирование помогло бы избежать потенциальных проблем. Но когда дело касается отношения общества к риску, все намного сложнее… Да, решение приняли органы власти, но в полном согласии с общественным мнением.”

В области ИТ такая позиция проявляется как никогда часто. В области информационной безопасности чуть реже, но тоже бывают случаи, когда регулятор принимает решение не давать зеленый свет той или иной хорошей инициативе или технологии “под влиянием общественности”, которая не хочет изменений с непредсказуемым результатом.

Обри ди Грей продолжает: “Реакция на соотношение риска и пользы в области передовых технологий — пример страха перед неизвестным. Это иррациональная склонность придавать большее значение риску, закрывая глаза на преимущества”. Вспомните, сколько раз ФСБ запрещала применение новых технологий? А ФСТЭК (по крайней мере до 2013 года)? А ЦБ, который только до сих пор не имеет требований по безопасности платежных карт или облачных АБС или банкоматов (а ведь они применяются не первый год)? А все просто - у ЦБ нет ни того, ни другого, ни третьего. Они не знают (не знали) как подступиться к регулированию этой темы и поэтому бездействовали, откладывая ее “на потом”.

“Страх перед неизвестным в принципе вовсе не иррационален, если под страхом понимать разумную осторожность, но эту грань легко переступить. Если бы общественность можно было научить оценивать риск, с которым связано развитие технологий будущего, и разъяснить необходимость мириться с кратковременным риском в интересах очень существенных ожидаемых преимуществ, это ощутимо ускорило бы прогресс во всех областях”. Так Обри ди Грей написал про постоянные препоны науке со стороны общественности. Но тоже самое можно сказать и про другие сферы нашей жизни, которые направлены на улучшение жизни. Например, на внедрение тех или иных информационных технологий или технологий ИБ. А “общественность” можно заменить на “чиновника”. И тогда мы получим причины, по которым большинству последних инициатив либо говорят нет, либо почему новым технологиям не дают хода. Просто перспективы их не так очевидны, а разумная осторожность часто переходит в необдуманный запрет или полное игнорирование (что еще хуже, т.к. представляет собой неопределенность).

По этому же принципу живут многие следователи, занимающиеся преступлениями в сфере высоких технологий, а также судьи, преподаватели “старой школы”. Да много кто, боится неопределенности, стоя перед чем-то новым и неизвестным. Да и мы с вами скорее всего тоже относимся к таким людям в определенных сферах нашей жизни. В конце концов мы все люди и поведение у нас у всех одинаковое в схожих ситуациях. Вопрос только в том, готовы ли мы даже в условиях неопределенности сделать шаг вперед; а потом еще один.

“Если вы не можете увидеть решение прямо “сейчас”, это еще не значит, что решения как такового не существует. Вы лишь должны двигаться дальше, чтобы увидеть это решение. По крайней мере, вам придется для собрать некоторую дополнительную информацию о том, как вы можете добраться до нужного ”решения”.”