В современном обществе объем информационных потоков имеет постоянную тенденцию к росту. В этой связи цифровая информация выступает важным, дорогостоящим активом, который часто становится предметом посягательства со стороны злоумышленников. Основная опасность указанного посягательства заключена в том, что при несанкционированном доступе к цифровой информации, цель которого незаконное завладение ею, под угрозой может находиться безопасность личности, общества и государства [Чеботарева, 2010]. Следовательно, одной из важных проблем становится задача обеспечения информационной безопасности.
Необходимо также отметить комплексность проблемы обеспечения информационной безопасности. Существует мнение, что для обеспечения информационной безопасности достаточно создания мощной программной или технической защиты, которая ограничит нежелательный доступ посторонних лиц к цифровой информации. Однако это не совсем верно. Обеспечить информационную безопасность как на макро-, так и на микроуровне только техническими средствами невозможно, равно как и только при помощи мер, предпринимаемых правоохранительными органами. Необходимо, чтобы все участники информационных процессов осознали необходимость и важность информационной безопасности для общества, учитывали факторы, которые создают угрозу безопасности, понимали свою ответственность и роль в обеспечении информационной безопасности и по необходимости принимали меры по повышению безопасности цифровой информации, цифровой инфраструктуры и цифровых технологий. Все вышесказанное и составляет основу культуры информационной безопасности.
Рассмотрим составляющие данного понятия. Непосредственно культура являет собой совокупность нравственных, моральных и материальных ценностей, умений, знаний, а также обычаев и традиций. Кроме того, культуру именуют также определенной формой деятельности, или процессом создания, и в качестве результата вышеозначенного выступает комплекс нравственных, моральных и материальных ценностей.
В свою очередь, информационная безопасность — категория двоякая — она включает информационно-психологическую безопасность, обеспечивающую защищенность субъектов от негативных информационных воздействий, и безопасность информации, которая обеспечивает защиту непосредственно информации. Указанные составляющие информационной безопасности во многом определяют сущность культуры информационной безопасности [Кулемина, 2009].
В работе [Da Veiga, 2020] культура информационной безопасности определяется с
академической
и отраслевой точек зрения. Результаты исследования показали, что научные
интерпретации определений и факторов культуры информационной безопасности
намного шире, чем
их понимание в отрасли кибербезопасности.
Кроме того, некоторые ученые утверждают, что необходимо изучить культуру информационной безопасности различных профессиональных сообществ [Ramachandran, 2008].
Статья [Da Veiga, 2015] освещает вопросы исследования концепции культуры информационной безопасности и то, как конфиденциальность информации может быть включена в определение культуры защиты информации. Культура информационной безопасности является предиктором конфиденциальности информации.
В исследованиях [Parsons, 2015; Tang, 2016; Wiley, 2020] применена оценка отношений между культурой безопасности и информационной безопасностью. Выводы исследований говорят о том, что организации должны сосредоточиться на культуре информационной безопасности, чтобы улучшить состояние информационной безопасности, экономя при этом время и ресурсы.
Можно согласиться с точкой зрения А. Мартинса и Я. Элофе, считающих, что в
каждой организации культура информационной безопасности зависит от того, как
люди ведут себя
по отношению к информации и ее безопасности. Процедуры, которые сотрудники
используют в своей повседневной деятельности, могут представлять собой самое
слабое звено в цепочке информационной безопасности. Поэтому важно развивать и
совершенствовать культуру информационной безопасности через структурированную
модель, учитывающую поведение сотрудников [Martins, 2002].
К аналогичной точке зрения на природу рассматриваемого феномена приходят Т. Шлингер и С. Тойфель в работе «Культура информационной безопасности. Социокультурное измерение в управлении информационной безопасностью». Они объясняют концепцию корпоративной культуры на примере культуры информационной безопасности организации, выдвигая теорию смещения парадигмы с технического подхода на социокультурный, с подхода «пользователь — мой враг» к подходу «пользователь — мой актив безопасности» [Schlienger, 2002].
Не следует забывать, что большинство нарушений безопасности являются результатом человеческих ошибок. Для того чтобы организации могли повысить свою кибербезопасность и обеспечить более качественную подготовку своих сотрудников к противодействию киберугрозам, они должны исследовать понимание человеческих ошибок, типов человеческих ошибок, что делает их основной причиной нарушений, а также способы уменьшения их количества [Algarni, 2018]. Человеческий фактор является основной причиной угроз информационной безопасности в организациях [Beena, 2019]. Широко признано, что создание организационной субкультуры информационной безопасности является ключом к управлению человеческими факторами, вовлеченными в информационную безопасность [Van Niekerk, 2010].
Эксперты подчеркивают важность сотрудников в стратегиях противодействия киберпреступности, учитывая, что людей часто считают самым слабым звеном в цепи безопасности. Фактически международные отчеты, анализирующие кибератаки, подтверждают, что основная проблема представлена действиями сотрудников, например, открытием фишинговых писем и непроверенных вложенных файлов, передачей конфиденциальной информации посредством атак социальной инженерии. Следует признать, что сотрудники, если они хорошо подготовлены, являются первой защитной линией в организации. Следовательно, в любом образовательном плане по кибербезопасности первостепенным шагом является анализ восприятия рисков людьми с целью разработки индивидуальной программы обучения [Corradini, 2019].
Используя эффективные образовательные программы, сотрудники организаций могут быть обучены тому, как принимать безопасные решения. Для успеха программы крайне важно, чтобы сотрудники были обучены надлежащим образом, поскольку они являются основным уровнем защиты от неправомерных действий и стали бесценной частью общей стратегии информационной безопасности организации [Kennedy, 2016]. К тому же образовательные программы в сфере информационной безопасности необходимы для выработки сотрудниками представления о способах и средствах обеспечения безопасности информации. Основная цель этих программ — формирование позитивной культуры информационной безопасности в организации [Glaspie, 2017].
Современные организации работают во взаимосвязанной и глобальной цифровой среде, что позволяет им сотрудничать друг с другом и обмениваться цифровой информацией. В то же время эта взаимосвязанность подвергает организацию множеству внутренних и внешних угроз. Внутренняя угроза является одной из главных проблем информационной безопасности, с которой сталкиваются организации [Okere, 2012]. Сотрудники, умышленно или по неосторожности, часто из-за недостатка знаний, представляют наибольшую угрозу информационной безопасности.
В области кибербезопасности человеческий фактор считается одним из важнейших
элементов. Эксперты по безопасности хорошо знают важность таких мер
безопасности, как управление паролями, предотвращение фишинговых атак и т. п.
Однако организациям
по-прежнему не хватает сильной культуры кибербезопасности для управления
рисками безопасности, связанными, в частности, с человеческим фактором.
Компьютерные атаки, основанные на методах социальной инженерии, считаются
одними из самых успешных, поскольку используют психологические принципы для
манипулирования восприятием людей и получения ценной информации [Corradini, 2020].
Проблема манипулирования людьми с помощью различных методов социальной инженерии и технологий информационно-психологической войны стала массовым явлением и представляет собой серьезную угрозу информационно-психологической безопасности личности [Zhumagaliyeva, 2017]. При этом основная суть манипуляции человеком сводится к скрытому психологическому принуждению личности.
Соблюдение каждым сотрудником требований информационной безопасности носит индивидуальный характер и ставится в зависимость от его индивидуальных психологических особенностей. Оно опосредовано таким аттитюдом, как устойчивое субъективное отношение сотрудников к политике информационной безопасности организации, к правилам защиты информации, к своим должностным обязанностям. Строгая дисциплина и культура информационной безопасности являются ключевым фактором в деле обеспечения информационной безопасности [3, с. 63—64].
Кроме того, низкий уровень культуры информационной безопасности (недостаточная осведомленность руководителей и специалистов организаций в вопросах обеспечения информационной безопасности, игнорирование сотрудниками требований политики информационной безопасности организации, несоблюдение сотрудниками требований федерального законодательства в сфере информационной безопасности и т. д.) является причиной синдрома безопасной атаки — состояния субъектов информационных правоотношений, осознающих опасность нарушения и важность обеспечения безопасности информационной инфраструктуры, но в силу различных причин не обеспечивающих ее, в том числе при проведении в отношении нее компьютерных атак [Бегишев, 2018, с. 30].
По мнению австралийских ученых из психологической школы Университета Аделаиды, для успешного принятия решений в области информационной безопасности необходимы знание и соблюдение политик информационной безопасности, правовое поведение сотрудников [Parsons, 2015].
Таким образом, знание сотрудниками того, какие политики и процедуры информационной безопасности они должны соблюдать, их понимание того, почему они должны придерживаться правил и что они на самом деле делают (своего поведения), может положительно повлиять на состояние защищенности цифровой информации и цифровой инфраструктуры [McCormac, 2017].
Исследователи из малазийского университета акцентируют внимание на том, что организации выиграют от мониторинга информационной безопасности, поощряя поведение сотрудников, выходящее за рамки политики безопасности. Они уверены, что некоторые сотрудники склонны отказываться от безопасных действий, когда такое поведение воспринимается как неудобное. Следовательно, организации должны найти способы уменьшить воспринимаемые неудобства, используя различные методы автоматизации информационной безопасности и специализированные программы обучения [Ahmad, 2019], поскольку создание позитивной культуры информационной безопасности — это эффективный способ пропаганды поведения и практики безопасности среди сотрудников организации [Nasir, 2019].
Существует мнение, что культура информационной безопасности определяет порядок действий в организации в отношении информационной безопасности с целью защиты информационных активов и влияния на безопасность сотрудников [Al Hogail, 2014].
Весьма полезными для нас оказались результаты исследований зарубежных
ученых, которые при изучении связи между кибербезопасностью и культурными,
личностными
и демографическими переменными выявили закономерности и пришли к выводу, что
культура, поведение, самоэффективность и отношение к частной жизни оказывают
влияние на культуру информационной безопасности по сравнению с другими
психологическими
и демографическими переменными [Halevi, 2016], в том числе при решении проблемы апатии
сотрудников к информационной безопасности [Thomson, 2012]. Подход организации к
информационной безопасности должен быть ориентирован на поведение сотрудников,
поскольку успех организации сильно зависит от того, что и как ее сотрудники
делают.
Таким образом, культура информационной безопасности в психологическом аспекте включает такую составляющую, как информационно-психологическая безопасность. Так, известно, что сегодня информационное воздействие может негативно влиять на психические функции как отдельно взятого человека, так и массы людей. Это, в свою очередь, негативно отражается на реализации жизненно важных интересов личности, общества и государства в цифровой сфере.
В литературе существует мнение, что информационные технологии сегодня — это центральная угроза информационно-психологической безопасности личности [Кузнецова, 2008]. Средства массовой информации способны формировать сознание современного человека. Кроме того, нельзя недооценивать влияния на психику различных ресурсов информационно-телекоммуникационной сети «Интернет». Например, дети и подростки, психика которых подвержена различным воздействиям, испытывают на себе особенно сильное влияние цифровых потоков информации [4—8; 10—14; 18; 20; 21; 26].
Сегодня в информационно-телекоммуникационной сети «Интернет» получают распространение пропагандистские материалы [Борисова, 2019], фейковые новости [Манзи, 2020] и призывы для вовлечения в организованную преступную деятельность [Бегишев, 2020, с. 97], публикуются рецепты изготовления взрывчатых веществ, оружия, наркотиков и пр. Подобная информация может иметь научно-технический характер, а может представлять серьезную угрозу для национальной безопасности и в отдельных случаях причинять вред психическому здоровью граждан.
Некоторая часть граждан также безосновательно считают, что правонарушения, которые они совершают в информационно-телекоммуникационной сети «Интернет», будут носить характер анонимности и, соответственно, останутся безнаказанными. Именно поэтому, будучи в жизни законопослушными гражданами, в информационно-телекоммуникационной сети «Интернет» они могут проявлять свои агрессивные противоправные наклонности.
Обществу и государству необходимо принять ряд мер, чтобы защитить как молодое, так и старшее поколение от негативного влияния цифровых потоков, которое может проявиться психическими нарушениями, возникновением психоэмоциональных проблем.
Культура информационной безопасности способна обеспечить устойчивость психики личности к различным информационным воздействиям. В связи с этим уровень культуры информационной безопасности личности будет определяться ее способностью произвести критический анализ, оценить воспринимаемую информацию для принятия объективного решения с учетом этих данных.
Посредством формирования и развития культуры информационной безопасности возможно преодоление цифровой экспансии. Осознавая всю глубину проблемы, люди должны быть готовы к глобальным цифровым переменам, событиям, в качестве участников которых им приходится выступать. На этом пути важным этапом может стать разработка теории цифровых нововведений, так как часто готовность граждан к новшествам при формировании цифрового общества оставляет желать лучшего. Кроме того, владеющий культурой информационной безопасности гражданин должен быть знаком с психологическими аспектами принятия стратегических решений в условиях цифровой экономики.
В то же время с правовой точки зрения культура информационной безопасности — это знания и навыки граждан, в том числе и тех, кто находится при исполнении профессиональных обязанностей в сфере защиты информационных и киберфизических систем.
Центральная составляющая культуры информационной безопасности — это совокупность политик информационной безопасности, правил, норм и стандартов безопасного использования цифровых технологий, в том числе этические нормы.
Государственно-правовая политика в рамках формирования культуры информационной безопасности основана на дифференцировании мероприятий государственной политики по основным социальным группам общества, для того чтобы преодолеть недостаток знаний в цифровой сфере, а также на координации деятельности государственных органов, бизнес-структур и институтов гражданского общества путем разработки и принятия соответствующих правовых актов.
В заключение отметим, что культура информационной безопасности может быть рассмотрена как в психологическом, так и в правовом разрезе. С психологической точки зрения культура информационной безопасности включает готовность современного человека к преодолению цифровой экспансии за счет овладения им инструментарием противодействия негативным информационным факторам. С правовой точки зрения культура информационной безопасности базируется на нормативно-правовой базе, регулирующей правоотношения в сфере кибербезопасности.