×
IoT World 2016. Арлет Харт, ФБР: Что означает безопасность в эпоху Интернета вещей?

Выступление Арлет Харт (Arlette Hart), CISO FBI, на конференции IoT World 2016, посвященное вопросам обеспечения информационной безопасности в эпоху Интернета вещей, когда «даже карандаш может иметь IP-адрес», а утечку можно организовать через подключенную детскую игрушку или кондиционер. Чем занимается CISO FBI, какие рекомендации можно дать бизнесу и госведомствам, как защищить информацию, отделив действительно нужную от второстепенной, где проходит граница доверия к автоматизации, роботам и искусственному интеллекту, которую цивилизации переступать нельзя.

 

JSON.TV продолжает серию публикаций с конференции IoT World 2016 (10-12 мая, Санта-Клара, Калифорния). Благодарим за приглашение организаторов - Informa Group.

 

См. выступление Арлет Харт с IoT World 2016 на языке оригинала

 

Доброе утро! Большое спасибо за возможность быть здесь сегодня... Мы, ФБР, так же как и руководство государства в целом, всегда профессионально интересуемся людьми, имеющими способности к высоким технологиям, потому что такова специфика нашей работы. Мы все работаем в одной сфере, и двигаемся в одном направлении. Это очень важно. Как сказал ведущий, я занимаюсь защитой инфраструктуры ФБР, и слежу, чтобы данные и технические средства были надёжно защищены. Всеми доступными средствами. Не каждый справится с такой работой самостоятельно. Задача CISO - убедиться, что работа выполняется при должном уровне безопасности. Это и есть моя работа. Это также означает, что по мере появления и внедрения новых технологий, мы следим за тем, чтобы всё работало в соответствии с современными требованиями в сфере технологий и нашими требованиям безопасности. Это сложно.

 

Здесь, в Силиконовой Долине, много людей, находящихся на одном уровне и говорящих языком, который непонятен людям из моего города Бивер-Фоллс, Пенсильвания. Не знаю, знакома ли вам идея «старения Америки», но средний возраст в Бивер-Фоллз (не знаю как сейчас, не живу там больше, но плюс-минус) – «за 60». То есть вся центральная часть страны находится в этой возрастной категории, что создаёт контраст с жителями крупных городов на побережьях. И это отдаляет их от мира IoT-технологий, они остаются вне этого пространства.

 

 

 

Арлет Харт (Arlette Hart), Директор по информационной безопасности ФБР

 

Кроме того, существует определённый входной порог в IoT. И бюджетные учреждения, к примеру, библиотеки, сами студенты и учителя; государственные церкви, больницы, имеющие невысокую покупательскую способность и т.д. – все они даже при необходимости не имеют возможности вкладывать большие средства в IoT. Мы говорили об обеспечении связи. В Сан-Франциско можно обеспечить множество различных видов связи. В  маленьком городке в центре Среднего Запада - это сделать гораздо труднее.

 

Ещё один важный момент состоит в том, что данные должны иметь реальную  физическую основу. У вас были часы, фотоаппарат, компас, таксофон, адресная и  телефонная книга. И каждая из этих вещей была видима и осязаема. Но получение  информации из этих источников было процессом подчас долгим и мучительным. Все эти предметы сейчас перенесены в компактные устройства. IoT способствует этому  процессу и сегодня вы управляете вещами на расстоянии через эти мобильные  устройства и приложения. И это важно, так как некоторые из этих вещей - жизненно  необходимы, к примеру, имплантированные медицинские аппараты. Вы ведь всё это знаете, так? И когда вы думаете об IoT как понятии...

 

Моё понимание этого следующее - люди понимают IoT как некоторое количество направлений - одно, два, три... Сама сфера IoT - гораздо шире, но пользователь не думает так же, как и вы. Мы не думаем о SmartCity или как подключить дом к кардиостимулятору или часам, как  присмотреть за вашей одеждой или за водопроводом и так далее. Люди в общем и целом мыслят отдельными категориями, не объединяя их друг с другом. И это создаёт  некоторое недопонимание между теми, кто всё это имеет и теми, у кого  этого  нет.

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Мы также смешиваем бизнес и личное пространство так, как мы никогда раньше не  делали. Раньше ты шёл на работу и делал только свою работу. Иногда у кого-то была своя электронная почта, но, пожалуй, это был единственный вариант присутствия в  виртуальном  пространстве. Ваше присутствие в Сети сегодня - это совокупность  рабочего и личного времени. Это сплошная среда. Сегодня вы присутствуете в виртуальном пространстве на тех же правах, что и целая организация. То есть границы сильно размываются с помощью IoT, приложений и всем спектром технологий, которые проникают в любую точку мира. Данные, с которыми вы работаете в организациях, должны находиться под контролем. Теперь уже - не обязательно под вашим личным контролем. Таким образом, сверхподключённая среда требует сверхнадёжности.

 

Я надеюсь, что подключение сети выполнено строго согласно моим требованиям. Три очень важных условия: вам необходимо иметь исправное сенсорное устройство; оно должно точно снимать показания; оно должно отправлять сигнал – «включён/выключен». Это - три элемента доверия, не работающие по отдельности. И все они не зависят от вас напрямую. И когда вы смотрите на это с точки зрения безопасности, вы спрашиваете себя «как я могу это проверить?» и «как я могу на этом этапе проверить всё это в действии?». Люди часто рассуждают так: «я должен просчитать риски, я должен принимать эти риски в расчёт». И это верно, но убедитесь, что вы правильно понимаете, что это значит. Потому что просто просчитать риски не означает исключить возможные проблемы. Это означает, что если, всё же, что-то произойдёт, я сделаю все необходимые выводы, и учту это в дальнейшем.

 

Три очень важных условия обеспечения безопасного подключения: вам необходимо иметь исправное сенсорное устройство; оно должно точно снимать показания; оно должно отправлять сигнал – «включён/выключен». Это - три элемента доверия, не работающие по отдельности. И все они от вас напрямую не зависят.

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Честно говоря, это сложная задача. Также важно понимание того, в чём слабые стороны передачи вашей информации... Это как... Кто-то где-то что-то делает, но до меня это доходит через множество этапов, поэтому у меня вопрос по цепочке поставок - не только «для чего эта цепочка создана?» и «из чего она состоит?», но и «сколько ступеней этой цепи скрыто от меня в данный момент?». Всё это приводит нас к одному из важнейших возможных непредвиденных последствий, особенно характерных для мира IoT-технологий. Так как вы развиваете что-то с целью выполнить определённую задачу и довести её до конца. И вдруг вы должны заниматься чем-то совершенно другим.

 

1998 год. Интерактивная игрушка Furby (Фёрби) от Hasbro. Маленькое милое пушистое существо, сидящее на столе или  где-то ещё и записывающее и воспроизводящее всё, что происходит вокруг. Мы тут  разрабатываем средства безопасности, а потом «ой, это же маленькое милое пушистое  существо, которое записывает и воспроизводит всё, что происходит вокруг... Но это  же неправильно, мы ему не разрешали записывать всё это». Это работало как элемент  управления сознанием и сотрудники NSA (Агентства Национальной Безопасности США) и прочих организаций брали его на свои рабочие места. «Смотрите, игрушка!»... Нежелательные последствия. Покупаете ховерборд - он взрывается, устраивая пожар в вашем доме. Непредвиденные последствия.

 

Ваш телевизор смотрит вас. Он смотрит вас так же, как вы смотрите его. Это не очень хорошо, я не очень хочу, чтобы за мной следили...

 

Хорошо, это не лучшие примеры и они не имеют прямого отношения к IoT-среде, это всего лишь взрывающиеся батареи в игрушке, но один подобный случай произошёл сегодня утром. Не знаю, сколько из вас смотрело утренние новости сегодня, но сказали, что у детей загорелась светящиеся кроссовки из-за взрыва батареи. Так что это всё серьёзно. Я никого не обвиняю, ни одну из компаний-производителей и не конкретизирую. Но будущим покупателям стоит быть внимательнее. Ваш телевизор смотрит вас. Он смотрит вас так же, как вы смотрите его. Это не очень хорошо, я не очень хочу, чтобы за мной смотрели. Или эти беспилотники... Или предвестник искусственного интеллекта (AI) - чат-робот Tay от Microsoft (по заявлению корпорации «искусственный интеллект, имитирующий речь 19-летней американской девочки-подростка»), рассчитанный на общение с ребятами, которого отключили менее чем через 24 часа после запуска, потому что молодые люди начали... говорить с Tay со всем не о том. Это и есть кибербезопасность, задача которой - понимать и контролировать ваше оборудование.

 

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Что касается IoT-кибербезопасности. Это не ношение воды в решете. Так было давно, но осталось в прошлом. Сегодня у людей есть чёткое понимание необходимости авторизации, капчи, постоянных проверок реальности пользователя, подтверждения его дееспособности... И всё это вместе составляет систему безопасности в IoT. Вы не знаете как работает IoT, но ещё меньше понимаете, как работает её система безопасности. Это правда. Поэтому имеет смысл управлять вашим оборудованием. И когда вы это делаете, то заканчиваете словами «хорошо, в чём плюсы и минусы всего этого?». Как плюс - IoT обеспечивает уровень безопасности, невиданный доселе. Вы можете находиться где-то, и люди будут знать, где вы находитесь, точно или приблизительно. Ваш холодильник сообщает вам, что яйца протухли. Ваш автомобиль сообщает вам о необходимости устранения той или иной неполадки или пополнения запасов, например, что кончилось масло или спущена шина. Ваша машина может сообщить вам всё.

 

Что касается IoT-кибербезопасности. Это не ношение воды в решете. Так было давно, но осталось в прошлом. Сегодня у людей есть чёткое понимание необходимости авторизации, капчи, постоянных проверок реальности пользователя, подтверждения его дееспособности... И всё это вместе составляет систему безопасности в IoT. Вы не знаете как работает IoT, но ещё меньше понимаете, как работает её система безопасности.

 

Ваши поставщики также будут напоминать вам о заканчивающихся запасах чего бы то ни было. Доставят вам всё необходимое в нужное место, вычислив ваше местонахождение по IP-адресу. Мы достигли такого уровня развития, что каждый карандаш сегодня может иметь свой IP-адрес... Поэтому вам привезут новый карандаш, как только этот будет использован. Я знаю, мы уже не пользуемся карандашами, но вы понимаете, о чём я. И они точно знают, чем ваша компания занимается, а чем она не будет заниматься никогда. И когда вы обрабатываете данные, вы видите полную картину - это нормально, а это - ненормально. Со всеми вытекающими отсюда последствиями и действиями. Они знают ваши предпочтения, вкусы, что вы обычно покупаете. Вы только зашли в магазин, а вам уже предлагают повернуть налево, потому что там продаются ваши любимые туфли... Я женщина, поэтому и говорю о туфлях. Но какова цена этого удобства и пренебрежением безопасностью?

 

Цена состоит в том, что вы даёте много информации о себе другим организациям, которых вы не знаете. Может быть, здесь больше чем 2 стороны, но третью и следующие я не могу озвучивать. Так что вопрос по части безопасности состоит в следующем - что ты передаёшь, и что оставляешь при себе в этой модели. Так же дело обстоит и с организациями. То же самое с городами и странами. Что мы отдаём, и что оставляем при себе? Как выглядит пользовательское соглашение и соглашение об уровне услуг?  На что вы подписываетесь, когда ставите галочку в этом окошке? Вы читаете их? Я прочитала всего пару, мельком. Но собирают ли они только ту информацию, что должна быть собрана? Что они вообще делают, и какова защита данных? Защищена ли информация соответственно вашим интересам?

 

Ваши поставщики … доставят вам всё необходимое в нужное место, вычислив ваше местонахождение по IP-адресу. Мы достигли такого уровня развития, что каждый карандаш сегодня может иметь свой IP-адрес... Но какова цена этого удобства и и пренебрежением безопасностью? Она состоит в том, что вы даёте много информации о себе другим организациям, которых даже не знаете…

 

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Ещё один момент - правила и законы. Каждое государство, город, штат, любой человек навязывает свои правила, потому что все знают – здесь что-то происходит. Поэтому правилам стоит уделить немного больше внимания на этом этапе, чем обычно уделяется. Программное обеспечение с открытым кодом, раздача данных - всё это хорошо, я вообще приветствую всё, что может приоткрыть скрытое, и сделать его чуть светлее, чем оно должно быть.

 

Я хочу ещё кое-что добавить к этому слайду, и сказать о жизнестойкости и гибкости системы. Это нечто многообещающее в сфере IoT и одновременно большой вызов. Если говорить о гибкости системы, мы имеем вероятность того, что события будут развиваться не так, как ожидается при отсутствии верификации. Особено в таких вещах, как системы слежения и жизненно важные элементы инфраструктуры. Когда мы говорим о понятии гибкости системы, то тут мы тоже должны подтверждать нашу активность и верифицировать себя. Но другой вопрос, также относящийся и к машинам и всему прочему - это когда человеку нужно вернуться в эту «цепочку».

 

Не знаю, сколько из вас было здесь году эдак в 1999, когда внезапно перед нами встала проблема смены дат, так как год в цифровых устройствах записывался двумя цифрами. Но в спешном порядке, заранее (так как некоторые службы составляли план работы вперёд), силами лучших программистов, проблема была решена и времяисчисление вернули в правильный формат. У нас было немного таких программистов в то время. А сегодня мы говорим об IoT как о движущем элементе автоматизации вчерашнего, простого способа управления. Если раньше люди поворачивали колёса и переключалии рычаги вручную, то сегодня это делается автоматически. Мы должны сохранить тот же уровень владения знаниями и навыками... даже не должны, а скорее нам нужно понять, где нам необходимо оставить этот физический контроль. А когда что-то по-настоящему выходит из строя, как сохранить физический контроль для исправления ситуации? И нам нужны люди, процессы, возможности, знания и навыки для того, чтобы сделать это вовремя.

 

В условиях вездесущей автоматизации…нам нужно понять, где точно необходимо сохранить физический контроль. Чтобы в случае действительного выхода из строя оборудования, систем и элементов стратегически важной инфраструктуры, вернуть контроль и исправить ситуацию вручную.

 

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

С точки зрения ФБР я смотрю на это, как на нечто, что идёт по непредвиденному сценарию. Возвращаясь к уже сказанному - в ховерборде взрывается батарея. Никто изначально не смотит на ховерборд, как на нечто пожароопасное. Все смотрят на это как на игрушечный вид транспорта. Но непредвиденные обстоятельства приводят нас к чему-то совершенно иному. Нам необходимо понимать, что делать в неожиданной ситуации. С приходом новых технологий всё меняется. И хотя изменяется форма, по сути, мы продолжаем жить в мире потребления. iPhone, Android, - большинство товаров производится с одной целью - удовлетворить спрос. Никто не начинает производство, чётко осознавая механизмы обеспечения безопасности. Да, некоторые компании заявляют, что безопасность для них превыше всего. Но на самом деле безопасностью они занимаются лишь на уровне, достаточном для обеспечения определённого уровня потребления их продукции.

 

iPhone, Android, - большинство товаров производится с одной целью - удовлетворить спрос. Никто не начинает производство, чётко осознавая механизмы обеспечения безопасности. Да, некоторые компании заявляют, что безопасность для них превыше всего. Но на самом деле безопасностью они занимаются лишь на уровне, достаточном для обеспечения определённого уровня потребления их продукции.

 

Не существует единых требований к оборудованию, используемому внутри организаций. Каждая компания решает эти вопросы по-своему, иногда действуя по принципу BYOD (схема работы, при которой сотрудники работают на своих личных устройствах). Это проблема. У нас бывают случаи прихода на рынок непредвиденных технологий, вопросы, касающиеся скорости обработки данных. Мы получаем множество разной информации из различных средств и источников, мы можем очень многое узнать из этих источников, вплоть до деталей. И что вы делаете с этой информацией? Вы её защищаете? И ещё один важный момент использования высоких технологий в том, что ей абсолютно без разницы кто ею пользуется. У вас много информации, вы её обрабатываете, а вместе с вами и кто-то ещё. Так же, как вы можете достать свой iPhone и сделать фотографию... ну например меня. Почему бы и нет? И эта же самая камера может фотографировать совсем не то, что нужно. Например, что-то незаконное. Для самого устройства не будет никакой разницы между фотографиями с вашего дня рождения и чем-то противозаконным, так же попавшим в объектив. Технологии - не цель. Технологии - это нечто нейтральное.

 

Опасность в том, что высоким технологиям абсолютно без разницы кто ими пользуется…У вас много информации, вы её обрабатываете, а вместе с вами и кто-то ещё. Так же, как вы можете достать свой iPhone и сделать фотографию... Для устройства не будет никакой разницы между фотографиями с вашего дня рождения и чем-то противозаконным, так же попавшим в объектив.

 

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Опять же - в контексте ведения бизнеса, его необходимо охранять на должном уровне обеспечения безопасности. И главная задача IoT – понимать, какие данные поступают, какие отправляются и что произойдёт, если мы потеряем данные или их носители, что не менее важно. Поэтому важен вопрос доступа к информации - что будет, если его получит кто-то другой? Кто-то, кто хочет этого. Не тот, кто может, и не тот, кто знает, что с ней делать, а кто просто хочет. Я знаю очень хорошо, что если вы блокируете доступ к информации, вы получаете сбой. Информация должна передаваться. Она не имеет ценности, если лежит мёртвым грузом. Но вы должны понимать, как и куда она движется, и кто может ею воспользоваться. Что вам придётся потерять?

 

Вам, возможно, знакомы эти люди? Взлом данных посредством системы HVAC (система вентиляции и кондиционирования). Исчезли средства с 40 млн карт, ущерб составил более $200 млн. Их по-прежнему так и не нашли. Это было что-то по-настоящему непредвиденное. Две недели назад $80 млн было украдено из банковской базы данных. И единственная причина, по которой они не потеряли ещё $850-870 млн – это то, что вмешался оператор. Не буду долго рассуждать о банковских картах и подобном, что люди пытаются защитить. Но вы можете быть уверены, что миллионы людей борются за надёжность всего этого. Но потом вы смотрите на это и говорите - они же потом всё восстановят. Утечка данных произошла не по моей вине. Не самый любимый мой пример, но 2001 год и Роберт Хэндс. Это случай, расследованием которого активно занимался ФБР. Он вынес напечатанные документы со своей работы, скопировал их на бумагу, передал третьим лицам. В 2013 году была попытка украсть уже электронные данные.

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Что? если это ваша организация? Что если это ваши данные? И, честно говоря, это вполне возможно. Можете ли обойти ограничения времени и доступа? Территориальные ограничения ваших данных? Вы точно знаете, что ваши сотрудники могут увидеть, а что им видеть не следует? Знаете ли вы, что вы ищете и как это должно быть защищено? У вас должна быть хорошая идея на этот счёт, потому что если это касается вашего бизнеса, то в случае чего, вы выпадете из бизнеса на неопределённый период. Это даже не обсуждается. Убедитесь также, что вы решили и нормативные вопросы. Когда у вас есть персональные данные, то если вы не можете их защитить, то и не храните их. Вы можете многое перепутать, потому что есть различные способы получения информации, и поэтому вы можете просто вернуться к оригинальному источнику информации, вам не нужно копить эту информацию. Просто возьмите её с физического носителя.

 

Ещё один момент и здесь IoT также чрезвычайно важен - это обслуживание оборудования. Управление сетью поставщиков - важнейший вопрос, касающийся всех. Некоторые производители высокотехнологичного оборудования особенно сосредоточены на этом вопросе и прослеживают обслуживание всей цепочки поставок от начала до конечного потребителя. Многие организации делают так. Подумайте о таких понятиях как программное обеспечение. Итак, даже если вы не хотите контролировать ваше ПО, особенно opensource, вы всё же хотите понимать, проверенные ли это поставщики, как оно обслуживается. Вы не пользуетесь сомнительными функциями, а чётко следуете инструкциям. Вы знаете, что пользоваться сомнительными функциями - это риск получить вирус. Поэтому делаете строго то, что должны.

 

Хорошее во всем этом то, что индустрия понимает, что безопасность является серьёзным вопросом. Угрозы многочисленны, они приходят всё чаще и они всё серьёзнее. Правительство не может решить эти проблемы. Правительство точно так же подвергается атакам, как и вы, и мы всегда будем немного отставать. Вы знаете это…

 

 

Слайд из презентации Арлет Харт, CISO FBI

 

Хорошее во всем этом то, что индустрия понимает, что безопасность является серьёзным вопросом. И будучи здесь, слыша разговоры людей, я понимаю, что люди в целом не всегда придают этому значение, но это моя работа, поэтому я сконцентрирована на этой проблеме. Угрозы многочисленны, они приходят всё чаще и они всё серьёзнее. Новое - не ново, нам нужно двигаться быстрее. Правительство не может решить эти проблемы. Правительство точно так же подвергается атакам, как и вы и мы всегда будем немного отставать. Вы знаете это. У нас теперь есть целая организация, созданная по инициативе ФБР - NCIJTF (национальная межведомственная группа расследований кибер-преступлений). Она объединяет все возможности для защиты государства. Мы находим что-то, начинаем работать вместе, и совместно находим средства, которыми государство может себя защитить.

 

Спасибо!