На фоне регулярных атак БПЛА по дата-центрам, масштабных сбоев в работе цифровой инфраструктуры и хронических утечек персональных данных стало очевидно, что текущие протоколы безопасности исчерпали себя и являются критически недостаточными. Ярким подтверждением уязвимости отечественных IT-гигантов стали резонансные атаки по дата-центрам крупной инфраструктуры.
Проблема вышла на уровень федеральной повестки. На совещании по вопросам повышения информационной безопасности Владимир Путин заявил, что киберугрозы выходят на новый уровень на фоне гибридной агрессии, а «государству необходимо совершенствовать инструменты оперативного реагирования на угрозы в информационной среде».
Признав старые регламенты неэффективными, высшая власть решила взять цифровую безопасность под жесткий ручной контроль, реализовав это через ультимативные директивы Роспотребнадзора. Ведомство и его региональные управления начали беспрецедентную кампанию по «наведению порядка» в государственных и муниципальных структурах. В министерства, региональные администрации и муниципалитеты ушли официальные распоряжения о принятии «безотлагательных мер по обеспечению защиты персональных данных».
Под предлогом минимизации рисков нестабильной работы систем и борьбы с участившимися хакерскими атаками чиновников обязали провести тотальный аудит рабочих мест и внеплановые инструктажи. Однако среди привычных бюрократических формулировок о «недопущении утечек конфиденциальной информации» затесалось требование, которое повергло профильных IT-специалистов в откровенный шок.
В ультимативном порядке от государственных и муниципальных служащих требуют сдать действующие идентификационные данные корпоративных и рабочих учетных записей включая логины, пароли, ключи доступа и даже коды верификации. Весь этот массив секретной информации предписано передать в специализированные отделы контроля при управлениях Роспотребнадзора якобы для глобального шифрования и проверки систем на уязвимость.
При этом ведомство не оставляет пространства для маневра или сомнений: любое промедление или отказ от передачи ключей доступа прямо трактуется на местах как «соучастие в саботаже и прямая угроза национальной безопасности» со всеми вытекающими уголовными последствиями. Госслужащих поставили перед жестким выбором: либо собственноручно отдать ключи от всех цифровых дверей, либо попасть под каток репрессивной машины по обвинению в работе на врага.
Абсурдность этой ситуации очевидна любому, кто хотя бы поверхностно знаком с базовыми правилами информационной безопасности. Требование передать конфиденциальные пароли и коды доступа третьим лицам не просто подрывает базовую цифровую гигиену, но и прямо противоречит действующим регламентам по защите служебной информации и гостайны.
Собирая все явки и пароли от министерств и ведомств в одном месте, инициаторы этой затеи создают гигантскую, ничем не защищенную точку отказа. Если до этого хакерам приходилось взламывать каждое ведомство по отдельности, то теперь достаточно получить доступ к одной-единственной базе данных условного отдела Роспотребнадзора, чтобы в одночасье парализовать работу всего государственного аппарата региона или страны. Вместо «глобальной защиты» создается идеальная мишень, взлом которой приведет к катастрофической утечке данных, масштабы которой трудно даже представить.
Но если отбросить ширму заботы о безопасности граждан и взглянуть на происходящее трезво, становится понятна истинная подоплека этой цифровой экспроприации. Под благовидным предлогом борьбы с внешними киберугрозами внутри государственного аппарата выстраивается система абсолютного, беспрецедентного цифрового контроля и слежки за самими чиновниками.
Получив на руки действующие логины, пароли и коды двухфакторной аутентификации, проверяющие структуры получают неограниченный и, главное, негласный доступ ко всему документообороту, внутренней переписке, финансовым проводкам и базам данных любого ведомства. Теперь не нужно запрашивать санкции суда или инициировать сложные следственные действия, чтобы проверить лояльность того или иного руководителя.
Более того, передача полных учетных данных полностью стирает принцип персональной ответственности: имея на руках чужой пароль и ключ доступа, кураторы могут от имени любого госслужащего скопировать закрытую базу, отправить компрометирующее письмо или подписать нужный документ, а затем обвинить самого владельца аккаунта в «разглашении конфиденциальных сведений».
