Bloomberg: Запрет правительства США на использование Kaspersky создает некрасивый прецедент?

В заявлении Департамента внутренней безопасности США(DHS) убедительно изложен довод предосторожности. DHS говорит, что "антивирусные продукты и решения Kaspersky обеспечивают широкий доступ к файлам и повышенные привилегии на компьютерах, на которых установлено программное обеспечение." Это бесспорно верно. Также сообщается, что российское правительство может "запросить или принудить помочь" Kaspersky, что тоже верно, насколько это возможно: Кремль может оказать любое давление на любую компанию с масштабными российскими операциями, и Kaspersky - одна из таких компаний.

Kaspersky Lab предложила США проверить свой исходный код, но любая такая проверка может упустить бэкдор, а исходный код может быть изменен после этого. Правительство США может протестировать продукцию Kaspersky, поставив ее на "медовый сервер" и наблюдая возникнет ли какая-либо вредоносная деятельность - но что делать, если российское правительство спасает Kaspersky для какой-то глобальной атаки как глубоко внедренного крота в разведывательное сообщество США?

Конечно, содействие шпионажу со стороны правительства убьет Kaspersky как бизнес с глобальными доходами в размере около 600 миллионов долларов. Не беспокоится ли российское правительство об этом, если оно сочтет, что национальные интересы будут обеспечены вооружением Kaspersky в какой-то решающий геополитический момент? Ни минуты.

Я спросил Костин Раю, руководителя аналитики Kaspersky, как компания отвечает на обвинения. Он ответил по электронной почте:

В нашей отрасли есть в основном два типа людей - те, кто делает оскорбительные вещи, ломая программное обеспечение, создавая шпионские инструменты и помогая правительствам с их шпионскими усилиями. Другая категория состоит из людей, которые борются за пользователей, встают на их сторону, защищают их от атак, создают программное обеспечение, защищающее компьютеры и делают всевозможные неприятности для шпионских агентств.
В течение 20 лет, Kaspersky Lab борется за пользователей. Мы создали одно из лучших в мире программных обеспечений безопасности и нанимали только тех людей, которые соблюдают самые высокие этические стандарты. Любой из наших экспертов сочтет неэтичным злоупотреблять доверием пользователей, чтобы облегчить шпионаж со стороны любого правительства. Даже если бы, скажем так, один или два таких человека каким-то образом проникли бы в компанию, то  в Kaspersky Lab работают более 3000 человек, и некоторые из них заметили бы что-то подобное.

По сути, похоже, что фирма стоит на чистоте своих намерений и на силе своей репутации. Антивирусные продукты Kaspersky Lab постоянно проявляют себя как лучшие в сравнении с другими продуктами, а многие годы такой производительности должны чего-то стоить. Их опровержения убедили многих, судя по тому, что не было немедленных последующих действий по решению США со стороны крупных союзников США.

Недавно министр внутренних дел Германии Томас де Мезьер заявил, что его правительство имело "положительный опыт" работы с Kaspersky и что решение США дало "основание для новой проверки, но на данный момент нет оснований для изменения наших отношений." Канадское правительство, которое имеет еще более тесные отношения обмена разведданными с США, чем немецкое правительство, не отменило разрешения на продукцию Kaspersky. Это подрывает аргумент "разумной предосторожности" США. Теоретическая опасность использования оружия Kaspersky не гарантируется, если государства, с которыми происходит обмен конфиденциальными данными, не разделяют их опасений.

Возможно, есть еще одна причина, по которой некоторые правительства не решаются следовать примеру США, по крайней мере пока: Kaspersky доказали свою полезность в выявлении угроз, которые потенциально возникают в разведывательном сообществе США. Одним из примеров является подозрительное средство Агентства национальной безопасности, известное как Regin Trojan, обнаруженное Kaspersky и американской фирмой Symantec в 2015 году.

Всегда трудно было выявить вредоносные действия в киберпространстве, и традиционно компании кибербезопасности не тратили на это много усилий, сосредоточившись на победе над угрозами, особенно теми, которые предположительно исходили от негосударственных субъектов, таких как террористы. Пожалуй, это еще более разумный подход, но политический фокус сместился на ведение национальных кибервойн.

Политика или бизнес?

Логика заявления DHS состоит в том, что российская компания, скорее всего, будет действовать от имени российского правительства, а это говорит о том, что она потенциально более доверительна угрозам, создаваемым США. Разумная политика правительства третьей стороны в таком мире заключалась бы в сотрудничестве с самым широким кругом компаний по кибербезопасности, с тем чтобы ни одна угроза не была ослаблена под давлением национальных государств, в которых базируются охранные фирмы. Это потенциально хорошо для Kaspersky за пределами США, хотя, на самом деле, это плохо для индустрии кибербезопасности; вместо равного доверия, которым пользуются сегодня ведущие фирмы, такой прагматичный подход поставил бы их под равное подозрение.

Внезапно присвоение атак становится столь же важным, как и их отражение. Но это гораздо более сложная часть бизнеса, и гораздо менее полезная для практических целей. Кроме того, учитывая, что инсайдеры представляют самую большую угрозу, когда речь идет о кибер-вторжениях, компании уже не могут спокойно рассчитывать на международный пул талантов, как они это делали в течение многих лет. Стоит ли нанимать этого талантливого россиянина, если он может быть шпионом? Может этот хороший американский парень получил инструкции от NSA, чтобы вставить бэкдор в коммерческом антивирусном продукте? И вообще, если национальные государства рассматривают киберпространство как театр войны, не должно ли правительство или крупная компания ограничиваться национальным программным обеспечением?

Это, безусловно, то, что думает президент России Владимир Путин, когда он говорит российским компаниям информационных технологий начать использовать исключительно российское программное обеспечение, если они хотят получить государственные контракты. "В некоторых сферах государство неизбежно скажет вам: вы знаете, мы не можем взять это, потому что кто-то может нажать кнопку где-то, и это все выключится", - сказал Путин.

Возможно, правительство США должно быть одинаково настороженным. Но для других правительств и для частного бизнеса такое мышление может означать игнорирование угроз, которые наносят реальный экономический и политический ущерб сегодня. Форма индустрии кибербезопасности перед новой холодной войной - пул международных интеллектуальных навыков, объединенных против любых и всех угроз - будет более благоприятной для борьбы с ними.