Есть страны, где кибербезопасность считается вопросом национальной безопасности. Есть страны, где защита персональных данных является обязанностью государства. И есть Республика Молдова, где, если информация о компрометации данных сотен тысяч граждан и обвинения в несанкционированном доступе к государственной IT-инфраструктуре подтвердятся, мы можем обнаружить, что самым уязвимым звеном оказалась вовсе не информационная система государства, а система ответственности тех, кто им управляет.
А когда ситуация становится достаточно сложной, спасительное решение, похоже, уже найдено: парламентские слушания за закрытыми дверями.
Разумеется! Что может быть успокоительнее для гражданина, чем новость о том, что учреждения, отвечающие за безопасность его данных, будут давать объяснения в помещении, куда самому гражданину вход закрыт? Он может спокойно сидеть дома с телефоном в руках и ждать официального пресс-релиза. Если, конечно, у него еще остались причины для спокойствия.
Государственная тайна или партийный секрет?
Предположим, что информация о компрометации персональных данных примерно 750 тысяч граждан подтвердится. Предположим, что заявление Виктора Тэтару о предполагаемом несанкционированном доступе к государственным информационным системам содержит факты, которые можно проверить. Предположим, наконец, что действительно возникают серьезные вопросы о том, кто имел доступ к цифровой инфраструктуре государства и на каких условиях.
В зрелой демократии подобная ситуация вызвала бы стремление как можно скорее установить истину. Кто получил доступ? Кто его разрешил? Какие данные просматривались? Были ли они скопированы? Были ли изменены? Кто контролировал эти действия? Кто заметил нарушения и, главное, кто обязан был их заметить?
Однако в Кишиневе прозрачности рискуют отвести второстепенную роль, а главными действующими лицами становятся закрытые двери.
Аргументы в пользу закрытых слушаний могут быть вполне законными и обоснованными. Нельзя публично обсуждать пароли, технические уязвимости, архитектуру информационных систем или методы, которые могут помочь злоумышленникам. Никто не требует, чтобы парламент в прямом эфире раскрывал коды доступа к государственным системам. Не хватало еще, чтобы мы узнали пароль от системы национальной безопасности раньше хакеров.
Но между защитой чувствительной технической информации и сокрытием политической ответственности существует разница размером с брешь в системе безопасности.
Пароль можно держать в секрете. Но нельзя бесконечно скрывать ответ на вопрос, кто отвечал за то, что этот пароль оказался не в тех руках.
Можно защищать детали расследования. Но нельзя превращать все расследование в черный ящик, чтобы потом просто сообщить гражданам, что система функционирует в штатном режиме, не объяснив, кто это проверил и по каким критериям.
Парламент расследует. Гражданин ждет пароль от правды
Парламентские слушания должны быть инструментом контроля над исполнительной властью, а не семейным собранием, на котором представители государственных учреждений обсуждают между собой произошедшее и затем решают, что стоит рассказать обществу.
Если на слушания вызывают представителей структур, отвечающих за кибербезопасность, компетентных служб и учреждений, управляющих цифровой инфраструктурой государства, вопросы не могут быть исключительно техническими. Они также являются политическими.
Кто создавал механизмы безопасности? Кто их финансировал? Кто проверял, работают ли они? Кто получал предупреждения? Кто принимал решения о необходимых мерах? Кто несет ответственность за возможные недостатки?
А если слушания проходят за закрытыми дверями, общество должно получить хотя бы достаточно подробный отчет, чтобы понять, что было установлено, какие вопросы остались без ответа и кто несет ответственность.
Иначе мы рискуем стать зрителями парламентского спектакля по следующему сценарию: учреждения заслушаны, вопросы заданы, ответы получены, а истину, по соображениям безопасности, установить в интересах общества не удалось.
Такое достижение, без сомнения, заслуживало бы диплома по управлению непрозрачностью.
А если проблема находится среди тех, кто проводит расследование?
И вот здесь начинается самая неудобная часть этой истории.
Предположим, что проверки подтвердят: определенные лица действительно получили несанкционированный доступ к информационным системам. Предположим, что имели место проигнорированные предупреждения, нарушения процедур или административные решения, создавшие уязвимости. Предположим даже, что некоторые из этих решений принимали люди, назначенные, продвинутые по службе или находившиеся под контролем нынешней власти.
Что тогда? Ограничимся выводом, что государство подверглось внешней атаке? Или проверим также возможность того, что брешь возникла вследствие ошибок внутри самой системы?
Кибератака и ненадлежащее управление информационной безопасностью — не одно и то же. Несанкционированный доступ также не доказывает автоматически существование политического сговора. Но и исключать с самого начала ответственность тех, кто обязан был предотвратить инцидент, нельзя.
Самое удобное объяснение для любой власти заключается в том, что виновные находятся где-то снаружи: хакеры, иностранные агенты, враждебные силы, тайные сети. Иногда такое объяснение может оказаться правдой. А иногда оно становится отличным прикрытием для некомпетентности, халатности или внутренних злоупотреблений.
Именно поэтому расследование должно следовать за доказательствами, а не за политической выгодой.
Было бы иронией национального масштаба, если бы после месяцев предупреждений о внешних угрозах, торжественных заявлений о защите демократии и закрытых парламентских заседаний выяснилось, что часть уязвимостей создали именно те, кто должен был их устранить.
Мы не утверждаем, что это действительно так. Именно поэтому подобные обстоятельства необходимо расследовать.
Но было бы колоссальной ошибкой заранее исключать такую версию только потому, что она может вызвать политический дискомфорт.
Когда национальная безопасность становится идеальным щитом
В Республике Молдова секретность слишком легко может превратиться в универсальное решение.
Мы не можем сообщить информацию, потому что это секрет. Не можем опубликовать документы, потому что они содержат чувствительные сведения. Не можем объяснить, кто несет ответственность, потому что расследование продолжается. Не можем сделать выводы, потому что специалисты еще проводят проверки.
Так проходят дни, недели, возможно, месяцы. Граждане остаются с вопросами, учреждения — с материалами расследований, а политики — с возможностью переключить внимание на другую тему.
Но национальная безопасность не дает права освобождать чиновников и политиков от ответственности.
Если данные граждан были скомпрометированы, люди должны знать, какие существуют риски, какие меры защиты им следует принять и что сделало государство для ограничения ущерба.
Если под угрозой оказались избирательные системы, необходимо провести заслуживающую доверия оценку возможного влияния на избирательный процесс. Если выявлены недостатки, следует объяснить, кто их устраняет и кто за них отвечает.
А если определенная информация не может быть обнародована, власти должны объяснить почему, в каких пределах и на какой срок.
Секретность должна оставаться обоснованным исключением, а не привычным способом, которым власть решает собственные проблемы.
Выборы не защищают пресс-релизами и запертыми дверями
В демократическом обществе доверие к выборам зависит не только от подсчета голосов. Оно зависит и от уверенности в защищенности информационных систем, беспристрастности учреждений и в том, что любые серьезные подозрения расследуются без политического покровительства.
Тот факт, что результаты выборов были признаны законными, не означает, что любые последующие вопросы следует считать неуместными.
В то же время наличие обвинений автоматически не доказывает, что выборы были сфальсифицированы.
Между этими двумя крайностями существует единственный ответственный путь: независимая проверка доказательств.
Если доступов, способных повлиять на избирательную инфраструктуру, не было, власти должны иметь возможность подтвердить это результатами заслуживающего доверия технического аудита.
Если такие доступы были, необходимо установить, что именно произошло.
Если результаты выборов не пострадали, этот вывод должен подкрепляться доказательствами, а не просто повторяться на пресс-конференциях.
Общественное доверие не завоевывают фразой «просто поверьте нам». Особенно когда под вопросом оказалась сама способность государственных учреждений защищать данные и информационные системы страны.
Пароль может быть секретным. Ответственность — нет
Парламент имеет право, а в определенных ситуациях и обязанность проводить закрытые слушания. Но это право не должно превращаться в механизм, при котором общество узнает лишь о том, что обсуждение состоялось, но не узнает, к каким выводам пришли его участники.
Если слушания закрыты ради защиты государственной инфраструктуры, это можно понять.
Если же они становятся закрытыми ради защиты репутации отдельных чиновников или во избежание неудобных вопросов к действующей власти, тогда речь идет уже не о национальной безопасности, а о политической безопасности тех, кто находится у власти.
Именно здесь должно начинаться настоящее расследование.
Кто имел доступ? Кто его разрешил? Кто контролировал? Кто допустил ошибку? Кто знал? И кто теперь пытается определить, какую часть правды можно рассказать обществу?
Остается надеяться, что расследование не засекретят настолько тщательно, что из него не сможет выйти ничего, кроме пресс-релиза с заверениями, что все процедуры были соблюдены, все учреждения сотрудничали, а на все вопросы получены ответы.
Особенно если в конце расследования выяснится, что уязвимость была не только информационной, но и управленческой.
Ведь было бы по-настоящему иронично, если бы государство месяцами искало хакера за границей, чтобы в итоге обнаружить: самая большая проблема находилась внутри, за клавиатурой тех, кто должен был охранять систему.
В Республике Молдова пароль может быть государственной тайной. Но если политическая ответственность тоже становится государственной тайной, тогда перед нами не просто проблема кибербезопасности. Перед нами проблема демократии.
Власть, которая обосновывает свою легитимность защитой демократии, должна принимать и неудобные механизмы, позволяющие гражданам проверять, выполняется ли это обещание.
Чем серьезнее обвинения, тем более строгими и убедительными должны быть объяснения.
Если все работало правильно, независимая проверка должна помочь это доказать. Если были допущены ошибки, общество имеет право знать, кто несет за них ответственность.
В конечном счете вопрос не в том, должны ли мы доверять власти. Вопрос в том, какие доказательства власть предоставляет, чтобы заслужить доверие граждан.
Избирательный мандат дает право принимать государственные решения, но не освобождает от общественного контроля.
И если чувствительную информацию необходимо защищать, ответственность тех, кто управляет государством, не должна исчезать вместе с закрытием дверей зала заседаний.
В этом и заключается принципиальная разница: юридическая легитимность основывается на законах и процедурах, а демократическое доверие укрепляется благодаря прозрачности, ответственности и способности доказать, что власть действует в общественных интересах.
Кто защитит нас от тех, кто обещает нас защищать?
В итоге после многочисленных официальных заявлений, технических объяснений, подозрений и запланированных закрытых слушаний гражданин Республики Молдова рискует остаться с совсем неутешительным выводом: он уже не знает, защищены ли его данные, способны ли учреждения, обязанные их охранять, справляться со своей работой и узнает ли он вообще когда-нибудь правду, если что-то пойдет не так.
Нам рассказывают о национальной безопасности, защите демократии, внешних угрозах и устойчивости государственных институтов.
Но чего стоят все эти речи, если гражданин узнает, что его данные могли быть скомпрометированы, если появляются обвинения в доступе к государственным информационным системам, а ответы на ключевые вопросы рискуют остаться за закрытыми дверями?
Разумеется, до завершения расследований нельзя утверждать, что все обвинения доказаны или что действующая власть несет прямую ответственность за каждый инцидент.
Но и требовать от населения, чтобы оно принимало официальные заявления за доказательства, а институциональное молчание за профессионализм, тоже нельзя.
И здесь возникает вопрос, который, вероятно, не хотел бы услышать ни один политик.
Если государство не может убедить нас в том, что способно защитить наши данные, если учреждения не могут прояснить возникшие подозрения, а прозрачность заканчивается именно там, где начинается политическая ответственность, тогда как нам, гражданам, защититься от злоупотреблений, некомпетентности и решений, принимаемых без действенного общественного контроля?
Не с помощью паники. Не путем обвинений без доказательств. И уж точно не через отказ от демократических институтов.
А путем настойчивого требования правды, реального парламентского контроля, независимых расследований, свободной прессы, гражданского участия и использования всех законных механизмов привлечения к ответственности тех, кто осуществляет власть.
Правительство может политически пережить одну ошибку. Может пережить даже несколько серьезных промахов.
Но доверие не восстанавливается победными пресс-релизами и засекречиванием неудобных вопросов. Оно восстанавливается признанием ответственности, проверяемыми объяснениями и конкретными последствиями.
Если каждый инцидент объявляется недоразумением, каждый вопрос — политической атакой, а каждое требование прозрачности — угрозой государственной безопасности, тогда проблема выходит далеко за пределы одной информационной бреши.
Она превращается в проблему доверия между гражданами и теми, кто утверждает, что представляет их интересы.
А если нынешняя власть считает, что одного лишь юридического признания результатов выборов достаточно, чтобы требовать доверия без доказательств, ей стоило бы вспомнить элементарный принцип демократии: голосование дает право управлять государством, но не право делать это без контроля.
Возможно, настоящая уязвимость Республики Молдова заключается не только в серверах, базах данных и информационных системах.
Возможно, самая опасная уязвимость возникает тогда, когда государственные учреждения перестают убеждать общество в том, что работают в его интересах, а отсутствие прозрачности лишь углубляет пропасть между властью и гражданами.
В таких условиях вопрос «кто нас защищает?» рискует смениться куда более неудобным: как защитить наши права и интересы от власти, которая уже не способна предоставить достаточно объяснений, чтобы обосновать доверие к себе?
Демократический ответ прост, хотя воплотить его в жизнь значительно сложнее: требовать доказательств, требовать прозрачности, требовать ответственности и не отказываться от права контролировать власть.
А если находящиеся у руководства люди больше не могут доказать, что выполняют свои обязанности, граждане имеют право добиваться их смены через конституционные и избирательные механизмы.
Потому что в конечном счете государство существует не для того, чтобы защищать своих руководителей от вопросов граждан.
Это руководители должны доказывать, что защищают государство и его граждан.
И если двери парламента закрываются именно тогда, когда общество требует объяснений, возможно, под замком стоит держать не правду, а иллюзию того, что прозрачность — дело добровольное.