Глава 3. Системы безопасности.
Кто экономит на безопасности, тот кормит вора.
Системы безопасности — комплекс решений для предотвращения угроз, контроля доступа и защиты объектов от криминальных рисков.
В отличие от огня из предыдущей главы, у противника здесь есть разум, мотив и план, и потому теория физической защиты строится не на физике горения, а на теории игр и хронометраже. Классическая методология, разработанная в Сандийских национальных лабораториях США для защиты ядерных объектов и изложенная Мэри Линн Гарсиа в книге «The Design and Evaluation of Physical Protection Systems», сводит эффективность защиты к простому неравенству: суммарное время, которое нарушитель тратит на преодоление всех рубежей после момента его обнаружения, должно быть больше времени прибытия сил реагирования.
Кинематографичную иллюстрацию этого неравенства подарил триллер «Настоящая Маккой» (The Real McCoy, 1993) с Ким Бэсингер в роли виртуозной взломщицы сигнализаций: весь сюжет крутится вокруг того, чтобы уложить ограбление ровно в тот зазор между обнаружением и прибытием охраны, о котором и говорит формула.
Отсюда три кита физической защиты — обнаружение, задержка, реагирование (detect, delay, respond) — и вывод, строгий в рамках этой модели: забор без сигнализации и охраны сам по себе нарушителя не остановит — он лишь задерживает на минуту, которую никто не использует; обнаружение без задержки мало что даёт, ибо реагировать будет некому и не на что; а задержка до обнаружения вообще не идёт в зачёт — нарушитель пилит решётку в тишине и комфорте. Само неравенство — необходимое условие, а не гарантия: оно говорит, что без него защита точно не сработает, но не обещает, что с ним она сработает обязательно.
«Не защищает» здесь сказано в строгом смысле охранной формулы. Дачный забор без сигнализации и охраны действительно не остановит решительного вора — зато честно выполняет другие, вполне законные функции: обозначает и юридически закрепляет границу частной территории, отсекает случайного прохожего и поднимает порог решимости, ведь перелезть через двухметровое ограждение и психологически, и физически труднее, чем зайти в открытую калитку. То есть он работает на «задержку» и «обозначение», а не на «обнаружение» и «реагирование», — и в этом своём скромном амплуа вполне полезен.
Проектирование начинается поэтому не с расстановки камер по периметру, а с модели нарушителя — формализованного портрета противника: его осведомлённости (случайный хулиган, осведомлённый сотрудник, подготовленный профессионал), оснащённости (от отвёртки до болгарки и беспилотника), численности и решимости. Под каждую категорию нарушителя строится свой расчёт времени преодоления, и система, спроектированная против подростка с отвёрткой, честно и предсказуемо проигрывает организованной группе с инструментом — что не делает её бесполезной, если в техническом задании написана именно первая модель.
Безопасность, как мы уже договорились в главе 1, — это выбор приемлемых рисков, и модель нарушителя есть его документальное оформление. Тем, кому этот системный, «от модели угроз» подход к проектированию ближе, чем перебор отдельных приборов, советую заглянуть в «Проектирование и исследование комплексных систем безопасности» В. А. Рыжовой (2012) — там та же логика разложена обстоятельно и с инженерной строгостью.
Системы безопасности выполняют функцию противодействия нарушителям, а именно ограничение и контроль доступа, обнаружение нарушителя, визуальный контроль пространств и периметра.
Таким образом, комплекс систем безопасности является угрозой для тех лиц, которые по той или иной причине с какой-либо целью идут на соответствующий риск. Ключевая цель охранной сигнализации (ОС), системы контроля и управления доступом (СКУД) и системы видеонаблюдения (СВН) — не «исключить нарушение» (абсолютной защиты, как мы договорились в главе 1, не бывает), а снизить его вероятность и последствия до приемлемого уровня в рамках принятой модели нарушителя: сделать попытку дорогой, заметной и бесперспективной.
Народная мудрость «возможность украсть создаёт вора» имеет, между прочим, академическое оформление. Криминологическая теория рутинных активностей (Коэн и Фелсон, 1979) утверждает, что преступление происходит при совпадении в пространстве и времени трёх условий: мотивированного нарушителя, подходящей цели и отсутствия «дееспособного защитника». Технические системы безопасности атакуют все три компонента сразу: снижают привлекательность цели (маркировка, сейфы, витрины), создают эффект присутствия защитника (камеры, освещение, таблички) и повышают субъективную цену попытки. Сюда же примыкает целая дисциплина CPTED — предупреждение преступности через проектирование среды: просматриваемые пространства, чёткое разграничение публичных и приватных зон, «защищаемое пространство» Оскара Ньюмана.
Оскар Ньюман (1935−2004) — американский архитектор и градостроитель, который ещё в книге «Defensible Space» (1972) показал на статистике нью-йоркских кварталов нечто почти крамольное: уровень преступности зависит не столько от социального состава жильцов, сколько от самой планировки. Анонимные дворы-проходные, глухие лестницы и «ничьи» общие пространства, за которыми никто не чувствует себя хозяином, буквально приглашают преступника; и наоборот — пространство, чётко поделённое на зоны ответственности, хорошо просматриваемое и явно кому-то принадлежащее, защищает само себя без единой камеры. Эта идея «защищаемого пространства» и легла в основу всей дисциплины CPTED: дешевле спроектировать среду, в которой не хочется нарушать, чем потом ловить нарушителя.
Лучшая система безопасности — та, в зоне действия которой у нарушителя даже не возникает рабочего настроения. Разумеется, системы безопасности могут включать в себя и иные специализированные подсистемы, выполняющие различные технологические задачи, такие как автоматизация досмотра багажа или выявление разыскиваемых лиц, опасных веществ и материалов.
На транспортных узлах и объектах массового пребывания этот специализированный арсенал разворачивается во всю ширь: рентгенотелевизионные интроскопы просвечивают багаж, окрашивая материалы по эффективному атомному номеру (органика — оранжевым, металлы — синим), стационарные многозонные металлодетекторы локализуют находку по высоте, детекторы паров и следов взрывчатых веществ принюхиваются к микрочастицам на ладонях и документах, а радиационные мониторы молча считают гамма-кванты в потоке пассажиров. Отдельная и стремительно растущая статья — противодействие беспилотникам: радиочастотные детекторы, радары и средства подавления каналов управления, существование которых ещё десять лет назад интересовало только военных.
В некоторых (особенных) случаях на верхнем уровне автоматизации происходит сбор и обработка поступающей информации с целью управления инцидентом в соответствующем прикладном программном обеспечении PSIM (Physical Security Information Management — «управление информацией о физической безопасности»).
Идея PSIM выросла из простого наблюдения: оператор, перед которым десять разрозненных программ и сто мониторов, в момент реального инцидента не видит ничего. Интеграционная платформа собирает события всех подсистем в единую картину, накладывает их на план объекта и — главное — ведёт оператора по заранее написанному сценарию реагирования: кому звонить, какие двери блокировать, какие камеры выводить на стену.
Это прямая проекция азбучной истины инженерной психологии: в стрессе человек не думает, а исполняет процедуру (блестяще описанную Даниэлем Канеманом в «Думай медленно… решай быстро»: под давлением у человека включается быстрая, автоматическая «Система 1», а медленная, рассудочная «Система 2» попросту не успевает на сцену — вот почему правильное действие должно быть прошито в процедуру заранее, на холодную голову), и качество реагирования определяется качеством процедуры, написанной в спокойной обстановке. Дежурный оператор с грамотным сценарием стоит трёх героев с интуицией.
Кадровая сторона мониторинга заслуживает честного абзаца: профессия оператора видеонаблюдения психофизиологически неблагодарна — бдительность на монотонной задаче падает уже через двадцать-тридцать минут (классические исследования операторской бдительности это фиксируют со времён радарных вахт Второй мировой), текучка высока, престиж низок. Отсюда инженерный вывод, а не кадровый: систему надо проектировать под слабого оператора — аналитика поднимает события вместо стены экранов, интерфейс ведёт по сценарию, журнал фиксирует подтверждения, — и тогда сильный оператор становится бонусом, а не условием работоспособности. Системы, работающие только в руках энтузиастов, называются неработающими — к этой мысли мы ещё вернёмся, когда речь зайдёт о культуре безопасности.
Не могу исключить и адекватности принципа Джона Спартана «Send a maniac to catch a maniac», который в «надмозговом» переводе гласит: «Чтобы поймать разрушителя, нужен другой разрушитель». Речь здесь идёт о том, что в сфере работы с криминогенными рисками не лишним может быть талант одновременно размышлять как Шерлок Холмс и замышлять как профессор Мориарти.
На практике этот принцип называется red teaming: заказчик нанимает команду, которая легально и по договору пытается проникнуть на объект, пронести запрещённый предмет, подключиться к сети или уговорить охранника «придержать дверочку». Физический пентест отрезвляет быстрее любого аудита: бумажная модель нарушителя встречается с живым нарушителем, и выясняется, например, что великолепный периметр обходится через приоткрытое окно курилки, а в серверную пускают любого человека с уверенной походкой и стремянкой. Социальная инженерия — об этом ещё вспомним в главе про информационную безопасность — остаётся самым дешёвым и самым результативным инструментом взлома что сетей, что зданий.
В техническом плане охранная сигнализация аналогична пожарной сигнализации (и может выполняться на схожей элементной базе), с чем было связано их объединение в охранно-пожарную сигнализацию до соответствующих нововведений в нормах пожарной безопасности и организационными изменениями в сфере государственной политики.
Отечественная специфика здесь заслуживает исторической сноски: десятилетиями охранную сигнализацию в стране фактически монополизировала вневедомственная охрана МВД (ныне — в составе Росгвардии) с её пультами централизованного наблюдения, куда стекались сигналы с тысяч квартир и объектов. Эта школа дала рынку и кадры, и стандарты, и саму культуру «постановки на пульт» с прибытием группы задержания за считаные минуты — живую реализацию того самого «времени реагирования» из формулы физической защиты. Сегодня рынок мониторинга поделён между государственными и частными охранными организациями, но архитектура не изменилась: извещатель — объектовый прибор — канал связи — пульт — группа быстрого реагирования, и слабым звеном этой цепи, как водится, оказывается не электроника.
Извещатели объёма контролируют внутреннее пространство защищаемых помещений, а датчики разбития стекла и магнитоконтактные извещатели на дверях передают сигнал тревоги на охранные приборы среднего уровня. В СКУД точками доступа становятся двери и проходы, оборудованные считывателями и замками, и здесь стоит различать три разных «этажа» связи. Замок — исполнительное устройство: он управляется релейным выходом контроллера или простой командой по шине и никаких сетевых протоколов не знает. Считыватель общается с контроллером по своему интерфейсу — историческому Wiegand или современному OSDP по RS-485. И только контроллеры между собой и с сервером объединяются в IP-сеть; какой транспорт там используется — TCP или UDP — определяется протоколом конкретной системы, а гарантию, что тревога дошла, даёт не выбор транспорта, а подтверждение доставки на прикладном уровне: сервер обязан квитировать событие, а контроллер — повторять его, пока не получит квитанцию.
Физика охранных извещателей по-своему остроумна.
Пассивный инфракрасный датчик объёма ничего не излучает: его пироэлектрический сенсор через фасеточную линзу Френеля нарезает помещение на десятки чувствительных лучей и реагирует на перемещение теплового пятна из луча в луч — потому он слеп к неподвижному нарушителю и, увы, неравнодушен к батареям отопления, сквознякам и домашним животным (для последних придуманы линзы с «иммунной» зоной у пола).
Микроволновый извещатель, напротив, активен: он облучает объём радиоволной и ловит доплеровский сдвиг от движения, проникая сквозь тонкие перегородки — что одновременно достоинство и источник ложных тревог от коридора за стенкой.
Комбинированный датчик, требующий одновременного срабатывания обоих каналов (логика «И»), заметно реже даёт ложные тревоги от батареи или сквозняка. Но у этой медали есть оборот: он же чаще пропускает настоящего нарушителя — когда зоны обнаружения двух каналов перекрываются не полностью, или движение заметно лишь одному из них, система промолчит. Разные физические принципы снижают долю общих помех, но не делают каналы полностью независимыми, и «почти не врёт» относится только к ложным тревогам, а не к пропускам. Выбор логики — вопрос того, какая ошибка в данном помещении дороже.
Акустический извещатель разбития стекла распознаёт характерную звуковую сигнатуру — низкочастотный удар плюс высокочастотный звон осколков, — а магнитоконтактный геркон на двери прост, как топор, и столь же надёжен, чем и заслужил место в каждом первом проекте. Классическим справочником по всему этому хозяйству — извещателям, шлейфам, приборам — заслуженно считается «Системы охранной, пожарной и охранно-пожарной сигнализации» В. Г. Синилова (2010), не одно поколение монтажников выросло именно на ней.
Отдельный нюанс, отличающий охранную сигнализацию от пожарной, — режимность: систему ежедневно ставят на охрану и снимают с неё, и именно процедуры постановки-снятия (с задержками на вход-выход, разделением на разделы и правами пользователей) порождают львиную долю эксплуатационных приключений, включая классику жанра — тревогу от уборщицы, пришедшей в шесть утра в непереведённый на дневной режим офис. Серьёзные системы добавляют «тревожную кнопку» явного или скрытого исполнения и код снятия под принуждением, отправляющий на пульт тихий сигнал о том, что хозяина заставили открыть дверь, — маленькая, но выразительная иллюстрация того, что проектировщик обязан думать и о сценариях, в которых техника исправна, а ситуация — нет.
СКУД заслуживает отдельного увеличительного стекла, ибо это самая «айтишная» из систем физической безопасности. Идентификация пользователя строится на классической триаде: что ты имеешь (карта, брелок, смартфон), что ты знаешь (PIN-код) и чем ты являешься (биометрия), а серьёзные режимные объекты комбинируют факторы попарно. Карточное хозяйство прошло показательную эволюцию: бесконтактные идентификаторы раннего поколения на частоте 125 кГц (вездесущий Em-Marine) не содержат никакой криптографии и клонируются копировальщиком с рынка за минуту — что не мешает им до сих пор охранять немало серьёзных с виду дверей. Смарт-карты семейства MIFARE с взаимной аутентификацией и шифрованием способны закрыть эту дыру, но «способны» — не значит «закрывают»: семейство неоднородно (ранняя реализация CRYPTO1 в MIFARE Classic давно публично разобрана криптографами, тогда как DESFire EV2/EV3 с AES держится), а главное — закрывает её только система, которая действительно проверяет защищённые данные на карте. Если считыватель читает лишь открытый серийный номер (UID) карты, всё шифрование внутри неё пропадает втуне, и дорогая MIFARE клонируется так же, как копеечный Em-Marine.
Той же болезнью роста переболел и интерфейс между считывателем и контроллером: исторический протокол Wiegand передаёт код карты в открытую по паре проводов и беззащитен против врезки, поэтому современный стандарт OSDP с профилем защищённого канала (Secure Channel) — не маркетинговая прихоть, а гигиена безопасности. И снова оговорка: надпись «OSDP» на коробке шифрование не включает. Защищённый канал нужно явно активировать, заменить заводские ключи на собственные и проверить в конфигурации, что считыватель не откатывается на открытый режим, — иначе получится тот же Wiegand, только по другим проводам.
Желающему понять физику и протоколы бесконтактных идентификаторов не обойтись без фундаментального «RFID-технологии. Справочное пособие» К. Финкенцеллера (2010) — это, по сути, настольная библия всех, кто работает с картами и метками; а системную картину самой СКУД — от логики доступа до построения комплекса — даёт обстоятельная монография «Системы контроля и управления доступом» В. А. Вороны и В. А. Тихонова (2010).
Поверх железа работает логика: запрет повторного прохода (antipassback), правило двух лиц для особых помещений, шлюзовые кабины, учёт рабочего времени и интеграция с кадровой системой, автоматически блокирующая пропуск уволенного сотрудника — ибо ничто так не радует аудитора, как действующий пропуск человека, покинувшего компанию три года назад.
А вот видеокамеры со временем практически полностью ушли от аналогового коаксиального сигнала (классический CCTV) к сетевому IP-видеонаблюдению в среде Ethernet. Транспорт у видеопотока свой: живое видео чаще идёт по RTP поверх UDP, где потерянный кадр дешевле задержки, а архивные и служебные обмены — по TCP; разрешение же диктуется задачей наблюдения, а не модным словом «Full HD» — для обнаружения человека на периметре хватит и меньшего, для идентификации лица понадобится больше.
Цифровая революция в видеонаблюдении измеряется не только мегапикселями.
Современная IP-камера — это полноценный компьютер с операционной системой, веб-сервером и нейропроцессором, который сжимает поток кодеками H.264/H.265 (а всё чаще и анализирует его на борту), отдавая серверу не «картинку», а события. Проектировщик жонглирует разрешением, частотой кадров, битрейтом и глубиной архива, помня, что хранение — главная статья стоимости системы; стандарты (международный IEC 62 676−4 и его отечественные собратья) формализуют задачи наблюдения через плотность пикселей на метр сцены: одно дело — обнаружить присутствие человека, другое — распознать знакомого, третье — идентифицировать незнакомца для суда, и под каждую задачу — своя оптика и своя геометрия установки.
Открытый стандарт ONVIF худо-бедно подружил камеры и видеосерверы разных производителей, а программные платформы VMS превратили стену мониторов в управляемый инструмент с поиском по событиям — ибо смотреть в сто экранов одновременно человек, как доказали ещё классические эксперименты по бдительности операторов, упомянутые ранее, не способен дольше двадцати минут.
Тем, кто хочет по-настоящему разобраться в видеонаблюдении — от оптики и матриц до сетевой передачи и архивов, — я бы настойчиво рекомендовал «CCTV. Библию видеонаблюдения. Цифровые и сетевые технологии» Владо Дамьяновски (2006): несмотря на возраст, эта книга остаётся лучшим систематическим введением в предмет на русском языке.
Таким образом, системы комплексной безопасности кажутся более цифровизированными, чем системы пожарной автоматики (глава 2), и оттого предстают более технологичными, даже несмотря на введение адресных шлейфов пожарной сигнализации и объединение в единую сеть пожарных приборов приёмно-контрольных охраняемого объекта.
В зависимости от уровня предъявляемых к объекту требований безопасности его защита может быть спроектирована с разбитием на несколько рубежей, одним из которых может являться периметр, включая ограждение и иные технические средства охраны периметра (ТСОП) — радиолучевые датчики, вибродатчики.
Периметр — жанр со своей суровой поэтикой, поскольку работает на улице, где ветер, ливень, обледенение, трава, зайцы и вороны круглосуточно испытывают систему на склонность к ложным тревогам. Арсенал широк: вибрационные кабельные датчики на сетчатом ограждении чувствуют перелаз и перекус полотна; радиолучевые двухпозиционные средства создают между передатчиком и приёмником невидимый объёмный луч, реагирующий на пересечение; активные инфракрасные барьеры строят многолучевую завесу; сейсмические косы ловят шаги и подкоп; волоконно-оптические системы превращают километры обычного оптического кабеля в распределённый чуткий сенсор, локализующий воздействие с точностью до метров.
Хорошим тоном считается двухрубежное построение по разнородным физическим принципам плюс верификация тревоги камерой: одиночный датчик кричит, пара датчиков — свидетельствует. Как именно объединять рубежи, зависит от задачи: логика «И» режет ложные тревоги, но требует, чтобы оба рубежа заметили нарушителя в одном месте и примерно в одно время, иначе он пройдёт незамеченным; логика «ИЛИ» ничего не пропускает, но заставляет охрану бегать на каждую ворону. Честный проект считает обе ошибки — ложную тревогу и пропуск — и выбирает ту логику, при которой дороже обходится не та ошибка, которую можно себе позволить.
Свежая глава периметральной темы — воздушный рубеж: потребительские дроны сделали трёхмерным то, что веками проектировалось в плане, и заборы с датчиками внезапно перестали накрывать главный вектор доставки запрещённого — от контрабанды в колонии до разведки складов конкурентами.
Антидроновый арсенал (радиочастотное обнаружение по каналам управления, малые радары, акустика, оптика с нейросетевым сопровождением, средства подавления и перехвата) стремительно мигрирует из военной ниши в гражданскую, волоча за собой нерешённые правовые вопросы: сбивать и глушить в мирном городе можно далеко не всё и далеко не всем. Проектировщику периметра уже сегодня стоит хотя бы оценивать воздушную модель нарушителя — через пять лет это будет такой же обязательный пункт техзадания, как высота ограждения.
Внутри самого объекта зоны доступа разграничиваются СКУД и контролируются СВН, а видеонаблюдение может быть и наружным, но в таком случае уже разумным подходом является применение инфракрасных камер или тепловизоров.
Наружное исполнение вообще беспощадно к самонадеянности: климатические кожухи с подогревом, грозозащита сигнальных и питающих линий, а заодно и грозозащита самой камеры (вынесенная на столб или кровлю, она сама превращается едва ли не в громоотвод, и без устройств защиты от импульсных перенапряжений по линиям питания и данных PoE, без честного заземления кронштейна первая же серьёзная гроза оставляет от дорогого прибора уголёк), антивандальные корпуса с датчиками вскрытия и контролем заслона объектива (умная камера обязана пожаловаться, когда её заклеивают, закрашивают или разворачивают в небо), бесперебойное питание с учётом морозной деградации аккумуляторов — всё это превращает «повесить камеру на столб» в небольшой инженерный проект.
Опытный проектировщик закладывает наружным системам отдельный запас по надёжности и отдельную строку в бюджете обслуживания, ибо улица ошибок не прощает и амортизирует технику со скоростью, которую офисный планировщик считает опечаткой.
Тепловизор, к слову, не «видит в темноте», как любят писать в рекламе, — он регистрирует собственное длинноволновое инфракрасное излучение объектов: человек светится в этом диапазоне безо всякого прожектора (не при «36,6» — это температура внутри тела, — а при температуре поверхности одежды и открытой кожи, которая обычно заметно отличается от фона). Поэтому ночь ему не помеха, а лёгкая дымка и некоторые виды дыма мешают заметно меньше, чем обычной камере. Но «сквозь всё» он тоже не видит: плотный туман и дождь ослабляют длинноволновое излучение, стекло для него непрозрачно, а если одежда или фон нагреты до температуры тела, контраст исчезает вместе с изображением. За удовольствие платят отсутствием «портретных» подробностей и ценой матрицы, поэтому классическая связка — тепловизор обнаруживает на дальнем рубеже, поворотная видеокамера распознаёт и сопровождает.
Современные технологичные системы безопасности особенно чувствительны к уровню информационной безопасности (глава 9) инфраструктуры объекта, которая включает в себя сети связи (глава 4), впрочем, в некоторых (особых) случаях системы безопасности могут содержать собственные подсистемы связи, включая лотки и кабельные линии, коммутаторы и отдельные физические сервера.
Об уязвимости этого хозяйства поговорим обстоятельно в главе 9, но один сюжет обязан прозвучать уже здесь. В 2016 году ботнет Mirai, собранный из сотен тысяч IP-камер и видеорегистраторов с заводскими паролями, обрушил DNS-провайдера Dyn и вместе с ним — половину громких сайтов планеты; камеры наблюдения, купленные ради безопасности, стали оружием в чужих руках просто потому, что никто не сменил «admin/admin».
Мораль до неприличия проста и оттого регулярно игнорируется: система физической безопасности, подключённая к сети, — это часть ИТ-инфраструктуры со всеми её обязанностями: сегментация в собственные VLAN, смена паролей по умолчанию, обновление прошивок, запрет выхода камер в интернет. Иначе ваше видеонаблюдение наблюдает не только за вами, но и для кого-то ещё.
При повышенных требованиях к объекту с особым уровнем секретности дело ещё более усложняется необходимостью соблюдения корпоративных или государственных стандартов, которые регламентируются службами безопасности (в том числе, например, ФСБ, ФСТЭК, ФСО).
К ведомственным требованиям примыкает целый пласт обязательной нормативки по антитеррористической защищённости: постановления правительства задают категорирование объектов (торговых, спортивных, образовательных, религиозных — у каждой отрасли своё) по потенциальному ущербу и людности, а из категории следует обязательный набор инженерно-технических средств — от видеонаблюдения с заданной глубиной архива до досмотрового оборудования. Для значимых объектов критической информационной инфраструктуры добавляется 187-ФЗ с его категорированием и требованиями ФСТЭК к защите автоматизированных систем. Проектировщику систем безопасности приходится быть немного юристом: ошибка в категории объекта обходится дороже ошибки в выборе камеры.
Зрение — главный канал восприятия человека (точную долю «процентов информации» я приводить не буду: смотря что считать информацией, и ни одно серьёзное исследование такой цифры не даёт), с чем и можно связать популярность систем видеонаблюдения в том числе в сфере физической безопасности; а инструменты видеоаналитики с применением нейросетей позволяют упростить и автоматизировать работу и с этим каналом восприятия (распознавание лиц, детекция оставленных предметов, анализ поведения).
Нейросетевая видеоаналитика за последние годы перешла из презентаций в прайс-листы: детекция человека и транспорта с фильтрацией животных и качающихся веток, подсчёт посетителей, контроль касок и спецодежды на стройплощадке, распознавание автомобильных номеров и лиц.
С последним связан и самый острый этический нерв темы: биометрическая идентификация в публичных пространствах балансирует между раскрываемостью преступлений и презумпцией приватности, и законодательства разных стран расставляют эту границу по-разному. Европейский регламент об искусственном интеллекте (AI Act, 2024) относит удалённую биометрическую идентификацию в реальном времени в общедоступных местах для целей правоохраны к запрещённым практикам — с перечнем исключений (поиск жертв преступлений и пропавших, предотвращение терактов, розыск по тяжким составам) и с условием судебного разрешения; в отечественной практике, напротив, действует государственная Единая биометрическая система с регламентированным согласием субъекта и ограничениями на коммерческий сбор биометрии.
Инженеру полезно помнить, что биометрические персональные данные по закону 152-ФЗ — отдельный вид данных со своими требованиями к обработке (статья 11: обработка, как правило, только с письменного согласия субъекта), и не путать их со «специальными категориями» (статья 10: здоровье, убеждения, происхождение и прочее) — это разные правовые режимы, хотя оба строже общего. «Мы просто поставили модный модуль распознавания» в суде аргументом не считается. К конфликту безопасности и приватности, заявленному в главе 1, мы ещё вернёмся.
Технически биометрия тоже не монолит, и инженеру полезно различать её жанры по цене ошибки: верификация (один к одному: «тот ли это Иванов, чья карта?») при прочих равных заметно надёжнее идентификации (один ко многим: «кто это из ста тысяч?»), потому что вероятность ложного совпадения растёт с размером базы; у каждой технологии — отпечаток, лицо, радужка, рисунок вен, голос — свой баланс ложных допусков и ложных отказов (FAR/FRR), и сравнивать их имеет смысл только при одинаковом алгоритме, пороге и размере базы. Порог настраивается под задачу: в проходной завода страшнее очередь из-за ложных отказов, в хранилище — единственный ложный допуск. Добавим устойчивость к подделке (фотография перед камерой, силиконовый палец — отсюда детекторы живости) и деградацию шаблонов со временем — и биометрия займёт своё трезвое место: сильный второй фактор, хорошая верификация, спорная массовая идентификация.
Но какой бы современной и продуманной ни была техническая система безопасности, без адекватного реагирования служб физической безопасности на инциденты и технически грамотного обслуживания в процессе эксплуатации для поддержания заданного уровня противодействия угрозам высокопрофессиональные злоумышленники могут достичь своих коварных целей, ведь чем надёжнее система защиты, тем изощрённее методы её преодоления.
Эта гонка щита и меча, к которой мы вернёмся на квантовом уровне в главе 10, имеет и измеримое экономическое выражение: профессиональный нарушитель проводит рекогносцировку и выбирает цель с самым выгодным для себя соотношением куша к риску и усилиям — а значит, задача владельца объекта зачастую не в том, чтобы построить абсолютную крепость (мы помним из главы 1, что абсолюта не существует), а в том, чтобы быть защищённее соседа по улице. Цинично, но работает: статистика квартирных краж стабильно показывает, что наклейка «объект под охраной», работающий пультовый договор и крепкая дверь отводят основную массу посягательств к менее предусмотрительным адресам.
Безопасность относительна не только философски, но и вполне прикладно.
Остался нерассмотренным и человек с тревожной кнопкой — частная охрана как институт: лицензированные охранники с регламентированными полномочиями (заметно меньшими, чем кажется им самим и нанимателю), договорная матрица ответственности между собственником, ЧОПом и пультовой организацией, КПП как точка слияния всех систем главы в одну процедуру. Технике в этой связке отведена роль усилителя, а не замены: пост с камерами и СКУД держит периметр, который без техники потребовал бы взвода, — но ни одна камера пока не умеет выйти и вежливо спросить «вы к кому?»
Отсюда три кита физической защиты — обнаружение, задержка, реагирование (detect, delay, respond) — и вывод, строгий в рамках этой модели: забор без сигнализации и охраны сам по себе нарушителя не остановит — он лишь задерживает на минуту, которую никто не использует; обнаружение без задержки мало что даёт, ибо реагировать будет некому и не на что; а задержка до обнаружения вообще не идёт в зачёт — нарушитель пилит решётку в тишине и комфорте. Само неравенство — необходимое условие, а не гарантия: оно говорит, что без него защита точно не сработает, но не обещает, что с ним она сработает обязательно.
«Не защищает» здесь сказано в строгом смысле охранной формулы. Дачный забор без сигнализации и охраны действительно не остановит решительного вора — зато честно выполняет другие, вполне законные функции: обозначает и юридически закрепляет границу частной территории, отсекает случайного прохожего и поднимает порог решимости, ведь перелезть через двухметровое ограждение и психологически, и физически труднее, чем зайти в открытую калитку. То есть он работает на «задержку» и «обозначение», а не на «обнаружение» и «реагирование», — и в этом своём скромном амплуа вполне полезен.
Проектирование начинается поэтому не с расстановки камер по периметру, а с модели нарушителя — формализованного портрета противника: его осведомлённости (случайный хулиган, осведомлённый сотрудник, подготовленный профессионал), оснащённости (от отвёртки до болгарки и беспилотника), численности и решимости. Под каждую категорию нарушителя строится свой расчёт времени преодоления, и система, спроектированная против подростка с отвёрткой, честно и предсказуемо проигрывает организованной группе с инструментом — что не делает её бесполезной, если в техническом задании написана именно первая модель.
Безопасность, как мы уже договорились в главе 1, — это выбор приемлемых рисков, и модель нарушителя есть его документальное оформление. Тем, кому этот системный, «от модели угроз» подход к проектированию ближе, чем перебор отдельных приборов, советую заглянуть в «Проектирование и исследование комплексных систем безопасности» В. А. Рыжовой (2012) — там та же логика разложена обстоятельно и с инженерной строгостью.
Системы безопасности выполняют функцию противодействия нарушителям, а именно ограничение и контроль доступа, обнаружение нарушителя, визуальный контроль пространств и периметра.
Таким образом, комплекс систем безопасности является угрозой для тех лиц, которые по той или иной причине с какой-либо целью идут на соответствующий риск. Ключевая цель охранной сигнализации (ОС), системы контроля и управления доступом (СКУД) и системы видеонаблюдения (СВН) — не «исключить нарушение» (абсолютной защиты, как мы договорились в главе 1, не бывает), а снизить его вероятность и последствия до приемлемого уровня в рамках принятой модели нарушителя: сделать попытку дорогой, заметной и бесперспективной.
Народная мудрость «возможность украсть создаёт вора» имеет, между прочим, академическое оформление. Криминологическая теория рутинных активностей (Коэн и Фелсон, 1979) утверждает, что преступление происходит при совпадении в пространстве и времени трёх условий: мотивированного нарушителя, подходящей цели и отсутствия «дееспособного защитника». Технические системы безопасности атакуют все три компонента сразу: снижают привлекательность цели (маркировка, сейфы, витрины), создают эффект присутствия защитника (камеры, освещение, таблички) и повышают субъективную цену попытки. Сюда же примыкает целая дисциплина CPTED — предупреждение преступности через проектирование среды: просматриваемые пространства, чёткое разграничение публичных и приватных зон, «защищаемое пространство» Оскара Ньюмана.
Оскар Ньюман (1935−2004) — американский архитектор и градостроитель, который ещё в книге «Defensible Space» (1972) показал на статистике нью-йоркских кварталов нечто почти крамольное: уровень преступности зависит не столько от социального состава жильцов, сколько от самой планировки. Анонимные дворы-проходные, глухие лестницы и «ничьи» общие пространства, за которыми никто не чувствует себя хозяином, буквально приглашают преступника; и наоборот — пространство, чётко поделённое на зоны ответственности, хорошо просматриваемое и явно кому-то принадлежащее, защищает само себя без единой камеры. Эта идея «защищаемого пространства» и легла в основу всей дисциплины CPTED: дешевле спроектировать среду, в которой не хочется нарушать, чем потом ловить нарушителя.
Лучшая система безопасности — та, в зоне действия которой у нарушителя даже не возникает рабочего настроения. Разумеется, системы безопасности могут включать в себя и иные специализированные подсистемы, выполняющие различные технологические задачи, такие как автоматизация досмотра багажа или выявление разыскиваемых лиц, опасных веществ и материалов.
На транспортных узлах и объектах массового пребывания этот специализированный арсенал разворачивается во всю ширь: рентгенотелевизионные интроскопы просвечивают багаж, окрашивая материалы по эффективному атомному номеру (органика — оранжевым, металлы — синим), стационарные многозонные металлодетекторы локализуют находку по высоте, детекторы паров и следов взрывчатых веществ принюхиваются к микрочастицам на ладонях и документах, а радиационные мониторы молча считают гамма-кванты в потоке пассажиров. Отдельная и стремительно растущая статья — противодействие беспилотникам: радиочастотные детекторы, радары и средства подавления каналов управления, существование которых ещё десять лет назад интересовало только военных.
В некоторых (особенных) случаях на верхнем уровне автоматизации происходит сбор и обработка поступающей информации с целью управления инцидентом в соответствующем прикладном программном обеспечении PSIM (Physical Security Information Management — «управление информацией о физической безопасности»).
Идея PSIM выросла из простого наблюдения: оператор, перед которым десять разрозненных программ и сто мониторов, в момент реального инцидента не видит ничего. Интеграционная платформа собирает события всех подсистем в единую картину, накладывает их на план объекта и — главное — ведёт оператора по заранее написанному сценарию реагирования: кому звонить, какие двери блокировать, какие камеры выводить на стену.
Это прямая проекция азбучной истины инженерной психологии: в стрессе человек не думает, а исполняет процедуру (блестяще описанную Даниэлем Канеманом в «Думай медленно… решай быстро»: под давлением у человека включается быстрая, автоматическая «Система 1», а медленная, рассудочная «Система 2» попросту не успевает на сцену — вот почему правильное действие должно быть прошито в процедуру заранее, на холодную голову), и качество реагирования определяется качеством процедуры, написанной в спокойной обстановке. Дежурный оператор с грамотным сценарием стоит трёх героев с интуицией.
Кадровая сторона мониторинга заслуживает честного абзаца: профессия оператора видеонаблюдения психофизиологически неблагодарна — бдительность на монотонной задаче падает уже через двадцать-тридцать минут (классические исследования операторской бдительности это фиксируют со времён радарных вахт Второй мировой), текучка высока, престиж низок. Отсюда инженерный вывод, а не кадровый: систему надо проектировать под слабого оператора — аналитика поднимает события вместо стены экранов, интерфейс ведёт по сценарию, журнал фиксирует подтверждения, — и тогда сильный оператор становится бонусом, а не условием работоспособности. Системы, работающие только в руках энтузиастов, называются неработающими — к этой мысли мы ещё вернёмся, когда речь зайдёт о культуре безопасности.
Не могу исключить и адекватности принципа Джона Спартана «Send a maniac to catch a maniac», который в «надмозговом» переводе гласит: «Чтобы поймать разрушителя, нужен другой разрушитель». Речь здесь идёт о том, что в сфере работы с криминогенными рисками не лишним может быть талант одновременно размышлять как Шерлок Холмс и замышлять как профессор Мориарти.
На практике этот принцип называется red teaming: заказчик нанимает команду, которая легально и по договору пытается проникнуть на объект, пронести запрещённый предмет, подключиться к сети или уговорить охранника «придержать дверочку». Физический пентест отрезвляет быстрее любого аудита: бумажная модель нарушителя встречается с живым нарушителем, и выясняется, например, что великолепный периметр обходится через приоткрытое окно курилки, а в серверную пускают любого человека с уверенной походкой и стремянкой. Социальная инженерия — об этом ещё вспомним в главе про информационную безопасность — остаётся самым дешёвым и самым результативным инструментом взлома что сетей, что зданий.
В техническом плане охранная сигнализация аналогична пожарной сигнализации (и может выполняться на схожей элементной базе), с чем было связано их объединение в охранно-пожарную сигнализацию до соответствующих нововведений в нормах пожарной безопасности и организационными изменениями в сфере государственной политики.
Отечественная специфика здесь заслуживает исторической сноски: десятилетиями охранную сигнализацию в стране фактически монополизировала вневедомственная охрана МВД (ныне — в составе Росгвардии) с её пультами централизованного наблюдения, куда стекались сигналы с тысяч квартир и объектов. Эта школа дала рынку и кадры, и стандарты, и саму культуру «постановки на пульт» с прибытием группы задержания за считаные минуты — живую реализацию того самого «времени реагирования» из формулы физической защиты. Сегодня рынок мониторинга поделён между государственными и частными охранными организациями, но архитектура не изменилась: извещатель — объектовый прибор — канал связи — пульт — группа быстрого реагирования, и слабым звеном этой цепи, как водится, оказывается не электроника.
Извещатели объёма контролируют внутреннее пространство защищаемых помещений, а датчики разбития стекла и магнитоконтактные извещатели на дверях передают сигнал тревоги на охранные приборы среднего уровня. В СКУД точками доступа становятся двери и проходы, оборудованные считывателями и замками, и здесь стоит различать три разных «этажа» связи. Замок — исполнительное устройство: он управляется релейным выходом контроллера или простой командой по шине и никаких сетевых протоколов не знает. Считыватель общается с контроллером по своему интерфейсу — историческому Wiegand или современному OSDP по RS-485. И только контроллеры между собой и с сервером объединяются в IP-сеть; какой транспорт там используется — TCP или UDP — определяется протоколом конкретной системы, а гарантию, что тревога дошла, даёт не выбор транспорта, а подтверждение доставки на прикладном уровне: сервер обязан квитировать событие, а контроллер — повторять его, пока не получит квитанцию.
Физика охранных извещателей по-своему остроумна.
Пассивный инфракрасный датчик объёма ничего не излучает: его пироэлектрический сенсор через фасеточную линзу Френеля нарезает помещение на десятки чувствительных лучей и реагирует на перемещение теплового пятна из луча в луч — потому он слеп к неподвижному нарушителю и, увы, неравнодушен к батареям отопления, сквознякам и домашним животным (для последних придуманы линзы с «иммунной» зоной у пола).
Микроволновый извещатель, напротив, активен: он облучает объём радиоволной и ловит доплеровский сдвиг от движения, проникая сквозь тонкие перегородки — что одновременно достоинство и источник ложных тревог от коридора за стенкой.
Комбинированный датчик, требующий одновременного срабатывания обоих каналов (логика «И»), заметно реже даёт ложные тревоги от батареи или сквозняка. Но у этой медали есть оборот: он же чаще пропускает настоящего нарушителя — когда зоны обнаружения двух каналов перекрываются не полностью, или движение заметно лишь одному из них, система промолчит. Разные физические принципы снижают долю общих помех, но не делают каналы полностью независимыми, и «почти не врёт» относится только к ложным тревогам, а не к пропускам. Выбор логики — вопрос того, какая ошибка в данном помещении дороже.
Акустический извещатель разбития стекла распознаёт характерную звуковую сигнатуру — низкочастотный удар плюс высокочастотный звон осколков, — а магнитоконтактный геркон на двери прост, как топор, и столь же надёжен, чем и заслужил место в каждом первом проекте. Классическим справочником по всему этому хозяйству — извещателям, шлейфам, приборам — заслуженно считается «Системы охранной, пожарной и охранно-пожарной сигнализации» В. Г. Синилова (2010), не одно поколение монтажников выросло именно на ней.
Отдельный нюанс, отличающий охранную сигнализацию от пожарной, — режимность: систему ежедневно ставят на охрану и снимают с неё, и именно процедуры постановки-снятия (с задержками на вход-выход, разделением на разделы и правами пользователей) порождают львиную долю эксплуатационных приключений, включая классику жанра — тревогу от уборщицы, пришедшей в шесть утра в непереведённый на дневной режим офис. Серьёзные системы добавляют «тревожную кнопку» явного или скрытого исполнения и код снятия под принуждением, отправляющий на пульт тихий сигнал о том, что хозяина заставили открыть дверь, — маленькая, но выразительная иллюстрация того, что проектировщик обязан думать и о сценариях, в которых техника исправна, а ситуация — нет.
СКУД заслуживает отдельного увеличительного стекла, ибо это самая «айтишная» из систем физической безопасности. Идентификация пользователя строится на классической триаде: что ты имеешь (карта, брелок, смартфон), что ты знаешь (PIN-код) и чем ты являешься (биометрия), а серьёзные режимные объекты комбинируют факторы попарно. Карточное хозяйство прошло показательную эволюцию: бесконтактные идентификаторы раннего поколения на частоте 125 кГц (вездесущий Em-Marine) не содержат никакой криптографии и клонируются копировальщиком с рынка за минуту — что не мешает им до сих пор охранять немало серьёзных с виду дверей. Смарт-карты семейства MIFARE с взаимной аутентификацией и шифрованием способны закрыть эту дыру, но «способны» — не значит «закрывают»: семейство неоднородно (ранняя реализация CRYPTO1 в MIFARE Classic давно публично разобрана криптографами, тогда как DESFire EV2/EV3 с AES держится), а главное — закрывает её только система, которая действительно проверяет защищённые данные на карте. Если считыватель читает лишь открытый серийный номер (UID) карты, всё шифрование внутри неё пропадает втуне, и дорогая MIFARE клонируется так же, как копеечный Em-Marine.
Той же болезнью роста переболел и интерфейс между считывателем и контроллером: исторический протокол Wiegand передаёт код карты в открытую по паре проводов и беззащитен против врезки, поэтому современный стандарт OSDP с профилем защищённого канала (Secure Channel) — не маркетинговая прихоть, а гигиена безопасности. И снова оговорка: надпись «OSDP» на коробке шифрование не включает. Защищённый канал нужно явно активировать, заменить заводские ключи на собственные и проверить в конфигурации, что считыватель не откатывается на открытый режим, — иначе получится тот же Wiegand, только по другим проводам.
Желающему понять физику и протоколы бесконтактных идентификаторов не обойтись без фундаментального «RFID-технологии. Справочное пособие» К. Финкенцеллера (2010) — это, по сути, настольная библия всех, кто работает с картами и метками; а системную картину самой СКУД — от логики доступа до построения комплекса — даёт обстоятельная монография «Системы контроля и управления доступом» В. А. Вороны и В. А. Тихонова (2010).
Поверх железа работает логика: запрет повторного прохода (antipassback), правило двух лиц для особых помещений, шлюзовые кабины, учёт рабочего времени и интеграция с кадровой системой, автоматически блокирующая пропуск уволенного сотрудника — ибо ничто так не радует аудитора, как действующий пропуск человека, покинувшего компанию три года назад.
А вот видеокамеры со временем практически полностью ушли от аналогового коаксиального сигнала (классический CCTV) к сетевому IP-видеонаблюдению в среде Ethernet. Транспорт у видеопотока свой: живое видео чаще идёт по RTP поверх UDP, где потерянный кадр дешевле задержки, а архивные и служебные обмены — по TCP; разрешение же диктуется задачей наблюдения, а не модным словом «Full HD» — для обнаружения человека на периметре хватит и меньшего, для идентификации лица понадобится больше.
Цифровая революция в видеонаблюдении измеряется не только мегапикселями.
Современная IP-камера — это полноценный компьютер с операционной системой, веб-сервером и нейропроцессором, который сжимает поток кодеками H.264/H.265 (а всё чаще и анализирует его на борту), отдавая серверу не «картинку», а события. Проектировщик жонглирует разрешением, частотой кадров, битрейтом и глубиной архива, помня, что хранение — главная статья стоимости системы; стандарты (международный IEC 62 676−4 и его отечественные собратья) формализуют задачи наблюдения через плотность пикселей на метр сцены: одно дело — обнаружить присутствие человека, другое — распознать знакомого, третье — идентифицировать незнакомца для суда, и под каждую задачу — своя оптика и своя геометрия установки.
Открытый стандарт ONVIF худо-бедно подружил камеры и видеосерверы разных производителей, а программные платформы VMS превратили стену мониторов в управляемый инструмент с поиском по событиям — ибо смотреть в сто экранов одновременно человек, как доказали ещё классические эксперименты по бдительности операторов, упомянутые ранее, не способен дольше двадцати минут.
Тем, кто хочет по-настоящему разобраться в видеонаблюдении — от оптики и матриц до сетевой передачи и архивов, — я бы настойчиво рекомендовал «CCTV. Библию видеонаблюдения. Цифровые и сетевые технологии» Владо Дамьяновски (2006): несмотря на возраст, эта книга остаётся лучшим систематическим введением в предмет на русском языке.
Таким образом, системы комплексной безопасности кажутся более цифровизированными, чем системы пожарной автоматики (глава 2), и оттого предстают более технологичными, даже несмотря на введение адресных шлейфов пожарной сигнализации и объединение в единую сеть пожарных приборов приёмно-контрольных охраняемого объекта.
В зависимости от уровня предъявляемых к объекту требований безопасности его защита может быть спроектирована с разбитием на несколько рубежей, одним из которых может являться периметр, включая ограждение и иные технические средства охраны периметра (ТСОП) — радиолучевые датчики, вибродатчики.
Периметр — жанр со своей суровой поэтикой, поскольку работает на улице, где ветер, ливень, обледенение, трава, зайцы и вороны круглосуточно испытывают систему на склонность к ложным тревогам. Арсенал широк: вибрационные кабельные датчики на сетчатом ограждении чувствуют перелаз и перекус полотна; радиолучевые двухпозиционные средства создают между передатчиком и приёмником невидимый объёмный луч, реагирующий на пересечение; активные инфракрасные барьеры строят многолучевую завесу; сейсмические косы ловят шаги и подкоп; волоконно-оптические системы превращают километры обычного оптического кабеля в распределённый чуткий сенсор, локализующий воздействие с точностью до метров.
Хорошим тоном считается двухрубежное построение по разнородным физическим принципам плюс верификация тревоги камерой: одиночный датчик кричит, пара датчиков — свидетельствует. Как именно объединять рубежи, зависит от задачи: логика «И» режет ложные тревоги, но требует, чтобы оба рубежа заметили нарушителя в одном месте и примерно в одно время, иначе он пройдёт незамеченным; логика «ИЛИ» ничего не пропускает, но заставляет охрану бегать на каждую ворону. Честный проект считает обе ошибки — ложную тревогу и пропуск — и выбирает ту логику, при которой дороже обходится не та ошибка, которую можно себе позволить.
Свежая глава периметральной темы — воздушный рубеж: потребительские дроны сделали трёхмерным то, что веками проектировалось в плане, и заборы с датчиками внезапно перестали накрывать главный вектор доставки запрещённого — от контрабанды в колонии до разведки складов конкурентами.
Антидроновый арсенал (радиочастотное обнаружение по каналам управления, малые радары, акустика, оптика с нейросетевым сопровождением, средства подавления и перехвата) стремительно мигрирует из военной ниши в гражданскую, волоча за собой нерешённые правовые вопросы: сбивать и глушить в мирном городе можно далеко не всё и далеко не всем. Проектировщику периметра уже сегодня стоит хотя бы оценивать воздушную модель нарушителя — через пять лет это будет такой же обязательный пункт техзадания, как высота ограждения.
Внутри самого объекта зоны доступа разграничиваются СКУД и контролируются СВН, а видеонаблюдение может быть и наружным, но в таком случае уже разумным подходом является применение инфракрасных камер или тепловизоров.
Наружное исполнение вообще беспощадно к самонадеянности: климатические кожухи с подогревом, грозозащита сигнальных и питающих линий, а заодно и грозозащита самой камеры (вынесенная на столб или кровлю, она сама превращается едва ли не в громоотвод, и без устройств защиты от импульсных перенапряжений по линиям питания и данных PoE, без честного заземления кронштейна первая же серьёзная гроза оставляет от дорогого прибора уголёк), антивандальные корпуса с датчиками вскрытия и контролем заслона объектива (умная камера обязана пожаловаться, когда её заклеивают, закрашивают или разворачивают в небо), бесперебойное питание с учётом морозной деградации аккумуляторов — всё это превращает «повесить камеру на столб» в небольшой инженерный проект.
Опытный проектировщик закладывает наружным системам отдельный запас по надёжности и отдельную строку в бюджете обслуживания, ибо улица ошибок не прощает и амортизирует технику со скоростью, которую офисный планировщик считает опечаткой.
Тепловизор, к слову, не «видит в темноте», как любят писать в рекламе, — он регистрирует собственное длинноволновое инфракрасное излучение объектов: человек светится в этом диапазоне безо всякого прожектора (не при «36,6» — это температура внутри тела, — а при температуре поверхности одежды и открытой кожи, которая обычно заметно отличается от фона). Поэтому ночь ему не помеха, а лёгкая дымка и некоторые виды дыма мешают заметно меньше, чем обычной камере. Но «сквозь всё» он тоже не видит: плотный туман и дождь ослабляют длинноволновое излучение, стекло для него непрозрачно, а если одежда или фон нагреты до температуры тела, контраст исчезает вместе с изображением. За удовольствие платят отсутствием «портретных» подробностей и ценой матрицы, поэтому классическая связка — тепловизор обнаруживает на дальнем рубеже, поворотная видеокамера распознаёт и сопровождает.
Современные технологичные системы безопасности особенно чувствительны к уровню информационной безопасности (глава 9) инфраструктуры объекта, которая включает в себя сети связи (глава 4), впрочем, в некоторых (особых) случаях системы безопасности могут содержать собственные подсистемы связи, включая лотки и кабельные линии, коммутаторы и отдельные физические сервера.
Об уязвимости этого хозяйства поговорим обстоятельно в главе 9, но один сюжет обязан прозвучать уже здесь. В 2016 году ботнет Mirai, собранный из сотен тысяч IP-камер и видеорегистраторов с заводскими паролями, обрушил DNS-провайдера Dyn и вместе с ним — половину громких сайтов планеты; камеры наблюдения, купленные ради безопасности, стали оружием в чужих руках просто потому, что никто не сменил «admin/admin».
Мораль до неприличия проста и оттого регулярно игнорируется: система физической безопасности, подключённая к сети, — это часть ИТ-инфраструктуры со всеми её обязанностями: сегментация в собственные VLAN, смена паролей по умолчанию, обновление прошивок, запрет выхода камер в интернет. Иначе ваше видеонаблюдение наблюдает не только за вами, но и для кого-то ещё.
При повышенных требованиях к объекту с особым уровнем секретности дело ещё более усложняется необходимостью соблюдения корпоративных или государственных стандартов, которые регламентируются службами безопасности (в том числе, например, ФСБ, ФСТЭК, ФСО).
К ведомственным требованиям примыкает целый пласт обязательной нормативки по антитеррористической защищённости: постановления правительства задают категорирование объектов (торговых, спортивных, образовательных, религиозных — у каждой отрасли своё) по потенциальному ущербу и людности, а из категории следует обязательный набор инженерно-технических средств — от видеонаблюдения с заданной глубиной архива до досмотрового оборудования. Для значимых объектов критической информационной инфраструктуры добавляется 187-ФЗ с его категорированием и требованиями ФСТЭК к защите автоматизированных систем. Проектировщику систем безопасности приходится быть немного юристом: ошибка в категории объекта обходится дороже ошибки в выборе камеры.
Зрение — главный канал восприятия человека (точную долю «процентов информации» я приводить не буду: смотря что считать информацией, и ни одно серьёзное исследование такой цифры не даёт), с чем и можно связать популярность систем видеонаблюдения в том числе в сфере физической безопасности; а инструменты видеоаналитики с применением нейросетей позволяют упростить и автоматизировать работу и с этим каналом восприятия (распознавание лиц, детекция оставленных предметов, анализ поведения).
Нейросетевая видеоаналитика за последние годы перешла из презентаций в прайс-листы: детекция человека и транспорта с фильтрацией животных и качающихся веток, подсчёт посетителей, контроль касок и спецодежды на стройплощадке, распознавание автомобильных номеров и лиц.
С последним связан и самый острый этический нерв темы: биометрическая идентификация в публичных пространствах балансирует между раскрываемостью преступлений и презумпцией приватности, и законодательства разных стран расставляют эту границу по-разному. Европейский регламент об искусственном интеллекте (AI Act, 2024) относит удалённую биометрическую идентификацию в реальном времени в общедоступных местах для целей правоохраны к запрещённым практикам — с перечнем исключений (поиск жертв преступлений и пропавших, предотвращение терактов, розыск по тяжким составам) и с условием судебного разрешения; в отечественной практике, напротив, действует государственная Единая биометрическая система с регламентированным согласием субъекта и ограничениями на коммерческий сбор биометрии.
Инженеру полезно помнить, что биометрические персональные данные по закону 152-ФЗ — отдельный вид данных со своими требованиями к обработке (статья 11: обработка, как правило, только с письменного согласия субъекта), и не путать их со «специальными категориями» (статья 10: здоровье, убеждения, происхождение и прочее) — это разные правовые режимы, хотя оба строже общего. «Мы просто поставили модный модуль распознавания» в суде аргументом не считается. К конфликту безопасности и приватности, заявленному в главе 1, мы ещё вернёмся.
Технически биометрия тоже не монолит, и инженеру полезно различать её жанры по цене ошибки: верификация (один к одному: «тот ли это Иванов, чья карта?») при прочих равных заметно надёжнее идентификации (один ко многим: «кто это из ста тысяч?»), потому что вероятность ложного совпадения растёт с размером базы; у каждой технологии — отпечаток, лицо, радужка, рисунок вен, голос — свой баланс ложных допусков и ложных отказов (FAR/FRR), и сравнивать их имеет смысл только при одинаковом алгоритме, пороге и размере базы. Порог настраивается под задачу: в проходной завода страшнее очередь из-за ложных отказов, в хранилище — единственный ложный допуск. Добавим устойчивость к подделке (фотография перед камерой, силиконовый палец — отсюда детекторы живости) и деградацию шаблонов со временем — и биометрия займёт своё трезвое место: сильный второй фактор, хорошая верификация, спорная массовая идентификация.
Но какой бы современной и продуманной ни была техническая система безопасности, без адекватного реагирования служб физической безопасности на инциденты и технически грамотного обслуживания в процессе эксплуатации для поддержания заданного уровня противодействия угрозам высокопрофессиональные злоумышленники могут достичь своих коварных целей, ведь чем надёжнее система защиты, тем изощрённее методы её преодоления.
Эта гонка щита и меча, к которой мы вернёмся на квантовом уровне в главе 10, имеет и измеримое экономическое выражение: профессиональный нарушитель проводит рекогносцировку и выбирает цель с самым выгодным для себя соотношением куша к риску и усилиям — а значит, задача владельца объекта зачастую не в том, чтобы построить абсолютную крепость (мы помним из главы 1, что абсолюта не существует), а в том, чтобы быть защищённее соседа по улице. Цинично, но работает: статистика квартирных краж стабильно показывает, что наклейка «объект под охраной», работающий пультовый договор и крепкая дверь отводят основную массу посягательств к менее предусмотрительным адресам.
Безопасность относительна не только философски, но и вполне прикладно.
Остался нерассмотренным и человек с тревожной кнопкой — частная охрана как институт: лицензированные охранники с регламентированными полномочиями (заметно меньшими, чем кажется им самим и нанимателю), договорная матрица ответственности между собственником, ЧОПом и пультовой организацией, КПП как точка слияния всех систем главы в одну процедуру. Технике в этой связке отведена роль усилителя, а не замены: пост с камерами и СКУД держит периметр, который без техники потребовал бы взвода, — но ни одна камера пока не умеет выйти и вежливо спросить «вы к кому?»
Против разумного противника защищают не приборы, а неравенство физической защиты: обнаружить и задержать дольше, чем едет реагирование. Модель нарушителя — документ, а не интуиция; СКУД — это ИТ-система со всеми её обязанностями; камера без архива, аналитики и процедуры — украшение. И лучшая система безопасности по-прежнему та, в зоне действия которой у нарушителя не возникает рабочего настроения.
Все перечисленные подсистемы — от считывателя до тепловизора — живут на одной кровеносной системе: структурированных кабельных сетях, коммутаторах и серверах. Туда, в сети связи, мы и отправимся в следующей главе — посмотреть, по каким артериям течёт информация умного здания и почему сисадмины шутят про UDP именно так, как шутят.