Часть 2. Квантовая безопасность.

За безопасность необходимо платить, а за её отсутствие — расплачиваться.

Начнём с самого слова, благо оно того заслуживает. Русское «безопасность» — буквально «отсутствие опасности», отрицание через приставку, и в этом скрыт известный методологический капкан: определять явление через то, чем оно не является. Латинская родословная английского security честнее: securus — это se cura, «без заботы», то есть состояние того, кто может не тревожиться.

Но самое поучительное в сравнительной лингвистике другое: английский (а за ним и вся мировая инженерная традиция) различает safety — защищённость от ненамеренных угроз, случайностей, отказов и стихий — и security — защищённость от угроз намеренных, имеющих автора, мотив и план. Русский язык обходится одним словом на оба понятия, и эта экономия дорого обходится на практике: пожарная автоматика из главы 2 — это safety, охранные системы из главы 3 — security, и требования к ним в ключевых точках противоположны (пожарная логика обязана открывать двери эвакуации, охранная — держать их запертыми), так что проектировщик, не различающий эти миры, обречён на коллизии в самых неудачных местах. Различие это — рабочая схема, а не стена: случайная ошибка нередко открывает дорогу нападению (незакрытая по халатности дверь — подарок злоумышленнику), а нападение способно вызвать аварию (Stuxnet из главы 5 ломал центрифуги руками их же автоматики), и зрелый проект рассматривает оба мира вместе.

Практически половина слаботочных систем сосредотачивает своё внимание на вопросах безопасности — физической, криминальной, пожарной, через создание таких условий, когда риск реализации угроз жизни и имуществу минимально возможен (глава 7).

Потребность, которую обслуживают эти системы, прошита в нас эволюцией на глубине, недосягаемой для рационализации. В популярной иерархии Абрахама Маслоу безопасность занимает второй ярус, сразу над физиологией: голодный человек ищет еду, сытый — укрытие, и только укрытый начинает интересоваться любовью, признанием и самоактуализацией. Оговорюсь, что это модель, а не закон: сам Маслоу не настаивал на строгой очерёдности потребностей, а последующие исследования показали, что люди регулярно жертвуют безопасностью ради признания или смысла, — но как грубая карта мотивов схема полезна. Нейрофизиология добавляет к ней механику: миндалевидное тело мозга запускает реакцию «бей, беги или замри» за десятки миллисекунд — раньше, чем кора успевает осознать стимул, — а открытый Гансом Селье общий адаптационный синдром описывает, чем оборачивается для организма хронически непогашенная тревога.

Из этого следует прикладной вывод, который стоит помнить всякому, кто проектирует, продаёт или согласует системы безопасности: человек покупает не вероятности, а чувство защищённости, и эти два товара совпадают далеко не всегда. Муляж камеры из десятой главы продаёт чувство; работающая камера — вероятность; рынок же, к сожалению или к счастью, оплачивает оба.

Расхождение между ощущаемым и фактическим риском — не дефект отдельных граждан, а системное свойство человеческого мышления, описанное Даниэлем Канеманом и Амосом Тверски: эвристика доступности заставляет нас оценивать вероятность события по лёгкости, с которой вспоминаются примеры, — потому авиакатастрофа, о которой трубят все каналы, пугает сильнее автомобиля, убивающего на порядки больше людей буднично и без репортажей. Яркое, недавнее и зрелищное систематически переоценивается; хроническое, постепенное и скучное — недооценивается. Профессионал безопасности обязан держать в голове обе карты местности: реальную (для проектирования) и психологическую (для разговора с заказчиком, бюджетом и общественным мнением), и не удивляться, когда после громкого, но нерелевантного инцидента в новостях бюджет внезапно находится на то, в чём годами отказывали по расчёту.

К карте искажений добавим ещё три, прицельно бьющих по нашей теме. Оптимистическое искажение: «со мной не случится» — статистически большинство водителей считают себя лучше среднего, а большинство владельцев — что горит у других. Гиперболическое дисконтирование: убыток через пять лет психологически дешевле мелкого платежа сегодня, на чём держится вся экономика отложенного обслуживания. И нормализация отклонений, описанная социологом Дианой Воган в разборе гибели «Челленджера»: каждое благополучно сошедшее с рук нарушение сдвигает границу «нормального», пока организация не оказывается за пределами конструкторских допусков, искренне считая, что «всегда так делали». Против всех трёх работает одно противоядие — внешняя система координат: нормы, аудиты, статистика, чужие некрологи, прочитанные как свои черновики.

Сюда же примыкает контринтуитивный феномен компенсации риска: получив дополнительную защиту, человек склонен тратить часть выигрыша безопасности на прирост лихости. Исследования эффектов антиблокировочных тормозов и ремней показывали, что водители частично «проедают» техническое улучшение более агрессивной ездой; в радикальной формулировке Джеральда Уайлда («Target Risk», 1994) это называется гомеостазом риска — каждый якобы держит свой целевой уровень опасности, как термостат температуру, — но в такой сильной форме гипотеза остаётся спорной: эмпирически компенсация обычно частична, а ремни и подушки безопасности в итоге всё же спасают жизни. Экономист Сэм Пельцман в классической статье 1975 года описал тот же эффект для автомобильного регулирования в целом.

Для нашей отрасли мораль конкретна: внедрение системы безопасности меняет поведение защищаемых — охранник с монитором смотрит в монитор, а не в окно; сотрудник с пропуском держит дверь незнакомцу из вежливости, — и проектировать надо не железо, а связку «железо плюс новое поведение людей», иначе на бумаге система есть, а в вероятностях — нет.

Вторая половина слаботочных систем посредством автоматизации объекта повышает состояние комфорта субъектов процесса, уменьшая количество необходимых рутинных действий для предсказуемости и стабильности.

Слово «комфорт» здесь не случайный сосед безопасности, а её физиологический родственник: то, что Уолтер Кеннон назвал гомеостазом (в книге «Мудрость тела», 1932) — способность организма удерживать внутренние параметры в узком жизненном коридоре, — на уровне психики переживается именно как комфорт, а угроза гомеостазу — как тревога. Предсказуемость и есть валюта, в которой нервная система оценивает среду: неопределённость стрессогенна сама по себе, даже без реальной угрозы (что блестяще эксплуатируют и маркетологи охранных услуг, и авторы новостных заголовков). Автоматизация из главы 5, поддерживающая уставки температуры и влажности, делает для здания ровно то, что вегетативная нервная система — для тела: освобождает «сознание» от рутины выживания.

Предпринимательская деятельность, предшествующая администрированию бизнеса, трансформирует риски в комфорт (глава  8).

Третья же половина выполняет связующие функции субъектов информационного обмена, позволяя им импортировать негативную энтропию, где как раз и вступает в игру информационная безопасность (глава 9).

Оборот «импортировать негативную энтропию» — не художественная вольность, а почти дословный Эрвин Шрёдингер: в книжке «Что такое жизнь?» (1944), выросшей из дублинских лекций, он определил живое как то, что избегает распада, питаясь отрицательной энтропией — упорядоченностью, извлекаемой из среды. Второе начало термодинамики говорит, что полная энтропия изолированной системы не убывает; оно ничего не запрещает отдельному организму, зданию или серверной — локальный порядок вполне законен, если за него платят потоком энергии, а «счёт» в виде возросшей энтропии выставляется окружающей среде. Жизнь — это локальное, оплаченное потоком энергии восстание против общей тенденции, а не её нарушение.

Информация здесь родственна порядку не только метафорически: формула Шеннона для информации H = −Σ pᵢ log₂ pᵢ и формула Гиббса для энтропии S = −k_B Σ pᵢ ln pᵢ (частный случай которой — знаменитое больцмановское S = k_B ln Ω для равновероятных состояний) имеют одинаковую математическую форму и различаются лишь константой и основанием логарифма; знак у обеих один, а «отрицательной» энтропия Шрёдингера становится лишь по смыслу — как убыль беспорядка. На этом сходстве построен целый жанр физических парадоксов от демона Максвелла до принципа Ландауэра, по которому стирание одного бита информации имеет неустранимую энергетическую цену. Но сходство формул — это аналогия, а не вывод: из термодинамики не следует никакого количественного закона затрат на безопасность. Инженерный вывод о том, что оборудование без обслуживания деградирует, обосновывается прозаичнее — статистикой отказов, старением материалов и той самой «кривой корыта» из главы 1. Так что охрана информации — это, если угодно, термодинамика на стороне порядка, но в переносном смысле: безопасность есть деятельность по удержанию системы вдали от равновесия, которое для организма называется смертью, для бизнеса — банкротством, а для здания — актом о списании.

Безопасность своей самой сутью лингвистически пытается отрицать опасность, соответственно, когда реальность конгруэнтно дружелюбна, а не враждебна, тогда можно говорить и о достижении комфорта и расслабления.

Лингвистический фокус с отрицанием, кстати, объясняет и вечную незаметность нашей профессии: безопасность феноменологически есть отсутствие событий, её невозможно предъявить, ею нельзя похвастаться на совете директоров — «смотрите, сегодня опять ничего не случилось». Психологи зовут это ошибкой выжившего наоборот: предотвращённые инциденты не существуют в опыте, и потому бюджет на предотвращение всегда проигрывает эмоциональный спор бюджету на устранение последствий — пока последствия не наступят. Зрелые отрасли выработали противоядие в виде понятия культуры безопасности (термин, введённый МАГАТЭ в разборе чернобыльских уроков): состояние организации, при котором безопасные практики соблюдаются не из страха проверки, а как разделяемая ценность — и измеряется эта культура, что характерно, не отчётами, а поведением персонала, когда никто не смотрит.

Практический тест культуры безопасности придуман давно и стоит дёшево: посмотрите, что происходит с человеком, сообщившим о проблеме. Там, где гонца с плохой вестью награждают, дефекты всплывают на стадии анекдота; там, где наказывают, — на стадии некролога. Авиация выстроила на этом целую систему добровольных конфиденциальных сообщений об инцидентах, и беспрецедентная безопасность полётов — прямой дивиденд с честности, которой не страшно быть честной. Снова тот же контур обратной связи: организация, глушащая сигналы о собственных отклонениях, летит по приборам, которые сама же и отключила.

Отсюда же растёт известный парадокс профилактики, знакомый и врачам, и айтишникам: чем лучше работает предотвращение, тем менее нужным оно выглядит. Эпидемия, которой не случилось благодаря вакцинации, выглядит как отсутствие эпидемии — и аргумент «зачем мы платим, если ничего не происходит» неотразим ровно до момента, когда платить перестают. В нашей отрасли этот цикл наблюдается с печальной регулярностью: бюджет на обслуживание пожарной автоматики секвестрируется после пяти спокойных лет, шестой год становится интересным, седьмой — бюджетообразующим для подрядчиков по восстановлению. Похоже, единственная настоящая вакцина здесь — институциональная память, то есть люди и документы, помнящие, почему правила написаны именно так.

Продолжая рассуждения о безопасности, можно сказать о том, что это необходимое и базовое условие для жизни в целом и для успеха в частности.

Политическая философия пришла к тому же выводу за столетия до нейробиологии: Томас Гоббс в «Левиафане» (1651) вывел само государство из потребности в безопасности — в естественном состоянии «войны всех против всех» жизнь человека «одинока, бедна, беспросветна, тупа и кратковременна», и люди уступают часть свободы суверену именно в обмен на защищённость. Весь общественный договор, таким образом, — это сделка о безопасности, и каждый пропускной пункт с рамкой металлодетектора — её микроскопическая ратификация. Современный социолог Ульрих Бек добавил к этому диагноз эпохи: в «обществе риска» (1986) производство богатств неотделимо от производства рисков, и распределение вторых становится таким же предметом политики, как распределение первых. Заказчик, подрядчик и страховщик слаботочных систем, торгующиеся о бюджете на пожаротушение, занимаются, сами того не зная, прикладной социологией Бека.

У сделки Гоббса есть и оборотная сторона, отчеканенная Бенджамином Франклином: тот, кто готов обменять основополагающую свободу на немного временной безопасности, не заслуживает ни свободы, ни безопасности — и хотя историки уточняют, что Франклин имел в виду вполне конкретный налоговый спор, афоризм зажил собственной жизнью как предупреждение о цене вопроса. Вторая закономерность из главы 1 — о конфликте между личной безопасностью и приватностью — есть инженерная проекция той же дилеммы: каждый шаг к тотальной наблюдаемости объективно облегчает и защиту, и злоупотребление ею, причём инфраструктура, построенная для первой, технически готова ко второму без единой доработки. Честный ответ профессии состоит в том, что баланс здесь устанавливается не техникой, а правом и контролем над контролёрами; техника лишь обязана не врать о своих возможностях.

Международные отношения добавляют к этому собственный парадокс, известный как дилемма безопасности (Джон Герц, 1950): меры, которыми государство повышает свою защищённость — вооружение, союзы, укрепления, — объективно снижают защищённость соседей, провоцируя их на ответные меры, и по спирали гонки все приходят к меньшей безопасности за большие деньги. Читатель без труда узнает ту же спираль в «дихотомии щита и меча» из мира охранных систем и хакеров (глава 9 представит её в подробностях): безопасность — игра с участием других игроков, и статическая оптимизация в ней проигрывает пониманию динамики. Собственно, поэтому теория игр Джона Нэша поминается в списке литературы этой книги отнюдь не для красоты.

Возьмём за основу определение «Безопасность — это состояние защищённости жизненно важных интересов личности, общества и государства от внутренних и внешних угроз» и попробуем классифицировать виды безопасности в зависимости от различных критериев — объекта защиты, масштаба, сферы деятельности и характера угроз:

1. По уровню (масштабу)

• Международная безопасность: Обеспечение стабильности в глобальном масштабе через сотрудничество государств (например, ООН, НАТО). Включает глобальную и региональную безопасность.
• Национальная безопасность: Защита суверенитета, территориальной целостности, конституционного строя и экономики государства. Включает государственную, общественную и личную безопасность.
• Региональная безопасность: Обеспечение стабильности и развития конкретного региона (например, защита от природных катаклизмов, экономических кризисов).
• Локальная безопасность: Защита предприятий, организаций и отдельных граждан (например, безопасность предпринимательства, личная безопасность).

2. По сферам деятельности

• Политическая безопасность: Сохранение конституционного строя, стабильности власти и демократических институтов.
• Военная безопасность: Защита от вооружённых конфликтов, обеспечение обороноспособности (армия, разведка).
• Экономическая безопасность: Стабильность экономики, защита от кризисов, контроль над ресурсами.
• Экологическая безопасность: Предотвращение ущерба окружающей среде (например, борьба с загрязнением, защита от природных катастроф).
• Информационная безопасность: Защита данных от несанкционированного доступа, кибератак (конфиденциальность, целостность, доступность).
• Социальная безопасность: Обеспечение благополучия общества (борьба с безработицей, преступностью, поддержка здравоохранения).

3. По объектам защиты

• Личная безопасность: Защита жизни, здоровья, прав и свобод человека (например, от преступлений, техногенных угроз).
• Безопасность общества: Устойчивость социальных институтов, защита от внутренних конфликтов и кризисов.
• Государственная безопасность: Охрана суверенитета, территориальной целостности, политической системы.
• Коллективная безопасность: Совместные меры государств для предотвращения угроз (например, борьба с терроризмом).

4. По характеру угроз

• Техногенная безопасность: Защита от аварий на производстве, техногенных катастроф (например, промышленная безопасность).
• Природная безопасность: Борьба с угрозами природного происхождения (землетрясения, наводнения).
• Кибербезопасность: Противодействие хакерским атакам, фишингу, утечкам данных.
• Психологическая безопасность: Сохранение психического здоровья, защита от манипуляций и давления.

5. Специализированные виды

• Промышленная безопасность: Контроль за опасными производствами (лицензирование, обучение персонала).
• Транспортная безопасность: Обеспечение безопасности на дорогах, авиации, железных дорогах.
• Ядерная безопасность: Защита от радиационных угроз и аварий на АЭС.
• Культурная безопасность: Сохранение традиций, языка и исторического наследия.

К любой подобной классификации, включая приведённую, стоит относиться как к гербарию: полезно для систематики, но жизнь в нём не растёт. Во-первых, списки видов безопасности имеют свойство неограниченно размножаться (читатель легко продолжит: продовольственная, энергетическая, демографическая, когнитивная...), и Копенгагенская школа международных отношений даже ввела термин «секьюритизация» для политического приёма, которым любую тему объявляют вопросом безопасности, выводя её тем самым из зоны нормальной дискуссии в зону чрезвычайных мер. Во-вторых — и это важнее для инженера — приведённое выше определение через «состояние защищённости» описывает цель, но не способ её удержания: состояние это не достигается однажды и не фиксируется актом приёмки, а поддерживается непрерывной деятельностью — регулировкой в контуре обратной связи (узнаёте скелет из главы 5?). Состояние, целевые показатели и процесс здесь не противоречат друг другу: первое — то, чего мы хотим, вторые — как мы это измеряем, третий — как добиваемся. Формула криптографа Брюса Шнайера «безопасность — это процесс, а не продукт» бьёт именно по иллюзии, что состояние можно купить, и справедлива далеко за пределами криптографии. Купить можно камеру; безопасность приходится практиковать.

У процессуальности безопасности есть и каноническая инженерная форма — цикл Деминга PDCA (планируй — делай — проверяй — корректируй), вшитый во все стандарты менеджмента от качества до информационной безопасности: меры планируются от оценки рисков, внедряются, проверяются учениями и аудитами, корректируются по находкам — и цикл повторяется, ибо дрейфуют и угрозы, и сам объект. Организация, у которой безопасность «внедрена» в прошедшем времени и совершенном виде, описывает не состояние дел, а остановку цикла; грамотный аудитор начинает поэтому не с вопроса «что у вас есть», а с вопроса «что вы изменили за год и почему» — отсутствие ответа диагностично безотносительно толщины папки с регламентами.

В-полутора-х, как сказал бы дотошный читатель, всякая классификация безопасности неизбежно пересекается сама с собой: кибератака на больницу — это информационная, социальная или медицинская безопасность? Пожар на нефтебазе — техногенная, экологическая или экономическая? Реальные инциденты с аппетитом гуляют по клеткам гербария, не предъявляя пропуска, и потому зрелое управление безопасностью строится не от видов угроз, а от защищаемых активов и их связей — методологический разворот, который читатель встретит и в риск-менеджменте главы 7, и в проектировании главы 11.

Остаётся вопрос, на который не отвечает ни одна классификация: сколько платить? Инженерная практика выработала здесь принцип ALARP (as low as reasonably practicable), родом из британского законодательства об охране труда (его толкование закреплено решением по делу Edwards v. National Coal Board, 1949, и методиками британского регулятора HSE): риск должен быть снижен настолько, насколько это практически разумно. Три зоны выглядят так: выше определённого уровня риск нетерпим ни за какие деньги — его обязаны снижать, не торгуясь; ниже другого уровня он пренебрежимо мал и не требует дополнительных затрат; а в зоне между ними мера защиты обязательна, если только затраты на неё не оказываются грубо непропорциональны получаемому снижению риска — и бремя доказательства этой непропорциональности лежит на том, кто меру не внедряет. Это не простое сравнение цены меры с ценой ущерба, а правило обоснования разумной осуществимости; в российском регулировании прямого аналога нет, но нормативный предельно допустимый риск из 123-ФЗ играет роль верхней границы той же конструкции.

Чтобы сравнивать траты с выигрышем, экономисты вынужденно оценивают даже цену статистической жизни (value of statistical life) — не цинизма ради, а потому, что бюджет конечен и потраченное на золочёный забор не достанется пожарной сигнализации. Упомянутый в эпиграфе выбор «платить или расплачиваться» в зрелой постановке звучит так: мера оправдана, если она снижает ожидаемый ущерб (вероятность, умноженную на последствия) больше, чем стоит сама, — сравнивать нужно не весь возможный ущерб, а именно его снижение; при этом обязательные требования норм в этот расчёт не входят вовсе — они ограничение, а не переменная. К этой арифметике мы вплотную приступим в следующей главе.

Эту тревожную арифметику всерьёз изучают: оксфордские исследователи экзистенциальных рисков во главе с Ником Бостромом (чья книга «Искусственный интеллект. Этапы. Угрозы. Стратегии», 2014, стала программной для всей этой области) каталогизируют сценарии, в которых человечество проигрывает целиком — от пандемий и ядерной зимы до недружественного искусственного интеллекта (к нему вернёмся в главе 15). Математическая мораль их работ перекликается с «чёрными лебедями» Нассима Талеба: в хвостах распределений, где вероятности малы, а последствия безграничны, обычная страховая логика «вероятность умножить на ущерб» работает плохо, и редкость события перестаёт быть утешением.

А социолог Чарльз Перроу в «Нормальных авариях» (1984) выдвинул тезис, что в сложных и жёстко связанных системах катастрофы являются не отклонением, а свойством архитектуры: когда всё зависит от всего и быстро, нештатные взаимодействия компонентов рано или поздно складываются в аварию. Тезис этот — не теорема, а эмпирическое обобщение, и из сложности системы не следует неизбежность какой-то конкретной аварии; но предупреждение Перроу стоит держать в уме, потому что слаботочный мир из первой части книги, всё плотнее сшиваемый сетями в единый организм, движется именно в сторону растущей связанности — и тем интереснее квантовая перспектива, обещанная десятой главой этой части.

Утешением — частичным — служит то, что у связанности есть и защитная сторона: иммунная система тоже распределена по всему организму, и сетевые структуры, спроектированные с умыслом о живучести (вспомним отсеки подводной лодки из главы 4), деградируют изящно, а не катастрофически. Граница между «хрупкой» и «антихрупкой» связанностью, пользуясь ещё одним термином Талеба, проходит не по количеству связей, а по их архитектуре — чем книга и будет заниматься в своей третьей, практической части.

И последний штрих к портрету понятия — его темпоральность: безопасность всегда относится к будущему (прошлое уже случилось, ему ничего не угрожает), а значит, является разновидностью прогноза со всеми его эпистемологическими скидками. Мы платим сегодня за распределение вероятностей завтра — операция, которую человеческая психика, заточенная под наличный расчёт, осваивает с трудом, а финансовая математика с её дисконтированием — с цинизмом. Возможно, лучшая формула профессии звучит так: специалист по безопасности — это переводчик с языка будущих сожалений на язык сегодняшних смет, и качество перевода проверяется, увы, только оригиналом.

А поскольку абсолютной индивидуальной безопасности не бывает, вопрос о том, не складываются ли частные риски во взаимосвязанном мире в нечто большее — в системный риск общего масштаба, — остаётся открытым. Это уже не технический вывод, а философская позиция автора, и предъявлять её читателю я буду честно, как позицию (но это уже скорее тема десятой главы).