В предыдущей статье мы рассмотрели как нужно было реагировать на "утечку" и что было сделано на самом деле. В этой части мы решили собрать наиболее интересные и/или растиражированные СМИ комментарии по ситуации с ЧКБ.
Статья не ставит задачу найти виновных в утечке, но анализирует сделанные выводы. Более того, мы намеренно проигнорируем ситуации, когда показания двух сторон, например Франака Вячорки и Янины Сазанович, противоречат друг другу, но чем-то подтвердить позиции любой из сторон мы не можем. Надеемся, что эта статья станет поводом пересмотреть подходы к защите данных всем, кто работает с конфиденциальной информацией.
1. Ник и Майк
Мы выбрали этот пост практически случайно, но он похож на множество других, пытающихся "обелить" действия сотрудников ЧКБ.
"...ярость, с которой проводятся расследования в отношении представителей демократических сил выше, чем ярость в отношении хунты".
Не очень понятно как авторы канала измеряли ярость и почему они считают, что в отношении хунты она должна быть больше. Интенсивность "ярости" расследования должна быть в первую очередь соизмерима поводу. Замалчивание утечки, которая поставила под угрозу здоровье и жизни людей, необходимо расследовать медленно и расслабленно?.. С таким подходом, режим Лукашенко версия 2.0 не заставит себя долго ждать.
Что можно было сделать лучше: Основное внимание в таких аналитических постах, как у Ника и Майка, стоит уделять как раз работе над ошибками. Именно они в первую очередь отдаляют нас от победы.
"...мы достоверно знаем людей, которые обеспечивали ЧКБ большими базами данных и при этом до сих пор находятся в Беларуси (ваша личная безопасность в ваших руках)"
Отправка базы данных в бот не означает автоматическую идентификацию личности. Если человек соблюдал правила безопасности и отправлял данные анонимно, найти его будет сложно. Но это не значит, что невозможно. Например, если базы были предоставлены в таком виде, в каком они хранятся в организации / на предприятии, то рано или поздно на "сливщиков" могут выйти. Таким образом, крайне рекомендуем этим людям покинуть территорию Беларуси.
Что можно было сделать лучше: Если авторы паблика Ник и Майк действительно знают людей, которые отправляли данные в ЧКБ и находятся в Беларуси на свободе, стоит проанализировать, точно ли отсутствуют риски их задержания. Если информаторам на самом деле ничего не грозит, стоит подробней расписать их опыт. Чтобы люди знали, как нужно делиться данными безопасно.
А если все-таки для информаторов есть явные риски, им нужно немедленно покинуть Беларусь. Посадки продолжаются, и эти люди все еще могут быть в опасности.
"В данный момент медиа раздули масштаб сначала до 2-3 тысяч, а потом уже и до 10 тысяч возможных потерпевших (тех, чьи данные могли утечь). Не удивимся, если через неделю цифры вырастет до 50 или 100 тысяч."
Как показала практика, цифры до 50+ тысяч не выросли. Более того, нам кажется странной подача материала в стиле "раздули". Объем реальной утечки теоретически могут оценить только стороны, имеющие доступ к информации. Так что это могут быть и десятки тысяч людей.
ЧКБ, со слов Александры Романовой, корректно оценить размер утечки не в состоянии. Остается теоретически только губопик. Таким образом, либо Ник и Майк занимаются пропагандой, либо губопик по каким-то причинам доводит им информацию.
Что можно было сделать лучше: Администрация ЧКБ должна была оценить реальный масштаб утечки. Дать комментарий СМИ, как этот масштаб был оценен и почему. Связаться с людьми, которые писали в бот ЧКБ и теперь могут быть задержаны, предупредить их об угрозе.
"...недоработка команды ЧКБ..."
Назвать недоработкой игнорирование опасности для огромного количества людей это, как минимум, странно. Возможно, канал Ник и Майк ведут бывшие или действующие дипломаты. Однако, когда не называют вещи своими именами, это не помогает избавиться от существующих проблем.
Что можно было сделать лучше: При разработке политики безопаности администрации ЧКБ необходимо было ввести градацию инцидентов по их серьезности. Серьезность инцидента должна влиять на скорость реагирования на нее. Важно также перестать относится как к "недоработкам" к инцидентам, в результате которых ставятся под угрозу человеческие жизни и здоровье.
"В любом обществе люди хотят крови, хотя бы виртуальной. В этом плане публичная отставка Богдановича вместе с внятной коммуникацией могли бы решить многие проблемы. Но виноват в посадках не Богданович, а исключительно хунта. И бороться нужно с ней. "
Авторы канала видят проблему только в Богдановиче. И не видят или намеренно игнорируют то, что Богданович это только "винтик" ПРОЦЕССОВ (скорее их отсутствия), которые привели к трагическим последствиям в жизни множества людей. Если Нику и Майку кажется, что в случае замены Богдановича на неБогдановича доверие к структурам демократического движения вернется к прежнему уровню, то у нас мнение совершенно противоположное.
Что можно было сделать лучше: Команде ЧКБ опубликовать публичный отчет о работе над ошибками. В нем рассказать, почему в принципе возможным стало не уведомлять людей, подвергающихся риску. Создать команду специалистов внутренней безопасности. Силами этой команды внедрить новые правила (протоколы) безопасности, которые в дальшейшем позволят избежать подобных ошибок.
2. Александра Романова, руководитель "Инфопоинт".
"Спасибо белорусским независимым медиа, которые подняли проблему: мы провели внутреннее расследование и приняли меры" - интервью телеканалу Belstat.
Не понятно почему эту проблему не подняли сами участники проекта ранее и что конкретно было сделано, чтобы подобное вещи решались без посторонней "помощи". Также возникает вопрос о том, насколько эффективны меры, принятые теми людьми, которые ранее не могли оценить масштаб "утечки".
Что можно было сделать лучше: Пригласить в команду профессионалов информационной безопасности и делегировать им работу по ее защите. Озвучить эти принятые меры публично, чтобы начать восстанавливать доверие людей и продемонстрировать, что приложены все усилия для неповторения ситуации.
3. Александр Азаров, руководитель ByPOL.
"В ByPOL не мог пробраться никакой агент и никогда не проберется..." - интервью порталу Еврорадио.
Искренне завидуем способности г-на Азарова ясно видеть прошлое и будущее, но мотивы такой уверенности нам непонятны. Даже самая совершенная система безопаности, в которой участвует человек, рано или поздно столкнется с его ошибкой. Из логики Александра можно сделать вывод, что раз "крота" не было, и не будет, то и разрабатывать план действий на случай провала не нужно. Опасная самоуверенность.
Однако позже в интервью порталу Зеркало Александ Азаров пообещал уведомлять в случае опасности участников плана Перамога в частном порядке. Надеемся, это означает, что некий план оперативных действий на случай утечки все же существует.
Что можно было сделать лучше: Один из столпов информационной безопасности звучит в английском языке как "Plan to fail", что в вольном переводе означает "всегда имей план действий на случай провала". В этом случае Александр, с нашей точки зрения, должен разработать план действий на случай чрезвычайных ситуаций.
"губопик не мог украсть никакой базы данных информаторов ЧКБ, так как она не существовала" - интервью Еврорадио.
Что мешало самому губопику сделать такую базу данных у себя на основании той информации, к которой Артур Гайко имел доступ?
Что можно было сделать лучше: Оценить размер утечки. Если нет возможности оценить, какая информация "утекла" к "кроту", то вся информация считается утекшей. Предпринимать меры безопасности на основании этого.
"Людей не могут задерживать по делу ЧКБ, так как прошло уже полтора года..." - интервью Еврорадио.
Еще одно очень странное заявление. Если предположить, что было вытянуто очень много данных, то обработка данных занимает много времени. Кого-то, кто раскрыл свое настоящее имя, взяли сразу. Кого-то, чей деанон потребовал много сил и времени, берут сейчас. Было бы очень странно, если по прошествии 2-3 месяцев, губопик отказался бы от разработки всех данных из ЧКБ только на основании того, что "пора бы дело формально закрыть".
Еще более странным выглядит в этом контексте ответ Александра Азарова на прямой вопрос ведущего "Нужно ли беспокоиться людям, сливавшим данным в ЧКБ сейчас?". Ответ был: "Да, лучше уехать из страны".
Что можно было сделать лучше: Немедленно оповестить всех, кто мог пострадать от утечки, и дать им шанс покинуть пределы Беларуси.
"О выявлении внедренного сотрудника губопик мы опубликовали расследование на своем канале 30 июля 2021 года. Янина Сазанович давала интервью на эту тему еще ранее — 26 июля этого же года на канале «Беларусь головного мозга». Поэтому не совсем понятно, по каким причинам Янина вновь решила поднять этот вопрос к концу 2022 года..." - интервью порталу Зеркало.
Янина, с нашей точки зрения, решила поднять вопрос потому, что не видела никакой возможности решить вопрос замалчивания "утечки" изнутри, хотя до этого прилагала, с ее слов, много усилий. И надеялась на то, что сами участники проекта ЧКБ доведут информацию до потенциальных жертв утечки. Так как этого не произошло, ей пришлось поднять вопрос самостоятельно.
Что можно было сделать лучше: Немедленно оповестить всех, кто мог пострадать от утечки, и дать им шанс покинуть пределы Беларуси.
Заключение
С нашей точки зрения, отношение к защите персональных данных людей в среде беларуского протеста пока еще далеко от того состояния, которое нам хотелось бы видеть. С нашей стороны мы прилагаем все усилия, чтобы уроки из ситуации с ЧКБ были выучены. Но основную работу должны проделать именно руководители инициатив.
В следующей статье цикла мы отойдем от работы только с открытыми источниками и расскажем как влияет на вашу безопасность NDA, который офис Светланы Тихановской дает на подпись своим сотрудникам.
