Rozumieme pojmu „bezpečnosť“?

Dočítal som knihu Against security – how we go wrong at airports, subways, and other sites of ambiguous danger (Princeton University Press, 2012). Autor (Harvey Molotch) je profesor sociológie a aj keď sa v knihe vôbec nevenuje počítačovej, informačnej či kybernetickej  bezpečnosti, domnievam sa, že jeho dielo by si mal prečítať každý, kto sa týmto oblastiam venuje. Pravda, zmysel by to malo predovšetkým pre tých, ktorí k informačnej či kybernetickej bezpečnosti nepristupujú dogmaticky a sú ochotní riešenie v tejto oblasti chápať širšie ako len mechanické aplikovanie zaužívaných bezpečnostných produktov a postupov. Pohľad sociológa na samotný pojem „bezpečnosť“, obzvlášť ak je podaný takým živým spôsobom ako to robí Molotch v spomenutej knihe, prinajmenšom mne rozšíril obzor a prispel k tomu, aby som sa zamyslel nad tým, ako vlastne tento pojem chápať – paradoxne aj po toľkých rokoch, čo sa (informačnej) bezpečnosti profesionálne venujem.

Myslím, že kľúčom k pochopeniu je zamyslenie sa nad tým, koho záujmy dominujú, resp. koho záujmy sa predovšetkým ochraňujú pri riešení bezpečnosti. V prípade informačnej bezpečnosti (bezpečnosti informačných systémov) sa takáto otázka nezvykne vôbec položiť – od bezpečnostného špecialistu sa očakáva riešenie bezpečnosti v prostredí konkrétnej organizácie a tak by nemalo prekvapiť, že implicitne sa za primárny cieľ celého úsilia považuje ochrana záujmov (aktív) majiteľa, prípadne manažmentu príslušnej organizácie. Štandardný postup potom diktuje vykonanie analýzy rizík, ktorá identifikuje aktíva organizácie, a návrh a implementáciu súboru opatrení na ich ochranu … od ostatných zúčastnených (používateľov, zamestnancov organizácie) sa očakáva, že sa prispôsobia. Skrátka, záujmy používateľov či zamestnancov sa neberú do úvahy – v extrémnych prípadoch až do takej miery, že pod rúškom bezpečnostných opatrení sa porušuje aj minimálna úroveň ochrany súkromia zamestnancov a ponižuje sa ich ľudská dôstojnosť.

A teraz sa posuňme na vyššiu úroveň – od informačnej bezpečnosti (riešenie bezpečnosti na úrovni organizácie) na kybernetickú bezpečnosť, teda riešenie bezpečnosti na úrovni spoločnosti (štátu). Koho záujmy dominujú, koho záujmy (a aké záujmy) sa majú ochraňovať pri riešení bezpečnosti na tejto úrovni? Spoločnosť (štát) síce má tiež svoj manažment, ale na rozdiel od zamestnancov organizácie sú občania „spolumajiteľmi“ spoločnosti (štátu) a túto skutočnosť by sa patrilo zohľadniť. Dá sa na to spoľahnúť?

Ak sa na úrovni spoločnosti (štátu) niekto mechanicky, bez rozmýšľania, pokúša aplikovať štandardné postupy z informačnej bezpečnosti, znamená to, že na občanov nahliada podobne ako na zamestnancov organizácie, na ktorých záujmy sa neprihliada. V takom prípade však už nejde o riešenie bezpečnosti v zmysle zohľadnenia (aspoň niektorých) záujmov občanov, ale skôr o snahu o získavanie pozícií a prostriedkov moci nad občanmi, skrátka o obyčajný mocenský boj. Ak prijmeme takúto interpretáciu, potom sa čo-to vyjasní aj o charaktere Národnej stratégie pre informačnú bezpečnosť v SR – stačí si len všimnúť, akú úlohu v nej majú občania a ich záujmy. Aj keď nepochybne aj nedávno zverejnenej Európskej stratégii pre kybernetickú bezpečnosť sa dá čo-to vyčítať, nedá sa nevšimnúť si, čo všetko deklaruje ako princípy kybernetickej bezpečnosti

• The EU’s core values apply as much in the digital as in the physical world
• Protecting fundamental rights, freedom of expression, personal data and privacy
• Access for all
• Democratic and efficient multi-stakeholder governance
• A shared responsibility to ensure security

Hľadať niečo čo i len vzdialene podobné týmto princípom v Národnej stratégií pre informačnú bezpečnosť v SR je len strata času

Samozrejme, nie je jednoduché stručne a jednoznačne sformulovať, aké sú záujmy občanov, ktoré by sa mali rešpektovať pri riešení (kybernetickej) bezpečnosti. Domnievam sa, že práve preto sa oplatí oboznámiť sa s pohľadmi sociológie, ktorej predmetom skúmania sú okrem iného aj práve takéto otázky – čo nás vracia ku knihe, ktorá na mňa tak zapôsobila. Aj keď, ako som už spomenul, sa vôbec nezaoberá informačnou či kybernetickou bezpečnosťou, pozdáva sa mi, ako autor vymedzil samotný pojem bezpečnosti – „Security, for my purposes, means being able to assume that day-to-day, moment-to-moment human planning can go forward.“ Myslím, že takéto chápanie pojmu „bezpečnosť“ by stálo za to zohľadniť aj pri tom, ako sa u nás bude riešiť informačná či kybernetická bezpečnosť – určite na úrovni spoločnosti, podľa možností aspoň čiastočne aj na úrovni individuálnych organizácií.

Jozef