Қазақстандағы киберқауіпсіздік. Нені жетілдіруге болады?

Адамның сыртынан несие рәсімдеу. Әлеуметтік желілерде жеке мәліметтердің жария болуы. Компанияның шотынан қомақты қаражат ұрлану. Толассыз SMS-спамдар. Осындай мазмұндағы жаңалықтар қазір көп. 

Басқа елдердегі ахуал қандай? Азаматтың жеке бас мәліметтерінің құпиясы қалай сақталады? Бұл орайда цифрлануға өтудің бас кезінде Қазақстанға үлгі болған Эстонияны (Еуропа Одағын) мысалға алсақ.

Дербес мәліметтерді қорғау: бізде және оларда

Қазақстанда дербес мәліметтермен операциялар туралы қағидалар бар.  Операторлардың (банктер, байланыс, т.с.с.) жауапкершілігі осы қағидалар бойынша айқындалады. Бірақ, операторлар қауіпсіздік шараларының сапасын өз бетінше анықтайды. Әдеттегі оферта-келісімде сіз “түймені баса отырып, берген ақпараттарыңды өңдеуге келісім бересіз”. Есесіне, оператор тек көрсететін қызметіне қандай да бір кепілдік береді де, ал дербес деректердің әрі қарайғы тағдыры реттелмей қалады.

Эксперимент. Бір микроқаржы ұйымынан сайт арқылы несие алынды. Содан бастап келе бастаған хабарламалар:

Несие рәсімдеген кезде көрсетілген телефон нөмірі басқа жерде көрсетілген жоқ. Сонда да, нөмірге күнде түрлі микроқаржы ұйымдарынан ұсыныстар келіп жатыр. Яғни, клиент өз еркінен тыс – маркетологиялық иірімге (“воронка”) алынып отырған болуы ықтимал. Әрі, бұл арада микроқаржы ұйымы ешқандай заң бұзып отырған жоқ. 

Дербес деректің құпиясы әлем бойынша проблема. Бірақ, заңдары айқын елдерде жеке бас құпиясына байланысты құқық бұзулар аз болады деп айтуға болады. Оны көру үшін Эстонияны мысалға алсақ. 

Эстония жалпыеуропалық GDPR (General Data Protection Regulation – дербес мәліметті өңдеудің жалпы ережесі) заңына бағынады. Бір қызығы, бұл заң интернет дәуіріне дейін жасалған, 1981 жылғы “Дербес деректерді автоматты өңдеу кезінде жеке тұлғалардың мүддесін қорғау Конвенциясына” негізделген. 

GDPR заңында бәрі айқын. Мысалы, дербес мәліметтермен кім жұмыс істесе де, олардың құпия болуына мемлекет жауап береді. Әрі, жекеменшік ұйымдарға дербес деректердің қауіпсіздігін қамтамасыз етуге нақты талаптар бар. Айыппұл көлемі де қомақты. Бірер оқиғаны атасақ. Дербес мәліметтердің қауіпсіздігін қамтамасыз етпегені үшін португалдық бір аурухана 400 мың еуро айыппұл төлеген. Ал AggregateIQ деген компанияға,  қолданушылардың мәліметін таргеттелген жарнамаға пайдаланғаны үшін  20 млн еуро айыппұл салынған. GDPR шарттары Еуропа Одағының кез келген интернет-ресурсында ескертілуі тиіс.

Қазақстандық сайттарда да қолданушымен келісімдер кездесіп қалады. Бірақ, қолданушы көрмей қоймайтын қалқыма хабарлама түрінде емес. Әдетте сайттың етегіне орналастырады. Қолданушы өз бетінше тауып алуы керек:

Қазақстанда дербес мәліметтердің жария болуына қатысты айыппұлға келсек, ол Әкімшілік құқық бұзу туралы  ҚР Кодексінің 641-бабымен реттеледі. Ол бойынша максимум айыппұл – 690 мың теңге (200 АЕК). Ал Еуропа Одағында – 20 млн еуроға дейін немесе компанияның әлемдік жылдық айналымының 4% дейін.

Веб-шебер, медиамаман Аршат Ораз GDPR ескертпесі сияқты хабарлама жасау түкке тұрмайды дейді. Оның айтуынша, бұл кодиң тұрғысынан еш мәселе емес. Ал сайт басқаратын CMS жүйелерде ондай плагиндер жетіп-артылады екен. Яғни, қаржылай еш шығын жоқ. 

Еуропа Одағы мен Қазақстанның киберқауіпсіздік мәселесін цифрлық сауат арқылы шешу әрекеттері ұқсас келеді. 

Рас, Еуропа Одағында киберқауіпсіздік деп көбіне – компьютер желілері мен жабдықтарының қауіпсіздігін атайды, азаматтың дербес мәліметтерін қорғауда алдымен – сол мәліметтер жүретін желілер мен жабдықтардың қауіпсіздігін қорғау маңызды. Қазақстандық құжаттардың мазмұны, біздің елде киберқауіпсіздік деген – азаматтың дербес мәліметінің қауіпсіз қолданыста болуы екенін көрсетеді, бұл жағынан Қытай мен Ресейге ұқсастық бар. 

Еуропа Одағындағы инциденттерді шолсақ, дербес мәліметтер көбіне мекемелер мен компаниялардың дерекқорларымен бірге ұрланады. Жекелеген адамның мәліметтерінің жария болуы туралы хабарлар өте аз.

Еуропа одағында жиі кездесетін инциденттердің жалпы паттерні мынадай:

“Вилианди қаласының (Эстония) ауруханасына кибершабуыл болып, пациенттердің медициналық деректері жария болған. Дерегі жария болған пациенттерге аурухана ескерту жіберді. Полиция бұл инцидентті білетінін жеткізді”.

Ал Қазақстанда керісінше, жекелеген адамның дербес мәліметтері жария болуы басым. Бұған көз жеткізу үшін ел жаңалықтарын бір шолып шығу жеткілікті. ЭЦҚ арқылы сыртынан несие рәсімдеу, жария болған жекеменшік мүліктер туралы анықтама туралы хабарлар жаңалықтар ленталарында көп. Және бұлар мақсатты хакерлік шабуылдың нәтижесі емес. Көбіне, бейқамдықтан болған кесапаттар.

Еуропа Одағында цифрлық сауатты “цифрлық машық” (digital skills) деп атайды. Және мазмұны да атауына сәйкес: азаматтар нақты электрон қызметтерді пайдалануды үйренеді. Бағдарламалардың параметрлері мен мақсаты нақты. Мысалы, 25–64 жаса аралығындағы азаматтар жалпы, білігі аздар, жұмыссыздар деп бөлінеді. 

Қазақстанда цифрлық сауаттандыру науқандық сипатқа ие. Әрі, азаматтың жасы мен әлеуметтік ерекшелікке қарай жіктелмейді. Егер мұндағы мәліметті назарға алсақ, егде жастағылардың кейбірі цифрлық сауатты арттыру курсын “үйде зерікпеудің” бір тәсілі деп біледі. Соңғы рет 2023 жылдың 19 желтоқсанында жаңарған бұл жаңалықта “халықтың цифрлық сауаттылық деңгейін 2022 жылға қарай 83%-ға дейін кезең-кезеңмен арттыру жоспарланып отыр” делінген. Ал бұл жоспардың артығымен орындалғаны туралы сол 2022 жылдың өзінде БАҚ-тарда хабарланған болатын.

Концепция сапаға әсер ете ме? Салыстыру үшін:

Еуропа одағының цифрлық машық бағдарламаларында нақты құқықтық кеңестер бар және олар әрекет алгоритмі ретінде тәптіштелген. Мысалы, өзінің дербес мәліметтері жария болған азамат ол туралы 72 сағат ішінде полицияға хабарлауы тиіс. Қазақстандық цифрлық сауат сабақтары  – нақты электрон қызметті алу жолын сипаттау.  Жалпылама, “кілттің құпиясөзін өзгерт”, “SMS-кодты ешкімге айтпа” деген сияқты кеңестер ғана бар.

Осылайша, еліміздегі цифрлық сауат ашу бұқаралық сипатта болғандықтан, науқанға айналатыны көрінді. Оның ішінде жекелеген азаматтың білігі мен мүмкіндігі есепке алынбайды. Және қауіпсіздік тақырыбы көбіне жалпылама кеңестер шеңберінде қалады. “Қазақстанның киберқалқаны” тұжырымдамасына келсек, оның тармақтары жекелеген азаматты қорғаудан гөрі ұйымдар мен жабдықтардағы ақпараттық қауіпсіздікке арналған. Еуропа Одағының мысалында цифрлық сауатты арттыру үшін бүкіл қоғамды жұмылдырудың, оқу-үйретуді еркін нарыққа жіберудің, инциденттер кезінде азаматқа нұсқау болатын нақты әрекеттер гайдтарын жасаудың маңызы көрініп тұр.

Автор: Ерлан Оспан

Бұл материал шешім журналистикасы жанрында Solutions Journalism Lab жобасы аясында дайындалған және автордың жеке көзқарасын білдіреді.