Организация на управлението на риска

Румен Гюров

(изтегляне)

Вместо да се тревожиш за това,

което не можеш да контролираш,

насочи енергията си към това,

което можеш да създадеш!

– Рой Т. Бенет

Принципи

Съгласно международно приетия стандарт [1], управлението на риска трябва да запазва и създава стойност, да е неразделна част от организационните процеси и процеса на вземане на решения, да е систематично, структурирано и своевременно, да се основава на най-добрата налична информация, да е приспособимо, да отчита човешките и културните фактори, да е прозрачно и всеобхватно, да е динамично, повтарящо се и реагиращо на измененията и да улеснява непрекъснатото подобряване на организацията (БДС 31000: 3).

Наглед разумни, тези пожелания, формулирани като принципи, не изглеждат подредени в някаква обединяваща последователност, не са добре обмислена система с очевидна логика, която да има, така да се каже, „холографски ефект“ върху нас! Защо „холографски“?“ Имаме предвид ефект, при който изпускането на някое от нашите намерения не е фатално за крайната ни цел, защото може да се възстанови по логиката на останалите намерения. С други думи, както частта се съдържа в цялото, така и цялото се съдържа в частта, подобно на „холографско изображение“! Принципите трябва да са взаимосвързани, така че в известна степен да се предполагат един друг! И да не са дълга поредица, която само може да се наизусти, но не и да се разбере нейният смисъл! Нашата потребност от простичък и обозрим ред в нещата около нас поражда желанието ни за подобна краткост и яснота!

Преди да опростим нещата, нека ги усложним още малко или да се полутаме из сложността на различни гледни точки! Ако се абстрахираме от това, че става въпрос за принципи на управлението на риска, дали изброените по-горе принципи са приложими за всяко управление? Категорично, да! Тогава? Да изберем няколко наистина основополагащи и лесно запомнящи се принципа!

Наше водещо съображение е разбирането, че най-важната черта на знанието е абстрахирането. Благодарение на него можем да формализираме и кодифицираме подходящ набор от принципи. С тях искаме да стигнем до такъв стандарт в поведението си, който да позволява свобода на действие и да не налага ненужни ограничения (вж. McGee 2006: 71).

Когато говорим за принцип, формулировката на понятието, което го изразява, не може да прилича на набелязана цел, поставена задача, планирано мероприятие, извършвано действие или очакван краен резултат. Защото принципът предопределя целите, задачите, действията и резултатите. Принципът представлява изначално и утвърдено правило, фундаментален закон, първоизточник, убеждение, възглед или водещ смисъл, от който произтича всичко останало и който е едновременно обективна предпоставка и неизбежна норма на нашето поведение или действие.

Затова се обръщаме към някои други, представляващи интерес прозрения! Според Маргарита Богданова, Евелина Парашкевова и Кристина Павлова, наред с други принципи, всеобхватността е основополагащ принцип в управлението на риска, тъй като всяка човешка дейност е рискова (Богданова, Парашкевова, Павлова 2012: 174).

Във връзка с риска при вземане на делови решения, Румен Георгиев въвежда, според него, „нов методологически принцип – принципът за интегрираност на управляващите въздействия“ (Георгиев 2005: 22).

Цветан Семерджиев посочва като принцип в модерния мениджмънт ефикасността, от която произтича постигането на ефективност:

„Ефикасност означава извършване на нещата правилно. Използваме нейните инструменти, за да постигнем ефективност. Тя е верният служител, който възпитава стремежа към ефективност, така че платената цена да не е твърде висока. Ефикасността набляга на форма/вид и процес/обработка. Тя се отнася до това колко добре реализираме нещо, но не непременно неговата стойност.“ (Семерджиев 2011: 7-8).

„Ефективност означава извършване на правилните неща. Тя набляга на целта и качеството на резултата.“ (Семерджиев 2011: 9).

С оглед управлението на ресурсите за отбрана, наред с всеобхватността, интегрираността (букв. „принцип на интегрираната отбрана“), ефикасността и принципа на „анализ и оценка на рисковете на всеки етап“ и др., българското Министерство на отбраната посочва целенасочеността (Бечев и др. 2015: 9).

Направеният от нас кратък подбор се свежда до четири основни принципа: всеобхватност, интегрираност, ефикасност и целенасоченост. Всеобхватността означава, че управлението трябва да обхване всички вътрешноорганизационни процеси и всички взаимодействия с външната среда. Интегрираността е изискване управленските действия да са органична част от дейността на организацията – процесите в нея и взаимодействията със средата. Ефикасността е такава способност на управлението, което чрез оползотворяване на минимален ресурс постига максимален резултат. Целенасочеността предполага подчиняване на цялата организационна дейност на предварително зададена цел.

Посочените от нас универсални принципи за управление са приложими с пълна сила и към управлението на риска. Тези принципи следва да залегнат при разработването на стратегия за неговото управление като неразделна част от цялостната стратегия на организацията. Преди това, обаче, всяка организация е необходимо да определи своята стратегическа ориентация.

Ориентация

Виле Исохеранен обобщава през 2012 г. изследванията на различни автори и очертава спецификата на четири вида стратегическа ориентация, условно назовани тук: пазарна, продуктова, технологична и потребителска (вж. Isoherranen 2012: 36-44).

Ако се абстрахираме от бизнес акцента, подобна ориентация може да бъде преформулирана в по-общи понятия, приложими за всяка организация. В този ред на мисли имаме ориентация спрямо:

1. Външната среда. При тази ориентация стратегията ни за управление, вкл. за управление на риска, е насочена главно към промените извън организацията, случващите се опасни събития и източниците на влияния, които пораждат вероятност от загуба на ресурс.
2. Вътрешната среда. При тази ориентация нашата стратегия е насочена предимно към вътрешноорганизационните процеси и техния интегритет.
3. Собствените активи. При тази ориентация управлението ни се съсредоточава върху ефикасното разпределяне и използване на ресурсите.
4. Собствените интереси. При тази ориентация управленската ни стратегия се съсредоточава върху постигането на набелязани цели, върху целенасочеността на полаганите усилия. 

Ако се замислим, стратегическата ориентация не може да бъде едностранна: само към средата, само активите или само към интересите. Стратегическата ориентация е необходимо да бъде комплексна: и към външната, и към вътрешната среда, и към собствените активи, и към собствените интереси. Разбира се, и към подходящото съотношение в ориентацията между среда, активи и интереси, съобразно собствените ни потребности и цели.

След като постигнем в представите си желаното равновесие между среда, активи и интереси, след като съзнателно определим стратегическата си ориентация, се захващаме със стратегията.

Стратегия

Според Хенри Минцбърг и неговите последователи, всяка стратегия определя посоката на развитие, съсредоточава усилията, мобилизира и постига последователност в поведението на организацията. Затова тя е едновременно план (plan), образец (pattern), гледна точка (position), представа (perspective) и надиграване (ploy) (Mintzberg et al. 2005: 9-18; срв. Isoherranen 2012: 15; Kruger 2010: 30-34).

Можем да приемем, че стратегията е едновременно „модел (pattern) във вземането на решения (stream of decisions)“ за използване на ресурсите (Mintzberg 1978: 935; срв. Kruger 2010: 30) и „рационален процес на съзнателно планиране и действие“ (Van der Laan 2010: 21).

Важно е да включим в нейната дефиниция и гледната точка, че:

„Стратегията по същество се отнася до бъдещето, но в най-дълбоката си същност това е онази част от бъдещето, която съдържа несигурност.“ (Kruger 2010: 17).

Споменаваме несигурност, а това означава също предизвикателство, опасност, заплаха и риск. Да обобщим:

Стратегията представлява съзнателно изградена поредица от правила за вземане на решения при разпределяне и оползотворяване на достъпните и определяне на необходимите ресурси за постигане на значими цели. [2]

Стратегията съдържа визия, ценности, мисия, цели, задачи (вкл. идентифицирани фактори за успех, съществуващи ограничения) и необходими действия (срв. Gates 2010: 4-5 etc.; Zegers, Murombezi 2004: 53-55 etc.). Въз основа на стратегията се формира организационната политика, програмата за прилагане на тази политика и конкретният план за изпълнение на програмата. Да разграничим понятията!

Табл. 1. Компоненти на стратегията

Визията, ценностите, мисията и целите, формулирани в нашата стратегия, показват какво трябва да бъде постигнато; самата стратегия, политиката и програмата – как трябва да бъде постигнато; планът – кой трябва да го постигне (вж. Zegers, Murombezi 2004: 98-99). Визията, ценностите, мисията, целите и стратегията са отговорност на стратегическото ниво на управление, т.е. на висшето ръководство (председатели, генерални директори, изпълнителни директори, членове на управителни органи и пр.). Политиката и програмата – на оперативното ниво, състоящо се от ръководителите на отделните организационни структури (директори, ръководители на отдели, ръководители на работни групи, ръководители на проекти и пр.), които трансформират решенията на висшето ръководство в конкретни задачи и действия. Планът е отговорност на изпълнителското ниво, на отделните служители за изпълнение на поставените задачи в определени срокове. За да бъде възможно това: 

Всяка организация трябва да разработи своя стратегия, в която да отрази своята визия, мисия, ценности и цели. Стратегията следва да послужи за основа на ясно формулирана организационна политика в поредица от ръководни решения, програма с точно поставени задачи и подробно разписан план, който да систематизира взетите решения – политиката, поставените задачи – програмата, и определените срокове за изпълнението им. Стратегията и планът е необходимо да бъдат представени като основни организационни документи и с тях да бъдат запознати всички служители с отговорности по реализирането им. В зависимост от разнообразието и обема на набелязаните цели и задачи, извършваните дейности и наличните ресурси, организацията може да разработи отделни специализирани стратегии, политики, програми и планове и да ги оформи по начин, който намери за подходящ, включително като отделни организационни документи.

Подходът за добро управление, очертан дотук, може и следва да бъде подход към управлението на риска и към организацията на това управление.

Организация

Следващата ни стъпка е да организираме управлението на риска. За целта в приетия стандарт се използва т.нар. „организационна рамка“ (вж. БДС 31000: 4; срв. Indian Standard 2001: 4). Задачата ни е да организираме всеобхватно, интегрирано, ефикасно и целенасочено управление.

Предварително са ни необходими две уточнения: едното се отнася до приемствеността в представите, другото – до формулирането на понятията.

Първо. Осигуряваме приемственост в актуалната употреба на понятията и установените практики. Приемаме, че организацията включва модулите:

1. пълномощия и ангажименти (англ. mandate and commitment);
2. разработване (англ. design);
3. внедряване (агл. implementing);
4. наблюдение и преглед (англ. monitoring and review);
5. непрекъснато подобряване (англ. continual improvement) (БДС 31000: 4; срв. Indian Standard 2001: 4). 

Второ. Отстраняваме някои неточности в употребата и превода на отделни термини. Стремим се също изказът ни да е по-пестелив и по-точен от общоприетия. За да не превърнем разсъжденията си в самоцелна критика или ревизия на добросъвестно положен чужд труд, извършваме необходимата според нас редакция. Естеството на извършената редакция тук представяме накратко само с два примера:

‒ Вместо дългото „организационна рамка на управлението на риска“ (англ. framework for managing risk) можем да употребим по-краткото „организация на управлението на риска“.

‒ Правим разлика между английските изрази “risk management” и “managing risk”, които обикновено на български се превеждат еднакво като „управление на риска“ (БДС 31000: Въведение). За нас по-точният превод в първия случай е „управление на риска“, във втория – „управляване на риска“. В първият случай акцент е „организацията, рамката, структурата“, във втория – „процесът, действието, дейността“. Иначе казано, опитваме се да не се загубим в превода...

Организацията на управлението (всяко управление, не само това на риска) наистина може да се разглежда като рамка, но рамка, чрез която генерираме и прилагаме нашата стратегия за управление, без да слагаме оковите на предварително възприета управленска догматика. В този смисъл можем да говорим за „стратегическа рамка“, която организира функционирането на стратегията в структурата на организацията. Подреждаме модулите в стратегическата рамка в хронологичен ред и отново разпределяме отговорностите по нива. Нагледно представяме нашето решение в следния табличен вид:

Табл. 2. Стратегическа рамка: хронологичен ред

Пълномощията (мандатът) и прегледът на организацията на управлението на риска са отговорност на стратегическо ниво; ангажиментите (готовността) и наблюдението – на оперативно ниво, разработването и внедряването са отговорност на изпълнителско ниво; подобряването е задължение на всички организационни нива. Разбира се, чрез делегиране на правомощия вътре в организацията, отговорностите и задълженията могат да бъдат преразпределяни между отделните нива, но това следва да бъде извършвано единствено чрез прецизно формулиран вътрешен регламент за всяка конкретна задача.

Конструирана по такъв начин, стратегическата рамка показва ясно поредицата от действия за изграждане и поддържане на организационни способности за овладяване на риска. В тази поредица обикновено висшето ръководство възлага мандат на оперативен ръководител и периодично преглежда (оценява) работата на ръководен от него, специално определен екип (структура или група служители) за управление на риска. Оперативният ръководител ангажира (мобилизира) и наблюдава работата на специализирания екип. Служителите от екипа разработват и внедряват организацията за управление на риска на всички нива и сред всички служители. Със своята експертиза и способности, служителите от екипа подпомагат останалите служители на всички нива в организацията за изпълнение на вменените им задължения по управление на риска. Всички служители носят отговорност да подобряват създадената организация въз основа на извършван периодичен преглед, като цикълът на така създадената рамка за управление непрекъснато се повтаря (срв. Люки 2006: 53-70; БДС 31000: 4).

Разработената стратегическа рамка можем да представим и по нива, с разпределение на задълженията в следния вид:

Табл. 3. Стратегическа рамка: йерархичен ред

Сходна организация за управление при криза откриваме в ръководство, написано от Ричард Люки в поредица на Harvard Business Essentials (2004). Авторът предлага пет стъпки за създаване и прилагане на тази организация:

1. Сформиране на планиращ екип.
2. Отчитане [определяне] на обхвата на проблема.
3. Разработване на план.
4. Изпробване [внедряване] на плана.
5. Актуализиране на плана (Люки 2006: 53 и сл.).

Няма как да не направим аналогия между предложеното в харвардското ръководство и международния стандарт (срв. БДС 31000: 4). Ричард Люки обръща специално внимание на: екипния принцип за справяне със сложни и необичайни задачи; необходимостта от идентифициране на всички затруднения за преодоляване; свеждането на идентифицираните затруднения до определен брой задачи със срокове и отговорни ръководители и служители за тяхното решаване; изпробването на намерените решения чрез симулация и на практика; коригирането на взетите решения и установената практика съобразно промените в обстоятелствата; отчитането на най-простите възможности за реагиране в непредвидими и непредвидени случаи; потребността от адекватно обучение на служителите (Люки 2006: 53-70).

Аналогията в общоприетите подходи става очевидна, когато приложим нашата стратегическа рамка:

Табл. 4. Стратегическа рамка: организация

В предложената стратегическа рамка идва ред да впишем самия процес на управление на риска, чиито най-важни звена, според нас, са определянето на контекста, оценката на риска и въздействието върху риска (срв. БДС 31000: 5). В тази връзка разглеждаме модулите наблюдение и преглед като общо звено между организацията и дейността за управление на риска (срв. БДС 31000: 4.5 и 5.6).

Обобщение

Какъв е смисълът на извършения дотук кратък преглед на някои възможности за управление на риска? Получихме представа, чието съдържание е организирано в стройна поредица:

1. Управлението на риска трябва да е:
‒ всеобхватно, т.е. да обхваща всички организационни нива;
‒ интегрирано в цялостната организация на работата;
‒ ефикасно, т.е. с разпределение на отговорностите и задачите по нива, между ръководители и служители, което да минимизира разхода на организационен ресурс;
‒ целенасочено, т.е. да осигурява адекватни способности за управление.

2. Управлението на всяка организация, вкл. управлението на риска в нея, трябва да се извършва въз основа на добре разработена стратегия, чиито компоненти са визията, ценностите, мисията, целите, задачите (вкл. идентифицирани фактори за успех и съществуващи ограничения) и действията за тяхното постигане и решаване.

3. Стратегията се формулира съобразно потребностите и целите на организацията, като установява баланс между необходимите мерки за справяне с въздействията на средата, оползотворяване на активите и реализиране на интересите.

4. Стратегията следва да се конкретизира в план, който да включва решенията в организационната политика, програмата с определените за решаване задачи, сроковете и изпълнителите за реализиране на стратегията.

5. На стратегическо ниво, висшите ръководители вземат решение за възлагане на мандат на ръководител на екип за управление на риска и извършват периодичен преглед на изпълнението.

6. На оперативно ниво, ръководителят с възложен мандат насочва и наблюдава действията на служителите от екипа.

7. На изпълнителско ниво, служителите от екипа разработват, внедряват и подпомагат работата на системата за овладяване на риска на всички нива, сред всички ръководители и служители.

8. На всички нива, въз основа на данните от наблюдението и оценката от прегледа на управлението, се извършва актуализиране на стратегията и плана, като непрекъснато се внасят необходимите подобрения.

Какво следва от тук нататък?

Самото управляване на риска е съставна част от цялостната организационна дейност и представлява обособен процес, чиито най-важни звена са определянето на контекста, оценката и въздействието върху риска. За да изясним съдържанието на този процес на овладяване на риска, първо трябва да изясним какво управляваме, т.е. какво точно представлява рискът.


Бележки

[1] През февруари 2018 година е публикуван нов стандарт за управление на риска – ISO 31000:2018 – Risk management – Guidelines, достъп: 28.01.2019, doi: https://www.iso.org/standard/65694.html. Настоящата публикация използва като източник БДС ISO 31000:2011 – Управление на риска. Принципи и указания.

[2] Предложеното определение за стратегия (вж. по-горе) използва и обобщава идеите на Хенри Минцбърг, Лукас ван дер Лаан, Виле Исохеранен и Жан-Пиер Крюгър. Представлява наш прочит, така че да ни послужи в управлението на риска (срв. Mintzberg et al. 2005; Kruger 2010; Van der Laan 2010; Isoherranen 2012).

Източници

На кирилица

1. Бечев и др. 2015: Ръководство за планиране, програмиране, бюджетиране, изпълнение и отчет в отбранителните програми на Министерство на отбраната, структурите на пряко подчинение на министъра на отбраната и Българската армия. Под методическото ръководство на д-р Добромир Тотев, постоянен секретар на отбраната. Авторски колектив: ръководител – полковник Иван Бечев, заместник-директор на дирекция „Планиране, програмиране и бюджет“; полковник Петър Петров, държавен експерт; Елена Тимева и Андон Бакърджиев, главни експерти от отдел „Програмиране на отбранителните ресурси“. София: Министерство на отбраната, 2015, mod.bg, достъп: 15.12.2017, PDF, 104 с., doi: https://www.mod.bg/bg/doc/programi/20160621_Rykovodstvo_PPB_MO.pdf.

2. Богданова, Парашкевова, Павлова 2012: Богданова, Маргарита, Евелина Парашкевова и Кристина Павлова. Ефективно управление на оперативния риск в българските компании. – сп. Диалог, II извънреден тематичен брой. Свищов: Стопанска академия „Димитър А. Ценов“, Институт за научни изследвания, август 2012, с. 172-185, dlib.uni-svishtov.bg, достъп: 18.05.2015, PDF, 14 p., doi: https://www.google.ca/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&cad=rja&uact=8&ved=0ahUKEwjZk7CWr4vYAhVCC-wKHSTzAQ8QFggmMAA&url=http%3A%2F%2Fdlib.uni-svishtov.bg%2Fbitstream%2Fhandle%2F10610%2F2316%2F27-statia-2012.pdf%3Fsequence%3D1%26isAllowed%3Dy&usg=AOvVaw1fEWFdy5HW1d-ZvGIIeE72.

3. Георгиев 2005: Георгиев, Румен Младенов. Методология и организация на деловите решения в условията на риск и неопределеност. Автореферат на дисертация за получаване на научната степен „Доктор на икономическите науки“ по научно направление 05.02.24 – „Организация и управление извън сферата на материалното производство“. София: Софийски университет „Св. Климент Охридски“, катедра „Стопанско управление“, 2005, 74 с.

4. Люки 2006: Люки, Ричард. Управление на кризи. Прогнозиране и преодоляване. София: Класика и стил, 2006, 170 с.

5. Семерджиев 2011: Семерджиев, Цветан. Управление на време и приоритети. Лекция, изнесена във Военна академия „Г. С. Раковски“, Факултет „Национална и международна сигурност“ по дисциплината „Стратегическо лидерство“, на 06.02.2011 г., 64 слайда.

На латиница

6. Gates 2010: Gates, Linda Parker. Strategic Planning with Critical Success Factors and Future Scenarios: An Integrated Strategic Planning Framework. Technical Report. CMU/SEI-2010-TR-037. ESC-TR-2010-102. Carnegie Mellon University, Software Engineering Institute, 2010, semanticscholar.org, access: 15.12.2017, PDF, 67 p., doi: https://pdfs.semanticscholar.org/fdac/cbd34446226aa3e7476ed29928d26f459c46.pdf.

7. Indian Standard 2001: Indian Standard. Risk Management – Principles and Guidelines (ICS 03.100.01). New Delhi: Bureau of Indian Standards (BIS), 2011, law.resource.org, access: 18.04.2014, PDF, 34 p., doi: https://law.resource.org/pub/in/bis/S07/is.iso.31000.2009.pdf.

8. Isoherranen 2012: Isoherranen, Ville. Strategy Analysis Frameworks for Strategy Orientation and Focus. Oulu, Finland: University of Oulu, Faculty of Technology, Department of Industrial Engineering and Management, 2012, herkules.oulu.fi, PDF, 80 p., access: 14.02.2013, doi: http://jultika.oulu.fi/files/isbn9789514297885.pdf.

9. Kruger 2010: Kruger, Jean-Pierre. A Study of Strategic Intelligence as a Strategic Management Tool in the Long-term Insurance Industry in South Africa. University of South Africa, January 2010, uir.unisa.ac.za, access: 14.02.2013, PDF, 376 p., doi: http://uir.unisa.ac.za/bitstream/handle/10500/3701/dissertation_kruger_j.pdf.

10. McGee 2006: McGee, Anthony. Corporate Security’s Professional Project: An Examination of the Modern Condition of Corporate Security Management, and the Potential for Further Professionalisation of the Occupation. MSC Thesis. Academic Year 2005-2006, Supervisor: Dr. Helen Peck. Cranfield University, Defence College of Management and Technology, Department of Defence Management and Security Analysis, October 2006, core.ac.uk, access: 14.12.2017, PDF, 146 p., doi: https://core.ac.uk/download/pdf/139759.pdf.

11. Mintzberg et al. 2005: Mintzberg, Henry, Bruce Ahlstrand, and Joseph Lampel. Strategy Safari: A Guided Tour through the Wilds of Strategic Management. New York: Free Press, 2005; Academia.edu, Ardeshir Abdi profile, access: 15.12.2017, PDF, 406 p., doi: https://www.academia.edu/1895549/Strategy_safari_A_guided_tour_through_the_wilds_of_strategic_management.

12. Van der Laan 2010: Van der Laan, Lucas. Foresight Competence and the Strategic Thinking of Strategy-level Leaders. Toowoomba: University of Southern Queensland, Australia, 2010, eprints.usq.edu.au, access: 24.01.2012, PDF, 300 p., doi: https://eprints.usq.edu.au/9385/2/van_der_Laan_2010_whole.pdf.

13. Zegers, Murombezi 2004: Zegers, Robert, and Cornelius Murombezi. Strategic Management. Jordanian Edition. Adapted by Mahmoud al-Sayyed. Amman, The Hashemite Kingdom of Jordan, 2004, ISBN 9957-447-06-8, pdf.usaid.gov, access: 22.10.2017, PDF, 174 p., doi: http://pdf.usaid.gov/pdf_docs/Pnade297.pdf.

Стандарт

14. БДС 31000: БДС ISO 31000:2011 – Управление на риска. Принципи и указания.

Източник на мотото

15. Goodreads, access: 24.02.2019. Quote: “Don't be pushed around by the fears in your mind. Be led by the dreams in your heart.” – Roy T. Bennett, The Light in the Heart, doi: https://www.goodreads.com.


Цитиране като:
Гюров, Румен. Организация на управлението на риска. София: Studia Analytica, 03.03.2019.

Виж също:
Гюров, Румен. Овладяване на риска. София: Авангард Прима, 2018, с. 25-34.


© Studia Analytica, 03.03.2019

Поредица 

Анализ и управление на риска

София, 2019 

Публикации 

начална предишна следваща последна 

водеща основна заключителна

Споделяне на риска

Румен Гюров

(изтегляне)

Знанието може да бъде споделено,

но не и мъдростта. 

‒ Херман Хесе, „Сидхарта“ 

Ронин

В Средновековна Япония самураят, останал без господар, се превръщал в ронин. Една от най-известните легенди е тази за 47-те ронини, които търсят възмездие заради несправедливата смърт на господаря си и изгубената си чест. Легендата за тях е не само очарователна част от японската култура, но и завладяващ сценарий в холивудски филм, който популяризира делата им и им донася световна слава. Ронин е и майсторът на меча Миямото Мусаши, който оставя следа в историята не само с фехтовалните си умения, но и със своя „Ръкопис на петте пръстена“. Японският майстор отбелязва:

„Казано е, че на воина принадлежи двойният Път на меча и перото и че Пътят на воина е да обича тези два пътя. Ако се придържа към тези две части на Пътя, той може да бъде воин и без да има дарба за това.“ (Мусаши 1994: 9).

Думите на Светеца воин, както наричат Мусаши, ни казват, че за да сме готови и способни да водим битките в живота си, трябва да владеем едновременно оръжие и слово. Но овладяното оръжие и слово могат да ни бъдат от полза само ако знаем точната причина (защо), точното време (кога), точното място (къде), точния подход (как) и точната мяра (доколко) да ги употребим. За да определим причината, времето, мястото, подхода и мярата, ни е необходима своеобразна координатна система, която наричаме „стратегия“.

„Принципът на Стратегията е, знаейки едно, да знаеш десет хиляди неща.“ (Мусаши 1994: 16).

В стремежа си към подобна краткост, обаче, рискуваме да изтървем успеха, като пренебрегнем някое от оръжията си.

„Когато рискуваш живота си, ти си длъжен да използваш изцяло всичките си оръжия. Безсмислено е, ако не направиш това и умреш с неизвадено оръжие.“ (Мусаши 1994: 19).

Затова следва да помним, че словото също е оръжие. Във време, когато истината умира във фалшивите новини, словото е оръжие и за зло, и за добро. Всъщност винаги е било такова. Защото притежава непобедимата способност да бъде споделено. Няма значение дали словото е прието, отречено, пренебрегнато или заличено – винаги е споделено. Затова го приемаме, когато ни изпълва със сила, или отричаме и дори заличаваме, когато руши света, изграден в представите ни.

На границата между сигурност и риск

Споделянето на знания и опит отличава човека от останалите животни. Споделянето изгражда чувство на доверие и принадлежност един към друг, насърчава взаимната подкрепа и сътрудничество за постигане на общи цели, споява хората в човешка общност. Споделянето означава приобщаване и сигурност. Обратното означава отхвърляне и несигурност. Отхвърлянето поражда безразличие, отчуждение, подозрителност, противопоставяне и конфликти; руши човешките отношения и човешката общност. Споделяне и сигурност срещу отхвърляне и несигурност.

В диапазона между споделяне и отхвърляне, сигурност и несигурност се появява рискът. И споделянето, и отхвърлянето на риска, обаче, означават едно – стремеж към сигурност. Рискът рисува пред нас образа на разрухата и ни подтиква да търсим и да постигаме сигурност. Ако допуснем рискът да завладее живота ни, изгубваме себе си. Ако успеем да овладеем риска, ставаме свободни. Фундаменталното значение на риска в човешкия живот е мобилизиращ мотив да разглеждаме неговите особености и влияние.

Информационната революция разруши познатия ни свят с мощна експлозия от данни, която го срина до състояние на първичен хаос. Същата картина наблюдаваме и в множество изследвания, чиято любима тема е овладяването на риска. Изобилието от заглавия и автори надвишава човешките възможности за осмисляне. Вместо подредено стъпка по стъпка овладяване на риска получаваме първичен хаос от взаимно отричащи се понятия, възгледи и подходи. Вместо да придобием знание, изпадаме в невежество. Започваме да подреждаме невежеството си в разработки, сборници, ръководства, наръчници и стандарти, но от това то не само не намалява, но и увеличава своята маса и застрашава да се сгромоляса върху възприятията ни и да ни обърка още повече. Споделеното помежду ни невежество, обаче, създава или основата, или заблудата за нашата сигурност и увереност, че имаме надежда да се справим с риска. Не ни остава нищо друго, освен да продължим да споделяме един с друг опитите си да бъдем свободни от несигурността, която рискът внася в живота ни. Вечно актуалната потребност от непрекъснат подбор, обогатяване и обобщаване на натрупания опит ни подтиква да разглеждаме отново и отново възможностите да разберем и да се справим с риска, да го анализираме и управляваме.

Подреждане на представата за света на риска

Овладяването на риска ни дава възможност да оцелеем. Когато допуснем рискът да завладее живота ни, тогава е късно да предприемаме каквото и да било спрямо него. Затова, когато подреждаме представата си за риска, за да можем да го управляваме, е безсмислено да включваме в тази представа последиците от неовладяната рискова ситуация, когато рискът се преобразува във вреда, в щета, в катастрофа, в разруха и дори в унищожение. В този ред на разсъждения понятия като остатъчен риск, смекчаване на последиците от риска, управление при криза и пр. са безсмислени, лишени от рационалност:

‒ Защото остатъчният риск е не нещо друго, а отново самият риск, при това, в неовладяна докрай ситуация, ситуация с непреодолян недостиг или потенциал за загуба на ресурс.

‒ Защото смекчаването на последиците от риска е по същество смекчаване на последици от недостиг или загуба на ресурс, т. е. смекчаване на вреда или щета, когато вече може и да няма риск. В такива случаи логиката е все едно да твърдим, че лечението на рана е овладяване на риска да бъдем наранени. Очевидно е, че подобна логика противоречи на здравия разум и не може да се приеме като логика на една рационална представа за риска.

‒ Защото управлението при криза може рационално да бъде сведено до управление на риска. При управлението на ситуация, която наричаме „криза“, можем да говорим за управление на риск с увеличаваща се вероятност или нарастващо отрицателно влияние върху наличния ресурс в условията на остър недостиг на ресурс въобще. Независимо как описваме и наричаме такава ситуация – „кризисна“, „критична“, „опасна“, „рискова“ или друга, тя винаги съдържа потенциал за увеличаване на недостига или за нарастване на загубата на ресурс. В този смисъл можем да разглеждаме „управлението при криза“ като недостатъчно осмислена подмяна на думи, при която „кризата“ подменя „риска“ спрямо едно и също съдържание на дадена ситуация, която се стремим да управляваме. Изглежда, двете понятия „криза“ и „риск“ се употребяват в концепции със сходен обхват, но без ясно разграничение помежду им, често дори с пренебрегване на постиженията на другата концепция. Такъв подход обеднява нашите представи откъм съдържание и изобщо не ни носи по-задълбочено разбиране какво и как управляваме. Здравият разум и краткостта, която преследваме, ни дават право да не приемаме подобна подмяна на понятия без уточняване на тяхното съдържание и да разглеждаме само онова, което според нас е достатъчно за една по-подредена и стройна представа за риска.

В нашата по-подредена представа приемаме, че:

Рискът е съотношение между недостигащ и необходим ресурс, а неговото управление представлява конкретна практическа дейност за поддържане на конкретно съотношение между измеримите количества на недостигащ и необходим конкретен ресурс.

От тази гледна точка можем да оставим настрана множество понятия, свързани с приетите досега представи за риска, тъй като повечето от тях са част от припокриващи се или дори противоречащи си концепции и подходи, които често влагат едно и също съдържание в различни думи или описват различно съдържание с едни и същи думи.

Затова е необходимо да отстраним противоречията, да запълним пропуските, но и да имаме предвид, че също можем да сгрешим. Тогава само практиката може да ни покаже дали сме прави ли или не!

Струва си да рискуваме!


Източник

Мусаши, Миямото. Го Рин Но Шо. Ръкопис на петте пръстена. Второ издание. София: Хелиопол, 1994.

Мото

“Wisdom cannot be imparted. Wisdom that a wise man attempts to impart always sounds like foolishness to someone else ... Knowledge can be communicated, but not wisdom. One can find it, live it, do wonders through it, but one cannot communicate and teach it.” ‒ Hermann Hesse, Siddhartha. ‒ in: Good Reads: goodreads.com, accessed 20.01.2019.


Цитиране като:
Гюров, Румен. Споделяне на риска. София: Studia Analytica, 20.01.2019.

Виж също:
Гюров, Румен. Овладяване на риска. София: Авангард Прима, 2018, с. 9-12.



© Studia Analytica, 20.01.2019

Рискове и стандарти

Можете да видите редактирано и разширено издание

на тази публикация:

Гюров, Румен. Разпознаване на риска. София: Studia Analytica,
23.07.2022, url.

Модел за изграждане на система за киберсигурност

Румен Гюров

(изтегляне)

Подход за формиране на модела

Формирането на модел за изграждане на система за киберсигурност е не само практическа, но и силно интригуваща интелектуална задача. Предварителната представа за подхода към нейното решаване е свързана с новата парадигма на сигурността в днешния свят. В тази парадигма всеобхватността на съществуващата несигурност естествено поражда търсения за адекватното й осмисляне и преодоляване. Затова разработваните концепции неизбежно отчитат спецификата на информационното общество и високите технологии в телекомуникациите. Затова вниманието закономерно и последователно се насочва към киберпространството и неговите проекции, към киберсигурността и стратегиите за нейното постигане. Съгласно тази предварителна престава, отговорите на въпросите, свързани с киберсигурността, е необходимо да бъдат поставени в основата на разработвания модел. За да бъде обществено приложим, моделът трябва да акцентира повече върху нетехническите акспекти, отколкото върху технологичните (Sulek et al. 2011: 7).

Новата парадигма и концепции за сигурност

Новата парадигма на сигурността се появи в началото на 90-те години на 20-и век. Форматът й бе програмиран от революцията във високите технологии и постоянно актуализиран от ускоряващата се динамика на окръжаващата ни среда (Moshchelkov 2003: 1–3; Quille et al. 2005: 9–11; NISUSA 2009: 5–8). Зашеметяващият скок на информатиката и телекомуникациите засяга пряко всекидневния живот на хората, като едновременно персонализира и засилва колективно изживявания опит, поражда неочаквани социални и културни (социетални) последици, които променят радикално икономиката и политиката. Опитът да бъдат осмислени промените наложи виждането, което мнозина обозначават с понятието „глобализация“. Прието е, че тя представлява „бързо, нарастващо и неравномерно трансгранично проникване на стоки, услуги, хора, пари, технологии, информация, идеи, култура, престъпност и оръжия“ (Kugler et al. 2001: 9–10 и сл.). Без съмнение глобализацията носи благосъстояние и свобода на общуване, но и поставя на изпитание нашата сигурност. Подхранва редица негативни тенденции: диспропорции и напрежения в икономиката и особено във финансовия сектор; политическа нестабилност поради липса на опит и в резултат от острите икономически проблеми; изостряне на демографските проблеми, ръст на масовата миграция и трансграничната организирана престъпност; предизвикан от информационния потоп културен шок, генериращ непрекъснато криза на идентичността (За последиците от глобализацията виж по-подробно: Choucri 2002: 113; Drew, Snow 2006: 44–233; Kicinger 2004: 2–3; Kirshner (ed.) 2006: 2–22; Kugler et al. 2001: 8–40; Perl 2006: 7–9; Quille et al. 2005: 5–7).

Новите предизвикателства подтикнаха към нови подходи (Omand 2009: 3). Един от тях е концепцията за устойчива сигурност, която признава взаимопроникващата връзка устойчивост-сигурност (Sustainable... 2009: 1–2), държи сметка за жизнеността на обществото и предефинира националната сигурност около идеята за човешка сигурност (Omand 2009: 3). „Човешката сигурност“ е пряко свързана със защитата на правата и свободите на хората. Има множество допирни точки със стремежа към преодоляване на социалната несправедливост (Sachs 2003), към равен достъп до материални и духовни блага. Вменява на институциите отговорността за отстраняване на несигурността за отделните граждани и техните семейства, частните предприемачи и търговци, обществените активисти и организации, така че техните свободи, ценности, благополучие и всекидневен живот да бъдат защитени и да се развиват в по-устойчива, сигурна, справедлива и просперираща среда (Omand 2009: 3). Модерният възглед за сигурността, с нейното неизбежно личностно измерение, все повече се налага в България: „Главен обект и субект на сигурността е човекът – най-ценното и уязвимото, но и най-опасното за себе си и за обитаваната среда създание на Земята”, категорично заявяват българските експерти (Желязков, Трифонов 2012: 15).

Подобно разбиране за сигурността откроява отделните й аспекти (равнища, измерения, пластове…): глобална, национална, социетална и лична сигурност (срв. Слатински 2000: 19–21). В нашето разбиране е важно да избегнем буквалното тълкуване на понятията, като да приемем някои уговорки. Първата се отнася до т.нар. глобална сигурност, втората засяга националната, третата – т.нар. социетална сигурност. Четвъртата се отнася до уточняването на „информационния формат“ на вече известните понятия.

Първо. Глобализацията „детронира“ географията. Евклидовите очертания на държавните граници и традиционните общества радикално губят своето значение. Дори световен икономически и технологически лидер като Съединените американски щати не може да избегне тези влияния (Ó Tuathail, Dalby (eds.) 1998: 29). Ярка илюстрация на глобалната замяна на географията с информатиката е Дейтънският мир от 1995 г. Мирното споразумение става възможно, а мирът – неизбежен, благодарение на една нова реалност. Представителите на преговарящите страни (Остатъчна Югославия, Хърватия и Босна и Херцеговина) са въведени във виртуална зала на американската военна база „Райт-Патерсън“ в Дейтън, Охайо. В нея те стават свидетели на симулации на териториите, за които спорят, и на обстановката, която обсъждат. Психологическият и културен шок от високата технология и демонстрираната американска военна мощ елиминират всяка съпротива, спомагат за договаряне между страните и допринасят за подписване на споразумението. Така географията успешно, за пръв път и буквално е изместена от информатиката (Ó Tuathail, Dalby (eds.) 1998: 28–29). Едва след това тази тенденция с цялата си сила става доминираща. За съжаление, сред най-шокиращите свидетелства за окончателно „детронираната“ география са терористичните актове от
11 септември 2001 г. в Ню Йорк, 11 март 2004 г. в Мадрид, 7 юли 2005 г. в Лондон и още много други, както и не на последно място бомбеният атентат от 18 юли 2012 г. в Бургас. Затова под „глобална сигурност“ следва да се разбира сигурност, освободена от доминиращото влияние на географския фактор и силно повлияна от модерните информационни технологии и комуникации.

Второ. Националната сигурност е все още неотменима характеристика или проблем в заобикалящата ни действителност. Все още съществува основният й субект – националната държава. Но съществуването на националната държава вече не означава задължително прилагане на принципа на суверенитета, а по-скоро – своеобразното му несигурно възпроизвеждане: постоянната съзнателна промяна в субординацията между власт, територия, население и признание за самостоятелността на самата субординация (Ó Tuathail, Dalby (eds.) 1998: 89–90). В центъра на националната сигурност отново стои националният суверенитет, но форматиран вече не с картографски средства, а със средствата на новите технологии. Националната сигурност по подобие на глобалната придобива виртуални, но съвсем не недействителни, очертания. Недържавни и вътрешнодържавни актори придобиват все по-голямо влияние: екстремистки групи, склонни към насилие, международни терористи, метежници и транснационални криминални организации (The National Intelligence... 2009: 7–8).

Трето. Социеталната сигурност е най-същественият аспект на сигурността. Тя означава свобода на избора на културна принадлежност, свобода при определяне на собствената идентичност, осъзната като вродено качество или придобито право и воля за съжителство в определена човешка общност. Социеталната сигурност е централно понятие, което изразява националната сигурност като такава и свежда преживяването й до отделната личност (Мичев 2012: 37–41; Уайт 1988: 160–161).

Четвърто. Отделните измерения на сигурността тук се разбират като степени на общност. Тези степени не са механично образуван сбор или численост на включените в нея индивиди – нито като глобална общност на цялото земно население, нито като населението на дадена национална държава, нито като численост на членовете на отделни социални групи и културни общности, нито като единичност на отделния индивид в обществото. Визираните степени на общност са формирани въз основа на спецификата на човешката дейност и потребности, форматирани от информационните и комуникационните технологии. В този смисъл глобална сигурност е не сигурност на земното кълбо, а представлява сигурност на цялостната човешка дейност, винаги и навсякъде в днешния свят, всеобхватна сигурност. Националната сигурност е сигурност на особен, споделен суверенитет, сигурност на цялостната човешка дейност върху онази територия, която днес е територия не в буквално географското й значение, а в значението на обособен в дадена област суверенен, самостоятелен, независим, но съобразен с останалите избор. Социеталната сигурност е защитена от суверенния избор свобода на самоопределянето като принадлежност към дадена общност. Личната сигурност се изразява в реализиране на правото на личността да се развива свободно, според собствените си потребности.

Разглежданите измерения на сигурността могат да бъдат представени в своеобразен модел, свързващ глобална, национална, социетална и лична сигурност. Моделът подсказва обхвата на отделните видове сигурност, може да бъде изобразен като вписани един в друг кръгове или като пирамида, чиято основа е глобалната сигурност, а върхът – личната. Възможно е представяне и във форма, подобна на формата на небезизвестния НОРД-цикъл. Всъщност вложеното съдържание в модела е по-важно от графичния образ (фиг. 1).

Киберизмерения на сигурността и измерения на киберсигурността 

Днешното общество разчита и зависи от новопоявилия се киберсвят. Показателна е следната киберстатистика (по данни към началото на 2013 г.). В развитите държави от Северна Америка, Европейския съюз и Г-20 интернет допринася за 8% от БВП. Всеки ден се изпращат над 294 милиарда имейл съобщения или над 3,4 млн. имейл съобщения всяка секунда от денонощието. Всяка минута SMS трафикът генерира 812 хил. USD или близо 630 хил. EUR. Глобалният пазар на мобилните услуги (телефони) обхваща над 85% от световното население, а 15% от него пазаруват чрез мобифоните си онлайн. Именно това (както и множество други факти, изразени със сходна статистика) доведе до безпрецедентен икономически ръст в света (Klimburg (еd.) 2012: 2–3).

Една от най-ярките прояви на нарасналата стойност на социеталната и човешката сигурност е взривът на социалните мрежи, които обхващат вече 20% от населението в света (Klimburg (еd.) 2012: 2). Потребителите прекарват в тях средно между 5 и 6 часа месечно. Към средата на
2013 г. Фейсбук се радва на 750 милиона почитатели. Или всеки девети жител на Земята е във Фейсбук. Тиутър – на 100 милиона. Стойността на първата мрежа достига 80 милиарда американски долара, на втората – 8 милиарда (The Social... 2011: 3). В YouTube всекидневно се качват над 864 хил. часа видео (Klimburg (еd.) 2012: 3). Всъщност освен взрив на споделената принадлежност и индивидуалност в киберпространството, взривът на социалните мрежи сполучливо може да бъде определен и като взрив на числата (Serrano 2011).

В социалните мрежи медиатор е самата аудитория. В тях хората се чувстват свободни за себеизява и затова са активни. Неограничените възможности на социалните медии свързват хората в активни общности, които постоянно общуват (Mayfield 2008: 5). Затова днес те са най-мощният фактор, който спомага за споделяне на преживения човешки опит, формира глобална култура и персонализира и дава воля на колективния човешки дух. С тази своя уникалност те предизвикват потресаващи едновременно социални и културни промени, пораждат неочаквани икономически и политически последици. Разбира се, че това засяга пряко сигурността и обществената жизненост. Недвусмислените примери в тази посока са станалите азбучни аргументи за връзките между Фейсбук и Арабската пролет, Туитър и „Окупирай Уолстрийт“... Тези примери доказват също, че дори необхванатият от глобалните информационни и телекомуникационни технологии свят е киберформатиран.

Това са част от космическите и радикалните качествени измерения на пространството, създадено от информационните и телекомуникационните технологии – т.нар. киберпространство. То представлява съвкупност от: информационна инфраструктура и телекомуникационни системи; компютри и компютърни мрежи; дигитализирана информация и приложения; обработка на данни и комуникация и взаимодействията на информационната инфраструктура, телекомуникационните системи, компютрите, компютърните мрежи, дигитализираната информация, приложенията, обработката на данните и комуникацията с физическия свят (вж. The National Cyber... 2011: 3). Самото киберпространство се оказва уязвимо за злоупотреба (The National Cyber… 2011: 3–4; Klimburg (еd.) 2012: 3). Киберпространството е свръхпроводимо и неизследвано бойно поле, където вероятността от враждебна атака е почти неопределима. Евентуалните поражения от нея трябва да бъдат предвиждани по две основни линии: първата – в разрушаването и разстройването на хардуерните и софтуерните способности; втората – в прокарването на манипулативни идеи, включително идеи, насаждащи страх, криминални нагласи и екстремистки възгледи в обществения живот (The National Cyber… 2011: 14). Изглежда, ние виждаме, но не разбираме напълно втората линия, заплашителната „червена нишка“, която може да се окаже нашият „път към ада“.

В резултат от киберизмами и киберпиратство икономиките на Г-20 губят годишно 2,5 млн. работни места, а правителствата и потребителите – 125 млн. USD (близо 97 млн. EUR), вкл. загуби от данъчни приходи (по данни към началото на 2013 г.). Приведената статистика е ярко доказателство за „киберсинтеза“ между лична и глобална сигурност, разбира се, без да бъдат изключени от този процес останалите равнища на сигурността. През 2011 г. Symantec отчита над 400 милиона уникални варианта на зловреден софтуер, който извлича лични, конфиденциални и частни данни. За периода 2011–2012 г. стотици компании, вкл. едни от най-големите, са пострадали от нерегламентираното извличане на техни данни – става дума за такива компании като Citigroup, e-Harmony, Epsilon, Linked-In, the Nasdaq, Sony и Yahoo; става дума за изтичане на над 175 млн. лични записа, при загуба от общо над 22 млрд. USD (над 17 млрд. EUR) за периода 2011–2012 г. (Klimburg (еd.) 2012: 5–6).

Оставям на IT-специалистите уязвимостите и заплахите, свързани със софтуера и хардуера на киберпространството. Тясната софтуерна специализация и бързо развиващата се технология ще продължат да тласкат напред надпреварата в области като антивирусната защита, защитата от спам, контрола на достъпа, надеждността на личните данни и т. н. (вж. Sommer, Brown 2011: 24–27). Физическото разрушаване или увреждане на хардуера носи по презумпция общи характеристики с разрушаването и увреждането на който и да било материален актив (вж. Sommer, Brown 2011: 27 и сл.).

От друга страна обаче, съобщенията, посланията, образите и думите в киберсвета могат да имат светкавични вредоносни последици навсякъде и по всяко време. Това е път, по който глобалното се превръща в местно и обратно. Така киберпространството трансформира чужбина в у дома (Omand 2009: 3) и обратно. Съдържанието на част от информацията в киберпространството често представлява проблем за сигурността. Филтрирането на съдържанието – от терористичните послания до отвратителната педофилия, се сблъсква с основополагащия принцип за изграждане на киберпространството – принципа „открай-докрай”. Според този принцип трафикът от информация преминава между крайните потребители и не засяга ядрото на киберсистемата. Мнозина виждат в този принцип гаранция за свободата на мисълта и нейното изразяване и това е неоспоримо. По тази причина, както и поради практическата невъзможност днес да се преформатира интернет, киберзащитата срещу неподходящо съдържание се свежда до блокиране на определени сайтове и до ограничено филтриране (Personal... 2007: 20–23).

Понастоящем защитата срещу заплахите за киберсигурността е съсредоточена на индивидуално равнище. Там е нашата най-голяма уязвимост. Всеки от нас е самостоятелен киберпотребител, винаги индивидуално включен в Мрежата. В нея ние винаги индивидуално преследваме нечии интереси – нашите собствени интереси или интересите на другиго – на работодателите си, на държавата, на компанията или на организацията, на които принадлежим. Винаги индивидуално! Затова лично поемаме съответните рискове и лично трябва да познаваме техните източници: незнанието, безотговорността, съзнателното или несъзнателно себепреекспониране, достъпността до новите технологии, криминалните деяния (Personal... 2007: 61). Затова днес личната сигурност и защитата на личните данни трябва да бъде основният приоритет на системата за киберсигурност.

Разбира се, в съвременния свят традиционните заплахи – наличие на боеготова военна сила и шпионаж срещу нашите интереси, все още съществуват (Sustainable…, p. 1; The National Intelligence… 2009: 7). Различни транснационални фактори създават нови стратегически предизвикателства: глобална финансова и икономическа криза; съперничество за енергия и суровини, за достъп до вода и препитание; климатична промяна и пандемии (The National Intelligence… 2009: 8; Omand 2009: 3); кибершпионаж…

Киберсигурността може да бъде определена като свобода, неограничена от заплаха или вреда за инфраструктурата на киберпространството или за обмена и интегритета на информацията в него (The National Cyber… 2011: 4). Киберсигурността е сигурност на киберпространството (Klimburg, A. (еd.). 2012: 10) и е нещо много повече от интернет сигурност. Киберсигурността засяга преди всичко хората във взаимодействията между хардуер, софтуер, информационни и комуникационни системи.

Характерна особеност, свързана с киберсигурността, е т.нар. дигитална конвергенция, която е резултат от сливането на дигитализираната комуникация, наличните услуги, приложения, информацията и потребителските устройства (фиг. 2). Обичайна грешка е третирането на комуникацията, мрежовите услуги и приложения, информацията и потребителската активност, като нещо отделно едно от друго, без тяхната дигитална, конвергентна взаимовръзка. Погрешното фрагментарно разбиране за киберсвета създава напрежения между правителствата, частните компании, обществото и гражданите при посрещане на общите киберпредизвикателства, филтрирането на съдържанието, защитата на личните данни, облагането на онлайн търговията, спазването на мрежовия неутралитет, прилагането на мрежовите протоколи и стандарти (Sulek et al. 2011: 3).

Фрагментарността може да бъде преодоляна с проекция на отделните равнища за сигурност върху кибервзаимодействията, с което да бъдат обединени частите на киберпространството. В такъв случай новополученият модел би изглеждал подобен на изходния и изпълнен с ново съдържание: комуникация, услуги и приложения, съхраняване и обработка на информация, потребление (фиг. 2).

Именно така структурирана, киберактивността позволява свързването й с различните равнища на сигурност. Първо – на глобално, респ. национално и международно равнище, вкл. индустрия, търговия, интелектуална собственост, сигурност, технология, култура, политика и дипломация. Комуникацията на това равнище се осъществява наземно кабелно и безкабелно, с помощта на сателити и на системи за контрол на достъпа до данните. Второ – на оперативното равнище на услугите и приложенията, вкл. създаване, препращане, обработка и употреба на дигитална информация. Трето – на равнище съхраняване, обработка и обмен на информационно съдържание – обмен на гласови, видео и други данни, по същество обмен на електрони и фотони в кабелна и безкабелна среда. Четвърто – на равнището на потреблението с помощта на специфични устройства: от десктопи, лаптопи, смартфони и пр. до системи за наблюдение и контрол на достъпа до данни, оръжейни системи, комуникационни сателити (Sulek et al. 2011: 1)… Активността на крайния потребител прониква на всички равнища, формира съдържанието на „четвъртия домейн“, с цялата условност на предложените тук идеализации.

Естествено продължение на този подход е структурирането на самото киберпространство. Според Дейвид Сулек и неговите партньори от Booz Allen Hamilton Inc., една от компаниите със силно влияние в информационния и комуникационния сектор, собственост на световноизвестната The Carlyle Group, киберпространството обхваща политиката и управлението, техниката и архитектурата, инфраструктурата и операциите, сигурността, проучването и развитието в киберпространството, което е много повече от технология, функционираща в някаква физическа инфраструктура (Sulek et al. 2011: 1–7). Неговият модел, по аналогия от досега предложените, може да изглежда в 4-измерен вид: първо равнище, равнище на политиката и управлението на киберпространството, второ – инфраструктура и архитектура; трето – създаване, съхранение, обработка и обмен на информационно съдържание, четвърто – потребителски домейн (фиг. 3 – по идея от Booz Allen Hamilton, по Sulek et al. 2011: 6).

Ако се вгледаме внимателно в досега предложените модели, можем да установим, че ползваният единен подход в изграждането им спомага едновременно за обогатяване и уточняване на разнообразното им съдържание. Обособените равнища подсказват съответствия, припокривания, разграничения и синтез на съдържанието между: първо, глобална сигурност, комуникация, политика и управление в киберпространството; второ, национална сигурност, кибертехнология на специализираните услуги и приложения, инфраструктура и архитектура на физическите компоненти на кибердомейна; трето, социетална сигурност, информационна обработка и информационно съдържание; четвърто, лична сигурност, потребителска активност и потребителски домейн. Допълнително към това разпределение, с цялата условност на предложената интерпретация, следва да отнесем съдържанието на понятия като киберсигурност (сигурност на киберпространството като цяло) и понятията за видовете киберсигурност: сигурност на информационните и комуникационните технологии, сигурност на приложенията, сигурност на комуникационните и информационните системи, сигурност на информационната инфраструктура, мрежова сигурност, интернет сигурност, компютърна сигурност, информационна сигурност, национална киберсигурност, сигурност на личните данни, киберконфликт, кибершпионаж, кибервойна, киберотбрана, кибероперации, киберпрестъпление и пр. (вж. Klimburg 2012: 8–16 и сл.) (табл. 1).

Разбира се, както между отделните равнища, така и между отделните аспекти (сигурност, активност, слоеве/домейни) не съществуват резки и непреодолими граници. Дигиталната конвергенция допринася за тяхното неразделно сливане. Направените разграничения могат да бъдат полезни само за формулирането на модел за изграждане на система за киберсигурност. Онова, което остава, е поднесеното дотук съдържание да бъде съотнесено и включено в търсената система по такъв начин, че да обхваща всички сфери на обществения живот.

Киберосигуряване: критична инфраструктура, киберспособности, стратегии, организация

В развитите държави (например от Г-20) информационните и телекомуникационните системи и мрежи обхващат множество области на човешката дейност: земеделието и производството на храни; комуналното обслужване (водо-, електро-, газоснабдяване, сметосъбиране); масовия транспорт, административните, пощенските и телекомуникационните услуги за населението; здравеопазването и социалното осигуряване; критичната инфраструктура в областта на електропроизводството и електроразпределението, ядрената енергетика, добивната промишленост (добив на енергоресурси и полезни изкопаеми), преноса на петрол и природен газ (петроло- и газопроводите), химическата промишленост, преработката на индустриалните отпадъци и опазването на околната среда, банковото дело и финансите; системите за охрана и сигурност; държавното управление (електронно правителство, външна и вътрешна политика, отбрана, защитени комуникации…) и пр. (Critical... 2006: 17–27; IT Security... 2007: 53; и др.).

Ползваният подход (фиг. 1–3) може бъде приложен за „форматиране“ и на човешката дейност и нейната инфраструктура. Основен критерий за това е използването на автоматизирани информационни и комуникационни системи и мрежи за тяхното управление и контрол. Така могат да бъдат обособени следните нива на киберосигуряване: първо – добив на суровини и енергия (добивна промишленост и енергопроизводство), индустрия, земеделие и хранителна промишленост, опазване на околната среда, банково дело и финанси, стратегическо управление; второ – пренос на енергия и енергоносители, транспорт и съобщения, телекомуникации и прозрачно управление (електронно правителство, онлайн административни услуги и пр.); трето – комунално обслужване, здравно и социално осигуряване, образование и масова комуникация (медии); четвърто – крайно потребление (фиг. 4). Полученият модел без усилия дообогатява разбирането за отделните равнища и аспекти на киберпространството и позволява по-нататъшно структуриране на системата за киберсигурност.

В контекста на извършения анализ прави впечатление почти безусловно налагащата се на преден план връзка лична сигурност – потребление2 – потребителски домейн. Тя откроява приоритетното значение на защитата на личната сигурност и данни, която следва да бъде организирана при спазване на някои основни принципи:

1. Предоставянето, обработката, съхранението, ползването и заличаването на данните трябва да бъде законно, в ограничени срокове, за конкретно определени цели, в защитена среда, само в точно определен необходим обем, при спазване на човешките права и свободи.
2. Данните трябва да бъдат сигурни, точни, достатъчни и относими към поставените изисквания за работа с тях (Compliance Guide... 2011: 4–27).

Моделът за изграждане на система за киберсигурност трябва бъде изграден въз основа на тези принципи, с което да гарантира опазването на личната свобода и ефективната защита на личните данни. Освен това трябва да позволява решаването и създаването на механизми за решаване на някои постоянно възникващи дилеми. Една от тях е дилемата между национална сигурност и икономическо развитие. Тя изразява противоречието между необходимостта от икономически стимули, иновации, чуждестранни инвестиции и пр. и необходимостта от сигурност. Противоречията – между модернизиране и устойчивост на критичната инфраструктура, правителство и общество, частен и публичен сектор, военни и цивилни, служби за сигурност и служби за обществен ред, свобода на мнението и политическа стабилност, потребности и ресурси за защита на киберсигурността, защита на данните и споделяне на информацията – създават свои собствени дилеми, които много често притежават парадоксален характер: те са едновременно изкуствено формирани, съзнавани като непреодолими, и реално съществуващи, но преодолими пречки в развитието (вж. Klimburg (еd.) 2012: 34–42, 86–94).

Системата трябва да може да избягва или поправя обичайните грешки в политиката за киберсигурност. Международната компания KPMG предлага следната систематизация на тези грешки:

1. Виждането, че киберсигурността зависи от наблюдението. Истината е, че зависи в много по-голяма степен от способността да се извличат поуки от допуснатите слабости.
2. Виждането, че най-скъпите решения и средства гарантират сигурността в най-висока степен. На технологично равнище това може да се приеме с известна условност. Намесата на човека като най-уязвим за сигурността фактор радикално обезсмисля такова виждане.
3. Стремежът към постигане на 100% сигурност. Стопроцентната сигурност е невъзможна не само в сложния киберсвят, но и във всекидневния човешки живот.
4. Стремежът собствените кибероръжия да бъдат по-добри от кибероръжията на съперника. Реалността е, че сигурността трябва да се гарантира повече въз основа на собствените цели, отколкото според нечие застрашаващо ни поведение.
5. Стремежът да бъдат наети най-добрите специалисти. Реалността противопоставя на тази абсолютизация факта, че киберсигурността произтича от дисциплината в човешкото поведение, а не от подготвеността на даден експерт (Hermans, Schreurs 2013: 8–10).

Ефективността на системата за киберсигурност зависи също от способностите й за: адекватен анализ, своевременно разкриване и неутрализиране на киберрисковете и ефективно отразяване на киберзаплахите; елиминиране на сривовете в киберсистемите и опасните киберактори; умело съчета-ване на реактивен и проактивен подход в прилаганите стратегии за киберсигурност.

Изпълнението на тези изисквания следва да бъде нормативно зададено в „носещата конструкция“ на киберсистемата. Опорните й точки могат да бъдат обединени в няколко групи: първо, разработване и приемане на необходимите правни норми (законодателни и подзаконови актове) и стратегически документи (концепция, стратегия, доктрина, план за действие); второ, разработване и прилагане на необходимите технически стандарти и процедури за гарантиране на киберсигурността; трето, формиране на организационната структура – система от органи за киберзащита и сигурност; четвърто, изграждане, натрупване и развитие на необходимия експертен опит в областта на киберсигурността; пето, интензивно сътрудничество като мултипликатор на способностите и ресурсите в различни сфери от обществения живот: на вътрешнонационално, национално и международно равнище, между правителството и гражданското общество, в публичния и частния сектор и помежду им, с привличане и обмен на идеи и знания между експерти и учени и пр.; шесто, определяне на приоритетите и актуалните стратегически цели в кибердомейна (Wamala 2011: 20–21, 48–93) – фиг. 5).

Системата за киберсигурност трябва да може да изпълнява едновременно няколко основни функции (вж. фиг. 7):

1. Изпреварваща оценка и елиминиране на вероятността от възникване и реализиране на несигурност. Става дума за проактивен подход в оценката и въздействието върху средата за киберсигурност, за насърчаване на благоприятното развитие на киберпространството.
2. Превенция на киберзаплахите.
3. Подготовка за отговор срещу потенциална или съществуваща несигурност.
4. Разкриване на предизвикателствата, опасностите, заплахите и рисковете в киберпространството.
5. Защита на киберсигурността при наличие на несигурност или на неблагоприятни киберактори.
6. Възстановяване при наличие на отрицателни последици от възникнала несигурност или от въздействия на неблагоприятни актори в киберпространството.
7. Преоценка и актуализиране на киберспособностите в съответствие с динамиката на киберпространството (вж. Klimburg, A. (еd.) 2012: 78–80).

Системата за киберсигурност следва да прилага проактивен подход. Полето й на действие може да бъде структурирано в няколко приоритетни направления и обособени линии в тях. Разнообразието и сложността на киберпредизвикателствата по отделните направления и линии изискват тяхното обособяване като сфери на отговорност на различни институции (вж. фиг. 7). Те могат да изглеждат така:

1. Защита на националния суверенитет в киберпространството, по линиите киберразузнаване, киберконтраразузнаване и киберотбрана.
2. Защита на критичната информационна инфраструктура, с обособяване на специфична линия за управление при кризи. Усилията в това направление допринасят за изграждане на жизнеспособни общества и постигане на устойчиво развитие, икономически и културен напредък.
3. Борба с киберпрестъпленията.
4. Киберуправление и кибердипломация, с обособяване на специфична линия за интернет управление и интернет дипломация (срв. Klimburg, A. (еd.) 2012: 31–34. Разбира се, не може да бъде отмината и нишата, в която се развиват т.нар. социални медии).

Важна способност на системата за киберсигурност е способността да разграничава отделните видове киберактори: самостоятелни киберактори (хакери, хактивисти и пр.), киберпрестъпници, кибертерористи и киберактори на национални разузнавателни, контраразузнавателни и военни структури (Bruce et al. 2005: 13–14; Hermans, Schreurs 2013: 5).

Системата за киберсигурност следва да бъде ориентирана към бързо изработване и прилагане на адекватни стратегии в отговор на всяка несигурност. Според Франк Грегъри най-общо могат да бъдат разграничени четири типа стратегии или по-скоро четири аспекта на изработване и реализиране на дадена стратегия срещу несигурността – превенция, противодействие, готовност и възпиране (Gregory 2005: 1–2. Вж. и други публикации в Studia Analytica). Сходен подход в областта на киберсигурността предлагат Алекзандър Климбърг и Джейсън Хийли:

1. Стратегия на сдържане в две посоки: поразяване на източника на киберзаплаха или/и неутрализиране на самата кибератака. И в двата случая смисълът е недопускане на загуби в собствения кибердомейн.
2. Стратегия на изграждане и поддържане на жизнеспособността на собствената система за киберсигурност чрез противодействие също в две посоки: неприемливо за източника на киберзаплаха увеличаване на цената на предприетите от него вредоносни действия или/и недопускане на извличането на полза от източника на киберзаплаха (Klimburg, A. (еd.) 2012: 84–86).

Анализът показва, че посочените стратегии са формирани в координатната система от една страна между два противостоящи си актора, а от друга – между придобиването и отнемането на ресурс. Следователно гъвкавият стратегически подход изисква способност на системата за киберсигурност за разработване, поддържане и промяна на стратегията спрямо акторите и ресурсите: за целенасочено придобиване и отнемане на ресурс за самата система и за противостоящия й киберактор (фиг. 6).

На стратегическо равнище е необходимо създаването на централизиран орган за киберсигурност (подобна функция изпълнява националният орган по сигурността в Унгария, например). Централният орган по киберсигурност следва да координира усилията в национален и международен мащаб (вж. напр. Wamala 2011: 83–84). На тактическо равнище се препоръчва създаването на орган за управление при киберкризи/за компютърна сигурност, т.нар. CERT или CSIRT (Bruce et al. 2005: 55–56, 112–113), какъвто формат вече съществува в България. На оперативно – междуинституционален център (или центрове) за киберанализ и обмен на информация (Bruce et al. 2005: 18, 46, 56–57). С оглед развитието на информационното общество и образование, както и с оглед нарастващата сложност на информационните и комуникационните технологии, вероятно следва да се помисли за отделен киберцентър за изследвания и образование (Bruce et al. 2005: 150–151). Разбира се, не бива да бъдат оставени настрана отделните направления и линии в областта на киберсигурността. Последното означава създаване или вменяване на правомощия на отделни органи по киберразузнаване, киберконтраразузнаване, киберотбрана, борба с киберпрестъпленията. Тези институции е необходимо да бъдат поставени в подходяща институционална рамка, което означава да работят по ясни правила за взаимодействие помежду си (с разпределени отговорности), за връзка и изграждане на доверие с гражданското общество, за гарантиране на свободата в интернет, за осигуряване на сътрудничество с частния сектор (предприятия и търговски дружества от критичната инфраструктура, провайдъри, високотехнологични фирми) и пр. (вж. фиг. 7).

Заключение

Определянето на равнищата на киберсигурността, киберпространството и киберосигуряването, на изискванията спрямо киберспособностите, на функциите, направленията и линиите на отговорност, на необходимия стратегически подход и организационно изграждане, позволява формирането на всеобхватен модел за изграждане (и поддържане) на система за киберсигурност (фиг. 7).

Моделът, представен тук, е конструиран по подобие на т.нар. НОРД-цикъл. „Началното“ му звено е изграждането (впоследствие и подържането) на киберспособностите (вж. и фиг. 5). На второ основно място идва киберосигуряването (вж. и фиг. 4). Киберспособностите за киберосигуряване са поставени в условията на точно установена институционална рамка по отделни направления и линии на отговорност. Третото основно звено е функционирането на системата, която упражнява съответното въздействие върху киберпространството, като следва актуално възприет стратегически подход (вж. и фиг. 6). Четвъртото основно звено в модела е самото киберпространство (вж. и фиг. 3), чиято динамика изначално и непрекъснато влияе върху собствените киберспособности. Отделните аспекти на това влияние се сливат в резултат от дигиталната конвергенция в киберсвета (вж. и фиг. 2). Разбира се, поредицата от взаимодействия не е еднопосочна, въздействията в предложения модел протичат и в обратен ред, на всички нива, във всички аспекти и измерения. Крайният резултат от така представеното комплексно взаимодействие е постигането или непостигането на сигурност (вж. и фиг. 1).

Моделът е формиран въз основа на разбирането, че системата за киберсигурност следва да постигне ефективността, необходима на всяка система за сигурност въобще. А това е възможно единствено ако в изграждането й бъдат заложени принципите, методите, техниките и организацията на разузнавателно-аналитичния процес. KPMG предлага подобен актуален модел, валиден за вече изградена система за киберсигурност, водена от разузнавателния анализ (Marshall et al. 2013: 3–4). Предложеният модел (фиг. 7) е с по-богато съдържание от концепцията на KPMG. Моделът приема заложената в нея идея, която способства той да придобие всеобхватен и завършен вид, без да бъдат отричани възможностите за неговото модифициране, усъвършенстване и дори заместване с друг подобен модел.


Източници:

Желязков, Иван, и Тодор Трифонов. Енергийната сигурност на България. София, 2012, 198 с.

Мичев, Стефан. Илюзията за сигурност. София, 2012, 136 с.

Слатински, Николай. Измерения на сигурността, София, 2000, 184 с.

Уайт, Лесли. Науката за културата. Изследване на човека и цивилизацията. София, 1988, 310 с.

Bruce, Robert, et al. International Policy Framework for Protecting Critical Information Infrastructure: A Discussion Paper Outlining Key Policy Issues. TNO Report 33680. Dartmouth, The Netherlands: Tuck School of Business, Center for Digital Strategies, 30 June 2005, www.ists.dartmouth.edu, 14.06.2012, PDF, 209 p.

Choucri, Nazli. Migration and Security: Key Linkages – In: Journal of International Affairs. New York, Fall 2002, vol. 56, № 1, p. 97–122.

Compliance Guide: Data Protection. A Practical Guide to Meeting Your Regulatory and Best Practice Obligations. Nottingham: Experian, 2011, www.experian.co.uk, 15.05.2013, PDF, 32 p.

Critical Infrastructure Threats and Terrorism. DCSINT Handbook No. 1.02. Fort Eustis, Virginia: US Army Training and Doctrine Command (TRADOC), 10 August 2006, www.fas.org, 15.05.2013, PDF, 80 р.

Demchak, Chris. Conflicting Policy Presumptions about Cybersecurity: Cyber–Prophets, –Priests, –Detectives, and –Designers, and Strategies for a Cybered World. Issue Brief. Washington, Atlantic Council, 12.08.2010, www.acus.org, 15.05.2013, PDF, 8 p.

Drew, Dennis, and Donald Snow. Making Twenty-First-Century Strategy: An Introduction to Modern National Security Processes and Problems. Air University Press, Maxwell Air Force Base, Alabama, 2006, 289 p.

Gregory, Frank. Intelligence-led Counter-terrorism: A Brief Analysis of the UK Domestic Intelligence System’s Response to 9/11 and the Implications of the London Bombings of
7 July 2005. Madrid, 2005, www.realinstitutoelcano.org, 07.06.2006, PDF, 5 p.

Hermans, John, and Gerben Schreurs. The Five Most Common Cyber Security Mistakes. KPMG Advisory N.V. London, 2013, www.kpmg.com, 15.05.2013, PDF, 16 p.

IT Security Architecture. Washington, US Department of Energy, February 2007, http://energy.gov, 15.05.2013, PDF, 53 p.

Kicinger, Anna. International Migration as a Non-Traditional Security Threat and the EU Responses to This Phenomenon. Warsaw, 2004, 13 p.

Kirshner, Jonathan (ed.). Globalization and National Security. New York, 2006, http://books.google.bg, 19.04.2010, Google Books, 613 р.

Klimburg, Alexander (еd.). National Cyber Security Framework Manual. NATO CCD COE Publication. Tallinn, 2012, www.ccdcoe.org, 20.05.2013, PDF, 253 p.

Kugler, Richard, et al. Globalization and National Security. Vol. I-V. Washington, 2001, http://permanent.access.gpo.gov, 25.04.2010, PDF.

Marshall, Malcolm, et al. Cyber Threat Intelligence and the Lessons from Law Enforcement. London, KPMG International Cooperative, 2013, www.kpmg.com, 15.05.2013, PDF, 12 p.

Mayfield, Antony. What Is Social Media: What is Social Media? An E-Book Updated 01.08.2008. Brighton, 2008, www.icrossing.co.uk, 12.06.2012, PDF, 36 p.

Moshchelkov, Evgeny. International and National Security in the World Community in the Twenty-First Century: Outlines of New Realities. Garmisch-Partenkirchen, 2003, PDF, 3 p., www.marshallcenter.org, 07.06.2006.

Ó Tuathail, Gearóid, and Simon Dalby (eds.). Rethinking Geopolitics. London – New York, Routledge, 1998, PDF, 346 p., http://frenndw.files.wordpress.com, 13.04.2013.

Omand, David. The National Security Strategy: Implications for the UK Intelligence Community. A Discussion Paper for the ippr Commission on National Security for the 21st Century. Institute for Public Policy Research, February 2009, PDF, 17 p., http://dematerialisedid.com, 12.06.2012.

Perl, Raphael. Terrorism and National Security: Issues and Trends. Washington: CRS, 2006, PDF, 19 p., http://fpc.state.gov, 20.04.2010.

Personal Internet Security. 5th Report of Session 2006 – 2007. Volume I. HL Paper 165–I. London: House of Lords, Science and Technology Committee, 24 July 2007 – 10 August 2007, PDF, 121 p., www.publications.parliament.uk, 12.06.2012.

Quille, Gerrard, et al. An Action Plan for European Defense: Implementing the Security Strategy. Brussels – Rome, 2005, PDF, 73 p., 12.06.2012.

Sachs, Stephen. The Changing Definition of Security. Oxford, 2003, HTML, www.stevesachs.com, 22.12.2009.

Serrano, Alfonso. The Social Media Explosion: By the Numbers. New York: The Fiscal Times, 12.09.2011, HTML, www.thefiscaltimes.com, 15.06.2012.

Sommer, Peter, and Ian Brown. Reducing Systemic Cybersecurity Risk. Paris: Organisation for Economic Co-operation and Development (OECD), 14 January 2011, PDF, 119 p., www.oecd.org, 12.06.2012.

Sulek, David, et al. Asserting Global Leadership in the Cyber Domain. Ready for What’s Next. 2011 Update. Booz Allen Hamilton Inc., 16.08.2011, PDF, 24 p., www.boozallen.com, 15.05.2013.

Sustainable Security. Washington, Center for American Progress, 2009, PDF, 4 p., www.americanprogress.org, 14.06.2012.

The National Cyber Security Strategy of the Netherlands. Copenhagen: Ministry of Security and Justice, 2011, PDF, 16 p., 12.06.2012.

The National Intelligence Strategy of the United States of America. Washington, August 2009, PDF, 24 p., www.fas.org, 12.06.2012.

The Social Media Data Stacks. Cambridge: HubSpot, 2011, PPT to PDF, 54 p., www.hubspot.com, 12.06.2012.

Wamala, Frederick. The ITU National Cybersecurity Strategy Guide. Geneva, September 2011, PDF, 119 p., www.itu.int, 14.06.2012.


Задължително цитиране като:
Гюров, Румен. Модел за изграждане на система за киберсигурност. София, Studia Analytica, 01.11.2014 г.


Или също:
Гюров, Румен. Модел за изграждане на система за киберсигурност. – В: Научна конференция 2013 „Защитата на личните данни в контекста на информационната сигурност“. Сборник научни трудове. Шумен: Национален военен университет „Васил Левски“, Факултет „Артилерия, ПВО и КИС“, Катедра „Информационна сигурност“, 2013, с. 14–33.

Поредица

Стратегия за сигурност

София, 2013

Публикации

начална предишна следваща последна
 

Етапи на разузнавателния анализ

Румен Гюров

(изтегляне)

Етапите на разузнавателния анализ биват определяни по най-различни начини. В наръчник на НАТО от 2007 година той е разделен така: първо – организиране на наличната информация; второ – очертаване на онова, което тя представя; трето – тълкуване на това какво всъщност става; четвърто – обобщаване на информацията, в контекста на непрекъсната проверка на постигнатото във всеки един етап и с оглед формулиране на препоръки за вземане на решение (Eaton et al. 2007: 20).

Сходно разграничение прави Дейвид Мур, който структурира разузнавателния анализ в консистентен на настоящето изследване подход така: описание – относно съществуващото, както е дадено (U); обяснение – относно случващото се по същество (х); тълкуване (интерпретация) – относно скритите връзки в онова, което съществува и се случва по същество (Δ); оценка – заключение, свързано с избора на действие (Р) – Moore 2003: 4–6).

В контекста на представата (вж. Krizan 1999: 27; Търкаланов 2003: 75–76) за етапите и техниките на анализа, прилаганият досега подход позволява следното обобщение по отношение на разузнавателно-аналитичния процес (цикъл):

Прилагането на матрицата на разузнавателно-аналитичния процес (М-РАП) би следвало:

• да преодолява фрагментарността, нееднозначността, противоречивостта и недостатъчността на информацията при обработка на данните;
• да разграничава относимо-неотносимо, очаквано-неочаквано, известно-неизвестно, вероятно-невероятно при систематизиране на информацията;
• да привлича допълнителна, уточняваща, градираща или/и алтернативна информация при оценка на наличната;
• да описва, обяснява, тълкува и решава проблема адекватно при изграждане и аргументиране на хипотези (срв. Krizan 1999: 27; Търкаланов 2003: 75–76).

Едно от предимствата на предложения модел на разузнавателно-аналитичния процес е ясното ситуиране на методите за анализ, което поставя началото на методология на анализа, основана върху принципите на рационалното научно познание. В този смисъл разграниченията между методите за разузнавателен анализ могат да бъдат прецизирани въз основа на вече предложеното разделение на общи, специализирани, организационни и форматиращи методи (вж. други публикации в Studia Analytica). По такъв начин е възможно преразпределяне на съдържанието на отделните видове методи според мястото им в разузнавателно-аналитичния процес, така че те да бъдат разделени на:

1. Общонаучни методи: когнитивните методи сравнение и обобщение; логическите методи дедукция, индукция, традукция и абдукция; епистемологическите методи абстрахиране, конкретизиране, анализиране и синтезиране.
2. Частнонаучни методи (или предметни методи, т.е. според предметното поле на изследване): методите от типа PEST-методи – PEST, BPEST, PESTI, SLEPT, STEEP, DESTEP, PESTLE, EPISTEL, STEEPLE, STEEPLED, DIME, PMESII...
3. Експертни методи: индивидуални (от типа интервю и експертна оценка) и колективни (Анализ на А срещу Б отбор, „Адвокат на дявола“, Анализ на червения отбор, „Мозъчна атака“, „Делфи“...).
4. Онагледяващи техники: „Дърво на събитията“, „Хоризонт на събитията“, Метод на двете оси, Диаграма „Торнадо“, Карта на влиянието на риска, Карта на контрола...
5. Специализирани методи (или целеви методи, т.е. подчинени на конкретна цел в контекста на оперативно-тактическия анализ) от типа SWOT-анализ, ACT-ON-анализ, Анализ на бранда, Анализ на веригата на доставките, Анализ на веригата на стойността, Анализ на пазарната ниша, Метод на 5-те сили на Портър и пр.

Източници:

Търкаланов, Юрий. Разузнавателният анализ. София, 2003, 140 с.

Eaton, Jacqueline, et al. Joint Analysis Handbook. Third Edition. Monsanto, Lisbon, October 2007, www.jallc.nato.int, 29.12.2009, PDF, 122 p.

Moore, David. Species of Competencies for Intelligence Analysis. Washington: National Security Agency, 2003, http://scip.cms-plus.com, 29.12.2009, PDF, 35 p.

Krizan, Lisa. Intelligence Essentials. Washington, 1999, www.dia.mil, 12.10.2008, PDF, 89 p.


Задължително цитиране като:
Гюров, Румен. Етапи на разузнавателния анализ. София, Studia Analytica, 2014 г.

Или също:
Гюров, Румен. Към анализа на сигурността (в контекста на контраразузнаването). София: Фондация „Национална и международна сигурност“, 2011, с. 165–166.

Поредица

Анализ на сигурността

София, 2011

Публикации

начална предишна следваща последна

водеща основна заключителна