ЛЮДСЬКИЙ ВЕКТОР ПРОНИКНЕННЯ В ОБ'ЄКТИ КРИТИЧНОЇ ІНФРАСТРУКТУРИ: ЗІСТАВЛЕННЯ ТРЬОХ НЕЗАЛЕЖНИХ ОБЛІКІВ ПОЧАТКОВОГО ДОСТУПУ

Анотація

Стаття присвячена одному конкретному механізму ураження об'єктів критичної інфраструктури — тому, у якому проникнення починається з людини, а завершується втручанням у технологічний сегмент. Проблема, з якої виросло дослідження, лежить не в дефіциті публікацій, а в тому, що два наявні масиви літератури не перетинаються: українські роботи про критичну інфраструктуру описують об'єкти, загрози і правові режими, роботи про соціальну інженерію і фішинг описують поведінку користувача поза галузевим контекстом, і працівник, через якого відбувається вхід на енергетичний об'єкт, випадає з обох. У вступі показано, що ця прогалина має не бібліографічну, а практичну ціну: захисні заходи проєктуються або під технологічний периметр, або під офісного користувача, і стик між ними лишається без власника. Теоретичні основи дослідження будують ланцюг ураження як послідовність чотирьох ланок — вплив на працівника, отримання початкового доступу, бічне переміщення до межі технологічного сегмента, втручання в керування — і фіксують, що кожна ланка має власну статистику, власний набір захисних заходів і власну наукову літературу, а перехід між ланками не описано ніде. Методика дослідження полягає в зіставленні трьох незалежних обліків початкового доступу за період, що частково збігається: глобального звіту Verizon про розслідування витоків даних, європейського огляду ландшафту загроз ENISA і піврічної аналітики Державного центру кіберзахисту. Результати дослідження складаються з чотирьох частин. Перша — зафіксована розбіжність: частка соціальної інженерії в трьох обліках становить від шістнадцяти до шістдесяти відсотків, і ці числа не зводяться прямим порівнянням. Друга — пояснення розбіжності через чотири методологічні відмінності, головна з яких стосується одиниці обліку; наведено перерахунок, який зводить європейські дані до тієї самої одиниці, що й глобальні, і показує, що залишковий розрив припадає не на фішинг, а на експлуатацію вразливостей. Третя — відтворюваність ланцюга на українському матеріалі, де документований епізод 2015 року зіставлено з пізнішими кампаніями, у яких вектор входу був іншим або не розкритим. Четверта — оцінка того, що саме змінив у цьому ланцюгу генеративний штучний інтелект, і чому підвищення обізнаності персоналу за наявними експериментальними даними не закриває вектор. Дослівний текст пропонованого доповнення до пункту 9 Загальних вимог з кіберзахисту об'єктів критичної інфраструктури наведено в результатах, а висновки містять напрями подальших розвідок, серед яких — перенесення оцінок піддатливості до переконування з загальної популяції на операторів автоматизованих систем керування технологічними процесами.