Уязвимости позволяют развиваться, находить новые идеи, создавать новые технологии, исправлять ошибки. «Нет предела совершенству», потому что все может быть улучшено, а все может быть улучшено, потому что во всем есть уязвимости. Уязвимость – необходимое условие эволюции.
«Абсолютная неуязвимость недостижима, а значит, нам нужен механизм, посредством которого система станет непрерывно обновляться»
Иметь уязвимости естественно. Каждая уязвимость – это риск и возможность роста и развития одновременно, потому что там, где есть возможность – всегда есть риск, а там, где присутствует риск – всегда есть возможность. Благодаря уязвимостям мы учимся и приспосабливаемся к постоянно меняющимся условиям жизни, растем и развиваемся.
Что такое уязвимость?
От людей с разным опытом, знаниями и вкусами мы услышим разные ответы, и каждый будет прав по-своему. Раньше я думал об уязвимости как о возможном взломе программного обеспечения и компьютеров и ассоциировал это понятие с хакерами и ошибками программистов. Кто-то скажет, что уязвимость – это возможность нанесения или получения вреда со стороны другого человека. Кто-то подумает, что речь идет об уязвимости к болезням и стихийным бедствиям, против которых люди чаще всего бессильны. Тот, кто объединит эти и многие другие ответы, будет ближе всего к истине.
В данный момент лучшее определение уязвимости дают специалисты информационных технологий, так как только в этой сфере деятельности действительно идет активная работа с уязвимостями в широком смысле этого слова. Только в ИТ уязвимости не просто ищут, находят и устраняют, но и целенаправленно создают, чтобы использовать с разными целями.
Наилучшее определение уязвимости, я нашел в ГОСТе Р 53114-2008 «Термины и определения общетехнических понятий»:
Уязвимость: внутренние свойства объекта, создающие восприимчивость к воздействию источника риска, которое может привести к какому-либо последствию[2].
Для понимания уязвимости нужно помнить, что всегда существует субъект, который воздействует на объект. Субъектами и объектами в контексте уязвимости может быть не только человек и предмет, но и животное, процесс, природное явление, бизнес, отдельный бизнес-процесс и вообще что угодно.
Субъект находит уязвимость в объекте случайно или намеренно. Найдя уязвимость, начинает с ее помощью воздействовать на объект в собственных целях. Субъект может нанести вред объекту, управлять им или способствовать устранению уязвимости для улучшения объекта.
Многие воспринимают уязвимости как слабости и/или ошибки, приравнивая их друг к другу. Это неправильно. Не каждая ошибка или слабость является уязвимостью, и не каждая уязвимость – это ошибка или слабость.
Само по себе существование слабостей и ошибок не делает их уязвимостями. Недостатки и слабости в определенный момент могут превратиться в уязвимость, но это лишь вероятность. Например, может появиться новая технология, которая создаст уязвимости в других продуктах, или на свет появится вирус, из-за которого у нас начнут расти рога и копыта. До их появления такой уязвимости нет.
Уязвимость возникает там, где отсутствует приспособляемость к изменяющимся условиям и/или адекватная реакция объекта на действия субъекта. Любая новая технология конкурента может быть использована для развития собственного продукта, при условии мгновенной и адекватной реакции и приспособления к изменившимся условиям.
Для превращения слабости или ошибки в уязвимость нужно, чтобы субъект нашел способ повлиять с ее помощью на объект. Любая слабость или ошибка – это потенциальная уязвимость, способная оказывать непредсказуемое воздействие на объект. Обычно вариантов развития событий множество.
Негативное отношение
В большинстве случаев люди воспринимают уязвимость в негативном контексте. Это естественно, ведь уязвимость редко приносит с собой что-то хорошее. Куда чаще она приносит боль, злость и разочарование. Основываясь на жизненном опыте, мы считаем уязвимости чем-то плохим и опасным. Тем, от чего лучше избавиться и что лучше забыть как можно быстрее.
Мы боимся уязвимостей. Причем не только своих, но и чужих. Вы не захотите воспользоваться услугами таксиста, который внезапно может упасть в обморок, устроив аварию. Никто не захочет. С такими уязвимостями никто не желает сталкиваться, а собственную уязвимость подобного рода лучше скрывать от других.
Часто, обнаруживая чужую уязвимость, мы стараемся ее не замечать. Это считается хорошим тоном. Если мы не можем избежать наблюдения чужой уязвимости, то пытаемся сделать все, чтобы видеть ее как можно меньше и реже. Люди боятся показывать собственные уязвимости, и небезосновательно. Вокруг достаточно тех, кто готов использовать их против нас или просто себе на пользу, невзирая на возможный вред окружающим.
2
ГОСТ Р 53114-2008. «Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения».