Понимание. 
Стив Винтерфельд, Джейсон Андресс. 
Основы информационной войны

Для тех, кто не знаком с базовыми принципами безопасности, их осознание может даваться нелегко. В 2008 году Брюс Шнайер написал статью по этому поводу в Wired Magazine в, и назвал этот вид осведомленности мышлением безопасности. Шнайер сказал «Безопасность требует особого менталитета. Специалисты в области безопасности, во всяком случае, хорошие, видят мир по-другому. Они не могут зайти в магазин, не замечая способов совершения кражи. Они не могут использовать компьютер, не задаваясь вопросом о уязвимостях в безопасности. Они не могут голосовать, не пытаясь выяснить, как можно проголосовать дважды. Они просто не могут ничего с собой поделать» [5].

Это осознанное безопасное мышление критически важно не только для профессионалов в области безопасности, системных администраторам, проектировщикам сетей и других специалистов, работающих в технической области, это также важно для военнослужащих, экипажей самолетов, моряков, их семей и других, кто обрабатывает информацию, которая в любом случае, относится к важной или секретной. Более того, оценка того, какие данные могут, а какие не могут быть секретными и того, в каких ситуациях мы должны понимать последствия наших действий для безопасности, является функцией информированности по вопросам безопасности, и также должна быть хорошо изучена.

Для иллюстрации последствий таких ошибок в обоих суждениях и в правильном мышлении, нам только нужно посмотреть на ближайшее из регулярных нарушений безопасности, которые появляются в средствах массовой информации. Один из хороших примеров такой ошибки произошел до американских президентских выборов 2008 года. Было обнаружено, что работники Госдепартамента США неоднократно несанкционированным способом получали доступ к паспортным записям трех человек, которые были, в то время, кандидатами в президенты: Барака Обамы, Хиллари Клинтон и Джона Маккейна. Системы, содержащие эту информацию, настроены таким образом, чтобы предупредить администратора, когда кто-либо пытается получить доступ без законных на то оснований к записи о важном лице, таком как кандидат в президенты.

В результате этого инцидента, несколько работников были уволены или им был дан выговор, а те, которые остались, подверглись ограничению их доступа [6]. Небольшая доля информированности по вопросам безопасности, возможно, привела бы этих людей к мысли, что несанкционированный доступ к записям, содержащим личную информацию кандидатов в президенты, включая имя, адрес, дату рождения, номер социального страхования, записи о поездке, а также ряд другой информации, для них лично может иметь нежелательные последствия.

Наш пример, будучи подходящей иллюстрацией неосведомленности в области безопасности, относится к случаям с относительно смягченными последствиями, так как происшествия такого рода могут привести к куда более плачевным ситуациям. Можно найти множество подобных случаев, таких как потеря ноутбука МВ, которую мы упоминали в этой главе при обсуждении ЦРУ, начиная от персональных данных (ПД), таких как номеров социального страхования, разосланных по электронной почте на большое количество ящиков, до потери незашифрованных медицинских записей об американских ветеранах, а также бесконечное множество других случаев. Хотя для предотвращения таких случаев в действие и могут быть введены технические меры безопасности, пока мы по-прежнему будем недорабатывать в аспекте информированности по вопросам безопасности, эти проблемы останутся.

Когда мы пытаемся научить пользователей этим понятиям, основная идея проста — пытаться мыслить как злоумышленник. В той или иной ситуации, будь то фишинг-письма, атаки социальной инженерии, нарушении политики безопасности или другие проблемы, с которыми мы можем столкнуться, такой принцип, как правило, ставит нас на правильный путь. Если мы сможем привить пользователям толику конструктивного подозрения, мы чаще будем занимать правильную позицию при таких инцидентах. Хотя мы можем обнаружить, что при подготовке пользователей таким образом мы изредка можем получать ошибочный доступ, это гораздо более желаемый результат, возникновение брешей в системе безопасности, которые появляются из-за беспечности в таких вопросах.