Практически любая отрасль российского законодательства регулирует в той или иной мере отношения, связанные с техническим прогрессом, включая использование современных информационных и инфокоммуникационных технологий, являющихся «фундаментом» технологий искусственного интеллекта или готовых роботизированных изделий. Административное, информационное, финансовое, таможенное, экологическое законодательство регламентируют происходящие в обществе процессы цифровизации, нормативно придают им общественно-значимый и социально-ориентированный характер. В свою очередь риски, связанные с использованием КФС, ИИ и др. роботизированных технологий как значимое явление общественной жизни напрямую воздействуют не только на социально- экономические отношения, но и политические, экологические, а также и юридические отношения. К примеру, риски использования информационных и инфокоммуникационных технологий в финансовой сфере, возникая в недрах экономических отношений, оказывают влияние на правовую, политическую и финансовую системы страны. Риски использования информационных и инфокоммуникационных технологий в реальных секторах экономики (промышленности – особо опасные производственные объектов, электроэнергетике, недропользовании, сельском хозяйстве и др.) оказывают влияние на социальную сферу, экологические отношения, в конечном итоге правовую сферу.

Нельзя не отметить и обратную тенденцию. Риски, генерированные правовыми актами в области использования информационных и инфокоммуникационных технологий, порождают экономические, социальные, экологические и политические деформации.

В Российской Федерации в целом ряде законов и подзаконных нормативных правовых актов содержатся нормы, предусматривающие анализ, оценку, прогнозирование и минимизацию рисков в различных сферах общественных отношений.

При этом базовым нормативным правовым актом в части государственного управления рисками в Российской Федерации является Федеральный закон от 28 июня 2014 г. № 172‐ФЗ «О стратегическом планировании в Российской Федерации» [29]. Данный закон регулирует отношения, возникающие между участниками стратегического планирования в процессе целеполагания, прогнозирования, планирования и программирования социально-экономического развития Российской Федерации, субъектов Российской Федерации и муниципальных образований, отраслей экономики и сфер государственного и муниципального управления, обеспечения национальной безопасности Российской Федерации, а также мониторинга и контроля реализации документов стратегического планирования.

Согласно пункту 5 статьи 3 указанного Федерального закона, «прогнозирование – деятельность участников стратегического планирования по разработке научно обоснованных представлений о рисках социально-экономического развития, об угрозах национальной безопасности Российской Федерации, о направлениях, результатах и показателях социально-экономического развития Российской Федерации, субъектов Российской Федерации и муниципальных образований». В пункте 21 статьи 3 стратегический прогноз Российской Федерации понимается как «документ стратегического планирования, содержащий систему научно обоснованных представлений о стратегических рисках социально-экономического развития и об угрозах национальной безопасности Российской Федерации». Статья 7 вышеуказанного Федерального закона в числе принципов стратегического планирования выделяет принцип реалистичности, смысл которого определяется следующим образом: «при определении целей и задач социально-экономического развития и обеспечения национальной безопасности Российской Федерации участники стратегического планирования должны исходить из возможности достижения целей и решения задач в установленные сроки с учетом ресурсных ограничений и рисков» (пункт 9 статьи 7). Статья 16 определение рисков при достижении целей социально-экономического развития Российской Федерации и целевых показателей на долгосрочный период, с учетом задач обеспечения национальной безопасности Российской Федерации, установлено в качестве требования к подлежащей к разработке каждые 6 лет Стратегии социально-экономического развития Российской Федерации (подпункт 2 пункта 7 статьи 16). Стратегический прогноз Российской Федерации, разрабатываемый по поручению Президента Российской Федерации на двенадцать и более лет Правительством Российской Федерации, также должен включать «оценку рисков социально-экономического развития и угроз национальной безопасности Российской Федерации» (подпункт 1 пункта 2 статьи 23), разработку «оптимального сценария преодоления рисков и угроз с учетом решения задач национальной безопасности Российской Федерации» (подпункт 3 пункта 2 статьи 23). В числе основных задач мониторинга реализации документов стратегического планирования заявлены «проведение анализа, выявление возможных рисков и угроз и своевременное принятие мер по их предотвращению» (подпункт 6 пункта 2 статьи 40) [29].

Помимо вышеозначенного Федерального закона, нормы, предусматривающие необходимость управления рисками, встречаются, хотя и нечасто, в других нормативных правовых актах [30, 31, 32, 33, 34].

На необходимость учета рисков в различных сферах неоднократно обращал внимание Президент Российской Федерации в своих ежегодных посланиях. Так, в Послании Федеральному Собранию от 20.02.2019 Президент РФ подчеркнул, что «работать на стратегические цели необходимо уже сегодня… Мы обязаны двигаться только вперед, постоянно набирая темп этого движения» [35]. В монографии А.О. Турганбаева при исследовании перспектив развития административно-правового обеспечения стратегического планирования в государственном управлении сделан вывод о технологическом отставании России по внедрению новейших технологий в стратегическое планирование от государств как англосаксонской правовой системы (Австралия, Великобритания, Канада, США), так и некоторых государств Азиатско-Тихоокеанского региона (Китай, Сингапур, Таиланд, Южная Корея, Япония) [36, c. 144]. Только благодаря задействованию современных информационных и инфокоммуникационных технологий и систем искусственного интеллекта в стратегическом планировании, возможно, достичь главной цели государства – улучшение условий жизнедеятельности людей и повышение комфорта жизненной среды. Однако предвидеть многие риски, вызовы и проблемы, возникающие с использованием этих технологий будущего необходимо уже сейчас.

Риски использования киберфизических систем (КФС)

Отечественными учеными Куприяновским В.П., Намиотом Д.Е., Синяговым С.А. отмечено, что современные КФС «интегрирует в себе кибернетическое начало, компьютерные аппаратные и программные технологии, качественно новые исполнительные механизмы, встроенные в окружающую их среду и способные воспринимать ее изменения, реагировать на них, самообучаться и адаптироваться» [37, c. 22]. При этом неотъемлемым свойством КФС является связанность их физических компонентов посредством инфокоммуникационных технологий [38]. КФС соединяет физические процессы производства или иные другие процессы программно-электронными системами (к примеру, систему управления распределения электроэнергии), реализуемые путем непрерывного управления [39]. Это является отличительной чертой КФС и в то же время их слабым местом. Возможность удалённого доступа к физическим компонентам (оборудованию, автомобилям, кардиостимуляторам) даёт злоумышленнику возможность перехватить управление над ними. Таким образом, возникает риск, связанный с возможностью несанкционированного доступа, перехвата и злоумышленного изменения процесса управления физическим компонентом.

К примеру, в 2009 году вредоносное программное обеспечение Stuxnet вывело из строя центрифуги на иранском заводе по обогащению урана. В результате атаки иранская атомная промышленность была отброшена на несколько лет назад. В 2019 году атаке подверглась энергетическая система Венесуэлы. Злоумышленники получили контроль над системой управления электроснабжением в столице Венесуэлы и над системой управления гидроэлектростанции имени Симона Боливара и дистанционно отключили электрическую сеть. В результате атаки половина страны осталась без света.

Риск проникновения злоумышленника в киберфизическую систему не ограничивается одним ущербом экономике и промышленности государства. Последствием атаки на КФС может стать и смерть человека. Так, в проведённых в лабораторных условиях экспериментах исследователи продемонстрировали возможность удалённого доступа к кардиостимуляторам и изменения режима их работы, в результате чего человек, которому они имплантированы, может умереть. Также проводились эксперименты по получению удалённого доступа к системе управления автомобилем. Марин Ивезич, эксперт по информационной безопасности, указывают на трудность обнаружения следов таких атак. По мнению специалистов, криминалисты, расследующие подобные инциденты, «скорее всего, не обратят внимание на немногочисленные оставленные следы и сочтут смерть случайной» [40].

Итак, первый критерий классификации рисков использования КФС можно сформулировать как риск нанесения ущерба от несанкционированного доступа к удалённым устройствам (физическим компонентам) и их потенциальной злоумышленной компрометации.

Вторым критерием классификации рисков зачастую выступают три известных свойства информации: конфиденциальность, целостность, доступность (в английской номенклатуре – «CIA»: Confidentiality, Integrity, Availability).

По критерию CIA риски классифицируются в зависимости от влияния на вышеперечисленные свойства информации:

• Риск нарушения конфиденциальности информации в киберфизических системах;

• Риск нарушения целостности информации в киберфизических системах;

• Риск нарушения доступности информации в киберфизических системах.

При этом не без основания подчёркивается, что в киберфизических системах наибольшую опасность представляют риски целостности и доступности информации [41, 42]. Например, если злоумышленник получит доступ к информации, которая содержится в кардиостимуляторе, он сможет узнать ритм работы сердца, о возможных нарушениях в его работе, повседневном графике человека. Эта информация хоть и является персональными данными и охраняется законом, но нарушение её разглашение не так опасно, как нарушение целостности и доступности информации в кардиостимуляторе, которая может привести к сбоям в его работе или вообще к выводу прибора из строя, что для человека может иметь весьма трагичные последствия. Классификация рисков по свойствам информации является достаточно условной, так как многие угрозы воздействуют сразу на несколько вышеперечисленных свойств информации.

К тому же эксперты в области информационной безопасности сходятся во мнении, что общепринятая классификация рисков по свойствам информации не является исчерпывающей при использовании КФС. Так, Хью Бойз, руководитель отдела по кибербезопасности Института техники и технологий (Institution of Engineering and Technology), выделяет ещё два значимых для КФС свойства: управляемость/контроль и полезность [43]. В случае нарушения управляемости оператор системы, хотя может и видеть наличие проблемы, но исправить ситуацию будет уже не способен. В случае нарушения контроля за системой, оператор, даже имея возможность воздействовать на систему, не будет получать корректные сведения о её состоянии. Обращая внимания на полезность, как на свойство ХВС, Хью Бойз, приводит в пример потерю космического аппарата, целью которого был сбор климатической информации о Марсе. В ходе его разработки одна проектная группа внедрила систему, использующую метрические единицы измерения (км/ч), а другая группа использовала имперские единицы измерения (миль/час). В результате аппарат неправильно вошёл в атмосферу Марса и был уничтожен.

Вышеописанные риски с уверенностью могут быть применены к роботам и объектам робототехники, ведь роботы являются разновидностью КФС.

Риски использования роботов и объектов робототехники

Несмотря на то, что роботы хоть и могут действовать в определённой степени автономно, им всё же необходимы каналы связи с оператором. Возможность действовать полностью автономно у роботов может появиться только после внедрения в них технологий ИИ. Но этот шаг может принести даже больше рисков от использования роботов, чем имеется в настоящий момент. Однако, перейдём к рассмотрению роботов, как разновидности КФС.

Самой распространённой классификацией рисков использования роботов, соответственно, является вышеописанная при использовании КФС классификация рисков по свойствам информации: конфиденциальности, целостности и доступности. Анализируя разновидности рисков, эксперты по информационной безопасности акцентируют внимание на возможности утраты конфиденциальности бесед и тайны частной жизни в результате использования роботов. Хоть проблема утечки информации не является самой опасной для промышленных роботов и кардиостимуляторов, она является достаточно распространённой для роботов, использующихся в бытовых целях. В условиях домашнего использования роботов, когда отказ машины не приведёт ни к чему критичному, кроме чувства впустую потраченных денег, именно риск нарушения тайны частной жизни может иметь наибольшую опасность. Так, президент фонда «prpl Foundation» Арт Свифт утверждает, что производители роботов, спеша выйти на рынок со своей моделью, зачастую забывают об обеспечении безопасности своих изделий, результатом чего может стать утечка информации [44].

Не гораздо дальше в плане обеспечения безопасности ушли и производители промышленных роботов. В отчёте Trend Micro, компании, специализирующейся на обеспечении информационной безопасности, приведены результаты исследования роботов, предназначенных для промышленного производства от ряда известных производителей на предмет их информационной безопасности [45]. В результате исследования специалисты пришли к выводу, что все испытуемые роботы уязвимы к атаке извне. По мнению Дэна Вебера, технического директора компании Mocana: «Один из самых тревожных выводов в докладе Trend Micro об уязвимостях роботов, используемых в производстве – это то, как легко хакерам, в данном случае “исследователям”, обнаружить незащищённые промышленные устройства онлайн» [46]. Тревожно это потому, что злоумышленникам не составит труда не только проникнуть в сеть предприятия, но даже найти уязвимые точки для проникновения.

Кроме классификации рисков по свойствам информации существует также классификация рисков по видам атак, которые возможны в отношении роботов:

• Риск атаки, модифицирующей намерение. Это атака, направленная на искажение сообщений, передающихся к роботу. Она может преследовать цель, как изменения поведения робота, так и вывода его из строя. К данному типу атак так же относится и, так называемая, атака «отказа в обслуживании» (Denial of Service). Смысл данной атаки заключается в том, что робот оказывается перегружен входным трафиком. В результате чего происходит или остановка его работы, или задержка в реакции на поступающие команды

• Риск атаки, манипулирующей намерением. Это атака, направленная на модификацию сообщений, передающихся от роботов. Цель данной атаки очевидна – исказить сведения о состоянии машины.

• Риск захватывающей атаки.