Введение
Проблема кибербезопасности становится все более актуальной по мере цифровизации различных сфер жизни. В связи с распространением посредством социальных сетей феномена кибермошенничества в его разнообразных формах и, соответственно, ложной информации (иногда с серьезными негативными последствиями) углубляется понимание того, что задача обеспечения кибербезопасности как организаций, так и частной жизни людей не является исключительно технологической. Ее решение во многом зависит от поведения людей как субъектов кибербезопасности, причем не только экспертов, но и всех, кто вовлечен в использование цифровых ресурсов. Более того, жертвами киберпреступников и нарушителями правил кибербезопасного поведения становятся в том числе люди, в целом хорошо осведомленные о киберпреступности и ее внешних проявлениях, однако по каким-либо причинам не всегда способные использовать эту информацию в конкретных ситуациях, когда она оказывается необходимой. С проблемой доверия интернет-пользователей кибермошенникам связана другая проблема — доверие массово тиражируемым в социальных медиа ложным новостям, что может приводит к не столь очевидным, но не менее опасным последствиям.
На этом фоне все более осознанной становится необходимость изучения психологических факторов безопасного поведения в Интернете. Цель данной статьи — систематический обзор проведенных к настоящему времени эмпирических исследований личностных и ситуативных факторов кибербезопасного поведения и доверия к ложным новостям. В наши задачи входит показать, что известно в современной эмпирической социальной психологии, поведенческой психологии и психологии личности о личностных чертах людей, склонных к соблюдению или, напротив, нарушению правил кибербезопасного поведения, а также самих киберпреступников, каковы факторы, обусловливающие доверие интернет-пользователей к ложным новостям, и на основании проанализированных результатов обозначить пути решения проблемы обеспечения безопасного поведения интернет-пользователей.
Психологические подходы к изучению кибербезопасности
Лейтмотив многих публикаций о психологических факторах кибербезопасности — указание на их относительную неизученность и недооцененость. Изначально и довольно долго проблема кибербезопасности рассматривалась как сугубо техническая и соответственно она решалась техническими средствами [15]. Лишь впоследствии (и, возможно, как раз вследствие этой неизученности) человеческий фактор был признан наиболее слабым звеном в программах повышения кибербезопасности. Стали предприниматься попытки изучить этот человеческий фактор — в формате приложения отдельных теоретических подходов к практическим вопросам, проведения эмпирических исследований, вплоть до построения общих моделей — с позиций различных разделов общей и специальной психологии. Рассмотрим видение психологического аспекта кибербезопасности с позиции классических концепций психологии личности, поведенческой психологии и социальной психологии.
Недавние исследования кибербезопасности применительно к теории и практике психологии личности предсказуемо представляют собой попытки выявить, какие личностные черты и каким образом значимо влияют на кибербезопасное поведение. Так, Шерри, Доусон и Дебб [22] обнаружили, что степень соблюдения норм и правил кибербезопасного поведения положительно связана с тремя из пяти составляющих «Большой пятерки» личностных черт — прежде всего с добросовестностью, затем доброжелательностью и открытостью опыту.
Можно интерпретировать результаты этих авторов таким образом, что кибербезопасному поведению способствуют не только добросовестное отношение к своим обязательствам и правилам кибербезопасного поведения как норма поведения в целом, но и просоциальная ориентация. Иными словами, кибербезопасность оценивается субъектом как серьезный риск, когда осознается угроза не только себе, но и окружающим, а также как восприимчивость к новым идеям (либо благодаря способности представить себе все разнообразные вариации киберугроз и их вероятные последствия, либо более высокая общая информированность о цифровой сфере как следствие более высокого интереса к новым технологиям в целом).
Вместе с тем Кеннисон и Чан-Тин [14] выявили значимую связь кибербезопасного поведения лишь с одной чертой личности, наиболее очевидной из личностных характеристик пятифакторной модели, — добросовестностью. Такой результат может быть связан с тем, что в этом исследовании кибербезопасное поведение операционализировалось не как соблюдение правил, а, напротив, как их нарушение — рискованное поведение.
Обращает на себя внимание тот факт, что в обоих исследованиях не было выявлено значимой связи между кибербезопасным поведением и нейротизмом, хотя, казалось бы, причиной нарушения правил кибербезопасности должна быть низкая эмоциональная стабильность. Представляется, что многие формы киберугроз не выглядят как явные ситуации опасности, но, напротив, они мимикрируют под стандартные ситуации (таковы, например, фишинг, имитирующий стандартную процедуру запроса данных, или фейковые сайты известных интернет-магазинов, имитирующие привычную операцию оформления покупки онлайн). В результате запускается стандартное, наиболее привычное человеку, поведение, и именно оно в нестандартных ситуациях приводит к опасным последствиям, выполняя роль триггера.
Еще один подход к проблеме кибербезопасности в рамках психологии личности ориентирован на смену полюсов объекта изучения психологических особенностей субъекта кибербезопасности: на изучение не потенциальных жертв кибератак (то есть, по сути, всех добросовестных пользователей цифровых технологий), а тех, кто планирует и осуществляет эти атаки. Так, Чань, Лу, Кумар и Яу [13], предлагая достаточно эклектичную по своим основаниям классификацию хакеров, включающую в себя 13 типов («новички»; «киберпанки»; «инсайдеры»; «старая гвардия»; «профессионалы»; «хактивисты»; «национальные государства»; «студенты»; «мелкие воришки»; «цифровые пираты»; онлайн преступники, совершающие преступления сексуального характера; «краудсорсеры», содействующие киберпреступности), составили для каждого из этих типов мотивационный профиль, акцентируя внимание на наличии либо отсутствии каждого из следующих мотивов: любопытство, материальная выгода, слава, месть, досуг, идеология, сексуальные импульсы.
Показано, что наиболее частыми мотивами, которые встречаются у семи из тринадцати типов, включенных в классификацию, являются материальная выгода и месть. При этом у пяти типов хакеров — киберпанков, инсайдеров, профессионалов, национальных государств и мелких воришек — сочетаются оба этих мотива.
Таким образом, в мотивации хакеров сочетаются узкопрагматические и эмоционально-личностные мотивы, что должно сильно затруднять профайлинг.
Эта проблема профайлинга хакеров решается сегодня в подходе к кибербезопасности с позиций теории и практики в русле еще одного раздела психологии — поведенческой психологии — посредством переноса фокуса внимания исследователя с причин хакерской активности на ее практические последствия, особенно на оценку серьезности последствий и их охвата.
В наиболее фундаментальном на сегодняшний день труде по психологии кибербезопасности за авторством Паттерсона и Уинстон-Простора [20] предлагается схема профайлинга хакеров на основании двух основных критериев — уровня технических компетенций и способности к стратегическому планированию (категории А, В, С, D).
Хакеры категории А представляют собой достаточно хорошо организованные группы, владеющие знанием сложных технологий и большими материальными ресурсами, заинтересованные только в масштабных целях и способные к тщательному планированию. Категорию В составляют хакеры, обладающие продвинутыми знаниями технологий при ограниченных ресурсах и способные к ограниченному планированию. В категорию С входят хакеры, обладающие некоторыми ограниченными знаниями и ресурсами, но не склонные к планированию. Наконец, к категории D относятся хакеры, для которых совершение киберпреступлений является в терминологии К. Левина полевым повелением — те, кто не обладают ни специальными знаниями, ни ресурсами, действуют только тогда, когда видят легкую возможность, и реализуют свои идеи немедленно без какого-либо предварительного планирования.
Основное ограничение этой модели — ее опора на субъективный, пусть и обширный, опыт без научно-доказательной основы, которая позволила бы объяснить, почему эта модель включает в себя именно четыре категории. Она обобщает имеющиеся знания, но не объясняет поведения киберпреступников и может препятствовать обнаружению новых категорий, допустим, сочетающих высокий уровень технических компетенций с невниманием к стратегическому планированию.
Еще один вариант реализации поведенческого подхода к кибербезопасности — использование инструментария математической теории игр. Под игрой в данном случае понимается стратегическое взаимодействие двух и более лиц (игроков), преследующих строго определенные цели; при этом степень достижения своей цели каждым игроком зависит не только от его собственных действий, но и от действий других игроков [18]. Это требует в принятии решения ставить себя на место других игроков и просчитывать их действия.
По мнению инициаторов применения теории игр к анализу психологических факторов кибербезопасности, в данной области знания речь идет об играх с двумя игроками и с нулевой суммой, т. е. о таких играх, где больший размер выигрыша одного из участников возможен исключительно за счет меньшего выигрыша второго.
Конкретно, речь идет о стратегическом взаимодействии между киберпреступником, который намеревается совершить кибератаку, и киберэкспертом, который намеревается ее предотвратить.
Использование теории игр предположительно должно быть особенно эффективным при определении того, кто из круга подозреваемых может стоять за конкретным киберпреступлением [20]. Достоинством теории игр является ее высокая степень алгоритмизируемости и прозрачность обоснования выводов. Вместе с тем у этого инструмента, на наш взгляд, есть два серьезных ограничения. Первое — презумпция абсолютной рациональности всех игроков: предполагается, что участники взаимодействия не только руководствуются исключительно соотношением выгод и потерь (экономическая логика максимизации полезности), но и идеально верно просчитывают это соотношение для каждого из возможных сценариев. Кроме этого общего ограничения, которым обусловлено весьма ограниченное применение теории игр в психологии по сравнению с экономической наукой, следует отметить еще одно обстоятельство, связанное непосредственно со сферой кибербезопасности.
Учитывая изначальную асимметрию позиций киберпреступника и киберэксперта и направленность модели на идентификацию с последним, для моделирования логики принятия решений киберэксперту нужно первоначально, еще до начала использования инструментария теории игр, оценить, что является выигрышем для различных категорий киберпреступников (очевидно, что это не то же самое, что выигрыш для киберэксперта). Соответственно, применимость теории игр зависит от наличия и достоверности большого объема знаний, полученных иными, неалгоритмизируемыми и зачастую неотрефлексированными путями.
Как следствие, применение теории игр в данном случае, особенно при расследовании киберпреступлений, может давать мало новой информации, а порой и цементировать уже существовавшие предубеждения, предоставляя им дополнительную необоснованную легитимацию.
Социально-психологические исследования кибербезопасности преимущественно сводятся к экстраполяции общих закономерностей на сферу цифрового взаимодействия. Так, исследование децентрализованной распределенной цифровой группы хакеров Anonymous [16] позволило выявить, что в этой, настолько нетипичной социальной группе происходят основные групповые процессы. Осуществляется контроль над поведением членов группы при помощи неформальных механизмов — конформности, повышения престижа группы и членства в ней, создания и поддержания ролевых моделей и внутригрупповых норм. Кроме того, представители этой группы тщательно отслеживают отношение к их действиям извне и целенаправленно занимаются поддержанием своего имиджа, используя известные приемы управления впечатлениями.
Тему макросоциального и социального контекстов кибербезопасности оригинально раскрывает исследование, опубликованное в одном из журналов группы Nature [11]. Авторы исследования использовали для изучения социально-перцептивной стороны кибербезопасности технику окна Джохари.
Отправным пунктом исследования стало предположение о том, что в восприятии кибербезопасности существует некое «слепое пятно» — то, чего не осознают ни сами пользователи, ни эксперты, которые пытаются побудить пользователей к более последовательному соблюдению правил кибербезопасного поведения. В результате анализа серии специально проведенных интервью выяснилось, что таким «слепым пятном» является негативное отношение к кибербезопаности как таковой. У многих участников исследования кибербезопасность как социальный феномен в различных ее проявлениях вызывает плохо осознаваемые негативные эмоции, естественным следствием которых является желание избегать этой темы, а не осваивать новые техники защиты от кибератак. Эта эмоциональная реакция зачастую не учитывается экспертами, которые рассматривают кибербезопасность как решение проблемы, а не как феномен, вызывающий ассоциации с самой проблемой и напоминающий об угрозах, о которых пользователи предпочитают не задумываться до тех пор, пока не сталкиваются с их непосредственными последствиями.
Несмотря на предметную и методологическую разрозненность рассмотренных здесь исследований, их объединяет одна общая характеристика: все они представляют собой попытки рассмотрения того, как в сфере кибербезопасности проявляются общие явления и закономерности из различных специальных разделов психологии, будь то теории личности, модели поведения или процессы групповой динамики.
Параллельно с этим направлением существует иная категория исследований, которые направлены на изучение того, какие психологические закономерности скрываются за другим феноменом, связанным со злоупотреблением доверием интернет-пользователей, — принятием и участием в распространении ложных новостей.
Рассмотрим основные наработки в рамках этого направления.
Доверие к ложным новостям в Интернете
Проблема так называемых ложных (или фейковых) новостей в последние годы активно обсуждается и как одна из характерных особенностей современной социальной реальности, и как важный фактор социальных изменений [3]. Основной проблемой применительно к «ложным новостям» является не сам факт появления в Интернете ложных сведений, а массовость их тиражирования [1]. Соответственно, ключевой вопрос применительно к «ложным новостям» — это вопрос о причинах массовой склонности доверять явно недостоверной информации.
Различным сторонам его решения посвящен ряд эмпирических исследований, результаты которых были опубликованы в последние годы. Так, Ванг, Панг и Павлоу изучили эффективность верификации идентичности пользователей социальных медиа как средства противодействия распространению ложных новостей посредством стимулирования более ответственного поведения [25]. Было выявлено, что пользователи социальных медиа, прошедшие верификацию идентичности, действительно реже распространяют ложные новости. Более ответственное поведение применительно к тиражированию информации означает именно более последовательное и менее спонтанное принятие решений, в то время как доверие, напротив, выступает как способ экономии когнитивных усилий.
Баракат, Дарбус и Тархини [8] изучили влияние ряда факторов, влияющих на правильность распознавания ложных новостей в социальных медиа. Им удалось подтвердить, что доверие к социальным медиа как источнику информации отрицательно влияет на качество идентификации ложных новостей. Кроме того, доверие к социальным медиа имеет и опосредующий эффект, ослабляя влияние осведомленности: даже те пользователи, которые хорошо ориентируются в механизмах функционирования социальных медиа и обучены специальным навыкам проверки подлинности информации, реже используют эти компетенции по назначению, если склонны доверять источнику получаемой ими информации.
Мюллер и Шульц [17] изучили, каким образом поведение, направленное на проверку подлинности информации, получаемой из социальных медиа, связано с отношением к этим социальным медиа и осведомленностью о самой проблеме ложных новостей. Как выяснилось, связи более специфичны, чем это можно предположить. Так, общая осведомленность о проблеме и оценка объема ложных новостей, с которыми участники исследования, согласно их представлениям, вынуждены сталкиваться в своей повседневной жизни, сами по себе не связаны с отношением к конкретным социальным медиа. С этим отношением значимо связаны представления о том, насколько высока вероятность встретить «ложные новости» именно в этих социальных медиа (отрицательная связь) и в так называемых традиционных медиа (положительная связь).
Венцель [26], использовав метод фокус-групп, выяснил, что их участники осознают проблему ложных новостей и используют для ее решения ограниченный набор стратегий — фактчекинг, уход от проблемы путем ограничения объема потребляемых интернет-ресурсов, особенно информационных (эта стратегия была выявлена в исследовании отечественных психологов Фролова и Чернова в условиях потребления большого объема негативных новостей [6]), и ограничение источников информации теми, по отношению к которым интернет-пользователь испытывает доверие и априорно переносит это доверие на любую информацию, поступающую из этих источников, т. е. путем формирования «информационного пузыря» [9; 19].
Розенбек и ван дер Линден [21] предложили иную стратегию работы с ложными новостями, основанную на понимании того, как эти новости создаются. Участникам исследования предлагалось в форме онлайн-игры освоить шесть приемов создания «ложных новостей» (поляризацию, стимулирование эмоций, распространение конспирологических теорий, троллинг, переключение вины и использование фейковых аккаунтов). Апробация этой игры показала, ее эффективность: вместо диффузного недоверия к информации, поступающей из интернет-источников, у участников исследования формировалось более избирательное недоверие, основанное на освоенных ими признаках ложных новостей.
Карраско-Фарре также задался вопросом по поводу отличительных особенностей «ложных новостей», однако, в отличие от предыдущего исследования, изучил не отличительные особенности приемов их создания, а отличия по степени психологического воздействия на целевую аудиторию [10]. Согласно полученным им результатам, ложные новости отличаются большей простотой для восприятия и большей эмоциональной насыщенностью, особенно в отношении отрицательных эмоций. Опасность «ложных новостей» состоит не только в том, что они насыщают информационное пространство ложной информацией, но и тем, что они зачастую вызывают большое доверие, вероятно, не в последнюю очередь потому, что создаются намеренно с целью манипулятивного воздействия и их авторы отслеживают это воздействие на аудиторию более осознанно, чем те, кто просто делится своими взглядами.
Проблема обучения распознаванию «ложных новостей» находится в центре внимания в исследовании Аслетта с соавторами [23]. Серия проведенных ими экспериментов показала, что парадоксальным образом те участники исследования, которые уделяли больше внимания проверке достоверности и надежности информации, в итоге чаще начинали доверять «ложным новостям», чем те, кто принимал решение без дополнительных усилий. Это объясняется тем, что в качестве способа проверки достоверности и надежности использовался онлайн-поиск и сопоставление информации, найденной в дополнительных источниках, с исходным материалом — объектом оценки. Как выяснилось, во многих случаях большая, если не основная часть источников, получаемых в результате такого поиска, сами являются «ложными новостями», поскольку по многим темам надежные источники отсутствуют. Это согласуется с рекомендациями отечественных авторов Кочетовой и Климаковой, которые считают предоставление большего объема достоверной информации по актуальным вопросам эффективным средством борьбы с ложной информацией, даже без прямого разоблачения последней [2].
Еще одно направление изучение восприятия и поведения в отношении «ложных новостей» — изучение того, какие стимулы могут побудить интернет-пользователей осуществлять самостоятельный контроль над распространением ложных новостей. Гимпель с соавторами [24] изучили, каким образом формируется нормативное регулирование поведения, направленного на активное противодействие распространению «ложных новостей». Результаты исследования показали, что воздействие прескриптивных сообщений о социальных нормах значимо способствовало увеличению частоты желаемого поведения, т. е. уведомления о «ложных новостях», в то время как дескриптивные сообщения сами по себе не имели статистически значимого эффекта (вопреки тому, что можно было бы ожидать исходя из теории социального научения через подражание), однако в сочетании с ними прескриптивные сообщения оказывали более интенсивное воздействие, чем без них. Таким образом, прямое указание на желаемую модель поведения ослабляет пассивное доверие к «ложным новостям». Вместе с тем Гвебу с соавторами [12] изучили эффективность прямых предупреждений о ложных новостях и обнаружили, что более высокий уровень доверия и большая готовность трансформировать его в поведение несмотря на предупреждения наблюдались в том случае, когда содержание ложных новостей подтверждало уже имевшиеся у пользователя взгляды и убеждения. Это означает, что помимо эффекта «информационной пустоты» из-за преобладания «ложных новостей» среди результатов интернет-поиска на заданную тему может играть свою роль также готовность прекратить поиск быстрее, чем в случае, когда первые, относительно легко найденные источники опровергают исходное сообщения, а не подтверждают его. Таким образом, наибольшим доверием, как следует из результатов рассмотренных исследований, будут пользоваться, во-первых, сообщения на остро актуальную тему: во-вторых, сообщения, содержащие положительно оцениваемую субъектом доверия информацию, подтверждающую уже сформированные у него взгляды; в-третьих, прескриптивные сообщения, содержащие не только описание ситуации, но и прямое указание к действию.
Выводы
Проведенный обзор исследований позволяет считать, что в изучении закономерностей кибербезопасного поведения и его обеспечения продолжают доминировать технологические подходы, а психологические исследования остаются фрагментарными как по тематическому охвату, так и по конкретным результатам. Можно ожидать, что по мере исчерпания ресурсов чисто технологических программ обеспечения кибербезопасности при неизменной или даже растущей актуальности проблемы на первый план выйдет «человеческий фактор», а на смену констатациям его недостаточной изученности придет рост количества психологических исследований и обретение ими системного характера.
Судя по рассмотренным публикациям, личностные и иные психологические характеристики хакеров и иных киберпреступников, создающих угрозу кибербезопасности, несмотря на их экзотическую деятельность, мотивацию и опыт, представляются не только более изученными, но и более понятными, чем психологические особенности обычных пользователей. Это объясняется тем, что поведение киберпреступников интенционально, осознанно и основано на экспертном знании, в то время как поведение обычных пользователей, в том числе создающее угрозы кибербезопасности, намного более хаотично и, по-видимому, представляет собой сочетание импульсивных реакций, поведенческих стереотипов, когнитивных эвристик и более или менее удачных попыток последовательной обработки информации на фоне характерной для цифровой эпохи постоянной информационной перегрузки.
В исследования доверия к ложным новостям, напротив, основное внимание уделяется именно психологическим факторам, причем в большей мере ситуативным и социально-когнитивным, чем личностно-психологическим; последние в большей степени рассмотрены в работах отечественных психологов [4; 5; 7]. Склонность доверять ложным новостям предстает в качестве универсальной проблемы, а не следствием конкретных личностных черт. В ряде рассмотренных публикаций показано, что общая осведомленность как о проблеме ложных новостей, так и об угрозах кибербезопасности сама по себе не является решением проблемы. Более того, на фоне общего сниженного доверия к информационной составляющей интернет-среды эти попытки дополнительно его снизить могут в качестве непреднамеренных последствий приводить к росту общего эмоционального напряжения и, как следствие, к повышению вероятности наиболее простых импульсивных реакций — т. е. поведения, прямо противоположного кибербезопасному.
Более эффективной альтернативой, основанной на запросе на надежность и обоснованное доверие, может стать рутинизация кибербезопасности. Ее целью должно стать не просто формирование отдельных привычек кибербезопасного поведения (таких как регулярное обновление паролей) и распознавание отдельных угроз, но восприятие этих угроз и ложных новостей как чего-то знакомого и закономерного — не как загадочных явлений, нарушающих привычную картину мира, а, напротив, как органичной ее части.