Ankiety dotyczące cyberprzestępczości nie mówią nam, co musimy wiedzieć

Od lat urzędnicy państwowi, artykuły prasowe i firmy zajmujące się bezpieczeństwem ostrzegają przed zagrożeniami i skutkami cyberprzestępczości. Patrick Peterson, główny badacz bezpieczeństwa w Cisco, oszacował, że straty w 2009 roku wyniosły łącznie 560 milionów dolarów. Killian Strauss z Organizacji Bezpieczeństwa i Współpracy w Europie oszacował je na 100 miliardów dolarów rocznie. W marcu 2009 r. Edward Amoroso, dyrektor ds. bezpieczeństwa AT&T, złożył pisemne zeznanie przed Senacką Komisją Handlu, Nauki i Transportu, szacując, że cyberprzestępczość przynosi nielegalne dochody w wysokości około 1 biliona dolarów rocznie.

Dla niektórych badaczy te szalenie różne liczby sugerują, że obecne metody obliczania strat związanych z cyberprzestępczością są tak słabe, że w rzeczywistości nie mamy pojęcia, jak poważny jest problem. A bez dobrych danych, jak mówią, nie ma sposobu, by inteligentnie z tym walczyć.

Jak to może być? mówi Cormac Herley , główny badacz w Microsoft Research, w jego głosie brzmiało niedowierzanie. Jak możesz mieć oszacowania tego samego problemu w zakresie trzech rzędów wielkości?

W rzeczywistości, jak mówi Herley, kiedy zobaczył te liczby, poczuł, że po prostu nie mają sensu. Nie tylko są na całej mapie, ale niektóre z nich wydają się niemożliwie wysokie. Na przykład, jak mówi, przychody z cyberprzestępczości wynoszące 1 bilion dolarów oznaczają 5000 dolarów na każdego dorosłego Amerykanina, który spędza czas w Internecie.

Złe dane mają konsekwencje. Herley mówi, że bez liczb nie możemy podejmować dobrych decyzji politycznych ani rozsądnych decyzji inwestycyjnych. Nie tylko to, ale nie możemy dowiedzieć się, skąd pochodzą kluczowe zagrożenia. Czy przestępcy zarabiają większość pieniędzy na logowaniu kluczy? Wysoce ukierunkowane ataki phishingowe (spear phishing)? Ataki siłowe na hasła użytkowników? To niepokojące, mówi.

Herley rozpoczął badanie metod stosowanych do obliczania tych liczb i stwierdził, że są one bardzo niewystarczające. Większość statystyk pochodzi z ankiet, w których respondenci są proszeni o zgłoszenie, czy padli ofiarą przestępstwa i ile stracili. Ankiety są trudne, mówi Herley. Jego badania ujawniły szereg powodów, dla których ankiety na temat cyberprzestępczości są szczególnie trudne.

Naukowcy mają całkiem dobre metody badania, powiedzmy, intencji wyborców. W takim przypadku skupiasz się na uzyskaniu dobrej reprezentatywnej próbki. Nieścisłości mają znaczenie, ale kilka w taki czy inny sposób nie zrobi dużej różnicy.

Cyberprzestępczość to zupełnie inna historia. Po pierwsze, ankiety dotyczące cyberprzestępczości próbują zmierzyć liczbę: ile pieniędzy zostało utraconych. W takim przypadku indywidualne odpowiedzi mogą mieć ogromne znaczenie. Ankieta głosowania nie jest zbytnio odrzucona, jeśli ktoś, kto faktycznie planuje głosować na Demokratów, deklaruje zamiar głosowania na Republikanów. Ale jeśli respondent ankiety, który stracił 50 000 dolarów na cyberprzestępczości, twierdzi, że stracił 500 000 dolarów, wszelkie obliczenia oparte na tych informacjach będą szalenie nieudane.

Są inne problemy. Każdy zarejestrowany wyborca ​​ma przydatne informacje do zgłoszenia. Jednak nie każdy może opowiedzieć przydatną historię o cyberprzestępczości, co oznacza, że ​​niewielka liczba odpowiedzi może mieć ogromne znaczenie. Na przykład w ankiecie przeprowadzonej w 2006 r. przez Gartner Research 128 z 4000 osób twierdziło, że było ofiarami. Herley oblicza, że ​​59 procent strat pochodziło od 1 procenta górnych respondentów, którzy padli ofiarą – w tym przypadku od jednej osoby. Uważa, że ​​takie obawy uniemożliwiają zaufanie do danych pochodzących z większości ankiet dotyczących cyberprzestępczości.

Zrozumienie wpływu każdego przestępstwa jest problematyczne, mówi Julie Ryan , główny profesor zarządzania bezpieczeństwem informacji na George Washington University. Jednak, jak mówi Ryan, cyberprzestępczość stwarza szczególne problemy, ponieważ większość ludzi nie jest dobrze przygotowana do odpowiadania na pytania techniczne na jej temat. Na przykład indywidualni respondenci ankiety mogą nie być pewni, czy padli ofiarą ataku phishingowego, a nawet czy w rezultacie coś im odebrano. Mamy więc problem, mówi Ryan. Potencjalne przestępstwo, które jest potencjalnie niewykrywalne, połączone z obszarem docelowym, który jest w większości ignorancki.

Pogłębiając problem, trudno jest uzyskać bezstronne informacje, mówi Ryan. Duże korporacje mogą niechętnie przyznawać się do bycia ofiarami cyberprzestępczości, ponieważ takie przyznanie może spowodować utratę klientów. Z drugiej strony firmy zajmujące się bezpieczeństwem — które często przeprowadzają ankiety na temat cyberprzestępczości — odnoszą korzyści, gdy ludzie poważnie traktują cyberprzestępczość.

Herley chce, aby firmy i organizacje przeprowadzające ankiety publikowały znacznie więcej informacji, ułatwiając naukowcom ocenę ich metod. Mogą na przykład publikować średnie dane liczbowe dotyczące cyberprzestępczości, które nie są tak przeciętne, jak średnie lub przeciętne, że zostaną zniekształcone, jeśli kilka osób przesadzi lub się pomyli.

Herley sugeruje również, że roszczenia dotyczące dużych strat podlegają starannej analizie. Ryzykujesz katastrofalny błąd, mówi.

ukryć