У.Ганбаяр: Хувийн мэдээлэл алдагдлаа гэхэд хохирлыг нь үнэлчихсэн байдаг

Мэдээллийн аюулгүй байдлын үйлчилгээ үзүүлэгч “Инфо Сек Плас” компанийн үүсгэн байгуулагч, захирал У.Ганбаяртай ярилцлаа. Тэрбээр Италийн Трэнто хотын их сургуульд докторын зэрэг хамгаалж, Үндэсний судалгааны төвд нь мэдээллийн аюулгүй байдлын олон улсын төслүүдэд гар бие оролцон, Оксфордын их сургуульд судлаачаар ажилласан туршлагатай. Мөн МУИС-д энэ чиглэлээр багшилж буй.  

-Юуны түрүүнд та кибер (цахим) аюулгүй байдал гэдэг ойлголтыг энгийнээр тайлбарлахгүй юу?

-Мэдээллийн аюулгүй байдал буюу information security гэсэн ойлголт бий. Үүнд биет, аман, цахим гэх мэт төрөл бүрийн мэдээллийг хамааруулдаг. Цахим мэдээлэл гэдэг нь цахим орчинд байгаа, эсвэл түүгээр дамжиж, ашиглаж буй мэдээллийг хэлнэ. Цахим буюу кибер аюулгүй байдал нь мэдээллийн аюулгүй байдалдаа багтдаг байсан бол одоо үндсэндээ нэг ойлголт шахуу болсон.

Өөрөөр хэлбэл, кибер аюулгүй байдал буюу cyber security гэдэг нь цахим, интернэт орчинд байгаа,бид  өдөр тутам электрон хэрэгсэл ашиглан явуулж, хадгалж буй мэдээллүүдийг хамгаалах, түүнтэй холбоотой бүх үйлдлийг хэлж байгаа юм.

-Тэгвэл нийгмийн сүлжээ ашиглаж буй хүүхэд бусдад, үе тэнгийнхэндээ цахим орчинд дээрэлхүүлж, улмаар ямар нэгэн эрсдэлд өртөж байгааг “кибер аюулгүй байдал” хэмээх ойлголтод хамааруулах уу?

-Шууд хамааруулахгүй. Учир нь бага зэргийн ялгаатай. Bully буюу дээрэлхэлт гэдэг талаас нь харвал илүүтэй хүний эрхтэй холбогдоно. Улмаар үүний нэг хэлбэр нь cyber bully буюу цахим орчны дээрэлхэлт болчихож байгаа юм. Тэгэхээр шууд нэг хэсэг нь гэж хэлэхгүй ч кибер аюулгүй байдал болон цахим дээрэлхэл зэрэг нь олон талаараа давхцах зүйл бий.

-Та бүхэн НҮБ-тай хамтран цахим орчны дээрэлхэлт хүүхдүүдийн дунд ямар байгааг судалсан юм билээ. Ямар үр дүн гарсан талаар мэдээлэл өгч болох уу?

-Үндсэндээ “дээрэлхэлт” гэдэг сэдвийн дэд хэсэг маягаар хийсэн судалгааны цөөн тоо, баримт л байдаг юм билээ. Бид НҮБ-ын Хөгжлийн хөтөлбөрийн “Хурдасгуур лаб”-тай хамтран 8000 гаруй оролцогчийг хамруулсан судалгаа явуулсан. 9-12, 13-17 насны хүүхдүүд болон эцэг, эхчүүд гэсэн гурван бүлэг болгон, цахим дээрэлхэлт, түүнээс улбаатай эрсдэлийг тооцсон дагнасан судалгаа хийлээ. Үр дүнг нь Хөгжлийн хөтөлбөрөөс удахгүй зарлах байх. Тоймлоод хэлбэл, Монгол Улсын хэмжээнд цахим дээрэлхэлт маш их байна. Үүнээс гадна эцэг, эхчүүдэд энэ талаарх ойлголт муу байна. Улмаар ямар эрсдэл үүсэж болох вэ гэдгийг мэдэхгүй байна. Хүүхдүүдийнхээ цахим хэрэглээ, тэр дундаа нийгмийн сүлжээн дэх насны хязгаараас авхуулаад энгийн зүйлсийг орхигдуулж. Хүүхдүүд ч үүнийг энгийн зүйл мэт ойлгож, хандаж байна.

Есөн настай хүүхэд янз бүрийн ёс бус үг хэллэгийг цахим орчинд тоглохдоо олж мэдсэнээ хэлж байх жишээтэй.

Уг нь бусад улс оронд цахим орчинд дээрэлхүүлж, гүтгүүлж, доромжлуулсан хүүхдэд туслах төв ажилладаг. Манайд энэ төрлийн дуудлагыг Хүүхэд хамгаалах төвийн утсанд хүлээн авдаг ч цахим орчинд тодорхой мэдээллээр байнга хангаж, зөвлөгөө өгдөг тогтолцоо алга. Мөн тус төвд ирүүлсэн дуудлага, мэдээлээс цахим дээрэлхэлтэд хэдэн хүүхэд өртсөн, ямар арга хэмжээ авсан тухайгаа нарийвчлан ангилдаггүй юм билээ.

-Хүүхдүүдийн цахим хэрэглээ нийгмийн сүлжээнд илүүтэй төвлөрч байна. Үүнтэй холбоотойгоор зарим улс орон, тухайлбал, Норвегийн Засгийн газар сошиал медиа хэрэглэгчдийн насны доод хязгаарыг 15 болгон нэмэгдүүлэх шийдвэр гаргасан бол Австрали улс 16 хүртэлх насны хүүхдүүдэд хэрэглэхийг нь хориглосон. Гэхдээ олон улсын зүгээс эдгээр хориглолтыг хэрэгжих боломжгүй гэх мэтээр янз бүрийн байр суурь илэрхийлж буй. Энэ нь хэр оновчтой бол. Та юу гэж бодож байна вэ?

-Насны хязгаарыг дээшлүүлэх тухайд хэлж мэдэхгүй юм.

Ер нь одоогийн зохицуулалт нь хангалттай гэж боддог. Хамгийн гол нь өдгөө зөвшөөрч буй насны хязгаарыг яг мөрдүүлж, хангуулж байна уу гэдэг нь асуудал.

Энэ нь насны хязгаар тогтоогоод л орхичих хэрэг биш л дээ. Тухайн хэрэглэгчийн нас насанд нь тохирсон мэдээллийг харуулдаг байх нь чухал. Жишээ нь, АНУ-д Children’s Online Privacy Protection Act (COPPA)-ын дагуу хүүхдийг цахим орчинд хэрхэн хамгаалах вэ гэдгийг зохицуулдаг. Монголд ч ийм зохицуулалт үйлчлэх ёстой. Хүүхэд хамгааллын тухай хуульд цахим орчинтой холбоотой заалт байдаг ч хэрхэн хэрэгжүүлэх вэ гэдэгт анхаарах хэрэгтэй. Мөн эцэг, эхчүүд хүүхдүүдтэйгээ ярилцаж, түүнээсээ суралцах нь хамгийн үр дүнтэй шийдэл гэдгийг олон улсад нэгэнт хүлээн зөвшөөрсөн. Өөрөөр хэлбэл, эцэг, эхчүүд болон хүүхдүүдийнх нь хэрэглэж байсан тоглоомноос авхуулаад бүх зүйл өөр, ялгаатай гэдгийг хүлээн зөвшөөрч, хамтдаа ярилцах, суралцах замаар зөв, бурууг ойлгуулах нь хамгийн үр дүнтэй.

-Ойрын үед өрнөсөн үйл явдалтай холбоотойгоор асууя. Байгууллага, хамт олон кибер аюулгүй байдлаа хамгаалахын тулд юу хийх ёстой юм бэ?

-Энэ бол аль нэгэн байгууллагын мэдээллийн технологийн мэргэжилтний хийдэг ажил биш болчихсон. Өөрөөр хэлбэл, энэ бол тухайн байгууллагын бүх хүнд хамаарах цогц ажил гэж ойлгох хэрэгтэй. Тухайлбал,

Дэлхийн эдийн засгийн форумаас энэ жил гаргасан судалгаагаар топ 10 эрсдэлийг нэрлэхэд гурав нь технологитой холбоотой байна. Хоёр нь хиймэл оюун ухаан, нэг нь кибер халдлагатай холбоотой байх жишээтэй.

Өөрөөр хэлбэл, кибер аюулгүй байдлаа хамгаалж чадах, эсэх нь дэлхийн хэмжээний эрсдэл гэж тооцогдохоор болчихож. Өмнө нь байгууллагуудын удирдлагын 50 хувь нь үүнийг технологийн эрсдэл гэж хардаг байсан. Харин өнгөрсөн жилийн судалгаагаар 90 хувь нь үүнийг бизнесийн эрсдэл гэж хүлээн зөвшөөрлөө. Ерөнхийдөө дэлхий нийтээрээ ойлголт нэг тийшээ явж байгаа ч зөвхөн мэдээллийн технологи, эсвэл аюулгүй байдлын мэргэжилтнүүд энэ талбарт ажилладаггүй, “хүн-технологи-процесс” гэсэн түвшинд авч явах ёстойг ойлгох ёстой. Үйл явц буюу процессыг байгууллага, тэр дундаа удирдлага нь чиглүүлдэг. Мөн мэргэжлийн хүн ажиллаж, шаардлага, шийдлүүдээ боловсруулах шаардлагатай. Нөгөө талаас тухайн байгууллага дахь мэдээллийн технологийн бус хүмүүст ч аюулгүй байдлын талаарх ойлголтыг тогтмол өгч, тайлбарлах учиртай. Өөрөөр хэлбэл, аюулгүй байдлаа хамгаалах мэдлэг, мэдээллийг хүн бүрт өгөх ёстой.

Ер нь энэ талын мэдлэг, мэдээлэлтэй болж, аюулгүй байдал гэж юу вэ гэдгийг том зургаар нь харж, ямар чухал вэ гэдгийг ойлгох нь маш чухал. Үүнийг кибер аюулгүй байдлын соёл гэж хэлээд байгаа юм.

Үүнийг ойлгуулахын тулд төрөөс авхуулаад олон талын оролцоо шаардлагатай. Жишээ нь, олон нийт, иргэдэд кибер аюулгүй байдлын чиглэлээр мэдвэл зохих мэдээлэл хүрч байна уу гэдгийг анзаарч, кампанит ажил өрнүүлж байх ёстой. Эдгээрийг хүргэх сувгуудын нэг нь хэвлэл мэдээлэл байх жишээтэй. Энэ мэт олон талын хамтын ажиллагааны үндсэн дээр кибер аюулгүй байдлын соёл, ойлголтыг сайжруулж чадна.

Мөн тухайн байгууллага том, эсвэл жижиг байхаас хамааран өөрсдөдөө таарсан аюулгүй байдлын шийдэл нэвтрүүлэх нь чухал. Жишээ нь, return on security investment (ROSI) гэх ойлголт бий. 100 ам.доллароор хөрөнгө оруулалт хийгээд, 200 долларын ашиг хүртвэл тэрийг ашигтай гэж үзнэ. Үүнтэй адил кибер аюулгүй байдлаа хангахад ямар нэгэн хэмжээгээр хөрөнгө зарцуулж байгаа бол тэрнээс давсан эрсдэл, хохирлыг давж, хаах учиртай гэсэн үг. Тухайлбал, дөрвөн хүнтэй байгууллага маш нүсэр стандарт мөрдүүлэх гээд түүнийг нь авч явах чадамжгүй бол юу болох билээ. Өөрсдөдөө таарсан шийдэл нэвтрүүлэхийн тулд хаана байна, юу хийж чадах вэ гэдгээ үнэлж чадвал дараагийн алхмаа тодорхойлж чадна гэсэн үг.

-Монголын байгууллага, аж ахуйн нэгжүүд кибер аюулгүй байдлаа хангахад хөрөнгө гаргаж, хандлага нь сайжирч байна уу?

-Оксфордын их сургуульд ажиллаж байгаад 2022 онд эх орондоо ирсэн. Энэ үеэс манай улсад Кибер аюулгүй байдлын болон Хүний хувийн мэдээлэл хамгаалах тухай хуулийг хэрэгжүүлсэн байдаг. Үүнтэй холбоотойгоор байгууллагууд аюулгүй байдалдаа анхаарч эхэлсэн. Гэхдээ бүгд биш, тодорхой байгууллагууд л анхаарсан гэж хэлж болно.

Мөн сүүлийн үед кибер халдлагад өртлөө, мэдээллээ алдлаа гэх мэдээлэл гарч байгаа нь бусдадаа сургамж болж, хөрөнгө мөнгө зарцуулах ёстойг ухаарч байгаа болов уу. Гэхдээ тэд хэдий хэмжээний хөрөнгө зарцуулах ёстойгоо ер тооцож чадахгүй байна.

Хэр их санхүүжилт гаргаж, юу хийх вэ гэдгээ мэддэг байхын тулд мэргэжлийн хүмүүс шаардлагатай. Тэр хүмүүсийг нь бэлтгэж, соёлыг нь суулгахад тодорхой хугацаа хэрэгтэй. Ямартай ч манайх сайжирч, алхам алхмаар урагшилж байна. Гэхдээ энд нэг зүйлийг хэлэхэд А гэдэг хүний мэдээлэл алдагдлаа гэхэд тэр ямар үнэ цэнтэй вэ гэдгийг ойлгохгүй байна. Жишээ нь, кибер аюулгүй байдлыг анхаардаг улс орнууд нэг хүний хувийн мэдээлэл алдагдахад дунджаар төдий хэмжээний хохиролтой байна гэдгийг тодорхойлж, үнэлчихсэн байдаг. Тэр дотроо эрүүл мэнд, санхүүгийн байгууллагын хэрэглэгч, үйлчлүүлэгчийн мэдээлэл хамгийн өндөр үнэд хүрэхийн сацуу халддагад ч их өртдөг. Цаашлаад тухайн халдлагыг илрүүлэх дундаж хугацаа, тэр байгууллагад учирсан хохирлын хэмжээг нарийвчлан тооцдог.

Харин Монголд тухайн мэдээллийн үнэ цэнийг тооцоогүй учраас анхаарч, ач холбогдол өгөхгүй байгаа нь анзаарагдсан. Аль нэгэн байгууллагаас хувь хүний мэдээлэл алдагдлаа гэхэд тэгсхийгээд л өнгөрдөг.

Зөрчлийн тухай хуулиар зарим арга хэмжээ авдаг ч маш бага мөнгөн дүнгээр торгох зохицуулалттай. Торгуулийг нь чангаруулж, хуулиа бүрэн хэрэгжүүлбэл байгууллагууд ч үүнд анхаарах болов уу.

-Тэгвэл манай байгууллагууд энэ чиглэлээр үйлчилгээ авах эрэлтийг хангахуйц нийлүүлэлт байна уу. Өөрөөр хэлбэл, Монголд мэдээллийн аюулгүй байдлын чиглэлээр чанартай үйлчилгээ авах зах зээл хэр өрсөлдөөнтэй, эрэлттэй байна вэ?

-Кибер аюулгүй байдлын тухай хуулийг хэрэгжүүлэх хүрээнд мэдээллийн аюулгүй байдлын аудит хийх байгууллагуудыг салбарын яамнаас бүртгээд явж буй. Кибер аюулгүй байдлын эрсдэлийн үнэлгээ хийх журмыг ч баталсан. Энэ хугацаанд нийт 33 компани аудитын хүрээнд бүртгүүлээд байна. Тэд бүгд тогтмол үйл ажиллагаа явуулахгүй байгаа нь хүний нөөц, харилцагч байгууллагуудын ойлголт гээд олон зүйлээс хамаарч буй болов уу. Ямартай ч 30 гаруй компани бүртгүүлсэн нь сайн хэрэг. Тэд бүгдээрээ аюулгүй байдлын талаар ярьж, ойлголт өгч байгаа нь хамгийн чухал. Харин үйлчилгээнийх нь чанар, чадвар, үр нөлөө ямар байв гэдгийг тодорхой хугацааны дараа ярьж болно.

-Ер нь энэ салбарын хүний нөөц, тэр дундаа чадварлаг боловсон хүчин хэр хангалттай байна вэ?

-Улсын хэмжээнд кибер аюулгүй байдлын чиглэлээр ШУТИС мэргэжлийн анги бэлтгэн төгсгөж байна. Жилдээ 60-70 орчим хүүхдийг элсүүлж байх шиг харагдсан. МУИС компьютерийн сүлжээний инженер мэргэжлийн хүрээнд аюулгүй байдлын чиглэлээр тодорхой хэмжээнд судлуулж байгаа. Тэдгээрээс аюулгүй байдлаар дагнан ажиллаж буй нь 10 орчим л байх. Түүнчлэн зарим хувийн сургуульд энэ чиглэлээр мэр сэр мэргэжилтэн бэлтгэж байна. Гэхдээ олон улсын түвшинд өрсөлдөхүйц хэмжээнд бэлтгэж байна уу гэдэг нь асуудал. Үүний тулд хөтөлбөр, сургалтаа сайжруулах шаардлагатай. Нөгөө талаас мэргэжилтэн олох нь маш хэцүү болчихсон.

Байгууллагуудын аюулгүй байдлыг шалгаж, зөвлөгөө өгөх хэмжээнд ажиллахын тулд илүү өндөр чадвартай байх ёстой. Тийм хүмүүсийг олж, тогтоох нь толгойны өвчин гэж хэлж болно.

Үүнээс гадна старт-ап компанийн хувьд Монголд бизнес эхлүүлэхийн зовлонг үзэж, туулаад л явж байна. Энд нэг зүйлийг хэлэхэд, тухайн байгууллагын аюулгүй байдлын маш том эрсдэлийг дааж, хааж байгааг үйлчлүүлж байгаа нь ч, үйлчилгээ үзүүлж байгаа манай салбарынхан ч ойлгож, үнэлэмжийг нь өсгөхөд анхаараасай.

-Дэлхийд тэргүүлэх эрсдэлүүдийн хоёр нь хиймэл оюун ухаантай холбоотой байгааг та түрүүнд дурдлаа. Эна талаар дэлгэрэнгүй мэдээлэл өгч болох уу?

-Энэ нь шинэ эрсдэл төдийгүй эхний таван байрт бичигдэж буй. Хиймэл оюун ухаанд суурилж худал, гүтгэлгийн чанартай мэдээлэл үүсэх эрсдэл маш өндөр.

Хиймэл оюун ухаан нь бидний амьдралыг олон талаар хөнгөвчилж, тусалж байгаа ч тэр хэрээр хортой үйлдэл хийж, эрсдэл үүсгэх магадлалтайг судалчихаад байна. Мөн хиймэл оюун ухаан өөрөө худлаа “яриад” байвал яах вэ гэдэг асуудал урган гарч буй. Хиймэл оюун ухаан гэдэг нь нэг зүйлийг дата өгөгдөлд үндэслэн сургаад, түүнийгээ боловсруулан гаргаж буй үйл явц шүү дээ. Өөрөөр хэлбэл, буруу сурвал буруу мэдээлэл өгнө гэсэн үг. Боловсруулсан мэдээлэл болгон нь үнэн гэж итгэж болохгүй.  

-Оксфордын их сургуульд таны ажиллаж байсан баг манай улсад хүрэлцэн ирж судалгаа хийсэн юм билээ. Энэ талаар тодруулахгүй юу?

-Цахим хөгжил, инновац, харилцаа холбооны яам болон JICA  нь Оксфордын багтай холбогдон Монгол Улсын кибер аюулгүй байдлыг үнэлүүлж байгаа. Оксфордын багийнхан сүүлийн 10 гаруй жилийн турш өөрсдийн хөгжүүлсэн аргачлалд үндэслэн олон улсад тус үнэлгээг хийсэн туршлагатай.

-Кибер аюулгүй байдлын хангахад төр, хувийн хэвшил, хүн бүр анхаарах ёстой юм байна. Бүгдэд хамаатай, нэн тэргүүнд анхаарах зүйл нь юу болохыг төгсгөлд нь хэлэхгүй юү?

-Кибер аюулгүй байдлын соёл хамгийн чухал. Энэ талаар юу ч мэдэхгүй хүнд ойлголт өгөхөд цаг хугацаа ихээхэн шаардлагатай. Үүнд аль аль талаасаа анхаарч, ямар шинэлэг, оновчтой хэлбэрээр мэдлэг, мэдээлэл хүргэх, тэрхүү кампанит ажлыг хэн, яаж эхлүүлэх, хэрэгжүүлэх вэ гэдэг нь тодорхой байх ёстой.

-Ярилцсанд баярлалаа.

‍