29 сентября исполнится четыре года со дня ареста Ильи Сачкова. Вроде бы споры вокруг этой истории поутихли, но каждый раз, когда речь заходит о ней в профессиональном кругу, тема оживает и вызывает живой отклик. Слишком много неясного и противоречивого, слишком серьёзные вопросы затронуты.

Для меня это стало поводом взглянуть шире: не только на само дело, но и на ту этическую ловушку, в которую попадают специалисты по кибербезопасности. Как честно работать в глобальном сообществе, при этом оставаясь гражданами конкретной страны, со своими законами и ограничениями? Где искать баланс? Какие ориентиры появятся в ближайшем будущем — и что нам даёт новый международный Code of Professional Conduct от ISC2?

Мы живём в эпоху, когда профессия специалиста по кибербезопасности приобретает транснациональный характер: глобальные угрозы и атаки (APT‑группировки, сложные киберпреступления) не знают государственных границ, а расследования и обмен данными требуют международного взаимодействия. При этом информационное пространство и профессиональное сообщество стремительно глобализуются — от совместных конференций до международных сертификаций и проектов. В то же время юридическая ответственность и лояльность специалистов по‑прежнему жёстко привязана к национальным законам и обязательствам (например, Конституция РФ, ст. 59 «Защита Отечества является долгом и обязанностью гражданина Российской Федерации»). Эта «суперпозиция» глобальных ценностей (защита общества в целом, борьба с киберпреступностью) и локальных юридических рамок порождает острые этические коллизии. Напомню, что ISC2 (международный консорциум по сертификации в ИБ) констатирует: по мере усложнения практики кибербезопасности нужны чёткие стандарты профессионального поведения.

Для поиска решений сообщества стали разрабатывать Практический Кодекс Профессионального Поведения (Code of Professional Conduct, CPC), который поможет специалистам ориентироваться в вопросе «что делать?» в ситуациях на стыке этики и закона:

• Примеры и сценарии. CPC будет содержать конкретные примеры типовых этических дилемм и конфликтов «этика vs закон» (Bringing the Code to Life through Examples and Scenarios).

• Пошаговые схемы решений. Предусматриваются практические руководства и фреймворки для принятия решений в сложных ситуациях (Decision‑Making Framework).

• Чек‑листы и инструменты. Планируется разработка проверочных списков и методик самооценки, помогающих специалисту оценить свою позицию в международной практике.

• Учет локальных особенностей. Хотя инициатива глобальная, в CPC будут заложены рекомендации по адаптации поведения с учётом национальных законов и рисков при трансграничной работе.

Весной и летом 2025 года ISC2 провёл серию виртуальных воркшопов с участием добровольцев из разных стран.

Как отмечает Sameer Dutta (CISSP, CCSP):

«Четко определенный Кодекс профессионального поведения обеспечивает ясность в решении этических дилемм и укрепляет культуру ответственности, доверия и честности, позволяя специалистам по кибербезопасности действовать уверенно и последовательно в сложных условиях с высокими ставками».

По мнению Jen Blacker (CISSP):

«Новый Кодекс даст специалистам „ясную дорожную карту“ в трудных ситуациях („What should I do?“) и уверенность в отстаивании правильного решения».

Такие высказывания подчёркивают, что CPC призван стать не формальной декларацией, а практическим инструментом — этическим компасом и пособием по принятию решений.

Международный и национальный контекст

Параллельно растёт интерес к концепции цифрового суверенитета. В современных исследованиях цифровой суверенитет определяется как право государства на независимое управление своими цифровыми ресурсами и информационными системами. По мнению российских экспертов, для обеспечения национальной безопасности важно, чтобы цифровое пространство регулировалось местными законами и контролировалось государством. С одной стороны, такая позиция направлена на защиту национальных интересов. С другой — она может противоречить глобальным нормам открытости и обмена информацией. Как справедливо отмечают эксперты, обеспечение цифрового суверенитета страны становится «главным условием национальной безопасности» и «важнейшим условием национальной независимости» в эпоху глобального цифрового общества. Однако абсолютный цифровой суверенитет в условиях интернета вызывает споры: одни исследователи указывают, что глобальная взаимозависимость и сетевой характер киберпространства ограничивают возможности государственного контроля.

Этическая сторона вопроса выражена в международных кодексах. Например, преамбула ISC2 подчёркивает: «безопасность и благополучие общества и общее благо требуют от нас следовать самым высоким этическим стандартам». Таким образом, глобальное сообщество профессионалов ИБ призывает думать о защите общества в целом, а не только о непосредственных интересах работодателя или государства. Но на практике для специалиста может возникнуть конфликт: что первично — предписание местного законодательства или более широкие обязательства перед международным сообществом и клиентами?

Дело Ильи Сачкова: столкновение «гражданина» и «профессионала»

Один из резонансных примеров подобного конфликта — судьба Ильи Сачкова, сооснователя компании Group‑IB. В сентябре 2021 года он был арестован по обвинению в государственной измене, а в июле 2023 года приговорён к 14 годам лишения свободы. По официальной версии (через ТАСС и др.) Сачков якобы передал иностранным спецслужбам «секретные сведения». Однако сам он на процессе отрицал вину, а по словам юристов — дело полностью засекречено и точных деталей не раскрывается. Лично у меня, исходя из анализа характера деятельности Group‑IB и нюансов отечественного законодательства — в частности, ст. 275 УК РФ, сложилось впечатление, что основанием для обвинения могла стать трактовка действий Сачкова как передачи информации иностранной стороне о деятельности APT‑группировки, действовавшей в интересах России. Это лишь моя гипотеза, основанная на открытых данных, ведь в деле остаётся множество неясностей и домыслов.

До ареста Илья Сачков был признанным авторитетом в отрасли: с 2003 года он вместе с партнёрами строил Group‑IB как международную фирму по расследованию киберпреступлений. К моменту ареста компания обслуживала глобальную клиентскую базу — банки, энергетические и телеком‑компании, даже Интерпол. В 2019 году Сачков получил премию для молодых предпринимателей и встречался с президентом Путиным. Коллеги Сачкова подчёркивали, что его арест «стал чёрным днём для российского киберрынка», а владельцы новой структуры F.A.C.C.T., возникшей на базе Group‑IB, назвали Сачкова «неправомерно заключённым» и заявили, что будут продолжать «бороться с несправедливостью».

Дело Сачкова показывает главную дилемму: можно ли считать его действия вопросом лояльности государству или наоборот — следованием профессиональным этическим нормам? Не исключено, что он руководствовался интересами клиентуры и мировыми стандартами борьбы с киберпреступностью, которые вступили в противоречие с жесткими требованиями национального законодательства. При отсутствии ясных международных механизмов разрешения подобных коллизий (тогда CPC ещё не был разработан) специалист мог оказаться в ситуации, где «правильное» с точки зрения профессии действие стало правонарушением по закону. Безусловно, каждое дело имеет свои нюансы, но в целом история Сачкова иллюстрирует риски переходного периода к глобальному информационному обществу, когда старые юридические инструменты оказываются неготовыми к глобальным сценариям.

Правовые нормы и обязанности

С точки зрения российского законодательства, основой является приоритет интересов государства. Конституция РФ прямо устанавливает: «Защита Отечества является долгом и обязанностью гражданина Российской Федерации». Статьи УК РФ о госизмене (например, ст.275) трактуют передачу сведений, затрагивающих национальные интересы, как тяжкое преступление, наказуемое длительным сроком заключения. Однако проведенный мной анализ практики ведущих держав — от США до Китая — показал, что такая логика универсальна: везде приоритет национального законодательства и интересов государства ставится выше глобальных профессиональных или этических норм. И там, и там нарушение трактуется как серьёзное преступление, даже если человек руководствовался «универсальными принципами» или интересами международного сообщества.

Между тем международные кодексы призывают поступать во благо общества. В ISC2 Code of Ethics одним из канонов является «защита общества, общего блага, необходимого общественного доверия и инфраструктуры».

Основные юридические моменты:

• Официально формулировки закона (что есть госизмена, шпионаж и т. д.) часто широки и неоднозначны. Даже высокопрофессиональный специалист может случайно пересечь незаметную грань.

• Существует принцип приоритета Конституции и законов страны. При конфронтации с внешними этическими нормами российский специалист формально обязан действовать в рамках национального законодательства.

• Одновременно растёт понимание, что для динамичной глобальной профессии нужны ясные инструкции. Новый CPC и аналогичные инициативы — шаг в сторону «глобального консенсуса» на международном уровне, который со временем может повлиять и на локальные правила.

Выводы и перспективы

Таким образом, мы стоим на пороге новой эры, где профессиональный кодекс перестаёт быть формальностью и становится реальным ориентиром для специалистов. Чёткий CPC поможет выстроить доверие и культуру ответственности внутри сообщества. Это особенно важно по мере усиления цифрового суверенитета: государственные границы в киберпространстве будут отстаиваться всё сильнее, и без современных инструментов мы неизбежно столкнёмся с новыми конфликтами «гражданина и профессионала».

Очевидно, что будущий специалист по ИБ должен быть подготовлен не только технически, но и этически: нужна система образования и наставничества, в которой обсуждаются реальные дилеммы, развиваются навыки принятия моральных решений с учетом требований национального законодательства и с уважением к международным нормам. В идеале — до их острого столкновения с законом. Инструменты как CPC, поддерживаемые мировым сообществом, а также независимые консультации и обмен опытом на площадках (конференции, форумы) помогут выработать обоснованную позицию на «пересечении» глобальной этики и гражданской ответственности.

В заключение подчеркну: приоритет для специалиста (как гражданина своей страны) всегда остаётся на стороне национального законодательства. Но появление практических регламентов и экспертных рекомендаций позволит действовать более осмысленно и последовательно, поможет находить баланс между глобальными вызовами и обязанностью перед своим государством.

Друзья, если тема кибербезопасности (и особенно Threat Intelligence) вам близка, приглашаю в мой телеграм-канал Cybersecurity: inside & beyond. Там я регулярно разбираю практические кейсы, тенденции, а также поднимаю важные этические вопросы в этой сфере.