ПОСЛЕДНИЙ ГРУЗ ИЗ ГАНЫ

Неприятность, за которую следовало благодарить

В одном из офисов датской судоходной компании в Гане незадолго до конца июня 2017 года отключилось электричество. Не произошло ничего такого, ради чего обычно созывают совет директоров. Погасло оборудование. Перестал работать один из серверов. Служебная неприятность, которую можно записать в журнал и забыть, когда восстановится питание. Такие происшествия вообще плохо подходят для мировой истории. У них нет героев, оркестра и торжественного открытия. Электричество пропало — электричество появилось. В некоторых странах это даже не тема для разговора, если, конечно, отключение не застало человека в лифте. Но один компьютер в том ганском офисе оказался отрезан от корпоративной сети.

Пока это никого не беспокоило. Компания продолжала перевозить контейнеры. Морские суда пересекали океаны, портовые краны поднимали грузы, таможенные брокеры проверяли документы, экспедиторы выясняли, почему очередная партия товара опаздывает на два дня, а не на один, как было обещано. Словом, мир занимался своим обычным делом — торговал. Через несколько дней выяснится, что этот оставшийся без связи компьютер представляет собой одну из самых ценных вещей в огромной международной транспортной системе. Причём сама система пока даже не подозревала о его существовании как о спасательном средстве. Весьма полезное качество у спасательных средств: оставаться никому не нужными до той минуты, когда без них уже не обойтись.

Контейнер, в котором помещается полмира

Чтобы понять дальнейшее, придётся сначала поговорить о контейнере. Предмет, согласитесь, не самый романтический. Шесть или двенадцать метров стали, двери на запорах, краска, номер и несколько надписей, которые читают преимущественно люди с профессиональной привычкой. Между тем контейнер сделал для современной мировой торговли то, чего не смогли сделать сотни торговых договоров. Он убедил разных людей в разных странах, что груз необязательно каждый раз перекладывать из ящика в ящик, из мешка в мешок и из вагона на причал вручную. Достаточно договориться о размерах одного металлического короба и о том, как его поднимать, ставить, перевозить и учитывать. Остальное постепенно выстроилось вокруг этого соглашения.

С виду контейнеры одинаковые. Внутри — вся человеческая жизнь. Детали для станков, игрушки, кофейные зёрна, одежда, химические реагенты, запчасти для тракторов, оборудование для больниц. Одни грузы терпеливы. Другие нельзя долго держать без охлаждения. Третьи ждут на заводе, где без единственного компонента останавливается сборочная линия. Для покупателя контейнер — обещанная поставка. Для продавца — выполненный контракт. Для банка — документы, которые должны совпасть. Для таможни — сведения, которые обязаны быть проверены. Для водителя грузовика — адрес, номер и разрешение въехать на терминал.

Во второй половине 2010-х годов в этом мире особое место занимала датская группа A. P. Moller – Maersk. Её суда ходили по международным маршрутам, контейнерные терминалы работали в разных частях света, а логистические подразделения связывали морскую перевозку с береговой жизнью грузов. Компания была похожа на громадный распределённый механизм, в котором собственно корабль составлял лишь видимую часть. Один корабль умеет перевозить тысячи контейнеров. Но он не знает сам по себе, кому принадлежит каждый груз, когда его разрешено выгрузить, кто оплатил перевозку и какую коробку должен забрать водитель. Эти сведения находятся в документах и информационных системах. В международной торговле бумага долго была столь же важна, как железо. Потом бумагу стали заменять электронными сообщениями. Порядок стал быстрее, хотя от этого ничуть не проще.

Работу внешнеторгового специалиста можно описать одной фразой: перевозка заканчивается не тогда, когда товар приехал, а тогда, когда все участники согласились, что приехал именно тот товар и именно туда, куда следовало. На практике между этими двумя событиями иногда лежит целая человеческая жизнь. У Maersk, казалось, были средства договориться почти обо всём. Собственные информационные сети, электронные системы бронирования, учёта, связи с терминалами. Чем больше перевозок, тем меньше допустим ручной труд. Системы постепенно научились выполнять работу, которую раньше делали целые конторы. И вот наступил день, когда многие из них одновременно замолчали.

Вторник, который закончился раньше времени

27 июня 2017 года был вторник. В Копенгагене продолжался обычный рабочий день. Люди готовили документы, проверяли заявки, отправляли письма, управляли поставками. И вдруг компьютеры начали перезагружаться. На одних экранах появлялись непонятные служебные сообщения, на других — предупреждение о зашифрованных файлах и требование заплатить выкуп. Сначала подобные вещи обычно принимают за неисправность. Компьютеры и без всяких киберпреступников умеют сообщить хозяину, что в самый неподходящий момент решили начать новую жизнь. Но когда одновременно гаснут экраны у соседей, у соседнего отдела, а затем у людей в других странах, раздражение довольно быстро уступает место другой эмоции.

По внутренним каналам распространялся приказ немедленно отключать оборудование от сети. Сотрудники пытались предупредить коллег. Местами перестали работать электронные пропуска и служебная связь. У компании, которая ежедневно связывала между собой сотни подразделений, вдруг возникла почти детская задача: как сказать всем, что связи больше нет? Впоследствии вредоносную программу назовут NotPetya. Первоначально она походила на вымогательское программное обеспечение: на экране предлагалось перечислить деньги и ожидать восстановления данных. Но эта история была намного хуже привычного электронного разбоя. Исследователи установили, что программа действовала как разрушитель компьютерных систем. Расплатиться и благополучно вернуться к работе было невозможно.

Согласно опубликованному самой Maersk разбору, заражение проникло в её сеть через программное обеспечение, применявшееся для налоговой отчётности в Украине. Заражение одной рабочей станции в международной сети оказалось достаточным началом для распространения бедствия. Дальше имело значение не расстояние между государствами, а то, насколько тесно были соединены компьютеры. Здесь у международного бизнеса обнаружилось странное свойство. Граница, для пересечения которой грузу нужны договор, инвойс, перевозочные документы, таможенная декларация и порой ещё добрый десяток разрешений, для вредоносной программы не означала почти ничего. Там, где товар проходит контроль, электронная зараза передвигалась по внутренним доверенным соединениям.

В ту минуту капитаны контейнеровозов ещё могли управлять судами. Компания официально подчёркивала, что безопасность экипажей и возможность управления кораблями сохранялись. Беда находилась главным образом на берегу. Именно там решалось, какой контейнер снять первым, какой погрузить следующим, какие сведения принять от судна и какое распоряжение выдать терминалу. Корабли не потеряли способность плавать. А вот берег на время перестал понимать, что именно они привезли.

Когда ворота перестают быть воротами

В морской торговле есть особые места, где гигантская мировая экономика сужается до одной полосы асфальта. Это въездные ворота контейнерного терминала. С виду ничего выдающегося. Грузовик подъезжает к пункту контроля. Система должна узнать его номер, определить контейнер, связать его с назначением, подтвердить полномочия водителя и напечатать указание, куда ехать. Если всё работает, процедура занимает немного времени. Если нет, перед воротами оказывается многотонная машина, за которой стоят другие многотонные машины. Очень скоро отсутствие нескольких строчек в базе данных начинает измеряться километрами.

Так произошло на терминале в Элизабет, штат Нью-Джерси, на восточном побережье Соединённых Штатов. Водители, прибывшие за грузом или с грузом, не могли пройти обычную процедуру. Машины скапливались, диспетчеры искали сведения, клиенты требовали объяснений. Терминал прекратил нормальную работу. Сходные проблемы возникли на площадках в Европе и Азии. Железо оставалось на месте: краны, рельсы, контейнеры, грузовики. Даже грузы никуда не исчезли. Но они перестали быть доступными в том порядке, который был записан в электронных системах. Хорошо организованный современный терминал, лишённый своих цифровых координат, напоминает громадную библиотеку, из которой однажды исчез каталог. Книги стоят на полках; читатель пришёл; библиотекарь тоже здесь. Просто никто уже не может уверенно сказать, на какой полке лежит нужный том.

Кто-нибудь возразит: можно ведь ходить между контейнерами и читать номера. Разумеется, можно. Так же как при отключении электричества в большом городе можно доставлять воду на тележке. Вопрос не в принципиальной возможности, а в масштабе. Судно заходит в порт с тысячами контейнеров. Нужно знать не только их номера, но и последовательность выгрузки, размещение в штабелях, ограничения по массе, требования к опасным и охлаждаемым грузам, следующие маршруты. Переставить не тот контейнер — значит добавить несколько операций. Не учесть один опасный груз — значит создать риск, который никакая экономия времени не оправдает. Пропустить срок подачи компонентов — значит поставить под угрозу чужое производство. В этот момент выяснилось: международная торговля давно перестала быть только движением вещей. Она превратилась в движение вещей и проверенных сведений о них. Одна часть без другой оборачивается дорогостоящей неподвижностью.

Компания без памяти

Наиболее тяжёлые последствия проявились не сразу. Повреждённый компьютер можно заменить. Стёртые рабочие программы — установить заново. Даже сгоревший сервер, если очень нужно, покупают новый. Правда, сотрудникам финансового отдела лучше не показывать счёт раньше времени. Но есть кое-что важнее оборудования. Представьте предприятие, где каждый сотрудник, каждый кабинет, каждый документ имеет своё место и определённое право доступа. Один человек вправе менять расписание, другой — утверждать платёж, третий — видеть сведения о грузе, четвёртый — подключать новую систему. Теперь представьте, что вы не только забыли все пароли, но и потеряли сам список людей, дверей и правил. Новые ключи заказать можно. Но к каким замкам?

В компьютерных сетях важную часть такой памяти хранят контроллеры домена. Они знают, кто есть кто в корпоративной системе и какие отношения связывают пользователей и компьютеры. У Maersk подобных машин было много. Они обменивались сведениями, поддерживали единое пространство корпоративной идентификации. С точки зрения удобства — прекрасная идея: если один компьютер откажет, найдётся другой. Вот только при распространении NotPetya эта надёжная сеть оказалась слишком хорошо связанной. Повреждение достигло множества устройств почти одновременно. Специалисты, пытавшиеся восстановить инфраструктуру, нашли резервные копии значительной части серверов. Но целой доступной копии критически важных данных контроллеров домена в привычных местах не оказалось.

Это неприятная минута для любого руководителя. Вы выясняете, что имущество компании оценивается миллиардами, суда стоят сотни миллионов, портовые краны способны поднять немыслимую тяжесть, но вернуть предприятиям согласованную работу невозможно без данных, которые умещались на одном переносном жёстком диске. Впрочем, эти данные следовало ещё найти. Технические специалисты обзванивали коллег в разных филиалах, выясняли, что уцелело, что отключено и что уже невозможно восстановить. Лондонский пригород Мейденхед превратился в один из центров аварийной работы. Туда съезжались люди, которым не нужно было объяснять, что выходные отменяются.

Их задача выглядела одновременно элементарной и невозможной: заново собрать работающую глобальную сеть компании, пока суда и грузы продолжают двигаться по миру. Одновременно предприятие пыталось не прекращать перевозки. В логистике нельзя сказать заказчику: приходите через месяц, мы пока переустановим операционную систему. Его контейнер уже идёт через океан. Скоропортящийся груз не следит за ходом совещаний. А завод, ожидающий деталь, не станет выпускать готовую машину из одного сочувствия. Именно тогда пришла неожиданная весть из Ганы.

Сервер, который опоздал на катастрофу

Согласно расследованию журнала WIRED, в офисе Maersk в Гане стоял контроллер домена, отключённый от общей сети из-за перебоя электропитания, произошедшего до атаки. Его отсутствие, прежде досадное, стало решающим обстоятельством. Пока остальные машины обменивались информацией и вместе с ней получили разрушительное воздействие, этот сервер оставался в стороне. Он не обладал особыми защитными свойствами. Не был изобретением гениального инженера и не хранился под многослойной бронёй. Он всего лишь не участвовал в обмене данными в тот момент, когда участие оказалось смертельно опасным для компьютерной памяти.

Специалисты проверили его состояние. По свидетельствам участников восстановления, это была единственная обнаруженная уцелевшая копия данных контроллера домена, способная помочь восстановить центральные службы сети. Наконец-то нашлось то, что нельзя было купить, заказать или быстро создать заново. Самое изящное в этой истории заключается в том, что никто не мог заранее утвердить подобный план спасения. Попробуйте представить протокол совета директоров: «В случае глобальной кибератаки рекомендуется предварительно обеспечить случайный перебой электроснабжения одного африканского офиса». Такой документ, вероятно, произвёл бы сильное впечатление на аудиторов. Хотя вряд ли благоприятное.

Но обнаружить данные — ещё не значит получить их. Восстанавливавшим сеть инженерам требовалось перенести большой объём информации из Ганы в Великобританию. Проблема заключалась в скорости местного подключения. Обычная цифровая передача заняла бы несколько дней. Времени у транспортной компании, уже потерявшей работоспособность множества систем, не было. Тогда в мире, который привык передавать гигабайты по кабелю, вспомнили старый способ доставлять информацию. Положить её в дорогу. У компьютерной науки имеется немало сложных терминов для описания высокоскоростных сетей. А здесь главным каналом связи должен был стать обычный пассажирский авиарейс.

Эстафета без кубка

Первоначально казалось разумным посадить сотрудника из Ганы на самолёт до Лондона. Но возникла проблема, которую даже самый современный сервер не умеет решать за своего владельца: у сотрудников не было необходимой британской визы. Итак, гигантская компания осталась без критически важных данных. Данные были найдены. Их можно было перенести на носителе. Но человек, готовый перевезти носитель, не мог просто отправиться прямым рейсом туда, где его ожидали инженеры. Внешнеэкономическая деятельность вновь напомнила о себе во всей красе. Иногда международному бизнесу легче построить маршрут для двадцати тысяч тонн стали, чем организовать поездку человека с одним жёстким диском.

Выход нашли не технический, а логистический. Сотрудник в Гане отправился в Нигерию. Там, в аэропорту, он передал носитель другому работнику Maersk, который мог вылететь в Великобританию. Второй участник эстафеты доставил данные в лондонский Хитроу. Дальше ими занялись инженеры, восстанавливавшие корпоративную сеть. Не будем сочинять их разговоры и движения, которых не было в документальных свидетельствах. Достаточно самих обстоятельств. Гана. Нигерия. Лондон. Несколько человек, два перелёта, одна передача из рук в руки. Без торжественного провожания, без красной дорожки, без министра транспорта с памятной речью. По этой цепочке переместили не драгоценный металл, не стратегическое сырьё и не экспериментальную технологию. Перевезли сведения о том, как огромная транспортная компания должна узнавать собственных сотрудников и собственные компьютеры.

Любопытная ирония: компания, чьей повседневной работой была перевозка чужих грузов через границы, оказалась зависимой от доставки собственного — и, пожалуй, самого необходимого в тот момент — груза.

У него не было морского фрахта. Не потребовался сорокафутовый контейнер. Его не ставили в портовый штабель. Но именно он помог вернуть смысл тысячам контейнеров, стоявших на площадках и продолжавших путь по морю.

Двести миллионов причин не унывать

Пока данные летели из Африки в Англию, в международной компании происходило нечто весьма поучительное. Люди возвращались к способам работы, которые ещё недавно казались окончательно вытесненными цифровой эпохой. Бумажные записи. Электронные таблицы, существовавшие отдельно от разрушенной сети. Личные телефоны. Обычные мессенджеры. В отдельных случаях через WhatsApp согласовывали операции с сотнями контейнеров. Сотрудники и клиенты обменивались информацией так, как могли, — иногда медленно, иногда неудобно, часто с дополнительными проверками.

Эта часть истории почему-то нравится мне больше рассказов о компьютерных уязвимостях. Не потому, что бумага лучше программы. В международной торговле попытка обслуживать современные объёмы только бумагой довольно быстро превратила бы любое помещение в филиал архивного управления. А потому, что за каждым электронным процессом по-прежнему стоят люди, понимающие, что и зачем должно произойти. Можно вывести на экран сотню показателей. Можно организовать автоматическую сверку реквизитов и цифровую очередь. Можно поручить системе составление тысяч документов. Но если люди перестают понимать саму сделку, при первом серьёзном отказе оборудования они лишаются не только удобства, но и профессии.

Во время аварии Maersk продолжала часть перевозок в ручном режиме. Позднее председатель совета директоров Джим Хагеманн Снабе рассказывал на Всемирном экономическом форуме в Давосе, что благодаря усилиям сотрудников и клиентов компании удалось сохранить примерно 80 процентов обычного объёма перевозок — в условиях, когда основные цифровые инструменты были недоступны. Даже такой результат не спас компанию от тяжёлых потерь. В годовом отчёте за 2017 год Maersk оценила совокупные потери и чрезвычайные расходы вследствие кибератаки приблизительно в 250–300 миллионов долларов. Эта сумма включала упущенную выручку, затраты на восстановление информационных систем и дополнительные расходы в операционной деятельности.

Четверть миллиарда долларов — сумма, которую трудно воспринимать отвлечённо. За такие деньги можно построить производственные объекты, купить суда меньшего размера, создать рабочие места, вложиться в транспортную инфраструктуру. Здесь часть суммы пришлось потратить на восстановление привычной работы, а часть составила выручку, которой компания так и не получила. В определённом смысле это была одна из самых дорогих оплат за урок, который деловые люди слышат с университетской скамьи: не складывайте все яйца в одну корзину. А если корзин много, хотя бы не соединяйте их так, чтобы падение одной непременно увлекало за собой остальные.

Десять дней против шести месяцев

Аварийные команды восстанавливали корпоративную инфраструктуру в таком темпе, какой трудно организовать при обычном планировании. Снабе позднее привёл поразительные цифры: около четырёх тысяч серверов, сорока пяти тысяч персональных компьютеров и двух с половиной тысяч приложений потребовалось переустановить или восстановить. Основной этап этой работы занял десять дней. Он заметил, что в привычном режиме проект подобного масштаба мог бы растянуться на полгода. Судите сами: в обычной компании закупка нескольких десятков ноутбуков иногда обрастает таким количеством согласований, что сотрудник успевает перейти на другую должность прежде, чем получает технику. А здесь десятки тысяч рабочих мест требовалось вернуть к жизни почти одновременно.

В Мейденхеде работали специалисты компании и привлечённые инженеры. Люди приезжали из разных стран, работали сменами, перестраивали процессы, в которых ещё вчера всё казалось привычным. В Копенгагене помещения, предназначенные для обычной офисной жизни, превратились в площадки для массовой переустановки компьютеров. Вместо красивых схем цифровой трансформации — столы, кабели, ноутбуки, установочные носители и люди, которые умели терпеливо выполнять одну и ту же операцию тысячи раз. Разумеется, десять дней не означали, что все последствия исчезли к одиннадцатому. Окончательная настройка отдельных систем и устранение накопившихся проблем продолжались значительно дольше. Прерванные операции, задержки грузов, утраченные локальные данные не исчезают в момент, когда на мониторе снова появляется знакомая заставка.

Однако главное было восстановлено: компания вернула способность управлять основными процессами, принимать заказы, связывать суда с терминалами и заново соединять физический мир контейнеров с цифровым миром сведений. Надо отдать должное людям, совершившим это восстановление. В истории международной торговли принято восхищаться капитанами, инженерами-конструкторами, предпринимателями и государственными деятелями. Здесь же значительная часть тяжёлой работы выпала сотрудникам, чьи фамилии не появятся на борту судна и не будут выбиты на памятной табличке. Их обычная профессия состоит в том, чтобы всё работало и никто особенно не замечал, благодаря кому. Они получили известность именно тогда, когда работа перестала быть незаметной. Есть в этом что-то очень человеческое. Пока система исправна, мы считаем её почти естественным явлением, вроде погоды. Когда она перестаёт работать, внезапно вспоминаем всех, кто её обслуживает.

Уязвимость, которую не измеряют тоннажем

История Maersk — не просто рассказ об опасной компьютерной программе. Если ограничиться этой мыслью, можно было бы напечатать памятку о кибербезопасности, снабдить её суровой пиктограммой и успокоиться. Но для международного бизнеса вопрос гораздо глубже. На протяжении столетий торговля училась преодолевать физические препятствия: расстояния, отсутствие дорог, сложный рельеф, штормы, границы, недостаток портов. Появлялись корабли большей грузоподъёмности, железные дороги, универсальные контейнеры, складские терминалы, международные договоры, банковские инструменты.

Человек последовательно сокращал расстояние между производителем и покупателем. И одновременно создавал невидимую зависимость от инфраструктуры, которую невозможно увидеть с палубы судна. В старой торговле купец прежде всего боялся, что корабль не придёт. В новой он вынужден бояться и того, что корабль придёт вовремя, а принять его будет некому: не из-за отсутствия людей, а из-за отсутствия надёжной информации. После 2017 года мы не перестали строить цифровую экономику. Наоборот, она стала ещё сложнее. Это разумно: отказаться от быстрых информационных систем означало бы отказаться от значительной части достижений современного хозяйства. Но вместе с удобством мы приобрели новую меру ответственности. Вопрос уже не только в том, сколько стоит компьютерная защита. Вопрос в том, сколько стоит день, когда компания перестанет узнавать собственный бизнес.

Ответ нельзя получить из одной таблицы. Для производителя это стоимость остановленного конвейера. Для импортёра — нарушение сроков поставки и дополнительные платежи. Для экспортёра — риск потерять покупателя, который не обязан ждать. Для банкира — операции, законность и подлинность которых он не может подтвердить. Для порта — опасные грузы, неучтённые перестановки, заторы и простои. Есть ещё одна тонкость. Международная сеть связей делает компанию сильной, пока позволяет распределять ресурсы. Но она же переносит последствия ошибки далеко за пределы места, где ошибка возникла. В истории NotPetya одно заражённое звено оказалось началом кризиса для инфраструктуры, разбросанной по миру. Границы стран не защитили торговые системы. Однако точно так же границы не помешали людям из Ганы, Нигерии, Дании и Великобритании объединиться, чтобы эти системы вернуть к жизни. В этом противопоставлении мне видится подлинная история нашего времени. Глобальность создаёт угрозы. И глобальность же предоставляет способы с ними справиться. Важно, чтобы у предприятий хватало ума пользоваться и тем и другим.

Самая короткая морская перевозка

А теперь вернёмся к началу. В ганский офис, где незадолго до атаки погасло электричество. Можно представить себе, насколько иначе сегодня воспринимается тот совершенно обыденный сбой. Одна неработающая машина, одна оборванная связь — вещи, которые в деловом отчёте обычно попадают в графу «неисправности». В данном случае неисправность стала случайной изоляцией от гораздо большего бедствия. Разумеется, из этого не следует, что для защиты информационных систем нужно периодически отключать электричество. Такой совет заслуживал бы отдельной премии за изобретательность, но вряд ли премии за управление рисками. Следует другое: жизненно важные сведения обязаны иметь независимые, действительно восстанавливаемые копии, а люди — заранее понятные способы работать в отсутствие привычных электронных инструментов. Но нравоучение — плохой конец хорошей истории. Особенно истории, в которой столько людей сделали своё дело без всяких нравоучений.

Мне больше нравится представить заключительную сцену не в огромном порту, не в штаб-квартире и даже не в зале, где руководители позднее объясняли масштабы ущерба. А в аэропорту, где один сотрудник передал другому носитель данных. Никаких громких речей. Всего лишь предмет, который нужно было доставить дальше. Неизвестно, что сказали эти люди друг другу. Не станем вкладывать им в уста придуманные слова. В этот момент международная транспортная империя зависела от совершенно обычной человеческой надёжности. Кто-то должен был добраться до аэропорта. Кто-то — принять носитель. Кто-то — благополучно доставить его в Лондон. И кто-то — превратить спасённую информацию в работающую сеть.

Мир, привыкший рассчитывать стоимость перевозки в зависимости от расстояния, массы, объёма и условий поставки, получил занятную задачу. Сколько может стоить доставка одного компьютерного носителя из Ганы в Великобританию через Нигерию? Если смотреть на авиабилеты, не так уж много. Если вспомнить миллионы контейнеров, заказы клиентов, работу портов и сотни миллионов долларов последствий — цена совсем другая. В 2017 году Maersk перевозила грузы через океаны. Однажды ей пришлось доставить через границы то, без чего все эти грузы переставали складываться в понятную систему. И самый важный груз той недели оказался не в контейнере. Он поместился в руках одного человека.