OSINT для ленивых. Часть 15: Когда OSINT не работает

OSINT-исследования ( как работу с открытыми источниками) частенько продают руководству/заказчику как волшебную кнопку: «Мол, будут ранние предупреждения, видимость угроз, защита бренда и даже преимущество в стратегии. Купите правильные платформы, подключите нужные источники — и риск станет виден еще до того, как что-то такое случится.»

Спору нет, информация — это то единственное, во что есть смысл вкладывать деньги. Но есть красивые ожидания, а есть кривая морда реальности. Панели мониторинга есть, оповещения приходят, отчеты приходят на почту, бурная деятельность бурлит, но ощущения у заказчика, что он стал лучше владеть ситуацией и ему стало легче принимать решения, — не появляется. 
Закономерный итог — разочарование и скепсис. Разрыв между ожиданием и реальностью удручает; работодатель недоволен, — осинтер уволен.

В данном случае, проблема не в том, что OSINT как методология не работает, — его неправильно понимают, неправильно используют и неправильно же интерпретируют. Непонимание рождает ошибки в подходах.

OSINT — это не только набор инструментов и методов. Это, в первую очередь, способ мышления и работы с хаотичной и шумной информацией. Инструменты могут помочь, ускорить процесс, но они никогда не заменят голову человека. Если руководство компании считает, что все упирается только в софт и платформы, — провал заложен уже в самом этом мнении. «На кнопочку нажал и все вылезло» — тут не работает.

Начнем ab ovo. В первую очередь, нужно понимать что мы ищем, определиться с целями. И из этого уже ставить задачу исследования. Правильно поставленный вопрос — половина ответа. На практике иногда случается так, что осинтер сам формулирует задачу так, чтобы ее можно было понять и выполнить. Потому что от заказчика она может поступить в виде различных фигур из пальцев и малосвязных пожеланий (хорошо если на понятном языке). Но заказчик не обязан (sic!) разбираться в вашей работе. Перевод и интерпретация его пожеланий — ваша головная боль. Это и есть самая первая стадия исследования. Одна из самых рискованных.

В принципе, важно понимать не только что происходит, а еще и почему это вообще имеет значение. Этим и будет определяться использование именно этой, а не иной методики и инструментов.

Случается так, что ставят задачи вроде «следите за угрозами», «мониторьте соцсети», «отмечайте все подозрительное». По форме задача, а по сути — просто пожелание. Без конкретного вопроса, за которым стоит реальная проблема, исследование быстро скатывается в имитацию бурной деятельности: что-то собирают, что-то пишут в отчет, а что из этого действительно важно, а что просто показалось любопытным — не разбирает никто.

По большому счету, смысл исследования — снять неопределенность для тех, кто потом принимает решение. Но если сам заказчик не может внятно сказать, в чем именно он не уверен, толку не будет, сколько бы данных не было бы собрано.

Пример из практики: Заказчик — фирма средней руки, работающая в отрасли кормов для домашних животных. Постановка задачи от заказчика: «Разберитесь в ваших интернетах, кто нам в карман гадит». Результат работы — неделя потраченного времени, ворох разрозненной информации и недовольный заказчик.
Корректировка и новая постановка задачи: «Мониториг соцсетей и медиа, выявление источника негатива, верификация информации/отсеивание белого шума, выявление инициатора». Результат — выявление спланированной акции в местных медиа и соцсетях на местном уровне; личное общение заказчика и инициатора акции.

Итак, коротенечко, промежуточный итог: Точка приложения усилий первого этапа — не скорость и не набор инструментов, а то, кто и как переводит смутное «хочу знать, что происходит» в конкретный вопрос с понятным критерием результата. Если осинтер берет целеполагание на себя явно и фиксирует это, то разрыв ожиданий, в основном, закрывается.
Остается дело за «малым»: убедить заказчика, что он хочет именно этого и, при этом, не скатиться в новый конфликт ожиданий и реальности.

Отделяем мухов от котлетов.

Любой инструмент прекрасно показывает то, под что он заточен. Но его слепые зоны, то чего он не видит и какие допущения зашиты в саму логику сбора данных, — этого от него не дождешься. Он выдает картинку и молчит про то, что осталось за кадром. 
Неподготовленный аналитик эту тишину не замечает. Он просто не видит, что в данных чего-то важного не хватает. Отсюда может возникать опасная уверенность в себе: видимость принимают за понимание. Смотрят на дашборд, ничего не переспрашивают, данным не перечат. 
Инструмент должен делать сильного аналитика еще сильнее — а не тащить на себе слабого. OSINT, в котором никто не задаёт вопросов, — это просто деятельность ради деятельности.
Пример из практики:
Серьезная компания сливала килотонны важных документов в открытый доступ только потому, что не фильтровала должным образом исходящую документацию.
Поток документов был обнаружен случайно в ходе работы с ним не связанной. На закономерный вопрос: «Ребята, вы в своем уме ли?» Последовал закономерный ответ: «Все хорошо, прекрасная маркиза.» У людей просто нигде даже не шевельнулось, что может протекать именно в том месте и таким образом. У них все было благополучно, — все лампочки были зеленые.

Информация без контекста никому не нужна

Заказчик часто хочет гарантий: четко, однозначно, раз и навсегда. Но OSINT живет в мире вероятностей, допущений, неполных данных и картины, которая меняется буквально на глазах. Это не баг, а особенность профессии — так работает любая аналитика по открытым источникам, и иначе просто не бывает.
Когда от аналитика требуют гарантий вместо оценок и сценариев, разочарование неизбежно. OSINT начинают упрекать, что он «не дает ответов» — хотя он и не обязан давать их в таком виде. Решения принимает не осинтер, а тот, кому за эти решения платят.
Даже технически сильные команды проваливаются, если оторваны от реального контекста. Они прекрасно видят, что происходит в сети, но не представляют: что сейчас в приоритете, какой уровень риска для приемлем и сроки принятия решения.
И тогда заказчик откладывает их отчеты в сторону. Не потому что не ценит аналитику, а потому что не находит в ней ответа на простой вопрос: «И что нам теперь с этим делать?»

Критический анализ открытых данных — это не «проверка фактов», а системная работа с неопределенностью, предвзятостью, пропусками и контекстом. 
Для того, чтобы не впадать в жесткую неопределенность, сформулируем базовый набор процедур. Он не есть догма, но неплохо себя показывает в практической работе и призван избавить нас от лишней работы.

1. Оценка источника

Самый базовый и часто пропускаемый слой.

• Происхождение: кто создал информацию, когда, зачем и в каком контексте.

• Авторитетность и доступ: имел ли автор реальный доступ к описываемому?

• Мотивы: коммерческие, политические, репутационные, идеологические.

• История источника: как он вел себя раньше и откуда он взялся.

• Технические следы: метаданные, история правок, IP, домен, стиль письма, языковые и прочие маркеры.

Практический прием: для каждого ключевого утверждения явно фиксировать авторство и «на каком основании».

2. Триангуляция

Один источник редко бывает доказательством.

• Ищем независимое подтверждение из источников с разными интересами, происхождением и методологиями.

• Сравниваем не только совпадения, но и расхождения.

• Разделяем: первичное наблюдение → вторичный пересказ → третичный комментарий.

Важно: совпадение трех СМИ, которые цитируют одно и то же агентство, — это не триангуляция.

3. Анализ контекста и масштаба

Данные без контекста почти всегда бесполезны.

• Временной контекст (когда произошло vs когда стало известно).

• Географический/культурный контекст.

• Масштаб явления (единичный случай или системный паттерн).

• Сравнение с базовой линией («что считается нормой в этой среде»).

Вопрос, который стоит задавать постоянно: «Насколько это выбивается из обычной обстановки?»

4. Поиск отсутствующего 

Один из самых сильных и недооцененных методов.

• Чего нет в данных, хотя должно было бы быть?

• Какие источники молчат?

• Какие типы информации отсутствуют систематически?

• Есть ли лакуны, которые сами по себе являются сигналом?

Часто самое важное — не то, что написано, а то, о чем упорно молчат.

5. Выявление предвзятости и фрейминга

• Язык: какие слова выбраны, какие избегаются.

• Акценты: на чем фокус, что вынесено на периферию.

• Эмоциональная окраска и моральные оценки.

• Селективность: что показали, а что отсекли.

Полезно четко разделять: наблюдаемый факт → интерпретация → оценка.

6. Проверка внутренней согласованности

• Не противоречит ли источник сам себе в разных местах/во времени?

• Совпадает ли заявленная методология с реальными данными?

• Не слишком ли «удобная» картина получается?

7. Работа с гипотезами и альтернативами

Вместо поиска подтверждения своей версии:

• Формулируем несколько конкурирующих объяснений.

• Ищем данные, которые могли бы опровергнуть каждую из них.

• Оцениваем, какие гипотезы требуют наименьшего количества допущений (бритва Оккама).

8. Квантификация неопределенности

Честная аналитика всегда показывает границы знания:

• Уровень достоверности (высокая/средняя/низкая).

• Ключевые допущения.

• Что могло бы изменить вывод.

• Каких данных критически не хватает.

В данный перечень неплохо было бы добавить еще временной анализ (чтобы увязать события во времени) и анализ рефлексии исполнителя, но это не всегда нужно. Обычно, кейсы сильно проще и не требую такой глубины.
Объединяя то, что сказано в начале и данный перечень, можно сформулировать такую практическую последовательность работы:

1. Сформулировать конкретный вопрос (не «что происходит», а «что нам нужно знать, чтобы принять решение X»).

2. Собрать первичный массив данных.

3. Оценить источники и отсеять очевидный шум.

4. Провести триангуляцию ключевых утверждений.

5. Проанализировать контекст, пробелы и предвзятость.

6. Построить и проверить альтернативные гипотезы.

7. Сформулировать вывод с явным указанием неопределенности и последствий.

Частые ошибки

• Принимать видимость за понимание («дашборд зеленый = все хорошо»).

• Путать объем данных с качеством анализа.

• Игнорировать молчание и отсутствие информации.

• Требовать от открытых данных однозначности и гарантий.

• Работать только внутри одной платформы/экосистемы.

Хороший критический анализ открытых данных почти всегда оставляет больше вопросов, чем ответов — это нормально. 
Его ценность не в том, чтобы «все узнать», а в том, чтобы снизить неопределенность по кейсу исследования ровно настолько, насколько это нужно для принятия решения.