Методология

Аналитический цикл

Работа начинается с запроса заказчика или с сигнала мониторинга.

1. Запрос или сигналВопрос ставит заказчик или мониторинг.
   Публикации

   • G.009Слабый сигнал. От наблюдения к индикатору
2. ШлюзПравовая и этическая проверкаБез допуска работа не начинается, и запрос получает отказ.
   Публикации

   • G.010Два шлюза. Проверка до работы и рецензия до выпуска
3. Паспорт задачи и план сбораВопрос, срок, владелец результата и критерий завершения.
   Публикации

   • G.001Почему в шаблоне расследования нет ни одной связи
4. Сбор и проверка данныхПроисхождение, дата, контекст и независимое подтверждение каждого источника. У приложенного документа CATK считает SHA-256: хеш показывает, что файл не меняли после того, как приложили.
   Публикации

   • G.011Источник и сообщение. Две оценки вместо одной
   • G.005OPSEC. Что уходит с машины расследователя
   • G.002Адрес электронной почты как запись. Что он говорит и чего не говорит
5. Анализ и альтернативные гипотезыС данными сверяются не меньше двух объяснений.
   Публикации

   • G.013Анализ конкурирующих гипотез. Выбор решают противоречия
   • G.006Логические ошибки в расследовании по открытым источникам
   • G.003Стилометрия. Указатель, а не доказательство
6. Выводы и сценарииПроект результата с основаниями и индикаторами.
   Публикации

   • G.008Слова вероятности. Почему в выводах лаборатории нет процентов
   • G.007Виды досье. Три уровня одной работы
   • G.004Отчетность. Как документировать результаты расследования
7. ШлюзПроверка качества и рецензияБез независимой рецензии нет выпуска. Вывод о конкретной организации или человеке проходит еще и правовую вычитку. Замечание рецензента возвращает проект на доработку.
   Публикации

   • G.010Два шлюза. Проверка до работы и рецензия до выпуска
8. Выпуск и обратная связьРезультат уходит читателю, вопросы читателя возвращаются в работу.
9. Архив знаний и калибровкаИтоги, калибровка прогнозов и уроки учитываются при постановке новых задач.
   Публикации

   • G.012Реестр прогнозов. Как прогноз проверяется исходом

Стандарт аналитической записки

Записка отвечает на девять вопросов в закрепленном порядке. В любой записке лаборатории вывод, факты и альтернативы стоят на одних и тех же местах.

Оценка источников

Надежность источника и достоверность конкретного сообщения оцениваются отдельно: надежный источник может передать сомнительное сообщение, а ненадежный - верное.

Отметка B2 читается так: источник «обычно надежный», сообщение «вероятно достоверно». F6 означает, что оценка невозможна, и ничего не говорит о ложности.

Вероятность и уверенность

За каждым словом шкалы вероятности закреплен свой диапазон, и диапазоны не пересекаются. Крайние значения не используются: они означали бы факт.

1. Почти исключеноОснований почти нет, но сценарий не исключен полностью.
2. МаловероятноОснования есть, но основной сценарий другой.
3. ВозможноРеальный сценарий, если выполнится несколько условий.
4. Примерно равновероятноНедостаточно оснований выбрать сторону.
5. ВероятноПодтверждений больше, чем опровержений.
6. Весьма вероятноВесомая совокупность подтверждений.
7. Почти навернякаОчень высокая вероятность, но не абсолютная.

Уверенность

• ВысокаяНесколько независимых надежных источников, согласованные данные, проверенная методика.
• СредняяДанные правдоподобны, но есть пробелы, единичные источники или конкурирующие толкования.
• НизкаяФрагментарные или сомнительные данные, существенные допущения.

Вероятность и уверенность указываются раздельно, например: «вероятно, уверенность средняя». Вероятность говорит о событии, уверенность - о качестве основания для оценки.

Проверка качества

• Значимую работу проверяет рецензент вне команды, которая ее готовила.
• Рецензент проверяет, соответствуют ли выводы источникам и нет ли в рассуждении скачков логики.
• Выводы о конкретных организациях и лицах дополнительно проходят правовую проверку.
• Стратегические оценки, ежегодный прогноз и публичные выводы о конкретных организациях проверяет группа альтернативного анализа (red team). Она ищет другие объяснения, скрытые допущения и признаки группового мышления.
• После события разбор фиксирует, что было верно, что пропущено и какие допущения оказались ошибочными.

Реестр прогнозов

• Каждый прогноз записывается: дата, формулировка, вероятность по шкале, горизонт, автор и срок проверки.
• После срока проверки записывается исход, каким бы он ни был.
• Накопленные исходы показывают калибровку: насколько слова шкалы совпадают с тем, что происходит.