U vremenu u kojemu digitalizacija mijenja i gospodarstvo i društvo, kibernetička sigurnost nikad nije bila važnija. U razgovoru za Svijet sigurnosti Tomislav Vazdar, osnivač Riskorije, govori o tome kako se prijetnje mijenjaju, koliko je Hrvatska izložena i kako zaštititi kritičnu infrastrukturu.

Razgovor je izvorno objavljen u Svijetu sigurnosti, u seriji „Jesmo li sigurni da smo sigurni?”, koju uređuje Alen Ostojić.

Jesu li kibernetičke prijetnje došle na vrh popisa sigurnosnih prijetnji?

Danas zauzimaju središnje mjesto. Ucjenjivački programi, napadi na kritičnu infrastrukturu i napredna špijunaža svakodnevni su izazov i državama i organizacijama. Nije riječ samo o novčanoj šteti, nego i o mogućoj opasnosti za ljudske živote i o povjerenju u društvene sustave.

Posljednjih je godina digitalizacija naglo napredovala, čime je nastalo novo bojište. Organizacije ulažu velika sredstva u zaštitu, a države donose stroža pravila. Kako prijetnje ne poznaju granice, raste i potreba za međunarodnom suradnjom.

Kibernetička sigurnost time stoji uz bok klasičnim oblicima nacionalne sigurnosti. NATO kibernetički prostor smatra ključnim područjem obrane.

Je li Hrvatska izloženija ili manje izložena od drugih?

Hrvatska je izložena kao i većina europskih zemalja. Iako na prvi pogled ne izgleda kao glavna meta, povezanost s europskom infrastrukturom, članstvo u međunarodnim organizacijama i geopolitički položaj čine je ranjivom. Napadi na bolnice i druge važne ustanove pokazali su da napadači ne biraju po veličini države nego po važnosti mete.

Kao članica Unije, Hrvatska mora zadovoljiti stroga pravila, od Opće uredbe o zaštiti podataka do onoga što donosi direktiva NIS2, prenesena Zakonom o kibernetičkoj sigurnosti. Ostaje, međutim, premalo ulaganja u obrazovanje zaposlenika i u tehničke resurse.

Postoji li dio društva ili gospodarstva koji napadačima nije zanimljiv?

Teško. Svaka organizacija, bez obzira na veličinu, ima podatke ili pristup koji nekome vrijedi. Posebno su izložene one koje nisu tehnički usmjerene, ali su dio većeg lanca opskrbe. Napadi se često usmjeravaju na slabije zaštićenu tvrtku koja ima pristup većoj organizaciji.

I najmanji posao može postati meta ako je dio lanca kritične infrastrukture ili posluje s velikim tvrtkama.

Ulaže li se napokon dovoljno?

Ulaže se više nego prije, ali ne dovoljno. Mnoge organizacije tek uvode dugoročne strategije, a dio djelatnosti i dalje reagira tek kad se nešto dogodi.

Glavni je izazov brzina kojom se prijetnje mijenjaju. Napadači prilagođavaju metode i koriste nove tehnologije, pa i generativnu umjetnu inteligenciju, za složenije i uvjerljivije napade. To traži stalno ulaganje u opremu i u znanje ljudi. U Hrvatskoj ulaganja rastu, ali zaostaju za svjetskim kretanjima.

Kako klijenti reagiraju kad im kažete što sve treba?

Često se iznenade koliko je postupak složen. Mnogi vjeruju da je dovoljno uvesti jedan program, a zapravo treba spojiti tehnologiju, postupke i ljude. Uvođenje norme poput ISO 27001 traži vrijeme, sredstva i promjenu kulture.

Najteže je prihvatiti da je riječ o trajnom poslu, a ne o jednokratnom ulaganju. Redovita procjena rizika, ispitivanje i obuka ključni su za održavanje razine zaštite.

Postoji i psihološka strana. Klijenti ozbiljnost prijetnje često podcijene dok se ne susretnu s incidentom. Zato su rano obrazovanje i svijest o riziku toliko važni.

Što je Riskoria i kako radi?

Riskoria je savjetodavna tvrtka koju sam osnovao kako bih organizacijama ponudio rješenja u kibernetičkoj sigurnosti i umjetnoj inteligenciji. Nudimo strategiju, upravljanje rizicima, sigurnosne postupke i usklađivanje s propisima.

Rad počiva na tri stvari: prilagodljivosti, novim rješenjima i partnerstvu. Usluge prilagođavamo potrebi pojedine organizacije, koristimo najnovije alate i s klijentima gradimo dugoročne planove koji uključuju stalno obrazovanje ljudi i usklađenost s međunarodnim normama.

Postoji li jamstvo sigurnosti?

Sigurnost je trajan proces, a ne stanje koje se jednom postigne. Potpuno jamstvo ne postoji ni uz najbolju tehnologiju. Prijetnje se mijenjaju, pa je ključno stalno prilagođavanje.

Organizacije rizik smanjuju zaštitom u više slojeva, šifriranjem, višefaktorskom provjerom autentičnosti i redovitim ažuriranjem. Ljudska pogreška i socijalni inženjering ipak ostaju ono što najčešće otvara vrata.

Jesu li ljudi i dalje najslabija karika?

Jesu. Unatoč naprednoj tehnologiji, ljudska pogreška ostaje najveći rizik. Napadači socijalnim inženjeringom navode zaposlenika da im preda pristup, pa im tehničke prepreke uopće ne trebaju probijati.

Rješenje je u stalnom obrazovanju i podizanju svijesti. Redovita obuka o prepoznavanju lažnih poruka, o postupanju s osjetljivim podacima i o lozinkama smanjuje taj rizik.

Što je kiberpsihologija i pomaže li Vam u radu?

Kiberpsihologija proučava ponašanje ljudi u digitalnom okruženju, osobito kako komuniciraju i kako reagiraju na prijetnje. Pomaže razumjeti postupke kojima napadači vode korisnike.

U mojem radu pomaže pri oblikovanju obrazovnih programa, jer omogućuje da mjere zaštite prilagodimo tome kako ljudi doista razmišljaju i odlučuju pod pritiskom.

Koji je naraštaj najranjiviji?

Svaki ima svoje izazove. Stariji su često najizloženiji zbog slabije digitalne pismenosti, pa su češće meta lažnih poruka i lažnih stranica. Mlađi bolje poznaju tehnologiju, ali prijetnje podcjenjuju. Dijele osobne podatke bez razmišljanja i koriste slabe lozinke na više računa.

Za sve je ključno obrazovanje. Mladi moraju naučiti odgovorno se ponašati i štititi svoje podatke, a stariji steći osnovne vještine i svijest o prijevarama.

Jesu li istražitelji dovoljno osjetljivi na prijave?

Svijest raste, ali nedostaje resursa i uske specijalizacije. Kibernetički se kriminal stalno mijenja, pa traži stalno učenje i nove istražne postupke. U Hrvatskoj ima napretka, ali i dalje nedostaje stručnjaka.

Uz to, napadi često dolaze iz drugih država ili su vezani uz skupine koje djeluju svjetski, što usporava istrage kad treba suradnja sa stranim tijelima.

Problem je i to što mnoge žrtve ne prijavljuju napad, zbog straha za ugled ili uvjerenja da od prijave nema koristi. Time se otežava praćenje kretanja i priprema mjera.

Prepoznaje li domaće zakonodavstvo sve prijetnje?

Hrvatsko zakonodavstvo, kao i drugdje, teško prati brzinu razvoja. Postoje propisi koji uređuju ovo područje, poput Opće uredbe o zaštiti podataka i Zakona o kibernetičkoj sigurnosti, ali napadači brzo nalaze nove putove. Zato propisi moraju biti prilagodljivi.

Hrvatska se, kao i druge članice, uvelike oslanja na europske propise. Primjena direktive NIS2 i strože kazne za povrede sigurnosti podataka korak su naprijed, ali posao nije gotov.

Koji su hakeri najopasniji i odakle dolaze?

Najopasniji su iz organiziranih skupina ili su povezani s državama. Rusija, Kina i Sjeverna Koreja poznate su po podupiranju skupina koje napadaju kritičnu infrastrukturu, financijske ustanove i državna tijela. Takvi se napadi koriste kao oblik asimetričnog djelovanja.

Uz to su tu skupine s ucjenjivačkim programima, poput LockBita i Akire, odgovorne za velike napade i milijardsku štetu. One svoje usluge nude drugima, čime se doseg dodatno širi.

Postoje i pojedinačne skupine, takozvani haktivisti, koji napade koriste za političke ili društvene ciljeve. Iako im pobuda nije novac, posljedice mogu biti jednako teške.

Napadi na bolnice, čini se da se KBC još nije oporavio

Napadi na bolnice pokazali su koliko su zdravstvene ustanove ranjive. Često rade na starim sustavima koji nisu dovoljno zaštićeni. Oporavak je dugotrajan, jer treba vratiti povjerenje pacijenata, osigurati podatke i omogućiti nesmetan rad.

Uz tehnički oporavak treba iznova postaviti sigurnosne postupke. Curenje osjetljivih zdravstvenih podataka nosi i pravne posljedice i štetu za ugled.

Bolnice su meta jer čuvaju vrlo osjetljive podatke, a istodobno moraju raditi bez prekida. To traži ozbiljnija ulaganja u obnovu informatičkih sustava i u obrazovanje zaposlenika.

Smiju li bolnice skrivati razmjere napada?

Kao javne ustanove trebale bi biti prozirne, no u svijetu se često događa da se puni razmjer ne objavi, radi zaštite ugleda. To može naškoditi, jer bez podataka druge ustanove teže se pripremaju.

Uz to postoji i pravna obveza. Prema Općoj uredbi o zaštiti podataka, povredu koja uključuje osobne podatke treba prijaviti nadzornom tijelu u roku od 72 sata. Prema Zakonu o kibernetičkoj sigurnosti, značajan se incident nadležnom CSIRT-u prijavljuje ranim upozorenjem najkasnije 24 sata od saznanja i početnom obavijesti najkasnije 72 sata. Skrivanje može donijeti visoke kazne.

Koliko ovisimo o digitalnom svijetu?

Ovisnost nikad nije bila veća. Od plaćanja i zdravstva do obrazovanja i druženja, gotovo je sve povezano s mrežom. To znači i da su prijetnje prisutne u svakom dijelu društva.

Napadi na elektroenergetsku mrežu, zdravstvo ili banke mogu poremetiti svakodnevni život. I manji kvar može donijeti gubitak povjerenja i ozbiljnu štetu.

Možemo li očekivati povratak na analogno?

Potpun povratak nije vjerojatan, jer digitalne tehnologije donose prevelike prednosti. To ne znači da za analogne postupke nema mjesta u smanjenju rizika.

Mnoge organizacije uvode zalihost, uključujući fizičke zapise i ručne postupke za ključne poslove, za slučaj napada ili kvara. Sigurnosne kopije na fizičkom mediju i ručni postupci mogu poslužiti kao mreža za pad.

Je li rješenje višeslojna sigurnosna kopija?

Umnožavanje podataka na više mjesta i sustava jedan je od djelotvornih načina zaštite. Time se smanjuje rizik od trajnog gubitka kod napada ucjenjivačkim programom ili kvara.

Sama za sebe, međutim, nije dovoljna. Treba i šifriranje, nadzor pristupa te redovito ispitivanje vraćanja podataka. Napadači ciljaju upravo sigurnosne kopije, pa i one moraju biti zaštićene, odvojene od glavnih sustava i redovito provjeravane.

Postoji li neprobojna zaštita?

Ne postoji. Svaki se sustav može probiti ako napadač uloži dovoljno vremena i sredstava. I najzaštićeniji sustavi ranjivi su na napredne postupke, socijalni inženjering ili iskorištavanje još nepoznatih ranjivosti.

Cilj nije neprobojan sustav nego smanjen rizik i manja šteta ako do napada dođe. To se postiže zaštitom u više slojeva i planom oporavka koji je netko doista uvježbao.

Ima li dovoljno stručnjaka i dovoljno obrazovanja?

Hrvatska se, kao i mnoge zemlje, suočava s manjkom stručnjaka. To postaje ozbiljnije kako broj prijetnji raste. Nije riječ samo o tehnološkom nego i o gospodarskom pitanju, jer utječe na sposobnost zemlje da zaštiti svoje ključne djelatnosti.

Posljednjih godina raste broj obrazovnih programa, ali mnogi smatraju da nisu dovoljno dostupni ni dovoljno usmjereni na stvarne izazove. Treba više ulaganja u obrazovanje i bolju suradnju privatnog i javnog sektora.

Plaće nisu konkurentne, koje je rješenje?

Plaće u Hrvatskoj nisu na razini onih na zapadu, što vodi odlasku ljudi i otežava dolazak novih. Rješenje nije samo u plaći, nego i u uvjetima rada, mogućnosti napredovanja te stalnom obrazovanju i certifikaciji.

Treba i jača suradnja fakulteta, države i gospodarstva, uz stipendije, potporu obrazovanju i pomoć novim tvrtkama u ovom području.