Tvrtka može imati uredno posložene sustave i svejedno izgubiti novac, podatke i ugled, jer napad danas najčešće ne ide na sustav nego na čovjeka koji za njim sjedi.

O tome je u središnjem dnevniku Hrvatske radiotelevizije govorio Tomislav Vazdar, osnivač i direktor Riskorije. Poruka je bila neugodno jednostavna. Svijest o zaštiti doista raste, ali se u većini organizacija probudi tek nakon što se nešto dogodi.

Svijest raste tek nakon prvog udarca

Vazdar je rekao da je problem u tome što se mnogi pokrenu tek kad se osvjedoče na vlastitom primjeru. Pomak koji se vidi posljednjih godina ne dolazi iz tržišta nego iz propisa. Hrvatska je prenijela europsku regulativu u Zakon o kibernetičkoj sigurnosti, a on je tvrtke natjerao da posao poslože drukčije nego dotad.

Popis obveza koje je nabrojio nije dug, ali mijenja način rada. Organizacija mora imenovati osobu odgovornu za kibernetičku sigurnost, provoditi procjenu rizika, podvrgnuti se reviziji, prijavljivati incidente, educirati zaposlenike i o sigurnosti razgovarati i sa svojim klijentima. Mnogo toga što se prije radilo po volji sada je obveza, i to obveza za koju netko traži dokaz.

U radu s ustanovama koje se pripremaju za reviziju najviše vremena odnese upravo to posljednje. Politika koja stoji u ladici i politika koja svaki mjesec ostavlja zapis dvije su različite stvari, a ocjenjuje se druga. Rokovi za prijavu incidenta mjere se satima: rano upozorenje u dvadeset četiri sata, službena obavijest u sedamdeset dva, završno izvješće u trideset dana. Tko unaprijed nije dogovorio tko koga zove, taj prvi sat potroši na dogovaranje. Što točno traži Zakon o kibernetičkoj sigurnosti razrađeno je na posebnoj stranici.

Ucjenjivački softver i trošak koji se ne vidi na računu

Za tvrtke je najveći rizik ostao ucjenjivački softver, dakle zaključavanje računala i podataka radi otkupnine. Vazdar je podsjetio da se Hrvatska s time susreće već desetak godina i da je prethodna godina donijela osjetan porast. Naveo je napade na Klinički bolnički centar Zagreb i na Zračnu luku Split, uz još ispada sustava koji nisu jednako odjeknuli.

Trošak koji je izdvojio kao najveći ne stoji ni na jednom računu. To je ugled. Nijedna tvrtka danas si više ne može dopustiti da joj podaci iscure ni da se pokaže kako informacijsku imovinu nije čuvala onako kako je trebalo.

U zdravstvu se ta računica vidi najoštrije. Kad stane sustav za slikovnu dijagnostiku, ne stane samo informatika. Stane red pred vratima, odgodi se zahvat i netko mora rukom voditi ono što je sustav vodio sam. Zato je oporavak prije svega pitanje unaprijed razrađenog rada bez sustava, a tek onda pitanje sigurnosne kopije. Kako izgleda upravljanje incidentima kad se prvi sat ne troši na dogovaranje, opisali smo zasebno.

Napad koji ide na povjerenje

Za građane je slika drukčija i, po Vazdarovoj ocjeni, teža. Ljude se ne napada kroz sustav nego kroz osjećaje. Dopre se do čovjeka i navede ga se da uloži novac ili da povjeruje kako je netko za njega iskreno zainteresiran. To je u deset godina naraslo, a umjetna inteligencija je prijevare podigla na razinu na kojoj ih je teško razlikovati od stvarne komunikacije.

„Uvijek govorimo o zaštiti imovine tvrtke. A tko štiti naš um?”, pitao je Vazdar. Odgovor koji je ponudio nije tehnički. Prijevare su prerasle u posao prekograničnog organiziranog kriminala i time postale pitanje nacionalne sigurnosti, a propisi su i dalje pisani prije svega za zaštitu tvrtki. Zaštita građana ostala je na pojedincu.

U istom su prilogu govorili i Nikola Dujmović, predsjednik Uprave Spana, koji je podsjetio da je izloženost digitalnom neodvojiva od obveze da to digitalno bude sigurno, Ira Winkler iz tvrtke CYE, koji je upozorio na prijevare oslonjene na društveni inženjering i na napadače koji već imaju dio vaših podataka pa zvuče uvjerljivo, te Antonija Vojnović iz Spana, koja je naglasila da procjena rizika određuje što se uopće štiti i koliko se u to ulaže.

Peta dimenzija i ljudi kojih nema

Kibernetičku sigurnost Vazdar je nazvao prije svega obrambenim pitanjem, jer države kibernetički prostor koriste kao petu dimenziju ratovanja. Hibridno ratovanje ne traži oružje. Dovoljno je utjecati na izbore plasiranjem lažnih vijesti ili pogoditi kritičnu infrastrukturu. Zakon zato od subjekata traži da uspostave obrambeni mehanizam i budu dovoljno otporni.

Drugi dio odgovora su ljudi i tu je slika najlošija. Obrazovni sustav ne daje dovoljno stručnjaka, a rasprava se najčešće zaustavi na osobama koje treba imenovati. Analitičari i tehničari koji taj posao rade svaki dan rijetko se spominju. Vazdar je procijenio da na razini Europske unije nedostaje otprilike milijun ljudi. Hrvatska ima pomak i akademski programi postoje, ali njihov broj ne prati potrebu.

Za većinu organizacija zaključak nije da treba kupiti još jedan alat. Treba znati što se štiti, tko odlučuje kad telefon zazvoni u tri ujutro i kako se dokazuje da se mjera doista provodi. Za pojedinca je zaključak još kraći. Poruka koja traži brzu odluku i budi jaku emociju gotovo je uvijek pokušaj prijevare, bez obzira na to koliko uvjerljivo zvuči glas s druge strane.

Izvor: HRT Magazin, Kako se osigurati od kibernetičkih napada?