Kibernetička sigurnost nije samo tehničko pitanje, već i strateško pitanje

Sasvim je jasno kako je kibernetička sigurnost nije samo tehnički problem već i poslovni i ljudski problem. Zbog toga u IN2 slijede najbolje prakse kibernetičke sigurnosti kako bi osigurali najviše standarde kvalitete i sigurnosti za vlastito poslovanje i naše klijente, ističe za ICTbusiness.info Dražen Črnković, voditelj IT-a IN2 grupe.

Korištenje nesigurnih alata za komunikaciju i suradnju može rezultirati krađom i gubitkom podataka, kršenjem usklađenosti, štetom za ugled te pravnom izloženošću poduzeća i organizacija, tvrdi Črnković.

Kako se kibernetička sigurnost razvila tijekom proteklih nekoliko godina i kakvi su trenutni izazovi?

Kako se razvija digitalna tehnologija tako se zajedno s njima razvija i kibernetička sigurnost. Sve veće mogućnosti povezivanja stvaraju nove vektore prijetnji i povećavaju kibernetičke rizike u tvrtkama. Dok kompanije traže načine kako osigurati svoje digitalno okruženje kibernetički kriminalci rade na pronalaženju novih načina za probijanje takve obrane.

Početak ovog desetljeća obilježio je masovni prelazak na rad na daljinu kako bi zaposlenici u Covid-19 pandemiji nastavili raditi u zdravstveno sigurnom okruženju. Porast takvog rada na daljinu je pak s druge strane povećao mogućnosti kibernetičkih napada. To je rezultiralo povećanjem kibernetičkih prijetnji kao što su phishing, ransomware, lažna predstavljanja te razni oblici zlonamjernog softvera i krađe identiteta. Prijelaz na hibridne modele rada i rad na daljinu i dalje se nastavlja, upotreba alata za suradnju brzo raste kako bi se olakšala suradnja na daljinu, poboljšala komunikacija i povećala produktivnost.

Kibernetički kriminalci prate široku upotrebu tih alata i nastavljaju ciljati aplikacije za razmjenu poruka i platforme za suradnju kako bi dobili pristup osjetljivim poslovnim podacima. Korištenje nesigurnih alata za komunikaciju i suradnju može rezultirati krađom i gubitkom podataka, kršenjem usklađenosti, štetom za ugled te pravnom izloženošću poduzeća i organizacija.

Kibernetička sigurnost je dinamično područje koje se svakodnevno razvija i koje zahtijeva stalnu budnost, prilagodbu i inovacije kako bi se zaštitilo od novih prijetnji. Kako se kibernetička obrana poboljšava i sve više organizacija zauzima proaktivan pristup prevenciji tako i napadači stalno prilagođavaju svoje tehnike napada.

Koje su najčešće vrste hakerskih napada koji pogađaju tvrtke danas i koji su njihovi ciljevi?

Među najčešće vrste napada svakako možemo uvrstiti Phishing. To je vrsta napada s elementima socijalnog inženjeringa koja uključuje slanje lažnih poruka za koje se čini da dolaze iz legitimnih izvora, poput banaka, vladinih agencija, pružatelja usluga ili pouzdanih kontakata. Cilj phishing napada je navesti žrtve da otkriju svoje osobne ili financijske podatke, kao što su lozinke, brojevi kreditnih kartica ili podaci o bankovnom računu. Poruke se najčešće šalju putem e-pošte, ali može se raditi i o telefonskim pozivima (vishing) ili SMS porukama (smishing). Poruke često sadrže veze ili privitke koji vode do zlonamjernih web-mjesta ili preuzimanja zlonamjernog softvera kako bi se aktivirala neka druga vrsta napada kao što je npr. ransomware. Phishing je i dalje preferirana metoda napada budući da kibernetički kriminalci mogu steći značajnu dobit uspješnom krađom i prodajom pristupa ukradenim računima.

Zatim je tu ransomware, vrsta zlonamjernog softvera koji šifrira žrtvine datoteke ili zaključava njihov uređaj. Napadač tada od žrtve zahtjeva otkupninu za kriptografski ključ kojim je moguće dešifrirati podatke. Ransomware napadi obično se pokreću putem zlonamjernih veza i privitaka koji se isporučuju putem phishing e-pošte. Ransomware najčešće iskorištava ranjivosti u sustavima bez najnovijih softverskih zakrpi, starim verzijama softvera kao i greške u konfiguracijama sustava. Cilj ransomware napadača je iznuđivanje novca od žrtava s prijetnjom da će, u slučaju da otkupnina ne bude plaćena, izbrisati ili objaviti njihove podatke.

Možemo izdvojiti i BEC (Business Email Compromise) napade. BEC napadi su vrsta socijalnog inženjeringa koji se odvijaju putem e-pošte. U BEC napadu, napadač lažira e-poruku kako bi prevario žrtvu da izvrši neku radnju, najčešće prebacivanje novca na račun ili mjesto koje napadač kontrolira. BEC napadi se razlikuju od drugih vrsta napada putem e-pošte po nekoliko ključnih karakteristika - Ne sadrže zlonamjerni softver, zlonamjerne poveznice ili privitke e-pošte, Ciljaju određene pojedince unutar organizacija, Personalizirani su za žrtvu i često uključuju prethodno istraživanje organizacije.

BEC napadi su posebno opasni jer ne sadrže zlonamjerni softver, zlonamjerne poveznice, opasne privitke e-pošte ili druge elemente koje sigurnosni filteri e-pošte koriste kako bi prepoznali i zaustavili zlonamjernu e-poštu. E-poruke koje se koriste u BEC napadu obično sadrže samo tekst, što pomaže napadačima da ih kamufliraju u normalnom prometu e-pošte. BEC e-poruke dizajnirane su tako da navedu primatelja da ih otvori i poduzme radnju na temelju poruke koju sadrže. Napadači koriste personalizaciju kako bi prilagodili e-poruku ciljanoj organizaciji. Napadač može oponašati nekoga s kim namjeravana žrtva redovito komunicira putem e-pošte. Neki BEC napadi čak se ubacuju u već postojeće konverzacije e-pošte. Obično će napadač oponašati nekoga tko je više u hijerarhiji organizacije kako bi motivirao žrtvu da izvrši zlonamjerni zahtjev. BEC je ozbiljna prijetnja koja zahtijeva svijest i prevenciju kod svih zaposlenika kao i kod klijenata.

Također su česte i tzv. unutarnje prijetnje koje uključuju zaposlenike, izvođače, partnere ili druge ovlaštene korisnike koji zloupotrebljavaju svoje ovlasti pristupa za krađu, curenje, sabotažu ili manipuliranje podacima ili sustavima unutar organizacije. Unutarnje prijetnje mogu biti motivirane različitim čimbenicima, kao što su financijska dobit, osveta, špijunaža ili ideologija. Cilj insajderskih prijetnji je naštetiti ugledu, operacijama, sigurnosti ili konkurentnosti organizacije.

Uz već navedene česti su i napadi u lancu opskrbe. To je vrsta napada koja cilja dobavljače softvera ili hardvera koji pružaju proizvode ili usluge nekoj većoj organizaciji. Napadači na lanac opskrbe kompromitiraju mrežu ili sustave dobavljača i koriste ih kao kanal za isporuku zlonamjernog softvera, pristup mreži i sustavima tvrtke ili ustanove. Cilj napadača na lanac opskrbe je iskoristiti odnos povjerenja između dobavljača i organizacije pa onda preko dobavljača pristupiti osjetljivim ili vrijednim podacima te imovini koja pripada organizaciji.

Koje su ključne komponente dobre kibernetičke sigurnosti i zašto su važne?

Procjena i upravljanje rizicima – Važno je identificirati, analizirati, procijeniti i pripremiti prevenciju za potencijalne prijetnje i ranjivosti koje mogu utjecati na imovinu organizacije. Procjena rizika i upravljanje njima pomažu u određivanju prioriteta sigurnosnih napora i resursa na temelju vjerojatnosti i učinka rizika.

Sigurnosne politike i standardi – Pravilima i smjernicama definiraju se uloge i odgovornosti dionika organizacije u vezi s kibernetičkom sigurnošću. Sigurnosne politike i standardi pomažu u uspostavljanju zajedničkog razumijevanja i očekivanja sigurnosnih ciljeva, zahtjeva i najboljih praksi. 

Svijest o sigurnosti i obuka – Zaposlenike, izvođače, partnere i kupce potrebno je educirati o važnosti i prednostima kibernetičke sigurnosti. Svijest o sigurnosti i obuka pomažu u poticanju sigurnosne kulture i ponašanja koja mogu smanjiti ljudske pogreške i unutarnje prijetnje.

Sigurnosne kontrole i tehnologije – To su mjere i alati koji se koriste kako bi se kibernetička imovina organizacije zaštitila od neovlaštenog ili zlonamjernog pristupa ili radnji. Za odvraćanje i blokadu koristimo preventive kontrole (provjere autentičnosti, kontrole pristupa, treninzi…). Kontrole za detekciju (antimalware sustavi, IDS sustavi…) služe za praćenje ili upozoravanje na napade koji su u tijeku ili pokušaje samih napada. Korektivne kontrole (oporavak sigurnosnih kopija, mjere daljnje prevencije, pravne akcije…) imaju za cilj ispraviti ili vratiti normalan rad sustava ili resursa nakon što se dogodio sigurnosni incident.  

Upravljanje sigurnošću i usklađenost – Potrebno je osigurati da su poslovna strategija i ciljevi organizacije usklađeni s aktivnostima kibernetičke sigurnosti kao i s relevantnim zakonima, propisima, standardima i najboljim praksama. Upravljanje sigurnošću i usklađenost pomažu u dokazivanju odgovornosti i odgovornosti za kibernetičku sigurnost kao i u izbjegavanju bilo kakvih zakonskih ili regulatornih kazni ili sankcija. 

Koje su najnovije tehnologije i alati za zaštitu od kibernetičkih prijetnji i kako se primjenjuju?

Defensive artificial intelligence / Obrambena umjetna inteligencija: Ova tehnologija koristi strojno učenje i duboko učenje za otkrivanje i odgovor na kibernetičke napade. Koristi napredne algoritme i podatke za učenje iz obrazaca i ponašanja te za obavljanje zadataka koji obično zahtijevaju ljudsku inteligenciju. Može se primijeniti na kibernetičku sigurnost na različite načine, poput otkrivanja i sprječavanja zlonamjernog softvera, krađe identiteta, ransomwarea i drugih napada, analiziranje incidenata i reagiranje na njih te poboljšanje sigurnosnih operacija i automatizacije.

Behavioral analytics / Analitika ponašanja: Ovo je tehnologija koja koristi rudarenje podataka i strojno učenje kako bi razumjela kako se korisnici ponašaju na web stranicama, aplikacijama, sustavima i mrežama. Može se primijeniti na kibernetičku sigurnost kako bi se utvrdile i zaustavile potencijalne prijetnje i ranjivosti, kao što su unutarnje prijetnje, zlouporaba vjerodajnica ili nepravilne aktivnosti.

Embedded hardware authentication / Ugrađena hardverska provjera autentičnosti: To je tehnologija koja koristi fizičke ili biometrijske značajke za provjeru identiteta i prava pristupa korisnika ili uređaja. Može se primijeniti na kibernetičku sigurnost kako bi se povećala sigurnost hardverskih uređaja, kao što su prijenosna računala, pametni telefoni ili IoT uređaji, sprečavanjem neovlaštenog ili zlonamjernog pristupa ili neovlaštenog mijenjanja. 

Blockchain cybersecurity / Blockchain kibernetička sigurnost: Tehnologija koristi sustav distribuiranog vođenja evidencije transakcija koji bilježi i provjerava transakcije na siguran i transparentan način. Može se primijeniti na kibernetičku sigurnost radi zaštite integriteta podataka, privatnosti i povjerljivosti kako bi se omogućile sigurne peer-to-peer transakcije te kako bi se spriječila prijevara ili manipulacija.

Zero-trust model / Model nulte pouzdanosti: Ovo je sigurnosni okvir koji pretpostavlja da nijedan korisnik ili uređaj prema zadanim postavkama nije pouzdan i zahtijeva stalnu provjeru i provjeru identiteta i prava pristupa. Može se primijeniti na kibernetičku sigurnost kako bi se smanjila površina napada, ograničilo kretanje napadača i provele sigurnosne politike.

Koje su najvažnije mjere zaštite podataka koje tvrtke trebaju provoditi kako bi spriječile gubitak osjetljivih informacija?

Gubitak osjetljivih informacija može rezultirati financijskim gubicima, štetom za ugled, pravnim obvezama ili regulatornim sankcijama. Kako bi zaštitile svoje podatke tvrtke trebaju provoditi postupke zaštite osjetljivih podataka od neovlaštenog pristupa, korištenja, otkrivanja, izmjene ili uništenja.

Data discovery / Identifikacija (i klasifikacija) podataka

To je postupak identificiranja i klasificiranja podataka na temelju njegove vrste, izvora, lokacije, vlasnika i osjetljivosti. Identifikacija i klasifikacija podataka pomaže u razumijevanju podatkovnog okruženja, procjeni rizika podataka i primjeni odgovarajućih mjera zaštite podataka. 

Data governance / Upravljanje podacima

Postupak uspostavljanja i provedbe politika, standarda i postupaka za upravljanje podacima i zaštitu tijekom njegovog životnog ciklusa. Upravljanje podacima pomaže u osiguravanju kvalitete, sigurnosti, privatnosti i usklađenosti s relevantnim zakonima i propisima

Data monitoring and auditing / Praćenje i nadzor podataka

Prikupljanja i analize podataka iz različitih izvora kako bi se otkrilo i odgovorilo na sve anomalije ili incidente koji mogu ukazivati na kršenje ili kompromitiranje podataka. Praćenje i revizija podataka pomažu u provjeri učinkovitosti i uspješnosti mjera zaštite podataka kao i u utvrđivanju nedostataka koje je potrebno poboljšati. 

Data backup and recovery / Sigurnosno kopiranje i oporavak podataka

To je postupak stvaranja i vraćanja kopija podataka u slučaju gubitka podataka ili oštećenja zbog kvara hardvera, ljudske pogreške, napada zlonamjernog softvera ili prirodne katastrofe. Sigurnosno kopiranje i oporavak podataka pomaže u osiguravanju dostupnosti i kontinuiteta podataka 

Data encryption / Šifriranje podataka

Proces pretvaranja podataka u nečitljivi format pomoću tajnog ključa ili algoritma. Šifriranje podataka pomaže u sprječavanju neovlaštenog pristupa ili otkrivanja podataka tijekom prijenosa ili u mirovanju. Šifriranje podataka može se primijeniti na podatke pohranjene na uređajima, poslužiteljima, bazama podataka, uslugama u oblaku ili privicima e-pošte. 

Kako se kibernetički napadi razlikuju u različitim industrijama i sektorima?

Kibernetički napadi se razlikuju među industrijama i sektorima u pogledu njihove učestalosti, ozbiljnosti, utjecaja i motivacije. Razni čimbenici utječu na varijacije kibernetičkih napada. Sektor financija i osiguranja često je na meti kibernetičkih kriminalaca koji žele ukrasti novac, osobne podatke ili intelektualno vlasništvo zbog vrijednosti i osjetljivosti podataka koju sektor posjeduje. 

Proizvodni sektor često je osjetljiv na kibernetičke napade zbog upotrebe naslijeđenih sustava, zastarjelog softvera ili neosiguranih uređaja.  Energetski je sektor često na meti hakera pod pokroviteljstvom država koji nastoje sabotirati ili utjecati na kritičnu infrastrukturu ili operacije kako bi prouzročili štetu i poremećaje u industriji. 

Slično kao i ostale industrije i softverska je industrija izložena različitim vrstama napada kao što su:

•      Gubitak prihoda i ugleda – Kibernetički napadi mogu poremetiti poslovanje, proizvode i usluge softverske industrije, što dovodi do financijskih gubitaka i nezadovoljstva kupaca. 
•      Krađa intelektualnog vlasništva i poslovnih tajni – Kibernetički napadi mogu ugroziti povjerljive podatke softverske industrije, kao što su izvorni kod, algoritmi, dizajni i patenti, dajući konkurentima ili protivnicima nepoštenu prednost.
•      Pravna i regulatorna pitanja usklađenosti – Kibernetički napadi mogu izložiti softversku industriju pravnim obvezama i regulatornim sankcijama, posebno ako uključuju osobne podatke ili osjetljive podatke.

Kako se kibernetička sigurnost povezuje s poslovnom strategijom i konkurentske prednosti?

Kibernetička sigurnost može omogućiti i podržati poslovnu strategiju osiguravanjem dostupnosti, integriteta i povjerljivosti podataka, sustava i procesa koji su ključni za poslovanje, proizvode i usluge. Također može olakšati inovacije, digitalnu transformaciju i zadovoljstvo kupaca pružanjem sigurnih i pouzdanih rješenja.

Ona može zaštititi poslovnu strategiju od vanjskih i unutarnjih prijetnji koje mogu ugroziti poslovne ciljeve, performanse i ugled. Može pomoći u sprečavanju ili ublažavanju učinka kibernetičkih napada koji mogu uzrokovati financijske gubitke, operativne poremećaje, pravne obveze, regulatorne kazne ili eroziju povjerenja.

Kibernetička sigurnost može razlikovati poslovnu strategiju od konkurenata stvaranjem konkurentske prednosti i jedinstvenog prijedloga vrijednosti. Može pomoći u poboljšanju imidža robne marke, lojalnosti kupaca, tržišnog udjela i rasta prihoda pokazujući snažnu predanost sigurnosti, privatnosti i usklađenosti.

Sigurnost je ključni pokretač tehnološkog uspjeha. Inovacija i povećana produktivnost mogu se postići samo uvođenjem sigurnosnih mjera koje organizacije čine što otpornijima na moderne napade.

Stoga kibernetička sigurnost nije samo tehničko pitanje, već i strateško pitanje koje zahtijeva usklađivanje i integraciju s poslovnom strategijom i ciljevima. Kibernetička sigurnost može biti izvor konkurentske prednosti ako se njome upravlja učinkovito i proaktivno.