Da li smo sajber-bezbedni?
Sredinom prošle godine, u nekim srpskim medijima se pojavila vest da se Srbija u junu 2021. godine našla na sedmom mestu globalne liste zemalja po broju napada na industrijske računare, na osnovu redovnog izveštaja koji na tu temu objavljuje kompanija „Kaspersky“. Iako se sajber bezbednost relativno često u poslednjih nekoliko godina pojavljuje kao tema u medijima, obično ne izaziva previše pažnje, jer se uglavnom radi o člancima koji su preuzeti iz stranih medija, te kao takvi nisu previše zanimljivi građanima Srbije. Ovog puta, imajući u vidu da se u izveštaju pominje i naša zemlja, nekoliko medijskih kuća je smatralo da se radi o vesti koja zavređuje nešto više prostora.Ne ulazeći u ovom trenutku u to koliko gore pomenuti izveštaj zaista može da bude poziv na uzbunu, te da li je za ozbiljniju analizu potrebno pratiti broj sajber napada koje jedan izvor detektuje u dužem vremenskom periodu, ovo je odlična prilika da se osvrnemo na temu bezbednosti kompanija u sajber prostoru – temu o kojoj se i na globalnom nivou mnogo priča, ali po pravilu, nedovoljno zna.
Jednu od čuvenih rečenica za one koji se bave sajber bezbednošću, izjavio je, za ovo polje daleke 2012. godine tadašnji šef Američkog FBI-ja, Robert Miler: “Postoje samo dve vrste kompanija – one koje su već hakovane, i one koje će to biti”. Današnji trenutak još bolje oslikava parafraza ove rečenice: “Na svetu postoje dve vrste kompanija – one koje znaju da su hakovane, i one koje to još ne znaju”.
Globalno istraživanje među generalnim direktorima koje na godišnjem nivou sprovodi kompanija PwC pokazuje zanimljive trendove i percepcije: rizici povezani sa sajber kriminalom su na globalnom nivou prepoznati kao najveći i nalaze se čak ispred zdravstvenih rizika. Skoro polovina učesnka (49%) je vrlo ili ekstremno zabrinuto zbog negativnih efekata sajber rizika na njihove kompanije, naspram 48% odgovora u “korist” zdravstvenih rizika, i to u doba pandemije. Taj broj se međutim smanjuje na 43% kada se ograničimo na Centralnu i Istočnu Evropu, odnosno na svega 33% odgovora koji ukazuju na veliku zabrinutost koje sajber bezbednost nosi sa sobom u Jugoistočnoj Evropi. Ovo donekle pokazuje da su tržišta dva gore pomenuta regiona (u koje spada i Srbija) još uvek nedovoljno zrela i nedovoljno svesna potrebe da se na pravi način ulaže u sopstvene kapacitete za odbranu od visokotehnološkog kriminala.
Možda je zato najsvrsishodnije ostatak ovog teksta svesti na razbijanje nekoliko najvećih mitova u ovoj oblasti.
Mit broj 1: “Moja kompanija nije dovoljno interesantna bilo kome. Mi nismo finansijska institucija, nismo dovoljno veliki da bismo bili meta hakerskih napada”
Istraživanja pokazuju da većina sajber napada nisu ciljani, odnosno ne odnose se na određenu metu. Naprotiv, sajber kriminalci u najvećem broju slučajeva ne biraju previše, već su spremni
da se bave svakom kompanijom kojoj otkriju ranjivosti koje im omoguće da uđu u mreže. Zapravo, oko 43% svih (uspešnih) napada ima za mete mala i srednja preduzeća, ne velika. I dok velike kompanije imaju kapacitete da se od takvih napada oporave i (doduše uz ozbiljne finansijske i reputacione gubitke) nastave sa poslovanjem, za veliki broj malih i srednjih preduzeća takav napad znači i automatski nestanak sa tržišta.
Izvor: Freepik
Mit broj 2: “Mi nemamo šta da krijemo”
Ovo nikad nije tačno, bilo da se radi o pojedincu, maloj ili velikoj kompaniji. Svaka informacija o kompaniji može da se monetizuje, i to na različite načine. Kradu se patenti, odnosno intelektualna svojina koja kompaniju čini jedinstvenom ili joj daje komparativnu prednost u odnosu na konkurenciju, informacije o HR-u, o tehnologijama koje koristi u proizvodnom procesu, informacije o trgovini, o ulaganjima u istraživanja i razvoj, o načinima na koji se sprovode spajanja i pripajanja kompanija (mergers and acquisitions), i najbolnije – informacije o korisnicima, dobavljačima, zaposlenima (koje uključuju i njihove lične podatke).
Mit broj 3: “Koliko novca je potrebno da rešimo problem zauvek?”
Sajber bezbednost nije pitanje jednokratnog ulaganja kojim se problem otklanja i posao može neometano da se nastavi. Naprotiv, potreban je sveobuhvatan pristup problemu i razumevanje da je bezbednost u sajber prostoru samo druga strana medalje galopirajućeg trenda digitalne transformacije koja je postala neophodna za opstanak i prosperitet kompanija. Drugim rečima, svaka kompanija, nezavisno od svoje veličine, treba da se bavi pitanjem sajber bezbednosti kroz trijadu ljudi, procesa i tehnologija. Šta ovo znači? Na nivou tehnologija, neophodno je opremiti i redovno unapređivati sisteme najnovijim rešenjima u oblasti sajber bezbednosti, segmentirati mreže, redovno ažurirati sve aplikacije, redovno pratiti izveštaje o ranjivostima sistema itd. To je čak i lakši deo slagalice. Osim toga, ništa od toga ne sme da bude ostavljeno volji pojedinca – potrebno je da postoje jasne procedure za celokupno funkcionisanje sistema, od toga kakve će se koristiti šifre, i koliko često će se menjati, do toga ko može da pristupa kom delu sistema i sl. Na kraju, najvažnije – potrebno je raditi sa ljudima. To znači da, naravno, treba imati stručnjake u ovoj oblasti (što će se na srpskom tržištu, ali i na globalnom nivou pokazati kao nepremostiva prepreka zbog ogromne diskrepance između ponude i potražnje), ali i da treba u potpunosti izmeniti bezbednosnu kulturu na svim nivoima – od generalnog direktora koji mora da vodi proces promene kulture i da bude njegov lider, do HR-a, nabavki, PR tima itd.
Ovo izgleda veoma kompleksno, posebno za manje igrače na tržištu, ali ne bi trebalo bilo koga da obeshrabruje – u smislu tehnologija i na srpskom tržištu postoje kompanije kao uslugu nude odgovarajuća tehnička rešenja. Promena bezbednosne kulture je nešto komplikovanija i zahteva strateški i dugoročniji pristup.
Za one kolege koji i dalje nisu ubeđeni da je sajber bezbednost problem svih nas, koji zahteva sveobuhvatan pristup, možda je dovoljno objasniti ko su zapravo najčešće napadači: to su u sve manjem procentu države koje špijuniraju jedne druge, a još manje mladići i devojke koji hakuju velike sisteme iz zabave: radi se o biznisu koji vredi više milijardi dolara na godišnjem nivou; koji nudi 24/7 pomoć kad vas hakuju kako da im prebacite sredstva u kriptovalutama; koji ulaže deo “profita” u sopstvena istraživanja i razvoj novih tehnologija i načina za hakovanje; koji uključuje hiljade ljudi na redovnom platnom spisku.
Zato, poruka za kraj bi bila još jedan citat (za ovu oblast) čuvenog američkog autora i bivšeg visoko rangiranog zvaničnika Vlade Sjedinjenih Američkih Država, Ričarda Klarka: “Ako trošite više na kafu nego na sopstvenu sajber bezbednost, bićete hakovani. Štaviše, zaslužujete da budete hakovani”. Mi bismo dodali da na sajber bezbednost treba da potrošite i onoliko vremena koliko trošite za razvoj svog najvažnijeg proizvoda.