Umetna inteligenca odpira povsem nove možnosti kibernetskih napadov, podjetja pa se še vedno soočajo tudi z dobro znanimi varnostnimi tveganji. Kako pripravljeni smo na prihodnost in kaj lahko naredimo že danes, je bila tema konference Kibernetski cunami, ki je tudi letos povezala različne poglede in izkušnje – od strokovnjakov, ki spremljajo razvoj groženj, do ponudnikov rešitev in organizacij, ki morajo kibernetsko varnost zagotavljati v praksi.
Da kibernetska varnost ni več samo vprašanje tehnologije, ampak je tudi vprašanje odgovornosti, sodelovanja, zaposlenih in znanja, so zbrani ugotavljali na konferenci, ki je potekala na Gospodarski zbornici Slovenije. V ospredju so bile konkretne izkušnje, izzivi in vprašanja, kaj podjetja dejansko počnejo za svojo varnost.
Bomo napadalcem sploh še lahko sledili?
"Slovensko gospodarstvo potrebuje hitrejšo digitalno preobrazbo in učinkovito uporabo umetne inteligence, ob tem pa moramo enako pozornost nameniti kibernetski varnosti podjetij. Zato je pomembno, da podjetja ob uvajanju novih rešitev načrtno razvijajo znanja zaposlenih ter varnost vključujejo v poslovne odločitve in razvoj novih storitev. V Sloveniji imamo strokovnjake in dobre prakse, s tesnejšim sodelovanjem med ponudniki IKT in podjetji iz drugih panog pa lahko to znanje bolje uporabimo za varen digitalni razvoj in večjo konkurenčnost gospodarstva," je dejal Nenad Šutanovac, direktor Združenja za informatiko in telekomunikacije pri Gospodarski zbornici Slovenije.
Kaj se zgodi, ko kibernetski napadalec ne potrebuje več cele ekipe strokovnjakov, ampak lahko velik del dela prepusti umetni inteligenci? Ko sistemi sami iščejo ranljivosti, prilagajajo napade in sprejemajo naslednje korake? To ni več zgolj znanstvena fantastika. Razvoj umetne inteligence odpira povsem nova vprašanja o tem, kako bomo v prihodnje zagotavljali kibernetsko varnost. Na te spremembe in njihove možne posledice je opozoril Marko Grobelnik z Instituta Jožef Stefan.
Ob tem je opozoril, da ob razmišljanju o prihodnosti ne smemo spregledati tega, kar se dogaja že danes. "Kdo pa bi napadel naše podjetje? Saj nismo nikomur zanimivi." Takšno razmišljanje je lahko zelo drago.
UI ni zgolj orodje napadalcev
Resnični primeri kibernetskih napadov v Sloveniji, ki jih je predstavil Dalibor Vukovič iz Telekoma Slovenije, kažejo, kako hitro lahko pomanjkljivi varnostni ukrepi, neustrezni dostopi ali nepripravljena organizacija povzročijo resne posledice. Velikost podjetja sama po sebi ni zaščita pred napadom.
Napad se lahko začne tudi zunaj podjetja, pri njegovem IT-izvajalcu. V enem od predstavljenih primerov je kompromitirana mobilna naprava zaposlenega pri izvajalcu omogočila krajo prijavnih podatkov in dostop do naročnikovega okolja. Dogajanje je pokazalo pomen večfaktorskega preverjanja pristnosti, nadzora zunanjih dostopov in preverjanja varnostnih kopij. Obnova sistemov pa še ni pomenila konca incidenta, saj so ukradeni podatki ostali sredstvo za nadaljnje izsiljevanje.
Umetna inteligenca pa ni samo orodje napadalcev. Podjetja jo vse bolj vključujejo v vsakodnevno delo, pogosto hitreje, kot uspejo urediti pravila in nadzor nad njeno uporabo. Na vprašanja, ali sploh vemo, katere podatke zaposleni delijo z UI, kdo ima dostop do njih in kdo odgovarja za njene odločitve, pa je skušal odgovoriti Klemen Rizman iz podjetja CreaPlus.
"Ob kibernetskem napadu šteje predvsem, kako dobro smo nanj pripravljeni: ali varnostni ukrepi delujejo tudi v praksi, ali lahko obnovimo podatke iz varnostnih kopij in ali ekipa ve, kako ukrepati. Pri obravnavi napadov vidimo, da lahko prav te stvari odločajo o tem, kako hitro podjetje znova vzpostavi poslovanje. Resnične zgodbe iz Slovenije so zato dragocen opomnik, da je treba pripravljenost preveriti, še preden jo preizkusijo napadalci," je dodal Vukovič.
Tehnologija ni dovolj
Podjetja se ne soočajo samo z vprašanjem, kako napade preprečiti, ampak tudi, kako se nanje odzvati, omejiti škodo in čim prej obnoviti delovanje. Ob tem morajo izpolnjevati še vse zahtevnejše obveznosti poročanja.
Na razliko med zapisanimi postopki in dejansko pripravljenostjo je v uvodnem nagovoru opozorila Melita Šinkovec z Urada Republike Slovenije za informacijsko varnost. Načrt na papirju ob incidentu ne pomaga, če ga zaposleni ne poznajo in ga organizacija ni preizkusila. Pomembni so jasne odgovornosti, razumljivi postopki in vaje, s katerimi podjetje preveri, ali zna omejiti posledice napada in obnoviti ključne dejavnosti.
Nove evropske zahteve, predvsem CRA in NIS2, dodatno izpostavljajo odgovornost proizvajalcev digitalnih produktov in njihovih uporabnikov. Huawei je predstavil, kako kot proizvajalec pristopa k izpolnjevanju zahtev CRA, obravnavi ranljivosti in sodelovanju s strankami. "Da bi obvezno poročanje o ranljivostih prispevalo k dejanski operativni kibernetski odpornosti, morajo proizvajalci in zavezanci po direktivi NIS 2 vzpostaviti usklajene načine sodelovanja, ki delujejo v praksi. Organizacije spodbujamo, da že vnaprej povežejo komunikacijske kanale svojih odzivnih skupin CERT, vzpostavijo protokole za varno izmenjavo podatkov ter vadijo skupne postopke odzivanja, še preden pride do dejanskega vdora. Takšna skupna priprava zagotavlja, da je naš skupni odziv, ko začnejo teči predpisani roki za poročanje, usmerjen tako v ohranjanje delovanja omrežij in sistemov kot v izpolnjevanje predpisanih obveznosti," je pojasnil Vencel Cserháti, odgovoren za kibernetsko varnost in zasebnost pri Huaweiu za Madžarsko in Adriatic regijo.
Ali podjetja tem spremembam dejansko sledijo in kaj se je v zadnjem letu premaknilo v praksi, pa je bilo tudi osrednje vprašanje strokovnega panela. Umetna inteligenca namreč spreminja tako hitrost dela kot znanja, ki jih podjetja potrebujejo. Kako dostopne postajajo možnosti zlorabe, je pokazal Davor Žic iz podjetja IT Team. Med konferenco je pripravil in predvajal posnetek, na katerem je umetna inteligenca spregovorila z njegovim glasom. Znan glas tako sam po sebi še ni zagotovilo, da govorimo s pravo osebo – kar ima lahko resne posledice pri zahtevah za nujna nakazila ali spremembe bančnih podatkov.
Vprašanja iz občinstva so izpostavila stroške varnosti v manjših in srednjih podjetjih ter dokazovanje učinkov vlaganj. Kot ena od možnosti je bilo predstavljeno zunanje izvajanje varnostnih storitev, ki omogoča strokovno spremljanje in odzivanje tudi brez lastne specializirane ekipe. Podjetja, ki poslujejo v več državah, pa so opozorila na potrebo po bolj usklajenih zahtevah in manj administrativnega podvajanja.
Katere strokovnjake potrebujejo podjetja
Kibernetska varnost ni odvisna samo od tehnologije, temveč tudi od ljudi. Lucija Tomšič Zupan je opisala rezultate v Vzajemni, kjer zaposleni ob sumljivih sporočilih pogosteje poiščejo nasvet službe za informacijsko varnost in postavljajo več vprašanj. Namen usposabljanja in simulacij je učenje ter spreminjanje ravnanja, brez iskanja krivcev.
Podjetja pa se srečujejo še z drugim izzivom, navaja GZS: pogosto iščejo strokovnjake za informacijsko varnost, od katerih pričakujejo vse – od tehničnih in organizacijskih do pravnih znanj. Toda različni poklici zahtevajo različne kompetence.
Zato so v Sekciji za kibernetsko varnost (SeKV) pri GZS pripravili Katalog poklicev v informacijski varnosti, ki podjetjem in kadrovskim službam pomaga jasneje opredeliti delovna mesta, naloge in potrebna znanja. Namenjen je tudi boljšemu povezovanju potreb gospodarstva z izobraževalnim sistemom.
A strokovnjaki poudarjajo, da pomanjkanja strokovnjakov ne bomo rešili samo z novimi zaposlitvami. Pomembni so tudi usposabljanje obstoječih ekip, sodelovanje s kadrovsko stroko in predvsem več zanimanja mladih za te poklice.
