Ivana Butorac: 'Cyber terorizam je realnost, zaštitite se!'

Nije više tajna da su svakodnevni kibernetički napadi realnost te da su neke telekomunikacijske, energetske i trgovačke kompanije, banke i osiguravajuća društva, kao i razne tvrtke, državne firme, komunalna društva, obrti, gradovi i općine na stalnom udaru "cyber terorista" koji iz tko zna kojeg kutka svijeta vrebaju priliku i ulaze u informatičke sustave radeći štetu, baveći se krađom podataka i paraliziranjem poslovanja, a zauzvrat, da se maknu i oslobode zauzeti teritorij, ucjenjuju, tražeći otkupninu u novcu, bitcoinima... Nedavno je meta bio i Istarski vodovod koji je potvrdio hakerski napad na računalne servere tvrtke. U današnjem svijetu, pa tako i u našem neposrednom okruženju, nema tko nije izložen i potencijalna žrtva. 

“Što efikasnija obrana od sveprisutnog cyberkriminala je prioritet, a kibernetička sigurnost više nije izazov i problematika samo IT svijeta, već je to i nezaobilazna stavka sigurnog modernog društva. Bit ćemo onoliko sigurni koliko se za to sami pobrinemo. Zato je ulaganje u sigurnost, ulaganje u stabilnost, povjerenje ljudi u proizvode i usluge te poslovnu kompetitivnost na tržištu”, kaže Ivana Butorac, Puljanka koja je već godinama, skoro pa desetljeće, radi u Briselu. Ivana je EU Cyber Compliance manager u Sopra Steria Belgija, s više od sedam godina iskustva u IT industriji. Karijeru je započela u Europskom parlamentu kao vježbenica i ubrzo je razvila veliki interes za IT – što ju je dovelo do netipične karijere predviđene za odvjetnike, a to je prevencija  kibernetičkih i hakerskih napada. Uz nastupe na nizu stručnih konferencija širom Europe i predavanja na fakultetima mlada Puljanka je, među ostalim, kao osnivačica Law&Tech zajednice u Briselu organizirala desetak meet-upova za mlade pravnike i profesionalce u IT domeni uz predavanja na temu prava, tehnologije, zaštite, cyber, umjetne inteligencije i slično, a autorica je i bloga koji se bavi temama iz prava u oblasti kibernetičke sigurnosti.

Ovaj četvrtak Ivana Butorac bit će key note speaker na predstavljanju cobranding partnerstva zagrebačke tvrtke Softech development i Bit Defendera, svjetski poznatog brenda u sektoru cybersecurityja.  

Digitalna obrana

U objašnjavaju kibernetičkih napada i sustava obrane i zaštite, Butorac je plastična, doslovna, ne komplicira nego jednostavnim aluzijama dočarava opasnosti.

“Zamislite to ovako – jasno je da ne izlazimo iz stana ili auta bez zaključavanja vrata. Postupak zaključavanja vrata u fizičkom smislu, s ciljem da sačuvamo vlastite vrijednosti, jednak je primjeni sigurnosnih mjera u digitalnom svijetu. Poanta je da je zanemarivanje kibernetičke sigurnosti kao da ostavite svoja kućna vrata ne samo otključana već potpuno otvorena! Više nije pitanje hoće li netko nepoželjan ući, već kada će ući i kakvu će vam štetu napraviti”, kaže Ivana Butorac.

Pojašnjava da porast cyber napada nije samo trend; to je jasan signal da je naša digitalna obrana na ispitu više nego ikad prije. Kako tehnologija napreduje, tako se razvijaju i metode cyber kriminalaca. Problem je, kaže, “da li vaša organizacija pristupa tehnološkom napretku sa sigurnosne strane na identičan način ili ne, odnosno, da li obraćate pozornost da vaše sigurnosne mjere i cyber znanje/vještine mogu parirati evoluiranim metodama cyber kriminalaca.”

Otvoreno će reći da će se “svi oni koji su zanemarili taj dio teško moći izmaknuti cyber napadima, a rezultati, posljedice skupo će ih koštati.”

Globalno, prosječni trošak cyber napada porastao je na 4,45 milijuna dolara. Prema IBM-ovom reportu iz 2023., najskuplja vrsta kompromitiranja podataka odnosila se na kompromitirane osobne podatke korisnika usluga i zaposlenika. To pokazuje kako organizacije nisu obratile pozornost na jačanje interne cyber zaštite niti zaštite svojih kupaca.

Cyber prijetnje

“Rezultat je, naravno, bio enorman financijski gubitak praćen negativnom reputacijom, kao i gubitak povjerenja korisnika. Dakle, vrijeme je za promjenu načina razmišljanja: cyber sigurnost više nije izazov i problematika samo i isključivo IT svijeta.”

Ivanu Butorac pitali smo što zašto dolazi do cyber napada i što traže cyber kriminalci kada probiju sustave.

“Postoji razlika, kada je riječ o cyber prijetnjama. Razlikujemo interne prijetnje i vanjske prijetnje. Samom tom razlikom, i razlozi i namjere koje dovode do problema, kao što je, na primjer, curenje podataka, različite su. Razlozi ogorčenog bivšeg zaposlenika, koji smatra da nije korektno tretiran od strane vlastite firme, mogu biti u tome da želi ugroziti reputaciju firme ili bivšeg nadređenog kolege, a možda ne želi ni da firma nastavi stjecati poslovne uspjehe. Razlog cyber prijetnje poslovnog konkurenta, jer ima i takvih situacija, može biti da jednostavno želi dovesti u pitanje kredibilitet firme ili njenog proizvoda u očima kupaca, s ciljem da za svoje poslovne interese ta osoba stekne prednost. No moramo shvatiti da se cyber sigurnosne povrede mogu dogoditi i nenamjerno, dakle slučajno, a sve zbog ignoriranja problema cyber prijetnje. Naprimjer, ljudi koji nisu cyber educirani, najlakše će kliknuti na phishing mailove. Oni su najlakša meta. Phishing  i ukradeni podaci za log-in su najčešći vektor napada. Povrede koje se dogode tako su se pokazale izrazito skupima za saniranje. Hakeri se, pak, vode vlastitim biznis modelom. moramo shvatiti da su podaci, jednostavno, novac za hakere, podaci su za njih (naplativa) vrijednost. Što više podataka, to više novca. Njihova je logika jednostavna: ako imamo više napada, povećavamo razinu potencijalnih žrtvi i idemo po više novca. Važno je za razumijevanje situacije to da se hakeri ulogiraju. It’s that simple. I kada se ulogiraju, onda se šuljaju po našem IT prostoru i kradu podatke. Krađa u digitalnom svijetu ipak je drugačija od krađe u fizičkom svijetu. U digitalnom svijetu – podaci se kopiraju, no mogu ostati na vašem IT prostoru. Kopirani su i ukradeni, čega niste svjesni. Samim time vaša je firma već ugrožena, a lanac se širi na vaše klijente, zaposlenike, poslovne dokumente, itd.

Dobar backup

Naravno, situacija može biti još gora – kada uzmu podatke, hakeri jednostavno obrišu čitavu vašu bazu podataka! Ako nemate dobar backup, koji je na drugoj lokaciji od glavne data baze, izgubili ste podatke, a hakeri time dobivaju još više na vlastitoj moći. Stvar je u tome da firme prekasno shvate da imaju neželjenog posjetitelja koji im se šeta po IT environmentu. Vrijeme detekcije zna biti jako dugo, prvenstveno jer firme nemaju uvedene dobre sigurnosne mjere, nisu investirale u sigurnost, imaju male timove koji teško mogu na dnevnoj bazi sve odraditi. Ili nekad uopće nemaju adekvatan team zbog mišljenja da se njima napad i proboj neće dogoditi. »

Mete cyber napada u Hrvatskoj su svi; od pojedinaca i običnih ljudi, do moćnih kompanija. Ivana Butorac kaže da su velike industrije, kao što je farmaceutska, ili recimo bankarstvo, apsolutno primamljiva područja za hakere upravo zbog vrijednosti podataka koje kompanije iz takvih sektora posjeduju. Navodi kao je prije otprilike 2 mjeseca cijeli rumunjski zdravstveni sustav bio metom hakerskih napada i to je bila vrlo opasna situacija.

“Uzmimo za primjer zdravstveni sektor. Situaciju moramo gledati ovako: zdravstveni dokumenti i bilo koji drugi dokumenti koji posjeduju podatke o bolesniku, zdravlju, bolestima – dakle zdravstveni podaci – krucijalni su za taj sektor i njegovo funkcioniranje na, prije svega, siguran, pravilan, brz i efikasan način, a u svrhu boljitka pacijenta, ali i diskrecije oko njegovog zdravstvenog stanja. Na bazi podataka donose se odluke koje nekad znače život ili smrt.

Crno tržište

Na strani zdravstvenih profesionalaca je velika odgovornost  i to je faktor koji hakeri uzimaju u obzir. Takvi podaci iz sustava imaju enormnu (financijsku) vrijednost i lako se prodaju na crnom tržištu. S druge strane, medicinski uređaji ispunjavaju određene svrhe - poput praćenja otkucaja srca ili izdavanja lijekova. Sigurnost nije primarna briga u dizajnu takvih proizvoda. Iako sami uređaji možda ne pohranjuju podatke o pacijentu, napadači mogu iskoristiti uređaje za pokretanje napada na server koji sadrži vrijedne informacije. U najgorem slučaju, hakeri mogu potpuno preuzeti medicinski uređaj, sprječavajući zdravstvene organizacije da pacijentima pruže neophodno liječenje koje spašava život.”

Mnogi pretpostavljaju, zbog nepoznavanja materije i posljedičnog neulaganja u cyber zaštitu, da je, i u većim kompanijama, dovoljan jedan ili dva informatičara koji će držati sustav sigurnim, što je definitivno i očito velika, opasna zabluda.

"I kobna. Jedna lasta ne čini proljeće, pa je naivno misliti da jedan informatičar u većoj firmi, agenciji ili instituciji može puno učiniti.

Postoje različite vrste IT stručnjaka i potrebno je osvijestiti poslovni svijet da samo zato što je netko informatičar, ne znači da osoba ima znanje i vještine da doprinese sigurnosnoj zaštiti firme. U svijetu cyber sigurnosti postoje profesionalci koji imaju znanje i vještine ovisno o vrsti posla koju rade – blue team (obrambeni team), red team (napadački team), purple team (mix prethodna 2 teama). To su profesionalci koji uče razne metode za obranu i napade, uče nove vrste prijetnji, rade monitoring itd. Cybersecurity ide i dalje od samo jednog informatičara – a to su osobe sa security znanjem, security arhitekti, analitičari rizika, ljudi koji se bave analizom, ocjenom, implementacijom sigurnosnih mjera, definiraju što je područje prevencije, itd. Naravno, imati veliki tim u malim firmama je zaista (nepotreban) izazov – teško da se mogu priuštiti svi ovi profesionalci.

Cyber tim

Cilj je da se nađe security stručnjak, osoba koja može pomoći s uspostavom sigurnosnih mjera, koja pomaže u donošenju odluka kada je riječ o sistemima, koja će obavještavati o situaciji i stanju. Još jedna stvar koja se mora shvatiti – čak i da imate odličan cyber tim, moguće je da i dalje imate problem u firmi. Zašto? Da li to znači da ste bez veze zaposlili tim koji vas zapravo treba zaštititi? Ne, krivo. Stvar je u tome da je čovjek i dalje najlakša meta i glavni krivac. Ako vlasnici firme, CEOs, direktori, zaposlenici, ne shvate da je cyber sigurnost svačiji posao, da svi trebaju imati edukaciju o cyber prijetnjama – onda je čovjek koji se toga ne pridržava najveći rizik. Zašto? Pa jer će baš jedna takva osoba neoprezno kliknuti na phishing email “jer joj se email činio OK”, i to je sve što je potrebno da nastane potencijalno jako skup problem.”

Moglo bi se reći da je bitna zaštita od cyber kriminala korištenje usluga, kroz razne pakete, velikih specijaliziranih kompanija.

“Sigurno da je to iznimno važno, kao što je najsigurnija zaštita imati, zdrav security mindset i shvatiti da je ulaganje u sigurnost vaše firme ulaganje u vaš posao, rast, povjerenje i stabilnost. Kada postoji zdrav sigurnosni mindset u firmi, tada ta firma želi poduzeti korake koji doprinose njenom napretku. A ti koraci su jednostavni: prvo, ulaganje u obrazovanje zaposlenika kroz godišnje treninge o sigurnosti; drugo, zapošljavanje stručnjaka koji brinu o sigurnosti vaše firme, te postojanje risk-based pristupa; treće, primjena tehničkih i organizacijskih mjera na razini firme te redovit follow up; četvrto, korištenje dobrih alata i usluga koje doprinose sigurnosti: npr. MFA, antivirus scan, threat detectors, itd, što god doprinosi “security zdravlju” vaše firme i vaših klijenata. U svakom slučaju, prijetnje postoje, i dalje će postojati, i postajat će sve sofisticiranije i bolje modelirane. Hakeri napreduju i traže nove načine, vrijeme je da i mi postanemo jači u ovoj domeni i da budemo u korak s razvojem situacije". (Istarski.hr)