Sajber napad više nije pitanje da li će se dogoditi, već kada, a praksa pokazuje da svest kompanija o njegovim posledicama i dalje nije dovoljno visoka. Zato je ključno unapred zaštititi kritične delove poslovanja, jasno definisati odgovornosti i pripremiti planove za reakciju. Pri tome treba imati u vidu da sajber bezbednost nije samo IT tema, već ključno pitanje menadžmenta, koji u tom procesu mora aktivno učestvovati, razumeti rizike i donositi pravovremene odluke. Snažna i adaptivna tehnološka infrastruktura jeste temelj, ali bezbednost i poverenje podrazumevaju kontinuitet poslovanja, regulatornu usklađenost i adekvatno upravljanje rizikom. Imajući u vidu da apsolutna bezbednost ne može da se garantuje, stručnjaci poručuju da je za kompanije važno da budu spremne za sajber napad, ali i za „dan posle napada“ – kroz procenu, smanjenje i prenos rizika. Upravo takav pristup gradi otpornost i poverenje korisnika, partnera i tržišta.
Ovo je ukratko zaključak NIN Panela “Poverenje u digitalnom dobu: Od sigurne mreže do procene rizika”.
Učesnici panela bili su Uroš Draškić, FINPRO & Cyber Practice Leader za Srbiju u kompaniji Marsh, Igor Pinter, direktor kompanije PULSEC, Tiodor Jovović, specijalista za informacionu bezbednost i kontinuitet poslovanja u Udruženju banaka Srbije. Moderator panela bila je Beba Dragić. Prijatelj panela je kompanija Telekom Srbija.
NIN / Zoran Ilić
Uroš Draškić: Osiguranje predstavlja krajnji nivo sajber odbrane
Govoreći o tome šta osiguranje podrazumeva u praksi, i da li je ono zamena za adekvatnu podršku sajber bezbednosti jednoj kompaniji, Uroš Draškić objašnjava da se pokriće može posmatrati kroz tri ključne sekcije. Prva obuhvata troškove samog incidenta – odnosno utvrđivanje obima napada i dalji rad na njegovom otklanjanju. Tu spadaju troškovi angažovanja advokata i regulatora, PR troškovi, ukoliko je potrebno obavestiti javnost i očuvati reputaciju kompanije.
“Ono što je jako važno je da su pokriveni troškovi ukoliko je neophodno stupiti u pregovore sa napadačem, ukoliko postoje zahtevi za otkup. Tu spadaju pregovori sa njim i na kraju i isplata napadaču su pokriveni polisom”, ističe Draškić.
Druga sekcija je evntualni prekid poslovanja. Ako taj napad učini da ne ostvarujete profit koji ste ostvarivali zbog napada, osiguranje će vam nadoknaditi tu razliku. Takođe će nadoknaditi prekovremene radne sate za IT koji mora da radi duže, iznajmljivanje dodatne opreme i slično, objašnjava panelista. U treću sekcija spadaju zahtevi trećih lica. Ukoliko iz ugrožavanja privatnosti podataka kada dobijete neku tužbu, ukoliko od strane regulatora dobijete neku kaznu ili tužbu za nepostupanje sa regulativom, ti troškovi parničenja i sama naknada štete podležu nadležnosti osiguranja.
NIN / Zoran Ilić
Iako se time sveobuhvatno pokrivaju svi aspekti jednog napada, Draškić ukazuje da to ne može da zameni zaštitu interne ili eksterne zaštite jer i sa tom zaštitom može doći do curenja podataka a osiguranje treba da služi da taj ceo proces zaokruži da predstavlja krajnji nivo odbrane.
Panelista ističe da postoji širok spektar kontrola sajber bezbednosti koje se mogu uzeti u obzir prilikom ugovaranja osiguranja. Međutim, novitet koji je Marsh uspeo da uvede na nivou Evrope jeste razvoj proizvoda koji ne zahteva obimne upitnike o svim tim kontrolama, čime je ceo proces značajno pojednostavljen i skraćen.
“Mi sada sa par ključnih aspekata sajber kontrola možemo da dobijemo osiguravajuće pokriće i kompanijama ovo značajno olakšava što se pojednostavio ceo proces, što kompanijama značajno olakšava i pojednostavljuje ceo proces. Verujem da će ovakav pristup u budućnosti dodatno podstaći kompanije da unapređuju svoje sajber kontrole i aktivnije upravljaju sajber rizicima”, ističe panelista.
NIN / Zoran Ilić
Govoreći o tržištu sajber osiguranja u Srbiji, Draškić kaže da je teško reći da ono postoji u smislu da domaći osiguravači nude to pokriće, jer tu postoji samo jedan koji to nudi i to ne u nekom velikom obimu.
“Ono što mi kao posrednik u osiguranju omogućavamo kompanijama je prisustvo na tržištu reosiguranja, gde smo otvorili vrata Srbije inostranom tržištu, da se sve više evropski reosiguravači interesuju za pružanje pokrića u Srbiji kroz taj program reosiguranja”, kaže on.
Najveće zablude koje se mogu čuti među kompanjama kada je u pitanju sajber osiguranje, je kako kaže panelista, da li im je to zaista potrebno i da li to zaista postoji i funkcioniše, što se u kontekstu osiguranja može povezati sa skepsom oko isplate premije.
NIN / Zoran Ilić
Igor Pinter: Identitet prvo mora da se štiti
“Oduvek je bilo lakše hakovati čoveka nego mašinu”, kaže Igor Pinter, objašnjavajući da mašine imaju definisane procedure i manje prostora za propust, dok čovek ima emocije, strah, osećaj autoriteta i može doneti odluke koje se mogu zloupotrebiti. Zato je, kaže stručnjak važno kontinuirano raditi na edukaciji svih zaposlenih u kompaniji, kako bi prepoznali potencijalne pretnje i znali kako da na njih adekvatno reaguju.
Imajući u vidu da se veštačka inteligencija postala prisutna u svakoj industriji, Pinter kaže da je u kompaniji Pulsek koriste i za prepoznavanje sajber napada, i razvijaju domaće alate kako bi pomogli da analitičari što brže urade forenziku nekog alarma. To vreme je uz pomoć AI drastično smanjeno.
Kritična infrastruktura obuhvata sisteme čiji bi prekid rada, oštećenje ili uništenje mogli ozbiljno da ugroze bezbednost, zdravlje građana, ekonomiju i funkcionisanje društva. Zato je od izuzetne važnosti njihova zaštita, kojom se bavi kompanija Pulsek. Novi zakon dodatno podiže zahteve u oblasti sajber bezbednosti, i to ne samo za operatere kritične infrastrukture, već i za partnere koji održavaju njihove sisteme. To znači da će kompanije u ovom lancu morati da unaprede svoje bezbednosne standarde i usklade se sa novim zahtevima, posebno imajući u vidu da sajber napadi često dolaze upravo preko trećih lica.
NIN / Zoran Ilić
Statistika kaže da preko 50 odsto malih kompanija posle sajber napada se nikada ne oporavi. Zato Pulsek u svojoj ponudi nudi paket koji je finansijski prilagođen malim i srednjim kompanijama, uz 24-časovni nadzor koji omogućava pravovremeno otkrivanje i reakciju na potencijalne pretnje. Cilj je da kompanije imaju adekvatnu preventivu i zaštitu, bez potrebe za velikim ulaganjima u sopstvene bezbednosne timove.
Pinter objašnjava da sa razvojem klaud servisa VPN više nije neophodan za pristup sistemima sa udaljenih lokacija, zbog čega identitet postaje jedna od ključnih tačaka zaštite. Cilj napadača koji dođe do određenih informacija jeste da se domogne privilegija administratora, jer mu to omogućava pristup većem broju sistema i podataka, kao i mogućnost da napravi ozbiljniju štetu. Upravo zato zaštita identiteta i privilegovanih naloga predstavlja jedan od prioriteta u sajber bezbednosti, jer često može imati velike posledice.
Tiodor Jovović: Gde je novac tu je interes napadača
Na pitanje o sajber bezbednosti u bankarskom sektoru, panelista Jovović je istakao da banke praktično žive u budućnosti kada je reč o bezbednosti, jer tamo gde je novac, postoji i interes napadača. Upravo zbog toga banke i finansijske institucije među prvima uvode nove tehnologije i metodologije zaštite, ali i primenjuju stroge regulatorne zahteve. Njihova prednost je i u tome što, pored domaćih propisa, moraju da prate i globalna pravila kako bi učestvovale na međunarodnom finansijskom tržištu. Iako su zakoni i podzakonski akti u ovoj oblasti dobro postavljeni i primenljivi, stručnjak kaže da izazov i dalje predstavlja njihova kontrola i dosledna primena, posebno kada je reč o zaštiti podataka.
NIN / Zoran Ilić
“Kada bi ostatak privrede sledio standarde koji već postoje u finansijskom sektoru, to bi značajno doprinelo podizanju ukupnog nivoa sajber bezbednosti i svesti o njenom značaju”.
On ukazuje da nije dovoljno da samo banke primenjuju pravila bezbednosti, već da iste principe moramo primenjivati i sami. U virtuelnom svetu trebalo bi da se ponašamo kao u realnom – kao što štitimo svoju imovinu u svakodnevnom životu, tako moramo štititi i svoje podatke, naloge i digitalnu imovinu.
Govoreći o posledicama sajber napada, stručnjak iz UBS kaže da kompanije moraju da budu pripremljene tako da i nakon napada mogu da nastave poslovanje. U slučaju banaka je to veoma osetljivo zbog određenih procesa koji ne mogu da isprate dug prekid u radu.
NIN / Zoran Ilić
“U bankama postoji stroga podela nadležnosti i stroga podela odgovornosti. To je kao u životu. Ako nemamate odgovornost za nešto što ćete uraditi, najčešće se nećete pridržavati pravila. Kada znate i svesni ste posledica koje mogu da se dese, onda ćete i te kako voditi računa”, ukazuje Jovović, aludirajući na segment sajber bezbednosti, gde svaki zaposleni mora da razume svoju ulogu, rizike kojima je kompanija izložena i posledice neodgovornog ponašanja. Samo kada bezbednost postane odgovornost svih, moguće je izgraditi otpornost i poverenje.
