Druga regionalna Cyber Security konferencija održaće se u petak 17. maja 2019. godine, u CentreVille Hotel & Experiences u Podgorici, pod pokroviteljstvom Ministarstva javne uprave Crne Gore, a u koorganizaciji Vision Event-a i NVO Secure.
Cilj pomenute konferencije je da pruži uvid u uspostavljanje, održavanje i unapređenje informacione bezbjednosti, zaštite od hibridnih prijetnji na nacionalnom nivou, kao i zaštite kritične infrastrukture u kompanijama i institucijama, kroz informisanje i edukaciju o načinima prevencije, otkrivanja, odbrane, kao i saniranja posljedica od sajber napada, a biće prisutan veliki broj učesnika iz Crne Gore, regiona i Evrope.
U susret Cyber Security konferenciji razgovarali smo s jednim od govornika, direktorom za razvoj poslovanja i ekspertom za informacionu bezbjednost kompanije Sky Express, Tiodorom Jovovićem, čija firma uspješno sarađuje s vodećim regionalnim preduzećima u raznim oblastima poslovanja i državnim ustanovama u Srbiji.
Jovović je za naš portal pored ostalog komentarisao postoji li stoprocentna bezbjednost na internetu, kako se zaštititi od sajber napada i kriminala kao i koji je to najčešći vid narušavanja sajber bezbjednosti u današnje vrijeme... Govorio je i o aferi koja je uzdrmala Fejsbuk, a tiče se curenja ličnih podataka oko 50 miliona korisnika u slučaju Kembridž Analitika, kao i o odluci Švedske koja je savjetovala građanima da u kućama čuvaju dio gotovine, u slučaju da se dogode sajber napadi na nacionalne banke...
ANALITIKA: Informaciona bezbjednost predstavlja četvrti stub nacionalne bezbjednosti (pored vojne, diplomatske i ekonomske) - stoga, država je dužna da štiti svoj sajber prostor, kao što brani i svoju teritoriju... Što je po vama najveća prijetnja sajber bezbjednosti danas?
JOVOVIĆ: Nedostatak obučenog kadra, neinformisanost i kompleksnost. Upravo tim redosljedom. Nedostatak obučenog kadra je globalni problem svijeta informacione bezbjednosti i predstavlja inherentan problem, problem koji nije moguće, niti će biti moguće riješiti tradicionalnim metodama - imajući u vidu brzinu razvoja i porast broja prijetnji, jasno je da klasični edukativni pristup ne može dati rješenje ovog problema.
Neinformisanost građana je, s druge strane, problem koji je moguće riješiti definisanjem programa podizanja svijesti o informacionoj bezbjednosti i privatnosti podataka na nacionalnom nivou i primjenom smjernica takvog programa u jednom kontinuiranom procesu.
Kompleksnost - savremeni informacioni sistemi su evoluirali iz modela izolovanih „ostrva“ u jedan međusobno višestruko povezan ekosistem, gdje nije moguće definisati jasne granice sopstvenog informacionog sistema, niti ga obezbijediti isključivo primjenom tradicionalnih metoda - poput antivirusnih i firewall rješenja - već moramo za svaki informacioni sistem kreirati unikatan i adekvatan sistem mjera bezbjednosti.
Ne postoji „one size fits all“ ili „silver bullet“ rješenje za ovaj problem.
ANALITIKA: Kakva su vaša iskustva u Crnoj Gori i kojim ste se konkretno problemima bavili ovdje, kada je u pitanju sajber bezbjednost?
JOVOVIĆ: U ovom trenutku, limitirana. Lično iskustvo poslovanja u Crnoj Gori je više vezano za informacione tehnologije u globalu, mada to nikako ne isključuje i određene aspekte informacione bezbjednosti. Centralni problem s kojim sam se susrijetao u radu se ne razlikuje od globalnih, niti regionalnih trendova i oličava se u želji napadača za sticanjem lične koristi. S druge strane, imali smo tu (ne)sreću da nijesmo bili pretjerano interesantni kao cilj nation-state napada, ali svi aktuelni podaci govore u prilog tome da ćemo sve više vremena i napora u bliskoj budućnosti morati da posvetimo toj tematici.
ANALITIKA: Da li ste u okviru vaše kompanije vršili monitoring situacije u nekoj od ovdašnjih firmi, banaka ili preduzeća koje poseduju onlajn platformu i ako jeste koje su to slabe tačke u obezbjeđivanju sigurnosti podataka, i uopšteno, koje ste eventualno zapazili?
JOVOVIĆ: Bilo bi neodgovorno govoriti o specifičnim slabim tačkama koje smo uočili u poslovanju naših korisnika, ali ukoliko govorimo o segmentima poslovanja uopšteno, slobodan sam da iznesem da je recimo, u slučaju finansijskih ustanova, to najčešće problem sa javno dostupnim servisima za obavljanje transakcija (online platforme), mada nikako ne smijemo zanemariti zlonamjerne aktivnosti potekle iz internog okruženja, od strane zaposlenih. Ne bih želio da budem pogrešno shvaćen, ne vidim zaposlene u banci kao unutrašnu prijetnju, ali je neophodno da i oni budu svrstani u kategoriju prijetnji.
ANALITIKA: S kojim izazovima ste se susrijetali do sada na polju zaštite od sajber napada u okviru vaše dugogodišnje karijere?
JOVOVIĆ: Teško je nabrojati sve izazove, ali je svakako najveći izazov „ljudski faktor“. Da budem precizan, neophodno je postaviti pitanje „cui bono“ - ko ima korist od narušavanja bezbjednosti, i u svakom slučaju će odgovor na to pitanje biti - čovjek.
U nekim slučajevima, kada uspostavljate ili unapređujete sisteme bezbjednosti, to je instinktivan otpor promjenama; u slučajevima uvođenja mjera za zaštitu javno dostupnih servisa, to je konstantna potreba za razumijevanjem razvoja metoda napada i pokušaj poistovjećivanja sa napadačem; ali koji god primjer da uzmemo, po mom mišljenju, ljudski faktor predstavlja, i predstavljaće najveći izazov.
ANALITIKA: Koji je to najčešći vid narušavanja sajber bezbjednosti u današnje vrijeme?
JOVOVIĆ: Svaka oblast za sobom povlači specifičan skup napada, ali, ukoliko pričamo o globalnim trendovima, evidentan je porast broja prijetnji po kritičnu infrastrukturu, dok sa strane krajnjih korisnika, najveće posljedice ostavljaju napadi ransomware-a (vrsta zlonamjernog softvera (naziva se još i malware) koja korisniku blokira pristup računaru). U tom pogledu, veoma je bitno uočiti transformaciju uzroka i ciljeva napada - od nekadašnje želje za dokazivanjem, u slučaju napada na računare krajnjih korisnika, uzrok je pohlepa, a cilj monetarni benefit, dok je na strani tzv. enterprise okruženja akcenat sa proste krađe intelektualne svojine i podmetanja lažnih faktura, interes pomjeren na preuzimanje i posljedično, narušavanje integriteta i funkcionalnosti sistema nadzora i kontrole nad kritičnom infrastrukturom, poput infrastrukturnih sistema za proizvodnju i prenos električne energije, telekomunikacije i slično.
ANALITIKA: Nerijetko se dešavaju slučajevi krađe identiteta, kao i krađe profila na društvenim mrežama... Koje su vaše preporuke za sprečavanje takvih pojava?
JOVOVIĆ: Korišćenje društvenih mreža u najmanjoj mogućoj mjeri, primjena savjeta za bezbjedno korišćenje društvenih mreža - primarno, preporuke u vezi zaštite lozinki i u vezi dijeljenja ličnih podataka. Posljedično, korišćenje tehnoloških mjera - poput rješenja za zaštitu uređaja s kojeg se obavlja pristup internetu - u vidu savremenih alata poput Avast-a, Carbon Black Defense-a i slično.
ANALITIKA: Svjedočili smo aferi koja je uzdrmala Fejsbuk, a tiče se curenja ličnih podataka oko 50 miliona korisnika u slučaju Kembridž Analitika, u svrhu prosljeđivanja kompanijama u različite svrhe, radi manipulacije... Kako spriječiti ovakve situacije, odnosno, što su preporuke za zaštitu podataka na društvenim mrežama i kako ograničiti pristup ličnim podacima?
JOVOVIĆ: Da bismo bili u potpunosti precizni, primarni cilj prikupljanja i obrade podataka svakako nije bila manipulacija, međutim, za takvo djelovanje je otvoren prostor, koji su kompanije poput Cambridge Analytica-e iskoristile.
Usvajanje zakonskih okvira na nivou EU, poput GDPR-a, odnosno lokalnih zakona o zaštiti podataka o ličnosti, međunarodni zakonodavni organi su pokazali da su svjesni potrebe za regulisanjem tržišta podataka, i to u oba smjera - i sa stanovišta građana, sprečavajući mogućnost prikupljanja ličnih podataka za koje nije moguće opravdati svrhu prikupljanja, i sa stanovišta obrađivača koji već sada moraju opravdati kako prikupljanje, tako i svrhu obrade podataka. Time imamo odgovor na, da tako kažemo, masovno i ciljano prikupljanje podataka.
S druge strane, svaki pojedinac mora biti svjestan da bilo koji podatak koji ostavi na bilo kojem dijelu javne internet infrastrukture - postaje i ostaje javan.
U tom pogledu, neophodno je raditi na razvijanju kulture upotrebe interneta - prvo pravilo je da ne dijelite više informacija o sebi u digitalnom svijetu, nego što biste ih podijelili u razgovoru sa bilo kim u realnom svijetu. Razgraničenje postoji i građani moraju biti svjesni toga da onog trenutka kada ustupe informacije o sebi internet portalima, samim tim prihvataju i one uslove navedene u uslovima korišćenja tih portala.
ANALITIKA: Prije nekoliko dana Švedska je savjetovala svoje građane da u kući čuvaju dio gotovine, u slučaju da se dogode sajber napadi na nacionalne banke... Kako to komentarišete?
JOVOVIĆ: Zaista ste izabrali jedan izuzetan primjer - država koja je nesumnjivo najviše odmakla u digitalizaciji novčanih tokova je posegnula za jednom neuobičajenom preporukom - savjetovala je svoje građane da posegnu za krajnje oportunom i tradicionalnom metodom obezbjeđenja. Na tom primjeru možemo vidjeti da, kako napreduje razvoj ofanzivnih, tako stičemo nova iskustva i primjenjujemo ih u cilju efiksnijih defanzivnih mjera. Ovaj primjer predstavlja hibridan odgovor na prijetnju, odgovor koji obuhvata ne samo visokotehnološke, već i tradicionalne odbrambene aspekte.
ANALITIKA: Poseban segment zauzimaju hakerski napadi na sajtove državnih institucija, kao i na onlajn portale... Da li ste imali iskustava s tom problematikom? Kako se boriti protiv toga?
JOVOVIĆ: Jedan od najznačajnijih problema s kojim se susrećemo na svjetskom nivou u oblasti informacione bezbjednosti je - nedostatak adekvatno obučenog kadra. Na sreću, taj problem je prepoznat i postoje rješenja koja daju potpun odgovor, naročito u sferi odbrane od eksternih prijetnji, od kojih je svakako najčešća napad na javno dostupne portale. Odgovor koji mi preporučujemo je korišćenje MSSP (managed security service provider) usluge Web Application Firewall, koja se na primjeru Kancelarije za informacione tehnologije Vlade Republike Srbije pokazala kao izuzetno uspješna. Od kada je kompanija Sky Express, kod njih implementirala WAF platformu Open systems, nije se desio nijedan uspješan napad na portale koje to rješenje štiti.
ANALITIKA: Što je sa mobilnim telefonima i krađom podataka, fotografija i video zapisa uskladištenih u uređajima korisnika putem zlonamjernih aplikacija - postoji li neka sigurna zaštita koja bi spriječila da dođe do toga?
JOVOVIĆ: Svako ko vam kaže da postoji stoprocentna sigurnost, nikad se nije praktično bavio bezbjednošću. Najefikasnija zaštita jeste - poboljšanje opšte informisanosti korisnika o prijetnjama, mogućim posljedicama, i mjerama kojih se neophodno pridržavati da bi minimizovali mogućnost ostvarenja prijetnji.
Pronalaženje najboljeg odnosa upotrebljivosti i bezbjednosti je najteži zadatak koji se postavlja ispred svakog korisnika savremenih tehnologija - nije pretjerano teško prilagoditi pametni uređaj, na taj način da spriječimo instalaciju aplikacija, ili da ograničimo mogućnosti svjesne ili nesvjesne zloupotrebe mobilnog uređaja, ali bi u praksi takav uređaj imao izuzetno ograničenu funkcionalnost.
U korporativnim sistemima bezbjednosti, ovaj problem je donekle riješen time što se mogućnosti ograničavaju u skladu s pozicijom na kojoj se korisnik nalazi, stepenom klasifikacije informacija kojima ima pristup i posljedično, mogućnostima uticaja na bezbjednost poslovanja.
ANALITIKA: U svijetu su prepoznate razne vrste sajber kriminala - kako građani mogu da se zaštite i sačuvaju svoju privatnost, kreditne kartice, autorska prava i sl?
JOVOVIĆ: Podizanjem opšte kulture bezbjednosti i većom informisanošću o mogućnostima, kako zloupotrebe, tako i sprečavanja zloupotrebe ličnih podataka. To je jedan proces koji je neophodno kontinuirano održavati i unapređivati. Takođe, država je ta koja ima ne samo mogućnost, već i obavezu da preduzima sve što je u njenoj moći, u cilju sprečavanja zloupotrebe ličnih podataka svojih građana - adekvatnom zakonskom regulativom i odgovarajućim kampanjama podizanja svijesti o bezbjednosti i privatnosti.
ANALITIKA: Možete li ocijeniti na kom je nivou sajber bezbjednost u Crnoj Gori i što bi bile vaše preporuke za unapređenje bezbjednosne situacije u tom domenu?
JOVOVIĆ: Prema meni dostupnim informacijama, Crna Gora je u proteklom vremenu preduzimala mjere na uspostavljanju nacionalnog sistema informacione bezbjednosti, i definisanju smjernica razvoja za budući period - ali, kako broj i kompleksnost prijetnji eksponencijalno raste, tako će biti neophodno ulagati sve veće napore na održavanju koraka sa razvojem prijetnji - i predviđati i preduprijeđivati buduće napade koji mogu uzrokovati narušavanje sistema bezbjednosti kritične infrastrukture i sistema nacionalne bezbjednosti.
Sprovođenje navedenog u praksi će biti nemoguće bez obučenog kadra, i bez razmjene informacija sa regionalnim i globalnim, kako centrima za odgovor na prijetnje (CIRT), tako i kompanijama koje se bave razvojem tehnoloških alata namijenjenih podizanju nivoa informacione bezbjednosti.
