Prošla godina je stavila informacijsku sigurnost u fokus kao nikada prije

Iza nas je neobična godina. Godina obilježena pandemijom i potresima na zagrebačkom i sisačkom području gdje su organizacije trebale aktivirati svoje planove za kontinuitet poslovanja. To je svakako dobar test za upravljanje poslovanjem i time koliko je svaka organizacija spremna u kratkom vremenom odgovoriti na dva različita izazova. Sve su veći regulatorni i ugovorni zahtjevi za područje informacijske sigurnosti, a posljedice nepridržavanja sve su teže. O tome govore kazne i skupi oporavak od samog incidenta. Potvrda navedenog jest i prva nepravomoćno izrečena GDPR kazna u Hrvatskoj. Jednostavno, svi su prepoznali informaciju kao jedan od najvrjednijih resursa doba u kojem živimo, resurs kojeg treba adekvatno zaštiti”, stoji u uvodu godišnjeg izvještaja tvrtke Diverto o stanju informacijske sigurnosti u Hrvatskoj i susjedstvu. Navedeni izvještaj objavljen je za javnost potkraj travnja, a na sadržaju, preporukama i savjetima radili su stručnjaci za informacijsku sigurnost Vlatko Košturjak, Ivan Kalinić, Ivan Račić, Ivona Loparić, Bojan Alikavazović, Mario Blažević te Ines i Bože Šarić.

Što donosi Izvještaj?

Travanjski osvrt na stanje informacijske sigurnosti u Hrvatskoj za 2020. godinu nije prvi Divertov izvještaj takve vrste. Iz tvrtke je, naime, sredinom prošle godine u javnost izašao (polugodišnji) Izvještaj o stanju informacije sigurnosti u 2020., s obzirom da je prošlu godinu obilježio rad od kuće zbog pojave i širenja pandemije Covida. Migracija zaposlenika iz okružja ureda u vlastite domove donio je nove izazove u poslovanje tvrtki, institucija i službi, a dio izazova bilo je pitanje informacijske (ne)sigurnosti u uvjetime ‘nove normalnosti’. U tom momentu Diverto objavljuje prvi izvještaj s nizom statističkih podataka, savjeta, pregleda i upozorenja, uz zaključak kako se “iznošenjem računala izvan standardne okoline rada gubi kontrola događaja na krajnjim radnim stanicama, čime se posao nadzora informacijske sigurnosti iznimno otežava.” Što nam, dakle, donosi ovaj kompletan izvještaj za 2020.?

Osvrt i preporuke Diverto donosi kroz tri različite, ali međusobno povezane perspektive informacijske sigurnosti korištenjem top-down pristupa. Pregled donose iz upravljačke (governance), napadačke (offensive) i obrambene (defensive) perspektive, dok u sadržaju razlažu stanje u Hrvatskoj u svezi incidenata, phisinga, zlonamjernih kodova i distribuiranih napada uskraćivanjem usluge (DDoS). Osvrću se potom u Izvještaju na NIS direktive i izazove te daju preporuke kako podići razinu informacijske sigurnosti u poslovanju. Osim toga, Izvještaj stručnjaci iz Diverta temelje i na procjenama stanja informacijske sigurnosti u organizacijama javnog i privatnog sektora u RH, potom podacima prikupljenima iz aktivnosti svog Sigurnosnog operativnog centra (SOC), kao i na rezultatima provjere ranjivosti, penetracijskih testiranja i drugih tipova sigurnosnih testiranja, koje provodi Divertov napadački tim.

“Osim same informacije, treba zaštititi i prilazne puteve informaciji kroz implementaciju sigurnosti lanca opskrbe. Kroz incident u kojem je u središtu bio Solarwinds, pokazalo se kako napadači sve više koriste indirektne puteve kako bi došli do vrijednog cilja. Potvrda je to napadačke upornosti i ustrajnosti. Svakako bih izdvojio incidente koji su se dogodili kod velikih organizacija u hrvatskome digitalnom prostoru, a koje su same organizacije javno i priznale. Ovakvo izlaženje u javnost svakako treba pohvaliti jer incidenti su se događali i prije. No, priznavanje incidenata i komunikacija s javnosti i relevantnim tijelima su izostajali. Hrabar je to i dobar iskorak u pravom smjeru jer pomaže i u osvješćivanju javnosti kako se incidenti događaju i kako svatko može postati žrtvom”, naveo je tehnički direktor Diverta Vlatko Košturjak o Izvještaju koji je rezultat zajedničkog rada Diverta s korisnicima, te rezultat rada i svih osoba i timova unutar Diverta, jer “iza svakog pokazatelja i iznesene brojke stoji vrlo detaljna priča i danonoćni rad”.

A što kažu autori Izvještaja?

“Iako vrlo izazovna, prošla godina je stavila informacijsku sigurnost u fokus kao nikada prije. Regulatorne promjene poput ZOKS-a, potresi i pandemija, globalni računalni incidenti te ubrzana digitalizacija jasno su definirali poslovne rizike kao sigurnosne i pokazali potrebu za pozicioniranjem informacijske sigurnosti na razini poslovodstva”, rekao je o Izvještaju Ivan Kalinić, voditelj strateškog razvoja sigurnosti Diverta, dok je Ivan Račić, voditelj ofenzivnog tima zaključio da se “Red i Purple teaming vježbama te analizom izvornog koda aplikacija pronalaze one ranjivosti koje je teško otkriti zasebnim sigurnosnim testiranjima. Takva naprednija i sveobuhvatnija testiranja pokazala su se kao vrijedan korak u procesu podizanja organizacijske sigurnosti”.

Voditelj SOC-a Vladimir Ožura naveo je kako je “2020. godina donijela velik broj incidenata, što je potaklo organizacije da počnu više razmišljati o kontinuiranom nadzoru i o tome da se nije dovoljno osloniti samo na prevenciju. Fokus treba biti i na detekciji incidenta u ranim fazama”. Bojan Alikavazović je naveo da je “zlonamjerni kod i dalje uspješan alat proboja, unatoč tome što sve velike organizacije posjeduju napredne sustave prevencije”, dok je Mario Blažević istaknuo: “Sastavni dio upravljanja kibernetičkom sigurnošću ključnih usluga je sposobnost operatora da pravovremeno prepoznaju incident koji može imati utjecaja na pružanje ključne usluge, sposobnost ispravne reakcije na incident kao i sposobnost oporavka od posljedica incidenta, uz čim manje posljedice po ključne usluge za koje su proglašeni operatorima”. Uz tehničke mjere, istaknula je Ivona Loparić u Izvještaju, najefikasnija mjera obrane od phishing napada je kontinuirano provođenje edukacija zaposlenika. Dodajmo na kraju i preporuke Divertovaca na kraju godišnjaka, a to su digitalizacija, kontinuitet poslovanja, lanac opskrbe i implementacija alata, a preporuke se odnose na financijski, energetski sektor i javni sektor, proizvodnju, start-up i maloprodaju.

Dražen Najman