TFL Vsebine / TFLGlasnik

Pomen kibernetske varnosti postaja čedalje pomembnejši v različnih sektorjih – od velikih korporacij in finančne industrije do malih podjetij in vladnih institucij. Z naraščajočo digitalizacijo in povečevanjem količine občutljivih podatkov, ki se prenašajo in shranjujejo, je potreba po učinkovitih kibernetskih varnostnih ukrepih vse bolj izrazita. Kljub naraščajočemu zanimanju in povpraševanju pa je na trgu še vedno precejšnja zmeda glede pravilnih pristopov in rešitev. Podjetja in organizacije se pogosto spopadajo z izzivi pri izbiri ustreznih tehnologij, izvedbi varnostnih strategij in usklajevanju z zakonodajnimi zahtevami. V tem prispevku želim predstaviti pomen in normativni okvir kibernetske varnosti, najpomembnejše vidike in trende, ki jih je treba upoštevati pri ravnanju s podatki, ter pravne posledice, če pride do kibernetskega napada.

Po poročilu Agencije Evropske unije za kibernetsko varnost (ENISA) za leto 2023 se je število kibernetskih napadov povečalo za 38 odstotkov v primerjavi z letom poprej, pri čemer so bila najranljivejša mala in srednje velika podjetja ter vladne institucije.[1] Vsako leto se število in kompleksnost kibernetskih napadov povečujeta, zato moramo biti vsi, ki delujemo v digitalnem prostoru, bolj ozaveščeni in pozorni na vprašanja varnega prenosa in shranjevanja podatkov. Kibernetski kriminalci in njihove goljufive sheme postajajo vse bolj prefinjeni.

Ker zakonodaja pogosto zaostaja za tehnološkim napredkom, je dokazovanje teh dejanj lahko zelo zahtevno, kar otežuje postopek pridobivanja odškodnin za škodo, povzročeno s takimi napadi.

Pomen sodobnih pristopov za obvladovanje kibernetskih tveganj, kot je koncept »ničelnega zaupanja«, postaja čedalje očitnejši. Ta pristop temelji na predpostavki, da nihče in nič znotraj ali zunaj omrežja ni zaupanja vredno, kar zahteva stalen nadzor, preverjanje identitete in avtentikacijo uporabnikov ter naprav.[2] Uvajanje ničelnega zaupanja lahko bistveno pripomore k zmanjšanju ranljivosti sistemov in zaščiti pred čedalje bolj sofisticiranimi kibernetskimi grožnjami. Tako lahko podjetja in institucije izboljšajo svojo pripravljenost na kibernetske napade ter zmanjšajo tveganje za izgubo podatkov in finančno škodo.[3]

Kibernetska varnost zahteva celovit pristop in jasno strategijo. Vsak segment IT-infrastrukture podjetja ali katerekoli druge organizacije[4] mora biti premišljeno zasnovan in nastavljen v skladu z varnostnimi protokoli, vključno z mobilnimi napravami, ki se uporabljajo za osebne in delovne naloge. Pomembno je povečati ozaveščenost zaposlenih, razviti jasne politike in odzivne protokole za incidente. Za učinkovito zaščito podatkov in podjetja mora kibernetska strategija vključevati:

• povečanje ozaveščenosti zaposlenih o sodobnih grožnjah: vsako podjetje mora začeti pri svojih zaposlenih. Usposobite zaposlene v metodah za boj proti napadom, ki jih vodi umetna inteligenca, kot sta phishing in socialni inženiring, da jih pripravite na prihodnje grožnje. Priporočeni programi so denimo KnowBe4 in Cofense, SANS Security Awareness;
• sisteme zaščite, ki jih poganja umetna inteligenca: uporabite umetno inteligenco za zaznavanje napadov, ki jih poganja umetna inteligenca, in zagotovite delovanje aplikacij, ki analizirajo omrežno dejavnost in promet. Priporočeni programi so denimo Darktrace, Vectra in Microsoft Defender for Endpoint;
• zaščito pred izsiljevalsko programsko opremo: uvedite celovit pristop, vključno z rednimi varnostnimi kopijami podatkov, segmentacijo omrežja in orodji za zaznavanje in preprečevanje izsiljevalske programske opreme. Priporočene rešitve so denimo Bitdefender GravityZone, Sophos Intercept X in Veeam Backup & Replication;
• zaščito kritične infrastrukture: vključite sisteme ICS, SCADA in druge podobne sisteme ter funkcije izolacije. Uporabite aplikacije IDS/IPS in prakse stalnega spremljanja. Priporočene rešitve so denimo Palo Alto Networks, Fortinet in Siemens SINEC INS;
• izboljšanje varnosti v oblaku: uporabite smernice za izboljšanje orodij, osredotočenih na spremljanje in upravljanje v oblaku. Vključite revizijo konfiguracij in nadzor dostopa. Priporočene rešitve so denimo Microsoft Azure Security Center, AWS Security Hub in Google Cloud Security Command Center;
• arhitekturo ničelnega zaupanja: zagotovite zaščito pred različnimi grožnjami z izvajanjem načela »ničelnega zaupanja«, kjer je vsaka zahteva za dostop preverjena. Priporočene rešitve so denimo Okta, Zscaler in Cisco Zero Trust;
• razširjeno zaznavanje in odziv (XDR): uporabite tehnologije XDR za celovit obseg zaznavanja groženj, prepoznavanje groženj v različnih sektorjih IT in zaznavanje nenavadnega vedenja sistema. Izberite najučinkovitejši odziv na grožnje. Priporočene rešitve so denimo Palo Alto Networks Cortex XDR, CrowdStrike Falcon in McAfee MVISION XDR;
• rast varnosti in testiranje kriz: izvedite simulacije različnih napadalcev na različnih sistemih in procesih, da ugotovite načine za krepitev šibkih točk. Priporočene rešitve so denimo IBM Security QRadar, Rapid7 InsightIDR in Splunk Phantom.

Napovedi za prihodnja leta kažejo, da bodo priljubljeni operacijski sistemi, kot je Mac OS, postali ranljivejši, kibernetski kriminalci pa bodo še naprej uporabljali umetno inteligenco za ustvarjanje naprednih napadov. Zato je treba še enkrat poudariti, da je ta tema pomembna za vse, ne glede na velikost dejavnosti, število zaposlenih in letni promet. Le celovit pristop, vključno z dvigom ozaveščenosti zaposlenih, uvajanjem naprednih tehnologij ter razvojem jasnih politik in protokolov, bo omogočil zmanjšanje tveganj, povezanih s kibernetskim kriminalom. Ne pozabite, da so preventivni ukrepi vedno cenejši in manj energijsko potratni kot obravnavanje posledic po tem, ko so incidenti že nastopili.

Opombe:

*Prispevek je bil v razširjeni obliki kot strokovni članek objavljen v zadnji številki revije Pravnik, in sicer Andrey Abramov: Kibernetska varnost v Republiki Sloveniji – previdnosti ni nikoli preveč, v: Pravnik, št. 7-8/2024, str. 471–477.

[1] ENISA: ENISA Threat Landscape Report 2023, Bruselj 2023.

[2] Jakob Žorž: Ničelno zaupanje – osnova sodobnega obvladovanja kibernetskih tveganj.

[3] Prav tam.

[4] V nadaljevanju govorim o podjetju, a so mišljene vse pojavne oblike poslovanja in delovanja.