V tedniku Dnevnikov Objektiv, ki je izšel 26. julija 2024, je objavljen članek z naslovom “Neboleče poti iz digitalizacije ni več”, ki naslavlja izzive izredno kompleksnega in hitrega procesa digitalizcije, ki smo mu priča.
Avtor članka je tudi na nas naslovil nekaj vprašanj, ki se dotikajo področja kibernetske varnosti in odpornosti sistemov in za katera menimo, da so zanimiva za strokovno javnost, zato jih objavljamo v nespremenjeni obliki.
Kako izpostavljene so sodobne družbe do izpadov informacijskih sistemov (zaradi kibernetskih napadov in drugih težav)?
Popolnoma jasno je, da ob pospešeni digitalizaciji različnih vidikov družbe postajamo vedno bolj odvisni od informacijskih sistemov. Če je na primer včasih zaradi izpadov recimo zgolj zakasnilo nakazilo plač, danes opazujemo težave na letališčih, v plačilnih sistemih in v zdravstvenem sektorju. Posledice so lahko tudi odpovedi nujnih operacij, kar ima seveda lahko zelo konkretne posledice na življenja ljudi.
Kako izpostavljena je Slovenija?
V kritični infrastrukturi in bistvenih storitvah je praviloma dobro zavedanje o skrbi za kibernetsko varnost. To se seveda razlikuje od sektorja do sektorja, v prednosti sta bančni in energetski sektor. Kot primer rad navedem, da je kljub lanskemu kibernetskemu incidentu na HSE dobava elektrike ves čas potekala nemoteno. Bolj problematična je situacija v malih in srednjih podjetjih, ne samo v Sloveniji, tudi v tujini. Zraven moram omeniti, da smo v nekaterih elementih, tudi pri odzivnih kapacitetah, v zadnjem desetletju stagnirali in so nas že prehitele z nami primerljive države članice EU. Radi govorimo o kibernetski varnosti, pišemo lepe cilje v strategije, zaplete pa se pri realizaciji. Trenutno glede tega na SI-CERT še držimo glavo nad vodo, ponekod celo podhranjeni dosegamo dobre rezultate, ampak v nedogled to ne bo šlo. Nujno bo treba narediti načrt zmanjšanja omenjenega zaostanka in ga začeti takoj izvajati.
Se odpornost sistemov na kibernetske napade povečuje ali ne?
Gre za večno tekmo: storilci najdejo nove mehanizme za napade, sledijo ustrezni obrambni mehanizmi. Sistemi postajajo bolj zapleteni, kar pomeni, da jih je bolj naporno vzdrževati. Sigurno pa se nivo zaščite skozi čas povečuje, zato pogosto storilci uporabijo mehanizme družbenega inženiringa in se usmerijo na človeka. Phishing napad, kraja gesla za dostop zaposlenega v infrastrukturo organizacije, je velikokrat prvi korak, s katerim storilci podstavijo nogo med vrata. Nesmotrno pa je pričakovati, da bomo na področju kibernetske varnosti kdaj dosegli stoodstotno varnost, saj je tudi na drugih področjih ne moremo. Klasična primerjava je pri varnosti v cestnem prometu: nikoli vseh neželenih dogodkov ne morete preprečiti.
Kako smotrno je razmisliti o tem, da bi bili sistemi razdeljeni na različnih operacijskih sistemih, da ob ali okužbi dela sistema na enem, ne bi izpadlo vse? Bi to sploh delovalo? Obstajajo cenejše alternative?
Načeloma bi to lahko sicer pomagalo, ampak to prinese veliko večje zaplete pri vzdrževanju, za različne operacijske sisteme potrebujete namreč različne profile specializiranega kadra in prenos aplikacij iz enega na drugega ni nujno trivialen. Izvor težav je bil zunanji izvajalec, zato je prav, da preverimo, kaj bi lahko izboljšali tam. Vse kaže na to, da niso upoštevali vrste dobrih praks, ki bi težavo zaustavile pravočasno. So bili opravljeni vsi testi problematične nadgradnje? Je bila izvedena “staging” postavitev? Gre za incident v dobavni verigi in ti se kar vrstijo zadnja leta. Skupni vzrok pa najdemo velikokrat v zmanjševanju stroškov pri različnih ponudnikih, kar ima za posledico preskakovanje določenih faz razvoja in vpeljave v produkcijo. Ta zahteva prihaja od vodstev teh podjetij, zahtevo pa diktira bitka na trgu. Še preveč se vidi varnost kot strošek in EU se je odločila temu zoperstaviti s številnimi uredbami in direktivami, med katerimi bi omenil NIS2 (Network and Information Security), in CRA (Cyber Resilience Act). Prav slednja uredba bo predpisala številna pravila za ponudnike izdelkov z digitalnimi elementi, ki jih bodo morali izpolniti, če jih bodo hoteli ponujati na evropskem trgu.