Abeceda cyber sigurnosti za direktore kompanija
U većini kompanija i dalje postoji veliki raskorak između svijesti rukovodećeg kadra o opasnosti od hakerskih napada i njihove spremnosti da naprave odgovarajuće korake koji bi doprinijeli sigurnosti preduzeća
Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com
Šta sve današnji direktori trebaju i moraju znati kako bi mogli na pravi način zaštititi kompaniju od cyber napada pitanje je od ključne važnosti za korporativni svijet. Prva stvar koju moraju znati jeste to da je svaka moderna kompanija, bez obzira na to u kojoj oblasti i kako posluje, ujedno i tehnološka firma iz prostog razloga što nijedna ne može funkcionisati bez modernih tehnoloških pogodnosti. Međutim, ovaj put se nećemo baviti samo tehnološkim zaštitnim mjerama nego i ljudskom komponentom, koja je bitan faktor pri zaštiti od cyber napada. To se prije svega odnosi na potrebu da rukovodstva kompanija počnu drugačije gledati na računarsku sigurnost. Sada je svaki problem s računarskom sigurnošću potencijalna prijetnja cjelokupnom biznisu budući da se većina tog poslovanja odvija zahvaljujući internetu, cloudu i ostalim tehnološkim aspektima, koji su postali nezaobilazni.
Ko su cyber kriminalci i kakve taktike koriste?
Prema podacima iz 2016. godine, do najvećeg broja hakerskih napada u svijetu dolazi zahvaljujući ukradenim ili preslabim lozinkama – čak 81% njih. Prosječna starost cyber kriminalaca je 35 godina, a 80% ih je povezano s organizovanim kriminalom. Kada spominjemo cyber kriminal, onda govorimo o zločinu koji uključuje neki računarski aspekt, a što se tiče samih zlonamjernih hakera, odnosno cyber kriminalaca, postoji nekoliko različitih kategorija na osnovu kojih ih prepoznajemo. Prije svega, tu su aktivističke grupe, takozvani haktivisti. Njihov glavni cilj je promocija svojih uvjerenja, a to mogu biti religijska uvjerenja, politički ili ekološki ciljevi. Haktivistima uglavnom nije cilj da vam ukradu novac, nego da izazovu željenu reakciju i utječu na reputaciju kompanije ili njene klijente, pa su s te strane manje maliciozni u odnosu na ostale kategorije hakera koje ćemo spomenuti.
Zatim imamo insajdere. To su zaposlenici koji djeluju unutar same kompanije, a koji nisu nužno svojevoljno uključeni u cyber kriminalne aktivnosti. Naprimjer, insajder može preuzeti listu kontakata ili kreirati neki dokument koji će hakerima pomoći da dođu do svog cilja, a da toga uopće nije svjestan. U treću, znatno štetniju kategoriju spadaju finansijski motivisane grupe organizovanog kriminala, čiji su članovi uglavnom locirani u istočnoj Evropi. Na kraju, imamo državne aktere koji direktno ili indirektno rade za države iz kojih potječu, a spadaju u najsofisticiranije hakere. Njihov glavni cilj je ukrasti osjetljive podatke i ometati funkcionisanje neprijateljske države.
Korporativni hakeri
Posljednjih godina na površinu je isplivala i jedna posebna, “korporativna” vrsta hakera, koja je odlučila prihvatiti korporativne prakse kako bi povećala efikasnost svojih napada. Najveće hakerske grupe imaju upravo to – korporativno ustrojstvo: u svom arsenalu imaju najbolje stručnjake koji onim manje uspješnim cyber kriminalcima prodaju licencirane hakerske alate. Dakle, danas hakerske grupe po skoro svemu funkcionišu kao korporacije, pa imaju odlično tehnološko osoblje, koje ima i radno vrijeme, slobodne vikende i koje ne radi za vrijeme praznika. Iako smo neke od njih već spominjali u magazinu, još jednom ćemo opisati kojim se taktikama cyber kriminalci najčešće služe. Prije svega, to su DDoS (Distributed Denial of Service) napadi, kojima se ometa rad mreže tako što napadač šalje veliku količinu podataka ili saobraćaja kroz nju, pa mreža na kraju postane zagušena i prestane funkcionisati. A kako poplava neželjenog saobraćaja može stizati iz stotinu hiljada različitih izvora, napad je nemoguće zaustaviti tako što ćete jednostavno blokirati jednu IP adresu. U finansijskom sektoru najveći broj hakerskih napada odvija se pomoću DDoS napada, što objašnjava zašto je u ovoj industriji finansijska šteta od napada izuzetno visoka.
Potom imamo phishing. Ovi se napadi najčešće odvijaju preko e-mailova u kojima vam se nudi da kliknete na neki link i upišete lične podatke. Najveći problem kod phishinga jeste to što su takvi napadi s vremenom postali toliko sofisticirani da će vam djelovati potpuno legitimno. Zapravo, istraživanja Verizona za 2016. godinu pokazala su da postoji šest puta veća vjerovatnoća da ćete kliknuti phishing e-mailove nego tipični marketinški e-mail. Tu su i skimmeri, odnosno čitači bankovnih kartica koji kradu vaše bankovne podatke i pin kod, što se kasnije koristi za pravljenje lažnih kartica.
O zlonamjernom softveru je potrebno stalno govoriti. Ono čega direktori kompanija moraju biti svjesni kada je riječ o trojancima i virusima jeste to da im je glavni cilj preuzimanje kontrole nad računarima ili oštećivanje sistema, a na računare najčešće dospijevaju preko zaraženih attachmenta, preuzimanja zaraženog softvera te zahvaljujući različitim ranjivostima sistema. Još jedna taktika kojom se koriste cyber kriminalci jesu vaši zaposlenici. Nije rijetkost da radnici u modernim kompanijama krišom preuzimaju osjetljive korporativne podatke s nadom da će ih unovčiti, što se dešava u 60 posto slučajeva.
Posljedice cyber napada i troškovi
Prema podacima za ovu godinu, prosječan trošak koji nastane kao posljedica hakiranja iznosi nešto više od sedam miliona dolara, a u njega ulazi otkrivanje napada, stagniranje i oporavak zbog prekida poslovanja, gubitka prihoda i oštećenja opreme. Naravno, u to spada i saniranje štete zbog narušene reputacije firme ili samog klijenta, do čega također nerijetko dolazi usljed hakerskog napada. Zanimljiv je i podatak da su kompanije s najvećim nivoom poslovnih inovacija (kupovina, prodaja, ulazak na novo tržište) meta najtežih napada, koji za posljedicu imaju najveće troškove saniranja problema. Zapravo, dokazano je da to može dovesti do povećanja troškova usljed računarskog kriminala za čak 20%. Međutim, najgora je situacija u kompanijama koje se bave finansijskim uslugama. Prema podacima koji stižu iz Ponemon Instituta, hakerski napad takvu kompaniju košta 1,9 milion dolara ako su ukradeni podaci manje od 10 hiljada korisnika. Ako je riječ o 10–25 hiljada oštećenih korisnika, troškovi se penju na 2,8 miliona dolara. Ukoliko je napadom zahvaćeno 25–50 hiljada korisnika, troškovi su 4,6 miliona dolara, dok će krađa podataka 50 hiljada korisnika i više koštati 6,3 miliona dolara.
Prema izvještaju Verizona o hakerskim napadima za 2017. godinu, ispostavilo se da su kompanije koje se bave finansijskim uslugama na prvom mjestu po broju napada, dok iza njih slijede zdravstvo i javni sektor. Osim same učestalosti napada, u ovoj industriji je najveći i godišnji gubitak novca, pa je tako finansijski sektor u 2013. usljed cyber napada izgubio u prosjeku 16,5 miliona dolara. S druge strane, 2012. godine situacija je bila znatno drugačija. Finansijski sektor je tada bio na trećem mjestu po broju hakerskih napada, dok su prva dva mjesta zauzimala vojna te komunalna i energetska industrija.
Koje su kompanije ranjivije: manje ili veće?
O ovom pitanju postoje razna neslaganja među stručnjacima. Naime, jedni smatraju da su manje firme znatno ranjivije u odnosu na veće, jer se one u slučaju jačeg napada vjerovatno neće moći potpuno oporaviti pošto im nisu dostupna sva sredstva kojima raspolažu velike kompanije. Osim toga, ova grupa stručnjaka ne vjeruje da manja firma može nadoknaditi finansijske gubitke i vratiti povjerenje klijenata i svoju reputaciju na način na koji to može veća. S druge strane, neki smatraju da su manji biznisi, zapravo, u prednosti, budući da veće kompanije manipulišu velikim količinama podataka i svakodnevnim pristupom velikog broja ljudi njihovim sistemima, što otežava procjenu gdje se sve tačno kriju ranjivosti u sistemu. Oni tvrde da manje firme samo trebaju biti dovoljno pametne i na vrijeme procijeniti moguće slabosti svog sigurnosnog sistema, pa će šansa za uspješan cyber napad biti znatno manja.
—————————–
Faktori koji doprinose rastu cyber kriminala
Bitan faktor koji doprinosi (ne)sigurnosti vaše kompanije jeste (ne)sigurnost firme s kojom sarađujete. Istraživanje iz 2013. godine pokazalo je da je 63% istraga u vezi s hakerskim napadima povezano s drugim kompanijama. Ako je firma s kojom sarađujete i koristite njene usluge hakirana, onda i vaša može biti u opasnosti od gubljenja podataka. Još jedan bitan faktor jeste upotreba mobilnih uređaja, koji se sve češće koriste za plaćanje raznih usluga. Kako su korisnici širom svijeta počeli prihvatati ovakve oblike elektronskog plaćanja tako su i banke, da bi dorasle izazovu očuvanja sigurnosti svojih klijenata, morale početi nuditi dodatne oblike zaštite, a u posljednje vrijeme te mjere se odnose na pristupanje računu metodom prepoznavanja glasa ili lica. U svemu ovome ne treba zaboraviti ni sve veću popularnost interneta stvari. Kada je riječ o IoT-u, problem predstavljaju jeftiniji uređaji kojima fali odgovarajuća sigurnosna infrastruktura, što cyber kriminalcima itekako olakšava posao. Poenta IoT-a je u povezivanju različitih pametnih uređaja u jednu cjelinu. Ako jednom od njih nedostaje adekvatna zaštita, onda raste rizik i za sve ostale uređaje.
I jedan od najbitnijih faktora zbog kojih hakeri i dalje relativno lako mogu dobiti sve što požele leži u rukovodstvima nekih kompanija koja jednostavno ne rade na adekvatnom provođenju sigurnosnih mjera, jer misle da stvar nije previše hitna. I mada su tokom prošle godine hakeri napali polovinu malih biznisa u SAD-u, anketa Ponemon Instituta pokazuje da 75% ispitanika nema nikakav formalni plan prema kojem bi postupala u slučaju hakerskog napada.
Korak po korak: kako poboljšati situaciju?
Prije svega, treba naglasiti da rješavanje problema vezanih za računarsku sigurnost zahtijeva višeslojan pristup, jer ne postoji rješenje koje odgovara svima. Kada je riječ o računarskoj sigurnosti u okviru kompanije, trebalo bi koristiti prednosti analitike u stvarnom vremenu. Razlog za ovakav korak je jasan: što vam više vremena treba da otkrijete u čemu je tačno problem, posljedice napada će biti skuplje. Nažalost, ispostavilo se da većini kompanija u prosjeku treba sedam mjeseci kako bi otkrili problem, što dovodi do neslućenih troškova, koji su mogli biti minimizirani da se o sigurnosnim mjerama razmišljalo na vrijeme.
Osim toga, kompanije mogu poduzeti i druge, manje korake kako bi se zaštitile od cyber kriminalaca. Potrebno je imati whitelisting aplikaciju (tj. aplikaciju za sprečavanje instalacija neodobrenog softvera), koja će skenirati cijeli sistem kompanije i registrovati sve njegove fajlove. Zatim, tu su softverske nadogradnje, koje treba redovno primjenjivati jer popravljaju potencijalne greške i bugove koje karakterišu novi softver. Jako je bitno za svaku kompaniju da donese odluku o donošenju višeslojne strategije odbrane od hakerskih napada, koja će pokriti apsolutno sve segment poslovanja i sve uređaje koji se pri tome koriste: mobilne uređaje, aplikacije i podatke. To podrazumijeva i uvođenje dvofaktorske ili trofaktorske autentifikacije. Također, kompanije trebaju kontinuirano praviti rezervne kopije podataka, jer u tom slučaju neće morati platiti da im pristupe ukoliko budu napadnute ransomwareom.
I na kraju, moramo još jednom napomenuti da nikada ne zaboravite na pogubnost ljudskog faktora, zbog čega bi edukacija zaposlenika trebala biti prva stavka u planu svakog savjesnog direktora.
Noviteti u svijetu korporativne cyber zaštite
Antihakersko osiguranje novi je trend u poslovnom svijetu koje vas štiti od sigurnosnih propusta i gubitaka nastalih usljed cyber napada. Međutim, malo kompanija se odlučuje na ovu opciju. Još jedna učestala pojava su i Bug Bounty programi, u okviru kojih kompanija plaća prijateljski nastrojenim hakerima da je upozore na moguće sigurnosne propuste u okviru organizacije. Znak da je ovo dobra praksa jeste taj što je koriste neke od najvećih kompanija današnjice, poput LinkedIna, Googlea, Tesle i Applea.
