Iz godine u godinu IT stručnjaci upozoravaju korisnike interneta na moguće opasnosti koje spadaju pod domen cyber sigurnosti. Međutim, postavlja se pitanje da li korisnici ozbiljno shvataju opasnosti koje im prijete u online sferi te kolikim znanjem raspolažu kada se trebaju zaštititi?

Piše: Vesna Matić-Karić

E-mail: redakcija@asadria.com

Kako bi se saznalo šta građani Evropske unije misle o računarstvu i cyber sigurnosti, 2017. godine je objavljeno istraživanje “Stavovi Evropljana o cyber sigurnosti”. Ovaj izvještaj razotkriva stavove javnog mnijenja iz 28 zemalja EU o računarskoj sigurnosti, a cilj istraživanja je razumijevanje svijesti, iskustava i percepcija građana Unije o ovoj temi, njih 28 hiljada koliko ih je ukupno učestvovalo u istraživanju. Neophodnost objavljivanja ovakvog izvještaja leži u činjenici da cyber kriminal predstavlja veliki problem modernog doba i u okviru njega ne postoje nikakve fizičke granice koje bi barem donekle kontrolisale njegovo širenje. Iako nam je pristup internetu olakšao svakodnevnicu i pristup informacijama, tužna je činjenica da njegova sve šira upotreba ima i negativnu posljedicu koja se ogleda u vidu pojačanog i sve kreativnijeg cyber kriminala.

Gubici u milijardama

Procjenjuje se da će računarski kriminal u budućnosti izazivati gubitke koji će se mjeriti milijardama eura godišnje, što će izvršiti veliki pritisak na organe za provođenje zakona, koji možda još nisu u potpunosti spremni da adekvatno odgovore na novu prijetnju. Kako bi odgovorila na ovaj rastući problem, Evropska komisija je oformila koordiniranu politiku kroz blisku saradnju sa zemljama EU i drugim evropskim institucijama kako bi doprinijela borbi protiv problema povezanih sa cyber kriminalom, kao što su napadi na računarske sisteme, uvredljivi online materijali i dječija pornografija, online privatnost i online prevare te falsifikovanje. Mi ćemo se u pregledu prikupljenih i u izvještaju objavljenih podataka koncentrisati na podatke koji se tiču Hrvatske i uporediti ih s podacima o prosjeku koji se odnosi na ostale članice EU kako bismo prikazali gdje se tačno nalazi Hrvatska kada je riječ o stavovima građana o cyber sigurnosti. Izvještaj sadrži i podatke o tome koliko se često građani Hrvatske služe internetom, koje uređaje koriste za pristup te kojim se aktivnostima najčešće bave.

Upotreba interneta i nivo svijesti o sigurnosti na internetu

Iako bi se, s obzirom na raširenost interneta, moglo zaključiti da skoro sto posto građana Hrvatske koristi internet, podaci iz ovog izvještaja pokazuju drugačije. Prema izvještaju, u Hrvatskoj se internetom svakodnevno služi 59% ispitanika, dok se s druge strane taj prosjek penje na čak 70 posto kada su u pitanju sve zemlje članice Evropske unije. Povremeno se internetom služi 10% Hrvata, dok evropski prosjek iznosi 9%. Internetom se nikada ne služi 25% ispitanika u Hrvatskoj, što je značajno veća brojka od evropskog prosjeka koji iznosi 19%. Zanimljiv je i omjer procenata između te zemlje i ostatka EU kada je riječ o ispitanicima koji uopće nemaju pristup internetu. Dok u ostatku EU pristup internetu nema samo 2% ispitanika, u Hrvatskoj se taj procenat penje na 6%. U skladu s velikom popularnošću društvenih mreža u zemljama regije, od svih aktivnosti na internetu hrvatski ispitanici su odgovorili da najčešće koriste društvene mreže, dok se kupovinom usluga i proizvoda preko interneta bavi dvostruko manji procent korisnika nego u zemljama EU (grafikon QB7). Kada se pogledaju socio-demografski podaci za svakodnevne korisnike interneta, može se zaključiti kako se broj ispitanika koji koriste internet u Hrvatskoj podudara s brojem ispitanika u EU kada je riječ o mlađoj populaciji, odnosno o korisnicima starijim od 15, a mlađim od 24 godine. Međutim, situacija se drastično mijenja kada je riječ o korisnicima starijim od 40 godina.

Naime, tek dvije trećine ispitanika starijih od 40 i mlađih od 54 godine iz Hrvatske koristi internet svakodnevno, dok u ostatku EU taj postotak iznosi 81%. Najveća razlika je u grupi ispitanika starijih od 55 godina, gdje samo petina ispitanika iz Hrvatske iz ove dobne grupe svakodnevno koristi internet, dok je u EU taj prosjek dvostruko veći, odnosno 40%.

Kakva je informisanost građana?

S druge strane, iz izvještaja je jasno da su među hrvatskom populacijom pametni telefoni znatno popularniji kao sredstvo pristupanja internetu nego u ostatku EU, pa ih u te svrhe koristi 87% Hrvata, dok je prosjek za EU osam procenata manji. Zato Hrvati u manjoj mjeri koriste računare i tablete, pa tako računare koristi 85% svih ispitanika te samo 81% ispitanika iz Hrvatske. Tablete koristi 40% svih ispitanika te samo 29% onih iz Hrvatske, dok putem televizora internetu pristupa 18% svih ispitanih te 12% ispitanika iz Hrvatske. Kada je riječ o informisanosti građana EU o rizicima do kojih može doći u eri cyber kriminala, izvještaj pokazuje da manje od polovine ispitanika smatra da je dobro obaviješteno o mogućim cyber sigurnosnim rizicima, a sve ispitanike, kada je o ovoj problematici riječ, najviše brine mogućnost zloupotrebe privatnih podataka. Zbog toga najveći dio Hrvata, njih 52%, smatra da je transakcije najsigurnije obavljati licem u lice, dok se s njima slaže samo 27% svih ispitanika iz EU.

Građani EU imaju više povjerenja u vlast nego Amerikanci

Kako u Hrvatskoj tako i u ostatku EU više od polovine ispitanika potvrdilo je da zbog zabrinutosti za sigurnost izbjegava otkrivati svoje lične podatke na internetu. Također, većina ispitanika je svjesna toga da je rizik da postanu žrtve cyber kriminalaca sve veći, a zanimljivo je i to da je istraživanje pokazalo kako i građani Hrvatske, ali i ostatak građana EU, vjeruju da državna tijela brinu o njihovim ličnim podacima. Zbog toga većina od ukupnog broja ispitanika (56%) promjene u sigurnosnoj politici EU smatra veoma bitnim, ali kada su upitani koliko se slažu s tvrdnjom da policijske snage i zakonodavna tijela rade dovoljno na sprečavanju cyber kriminala, ispostavilo se da pitanje povjerenja i nije baš tako jednostavno. Naime, samo 13% svih ispitanika se slaže s ovom tvrdnjom u potpunosti, bez pogovora, a u samoj Hrvatskoj s ovom tvrdnjom se složilo samo 11% ispitanika, dok se s njom ne slaže njih 42%. Dakle, iako imamo podatke prema kojima se čini da građani Evropske unije imaju povjerenje u svoja zakonodavna tijela kada je riječ o brizi o njihovim privatnim podacima, kada se počne pričati o tome koliko se radi na mjerama zaštite od cyber kriminala, tu dolazi do zaokreta i mišljenja se mijenjaju. Poređenja radi, mnogi Amerikanci ne vjeruju modernim institucijama da će zaštititi njihove privatne podatke. Prema studiji Pew istraživačkog centra iz 2016. godine provedenoj nad 1.040 odraslih osoba kako bi se ispitale njihove navike i ponašanje kada je riječ o cyber sigurnosti, većina ispitanika se plaši da je već izgubila kontrolu nad privatnim podacima, a mnogi sumnjaju u to da su vladine agencije i velike korporacije uopće u stanju da zaštite korisničke podatke koje prikupljaju. Istraživanje je pokazalo da, baš kao što je slučaj s građanima EU, Amerikanci ne upražnjavaju najbolje prakse za zaštitu svojih online podataka, pa tako skoro 40 posto njih priznaje da koristi iste ili veoma slične lozinke za različite online profile, a 41% ispitanika kaže da je dijelilo ili još dijeli lozinku s prijateljem ili članom porodice. Tačno je četvrtina priznala da namjerno koristi jednostavnije lozinke, jer ih je lakše zapamtiti. Mnogi ne zaključavaju svoje mobilne uređaje, a čak 54% ispitanika priznaje da koriste potencijalno nesigurne javne Wi-Fi mreže.

Šta građani EU poduzimaju da se zaštite od cyber kriminala?

Zanimljivo je otkriće da većina ispitanika smatra da su dovoljno zaštićeni od cyber kriminala ukoliko koriste antivirusni softver i tu se rezultati između građana Hrvatske i ostatka EU ne razlikuju u nekoj većoj mjeri. Čak 72% ukupnog broja ispitanika vjeruje u neprobojnost i zaštitu anitivirusa, a u samoj Hrvatskoj isto misli 71% ispitanih. Ovo samo pokazuje da upozorenja stručnjaka iz IT svijeta i dalje ne liježu na plodno tlo kada je riječ o zaštiti od cyber kriminala. U nepogrešivost antivirusa ne vjeruje samo 25% svih ispitanika te 26% njih iz Hrvatske, pri čemu građani te zemlje nemaju običaj mijenjati svoju antivirusnu zaštitu (grafikon QD17) – tačnije, to rade dvostruko rjeđe u odnosu na prosjek u EU. Kada je Hrvatska u pitanju, ti procenti su barem u skladu s činjenicom da, kao što je moguće vidjeti iz grafikona QB12, korisnici interneta se u daleko manjem procentu susreću s online prevarama i virusima na svojim uređajima u odnosu na prosjek u Evropskoj uniji. Opuštenost spram cyber sigurnosti pokazuju i podaci da Hrvati mnogo rjeđe mijenjaju lozinke za svoje online profile u odnosu na evropski prosjek. Svijest o ovome bi svakako bilo poželjno povećati u okviru strategije za prevenciju cyber kriminala.

Sudeći po navedenim uvjerenjima većine građana EU, veliki broj ljudi, uprkos dugogodišnjem korištenju interneta, još ne zna kakvim su tačno opasnostima svakodnevno izloženi te da postojanje antivirusa ne isključuje mogućnost ljudske greške, zbog čega i dan-danas cyber kriminalci “pecaju” žrtve koje, nesvjesne svih opasnosti, otvaraju e-mailove sa zaraženim prilozima ili koriste preslabe lozinke, koje time gube svoju funkciju. To potvrđuju i odgovori ispitanika, jer je manje od polovine građana Evropske unije, samo 41%, promijenilo lozinku za e-mail, dok je procent mijenjanja šifri za većinu ostalih online aktivnosti još niži. Tako je u Hrvatskoj samo 21% njih u posljednjih godinu dana promijenilo e-mail lozinku, uprkos upozorenjima IT stručnjaka da ih trebate promijeniti i ojačati kako bi se smanjila mogućnost krađe podataka. Čak 48% Hrvata nije promijenilo lozinku ni za jednu online uslugu ili servis u toku godine dana u vrijeme kada se ovo istraživanje provodilo. Samo je 28% svih ispitanika priznalo da za svaku uslugu koristi posebne lozinke, dok je u Hrvatskoj taj procent znatno manji.

Zaštita djece

I za kraj, prilično su alarmantni podaci koji pokazuju da građani Hrvatske čine dosta manje na zaštiti djece od online uznemiravanja dok su ona na internetu (grafikon QB9R), što znači da bi se trebala pojačati edukacija porodica o ovoj temi. Jednu stvar nam je ovaj izvještaj jasno predstavio: građani EU još nisu obaviješteni o svim opasnostima koje ih vrebaju u online sferi, a ako i jesu, onda im manjka znanja i iskustva kako da se odbrane od njih. Jasno je da u budućnosti treba raditi na mjerama zaštite građana od cyber kriminala te da građane treba educirati o sigurnijoj upotrebi interneta.

SAD vs EU: različiti stavovi o povjerenju vladi

Prema podacima iz prošle godine, 64 posto Amerikanaca lično je doživjelo hakerski napad, a u najvećem broju slučajeva (41 posto) riječ je o bankovnim prevarama. Relativno veliki dio javnosti u SAD-u, za razliku od građana EU, ne vjeruje institucijama koje bi ih trebale zaštititi, a nepovjerenje je posebno izraženo prema federalnoj vladi i društvenim mrežama. S druge strane, iako za EU imamo liste hakerskih napada po državama, još nije urađena statistička analiza koja bi nam na nedvosmislen način pokazala koliki je tačno procent građana EU doživio hakerski napad u posljednjih nekoliko godina.

U ovom tekstu ćemo govoriti o sve popularnijem ugrađivanju čipova u ljude, pojasniti njihovu trenutnu primjenu, ali i zakonsku i etičku stranu tehnologije te njen mogući put do radnih mjesta u bližoj budućnosti

Piše: Vesna Matić-Karić

E-mail: redakcija@asadria.com

Više od 3.000 Šveđana je u protekle tri godine usadilo čipove u svoje tijelo, prenijela je u maju ove godine novinska agencija AFP. Tako sada imamo hiljade Šveđana koji čipove koriste kako više ne bi morali nositi lične dokumente ili koristiti kartice da bi ušli na posao. Mnogi ih upotrebljavaju i kao propusnicu za teretanu, ali i umjesto karti za vozove te za kupovinu hrane iz automata. Samo u toku jedne godine 130 putnika se prijavilo za uslugu Švedske nacionalne željeznice, koja nudi rezervaciju pomoću čipova kako ubuduće ne bi morali koristiti klasične karte prilikom svakodnevnih putovanja u granicama svoje države.

Je li sve idilično?

Međutim, kada je riječ o sigurnosti podataka, kao i uvijek, ispostavlja se da stvari nisu tako jednostavne. Ben Libberton, mikrobiolog koji radi za MAX IV laboratoriju, tvrdi da – iako je riječ o veoma praktičnoj tehnologiji, koja ljudima štedi vrijeme i živce – kada jednom umetnete čip u ruku, vi nekome dajete svoje privatne podatke. “Pravi problem leži u upravljanju podacima, o čemu će se govoriti tek kasnije kada se bude diskutovalo o tome kako se oni čuvaju. Ako podaci nisu sigurni, neko ih može ukrasti, a kada su jednom ukradeni, bit će ih teško vratiti”, rekao je Libberton. On također upozorava na to da neki ljudi dijele svoje podatke, a da toga nisu ni svjesni, jer ne znaju šta su, zapravo, potpisali u izjavi o uslovima korištenja čipova. Ove elektronske oznake, otprilike velike kao zrno riže, umeću se u stražnji dio ruke ili između prstiju. Usadivi RFID čipovi sastoje se iz tri dijela: integrisanog kola koje čuva informacije, komponente za napajanje tog kola i antene za prijem i prijenos signala između tog sklopa i vanjskog čitača. Kako bi mogli biti umetnuti pod kožu, dijelovi se nalaze unutar biokompatibilnog materijala koji ima osobine stakla. Određene vrste ovih čipova imaju i premaz, koji navodno potiče rast ćelija oko čipa (takvi čipovi se odavno koriste na životinjama). Usadivi RFID čipovi mogu biti pasivni, pri čemu se podaci s njih mogu samo čitati, ili aktivni, gdje se na uređaj mogu i pohraniti podaci. Iako su na tržištu dostupni i čipovi koji prenose signal, zahvaljujući čemu se mogu koristiti za praćenje, mi ćemo se ovaj put baviti samo pasivnim uređajima, mada će se spomenuta pitanja i dileme vezane za njihovu upotrebu na radnom mjestu uglavnom moći primijeniti i na aktivne uređaje.

Zdravstvene nedoumice

Kada se govori o RFID usatcima, stručnjaci izražavaju zabrinutost spram četiri glavna faktora: kancerogenosti, migracije u tijelu, interakcije s MRI signalima te utjecaja na efikasnost lijekova. Do sada nije bilo sistematskih istraživanja o utjecaju koji bi čipovi mogli imati na zdravlje ljudi kojima su usađeni, ali postoji nekoliko izvještaja o kancerogenim efektima kod određenih vrsta miševa. Iako se na osnovu ovih istraživanja pretpostavlja da do kancerogenih efekata dolazi zbog jedinstvene osjetljivosti ove vrste miševa te da slični efekti na zdravlje ljudi nisu vjerovatni, ipak se ove pojave ne mogu u potpunosti isključiti. Dosadašnje studije o potencijalnim interakcijama između čipova i MRI skeniranja pokazale su da nema značajnijih problema vezanih za ovu problematiku. Pokazalo se i to da neki detalji mogu ostati skriveni na MRI skenu na području na kojem se nalazi čip, ali se to ipak može izbjeći usađivanjem čipa na mjesto u tijelu koje se ne podvrgava skeniranju.

Što se tiče zabrinutosti zbog mogućeg pomjeranja čipova unutar ljudskog tijela, za sada se pretpostavlja da karakteristike kože onemogućavaju neko značajnije migriranje čipa, mada ni to još ne može biti potpuno isključeno. U nekim ranijim izvještajima se kao najsigurnije savjetovalo usađivanje čipova u nadlakticu, ali sada je uobičajeno da se to radi u području kože između palca i kažiprsta – i to na lijevoj ruci kod dešnjaka. Naime, kada se čip usadi na to mjesto, manje je primjetan, a zbog anatomije same ruke spriječena je i njegova migracija u druge dijelove tijela. Barem trenutno vlada takav konsenzus. Takav način usađivanja već godinama koriste takozvani biohakeri, hobisti koji su se posvetili modifikaciji vlastitog tijela pomoću tehnologije.

Za avanturiste i hobiste

Dakle, pored “praktičara”, koji čipove koriste isključivo kako ne bi morali nositi nikakve uobičajene akreditacije, imamo i čitavu subkulturu avanturista i znatiželjnika koji u sve to uključuju i element zabave čisto zato jer mogu. Prošle godine BBC je prenio priču o Daveu Williamsu, sistemskom inžinjeru u Mozilli, koji je, kako kaže, odlučio u sebe ugraditi RFID čip iz čiste radoznalosti i zbog slabog pamćenja: “Ja imam najgore pamćenje na svijetu. Također je veoma zabavno dati nekome broj telefona ili e-mail adresu dodirujući njihov telefon rukom”, rekao je Williams. Osim toga, on velikom prednošću smatra činjenicu da sada „pri ruci“ u svakom trenutku ima praktičan uređaj kojim otvara vrata i logira se na računar, a koji ne može zaboraviti kod kuće ili ga izgubiti. Zabrinutost zbog utjecaja RFID tehnologije na efikasnost farmaceutskih proizvoda navodno proistječe iz predložene upotrebe RFID oznaka kao mjere sigurnosti za označavanje pakovanja lijekova. Međutim, bilo kakav rizik od skeniranja lijeka dok on cirkuliše krvotokom prilikom kratkotrajnog RFID skeniranja bio bi izuzetno ograničen, jer bi samo mali dio supstance bio izložen skeniranju.

Upotreba RFID čipova na radnom mjestu

Iako ih zasad ima malo, slučajevi upotrebe čipova na radnom mjestu ipak su dobro dokumentovani i medijski popraćeni. Jedan od takvih primjera stiže iz Meksika. Naime, 2007. godine prijavljeno je da su glavni pravobranilac Meksika i 18 članova njegovog osoblja ugradili sebi čipove koji su im omogućavali pristup zonama visoke sigurnosti. Iako nije potvrđeno je li riječ o dobrovoljnom aktu, činjenica da su čipovi bili neophodni kako bi zaposlenici mogli uopće ući u novi informativni centar za borbu protiv kriminala sugeriše kako je postojao određeni stepen prisile. Jedan izvor je naveo da se, uz ostvarivanje pristupa sigurnim područjima, ova mjera koristila i kao zaštita od kidnapovanja. U kompaniji CityWatcher.com dva zaposlenika su ugradila RFID čipove s ciljem pojačavanja sigurnosti unutar firme, dok je u EpiCenteru otprilike 150 zaposlenika čipovano početkom 2015. godine. Ovo je urađeno kako bi se zaposlenicima olakšao ulazak kroz osigurana vrata, ali i zato što su smatrali da je tako lakše i praktičnije. Pored toga, belgijska kompanija NewFusion također je svojim zaposlenicima ponudila ugradnju čipova koji bi sadržavali lične podatke zaposlenika i omogućavali im pristup IT sistemima i sjedištu kompanije te im tako zamijenili dotadašnje identifikacijske kartice. Procjene broja usađenih RFID i NFC čipova koji su trenutno u upotrebi na radnim mjestima u svijetu uveliko variraju i trenutno nema preciznih podataka. Prema studiji o čipovanju ljudi na radnom mjestu koju je početkom ove godine objavio Evropski parlament, procjenjuje se da na radnim mjestima širom svijeta postoji od dvije do deset hiljada radnika s ugrađenim čipovima. Bez obzira na to što se čipovi za sada uglavnom ugrađuju na dobrovoljnoj osnovi, stručnjaci naglašavaju da je određeni stepen regulacije ovog tipa usadaka i dalje poželjan, ako ne i neophodan.

Mogući sigurnosni problemi

Na osnovu trenutnih zapažanja, RFID tehnologija koja se koristi za usađivanje pod kožu nije u potpunosti sigurna. Postoji zabrinutost zbog mogućnosti prisluškivanja, kloniranja akreditiva i privilegija, onesposobljavanja te neovlaštene modifikacije podataka na čipovima. Iako se od prvobitnog razvoja čipova pojavio veliki broj ideja čiji je cilj bio da se poveća njihova sigurnost, nakon svake predložene mjere zaštite istraživači bi prijavili postojanje nekog načina na koji se sigurnosna mjera može zaobići. Stoga usađivanje čipova u radnike može predstavljati rizik za kompanije, kao i regularna upotreba tehnologije za autorizaciju i pristup. Ipak, zagovornici čipovanja smatraju da prelazak s nošenja uređaja do njihovog usađivanja pod kožu ne predstavlja neki veliki korak, a pitanje sigurnosti i krađe podataka opravdavaju time što i uređaji koje svakodnevno nosimo ionako šalju gomilu podataka o našem kretanju i ponašanju (npr. kompanijama kao što su Apple, Google i Facebook). Što se tiče etičkih pitanja, pobornici ovakve tehnologije smatraju da, sve dok se čipovanje provodi na dobrovoljnoj osnovi, mjesta za zabrinutost nema. Problem etičnosti bi se pokrenuo tek ako bi vas poslodavac uslovio i rekao da posao nećete dobiti ukoliko se ne čipujete. Samo, to bi vjerovatno značilo da je prekasno za bilo kakvu pobunu, zar ne?

“Mobilni telefoni su mnogo opasniji po našu sigurnost. Ukoliko su hakirani, telefoni se pretvaraju u savršenog špijuna s mikrofonima, kamerama i GPS-om. U poređenju s njima, rizici po privatnost od RFID čipova veoma su mali”, izjavio je Pawel Rotter, biomedicinski inžinjer na AGH Univerzitetu nauke i tehnologije u Krakovu. Međutim, hakiranje i ostali sigurnosni problemi ipak se ne mogu tako lako zanemariti. Naime, iako RFID čipovi koji se usađuju pod kožu mogu sadržavati svega nekoliko kilobajta, Mark Gasson, istraživač na Univerzitetu u Readingu na Odsjeku za sistemski inžinjering, već je dokazao da je ova vrsta čipova ranjiva na napade zlonamjernim softverom. Doktor Gasson tvrdi da, kako se tehnologija koja stoji iza usadivih čipova razvija, ona samim time postaje podložnija virusima. “To su u suštini mini računari, a to znači da kao i obični računari mogu biti zaraženi virusima. Tehnologija mora ići u korak s ovim kako bi se usatci, uključujući i medicinske uređaje, mogli u budućnosti sigurno koristiti”, rekao je Gasson. On je prilikom svog istraživanja zarazio vlastiti usadak računarskim virusom i time praktično ukazao na moguće probleme vezane za budućnost upotrebe čipova.

Pravna i etička strana medalje

Iako su ovdje i ostali zakoni u opticaju i relevantni su za problematiku, glavni pravni izazovi vezani za obavezno korištenje RFID čipova proizlaze iz zakona o zaštiti ličnih podataka i zakona o ljudskim pravima. Tako bi zakon o zaštiti podataka u ovom slučaju obuhvatio trenutno, ali i buduće korištenje podataka dobijenih upotrebom RFID čipova. GDPR ovu oblast pokriva kao i svaku drugu upotrebu ličnih podataka – korisnik mora biti informisan o tome kako će se koristiti njegovi podaci, mora dati svoj pristanak za to, a sami podaci se moraju adekvatno čuvati. Što je još bitnije, čipovani radnik ima pravo na to da se podaci o njemu obrišu nakon što prestane raditi za kompaniju.

Pitanje ljudskih prava proistječe prije svega iz člana 8. Evropske konvencije o ljudskim pravima, koji štiti pravo radnika na poštovanje njegovog privatnog i porodičnog života. Pored toga, ova tehnologija izaziva i veliko protivljenje u religijskim krugovima, što bi na kraju moglo dovesti do pitanja vezanih za zakonodavstvo koje se bavi problematikom vjerske diskriminacije. Dalja etička pitanja se odnose na ljudsko zdravlje i sigurnost u slučaju obaveznog čipovanja, na samu efikasnost tehnologije kao sigurnog sistema, pravednost i pravo na izbor te religijske interese. Naime, u nekim religijama bilo kakav “upad” u ljudsko tijelo smatra se neprihvatljivim, tako da nema razloga vjerovati da bi se mislilo drugačije u slučaju obaveznog čipovanja ljudi. Za sada je nejasno da li bi, barem u Evropskoj uniji, prisilno čipovanje bilo nelegalno. Ukoliko jedan takav slučaj dospije na sud, procjenjivat će se koliko su potrebe kompanije za čipovanjem radnika bile opravdane. Jedan od rijetkih načina da se ova pitanja ostave po strani i da se na radnom mjestu od radnika osnovano može tražiti čipovanje jeste pomoću nekih dominantnijih sfera, poput nacionalne sigurnosti, kojom se zaobilaze sva etička i ostala pitanja. Naravno, u slučaju da se nešto takvo desi, vlada bi ipak morala dati konkretne razloge za čipovanje i dokazati da nema odgovarajuće alternative njihovoj upotrebi. Jedno je zasad sigurno: s obzirom na to da RFID čipovi nisu u potpunosti sigurni, to bi moglo na neko vrijeme odgoditi provođenje navedenog scenarija. Ipak, ako u doglednoj budućnosti i dođe do toga da se zahtijeva upotreba čipova na radnom mjestu, postoji toliko protivnika tehnologije da bi oni koji bi ovu ideju željeli uspješno provesti u djelo morali navesti i izuzetke od tog pravila. Samo će vrijeme pokazati šta zaista možemo očekivati od tehnologije usađene u ljudsko tijelo. Za sada ima previše nagađanja, a premalo stvarnih rezultata njihove dugotrajne upotrebe.

Začeci današnje RFID tehnologije

Inžinjerski principi na kojima su zasnovane aktuelne RFID tehnologije prvi put su postavljeni 1948. Međutim, patent za korištenje RFID čipova kao usadaka namijenjenih ljudima prvi put je odobren tek 1997. godine, a tada je označen kao “uređaj za praćenje i vraćanje ljudi”. Ovaj patentirani uređaj je trebao biti korišten kao zaštita od kidnapovanja i za olakšavanje pružanja hitne medicinske pomoći u slučajevima akutnih oboljenja kao što su problemi sa srcem, koji mogu dovesti do srčanog udara. Sedam godina kasnije FDA je odobrila VeriChip, prvi usadivi čip namijenjen ljudima u medicinske svrhe.

Budući da se iz godine u godinu pojavljuju nove vrste zlonamjernog softvera kojem je meta internet stvari, onda postaje jasno zašto zaštita distribuiranih uređaja i srodnih sistema zahtijeva pažljivo planiranje i jaka IT sigurnosna rješenja

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Internet stvari osnažuje energetske i komunalne kompanije pružajući im mogućnost da iskoriste sve prednosti novih tehnologija koje unapređuju poslovanje i pri tome štede novac na duže staze. Pored mnogobrojnih prednosti koje nudi, IoT pruža i kontinuirano praćenje rada kompanija na velikim lokacijama i područjima, automatiziranu daljinsku kontrolu infrastrukture te implementaciju efikasnih pametnih mrežnih tehnologija. A što je najvažnije, IoT uređaji generišu neprekidan tok velikih podataka otvarajući mogućnosti naprednije analize poslovanja i informisanijeg odlučivanja o njemu.

IoT je postao u tolikoj mjeri sveprisutan da se podaci dobijeni iz međusobno povezanih uređaja koriste u svim industrijskim granama s ciljem poboljšavanja produktivnosti, efikasnijeg rješavanja problema i stvaranja novih poslovnih prilika. Međutim, i tu postoje sigurnosni rizici budući da sama sigurnost nije bila na prvom mjestu u ranoj fazi primjene IoT-a. To je dovelo do stvaranja ranjivosti u IoT mreži koje mogu dovesti do prekida industrijskog procesa usljed iskorištavanja sigurnosnih propusta, manipulacije ili industrijske špijunaže. Sve ovo navodi na logičan zaključak: kompanije bi morale razviti nove strategije kako bi smanjile mogućnost cyber napada te kako bi lakše upravljale njima. Jer, činjenica je da čitava mreža postaje osjetljivija na hakerske napade kako kompanije sve više ulažu u IoT tehnologije za kontrolu i automatizaciju.

Prednosti i mane

Internet stvari omogućava da se podaci prikupljeni s uređaja i opreme koriste za transformisanje procesa i sistema savremenog industrijskog okruženja. Zapravo, IoT uređaji su već preplavili industrijske pogone, tako da ih pronalazimo u skoro svim bitnim operacijama, počevši od pametnih brojača, preko senzora do alarma. Itekako ima smisla da proizvodne, hemijske, energetske i komunalne industrije koriste IoT za procese poput analize podataka u stvarnom vremenu, nadzora, prediktivnog održavanja opreme i automatizacije uređaja čak i van industrijskih postrojenja.

U studiji IBM-ovog Instituta za uspješno poslovanje predviđa se da će broj uređaja implementiranih u okviru IoT tržišta sa 15 milijardi u 2015. godini porasti na 30 milijardi do 2020, odnosno na čak 75 milijardi uređaja do 2025. Količina prikupljenih podataka mogla bi do 2020. dosegnuti i 600 zetabajta godišnje. General Electric predviđa da će ulaganja u industrijski IoT tokom narednih 15 godina preći cifru od 60 triliona dolara. Na osnovu svega navedenog, jasno je da industrijski IoT, vođen pretežno proizvodima nove generacije, predstavlja ogromno tržište koje bi globalnoj ekonomiji do 2030. godine moglo donijeti 14 triliona dolara. Ipak, kada je riječ o osiguravanju interneta stvari, razloga za zabrinutost itekako ima.

Izazovi koje donosi napredak

Prema devetnaestom izdanju Globalne korporativne studije IBM-ovog Instituta za uspješno poslovanje, 36% anketiranih direktora kompanija tvrde da osiguravanje IoT platforme i uređaja u okviru nje predstavlja glavni izazov za njihove firme. Ovo istraživanje je pokazalo da su najugroženije komponente industrijskog IoT-a uređaji i senzori, a iza njih su najranjivije same IoT platforme. Razvoj IoT tehnologija bržim tempom od njihovog osiguravanja može dovesti organizacije u neugodne situacije. Tako naprimjer, kada je riječ o industrijskoj proizvodnji te energetskim i komunalnim kompanijama, sigurnosni propusti mogu dovesti do kontaminacije velikog obima, ekoloških katastrofa, pa čak i do povreda zaposlenika. U svemu tome tehnologije koje se koriste u okviru proizvodnog procesa postaju sve popularnija meta, na koju otpada 30 posto svih hakerskih napada. Pri tome je na Bliskom istoku čak 50 posto hakerskih napada usmjereno protiv naftne i gasne industrije.

Najveći problem leži u činjenici da je većina industrijskih i komunalnih kompanija i dalje u ranoj fazi usvajanja sigurnosnih praksi i tehnologija koje će im pomoći u ublažavanju sigurnosnih rizika koji se odnose na IoT. Samo mali broj njih je u potpunosti implementirao operativne i tehničke prakse vezane za sigurnost IoT-a, kao i praksu edukacije zaposlenika o toj temi. Kao rezultat navedenog, imamo situaciju u kojoj su sigurnosni kapaciteti IoT-a većine organizacija još u povojima. Uprkos dosadašnjim ulaganjima, IT sigurnosni rizici i dalje se procjenjuju na proizvoljnoj i neredovnoj bazi.

Jedan od najvećih izazova s kojim se industrija susreće, a zbog kojeg još nema sveobuhvatne IoT sigurnosne prakse, jeste hronični nedostatak potrebnih vještina vezanih za IT sigurnost. Da bi stvari funkcionisale kako treba na ovom polju u okviru interneta stvari, poslodavci na raspolaganju moraju imati stalan priliv talentovanih IT stručnjaka. Pored toga što moraju biti odlično upoznati s problematikom vezanom za cyber sigurnost, u okviru IoT-a bi morali ispuniti još neke uslove. Za početak, morali bi posjedovati znanje o većem i raznovrsnijem izboru opreme, trebali bi se znati izboriti s kompromisima i zahtjevima kada su u pitanju zaštita privatnosti, sigurnost i pouzdanost oprememorali, kao i moći kreirati i koristiti automatizaciju te kontinuirano raditi na integraciji kako bi postigli i održali sigurnost većeg računarskog okruženja.

Koraci koje treba poduzeti

Kako bi umanjile sigurnosne rizike po svoj IoT i poboljšale performanse, kompanije trebaju implementirati prakse pomoću kojih će moći uspostaviti formalni program IoT sigurnosti u okviru kojeg će se znati kada i kako biti proaktivan u cilju pripreme efikasne odbrane od hakerskih napada. Stručnjaci poput Joy Ditto, predsjednice i direktorice Vijeća za komunalne tehnologije, smatraju da industrijske kompanije trebaju imati višeslojnu odbranu od potencijalnih napada na njihov IoT: “Shvatajući da zaštita imovine od svake potencijalne prijetnje nije izvodiva, komunalne kompanije umjesto toga smanjuju rizike uvodeći strategiju slojevite odbrane (kojoj je cilj redundancija poslovnih procesa i odgađanje efekta napada na poslovanje – op. a.)”, kaže Ditto. Kako bi počeli uvoditi bolje sigurnosne mjere i tehnološka rješenja, direktori kompanija moraju poduzeti neke osnovne korake. Prije svega, morali bi rješavati IoT rizike na nivou preduzeća. To podrazumijeva provođenje redovnih procjena rizika kako bi se identifikovali propusti u IoT sistemima i povezanim okruženjima te kako bi se dokumentovali i u djelo proveli planovi za ublažavanje potencijalnih rizika.

Zatim, trebali bi posjedovati detaljno znanje o razlikama između IoT sistema, tj. između standardnih korporativnih IoT sistema i radne opreme te bi trebali dijeliti znanje o sigurnosti kako bi bolje zaštitili svoje sisteme. Odgovorni u kompanijama trebali bi ove razlike uzeti u obzir pri određivanju prioriteta u pogledu sigurnosnih mjera kako bi rizike sveli na minimum. I na kraju, veoma je bitno kombinovati rad IT i proizvodnih sektora kako bi se stvorio zajednički pristup borbi protiv sigurnosnih rizika.

Upotreba relevantnih tehnologija

Spomenutom IBM-ovom studijom među ispitanicima je istražena i upotreba relevantnih tehnologija za osiguravanje IoT-a. Ovo prije svega uključuje korištenje enkripcije kao zaštite od napada koji bi mogli ugroziti osjetljive informacije i dovesti do uništenja imovine i opreme ili stvoriti probleme vezane za ličnu sigurnost. Zatim, tu je mrežna sigurnost i autentifikacija uređaja za osiguravanje IoT uređaja, terenskih uređaja i back-end sistema i aplikacija. Tu također spada sigurnosna analitika kako bi se identifikovali potencijalni IoT napadi te upadi koji su možda zaobišli tradicionalne sigurnosne kontrole, kao i upravljanje identitetima i pristupom. Tako se 25 posto ispitanih kompanija nalazi u završnoj fazi implementiranja napredne proaktivne detekcije IoT prijetnji. Naprednu enkripciju IoT-a implementira 21 posto kompanija, sigurnosnu analitiku 17 posto, dok upotrebi IoT blockchaina pribjegava samo četiri posto kompanija.

Analitika mrežnih aktivnosti

Nažalost, većina cyber kriminalaca koja napada IoT uglavnom je dobro finansirana i inteligentna, sa zaleđem u vidu međunarodnih kriminalnih organizacija kojima ne manjka sredstava i kreativnosti kada treba stvoriti nove sojeve IoT malwarea. To su i razlozi zbog kojih industrijske kompanije, kako bi se odbranile od naprednih hakerskih prijetnji, moraju prvenstveno razmisliti o pametnoj odbrani. U tome im mogu pomoći tehnologija analiziranja mreže radi detekcije sumnjivih aktivnosti, zatim mašinsko učenje jer je vještačka inteligencija danas ključna za održavanje IT sigurnosti budući da identifikuje potencijalne prijetnje, te podaci o prijetnjama koje čine kolekciju informacija o postojećim i nadolazećim prijetnjama. Podaci o prijetnjama mogu pomoći sigurnosnim stručnjacima da donesu odluke potkrijepljene s dovoljno informacija o tome kako da izgrade dovoljno jaku odbranu protiv hakerskih napada. Dakle, tehnologija za analizu mrežne aktivnosti, mašinsko učenje i podaci o prijetnjama tri su bitna faktora cyber sigurnosti koja će kompanijama omogućiti predviđanje prijetnji, njihovu detekciju i što je najbitnije – prevenciju. Sve su to aspekti sigurnosti s kojima savremena industrija mora računati u eri hakerskih napada na IoT sisteme.

Sve češći izvještaji o virusima koji napadaju IoT uređaje

Jedna od prvih IoT sigurnosnih prijetnji bio je Mirai malware iz 2016. godine, koji mrežne uređaje pretvara u daljinski kontrolisane tačke koje se mogu koristiti kao dio botneta u DNS mrežnom napadu. Uređaji koji budu zaraženi Mirai malwareom kontinuirano skeniraju internet u potrazi za IP adresama IoT uređaja. Također, jedna novija IoT prijetnja koja se pojavila ove godine jeste “Hide n Seek” malware, koji sam sebe kopira u /etc/init.d/ direktorij u ugrađenom Linux sistemu IoT uređaja, u kojem se čuvaju programi koji se pokreću sa sistemom. Kada se uređaj koji je na ovaj način zaražen ponovo pokrene, postaje svježe zaražen malwareom, što znači da je ovaj virus u stanju preživjeti restartovanje sistema.

Na koji način će Opća regulativa o zaštiti podataka (GDPR) utjecati na danas sve raširenije sisteme za videonadzor? I kako da poslodavci pripreme svoje poslovanje da bude u skladu s GDPR-om? Više o ovome pročitajte u nastavku

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Kada se spomene zaštita ličnih podataka, većina i ne pomisli na videonadzor. Međutim, kada uzmemo obzir da se pod ličnim podatkom podrazumijeva “svaka informacija koja se odnosi na identifikovano ili raspoznatljivo lice”, onda nam postaje jasno zašto i videosnimci moraju biti tretirani s istom pažnjom kao i medicinski ili bankovni podaci. Ključno je shvatiti da, kada je u pitanju videonadzor, više ne govorimo samo o snimanju videa. Pojava analitike i sistema za identifikaciju objekata zasnovanih na AI-u pomaže vlastima u pristupanju velikoj količini podataka. Ali podataka koji moraju biti zaštićeni u skladu s novom regulativom.

Kako će GDPR utjecati na videonadzor?

Od maja do oktobra ove godine prošlo je sasvim dovoljno vremena da se svi pomire s činjenicom da će se način na koji videonadzorni sistemi manipulišu snimljenim materijalom morati promijeniti kako bi sve bilo u skladu s GDPR-om. Tako će vlasnici kompanija od sada morati imati validne razloge za instalaciju videonadzora, a u njih spadaju zaštita imovine, sigurnost zaposlenika ili snimanje potencijalnih incidenata do kojih može doći u krugu firme. To isključuje postavljanje videonadzora s isključivim ciljem nadzora zaposlenika. Poslodavci koji žele koristiti videonadzor ubuduće će imati obavezu da zaposlenike unaprijed obavijeste o zakonskoj osnovi za korištenje tog sistema na radnom mjestu. Ukoliko se zaposleni pobuni zbog postojanja kamera na nekom specifičnom mjestu, GDPR stavlja teret na poslodavca da dokaže kako ima uvjerljiv razlog za njihovo postavljanje. Do sada je bilo uobičajeno da se snimljeni materijal čuva do mjesec dana. Nakon uvođenja GDPR-a situacija je sljedeća: za duže čuvanje potrebno je provesti procjenu rizika kako bi se dokumentovali razlozi za ovakav postupak (npr. ako postoji mogućnost da će ga tražiti zaposlenici hitne službe). U tom slučaju, snimke treba čuvati tako da se “održava integritet prikupljenih informacija”, što znači enkriptiranje podataka tamo gdje je to potrebno, kao i ograničavanje pristupa njima. Osim toga, potrebno je čuvati i zapise o aktivnostima nadzornih kamera, a ta dokumentacija se mora održavati sve dok traje videonadzor.

Razlozi moraju biti opravdani

Vlasti će, ukoliko budu htjele koristiti videonadzorne sisteme, morati udovoljiti nekim drugim uslovima kako bi se opravdalo njihovo korištenje, a jedan od njih je: da li je videonadzor u javnom interesu? I pojedinci koji imaju kućne videonadzorne sisteme pokriveni su novom regulativom. Naime, pošto će njihove kamere u većini slučajeva snimiti kretanje stranaca van privatne imovine, oni će biti obavezni postaviti jasno vidljive oznake na kojima stoji da je videonadzor u funkciji. Vlasnici privatne imovine će također morati pripaziti na to da snimljene materijale zadrže samo minimalan broj dana, te da se snimci ne pokazuju nekim trećim licima. Međutim, u slučaju da je kamera zabilježila zločin, snimci se mogu čuvati koliko god je potrebno za krivično gonjenje i otkrivanje zločinca.

Koraci koje treba poduzeti

U cilju smanjenja mogućnosti hakiranja nadzornih sistema nužno je uložiti u kvalitetan softver i osigurati mrežni i videonadzorni hardver. Dakle, bitno je da stalno budete u toku s najnovijim cyber sigurnosnim praksama te da se pobrinete za redovne nadogradnje sistema. Ovi koraci su od posebne važnosti zbog interneta stvari, koji današnjim kamerama omogućava povezivanje na internet, što situaciju vezanu za privatnost čini još osjetljivijom, a opremu dostupnijom hakerima. Također, zaista nema potrebe da se kamere postavljaju posvuda. Dovoljno je da se kompanije fokusiraju na ključne tačke nadziranog terena te da zatim svoju strategiju fokusiraju na ta područja. Pri postavljanju novog sistema potrebno je imati u vidu to da postoji obaveza da se izradi Procjena utjecaja na zaštitu podataka kada je u pitanju “obiman sistematski monitoring javno dostupnih prostora”. Jednostavno se zapitajte zašto na nekom mjestu želite postaviti kameru? Postavljanjem ciljanog videonadzora imat ćete i opravdane razloge za pohranu i analizu prikupljenih podataka. Usaglašenost s odredbama GDPR-a u velikoj mjeri zavisi od toga kako koristite usluge koje pružaju partnerske kompanije. Zato je za sve vlasnike biznisa bitno da znaju šta sve korištenje usluga partnerskih kompanija podrazumijeva u smislu obaveza vezanih za GDPR i na kome je da te obaveze ispuni.

Enkripcija kao bitna stavka

Dave Seesdorf, glavni menadžer sigurnosnih proizvoda u Seagate Technologyju, smatra da je enkripcija najbolji metod zaštite podataka koji vam omogućava da poslovanje bude u skladu s GDPR-om: “GDPR se bavi zaštitom podataka. Vjerujem da sve nove tehnologije zasnovane na vještačkoj inteligenciji, poput prepoznavanja lica, brojeva registracijskih tablica, preciznog geolociranja pojedinca, rudarenja podataka i prikupljanja itd., spadaju u kategoriju ličnih podataka. A pošto Evropska unija implementira GDPR, podaci o nadzoru, logično, sadrže lične podatke, pa ih shodno tome treba zaštititi. Budući da je enkripcija podataka jedna od stvari koje su obuhvaćene principom ugrađene privatnosti, to bi mogla biti najbolja praksa za zaštitu podataka dobivenih pomoću nadzornih sistema”, objasnio je on.

Treba imati na umu da firewalli, sigurnosni softver i mnoge druge sigurnosne mjere zasnovane na softveru nisu nepogrešive, što znači da integratorima videonadzora trebaju dodatni alati kako bi detektovali i spriječili sigurnosne propuste. U takvim slučajevima dobro dođu inteligentni i intuitivni algoritmi koji traže ranjivosti u sistemu i savjetuju vas na koji način trebate postupiti kako bi se blokirali hakerski napadi, nakon čega se predložena akcija obavlja automatski jednostavnim klikom miša. Na svu sreću, danas nije teško doći do ovakvih i sličnih rješenja koja vam štede vrijeme i živce prilikom prilagođavanja novim pravilima vezanim za privatnost potadaka. Na kompanijama je samo da se na vrijeme raspitaju o svim dostupnim opcijama.

Pikseliziranje – pomoć pri usklađivanju s GDPR-om

Jedan od načina da se kompanijama olakša pridržavanje GDPR-a jesu moduli za automatsko pikseliziranje ljudi, automobila i registracijskih tablica u videu. Jedan od njih i svojevremeno prvi koji je proglašen spremnim za GDPR jeste KiwiVision Privacy Protector, koji omogućava podešavanje nivoa anonimizacije na snimcima odabranih kamera. Objekti i osobe u videu se mogu pikselizirati, zamagliti ili potpuno zakloniti, a pikselizacija se, naravno, po potrebi može i deaktivirati. Cloud alat Pixelate kompanije Ocucon obavlja sličnu stvar, a u firmi naglašavaju da njihov alat koristi AI i mašinsko učenje za efikasnu cloud redakciju videa.