Intervju: Haji Amirudin Abdul Wahab, direktor, CyberSecurity Malaysia

Dr. Haji Amirudin Abdul Wahab je direktor agencije CyberSecurity Malaysia, krovne organizacije za cyber sigurnost i elektronski suverenitet Malezije. Globalno je prepoznat kao ključni ekspert koji stoji iza plasmana Malezije među deset najbolje rangiranih zemalja prema Indeksu globalne informatičke sigurnosti. Pionir je koncepta kolaborativne istrage, koji razvija za potrebe Interpola, a smatra ga okosnicom budućeg globalno uvezanog sistema cyber sigurnosti u agencijama za provedbu zakona.
Razgovarao: Damir Muharemović; E-mail: redakcija@asadria.com
a&s Adria: Koji su, po vama, ključni problemi u savremenoj cyber sigurnosti?
Abdul Wahab: Sa sve većom konvergencijom tehnologija, bit će i više prijetnji. Neki od savremenih trendova koje vidimo na djelu uključuju ransomware i curenje podataka. I prevare su jedan od većih incidenata koji se stalno prijavljuju i vezane su za kupovinu na mreži i krađu identiteta. Tu su i upadi u sisteme, odnosno hakiranje. Konačno, imamo incidente koji su povezani sa sadržajima, kao što su lažne vijesti, pornografija i cyber uznemiravanje. Ovo su neke od tehničkih i netehničkih prijetnji ne samo na globalnom nego i na nacionalnom nivou. U Maleziji imamo Centar za cyber sigurnost, u kojem dobijamo informacije o incidentima od raznih pojedinaca i organizacija iz javnog ili privatnog sektora. Klasificiramo ih u različite kategorije. Kao specijalizirana nacionalna agencija, pokrivamo sve navedene oblasti kako bismo pomogli u provedbi zakona. Naprimjer, prevara je više tema koja se tiče policije, ali mi im pružamo neophodnu tehničku pomoć u vođenju istrage i drugim stvarima u koje se bolje razumijemo.
a&s Adria: Kako vi pristupate spomenutim prijetnjama?
Abdul Wahab: Ključna stvar je sagledati pitanje cyber sigurnosti iz holističke perspektive. To uključuje tri elementa: ljude, procese i tehnologiju. Kada govorimo o ljudima, svi ovi incidenti se dešavaju jer ljudi koriste određene tehnologije. Oni, pri tome, imaju ograničenu svijest o sigurnosti kada se služe njima. Često im nedostaje svijest i razumijevanje scenarija u ekosistemu cyber sigurnosti jer i vi dobro znate da se tehnologija kontinuirano mijenja. Potrebno je neko vrijeme da se izgrade sposobnosti, kompetencije i iskustva. Dakle, uprkos tome što stalno nadograđujete svoje mogućnosti, možda to i ne ide dovoljno brzo koliko bi trebalo ići. Zatim, tu je komponenta procesa. Ne postoji 100% sigurnost, ali rizike moramo svesti na minimum. Dakle, moramo imati odgovarajuće procese koji uključuju politike, smjernice i preventivne mjere. Za one koji nemaju dovoljno razumijevanja za ovu materiju, izloženost prijetnjama je vrlo visoka, a kad se incident već dogodi, oni tek tada shvate da su sigurnost tretirali kao “naknadnu pamet”.
a&s Adria: Zato što djeluju reaktivno, a ne proaktivno?
Abdul Wahab: Da, oni odgovaraju na dešavanja umjesto da minimiziraju prijetnju kroz preventivne mjere. Zato stalno imamo probleme u segmentu procesa. Tu je i tehnološka strana. Očigledno je da su uz sve brže promjene nama potrebni alati koji se mogu nositi s prijetnjama i, jednako važno, s tehnološkim promjenama. Kada je u pitanju tehnologija, moramo imati alate koji tretiraju element onoga što nazivam adaptivnom sigurnošću. Ona podrazumijeva tehnologiju koja nam pomaže da odgovorimo na incidente, ali i da smanjimo mogućnost napada kroz preventivne, pa čak i detektivske prakse. Analizirajući prijetnju kroz prizmu trendova, obrazaca i anomalija, vi možete razviti sposobnost predviđanja. To su stvari koje nedostaju mnogim organizacijama u javnom ili privatnom sektoru, ne samo u Maleziji nego i na globalnom nivou. Samo kroz ova tri elementa i holistički pristup uslugama možemo smanjiti, ali ne i potpuno riješiti problem cyber sigurnosti.
Ranjivost nije povezana samo s alatima i sistemima, već i s ljudima
a&s Adria: Šta mislite pod time da se neće moći potpuno riješiti problem cyber sigurnosti?
Abdul Wahab: Uz pojačane aktivnosti digitalizacije i digitalne transformacije, više ljudi će biti izloženo napadima i zato se svi ovi problemi stalno vraćaju na scenu. Ranjivost ne leži samo u alatima i sistemima već i u ljudima. Zato i dalje imamo probleme. Ovi incidenti se i dalje dešavaju, a to će se samo nastaviti jer će se u budućnosti povećati i broj i složenost aktivnosti u okviru cyber kriminala. Sada su napadači prešli iz tradicionalnog prostora u novu sferu koju zovemo cyber prostor.
a&s Adria: Zna li policija kako zaplijeniti kriptovalute? Kako tome pristupate?
Abdul Wahab: Ponekad viši nivo složenosti cyber kriminala (drugi, treći ili četvrti) zahtijeva posebne tehničke vještine, alate i procese koji možda nisu dostupni organima gonjenja. Dakle, njihova osnovna djelatnost nije fokus na tehnologiju. Njihova osnovna djelatnost je da budu agencija za provedbu zakona, a ne da rade kao tehnički specijalisti ili odjeli za istraživanje i razvoj. To je ono što se tiče ljudskog faktora. Mi im možemo pružiti obuku za slučajeve cyber kriminala osnovnog nivoa. Drugi dio se bavi procesima jer, kada je u pitanju istraga, slučajevi mogu biti prilično složeni. Uzmite u obzir samo pojavu novih tehnologija, naprimjer potrebu da se istraže kriptovalute. Dakle, oni moraju raditi s ljudima poput nas, a to se i dešava na području Malezije. Mi, naprimjer, radimo s nacionalnom finansijskom policijom kako bismo im pomogli da zaplijene kriptovalute.
a&s Adria: Imate li primjer iz prakse?
Abdul Wahab: U praksi, agencije za provedbu zakona prvo daju neophodne inpute nama kao partneru. Nakon toga radimo na izradi standardne operativne procedure potrebne za vođenje zajedničkih istraga. Naprimjer, mi smo 2019. godine pomogli Interpolu da razvije prve globalne smjernice za digitalne forenzičke prijetnje. Obavijestili su nas o čemu je riječ i mi smo pružili pomoć od koje je imalo korist više od 190 zemalja članica Interpola. Tako dolazimo do trećeg segmenta – alata i tehnologija za rješavanje problema cyber sigurnosti, a koji su namijenjeni agencijama za provedbu zakona kao što je policija. Oni ponekad moraju riješiti neki slučaj za koji nemaju odgovarajuće alate. Problem nastaje ako je potrebno kupiti alat za samo jedan konkretan slučaj. Imajte na umu da su ovi alati često veoma skupi. Dakle, umjesto toga možete raditi s tijelima kao što je naša tehnička specijalizirana agencija. Mi posjedujemo različite alate tako da nam oni mogu samo proslijediti tehnički problem i pustiti nas kao njihovog partnera da ga riješimo. Mi možemo razviti i alate prilagođene njihovim potrebama. Organi reda na taj način ne moraju ulagati u infrastrukturu, sistem, alate, tehnologiju. Trebaju samo podijeliti s nama slučajeve na kojima rade.
Važno početi od projektovanje sigurnosti
a&s Adria: Koje su strategije i alati potrebni za borbu protiv međunarodnog cyber kriminala?
Abdul Wahab: Vrlo je važno početi od onog što nazivamo projektovanom sigurnošću. Moramo minimizirati mogućnost da se prijetnje i zločini uopće i dogode. To znači da morate dizajnirati stvari uz svijest da prijetnje postoje. Ove stavke morate ne samo uključiti već i pokušati da upravljate problemom cyber kriminala na međunarodnom nivou kroz zajednički rad. Navest ću jedan primjer. Mi moramo riješiti probleme s kojima se suočavaju agencije za provedbu zakona na nacionalnom i međunarodnom nivou. Njihova osnovna funkcija je da istražuju, štite i provode zakon, odnosno osiguraju da svi cyber kriminalci budu privedeni. Ali, za to su potrebne kompetencije. To zahtijeva istraživanje i razvoj. Agencije za provedbu zakona moraju raditi s drugim tijelima zbog same prirode cyber prostora u kojem nijedan akter ne može sam riješiti sve probleme. Organi za provedbu zakona, poput policije, moraju raditi s tijelima kao što su naša agencija, tehničke zajednice, industrijski igrači, pa čak i akademska zajednica. Pri tome se mora obratiti pažnja na sva tri elementa koja sam gore opisao. To je ono što ja zovem kolaborativnom istragom. Važno je razumjeti ovaj koncept jer se danas istragama ne mogu baviti samo organi za provedbu zakona. U Maleziji naše policijske snage imaju ljude koji se bave istragom kriminalnih aktivnosti u cyber prostoru. Međutim, oni se bave samo onim što nazivamo istragama prvog nivoa. Ali, kada su u pitanju složeniji slučajevi, odnosno drugi, treći i četvrti nivo, oni rade s nama kao tehničko-specijalističkom agencijom i mi im pružamo tehničku pomoć.
a&s Adria: Model kolaborativne istrage, dakle, nije samo nacionalnog već i međunarodnog karaktera?
Abdul Wahab: Da, on se može primijeniti i na međunarodnom nivou u borbi protiv cyber kriminala, uz angažman agencija za provedbu zakona. Sada pokušavamo nastaviti sa saradnjom s međunarodnim tijelima kao što je Interpol. Ne možete raditi sami, nijedan organ ne može. Moramo to imati na umu u ovoj digitalnoj eri – eri cyber prostora. Važnost saradnje nije samo u razmjeni informacija i znanja već i u njihovoj primjeni u smislu vođenja istražnih aktivnosti. U Maleziji ne radimo samo s policijom već i sa skoro svim agencijama za provedbu zakona, bilo da su to one iz finansijskog sektora, kao što je naša Centralna banka, nacionalno tijelo za borbu protiv korupcije ili regulatorne institucije. Isto tako se može upravljati globalnim finansijskim cyber kriminalom i na međunarodnom nivou.
a&s Adria: Radite li i s privatnim organizacijama i kompanijama?
Abdul Wahab: Imamo program saradnje u oblasti cyber sigurnosti s lokalnim tržišnim igračima i industrijama. Radimo i s raznim akademskim institucijama i visokoškolskim ustanovama. Imamo laboratorije koje smo uspostavili u okviru centara za izvrsnost na nekim od lokalnih univerziteta. Ova saradnja s univerzitetima također je važna jer nam oni mogu pomoći da razvijemo alate koji su potrebni organima za provedbu zakona i policiji. Pomažući nam u oblasti istraživanja i inovacija, oni podržavaju razvoj alata za borbu protiv cyber kriminala. Ista stvar se tiče i industrije jer su oni u mogućnosti da s nama podijele stvari koje imaju. To su, naprimjer, proizvodi ili rješenja koja mogu biti relevantna za korištenje ili prilagođavanje potrebama organa reda. Radeći sa svima, s akademskom zajednicom, državom, regulatornim tijelima i privatnim sektorom, mi postajemo most koji pomaže agencijama za provedbu zakona u različitim zemljama. Do sada smo pružili pomoć zemljama kao što su Bruneji, Indonezija, Tajland, Maldivi i Oman. Dakle, to je dokaz moći znanja. Ono ne dolazi samo od nas nego proizlazi iz našeg iskustva i saradnje s različitim sektorima. Sve to nam omogućava da izgradimo neophodne sposobnosti za zajednički rad i rješavanje problema cyber kriminala i sigurnosti.