Između “nužnog zla” i regulatornog pritiska

U ambijentu u kojem 50 posto ispitanih organizacija u Hrvatskoj informatičku sigurnost percipira kao nemilu troškovnu stavku, regulativa se nameće kao generator pozitivnih trendova

Piše: Mirza Bahić; E-mail: redkacija@asadria.com

U sjeni priče o Zakonu o kibernetičkoj sigurnosti i NIS2 direktivi, cyber sigurnost u Hrvatskoj u protekloj godini obilježili su trendovi koje je najlakše opisati kao kombinaciju koraka naprijed i nazad, pri čemu je teško procijeniti kojih je bilo više. Zadatak brojanja ovih koraka na sebe je preuzela hrvatska informacijsko-sigurnosna kompanija Diverto, koja je objavila obiman izvještaj “Stanje informacijske i kibernetičke sigurnosti u 2023. godini”, čije vam ključne dijelove predstavljamo u nastavku teksta.

 Rast sigurnosne zrelosti, uz znatne sektorske razlike

Nivo organizacijske zrelosti u odnosu na kibernetičke prijetnje uzet je kao početna osnova za ispitivanje općih trendova informatičke sigurnosti u organizacijama. Istraživači su ovaj put usporedili prosječan nivo zrelosti u hrvatskim poslovnim subjektima i nivo sigurnosnog programa koji se primjenjuje i ocijenili ga bodovima. Opći zaključak je da u većini organizacija sigurnosne kontrole u prosjeku postaju zrelije i sveobuhvatnije, što je, pretpostavlja se, posljedica generalnog trenda snažnijeg razvoja informacijske i cyber sigurnosti stupanjem na snagu GDPR-a i Zakona o kibernetičkoj sigurnosti. Organizacijska zrelost je, pri tome, ocijenjena kao postojanje formaliziranog sistema sigurnosnih kontrola na određenom nivou, čak i ako se one ne primjenjuju u potpunosti ili je nemoguće procijeniti njihov konkretan učinak.

Istraživanje je ukazalo na još jedan zanimljiv trend: odsustvo želje organizacija da po dostizanju potrebnog minimalnog nivoa pređu na više nivoe sigurnosti. Razlog za to je poslovnog, a ne sigurnosnog karaktera jer takav korak iziskuje dodatne troškove koje odjeli zaduženi za cyber sigurnost često ne mogu opravdati pred upravama kompanija.

Istovremeno, glavni pokretač inicijativa za jačanje kibernetičke i informatičke sigurnosti je postizanje usklađenosti s novom regulativom. Prema autorima, navedeni pristup cyber sigurnosti može biti opasan jer ne vodi kreiranju proaktivnog informatičko-kibernetičkog sistema odbrane koji bi mogao izaći na kraj s prijetnjama koje kontinuirano evoluiraju. Drugi potencijalno negativan trend je i neujednačen nivo sigurnosne zrelosti u svim sektorima. Tu i dalje dominiraju banke i finansijske institucije. Ovo je ponešto razumljivo zbog činjenice da kod tih subjekata pojam cyber sigurnosti nije nepoznanica već više od dvadeset godina.

Primjeri incidenata u 2023. godini

Instagram profil Grada Dubrovnika bio je hakiran u aprilu 2023, što je rezultiralo gubitkom kontrole nad objavama na profilu. U junu iste godine Hrvatski autoklub pretrpio je hakerski napad na servere, što je utjecalo na rad mrežnih stranica i pružanje internetskih usluga, uključujući informisanje o stanju u cestovnom saobraćaju. Hakerski napad izveden u oktobru blokirao je rad državne firme Hrvatske vode.

 Trošak ili ulaganje u poslovanje?

Još jedan indikator stanja u sektoru cyber sigurnosti jeste i visina budžeta koji organizacije izdvajaju za potrebe svoje zaštite. Opći zaključak je da su budžeti za cyber sigurnost u Hrvatskoj ostali na sličnom nivou kao prethodnih godina, uprkos rastućim prijetnjama u ovom sektoru. S druge strane, kako se približavaju rokovi za dovršetak priprema za implementaciju novih direktiva kao što su NIS2 i DORA (Uredba o digitalnoj operativnoj otpornosti za finansijski sektor), neke organizacije su počele izdvajati više za cyber sigurnost.

Za sada se može reći da raste broj organizacija koje troše 10% i više IT budžeta na informatičku i cyber sigurnost. Ipak, ovaj vid sigurnosti se i dalje najčešće percipira kao operativna stavka i trošak, a ne strateška odrednica ili kompetitivna prednost. Kao ilustracija u istraživanju je navedena činjenica da oko 50% ispitanih organizacija u Hrvatskoj informatičku sigurnost percipira kao “nužno zlo”.

S tehničke strane, istraživanje je identificiralo i određene pomake u implementaciji mjera na nivou organizacija, kao što je primjena “Admin tiering” modela i privilegovanih radnih stanica za izvođenje administrativnih zadataka. Isto važi i za korištenje jump-box radnih stanica i naprednije mrežno segmentiranje.

Hrvatska Agencija za zaštitu osobnih podataka u prošloj je godini znatno pojačala svoje aktivnosti, što je rezultiralo sa sedam izrečenih kazni u ukupnom iznosu većem od 8,2 miliona eura

Raste potražnja za kvalificiranim osobljem

Trend visoke stope davanja otkaza nakon pandemije (tzv. big quit) usporio je u ostatku svijeta, ali posljedice tog trenda nisu pretjerano vidljive u Hrvatskoj. To je zato jer se sve organizacije i dalje suočavaju s nedostatkom kvalificirane radne snage u oblasti cyber sigurnosti. Potražnja za specijaliziranim funkcijama, kao što je pozicija direktora informatičke sigurnosti, u 2023. porasla je za 33% u odnosu na prethodnu godinu. Dodatni problem predstavlja očekivani dalji rast potražnje nakon stupanja na snagu nove regulative na području Hrvatske i Evropske unije.

Nešto optimističniju sliku nudi polje zaštite ličnih podataka. Hrvatska Agencija za zaštitu osobnih podataka u prošloj je godini znatno pojačala svoje aktivnosti, što je rezultiralo sa sedam izrečenih kazni u ukupnom iznosu većem od 8,2 miliona eura. U poređenju s prethodnim godinama, to je povećanje od 230% prema izrečenim kaznama. I hrvatski Sigurnosno-operativni centar je znatno povećao broj provedenih istraga i obrađenih sigurnosnih događaja. Rast je rezultat povećanja kapaciteta SOC-a, broja korisnika, novih uređaja i podržanih tehnologija te unapređenje sigurnosnih operacija, navodi se u istraživanju.

Potražnja za specijaliziranim funkcijama, kao što je pozicija direktora informatičke sigurnosti, porasla je za 33%

Digitalna infrastruktura i proizvodnja na udaru

Hrvatska se lani suočila s raznim sigurnosnim izazovima, s naglaskom na napade na servere u javno dostupnim servisima. Sektori koji su u 2023. bili najčešća meta napada su digitalna infrastruktura i javne telekomunikacije (25%), proizvodnja (25%), komunalne usluge (13%), ICT sektor (13%), banke i finansijske institucije (12%) i trgovina (12%).

Napadi na servere činili su 34% svih incidenata, dok se na kompromitaciju korisničkog računa odnosilo 22% napada. Napadi malverom, kompromitacijama aplikacije, ransomverom i neovlašteni pristup imali su svaki po 11% u strukturi incidenata. Najviše ranjivosti pronađeno je zbog slabih kriptografskih algoritama, neadekvatnih mjera jačanja servisa i sigurnog dizajna te nedostatka nadogradnji softverskih paketa. Napadi putem softverskih komponenti, repozitorija otvorenog koda i aplikacija trećih strana globalno su u porastu, no u Hrvatskoj nije bilo značajnijih incidenata uzrokovanih slabostima u softverskim komponentama trećih strana. Napadi ucjenjivačkim softverom (ransomware) zabilježili su rast, ali je važno naglasiti da je u 2023. stopa njihove uspješnosti na području Hrvatske bila niža.

Sektori koji su u 2023. bili najčešća meta napada su digitalna infrastruktura i javne telekomunikacije (25%), proizvodnja (25%), komunalne usluge (13%), ICT sektor (13%), banke i finansijske institucije (12%) i trgovina (12%)

Prepoznaju li korisnici phishing poruke?

Od 2018. do 2022. godine zabilježen je konstantan trend pada postotka korisnika koji nisu prepoznali phishing poruku. Međutim, u 2023. taj je broj znatno porastao za 9% u odnosu na godinu ranije i sada iznosi 30%. Ova razlika proizlazi iz činjenice da je lani čak 73% korisnika prvi put testirano. Od prve do četvrte kampanje, postotak korisnika koji ne prepoznaju phishing poruku pao je s 38% na 9%, dok je postotak korisnika koji su ispravno prepoznali i prijavili phishing poruku narastao s 3% na 30%.

Uspon infostealera i coinminera

Napadači su tokom 2023. godine malware koristili primarno za finansijski usmjerene napade. Infostealeri su najčešća vrsta zlonamjernog programa korištenog na prostoru Hrvatske, što je u skladu s globalnim trendovima. Infostealeri ciljaju podatke kao što su unosi na tastaturi, snimke ekrana, podaci o kreditnim karticama, akreditivi različitih aplikacija, elektronska pošta i kontakti te kriptonovčanici. Cilj infostealera je krađa osjetljivih informacija, a najčešće korišteni programi uključuju RedLine, Amadey, Raccoon, ViperSoftX i AgentTesla. Metode zaraze uključuju phishing poruke s priloženim dokumentima i drive-by-download (lažno ažuriranje internetskog pretraživača). Zanimljivo je da su neki kompromitovani linkovi preuzeti s lanca blokova, što ukazuje na evoluciju napadača i njihovu potragu za novim načinima distribucije zlonamjernog koda. Tu su i coinmineri kao zlonamjerni programi koji koriste resurse zaraženih računara za rudarenje kriptovaluta u korist napadača. Raspberry Robin je rastuća prijetnja u Hrvatskoj i globalno, koja se najčešće širi putem USB memorije i služi za dostavljanje opasnih datoteka kao što su Clop i LockBit ransomware.

Sigurnost kao poslovni rizik

Opasnosti povezane s ovom oblašću već su zauzeli visoko mjesto među pet najvećih rizika za poslovanje organizacija, što je trend koji dobija na snazi i u Hrvatskoj. Na kraju istraživanja, autori navode da će cyber sigurnost u Hrvatskoj u dolazećim godinama igrati sve značajniju ulogu u poslovanju, posebno na krilima novih regulatornih okvira kao što su NIS2 i DORA. Ostaje da se vidi koliko dugo će sigurnosni trendovi u Hrvatskoj imati lokalni karakter prije nego što se utope u odraz globalnih kretanja u industriji koja od samih početaka počiva na nepostojanju virtuelnih i geografskih granica.

Oprez ponedjeljkom i utorkom

Ako se analizira broj napada po mjesecima, primjećuje se da su DDoS incidenti u hrvatskom internetskom prostoru učestali tokom cijele godine, bez jasno definiranog razdoblja kada to nije slučaj. Usluge koje se lokalno pružaju kod samih korisnika i u oblaku podjednako su napadane, pri čemu je oblak bio pogodniji i za izvođenje ekonomski orijentiranih napada. Najčešće vrijeme napada u 2023. su ponedjeljak i utorak u jutarnjim satima, što sugerira da napadači biraju vrijeme kada su posljedice po poslovanje najveće. U usporedbi s prethodnim godinama, prošla je godina bila rekordna po količini obuhvaćenih podataka u najvećem zabilježenom napadu, koji je iznosio 5,3 Tb. Geografski gledano, najviše žrtava DDoS napada bilo je u Zagrebu.