28 Jula, 2026
image
Home Security Services Kategorija Cyber sigurnost (Page 5)

Cyber sigurnost

OPTEX-ove tehnologije štite ključne IT podatke

U današnjem digitalnom dobu centri podataka služe kao osnova globalne ekonomije, pohranjujući ogromne količine osjetljivih informacija u ključnu IT infrastrukturu. Sigurnost ovih objekata od presudnog je značaja za zaštitu podataka, ne samo od cyber prijetnji već i od fizičkih upada

Piše: Odjel marketinga, OPTEX Security; E-mail: optex@optex.com.pl

Zaštita perimetra prva je linija odbrane i ključni element sigurnosnog sistema. Kao i kod svakog pokušaja upada, pravovremeno otkrivanje je presudno, a zaštita granica objekta omogućava sigurnosnom osoblju da predvidi potencijalne prijetnje. Napredne tehnologije vlakana, poput OPTEX-ovih Fiber Sensys i Echopoint serija, mogu detektovati vibracije i neobične aktivnosti, kao što je približavanje vozila. Konkretno, Echopoint serija omogućava detekciju do 100 km udaljenosti od jedinice za obradu alarma. Ovi optički kablovi mogu se ukopati, postaviti na ograde ili koristiti kao kombinacija oba, a zahvaljujući visokonaprednim algoritmima, mogu filtrirati lažne alarme i precizno detektovati lokaciju uljeza unutar +/- 6 metara. Također, mogu ukazati da li neko hoda ili trči, pokušava presjeći ili onemogućiti ogradu, ili ako se približava automobil, kamion ili mašina.

Praćenje i odvraćanje uljeza

Dodatna sigurnosna mjera kojom se osigurava da samo ovlaštena vozila ulaze ili izlaze iz perimetra data centra su zračne komore za vozila. Ovdje, OPTEX-ovi nadzemni detektori vozila OVS-02 GT za automatizaciju kapija osiguravaju efikasno funkcionisanje, precizno detektujući prisustvo vozila i filtrirajući ljudski promet i neovlaštena vozila, čime se smanjuje potreba za intervencijom i povećava ukupna sigurnost podatkovnog centra.

Ako uljezi uspiju probiti perimetar, važno je pratiti njihove pokrete i presresti njihove akcije prije nego što situacija eskalira. Lidarski sistemi, poput REDSCAN Pro-a, instalirani u horizontalnom modu, mogu pokriti široko područje oko zgrada i omogućiti prilagodbu zona detekcije u skladu s rasporedom objekta, pri čemu svaka zona aktivira različite automatizirane odgovore. REDSCAN Pro pokriva široku detekcijsku zonu do 100 metara dužine i 50 metara širine, koja se može podijeliti na osam unaprijed postavljenih zona, gdje svaka zona može prepoznati objekte različitih veličina i brzina kretanja, uključujući ljude, vozila ili divljač.

Sljedeći sloj sigurnosne infrastrukture je sama zgrada, čija struktura mora biti zaštićena od prijetnji poput bušenja zidova, pristupa putem ventilacijskih sistema ili krova. Lidarska tehnologija povećava sigurnost stvaranjem virtuelnih zidova za preciznu i pouzdanu detekciju oko strukture zgrade i virtuelnih plafona na krovovima. Dodatno, OPTEX laseri su opremljeni inteligentnom logikom koja filtrira sigurnosne događaje, kao što je alarmiranje samo kada se osoba približi zgradi, a na lokaciji nema prisutnog čuvara. Model REDSCAN mini-Pro, RLS020V, sadrži ugrađenu IR kameru za trenutnu provjeru alarma čak i u potpunom mraku.

Zaštita serverskih soba

Serverske sobe su ključne za svaki centar podataka. Kontrola pristupa od presudnog je značaja, a tradicionalne metode poput bedževa ili biometrije možda nisu dovoljne. 2D lidarski senzori su idealni za unapređenje sigurnosti, jer nude pouzdanu detekciju koja nije pogođena promjenama temperature ili osvjetljenja. Ovi senzori mogu se instalirati ispod podova, u plafonima ili oko serverskih ormara, stvarajući virtuelne barijere za zaštitu opreme. Oni se integrišu sa sistemima za kontrolu pristupa i VMS sistemima, pružajući preciznu detekciju upada i brzu reakciju.

Povreda podataka kao globalna finansijska trauma

Rast učestalosti incidenata s povredom podataka doveo je do rekordno visokog skoka troškova povezanih s ovim napadima, uz AI i obuku osoblja kao instrumente zaštite i uštede

Piše: Mirza Bahić; E-mail: redakcija@asadria.com

Globalno breme povrede podataka danas se ne mjeri samo učestalošću ove pojave nego i troškovima koji ostavljaju sve veće rupe u organizacijskim i ličnim budžetima. Ono o čemu je struka govorila na marginama konferencija, a javnost nevješto otpisivala kao pretjerivanje razotkrio je IBM-ov izvještaj o troškovima povreda podataka u 2024. godini. Prema njemu, globalni ambijent u kojem se dešavaju ovi incidenti nikada nije bio rizičniji, a organizacije širom svijeta danas prijavljuju rekordne budžetske troškove povezane s povredama podataka. Kao ilustraciju, IBM navodi da je globalni prosječni trošak povreda podataka skočio za najmanje 10%, dostigavši vrijednost od 4,88 miliona američkih dolara. Ova cifra predstavlja najveći godišnji rast od okončanja pandemije, dok sam trošak proizlazi iz prekida poslovanja te radova na sanaciji štete nakon povreda podataka i operativnih zastoja.

Dugotrajan i skup oporavak

Nakon dijagnoze, ključno pitanje za većinu potencijalnih i bivših meta jeste kako smo došli do ove tačke i šta se može učiniti da se ublaži rast troškova povezanih s povredama podataka. To je posebno zanimljivo u vrijeme kada vlada percepcija da je tehnološki napredak gotovo svemoguć u svom kapacitetu za rješavanje problema, pri čemu mnogi zaboravljaju da batina ima dva kraja i da srodna rješenja koriste i “branitelji” i akteri napada s povredom podataka.

Ipak, nisu svi incidenti ovog profila isti, tako da izvještaj naglašava da se povrede podataka koje uključuju ukradene ili kompromitirane akreditive najduže rješavaju, odnosno potrebna su ni manje ni više nego 292 dana za identifikaciju i sanaciju posljedica napada.

Istovremeno, produžavanje perioda sanacije dovodi do svojevrsne vanredne situacije u organizacijama i podiže njihovu izloženost novim napadima u navedenim intervalima, uz neminovni rast finansijskih troškova. Osim neposrednih troškova oporavka, povreda podataka ima i indirektne finansijske posljedice poput gubitka poslovnih prilika i narušavanja reputacije. Na kraju, na povećanje troškova povrede podataka utječe i njihova pohrana u neuređenim bazama i izvorima. Ovi “sjenoviti” podaci kreiraju dodatne slojeve ranjivosti na već postojeće i podižu troškove povrede podataka za dodatnih visokih 16%.

Zdravstvo i finansije trpe najveće troškove

Iako su svi sektori ranjivi na kibernetičke napade, neke industrije se suočavaju sa znatno višim troškovima povrede podataka. Zdravstvo je, naprimjer, “najskuplja” industrija za napade ovog tipa, s prosječnim troškom od 9,77 miliona američkih dolara. Ovo je uglavnom posljedica osjetljive prirode podataka o pacijentima i strogih regulatornih zahtjeva koje pružaoci zdravstvenih usluga moraju zadovoljiti.

Sektor finansija također bilježi visoke troškove povrede podataka zbog svoje izražene osjetljivosti na nivo povjerenja korisnika i složenu digitalnu infrastrukturu. Na globalnom nivou, 46% svih povreda podataka uključivalo je ugrožavanje ličnih podataka korisnika, što je dodatno podiglo troškove zbog potrebe za poduzimanjem opsežnih mjera sanacije, poput praćenja kreditne historije komitenata i organizacije obavještavanja korisnika.

AI i automatizacija mogu biti izvor milionskih ušteda

Pored statističke evaluacije napada, jedna od najvažnijih stavki u izvještaju je procjena uloga vještačke inteligencije i automatizacije u smanjenju troškova povrede podataka. Prema dostupnim podacima, organizacije koje su šire primjenjivale vještačku inteligenciju za svoju kibernetičku zaštitu zabilježile su prosječnu uštedu od 2,2 miliona dolara u poređenju s onima bez navedenih tehnologija. AI i automatizacija su se pokazali posebno efikasnima u prevenciji, detekciji i odgovoru na povrede te kao podrška u ubrzavanju vremena oporavka i smanjenju ukupnog finansijskog opterećenja.

Uprkos jasnim prednostima vještačke inteligencije u ovom segmentu, njena globalna primjena je izraženo neujednačena. Iako je skoro dvije trećine organizacija implementiralo neki oblik cyber sigurnosti na bazi AI-ja, značajan jaz i dalje postoji, posebno u sektorima u kojima su prisutni zastarjeli sistemi. Kompanije koje ne računaju s AI-jem u svojoj cyber strategiji ne samo da se izlažu većoj ranjivosti već i rizikuju znatno veće finansijske gubitke u slučaju povrede, navodi se u izvještaju.

IBM navodi da je globalni prosječni trošak povreda podataka skočio za najmanje 10%, dostigavši vrijednost od 4,88 miliona američkih dolara, što predstavlja najveći godišnji rast od okončanja pandemije

Cijena ljudskog elementa

Ipak, u troškovnoj strukturi povrede podataka nije sve u tehnologiji koja se nerijetko promovira kao univerzalni lijek za sve sigurnosne probleme. Zapravo, jednako važan faktor rasta troškova povrede podataka je i nedostatak vještina iz oblasti cyber sigurnosti. Tako je više od polovine ispitanih organizacija prijavilo kritični manjak kvalificiranih stručnjaka za cyber sigurnost, što dovodi do povećanja troškova povezanih s povredama podataka za najmanje 26%. Situaciju dodatno pogoršava rastuća površina napada kako kompanije usvajaju nove tehnologije poput AI-ja i interneta stvari (IoT), čija pravilna zaštita zahtijeva specijalizirana stručna znanja.

Da bi ovo riješile, organizacije moraju ulagati ne samo u napredna sigurnosna rješenja nego i u obuku zaposlenika za rad s novim tehnologijama. Pri tome, i javni i privatni sektor su podjednako pozvani da razviju sveobuhvatne programe obuke kako bi se smanjio jaz u dostupnim vještinama iz oblasti cyber sigurnosti i tako osigurala podjednaka snaga ljudskog i tehnološkog elementa u sigurnosnim operacijama.

Pola troškova na prekid poslovanja

IBM-ov izvještaj otkriva da su troškovi povezani s prinudnom obustavom rada, uključujući gubitke prihoda zbog zastoja u sistemima i štetu po reputaciju, među najznačajnijim faktorima ukupnih troškova povrede podataka. U prosjeku, ovi indirektni gubici čine 50% ukupnog iznosa troškova povezanih s ovim napadima. Za organizacije koje se suoče s poremećajima radnih tokova, prosječni trošak povrede podataka iznosio je 5,01 milion dolara, što samo naglašava ozbiljan finansijski utjecaj čak i kratkoročnih prekida poslovanja.

 Cijena inertnosti

Kako globalni ambijent cyber prijetnji mijenja svoj reljef na dnevnoj bazi, IBM-ov izvještaj je poslužio kao zgodan podsjetnik na problem sigurnosne inertnosti nemalog broja organizacija u svim sektorima. Kako bivanje proaktivnim danas podrazumijeva ulaganja u napredne tehnologije poput AI-ja, usklađivanje sigurnosnih vještina osoblja i kreiranje planova odgovora na povrede podataka, jasno je zašto postoji nepopularna percepcija uvođenja jednog troška radi smanjenja drugog. Ipak, cijena nečinjenja ničega u vezi s ovim sada dolazi u paketu s konkretnim ciframa u dolarima, eurima i juanima i one nisu ohrabrujuće. Izbor je jasan: investicija u vlastitoj režiji ili nedobrovoljno ulaganje u sanaciju šteta, od kojih se dobar dio njih uopće neće moći pokriti novcima.

Šta predstavlja NIS2 direktiva za Jadransku regiju

Nova evropska direktiva o cyber sigurnosti predviđa uvođenje strogih mjera zaštite duž cijelog lanca opskrbe, čije se karike mogu pronaći u svim zemljama regije. No, jesu li ovdašnje kompanije spremne za temeljito regulatorno pospremanje u sektoru kibernetičke sigurnosti?

Piše: Mirza Bahić E-mail: mirza.bahic@asadria.com

Priča o NIS2 direktivi dominira evropskim kontinentom i za to postoji barem 10,5 biliona razloga izraženih u eurima koji će biti utrošeni na odbranu od cyber napada do 2025. Iste godine, do 17. aprila, članice Evropske unije moraju dovršiti proces kategorizacije tijela koja su obuhvaćena Direktivom, nakon čega im se daje 365 dana da se usklade s novim regulatornim zahtjevima. Stvar je nešto kompliciranija za kompanije izvan EU jer će ih kao kariku lanca nabavke evropskih kompanija NIS2 neminovno “očešati” i tražiti modifikaciju poslovnih praksi.

U nastavku teksta razgovaramo sa stručnjacima i poslovnim ljudima iz regiona koji će nam objasniti zašto je NIS2 prvorazredni događaj za regionalnu cyber sigurnost koja u mjesecima pred nama postaje punokrvna zakonska obaveza, a ne fakultativna poslovna praksa.

Izazov za kompanije izvan Unije

Podsjetimo se, NIS2 je stupio na snagu u januaru 2023. kao zamjena za NIS1. Nova legislativa uvela je znatno strožija pravila i kriterije u zaštiti kibernetičkih sistema unutar Unije. To se posebno odnosi na kritičnu infrastrukturu, usluge i podršku za efikasniju koordinaciju odgovora na cyber incidente koji znatno ugrožavaju ekonomiju i društvo.

Direktivom obuhvaćene organizacije sada moraju provoditi redovne procjene rizika svojih mrežnih i IT sistema i implementirati odgovarajuće tehničke i organizacijske mjere za upravljanje prijetnjama. To uključuje procedure za analizu rizika i upravljanje ranjivostima, kao i efikasnu primjenu kriptografije i enkripcije​​. Organizacije moraju uvesti procedure za praćenje incidenata i krizno upravljanje, uključujući detekciju, analizu i klasifikaciju povreda sigurnosti. U istom paketu ide i obavještavanje nadležnih državnih tijela o incidentima u zadanim rokovima.

“EU je prepoznala različitu sposobnost i otpornost odgovora na kibernetičke prijetnje po zemljama članicama, a kako su danas tvrtke povezane i kroz lanac opskrbe i sve je više velikih korporacija koje rade u više zemalja EU, cilj NIS2 direktive je smanjiti te razlike”, kaže Kristina Oršanić Kopić, savjetnica za kibernetičku sigurnost u kompaniji Combis.

Organizacije moraju donijeti i provoditi planove održavanja kontinuiteta poslovanja i oporavka od napada kako bi osigurale nastavak pružanja usluga i u vanrednim situacijama. Od zemalja regije, navedeni zahtjevi se odnose primarno na Sloveniju i Hrvatsku kao članice Unije, no opisane prakse neće zaobići ni Bosnu i Hercegovinu, Srbiju, Crnu Goru i Sjevernu Makedoniju. Razlog je jednostavan: važna stavka direktive je ona koja sigurnosno osjetljive organizacije imenuje odgovornim za upravljanje rizicima u cijelom lancu opskrbe s kojim rade. To znači da se obaveza primjene odgovarajućih mjera sigurnosti odnosi i na direktne dobavljače i pružaoce usluga koji rade s evropskim kompanijama.​

Obavezna primjena

Drugim riječima, ako kompanija izvan EU posluje s partnerima iz Unije ili pruža usluge koje su ocijenjene kao “esencijalne” za tamošnje tržište, ona će morati uskladiti svoje prakse s NIS2 standardima kako bi zadržala ovaj poslovni odnos. To uključuje procjene rizika, upotrebu enkripcije, redovno testiranje sigurnosti i procedure za brzo i efikasno prijavljivanje incidenata.

Obaveza primjene mjera sigurnosti odnosi se i na direktne dobavljače i pružaoce usluga koji rade s evropskim kompanijama

“Vjerujem da kompanije izvan EU čeka značajan zadatak u jačanju svojih sigurnosnih sistema. Ovo uključuje uspostavljanje sistema upravljanja, sveobuhvatno upravljanje cyber rizicima, zaštitu digitalne infrastrukture koja obuhvata ne samo IT sisteme nego i tehnologije poput SCADA sistema, IoT tehnologija, senzora itd., kao i kontinuirani monitoring i sposobnost kompanije da pravovremeno identificira i odgovori na potencijalne napade”, kaže Senad Džananović, direktor cyber sigurnosti u bh. kompaniji ZIRA.

Prema njemu, NIS2 će posebno utjecati na kompanije registrirane izvan Unije koje pružaju usluge u sektorima kao što su ICT (upravljane IT i sigurnosne usluge) i usluge digitalne infrastrukture na teritoriju Unije. Za pružanje usluga u drugim sektorima obuhvaćenim Direktivom, ove kompanije moraju imati fizičko prisustvo u nekoj od zemalja EU. Usklađivanje ostalih kompanija zavisit će od prilagođavanja nacionalnih zakona propisima Unije, ali kako zemlje regije teže članstvu u EU, očekuje se da će se i one uskoro morati uskladiti s novom regulativom.

Tri nivoa implementacije

Za adekvatnu implementaciju Direktive, obuhvaćeni sektori su podijeljeni na ključne i važne, dok će same kompanije morati implementirati mjere na tri nivoa. Prema Oršanić Kopić, prvi nivo je uspostava ključnih procesa upravljanja sigurnošću informacijskog sistema. Tu spadaju upravljanje sigurnosnim rizicima, uključujući one povezane s opskrbnim lancima, zatim kontrola incidenata i zaštita kontinuiteta poslovanja te izrada pratećih politika i procedura zahtijevanih mjerama nove direktive.

Drugi nivo uključuje kontrolne mjere temeljene na procjeni rizika i analizi utjecaja na poslovanje ICT okruženja i poslovanja klijenta. Te kontrolne mjere uključuju tehnološka rješenja i upravljane servise, kao što su višefaktorska autentifikacija, kontrola pristupa, rješenja za kontinuitet poslovanja kao što su IaaS, BaaS, DRaaS i AntiDDoS, te osnovna sigurnosna higijena (firewall i antivirusni softver nove generacije, endpoint detection and response rješenja, firewall web aplikacija, DLP rješenja i dr.). Na kraju, tu je i obaveza podizanja svijesti zaposlenika kroz anti-phishing kampanje i vježbe ljubičastog tima kao važan branik od kibernetičkih prijetnji.

Treći nivo podrazumijeva uspostavu sigurnosnog nadzora i validaciju sigurnosnih kontrola, što omogućuje prevenciju incidenata i ranu detekciju prijetnji. Ove aktivnosti uključuju usluge sigurnosnih operativnih centara (SOC) i MDR-a (Managed Detection and Response) koje će biti dostupne na cjelodnevnoj bazi tokom čitave godine. Za uspostavu SOC-a, kompanije se mogu obratiti pružaocima SOC usluga, jer ih je teško samostalno uspostaviti zbog nedostatka sigurnosnih stručnjaka.

“Za potrebe validacije sigurnosnih kontrola na raspolaganju su usluge svih vrsta penetracijskog testiranja, provjere ranjivosti, lova na prijetnje, kao i već navedene vježbe crvenog i ljubičastog tima kojima se dodatno diže otpornost ICT okoline na kibernetičke prijetnje”, kaže Oršanić Kopić.

Sve navedeno nužno je kako bi se prijetnje rano detektirale, a posljedice kibernetičkih napada svele na minimum. Time se osigurava usklađenost s NIS2 direktivom i zakonima koje će zemlje članice EU usvojiti do 17. oktobra ove godine.

Ključni subjekti za direktivu

Ključni subjekti su oni koji su obavezni provoditi sve mjere kibernetičke zaštite iz NIS2 direktive, prijavljivati incidente, prolaziti nezavisne revizije i biti pod stalnim nadzorom. Ovi subjekti rade na ili posluju u sektorima poput energetike, prometa, bankarstva, infrastrukture finansijskog tržišta, zdravstva, vode za ljudsku potrošnju, otpadnih voda, digitalne infrastrukture, upravljanja ICT uslugama, javnog sektora i svemira. S druge strane, važni subjekti primjenjuju mjere kibernetičke sigurnosti samostalno i potvrđuju njihovu provedbu kroz samoprocjenu, bez redovnih nezavisnih revizija ili stručnog nadzora. Ovi subjekti su dužni prijavljivati incidente nadležnom tijelu, a nadzor nad njima se provodi samo ako postoje informacije koje ukazuju na nepridržavanje propisa ili obaveza. Važni subjekti uključuju sektore poput poštanskih i kurirskih usluga, upravljanja otpadom, proizvodnje i distribucije hemikalija, proizvodnje hrane, digitalnih usluga, istraživanja i obrazovanja.

No, u kojoj su mjeri kompanije s obje strane granice EU spremne za poduhvat koji traži kako značajne tehnološke i stručne resurse tako i temeljitu promjenu svijesti o važnosti cyber sigurnosti?

Hrvatska: neki sektori imaju startnu prednost, neki nikakvu

Za početak, treba napomenuti da NIS2 neće imati istovjetne učinke na hrvatske i slovenske kompanije u poređenju s ostatkom Jadranske regije. Čak i ograničavanje procjene spremnosti na primjenu Direktive unutar samo jedne zemlje neće dati reprezentativnu sliku jer su neki sektori na temelju zahtjeva poslovanja već u startu opremljeniji za NIS2.

“Većina sektora je u nekoj srednjoj spremnosti. Nije da se ne ulaže ništa, ali premalo da bi se adekvatno odgovorilo na prijetnje koje rastu u frekvenciji, učestalosti i raznolikosti. S druge strane, pružatelji usluga nemaju dovoljno stručnjaka za uskladu u ISMS dijelu (upravljanje sigurnošću informacijskog sustava) da bi mogli odgovoriti na potrebe tržišta, posebno u segmentu malih i srednjih tvrtki koje su sad pred izazovom da će se od trenutka primitka obavijesti o kategorizaciji od nadležnih tijela, morati uskladiti s NIS2 zahtjevima, odnosno sa Zakonom o kibernetičkoj sigurnosti u roku od godinu dana od trenutka primitka iste”, kaže Oršanić Kopić.

Neke industrije, poput bankarstva, finansijske infrastrukture i zračnog prometa, već su regulirane u oblasti kibernetičke sigurnosti u Hrvatskoj i drugim članicama EU. Ovi sektori su bolje pripremljeni za prilagodbu novim zahtjevima NIS2 direktive te već posjeduju strožije regulative nego što ona podrazumijeva. S druge strane, nešto šarenija slika je u tzv. poluautonomnim sektorima poput elektronskih komunikacija, javnog sektora i pružatelja usluga povjerenja, u kojima je cyber sigurnost djelimično regulirana na evropskom ili nacionalnom nivou, ali opet nedovoljno u odnosu na zahtjeve Direktive.

Više optimizma ima hrvatska Sigurnosno-obavještajna agencija, koja na naš upit o percepciji trenutnog stanja na terenu u pogledu organizacijske svijesti o NIS2 direktivi odgovara da je trenutno stanje posljedica jačanja svijesti o potrebi zaštite poslovnih mrežnih i IT sistema koje jača iz godine u godinu. “Utjecaj na takav razvoj su svakako imali i brojni izazovi koje je donijela COVID kriza i prilagodbe na nove modele rada koje je ona donijela”, navodi se u odgovoru SOA-e.

Većina sektora je srednje spremna. Nije da se ne ulaže ništa, ali premalo da bi se adekvatno odgovorilo na prijetnje koje rastu u frekvenciji, učestalosti i raznolikosti

Slovenija: tržište nije spremno za nagli skok

U susjednoj Sloveniji situacija nije mnogo drugačija od one u Hrvatskoj. Slovenski je industrijski insajderi opisuju kao zbir varijacija. Kao eho stava koji je iznijela njegova hrvatska kolegica Oršanić Kopić, Matic Knuplež, regionalni direktor za Jadransku regiju u kompaniji Group-IB, navodi da spremnost slovenskog tržišta znatno varira, uz viši nivo svijesti i resursa među većim kompanijama s razvijenijim politikama kibernetičke sigurnosti.

“Smatram da će mala i srednja preduzeća imati probleme zbog ograničenih resursa i stručnosti. Konsultanti za kibernetičku sigurnost i država ulažu napore na podizanju svijesti i davanja, ali će se, uprkos tome, značajan dio tržišta suočiti s poteškoćama kada je u pitanju unapređenje kapaciteta sigurnosti za ispunjavanje standarde iz Direktive”, kaže Knuplež.

Kompanije koje su se već prilagodile spomenutim zahtjevima imat će mnogo lakši zadatak nego one koje su prvi put obuhvaćene sličnom regulativom. U tom smislu, NIS2 za slovenske kompanije koje su prema NIS1 već bile označene kao “kritične organizacije” zapravo neće donijeti mnogo toga novog. Isto važi i za one koje upravljaju rizicima u oblasti cyber sigurnosti na osnovu standarda ISO/IEC 27001.

S druge strane, Mitja Trampuž, direktor slovenske kompanije CREAPLUS, predviđa veće probleme za subjekte koji su se sada našli na listama važnih ili kritičnih organizacija. Kao i u Hrvatskoj, jedan od ključnih problema u ovom segmentu bit će nedostatak osoblja.

“U Sloveniji se, naprimjer, broj obveznika povećao više od 30 puta i vjerujem da tržište nije spremno za takav skok. Možda u smislu prodaje sigurnosnih rješenja, ali svakako ne kada je u pitanju ponuda usluga upravljanja kibernetičkom sigurnošću, savjetovanja o upravljanju rizicima i ranjivostima i sl. Jednostavno nema dovoljno osoblja za to. Nedostaje certificiranih IT revizora i stručnjaka za cyber sigurnost, dok administratori sistema i baza podataka ne posjeduju dovoljno znanja. U našem regionu potreban je jedan ovlašteni revizor za više od stotinu NIS2 obveznika, što je fizički nemoguće isporučiti”, kaže Trampuž.

U Sloveniji se broj obveznika povećao više od trideset puta. Tržište nije spremno za takav skok

Manjak kvalificiranog osoblja za provedbu i nadzor

Priča o manjku kvalificiranog osoblja tema je koja privlači pažnju i kompanija koje posluju izvan Evropske unije na koje se NIS2 indirektno odnosi. Procjena stanja na tom planu neodvojiva je od konteksta višegodišnjih problema u oblasti cyber sigurnosti s kojim se suočava regija, a koji su vidljivi i u rastu broja napada na kompanije i pojedince u ovom dijelu svijeta.

“Možemo govoriti o kompanijama koje posluju u državama kandidatima za članstvo u EU na teritoriji Zapadnog Balkana gdje vidimo veliku nespremnost za prilagođavanje novim zahtjevima Direktive, što je evidentno iz velikog broja uspješnih sajber napada na državne infrastrukture u posljednjih nekoliko godina”, kaže Branko Džakula, direktor informacijskih tehnologija u BrightMarbles Grupi i suosnivač i izvršni direktor kompanije UN1QUELY. Slika je to, smatra on, nedostatka stručnog kadra u domenu cyber sigurnosti, kao i neadekvatnih mjera za sanaciju štete od napada, što je jedna od važnih stavki Direktive.

Džakula smatra da će glavni izazovi biti vezani za stručnost, odnosno angažman adekvatnog kadra za obavljanje poslova implementacije i održavanja sistema za informacijsku sigurnost koji će biti u potpunosti usklađen sa ISO 27001 standardom i specifičnim NIS2 kontrolama.

Rješenje u uvozu kadrova?

Mišljenje kolega o deficitu kadrova dijeli i Tomislav Kosanović, direktor za Hrvatsku u kompaniji Telelink, koji smatra da je regionalno tržište i bez NIS2 direktive već neko vrijeme u “deficitu vezanom za ljudske resurse, posebno u sferi kibernetičke sigurnosti”. Prema njemu, riječ je o dobro poznatom i širem problemu pronalaženja i, jednako važno, zadržavanja stručnih resursa koje region nasušno treba, posebno u ambijentu u kojem mlađi stručnjaci masovno odlaze u inozemstvo.

Da bi se ovaj problem adekvatno riješio, neće biti dovoljno uvoziti kvalificirani kadar nego i mijenjati percepciju direktive kod dva ključna dionika: IT i sigurnosnih odjela i menadžmenta kompanija. “Prvi moraju prestati djelovati kao isključive adrese za probleme informatičke sigurnosti, dok će uprava morati širiti kulturu sigurnosti na nivou cijele organizacije”, smatra Džananović.

Pored nedostatka stručnjaka u ovoj oblasti jedan od većih izazova bit će i kvalitet dostupnog kadra koji mora posjedovati znanja da pomogne organizacijama da se usklade s NIS2 direktivom u upravljačkom dijelu. To se posebno odnosi na izrade procjena rizika i planova kontinuiteta poslovanja, upravljanja incidentima i validacije sigurnosnih kontrola. Prema Oršanić Kopić, pitanje osposobljenosti nije ograničeno na primjenu regulative nego i na praćenje njene usklađenosti. “Broj revizora, točnije stručnjaka koji će moći provoditi revizije kibernetičke sigurnosti, također je ograničen”, navodi ona.

Kao i u Hrvatskoj i Sloveniji, nivo svijesti o važnosti NIS2 izvan Unije varira geografski i sektorski, pri čemu su u prednosti kompanije koje već posluju s Unijom. “Spremnost tržišta izvan Evropske unije na prilagodbu novim zahtevima iz Direktive NIS2 je različita. Kompanije koje već posluju unutar Unije uglavnom su svesne Direktive, ali nivo svesti i pripremljenosti varira od zemlje do zemlje. Glavni izazovi u implementaciji uključuju usklađivanje sa tehničkim i organizacionim zahtevima, kao i obezbeđivanje adekvatne obuke zaposlenih. Takođe, neophodno je uspostaviti efikasne mehanizme za praćenje i prijavljivanje sigurnosnih incidenata”, kaže Aleksandar Kotevski, vlasnik i izvršni direktor kompanije Advanced Cyber Security iz Beograda.

Te varijacije se, ipak, mogu podvesti pod jedan zajednički sadržalac: kompanije izvan EU su općenito manje zrele kada je u pitanju cyber sigurnost u odnosu na one koje posluju unutar Unije. Iako nema egzaktnih podataka, Džananović smatra da je veliki broj organizacija čuo za NIS2 direktivu, ali da se manjina usklađuje s njenim odredbama.

“Govoreći o NIS2 direktivi i njenoj primjenjivosti na organizacije koje imaju sjedište ili posluju u zemljama koje su potpisale pristupne sporazume s EU, vjerovatno je da će se takve organizacije u skoroj budućnosti morati uskladiti s normama i zahtjevima NIS2 direktive”, kaže on. Prema njemu, kod procjene zrelosti ovih kompanija važno je naglasiti da se NIS2 direktiva primarno odnosi na organizacije koje nude usluge unutar EU ili imaju značajan utjecaj na tržište EU u sektorima poput energetike, transporta, bankarstva, zdravstva i digitalne infrastrukture.

Implementacija je skupa

Bez obzira na meridijane, eksperte s obje strane evropske granice objedinjuje zajednička bojazan da problem manjka osoblja neće biti jedina prepreka glatkoj implementaciji NIS2 direktive. Jer, čak i da problemi s kadrom budu riješeni, povećanje troškova poslovanja će biti dodatni izazov za sve kompanije u doticaju s NIS2. To se posebno odnosi na one koje prethodno nisu bile uključene u NIS1. Evropska komisija procjenjuje da će troškovi za ovu kategoriju porasti blizu 22%, dok će za kompanije obuhvaćene direktivom NIS1 iznositi oko 12%. Direktni troškovi primjene za preduzeća iz EU procijenjeni su na 31,2 milijarde eura godišnje u 2023. godini, što predstavlja 0,31% ukupnog prometa u svim sektorima na koje utječe direktiva NIS2. Treba znati i da je riječ o konzervativnim procjenama koje u obzir ne uzimaju faktore poput inflacije.

Istovremeno, povećanje za sektore koje tretira NIS2 procjenjuje se na 29,9 milijardi eura godišnje, što predstavlja 0,32% njihovog ukupnog prometa. “Cyber ​​otpornost se ne može postići s jednom ili dvije investicije, to je proces koji traje. Uostalom, cyber prijetnje i rizici se stalno mijenjaju i rastu uvođenjem novih digitalnih tehnologija. Mislim da kompanije nisu dovoljno svjesne toga, a opet nemaju ni znanja za to. Mislim da će najviše problema imati srednje i velike kompanije, gdje je cyber sigurnost tretirana kao sporedna aktivnost IT odjela, a bez definiranog budžeta za nju”, kaže Trampuž.

I naši sagovornici iz Hrvatske smatraju da će finansijski nešto bolje proći obveznici prema NIS1 regulativi jer su se, makar u manjem opsegu, već susreli sa sličnim sigurnosnim zahtjevima koje sada trebaju nadograditi. Za ostale, veća odgovornost će biti prevedena i u veće finansijske posljedice.

“Te brojeve možemo isključivo shvatiti kao neke pokazatelje, jer će tvrtke koje do sada nisu trebale biti usklađene, a spadaju po segmentaciji u srednje i male, zasigurno trebati uložiti značajnija sredstva kako bi se uskladile s NIS2”, kaže Oršanić Kopić. Njen kolega Kosanović misli da će veći troškovi biti neizbježni, ali da je to već dio “higijene svakodnevnog poslovanja, gotovo poput komunalija”.

Troškovi se moraju pravdati

Ipak, ostaje pitanje u kojoj mjeri će menadžerske strukture kompanija uvođenje novih mjera tretirati na ovaj način. Iako su dodatne investicije i značajan finansijski pritisak usklađivanja s NIS2 na troškove poslovanja neminovni, ovi troškovi će se naposljetku opet morati pravdati pred direktorima i vlasnicima kompanija. Za Džananovića, ove troškove je jako teško kvantificirati, osim u slučaju cyber napada, što otežava posao osoblju koje bude tražilo izdvajanja pred upravom kompanija. Rast troškova će neminovno osjetiti i kompanije izvan EU i one će, prema njemu, osjetiti rast troškova proporcionalan veličini kompanije. Obrnuto proporcionalan, pak, bit će odnos troškova i stepena zrelosti koji je neka organizacija dostigla po pitanju implementacije praksi cyber sigurnosti, smatra on.

No, ovo i nije nova praksa jer dobar dio ovih kompanija već ulaže u usklađivanje s međunarodnim standardima kakav je, naprimjer, ISO 27001. Još od ranije postoji praksa da se harmonizacija s ovim standardom tretira kao preduvjet nastavka saradnje s velikim kompanijama, pri čemu je one manje reguliraju kao stavku u ugovoru o pružanju usluga. Ipak, Džakula ne vjeruje da će ova praksa biti primjenjiva i kod NIS2, ali da će veći troškovi vjerovatno biti pravdani kroz promociju naprednijih sigurnosnih praksi. “Sve češće viđamo napredne bezbjednosne kontrole u SaaS rješenjima u okviru enterprise planova subskripcije i očekujem da će takav trend samo nastaviti i osnažiti”, navodi Džakula.

Fiktivna usaglašenost

I za slovenske kompanije troškovi će neizbježno biti značajni, smatra Knuplež te dodaje da će glavni izvori tih troškova biti primjena novih sigurnosnih mjera, uvođenje programa podizanja svijesti i angažmana konsultanata za kibernetičku sigurnost. Utjeha leži u činjenici da se ovi troškovi mogu promatrati kao investicije koje su, prema Knupležu, opet znatno jeftinije nego skupi incidenti povezani s narušavanjem sigurnosti. Za Džakulu, veći problem bi, zapravo, mogla biti “fiktivna usaglašenost” kakva se javila nakon stupanja GDPR-a na snagu. Prema njemu, nemali broj kompanija bi mogao pokušati preko noći i bez većih ulaganja postići usaglašenost “na papiru”, i to s ciljem da se nastavi neometano poslovati bez adekvatnog tretmana rizika. Vođeni iskustvom s primjenom GDPR-a, za očekivati je da će neke kompanije i ovaj put paušalno reklamirati usaglašenost s regulativom na svojim stranicama, što će biti teško za provjeriti zbog nedostatka inspekcijskog nadzora i kadra za provođenje kontinuiranih provjera, smatra on.

Ignoriši NIS2, zaboravi tržište

Nepridržavanje odredbi NIS2 direktive iz bilo kojeg od ovih razloga neće biti opravdano i povući će teške pravne i poslovne posljedice. U članu 34. Direktiva propisuje opće uslove za izricanje administrativnih novčanih kazni ključnim i važnim subjektima. Ključni subjekti mogu biti kažnjeni s najmanje 10 miliona eura ili 2% ukupnog godišnjeg prihoda na svjetskom nivou iz prethodne finansijske godine, zavisno od toga koji je iznos veći. Važni subjekti mogu biti kažnjeni s najmanje sedam miliona eura ili 1,4% ukupnog godišnjeg prihoda na svjetskom nivou iz prethodne godine, opet prema načelu većeg iznosa.

Osim toga, član 32. NIS2 direktive dodatno definira nadzorne mjere i mjere izvršavanja u vezi sa ključnim subjektima. Između ostalog, predviđene su privremene suspenzije certifikata ili ovlaštenja za dio ili kompletne usluge koje pruža ključni subjekt, kao i privremene zabrane obavljanja upravljačkih dužnosti za svako fizičko lice na nivou glavnog izvršnog direktora ili pravnog zastupnika u tom ključnom subjektu.

“Važno je napomenuti da lokalni zakoni mogu propisati strožije mjere od onih definisanih NIS2 direktivom, ali ne i blaže”, navodi Oršanić Kopić u komentaru na predviđene kazne.

Istovremeno, za kompanije koje posluju izvan EU, kazna bi mogla doći i u vidu uskraćivanja pristupa jednom od najvažnijih i najbogatijih tržišta na svijetu, sve uz “gubitak ugovora, potencijalnu zabranu pružanja usluga EU i odgovornost rukovodstva za nepoštivanje sigurnosnih zahtjeva”, navodi Džakula.Pitanje “odgovornosti” ima još jednu važnu komponentu kada je u pitanju NIS2, a to je praksa prikrivanja kada su u pitanju sigurnosni incidenti zarad zaštite poslovne reputacije i interesa. Džakula ovu praksu opisuje kao “kopanje još dublje jame” i dodaje da nova direktiva predviđa kratke rokove za prijavu sigurnosnih incidenata. Oni podrazumijevaju uspostavljanje jasnih koraka za prijavljivanje incidenata: početno prijavljivanje u roku od 24 sata, detaljan izvještaj unutar 72 sata te redovno ažuriranje i konačni izvještaj nakon mjesec dana. Ovi izvještaji trebaju sadržavati informacije o ozbiljnosti incidenta, njegovom utjecaju i poduzetim mjerama, za šta će biti preporučljivo tražiti angažman profesionalnih sigurnosnih konsultanata.

Nemali broj kompanija bi mogao pokušati preko noći i bez većih ulaganja postići usaglašenost “na papiru” kako bi nastavili neometano poslovati

Udar na mala i srednja preduzeća

I Knuplež dijeli ovaj stav, uz opasku da će ova stavka posebno pogoditi mala i srednja preduzeća čiji je glavni problem “nedostatak resursa” koji je sada kombiniran s već postojećim opterećenjem potrebama da se prate najnoviji sigurnosni trendovi. Tu bi, na pola puta između suprotstavljenih potreba zaštite budžeta i usklađenosti s NIS2, kompanijama ruku pomoći mogla pružiti tehnologija. U nju nadu polaže i Džakula.

“S tehničke strane, to može uključivati implementaciju sistema za praćenje sigurnosnih incidenata (SIEM), naprednih antivirusnih rješenja za računare i serversku infrastrukturu, uređaje za zaštitu mrežne infrastrukture kao i alate i procedure za kontinuirano testiranje softvera i interne mreže na bezbjednosne ranjivosti. Kompanije se često opredijele za angažovanje trećih lica, tj. MSP-jeva (Managed Security Providers), za kompletnu implementaciju, upravljanje i održavanje bezbjedonosnih sistema”, kaže Džakula.

Njegov kolega Trampuž sličnu ulogu predviđa za pristup nultog povjerenja (Zero Trust) i zaštitu digitalnih identiteta. Isto važi i za primjenu hardverskih sigurnosnih modela koji bi po stupanju na snagu NIS2 direktive mogli doživjeti pravi bum. “Postoje dodatna tehnička rješenja koja pomažu kompanijama da ograniče i odvoje korištenje mreža i IT sredstava na fizičkom nivou, upravljaju sigurnošću cjelokupnog portfelja krajnjih tačaka i, u konačnici, osiguraju sigurnost kopija podataka”, kaže Trampuž.

Podrška države: između obaveze i manjka resursa

U proceduralnom smislu, u Hrvatskoj i Sloveniji i državna tijela su jedan od aktera od kojih se očekuje pružanje podrške barem u inicijalnoj fazi primjene. Naši sagovornici su tu podijeljeni po liniji očekivanja i realnih mogućnosti. Za Knupleža iz Slovenije, država bi trebala odigrati važnu ulogu, barem u davanju detaljnih smjernica i najboljih praksi, kao i u podršci organizacije obuke i razmjene informacija između organizacije i sektora. Njegov zemljak Trampuž očekuje da će nacionalni CERT-ovi (timovi za hitne računarske intervencije) primarno biti od koristi kod detekcije ranjivosti, reakcija na incidente i izvještavanja.

Ipak, nije realistično očekivati da će država slati stručnjake u svaku kompaniju da prati primjenu direktive. Tu ulogu će, po njemu, ipak preuzeti tržište. Nešto drugačiji ton u odnosu na očekivanja od državne podrške iznosi Kosanović iz Hrvatske: “Slabo, nacionalna tijela tek nemaju dovoljno resursa niti načina da privuku stručni kadar”, zaključuje on. U Bosni i Hercegovini situacija je još složenija jer na državnom nivou nije usvojen Zakon o cyber sigurnosti, kao ni propisi o obaveznom prijavljivanju incidenata, osim ako oni ne predstavljaju krivično djelo u nadležnosti policije u skladu sa Zakonom o krivičnom postupku.

Prilike nadmašuju prepreke

Na kraju, svi naši sagovornici dijele mišljenje da će direktiva NIS2 imati dubinski utjecaj na sve pore cyber sigurnosti u regiji u godinama pred nama. Najteže prepreke na putu njene primjene bit će nedostatak kvalificiranog osoblja i finansijskih sredstava kojim ne pomažu ni manjak svijesti o rasponu primjene direktive i ulozi države u ovom procesu.

Izvan granica Unije, NIS2 je još veća nepoznanica čije bi ignoriranje regionalne kompanije moglo lako lišiti pristupa lukrativnom tržištu EU. S druge strane, NIS2 je i prilika da se zamalo preko noći povećaju ulaganja  u nedovoljno korištene sigurnosne tehnologije i prakse, poput enkripcije podataka, automatiziranih alata, sistema za praćenje ranjivosti, upravljanje identitetima i simulacije napada. Važan momenat tiče se i pojačanog outsourcinga cyber sigurnosnih usluga, kao i angažmana privatnih sigurnosnih kompanija za edukaciju, konsalting i upravljanje kao prijeke mjere za problem manjak kadra u ovoj oblasti. Sve ovo bi u optimističnijoj varijanti moglo dovesti do širenja ulaganja i ponude na tržištu cijele Jadranske regije uz do sada neviđenu brzinu i intenzitet.

“Jasno je da će doći do znatnog povećanja ulaganja i zbog činjenice da je Direktiva u svojim mjerama adresirala sigurnost lanca opskrbe, uključujući sigurnosne aspekte odnosa između svakog subjekta i izravnih dobavljača ili pružatelja usluga. Subjekti će morati raditi procjenu rizika svojih dobavljača i pružatelja usluga te će se okretati onima koji i sami poštuju mjere zahtijevane NIS2 direktivom te tako umanjiti vjerojatnost incidenta za subjekte s kojima rade. Osim subjekata koji se moraju uskladiti sukladno kategorizaciji koja je definirana NIS2, a koja je obuhvatila i male i srednje velike tvrtke, tu će se naći i tvrtke koje čine lanac opskrbe obveznika. Dakle, veći broj nego što možemo procijeniti temeljem same kategorizacije definirane Direktivom”, navodi Kopić.

Sve u svemu, implementacija NIS2 Direktive treba donijeti značajne promjene u regionalnoj industriji cyber sigurnosti, s fokusom na povećana ulaganja, unapređenje tehnoloških rješenja i poboljšanu saradnju između različitih sektora. U svjetlu prijetnji kojima administrativne granice nikada nisu ni bile prepreka, ovo može biti važan korak ka podizanju kontinentalnog odbrambenog zida u kojem je i regija ništa manje važan bedem.

Advancis: Lakša primjena nove direktive o cyber sigurnosti

Primarni cilj direktive NIS2 je jačanje otpornosti mreža i informacijskih sistema i poboljšanje sigurnosnih standarda u kritičnim sektorima. Ova direktiva postavlja nove standarde u sigurnosti mreža i informacijskih sistema u kritičnoj infrastrukturi, što utječe na zemlje članice Evropske unije i Balkana. WinGuard softver austrijske kompanije Advancis može pružiti vrijednu podršku u tome

Piše: Günter Landa, direktor, Advancis Austria; E-mail: info@advancis.at

Evropska unija je preduzela značajan korak ka jačanju kibernetičke sigurnosti uvođenjem NIS2, druge verzije direktive o sigurnosti mreža i informacija. Primarni cilj NIS2 direktive je jačanje otpornosti mreža i informacijskih sistema te poboljšanje sigurnosnih standarda u kritičnim sektorima. To uključuje formiranje tijela za kibernetičku sigurnost i poticanje saradnje između evropskih zemalja i institucija. Kompanije, posebno one koje spadaju u kritičnu infrastrukturu kao što su energetske, transportne, zdravstvene i finansijske, obavezne su je primijeniti u svom poslovanju. Ovo uključuje provođenje sigurnosnih mjera, izvještavanje i dokumentiranje incidenata, saradnju s vlastima i primjenu procedura upravljanja rizikom kako bi se identificirali i ublažili potencijalni rizici.

Integracija sigurnosnih sistema

WinGuard softver austrijske kompanije Advancis može pružiti vrijednu podršku u tome nudeći centralizirano upravljanje sigurnošću, alate za usklađivanje sa standardima i opcije automatizacije, čime se poboljšava sigurnost objekata, mreža i informacijskih sistema. Kompanijama pomaže da optimiziraju svoje postojeće sigurnosne resurse integracijom širokog spektra IT i sigurnosnih rješenja, kao što su kontrola pristupa, videonadzor i protivprovala. Svi integrisani sigurnosni sistemi i infrastruktura se nadgledaju i upravljaju putem centralne platforme.

Upravljanje incidentima

Advancisov softver olakšava snimanje, određivanje prioriteta i upravljanje incidentima, omogućavajući efikasnije odgovore. Događaji i alarmi iz različitih sistema mogu se pratiti u realnom vremenu, što pomaže u pružanju pravovremene reakcije na potencijalne napade. Kada se otkriju incidenti ili anomalije, platforma može automatski pokrenuti upozorenja i obavijestiti nadležno osoblje. Ovo osigurava brze reakcije i provođenje odgovarajućih mjera.

WinGuardova sposobnost da automatizira i orkestrira različitim sigurnosnim sistemima omogućava kompanijama da efikasnije primjenjuju i upravljaju sigurnosnim mjerama. Stoga su odgovori na incidente brži i koordiniraniji.

Planiranje kontinuiteta i izvještavanje

WinGuard podržava kreiranje i upravljanje planovima za vanredne situacije i kontinuitet rada, osiguravajući da se kritični poslovni procesi mogu nastaviti čak uprkos incidentima, što je ključno za otpornost kritične infrastrukture. Putem automatiziranih funkcija izvještavanja informacije o incidentima i mjerama relevantnim za sigurnost pažljivo se dokumentiraju i analiziraju. Generisani izvještaji mogu biti korisni za interne revizije i komunikaciju s nadzornim tijelima.

Upravljanje rizicima i usklađenošću sa standardima

Integracijom alata za upravljanje rizicima, WinGuard pomaže kompanijama da svakodnevno identificiraju, procijene i ublaže potencijalne ranjivosti. Ovo omogućava otkrivanje i rješavanje potencijalnih sigurnosnih propusta, minimizirajući rizike prije nego što dovedu do incidenata. Softver također omogućava kompanijama da definišu i primenjuju sigurnosne standarde. To uključuje enkripciju podataka, sigurnu upotrebu lozinke i primjenu firewalla. Platforma kontinuirano prati ove sigurnosne mjere u odnosu na važeće propise i inicira korektivne radnje u slučaju odstupanja. WinGuard može pružiti informacije i upute putem platforme kako bi pomogao u podizanju svijesti zaposlenih. Osim toga, može simulirati sigurnosne incidente i provoditi vježbe za hitne slučajeve kako bi pripremio osoblje za stvarne prijetnje.

I izazov i prilika

Direktiva NIS2 je za kompanije i menadžere koje je moraju primijeniti i izazov i prilika. Njihova IT infrastruktura mora ispuniti sigurnosne standarde i primijeniti odgovarajuće zaštitne mjere. Direktiva nudi priliku da se cyber sigurnost koristi kao konkurentska prednost i tako poveća povjerenje kupaca u sigurnost podataka. Zato je NIS2 značajan napredak za kibernetičku sigurnost u Evropi. Rješenja poput WinGuarda igraju ključnu ulogu u njenoj primjeni pomažući kompanijama da efikasno zaštite svoje mreže i informacijske sisteme. Advancisov softver podiže sigurnosne standarde i povećava otpornost na cyber napade. Centralnom integracijom i upravljanjem sigurnosnim sistemima, monitoringom u realnom vremenu, detaljnim dokumentiranjem i proaktivnim upravljanjem rizicima, WinGuard nudi robusno rješenje za unapređenje sigurnosti i osiguranje usaglašenosti sa zahtjevima direktive NIS2. Ovo omogućava kompanijama da ispune takve odredbe i svoju cyber sigurnost podignu na viši nivo.

Između “nužnog zla” i regulatornog pritiska

U ambijentu u kojem 50 posto ispitanih organizacija u Hrvatskoj informatičku sigurnost percipira kao nemilu troškovnu stavku, regulativa se nameće kao generator pozitivnih trendova

Piše: Mirza Bahić; E-mail: redkacija@asadria.com

U sjeni priče o Zakonu o kibernetičkoj sigurnosti i NIS2 direktivi, cyber sigurnost u Hrvatskoj u protekloj godini obilježili su trendovi koje je najlakše opisati kao kombinaciju koraka naprijed i nazad, pri čemu je teško procijeniti kojih je bilo više. Zadatak brojanja ovih koraka na sebe je preuzela hrvatska informacijsko-sigurnosna kompanija Diverto, koja je objavila obiman izvještaj “Stanje informacijske i kibernetičke sigurnosti u 2023. godini”, čije vam ključne dijelove predstavljamo u nastavku teksta.

 Rast sigurnosne zrelosti, uz znatne sektorske razlike

Nivo organizacijske zrelosti u odnosu na kibernetičke prijetnje uzet je kao početna osnova za ispitivanje općih trendova informatičke sigurnosti u organizacijama. Istraživači su ovaj put usporedili prosječan nivo zrelosti u hrvatskim poslovnim subjektima i nivo sigurnosnog programa koji se primjenjuje i ocijenili ga bodovima. Opći zaključak je da u većini organizacija sigurnosne kontrole u prosjeku postaju zrelije i sveobuhvatnije, što je, pretpostavlja se, posljedica generalnog trenda snažnijeg razvoja informacijske i cyber sigurnosti stupanjem na snagu GDPR-a i Zakona o kibernetičkoj sigurnosti. Organizacijska zrelost je, pri tome, ocijenjena kao postojanje formaliziranog sistema sigurnosnih kontrola na određenom nivou, čak i ako se one ne primjenjuju u potpunosti ili je nemoguće procijeniti njihov konkretan učinak.

Istraživanje je ukazalo na još jedan zanimljiv trend: odsustvo želje organizacija da po dostizanju potrebnog minimalnog nivoa pređu na više nivoe sigurnosti. Razlog za to je poslovnog, a ne sigurnosnog karaktera jer takav korak iziskuje dodatne troškove koje odjeli zaduženi za cyber sigurnost često ne mogu opravdati pred upravama kompanija.

Istovremeno, glavni pokretač inicijativa za jačanje kibernetičke i informatičke sigurnosti je postizanje usklađenosti s novom regulativom. Prema autorima, navedeni pristup cyber sigurnosti može biti opasan jer ne vodi kreiranju proaktivnog informatičko-kibernetičkog sistema odbrane koji bi mogao izaći na kraj s prijetnjama koje kontinuirano evoluiraju. Drugi potencijalno negativan trend je i neujednačen nivo sigurnosne zrelosti u svim sektorima. Tu i dalje dominiraju banke i finansijske institucije. Ovo je ponešto razumljivo zbog činjenice da kod tih subjekata pojam cyber sigurnosti nije nepoznanica već više od dvadeset godina.

Primjeri incidenata u 2023. godini

Instagram profil Grada Dubrovnika bio je hakiran u aprilu 2023, što je rezultiralo gubitkom kontrole nad objavama na profilu. U junu iste godine Hrvatski autoklub pretrpio je hakerski napad na servere, što je utjecalo na rad mrežnih stranica i pružanje internetskih usluga, uključujući informisanje o stanju u cestovnom saobraćaju. Hakerski napad izveden u oktobru blokirao je rad državne firme Hrvatske vode.

 Trošak ili ulaganje u poslovanje?

Još jedan indikator stanja u sektoru cyber sigurnosti jeste i visina budžeta koji organizacije izdvajaju za potrebe svoje zaštite. Opći zaključak je da su budžeti za cyber sigurnost u Hrvatskoj ostali na sličnom nivou kao prethodnih godina, uprkos rastućim prijetnjama u ovom sektoru. S druge strane, kako se približavaju rokovi za dovršetak priprema za implementaciju novih direktiva kao što su NIS2 i DORA (Uredba o digitalnoj operativnoj otpornosti za finansijski sektor), neke organizacije su počele izdvajati više za cyber sigurnost.

Za sada se može reći da raste broj organizacija koje troše 10% i više IT budžeta na informatičku i cyber sigurnost. Ipak, ovaj vid sigurnosti se i dalje najčešće percipira kao operativna stavka i trošak, a ne strateška odrednica ili kompetitivna prednost. Kao ilustracija u istraživanju je navedena činjenica da oko 50% ispitanih organizacija u Hrvatskoj informatičku sigurnost percipira kao “nužno zlo”.

S tehničke strane, istraživanje je identificiralo i određene pomake u implementaciji mjera na nivou organizacija, kao što je primjena “Admin tiering” modela i privilegovanih radnih stanica za izvođenje administrativnih zadataka. Isto važi i za korištenje jump-box radnih stanica i naprednije mrežno segmentiranje.

Hrvatska Agencija za zaštitu osobnih podataka u prošloj je godini znatno pojačala svoje aktivnosti, što je rezultiralo sa sedam izrečenih kazni u ukupnom iznosu većem od 8,2 miliona eura

Raste potražnja za kvalificiranim osobljem

Trend visoke stope davanja otkaza nakon pandemije (tzv. big quit) usporio je u ostatku svijeta, ali posljedice tog trenda nisu pretjerano vidljive u Hrvatskoj. To je zato jer se sve organizacije i dalje suočavaju s nedostatkom kvalificirane radne snage u oblasti cyber sigurnosti. Potražnja za specijaliziranim funkcijama, kao što je pozicija direktora informatičke sigurnosti, u 2023. porasla je za 33% u odnosu na prethodnu godinu. Dodatni problem predstavlja očekivani dalji rast potražnje nakon stupanja na snagu nove regulative na području Hrvatske i Evropske unije.

Nešto optimističniju sliku nudi polje zaštite ličnih podataka. Hrvatska Agencija za zaštitu osobnih podataka u prošloj je godini znatno pojačala svoje aktivnosti, što je rezultiralo sa sedam izrečenih kazni u ukupnom iznosu većem od 8,2 miliona eura. U poređenju s prethodnim godinama, to je povećanje od 230% prema izrečenim kaznama. I hrvatski Sigurnosno-operativni centar je znatno povećao broj provedenih istraga i obrađenih sigurnosnih događaja. Rast je rezultat povećanja kapaciteta SOC-a, broja korisnika, novih uređaja i podržanih tehnologija te unapređenje sigurnosnih operacija, navodi se u istraživanju.

Potražnja za specijaliziranim funkcijama, kao što je pozicija direktora informatičke sigurnosti, porasla je za 33%

Digitalna infrastruktura i proizvodnja na udaru

Hrvatska se lani suočila s raznim sigurnosnim izazovima, s naglaskom na napade na servere u javno dostupnim servisima. Sektori koji su u 2023. bili najčešća meta napada su digitalna infrastruktura i javne telekomunikacije (25%), proizvodnja (25%), komunalne usluge (13%), ICT sektor (13%), banke i finansijske institucije (12%) i trgovina (12%).

Napadi na servere činili su 34% svih incidenata, dok se na kompromitaciju korisničkog računa odnosilo 22% napada. Napadi malverom, kompromitacijama aplikacije, ransomverom i neovlašteni pristup imali su svaki po 11% u strukturi incidenata. Najviše ranjivosti pronađeno je zbog slabih kriptografskih algoritama, neadekvatnih mjera jačanja servisa i sigurnog dizajna te nedostatka nadogradnji softverskih paketa. Napadi putem softverskih komponenti, repozitorija otvorenog koda i aplikacija trećih strana globalno su u porastu, no u Hrvatskoj nije bilo značajnijih incidenata uzrokovanih slabostima u softverskim komponentama trećih strana. Napadi ucjenjivačkim softverom (ransomware) zabilježili su rast, ali je važno naglasiti da je u 2023. stopa njihove uspješnosti na području Hrvatske bila niža.

Sektori koji su u 2023. bili najčešća meta napada su digitalna infrastruktura i javne telekomunikacije (25%), proizvodnja (25%), komunalne usluge (13%), ICT sektor (13%), banke i finansijske institucije (12%) i trgovina (12%)

Prepoznaju li korisnici phishing poruke?

Od 2018. do 2022. godine zabilježen je konstantan trend pada postotka korisnika koji nisu prepoznali phishing poruku. Međutim, u 2023. taj je broj znatno porastao za 9% u odnosu na godinu ranije i sada iznosi 30%. Ova razlika proizlazi iz činjenice da je lani čak 73% korisnika prvi put testirano. Od prve do četvrte kampanje, postotak korisnika koji ne prepoznaju phishing poruku pao je s 38% na 9%, dok je postotak korisnika koji su ispravno prepoznali i prijavili phishing poruku narastao s 3% na 30%.

Uspon infostealera i coinminera

Napadači su tokom 2023. godine malware koristili primarno za finansijski usmjerene napade. Infostealeri su najčešća vrsta zlonamjernog programa korištenog na prostoru Hrvatske, što je u skladu s globalnim trendovima. Infostealeri ciljaju podatke kao što su unosi na tastaturi, snimke ekrana, podaci o kreditnim karticama, akreditivi različitih aplikacija, elektronska pošta i kontakti te kriptonovčanici. Cilj infostealera je krađa osjetljivih informacija, a najčešće korišteni programi uključuju RedLine, Amadey, Raccoon, ViperSoftX i AgentTesla. Metode zaraze uključuju phishing poruke s priloženim dokumentima i drive-by-download (lažno ažuriranje internetskog pretraživača). Zanimljivo je da su neki kompromitovani linkovi preuzeti s lanca blokova, što ukazuje na evoluciju napadača i njihovu potragu za novim načinima distribucije zlonamjernog koda. Tu su i coinmineri kao zlonamjerni programi koji koriste resurse zaraženih računara za rudarenje kriptovaluta u korist napadača. Raspberry Robin je rastuća prijetnja u Hrvatskoj i globalno, koja se najčešće širi putem USB memorije i služi za dostavljanje opasnih datoteka kao što su Clop i LockBit ransomware.

Sigurnost kao poslovni rizik

Opasnosti povezane s ovom oblašću već su zauzeli visoko mjesto među pet najvećih rizika za poslovanje organizacija, što je trend koji dobija na snazi i u Hrvatskoj. Na kraju istraživanja, autori navode da će cyber sigurnost u Hrvatskoj u dolazećim godinama igrati sve značajniju ulogu u poslovanju, posebno na krilima novih regulatornih okvira kao što su NIS2 i DORA. Ostaje da se vidi koliko dugo će sigurnosni trendovi u Hrvatskoj imati lokalni karakter prije nego što se utope u odraz globalnih kretanja u industriji koja od samih početaka počiva na nepostojanju virtuelnih i geografskih granica.

Oprez ponedjeljkom i utorkom

Ako se analizira broj napada po mjesecima, primjećuje se da su DDoS incidenti u hrvatskom internetskom prostoru učestali tokom cijele godine, bez jasno definiranog razdoblja kada to nije slučaj. Usluge koje se lokalno pružaju kod samih korisnika i u oblaku podjednako su napadane, pri čemu je oblak bio pogodniji i za izvođenje ekonomski orijentiranih napada. Najčešće vrijeme napada u 2023. su ponedjeljak i utorak u jutarnjim satima, što sugerira da napadači biraju vrijeme kada su posljedice po poslovanje najveće. U usporedbi s prethodnim godinama, prošla je godina bila rekordna po količini obuhvaćenih podataka u najvećem zabilježenom napadu, koji je iznosio 5,3 Tb. Geografski gledano, najviše žrtava DDoS napada bilo je u Zagrebu.

Milestone Systems predstavio dokument o cyber zaštiti video tehnologije i ključnim strategijama za borbu protiv prijetnji

Milestone Systems, pionirska kompanija u oblasti softvera za video tehnologiju vođenu podacima, nedavno je objavila sveobuhvatan dokument koji se bavi nasušnom potrebom za robusnim mjerama cyber sigurnosti za video tehnologije i rješenja. Dokument nazvan “Cyber sigurnost za video tehnologiju: razumijevanje i suprotstavljanje cyber prijetnjama” bavi se složenošću cyber sigurnosti u videonadzoru, nudeći neprocjenjive uvide i strategije za jačanje otpornosti organizacija na ove prijetnje.

Cyber prijetnje predstavljaju značajan rizik po rješenja i video tehnologije u savremenom digitalnom dobu, o čemu svjedoče i napadi visokog profila. Ovaj rad naglašava hitnost davanja prioriteta cyber sigurnosti i predstavlja putokaz za donosioce odluka o tehnologijama koji se moraju snaći u stalno promjenjivom ambijentu.

Dokument koji je priredio Milestone Systems bavi se ključnim aspektima mjera predostrožnosti u oblasti cyber sigurnosti i nudi uvid u suštinske koncepte neophodne kompanijama za kreiranje robusne zaštite od cyber prijetnji.

U nastavku navodimo neke od ključnih zaključaka iz dokumenta.

  1. Razumijevanje pojma cyber ​​kill lanca:

Prepoznavanje tzv. cyber kill lanca organizacijama daje sistematski pristup razumijevanju i ublažavanju cyber prijetnji. Podjela napada u sedam faza daje jasnu sliku o tome gdje se može primijeniti proaktivna odbrana kako bi se smanjio rizik od kršenja sigurnosti.

  1. Zaštita IP-mrežnih video kamera:

U radu se opisuju ranjivosti IP-mrežnih video kamera i naglašava važnost primjene robusnih mjera sigurnosti. Mjere kao što su napredni protokoli za autentifikaciju i redovno ažuriranje firmvera od vitalnog su značaja za jačanje odbrane od potencijalnih rizika.

  1. Zaštita softvera za upravljanje videom (VMS):

Uz naglašavanje značaja zaštite softvera za upravljanje videom (VMS), rad se zalaže za  primjenu proaktivnih strategija poput testova penetracije i angažmana etičkih hakera. Ove mjere jačaju sigurnost i otpornost na potencijalne prijetnje.

  1. Odgovornost za cyber sigurnost:

U radu se prepoznaje razlika između odgovornosti za lokalna i cloud rješenja i naglašava potreba postizanja tehničke osposobljenosti i transparentne komunikacije. Adekvatnim razumijevanjem uloga, organizacije mogu efikasno upravljati rizicima iz  sfere kibernetičke sigurnosti.

  1. Otvorenost i transparentnost:

U radu se naglašava važnost otvorenosti i transparentnosti u rješavanju problema cyber sigurnosti. Otvorenim priznavanjem slabosti, dobavljači podstiču korisnike da poduzmu proaktivne mjere, ojačaju saradnju i podignu cjelokupni nivo zaštite u oblasti cyber sigurnosti.

  1. Upravljanje ljudskim faktorom:

Uvažavajući ljudski element kao potencijalnu slabu kariku u sigurnosti, rad naglašava važnost obrazovanja, obuke i balansiranja sigurnosti i upotrebljivosti. Davanje prioriteta sigurnosnim praksama usmjerenim na čovjeka jača ukupnu otpornost na prijetnje.

Preuzmite cijeli dokument

„U eri u kojoj su cyber prijetnje jako izražene, zaštita video tehnologije od potencijalnih kršenja  sigurnosti je od vitalne važnosti. Naš dokument je koristan vodič za organizacije kako bi se one bolje snašle u složenom okruženju cyber sigurnosti. Implementacijom strategija iz ovog dokumenta, organizacije mogu ojačati svoju odbranu i ublažiti rizik od cyber napada“, kaže Jos Beernink, potpredsjednik za regiju EMEA u kompaniji Milestone Systems u komentaru na objavljeni dokument.

O kompaniji Milestone Systems

Milestone Systems je vodeći dobavljač softvera za video tehnologije vođene podacima u oblasti sigurnosti koji širom svijeta jača sigurnost, zaštitu imovine i poslovnu efikasnost. Milestone podržava zajednicu izgrađenu oko otvorene platforme koja jača saradnju i inovacije u razvoju i primjeni mrežne video tehnologije, uz pouzdana i skalabilna rješenja dokazana  u više od 500.000 korisničkih instalacija širom svijeta. Milestone je osnovan 1998. godine i sada posluje u sklopu Canon grupe. Dodatne informacije dostupne su na www.milestonesys.com. Za vijesti i druga saopćenja za javnost posjetite naš Newsroom.

Provision ISR: Beskompromisna sajber bezbednost

U eri u kojoj dominiraju digitalni napredak, očuvanje tehnologije i bezbednosti nikada nije bilo kritičnije. Provision ISR stoji kao svetionik poverenja u sajber bezbednosti, postavljajući standarde za zaštitu osetljivih informacija i obezbeđujući otpornost sistema video nadzora od evoluirajućih sajber pretnji

U osnovi strategije sajber bezbednosti kompanije Provision ISR je primena robusnih protokola za šifrovanje. Razumevajući značaj bezbednih komunikacionih kanala, Provision ISR koristi napredne algoritme za šifrovanje da zaštiti prenos podataka između uređaja za nadzor, obezbeđujući da osetljive informacije ostanu poverljive i imune na neovlašćeni pristup.

 Mehanizmi autentifikacije i redovna ažuriranja

Provision ISR stavlja glavni akcenat na autentifikaciju korisnika kako bi se ojačale pristupne tačke sistemima za nadzor. Primenom višefaktorske autentifikacije i biometrijske verifikacije osigurava da samo ovlašćeno osoblje može pristupiti kritičnim postavkama i izvorima za nadzor, smanjujući rizik od neovlašćenog upada. Sajber pretnje se stalno razvijaju, a Provision ISR ostaje proaktivan u rešavanju ranjivosti kroz redovna ažuriranja firmvera. Ove ispravke ne samo da uvode nove funkcije i optimizacije već uključuju i bezbednosne zakrpe za jačanje sistema od novih pretnji, što predstavlja dodatnu posvećenost kompanije da obezbedi sigurnu i otpornu infrastrukturu za nadzor.

 Otkrivanje i prevencija upada

Mehanizmi za otkrivanje i prevenciju upada su deo arsenala sajber bezbednosti Provision ISR-a. Kroz naprednu analitiku i praćenje u realnom vremenu sistem može da identifikuje neuobičajeno ponašanje i potencijalno kršenje bezbednosti. Sa automatizovanim odgovorima i upozorenjima, kompanija obezbeđuje brzu reakciju za neutralisanje pretnji i održavanje integriteta mreže za nadzor.

 Bezbedna integracija u oblak i sveobuhvatne revizije

Provision ISR je primenio stroge bezbednosne mere za svoje funkcije integrisane u cloud tehnologiju. Bezbedna infrastruktura u oblaku ne samo da olakšava jednostavan daljinski pristup već se i pridržava vodećih bezbednosnih standarda u industriji, obezbeđujući da podaci uskladišteni u oblaku ostanu poverljivi i zaštićeni od neovlašćenog pristupa. Da bi podržala najviše standarde sajber bezbednosti, kompanija sprovodi sveobuhvatne revizije bezbednosti. Ove revizije procenjuju ceo ekosistem video nadzora, identifikujući potencijalne ranjivosti i mogućnosti za poboljšanje.

 Kolaborativno obrazovanje o bezbednosti

Prepoznajući da je sajber bezbednost zajednička odgovornost, Provision ISR se aktivno uključuje u zajedničke inicijative za obrazovanje o bezbednosti. Pružajući korisnicima resurse, najbolje prakse i materijale za obuku, kompanija osnažuje zajednicu da unapredi svoju svest o sajber bezbednosti i doprinese ukupnoj bezbednosti sistema nadzora. Kroz šifrovanje, autentifikaciju, redovna ažuriranja, sprečavanje upada, bezbednu integraciju u oblaku i stalnu edukaciju, Provision ISR stoji kao pouzdan partner u neprestanom razvoju sajber bezbednosti, osiguravajući da sutrašnja tehnologija nadzora ostane otporna i pouzdana.

MOBOTIX M73: Modularna termalna kamera s AI-jem

Kombinacija visoke rezolucije, termalne tehnologije, cyber sigurnosti i modularnosti čini ovaj model nezaobilaznim izborom za sve koji traže vrhunsku kameru koja će zadovoljiti njihove sigurnosne potrebe

Piše: Vito Lalić, menadžer razvoja poslovanja MOBOTIX-a za Adria regiju, Konica Minolta; E-mail: Vito.Lalic@konicaminolta.hr

 MOBOTIX M73 predstavlja novu, revolucionarnu kameru s naprednom termalnom tehnologijom i iznimnom modularnošću. Zahvaljujući inovativnim 50 mK termalnim senzorskim modulima, karakterizira je nevjerovatna osjetljivost, a povećanje broja piksela uz pomoć VGA termalnih senzora omogućava precizno detektiranje detalja, pokrivanje širih područja i bilježenje temperaturnih razlika na velikim udaljenostima.

Interoperabilnost i modularnost

M73 pruža visoku kvalitetu snimaka sa CIF ili VGA termalnom rezolucijom sa 9 sličica u sekundi. Termalna leća s varijabilnim uglom osmatranja omogućava telefoto i širokougaoni prikaz, prilagođavajući se tako različitim situacijama, dok opcionalna termalna radiometrija dodatno proširuje mogućnosti snimanja. Ova kamera koristi najnoviju MOBOTIX 7 sistemsku platformu s podrškom za različite kodeke kao što su H.264, H.265, MxPEG+ i MJPEG, što dodatno pruža fleksibilnost u obradi i pohrani podataka. Kamera je usklađena s ONVIF profilima G, S i T, što osigurava interoperabilnost s drugim uređajima i sistemima. Zahvaljujući modularnosti, M73 omogućava korisnicima da fleksibilno koriste do tri senzorska ili funkcionalna modula, dok 2x4K UHD rezolucija pruža visoku kvalitetu slike. M73 ima i široki dinamički raspon (WDR) do 120 dB, omogućavajući jasne slike u različitim svjetlosnim uslovima. Njena jednostavna montaža olakšava instalaciju, a otpornost na vremenske uslove (IP66), NEMA 4X i IK1 čini je idealnom za sva okruženja.

 Otporna na hakerske napade

M73 je također skalabilna, inteligentna i modularna kamera. Kao dio decentralizirane Edge arhitekture, koristi aplikacije podržane umjetnom inteligencijom i dubokim učenjem, a zajedno s cijelom serijom Mx6 certificirana je prema SySS IT sigurnosnom standardu. Stručnjaci za penetracijsko testiranje iz SySS-a proveli su simulirane napade na hardverske i softverske komponente kamere M73, potvrđujući njihovu otpornost na najnovije metode hakiranja. Certifikacija SySS-a ne samo da pruža vrhunsku sigurnost za sve MOBOTIX IoT kamere već i potvrđuje posvećenost kompanije najboljoj cyber sigurnosti. Hardver i softver sistema su prilagodljivi i nadogradivi, a sve to omogućava korisnicima da prilagode kamere svojim specifičnim potrebama.

Thermal Validation aplikacija

Proteklih je godina MOBOTIX znatno proširio svoja dokazana rješenja za termalnu i protivpožarnu zaštitu, što je prepoznato dodjelom i GIT Sicherheit nagrade za 2024. godinu. “MOBOTIX-ova Thermal Validation aplikacija mijenja pravila igre u segmentu termalnih aplikacija. Ona automatski detektuje i filtrira vruće objekte, poput vozila s vrućim motorima koji se pojavljuju na kameri, ali nisu kritični, i na taj način efikasno smanjuje broj lažnih alarma ili, u najboljem slučaju, potpuno ih izbjegava”, kažu iz MOBOTIX-a. Bilo da trebate nadzor objekta, detekciju temperaturnih promjena ili integraciju s drugim sistemima, MOBOTIX M73 će pružiti pouzdano i napredno rješenje. SySS-ova certifikacija i priznanje GIT Sicherheita dokazi su izvanredne kvalitete i performanse M73 kamere na tržištu videonadzora.

IT sigurnost: Zamor lozinkama otvara vrata pametnijoj sigurnosti

Drevna tehnologija lozinki jednom je nogom na silasku sa scene koju posljednjih godina “krase” sigurnosne rupe i umorna publika. U poplavi pomodnih termina poput “velikog otkaza” ili “malwarea kao usluge” bilo je samo pitanje vremena kada će se korisnici i struka morati pozabaviti i tzv. zamorom lozinkama

Piše: Mirza Bahić: E-mail: mirza.bahic@asadria.com

Zamor ili zasićenje lozinkama je fenomen koji opisuje frustraciju korisnika izazvanu potrebom za pamćenjem rastućeg broja lozinki za različite nivoe sigurnosti i aplikacija. Rješenje se traži u autentifikaciji bez lozinki, a godina pred nama je, čini se, vrijeme kada bi zamjenske tehnologije konačno mogle početi sazrijevati i u tehničkom i u implementacijskom smislu.

Frustracija hrani rizike

Prema istraživanju kompanije Deloitte za 2023, više od polovine svih zaposlenika (54%) čuva svoje poslovne lozinke na nesiguran način, odnosno na lako dostupnom papiru ili datoteci. Još veći broj njih (65%) kontinuirano koristi jednu te istu lozinku bez previše varijacija. Uz postojeće brige o sigurnosnim prijetnjama izvana, kompanije su iza leđa dobile vojsku frustriranih zaposlenika čije su lozinke ugrožene phishing napadima, aplikacijama za praćenje svega što korisnik unosi putem tastature ili softverskim napadima grube sile. Ovo je potvrđeno i Verizonovim izvještajem o slučajevima povrede podataka za 2022, u kojem je 67% napada na aplikacije izvedeno na bazi kompromitovanih lozinki. Sve u svemu, posljednje dvije godine bile su vrijeme kada su lozinke zaradile neslavnu titulu najslabije karike u lancu cyber sigurnosti, uz sve glasnije pozive da ih se proglasi “legacy” tehnologijom. Ovom pozivu je odgovorilo više kompanija čije tehnologije obećavaju slanje lozinki u muzej sigurnosti već u 2024.

Godina ulaska passkey ključeva u mainstream

Prvi korak napravljen je još sredinom 2023. godine, kada je Google bez fanfara uveo mogućnost prijave na svepopularni Gmail servis bez korištenja lozinki. Prije toga, s još manje pompe, isti princip je ponudio i Microsoft. U korijenu tehnologije koja treba istisnuti lozinke su tzv. passkey kriptografski ključevi koje kreira autentifikator u vidu pametnog telefona ili softvera za upravljanje lozinkama. Da bi se autentifikator ocijenio validnim, potrebna je verifikacija samog korisnika, npr. pomoću biometrijskog senzora sličnog sistemima koji se koriste za otključavanje telefona.

Tu važnu ulogu igra biometrija, odnosno opcija da se pristup ostvaruje prepoznavanjem lica ili skeniranjem otisaka prstiju, uz podršku alata kakvi su TouchID ili FaceID. Jedan kriptografski ključ je javni, a drugi privatni. Kada se prijavite pomoću lozinke, vaš autentifikator će generirati javni ključ za taj server, odnosno jedinstvenu informaciju koju bilježi sama aplikacija ili web-stranica. Istovremeno, privatni ključ se pohranjuje isključivo na korisnikovom uređaju. Nakon autentifikacije korisnika koji vrši prijavu, sistem kombinira obje informacije za kreiranje passkey ključa pomoću kojeg se odobrava pristup računu. Ovi ključevi se sinhroniziraju za više uređaja, što ih čini još praktičnijim za širu primjenu.

Šta želi FIDO?

Ono što bi passkey trebalo proširiti i do virtuelnih zidova koji opasavaju mrežne resurse i aplikacije jeste činjenica da se ne radi ni o kakvoj vlasnički zaštićenoj tehnologiji, nego o industrijskom standardu. Tu na scenu stupa FIDO alijansa, čiji su članovi tehnološki divovi poput spomenutog Googlea i Microsofta, uz neizbježni Apple. Iako postoji svijest da se tranzicija u eru autentifikacije bez lozinki neće odvijati brzo, FIDO je organizacija s jasnom agendom: aplikacije i ostali resursi na mreži neće biti sigurni sve dok se za pristup istima koriste lozinke. Bez obzira na “palijativne” mjere poput uvođenja višefaktorske autentifikacije, budućnost je, smatraju u FIDO-u, u cjelovitoj enkripciji sistema prijave, pri čemu će ulogu lozinki preuzeti personalizirani ključevi pohranjeni na pristupnom uređaju i neodvojivo vezani za hardver i samog korisnika.

 Veća sigurnost uz poboljšano korisničko iskustvo

Pristupni ključevi imaju više prednosti nad lozinkama. Za početak, oni se ne mogu nasumično pogoditi ili podijeliti. Ovi ključevi su otporni i na pokušaje krađe identiteta jer su jedinstveni za web-lokacije za koje su kreirani. Istovremeno, i sam račun na koji se korisnik prijavljuje nikada ne mora pamtiti njegov privatni ključ, tj. ne mora  pohraniti osjetljive informacije o tome da je zahtjev za prijavu došao od konkretne osobe. To tehnologiji pristupnih ključeva daje dodatnu prednost u odnosu na lozinke koje gube svoju sigurnost kada se podijele ili ukradu.

Ono što je najvažnije, u doba svakodnevnih povreda podataka, pristupni ključevi ne mogu biti ukradeni hakiranjem servera ili baze podataka kompanije. U konačnici, podaci izvučeni napadima bit će manje vrijedni za kriminalce jer, očito, nisu smatrani dovoljno značajnim da bi ih se zaštitilo pristupnim ključevima. Iz strogo sigurnosne perspektive, uklanjanje lozinki smanjuje i preopterećenje akreditivima za zaposlenike i korisnike.

Izazovi: stare navike i odsustvo standarda

No, zašto bi 2024. trebala biti godina tranzicije u smislu smanjenja sveprisutnosti lozinki? Za početak, sada se može reći da su konačno mapirane sve prepreke široj primjeni tehnologije ključeva, uz rast svijesti o finansijskim pogodnostima dokidanja lozinki. Dalje, oslobađanje bremena pamćenja i unosa različitih lozinki znači da će korisnici usluga kompanija imati kvalitetnije korisničko iskustvo.

Ipak, na putu široj primjeni ključeva stoje brojne prepreke. Prva je prosta sveprisutnost zastarjelih sistema. Mnoge kompanije i dalje se oslanjaju na staru tehnologiju i platforme koje nisu podesne za rad s tehnologijama autentifikacije bez lozinke. Iako se one mogu i modificirati, sam čin prilagodbe ovih sistema može biti skuplji od nabavke novih uređaja, odnosno i hardvera i softvera za njih.

Istovremeno, ni u 2024. ne postoji jedinstveno standardizirano rješenje za rad bez lozinki koje može raditi sa svim tipovima tehnološke infrastrukture, kombinacijama uređaja i scenarijima primjene. Zato bi primjena ovakvih rješenja tražila i pronalazak strateških partnera koji bi ostali uz organizaciju u svakoj fazi implementacije. Na kraju, uprkos pogodnostima za klijente koje nudi autentifikacija bez lozinki, organizacije moraju znati da će nemali broj korisnika ipak birati da ostane uz sistem koji poznaje, ma kako on bio nepraktičan. Tu će komunikacija o pogodnosti eliminacije lozinki iz sigurnosne jednačine biti ključna, kao i kod svake masovnije digitalne transformacije koja traži saradnju s korisnicima.

Uz prelazak na pristupne ključeve i decentralizirane identitete, nova era autentifikacije bi mogla lako imati 2024. kao svoju početnu godinu.

Detekcija prisustva objekata u Wi-Fi polju

Ova vrsta detekcije kroz bilježenje promjena u uzorcima Wi-Fi valova postaje sve popularniji način prepoznavanja objekata i kretanja. Tehnologija nosi niz prednosti u odnosu na tradicionalne metode detekcije pokreta

Pripremila: Dženana Bulbul; E-mail: redakcija@asadria.com

Današnji život teško je zamisliti bez Wi-Fi-ja s obzirom na njegovu ključnu ulogu u pružanju bežičnog pristupa internetu. Prema prognozama IDC-a, očekuje se da će se do početka ove, 2024. godine isporučiti između 3,9 i 4,1 milijarde uređaja s mogućnošću spajanja na Wi-Fi mrežu.

Međutim, Wi-Fi može pružiti znatno više od jednostavnog bežičnog prijenosa podataka. Jedna od jedinstvenih primjena je detekcija prisustva objekata u Wi-Fi polju, i to pomoću bilježenja promjena u uzorcima Wi-Fi valova, kako bi se detektirala prisutnost i kretanje objekata u određenom prostoru. Iako tehnologija nije sasvim nova, njena primjena raste posljednjih godina.

Način rada

“Nakon godina istraživanja i razvoja ova je tehnologija postala dostupna na tržištu posljednjih nekoliko godina, postepeno dobivajući na popularnosti, i to u industriji kućne sigurnosti, telekomunikacija i zdravstva. Njeno prepoznavanje znatno je poraslo s pojavom novih primjera upotrebe, posebno u ovim sektorima. Stoga, ova industrija spremna je za brzi rast u narednim godinama”, rekao je Tony Nicolaidis, glavni komercijalni direktor u kompaniji Origin.

Tehnologija jednostavno detektira promjene u uzorcima Wi-Fi signala u okolini. Naprimjer, kada objekat pređe komunikacijski put između dva Wi-Fi uređaja, ona prepoznaje promjenu u uzorku signala i, pomoću analitike, tumači šta taj objekat može biti i kako se kreće. Tako može detektovati i prisustvo osobe u prostoru kada to nije predviđeno ili njen eventualni upad, nakon čega se korisniku šalje pravovremeno upozorenje. Ovo može imati važnu primjenu u sektoru sigurnosti i zaštite.

Prednosti u odnosu na druge senzore

Detekcija prisustva objekata u Wi-Fi polju pomoću bilježenja promjena u Wi-Fi valovima ima određene prednosti u odnosu na uobičajene detekcije pokreta. “Tradicionalni senzori pokreta poput pasivnih infracrvenih (PIR) su popularni, ali se uglavnom koriste u sigurnosne svrhe. Kamere pružaju vizuelno praćenje, mogu biti skupe i zahtijevati značajan propusni opseg. Pametni uređaji za kućnu upotrebu, poput termostata čiji rad aktivira prisustvo ljudi, postaju popularni za praćenje potrošnje energije, ali im je mogućnost ograničena, što stvara nepotpunu sliku”, rekao je Taj Manku, izvršni direktor i osnivač Cognitive Systemsa.

Važno je napomenuti da ako korisnik već ima Wi-Fi, nije potrebno mijenjati postojeću Wi-Fi infrastrukturu. “Detekcija prisustva objekata u Wi-Fi polju iskorištava postojeće Wi-Fi signale i koristi infrastrukturu pružalaca internetskih usluga, uključujući rutere i pametne kućanske uređaje. Ovaj pristup predstavlja ekonomičan način stjecanja sveobuhvatnih uvida u kućne aktivnosti. Značajnim smanjenjem troškova i uklanjanjem prepreka za korisnike ovo postaje izuzetno korisno rješenje”, kaže Manku. Osim toga, tehnologija detekcije Wi-Fi signala lako se integriše s ekosistemom međusobno povezanih proizvoda i usluga, i to putem interneta. Kako tehnologija nastavlja evoluirati, njene integracije će se proširiti, nudeći ne samo širi raspon primjena već i precizniji prikaz kućnih aktivnosti.

Privatnost?

Glavna prednost ove tehnologije je zaštita privatnosti. Kako je već navedeno, ona funkcioniše tako da detektuje promjene u uzorcima Wi-Fi signala, a ne snimanjem videozapisa ili pohranjivanjem snimljenih materijala. “Za razliku od kamera, detekcija prisustva objekata putem Wi-Fi signala ne pruža uvid u konkretne aktivnosti, čime garantuje visoku razinu povjerljivosti i privatnosti. Ovaj aspekt čini je idealnim izborom za osobe koje žele sačuvati privatnost u vlastitim domovima”, naglašava Manku. Još jedna prednost ove tehnologije je da nije potrebna direktna veza između uređaja. “Detekcija prisustva objekata u Wi-Fi polju prevazilazi ograničenja kamera budući da ne zahtijeva direktnu vezu između uređaja, pa kao takva ostaje neosjetljiva na uslove niske ili nikakve svjetlosti. Kao rezultat toga, pokazuje veću efikasnost u pokrivanju veće površine. Za razliku od uređaja poput PIR senzora ili kamera koje snimaju unutar ograničenog vidnog polja, Wi-Fi signali mogu raditi gdje god korisnik ima povezani uređaj”, dodao je Manku.

Detekcija prisustva objekata u Wi-Fi polju pruža korisnicima sveobuhvatan uvid u aktivnosti kod kuće, osiguravajući udobnost, praktičnost, ali i sigurnost

Bez potrebe za nošenjem uređaja

Prema Nicolaidisu, većina tehnologija za praćenje kućnih aktivnosti dolazi u obliku povezanog nosivog uređaja koji komunicira s trećom stranom. Ove tehnologije zahtijevaju od korisnika da koriste fizički uređaj koji treba uvijek nositi, poput pametnih telefona, satova, privjesaka ili naočala. Međutim, s ovom tehnologijom stvari mogu biti drugačije.

“Detekcija prisustva objekata u Wi-Fi polju eliminira potrebu za korištenjem unutrašnjeg mobilnog sistema za odgovor u hitnim situacijama čija je prosječna stopa lažnih alarma preko 90 posto. Ovo je posebno važno za osobe s demencijom”, rekao je Nicolaidis. Trenutno se detekcija prisustva objekata u Wi-Fi polju najčešće koristi u stambenim objektima, ali ima potencijalnu primjenu i u drugim sektorima.

Vertikalna tržišta

S obzirom na sve navedeno, ne znači da ova tehnologija nema primjene izvan kuće. Naprotiv, postoje vertikalna tržišta za koja je prikladna. Izuzetne prednosti može pružiti u domovima za starije osobe i zajednicama penzionera. Detekcija pada ili znakova nepokretnosti omogućuje brzu reakciju i pružanje potrebne pomoći starijim osobama. Osim toga, njena implementacija omogućuje zaštitu privatnosti, jer se ne snimaju videozapisi niti pohranjuju.

Škole

Sigurnost u školama postala je imperativ u današnjem društvu, a tehnologija detekcije prisustva objekata u Wi-Fi polju može znatno pridonijeti unapređenju ovog ključnog područja. “Dok mnoge škole već imaju kamere u zajedničkim prostorima, postoje mjesta koja se smatraju previše privatnima za snimanje videa ili zvuka, kao što su svlačionice, kancelarije i određene učionice, gdje su kamere neprimjerene. S obzirom na rastuću važnost sigurnosti u školama, mogućnost praćenja više od zajedničkih područja kampusa postaje izuzetno vrijedna s ovom tehnologijom, pružajući školama sveobuhvatan pogled na sigurnost kampusa”, naveo je Nicolaidis.

Poslovne zgrade i trgovine

Automatizacija je postala neizbježna u poslovnim zgradama, a sveprisutna primjena tehnologije proširila se na sisteme poput klimatizacije, rasvjete i druge. U ovom kontekstu, detekcija prisustva objekata u Wi-Fi polju ima značajnu ulogu u daljnjoj optimizaciji ove automatizacije. Ova tehnologija može pomoći u optimizaciji potrošnje energije omogućavajući pametnu kontrolu grijanja, hlađenja i osvjetljenja na temelju prisutnosti i aktivnosti korisnika, istovremeno skrećući pažnju na uređaje koji bi mogli trošiti više energije nego što se očekivalo. To dovodi do znatne uštede energije i smanjenja računa za usluge.

Na kraju, ova tehnologija također može imati značajne primjene u trgovini. “Proučavanje kretanja može pomoći u usmjeravanju optimalnog postavljanja proizvoda kako bi se poboljšali aranžman i prodaja. Analiza potrošača može pomoći organizacijama da bolje razumiju svoje kupce i njihove navike kako bi pružile bolju uslugu, proaktivno rješavale probleme i kreirale značajnije marketinške kampanje”, rekao je Manku.

Koristi za pružaoce internetskih usluga i krajnje korisnike

Kako se ova tehnologija nastavlja razvijati, prednosti za pružaoce internetskih usluga (ISP) i krajnje korisnike postaju sve očitije. Ona iskorištava postojeću Wi-Fi infrastrukturu korisnika, koju često implementira sam pružalac internetskih usluga, i kroz taj proces otvara nove mogućnosti. Za telekome ova tehnologija daje dodatnu vrijednost njihovoj ponudi, pružajući mogućnosti za proširenje usluga i otvaranje novih izvora prihoda.

“Dodavanjem softvera za detekciju prisustva objekata u Wi-Fi polju na njihov postojeći ili novi hardver, ISP-ovi mogu imati koristi od povećanog izvora prihoda koji zahtijeva minimalna ažuriranja ili dodatne troškove s bilo koje strane”, rekao je Nicolaidis. S rastućom funkcionalnošću ove detekcije njena skalabilnost kao softverskog rješenja omogućava proširenje u različite sektore usluga, uključujući unapređenje korisničkog iskustva i optimizaciju performansi kućnih Wi-Fi mreža. “Na kraju, temeljna poboljšanja rezultirat će povećanim angažmanom aplikacija te prihodima, kako direktno tako i indirektno, za pružaoca usluga”, dodao je Manku. Za korisnike prednosti dolaze iz tehnologije koju ne moraju mijenjati ili nadograđivati dodatnom opremom.

Zaključak

Detekcija prisustva objekata u Wi-Fi polju pruža korisnicima sveobuhvatan uvid u aktivnosti kod kuće, osiguravajući udobnost, praktičnost i sigurnost. Nudi različite pogodnosti, uključujući optimizaciju potrošnje energije, poboljšanje produktivnosti i veću sigurnost. Dodatno, omogućava automatizaciju zadataka poput podešavanja temperature i gašenja svjetala, štedeći vrijeme, trud i smanjujući potrošnju energije. Tehnologija se može koristiti uz postojeće sigurnosno rješenje ili kao samostalna opcija za otkrivanje neočekivanog kretanja u stambenoj jedinici. Nadalje, može podržati skrbnike pružanjem potvrde redovne aktivnosti njihovih najmilijih. Privlačan je izbor za korisnike koji traže uvide u aktivnosti kod kuće bez značajnih troškova, jer je jednostavna za implementaciju i korištenje.

IZDANJA

Global Security d.o.o.

Hasiba Brankovića 3, 71000 Sarajevo, Bosna i Hercegovina
Tel: +387 (0)33/788-985
Fax: +387 (0)33/788-986
Web site: www.asadria.com
Marketing: marketing@asadria.com
Pretplata: pretplata@asadria.com
PDV broj: 201142740001
Identifikacioni broj: 4201142740001
ISSN 1986-5

Magazin a&s Adria – stručni magazin za kompletna sigurnosna rješenja – mjesečna je publikacija licencirana od strane kompanije Messe Frankfurt New Era Business Media za Adriatic regiju: Bosnu i Hercegovinu, Crnu Goru, Hrvatsku, Kosovo, Makedoniju, Sloveniju i Srbiju.