U većini kompanija i dalje postoji veliki raskorak između svijesti rukovodećeg kadra o opasnosti od hakerskih napada i njihove spremnosti da naprave odgovarajuće korake koji bi doprinijeli sigurnosti preduzeća

Piše: Vesna Matić-Karić

E-mail: redakcija@www.asadria.com

Šta sve današnji direktori trebaju i moraju znati kako bi mogli na pravi način zaštititi kompaniju od cyber napada pitanje je od ključne važnosti za korporativni svijet. Prva stvar koju moraju znati jeste to da je svaka moderna kompanija, bez obzira na to u kojoj oblasti i kako posluje, ujedno i tehnološka firma iz prostog razloga što nijedna ne može funkcionisati bez modernih tehnoloških pogodnosti. Međutim, ovaj put se nećemo baviti samo tehnološkim zaštitnim mjerama nego i ljudskom komponentom, koja je bitan faktor pri zaštiti od cyber napada. To se prije svega odnosi na potrebu da rukovodstva kompanija počnu drugačije gledati na računarsku sigurnost. Sada je svaki problem s računarskom sigurnošću potencijalna prijetnja cjelokupnom biznisu budući da se većina tog poslovanja odvija zahvaljujući internetu, cloudu i ostalim tehnološkim aspektima, koji su postali nezaobilazni.

Ko su cyber kriminalci i kakve taktike koriste?

Prema podacima iz 2016. godine, do najvećeg broja hakerskih napada u svijetu dolazi zahvaljujući ukradenim ili preslabim lozinkama – čak 81% njih. Prosječna starost cyber kriminalaca je 35 godina, a 80% ih je povezano s organizovanim kriminalom. Kada spominjemo cyber kriminal, onda govorimo o zločinu koji uključuje neki računarski aspekt, a što se tiče samih zlonamjernih hakera, odnosno cyber kriminalaca, postoji nekoliko različitih kategorija na osnovu kojih ih prepoznajemo. Prije svega, tu su aktivističke grupe, takozvani haktivisti. Njihov glavni cilj je promocija svojih uvjerenja, a to mogu biti religijska uvjerenja, politički ili ekološki ciljevi. Haktivistima uglavnom nije cilj da vam ukradu novac, nego da izazovu željenu reakciju i utječu na reputaciju kompanije ili njene klijente, pa su s te strane manje maliciozni u odnosu na ostale kategorije hakera koje ćemo spomenuti.

Zatim imamo insajdere. To su zaposlenici koji djeluju unutar same kompanije, a koji nisu nužno svojevoljno uključeni u cyber kriminalne aktivnosti. Naprimjer, insajder može preuzeti listu kontakata ili kreirati neki dokument koji će hakerima pomoći da dođu do svog cilja, a da toga uopće nije svjestan. U treću, znatno štetniju kategoriju spadaju finansijski motivisane grupe organizovanog kriminala, čiji su članovi uglavnom locirani u istočnoj Evropi. Na kraju, imamo državne aktere koji direktno ili indirektno rade za države iz kojih potječu, a spadaju u najsofisticiranije hakere. Njihov glavni cilj je ukrasti osjetljive podatke i ometati funkcionisanje neprijateljske države.

Korporativni hakeri

Posljednjih godina na površinu je isplivala i jedna posebna, “korporativna” vrsta hakera, koja je odlučila prihvatiti korporativne prakse kako bi povećala efikasnost svojih napada. Najveće hakerske grupe imaju upravo to – korporativno ustrojstvo: u svom arsenalu imaju najbolje stručnjake koji onim manje uspješnim cyber kriminalcima prodaju licencirane hakerske alate. Dakle, danas hakerske grupe po skoro svemu funkcionišu kao korporacije, pa imaju odlično tehnološko osoblje, koje ima i radno vrijeme, slobodne vikende i koje ne radi za vrijeme praznika. Iako smo neke od njih već spominjali u magazinu, još jednom ćemo opisati kojim se taktikama cyber kriminalci najčešće služe. Prije svega, to su DDoS (Distributed Denial of Service) napadi, kojima se ometa rad mreže tako što napadač šalje veliku količinu podataka ili saobraćaja kroz nju, pa mreža na kraju postane zagušena i prestane funkcionisati. A kako poplava neželjenog saobraćaja može stizati iz stotinu hiljada različitih izvora, napad je nemoguće zaustaviti tako što ćete jednostavno blokirati jednu IP adresu. U finansijskom sektoru najveći broj hakerskih napada odvija se pomoću DDoS napada, što objašnjava zašto je u ovoj industriji finansijska šteta od napada izuzetno visoka.

Potom imamo phishing. Ovi se napadi najčešće odvijaju preko e-mailova u kojima vam se nudi da kliknete na neki link i upišete lične podatke. Najveći problem kod phishinga jeste to što su takvi napadi s vremenom postali toliko sofisticirani da će vam djelovati potpuno legitimno. Zapravo, istraživanja Verizona za 2016. godinu pokazala su da postoji šest puta veća vjerovatnoća da ćete kliknuti phishing e-mailove nego tipični marketinški e-mail. Tu su i skimmeri, odnosno čitači bankovnih kartica koji kradu vaše bankovne podatke i pin kod, što se kasnije koristi za pravljenje lažnih kartica.

O zlonamjernom softveru je potrebno stalno govoriti. Ono čega direktori kompanija moraju biti svjesni kada je riječ o trojancima i virusima jeste to da im je glavni cilj preuzimanje kontrole nad računarima ili oštećivanje sistema, a na računare najčešće dospijevaju preko zaraženih attachmenta, preuzimanja zaraženog softvera te zahvaljujući različitim ranjivostima sistema. Još jedna taktika kojom se koriste cyber kriminalci jesu vaši zaposlenici. Nije rijetkost da radnici u modernim kompanijama krišom preuzimaju osjetljive korporativne podatke s nadom da će ih unovčiti, što se dešava u 60 posto slučajeva.

Posljedice cyber napada i troškovi 

Prema podacima za ovu godinu, prosječan trošak koji nastane kao posljedica hakiranja iznosi nešto više od sedam miliona dolara, a u njega ulazi otkrivanje napada, stagniranje i oporavak zbog prekida poslovanja, gubitka prihoda i oštećenja opreme. Naravno, u to spada i saniranje štete zbog narušene reputacije firme ili samog klijenta, do čega također nerijetko dolazi usljed hakerskog napada. Zanimljiv je i podatak da su kompanije s najvećim nivoom poslovnih inovacija (kupovina, prodaja, ulazak na novo tržište) meta najtežih napada, koji za posljedicu imaju najveće troškove saniranja problema. Zapravo, dokazano je da to može dovesti do povećanja troškova usljed računarskog kriminala za čak 20%. Međutim, najgora je situacija u kompanijama koje se bave finansijskim uslugama. Prema podacima koji stižu iz Ponemon Instituta, hakerski napad takvu kompaniju košta 1,9 milion dolara ako su ukradeni podaci manje od 10 hiljada korisnika. Ako je riječ o 10–25 hiljada oštećenih korisnika, troškovi se penju na 2,8 miliona dolara. Ukoliko je napadom zahvaćeno 25–50 hiljada korisnika, troškovi su 4,6 miliona dolara, dok će krađa podataka 50 hiljada korisnika i više koštati 6,3 miliona dolara.

Prema izvještaju Verizona o hakerskim napadima za 2017. godinu, ispostavilo se da su kompanije koje se bave finansijskim uslugama na prvom mjestu po broju napada, dok iza njih slijede zdravstvo i javni sektor. Osim same učestalosti napada, u ovoj industriji je najveći i godišnji gubitak novca, pa je tako finansijski sektor u 2013. usljed cyber napada izgubio u prosjeku 16,5 miliona dolara. S druge strane, 2012. godine situacija je bila znatno drugačija. Finansijski sektor je tada bio na trećem mjestu po broju hakerskih napada, dok su prva dva mjesta zauzimala vojna te komunalna i energetska industrija.

Više o ovoj temi čitajte u printanom izdanju… 

Iz godine u godinu IT stručnjaci upozoravaju korisnike interneta na moguće opasnosti koje spadaju pod domen cyber sigurnosti. Međutim, postavlja se pitanje da li korisnici ozbiljno shvataju opasnosti koje im prijete u online sferi te kolikim znanjem raspolažu kada se trebaju zaštititi?

Piše: Vesna Matić-Karić

E-mail: redakcija@asadria.com

Kako bi se saznalo šta građani Evropske unije misle o računarstvu i cyber sigurnosti, 2017. godine je objavljeno istraživanje “Stavovi Evropljana o cyber sigurnosti”. Ovaj izvještaj razotkriva stavove javnog mnijenja iz 28 zemalja EU o računarskoj sigurnosti, a cilj istraživanja je razumijevanje svijesti, iskustava i percepcija građana Unije o ovoj temi, njih 28 hiljada koliko ih je ukupno učestvovalo u istraživanju. Neophodnost objavljivanja ovakvog izvještaja leži u činjenici da cyber kriminal predstavlja veliki problem modernog doba i u okviru njega ne postoje nikakve fizičke granice koje bi barem donekle kontrolisale njegovo širenje. Iako nam je pristup internetu olakšao svakodnevnicu i pristup informacijama, tužna je činjenica da njegova sve šira upotreba ima i negativnu posljedicu koja se ogleda u vidu pojačanog i sve kreativnijeg cyber kriminala.

Gubici u milijardama

Procjenjuje se da će računarski kriminal u budućnosti izazivati gubitke koji će se mjeriti milijardama eura godišnje, što će izvršiti veliki pritisak na organe za provođenje zakona, koji možda još nisu u potpunosti spremni da adekvatno odgovore na novu prijetnju. Kako bi odgovorila na ovaj rastući problem, Evropska komisija je oformila koordiniranu politiku kroz blisku saradnju sa zemljama EU i drugim evropskim institucijama kako bi doprinijela borbi protiv problema povezanih sa cyber kriminalom, kao što su napadi na računarske sisteme, uvredljivi online materijali i dječija pornografija, online privatnost i online prevare te falsifikovanje. Mi ćemo se u pregledu prikupljenih i u izvještaju objavljenih podataka koncentrisati na podatke koji se tiču Hrvatske i uporediti ih s podacima o prosjeku koji se odnosi na ostale članice EU kako bismo prikazali gdje se tačno nalazi Hrvatska kada je riječ o stavovima građana o cyber sigurnosti. Izvještaj sadrži i podatke o tome koliko se često građani Hrvatske služe internetom, koje uređaje koriste za pristup te kojim se aktivnostima najčešće bave.

Upotreba interneta i nivo svijesti o sigurnosti na internetu

Iako bi se, s obzirom na raširenost interneta, moglo zaključiti da skoro sto posto građana Hrvatske koristi internet, podaci iz ovog izvještaja pokazuju drugačije. Prema izvještaju, u Hrvatskoj se internetom svakodnevno služi 59% ispitanika, dok se s druge strane taj prosjek penje na čak 70 posto kada su u pitanju sve zemlje članice Evropske unije. Povremeno se internetom služi 10% Hrvata, dok evropski prosjek iznosi 9%. Internetom se nikada ne služi 25% ispitanika u Hrvatskoj, što je značajno veća brojka od evropskog prosjeka koji iznosi 19%. Zanimljiv je i omjer procenata između te zemlje i ostatka EU kada je riječ o ispitanicima koji uopće nemaju pristup internetu. Dok u ostatku EU pristup internetu nema samo 2% ispitanika, u Hrvatskoj se taj procenat penje na 6%. U skladu s velikom popularnošću društvenih mreža u zemljama regije, od svih aktivnosti na internetu hrvatski ispitanici su odgovorili da najčešće koriste društvene mreže, dok se kupovinom usluga i proizvoda preko interneta bavi dvostruko manji procent korisnika nego u zemljama EU (grafikon QB7). Kada se pogledaju socio-demografski podaci za svakodnevne korisnike interneta, može se zaključiti kako se broj ispitanika koji koriste internet u Hrvatskoj podudara s brojem ispitanika u EU kada je riječ o mlađoj populaciji, odnosno o korisnicima starijim od 15, a mlađim od 24 godine. Međutim, situacija se drastično mijenja kada je riječ o korisnicima starijim od 40 godina.

Naime, tek dvije trećine ispitanika starijih od 40 i mlađih od 54 godine iz Hrvatske koristi internet svakodnevno, dok u ostatku EU taj postotak iznosi 81%. Najveća razlika je u grupi ispitanika starijih od 55 godina, gdje samo petina ispitanika iz Hrvatske iz ove dobne grupe svakodnevno koristi internet, dok je u EU taj prosjek dvostruko veći, odnosno 40%.

Kakva je informisanost građana?

S druge strane, iz izvještaja je jasno da su među hrvatskom populacijom pametni telefoni znatno popularniji kao sredstvo pristupanja internetu nego u ostatku EU, pa ih u te svrhe koristi 87% Hrvata, dok je prosjek za EU osam procenata manji. Zato Hrvati u manjoj mjeri koriste računare i tablete, pa tako računare koristi 85% svih ispitanika te samo 81% ispitanika iz Hrvatske. Tablete koristi 40% svih ispitanika te samo 29% onih iz Hrvatske, dok putem televizora internetu pristupa 18% svih ispitanih te 12% ispitanika iz Hrvatske. Kada je riječ o informisanosti građana EU o rizicima do kojih može doći u eri cyber kriminala, izvještaj pokazuje da manje od polovine ispitanika smatra da je dobro obaviješteno o mogućim cyber sigurnosnim rizicima, a sve ispitanike, kada je o ovoj problematici riječ, najviše brine mogućnost zloupotrebe privatnih podataka. Zbog toga najveći dio Hrvata, njih 52%, smatra da je transakcije najsigurnije obavljati licem u lice, dok se s njima slaže samo 27% svih ispitanika iz EU.

Građani EU imaju više povjerenja u vlast nego Amerikanci

Kako u Hrvatskoj tako i u ostatku EU više od polovine ispitanika potvrdilo je da zbog zabrinutosti za sigurnost izbjegava otkrivati svoje lične podatke na internetu. Također, većina ispitanika je svjesna toga da je rizik da postanu žrtve cyber kriminalaca sve veći, a zanimljivo je i to da je istraživanje pokazalo kako i građani Hrvatske, ali i ostatak građana EU, vjeruju da državna tijela brinu o njihovim ličnim podacima. Zbog toga većina od ukupnog broja ispitanika (56%) promjene u sigurnosnoj politici EU smatra veoma bitnim, ali kada su upitani koliko se slažu s tvrdnjom da policijske snage i zakonodavna tijela rade dovoljno na sprečavanju cyber kriminala, ispostavilo se da pitanje povjerenja i nije baš tako jednostavno. Naime, samo 13% svih ispitanika se slaže s ovom tvrdnjom u potpunosti, bez pogovora, a u samoj Hrvatskoj s ovom tvrdnjom se složilo samo 11% ispitanika, dok se s njom ne slaže njih 42%. Dakle, iako imamo podatke prema kojima se čini da građani Evropske unije imaju povjerenje u svoja zakonodavna tijela kada je riječ o brizi o njihovim privatnim podacima, kada se počne pričati o tome koliko se radi na mjerama zaštite od cyber kriminala, tu dolazi do zaokreta i mišljenja se mijenjaju. Poređenja radi, mnogi Amerikanci ne vjeruju modernim institucijama da će zaštititi njihove privatne podatke. Prema studiji Pew istraživačkog centra iz 2016. godine provedenoj nad 1.040 odraslih osoba kako bi se ispitale njihove navike i ponašanje kada je riječ o cyber sigurnosti, većina ispitanika se plaši da je već izgubila kontrolu nad privatnim podacima, a mnogi sumnjaju u to da su vladine agencije i velike korporacije uopće u stanju da zaštite korisničke podatke koje prikupljaju. Istraživanje je pokazalo da, baš kao što je slučaj s građanima EU, Amerikanci ne upražnjavaju najbolje prakse za zaštitu svojih online podataka, pa tako skoro 40 posto njih priznaje da koristi iste ili veoma slične lozinke za različite online profile, a 41% ispitanika kaže da je dijelilo ili još dijeli lozinku s prijateljem ili članom porodice. Tačno je četvrtina priznala da namjerno koristi jednostavnije lozinke, jer ih je lakše zapamtiti. Mnogi ne zaključavaju svoje mobilne uređaje, a čak 54% ispitanika priznaje da koriste potencijalno nesigurne javne Wi-Fi mreže.

Šta građani EU poduzimaju da se zaštite od cyber kriminala?

Zanimljivo je otkriće da većina ispitanika smatra da su dovoljno zaštićeni od cyber kriminala ukoliko koriste antivirusni softver i tu se rezultati između građana Hrvatske i ostatka EU ne razlikuju u nekoj većoj mjeri. Čak 72% ukupnog broja ispitanika vjeruje u neprobojnost i zaštitu anitivirusa, a u samoj Hrvatskoj isto misli 71% ispitanih. Ovo samo pokazuje da upozorenja stručnjaka iz IT svijeta i dalje ne liježu na plodno tlo kada je riječ o zaštiti od cyber kriminala. U nepogrešivost antivirusa ne vjeruje samo 25% svih ispitanika te 26% njih iz Hrvatske, pri čemu građani te zemlje nemaju običaj mijenjati svoju antivirusnu zaštitu (grafikon QD17) – tačnije, to rade dvostruko rjeđe u odnosu na prosjek u EU. Kada je Hrvatska u pitanju, ti procenti su barem u skladu s činjenicom da, kao što je moguće vidjeti iz grafikona QB12, korisnici interneta se u daleko manjem procentu susreću s online prevarama i virusima na svojim uređajima u odnosu na prosjek u Evropskoj uniji. Opuštenost spram cyber sigurnosti pokazuju i podaci da Hrvati mnogo rjeđe mijenjaju lozinke za svoje online profile u odnosu na evropski prosjek. Svijest o ovome bi svakako bilo poželjno povećati u okviru strategije za prevenciju cyber kriminala.

Sudeći po navedenim uvjerenjima većine građana EU, veliki broj ljudi, uprkos dugogodišnjem korištenju interneta, još ne zna kakvim su tačno opasnostima svakodnevno izloženi te da postojanje antivirusa ne isključuje mogućnost ljudske greške, zbog čega i dan-danas cyber kriminalci “pecaju” žrtve koje, nesvjesne svih opasnosti, otvaraju e-mailove sa zaraženim prilozima ili koriste preslabe lozinke, koje time gube svoju funkciju. To potvrđuju i odgovori ispitanika, jer je manje od polovine građana Evropske unije, samo 41%, promijenilo lozinku za e-mail, dok je procent mijenjanja šifri za većinu ostalih online aktivnosti još niži. Tako je u Hrvatskoj samo 21% njih u posljednjih godinu dana promijenilo e-mail lozinku, uprkos upozorenjima IT stručnjaka da ih trebate promijeniti i ojačati kako bi se smanjila mogućnost krađe podataka. Čak 48% Hrvata nije promijenilo lozinku ni za jednu online uslugu ili servis u toku godine dana u vrijeme kada se ovo istraživanje provodilo. Samo je 28% svih ispitanika priznalo da za svaku uslugu koristi posebne lozinke, dok je u Hrvatskoj taj procent znatno manji.

Zaštita djece

I za kraj, prilično su alarmantni podaci koji pokazuju da građani Hrvatske čine dosta manje na zaštiti djece od online uznemiravanja dok su ona na internetu (grafikon QB9R), što znači da bi se trebala pojačati edukacija porodica o ovoj temi. Jednu stvar nam je ovaj izvještaj jasno predstavio: građani EU još nisu obaviješteni o svim opasnostima koje ih vrebaju u online sferi, a ako i jesu, onda im manjka znanja i iskustva kako da se odbrane od njih. Jasno je da u budućnosti treba raditi na mjerama zaštite građana od cyber kriminala te da građane treba educirati o sigurnijoj upotrebi interneta.

SAD vs EU: različiti stavovi o povjerenju vladi

Prema podacima iz prošle godine, 64 posto Amerikanaca lično je doživjelo hakerski napad, a u najvećem broju slučajeva (41 posto) riječ je o bankovnim prevarama. Relativno veliki dio javnosti u SAD-u, za razliku od građana EU, ne vjeruje institucijama koje bi ih trebale zaštititi, a nepovjerenje je posebno izraženo prema federalnoj vladi i društvenim mrežama. S druge strane, iako za EU imamo liste hakerskih napada po državama, još nije urađena statistička analiza koja bi nam na nedvosmislen način pokazala koliki je tačno procent građana EU doživio hakerski napad u posljednjih nekoliko godina.

U ovom tekstu ćemo govoriti o sve popularnijem ugrađivanju čipova u ljude, pojasniti njihovu trenutnu primjenu, ali i zakonsku i etičku stranu tehnologije te njen mogući put do radnih mjesta u bližoj budućnosti

Piše: Vesna Matić-Karić

E-mail: redakcija@asadria.com

Više od 3.000 Šveđana je u protekle tri godine usadilo čipove u svoje tijelo, prenijela je u maju ove godine novinska agencija AFP. Tako sada imamo hiljade Šveđana koji čipove koriste kako više ne bi morali nositi lične dokumente ili koristiti kartice da bi ušli na posao. Mnogi ih upotrebljavaju i kao propusnicu za teretanu, ali i umjesto karti za vozove te za kupovinu hrane iz automata. Samo u toku jedne godine 130 putnika se prijavilo za uslugu Švedske nacionalne željeznice, koja nudi rezervaciju pomoću čipova kako ubuduće ne bi morali koristiti klasične karte prilikom svakodnevnih putovanja u granicama svoje države.

Je li sve idilično?

Međutim, kada je riječ o sigurnosti podataka, kao i uvijek, ispostavlja se da stvari nisu tako jednostavne. Ben Libberton, mikrobiolog koji radi za MAX IV laboratoriju, tvrdi da – iako je riječ o veoma praktičnoj tehnologiji, koja ljudima štedi vrijeme i živce – kada jednom umetnete čip u ruku, vi nekome dajete svoje privatne podatke. “Pravi problem leži u upravljanju podacima, o čemu će se govoriti tek kasnije kada se bude diskutovalo o tome kako se oni čuvaju. Ako podaci nisu sigurni, neko ih može ukrasti, a kada su jednom ukradeni, bit će ih teško vratiti”, rekao je Libberton. On također upozorava na to da neki ljudi dijele svoje podatke, a da toga nisu ni svjesni, jer ne znaju šta su, zapravo, potpisali u izjavi o uslovima korištenja čipova. Ove elektronske oznake, otprilike velike kao zrno riže, umeću se u stražnji dio ruke ili između prstiju. Usadivi RFID čipovi sastoje se iz tri dijela: integrisanog kola koje čuva informacije, komponente za napajanje tog kola i antene za prijem i prijenos signala između tog sklopa i vanjskog čitača. Kako bi mogli biti umetnuti pod kožu, dijelovi se nalaze unutar biokompatibilnog materijala koji ima osobine stakla. Određene vrste ovih čipova imaju i premaz, koji navodno potiče rast ćelija oko čipa (takvi čipovi se odavno koriste na životinjama). Usadivi RFID čipovi mogu biti pasivni, pri čemu se podaci s njih mogu samo čitati, ili aktivni, gdje se na uređaj mogu i pohraniti podaci. Iako su na tržištu dostupni i čipovi koji prenose signal, zahvaljujući čemu se mogu koristiti za praćenje, mi ćemo se ovaj put baviti samo pasivnim uređajima, mada će se spomenuta pitanja i dileme vezane za njihovu upotrebu na radnom mjestu uglavnom moći primijeniti i na aktivne uređaje.

Zdravstvene nedoumice

Kada se govori o RFID usatcima, stručnjaci izražavaju zabrinutost spram četiri glavna faktora: kancerogenosti, migracije u tijelu, interakcije s MRI signalima te utjecaja na efikasnost lijekova. Do sada nije bilo sistematskih istraživanja o utjecaju koji bi čipovi mogli imati na zdravlje ljudi kojima su usađeni, ali postoji nekoliko izvještaja o kancerogenim efektima kod određenih vrsta miševa. Iako se na osnovu ovih istraživanja pretpostavlja da do kancerogenih efekata dolazi zbog jedinstvene osjetljivosti ove vrste miševa te da slični efekti na zdravlje ljudi nisu vjerovatni, ipak se ove pojave ne mogu u potpunosti isključiti. Dosadašnje studije o potencijalnim interakcijama između čipova i MRI skeniranja pokazale su da nema značajnijih problema vezanih za ovu problematiku. Pokazalo se i to da neki detalji mogu ostati skriveni na MRI skenu na području na kojem se nalazi čip, ali se to ipak može izbjeći usađivanjem čipa na mjesto u tijelu koje se ne podvrgava skeniranju.

Što se tiče zabrinutosti zbog mogućeg pomjeranja čipova unutar ljudskog tijela, za sada se pretpostavlja da karakteristike kože onemogućavaju neko značajnije migriranje čipa, mada ni to još ne može biti potpuno isključeno. U nekim ranijim izvještajima se kao najsigurnije savjetovalo usađivanje čipova u nadlakticu, ali sada je uobičajeno da se to radi u području kože između palca i kažiprsta – i to na lijevoj ruci kod dešnjaka. Naime, kada se čip usadi na to mjesto, manje je primjetan, a zbog anatomije same ruke spriječena je i njegova migracija u druge dijelove tijela. Barem trenutno vlada takav konsenzus. Takav način usađivanja već godinama koriste takozvani biohakeri, hobisti koji su se posvetili modifikaciji vlastitog tijela pomoću tehnologije.

Za avanturiste i hobiste

Dakle, pored “praktičara”, koji čipove koriste isključivo kako ne bi morali nositi nikakve uobičajene akreditacije, imamo i čitavu subkulturu avanturista i znatiželjnika koji u sve to uključuju i element zabave čisto zato jer mogu. Prošle godine BBC je prenio priču o Daveu Williamsu, sistemskom inžinjeru u Mozilli, koji je, kako kaže, odlučio u sebe ugraditi RFID čip iz čiste radoznalosti i zbog slabog pamćenja: “Ja imam najgore pamćenje na svijetu. Također je veoma zabavno dati nekome broj telefona ili e-mail adresu dodirujući njihov telefon rukom”, rekao je Williams. Osim toga, on velikom prednošću smatra činjenicu da sada „pri ruci“ u svakom trenutku ima praktičan uređaj kojim otvara vrata i logira se na računar, a koji ne može zaboraviti kod kuće ili ga izgubiti. Zabrinutost zbog utjecaja RFID tehnologije na efikasnost farmaceutskih proizvoda navodno proistječe iz predložene upotrebe RFID oznaka kao mjere sigurnosti za označavanje pakovanja lijekova. Međutim, bilo kakav rizik od skeniranja lijeka dok on cirkuliše krvotokom prilikom kratkotrajnog RFID skeniranja bio bi izuzetno ograničen, jer bi samo mali dio supstance bio izložen skeniranju.

Upotreba RFID čipova na radnom mjestu

Iako ih zasad ima malo, slučajevi upotrebe čipova na radnom mjestu ipak su dobro dokumentovani i medijski popraćeni. Jedan od takvih primjera stiže iz Meksika. Naime, 2007. godine prijavljeno je da su glavni pravobranilac Meksika i 18 članova njegovog osoblja ugradili sebi čipove koji su im omogućavali pristup zonama visoke sigurnosti. Iako nije potvrđeno je li riječ o dobrovoljnom aktu, činjenica da su čipovi bili neophodni kako bi zaposlenici mogli uopće ući u novi informativni centar za borbu protiv kriminala sugeriše kako je postojao određeni stepen prisile. Jedan izvor je naveo da se, uz ostvarivanje pristupa sigurnim područjima, ova mjera koristila i kao zaštita od kidnapovanja. U kompaniji CityWatcher.com dva zaposlenika su ugradila RFID čipove s ciljem pojačavanja sigurnosti unutar firme, dok je u EpiCenteru otprilike 150 zaposlenika čipovano početkom 2015. godine. Ovo je urađeno kako bi se zaposlenicima olakšao ulazak kroz osigurana vrata, ali i zato što su smatrali da je tako lakše i praktičnije. Pored toga, belgijska kompanija NewFusion također je svojim zaposlenicima ponudila ugradnju čipova koji bi sadržavali lične podatke zaposlenika i omogućavali im pristup IT sistemima i sjedištu kompanije te im tako zamijenili dotadašnje identifikacijske kartice. Procjene broja usađenih RFID i NFC čipova koji su trenutno u upotrebi na radnim mjestima u svijetu uveliko variraju i trenutno nema preciznih podataka. Prema studiji o čipovanju ljudi na radnom mjestu koju je početkom ove godine objavio Evropski parlament, procjenjuje se da na radnim mjestima širom svijeta postoji od dvije do deset hiljada radnika s ugrađenim čipovima. Bez obzira na to što se čipovi za sada uglavnom ugrađuju na dobrovoljnoj osnovi, stručnjaci naglašavaju da je određeni stepen regulacije ovog tipa usadaka i dalje poželjan, ako ne i neophodan.

Mogući sigurnosni problemi

Na osnovu trenutnih zapažanja, RFID tehnologija koja se koristi za usađivanje pod kožu nije u potpunosti sigurna. Postoji zabrinutost zbog mogućnosti prisluškivanja, kloniranja akreditiva i privilegija, onesposobljavanja te neovlaštene modifikacije podataka na čipovima. Iako se od prvobitnog razvoja čipova pojavio veliki broj ideja čiji je cilj bio da se poveća njihova sigurnost, nakon svake predložene mjere zaštite istraživači bi prijavili postojanje nekog načina na koji se sigurnosna mjera može zaobići. Stoga usađivanje čipova u radnike može predstavljati rizik za kompanije, kao i regularna upotreba tehnologije za autorizaciju i pristup. Ipak, zagovornici čipovanja smatraju da prelazak s nošenja uređaja do njihovog usađivanja pod kožu ne predstavlja neki veliki korak, a pitanje sigurnosti i krađe podataka opravdavaju time što i uređaji koje svakodnevno nosimo ionako šalju gomilu podataka o našem kretanju i ponašanju (npr. kompanijama kao što su Apple, Google i Facebook). Što se tiče etičkih pitanja, pobornici ovakve tehnologije smatraju da, sve dok se čipovanje provodi na dobrovoljnoj osnovi, mjesta za zabrinutost nema. Problem etičnosti bi se pokrenuo tek ako bi vas poslodavac uslovio i rekao da posao nećete dobiti ukoliko se ne čipujete. Samo, to bi vjerovatno značilo da je prekasno za bilo kakvu pobunu, zar ne?

“Mobilni telefoni su mnogo opasniji po našu sigurnost. Ukoliko su hakirani, telefoni se pretvaraju u savršenog špijuna s mikrofonima, kamerama i GPS-om. U poređenju s njima, rizici po privatnost od RFID čipova veoma su mali”, izjavio je Pawel Rotter, biomedicinski inžinjer na AGH Univerzitetu nauke i tehnologije u Krakovu. Međutim, hakiranje i ostali sigurnosni problemi ipak se ne mogu tako lako zanemariti. Naime, iako RFID čipovi koji se usađuju pod kožu mogu sadržavati svega nekoliko kilobajta, Mark Gasson, istraživač na Univerzitetu u Readingu na Odsjeku za sistemski inžinjering, već je dokazao da je ova vrsta čipova ranjiva na napade zlonamjernim softverom. Doktor Gasson tvrdi da, kako se tehnologija koja stoji iza usadivih čipova razvija, ona samim time postaje podložnija virusima. “To su u suštini mini računari, a to znači da kao i obični računari mogu biti zaraženi virusima. Tehnologija mora ići u korak s ovim kako bi se usatci, uključujući i medicinske uređaje, mogli u budućnosti sigurno koristiti”, rekao je Gasson. On je prilikom svog istraživanja zarazio vlastiti usadak računarskim virusom i time praktično ukazao na moguće probleme vezane za budućnost upotrebe čipova.

Pravna i etička strana medalje

Iako su ovdje i ostali zakoni u opticaju i relevantni su za problematiku, glavni pravni izazovi vezani za obavezno korištenje RFID čipova proizlaze iz zakona o zaštiti ličnih podataka i zakona o ljudskim pravima. Tako bi zakon o zaštiti podataka u ovom slučaju obuhvatio trenutno, ali i buduće korištenje podataka dobijenih upotrebom RFID čipova. GDPR ovu oblast pokriva kao i svaku drugu upotrebu ličnih podataka – korisnik mora biti informisan o tome kako će se koristiti njegovi podaci, mora dati svoj pristanak za to, a sami podaci se moraju adekvatno čuvati. Što je još bitnije, čipovani radnik ima pravo na to da se podaci o njemu obrišu nakon što prestane raditi za kompaniju.

Pitanje ljudskih prava proistječe prije svega iz člana 8. Evropske konvencije o ljudskim pravima, koji štiti pravo radnika na poštovanje njegovog privatnog i porodičnog života. Pored toga, ova tehnologija izaziva i veliko protivljenje u religijskim krugovima, što bi na kraju moglo dovesti do pitanja vezanih za zakonodavstvo koje se bavi problematikom vjerske diskriminacije. Dalja etička pitanja se odnose na ljudsko zdravlje i sigurnost u slučaju obaveznog čipovanja, na samu efikasnost tehnologije kao sigurnog sistema, pravednost i pravo na izbor te religijske interese. Naime, u nekim religijama bilo kakav “upad” u ljudsko tijelo smatra se neprihvatljivim, tako da nema razloga vjerovati da bi se mislilo drugačije u slučaju obaveznog čipovanja ljudi. Za sada je nejasno da li bi, barem u Evropskoj uniji, prisilno čipovanje bilo nelegalno. Ukoliko jedan takav slučaj dospije na sud, procjenjivat će se koliko su potrebe kompanije za čipovanjem radnika bile opravdane. Jedan od rijetkih načina da se ova pitanja ostave po strani i da se na radnom mjestu od radnika osnovano može tražiti čipovanje jeste pomoću nekih dominantnijih sfera, poput nacionalne sigurnosti, kojom se zaobilaze sva etička i ostala pitanja. Naravno, u slučaju da se nešto takvo desi, vlada bi ipak morala dati konkretne razloge za čipovanje i dokazati da nema odgovarajuće alternative njihovoj upotrebi. Jedno je zasad sigurno: s obzirom na to da RFID čipovi nisu u potpunosti sigurni, to bi moglo na neko vrijeme odgoditi provođenje navedenog scenarija. Ipak, ako u doglednoj budućnosti i dođe do toga da se zahtijeva upotreba čipova na radnom mjestu, postoji toliko protivnika tehnologije da bi oni koji bi ovu ideju željeli uspješno provesti u djelo morali navesti i izuzetke od tog pravila. Samo će vrijeme pokazati šta zaista možemo očekivati od tehnologije usađene u ljudsko tijelo. Za sada ima previše nagađanja, a premalo stvarnih rezultata njihove dugotrajne upotrebe.

Začeci današnje RFID tehnologije

Inžinjerski principi na kojima su zasnovane aktuelne RFID tehnologije prvi put su postavljeni 1948. Međutim, patent za korištenje RFID čipova kao usadaka namijenjenih ljudima prvi put je odobren tek 1997. godine, a tada je označen kao “uređaj za praćenje i vraćanje ljudi”. Ovaj patentirani uređaj je trebao biti korišten kao zaštita od kidnapovanja i za olakšavanje pružanja hitne medicinske pomoći u slučajevima akutnih oboljenja kao što su problemi sa srcem, koji mogu dovesti do srčanog udara. Sedam godina kasnije FDA je odobrila VeriChip, prvi usadivi čip namijenjen ljudima u medicinske svrhe.

Budući da se iz godine u godinu pojavljuju nove vrste zlonamjernog softvera kojem je meta internet stvari, onda postaje jasno zašto zaštita distribuiranih uređaja i srodnih sistema zahtijeva pažljivo planiranje i jaka IT sigurnosna rješenja

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Internet stvari osnažuje energetske i komunalne kompanije pružajući im mogućnost da iskoriste sve prednosti novih tehnologija koje unapređuju poslovanje i pri tome štede novac na duže staze. Pored mnogobrojnih prednosti koje nudi, IoT pruža i kontinuirano praćenje rada kompanija na velikim lokacijama i područjima, automatiziranu daljinsku kontrolu infrastrukture te implementaciju efikasnih pametnih mrežnih tehnologija. A što je najvažnije, IoT uređaji generišu neprekidan tok velikih podataka otvarajući mogućnosti naprednije analize poslovanja i informisanijeg odlučivanja o njemu.

IoT je postao u tolikoj mjeri sveprisutan da se podaci dobijeni iz međusobno povezanih uređaja koriste u svim industrijskim granama s ciljem poboljšavanja produktivnosti, efikasnijeg rješavanja problema i stvaranja novih poslovnih prilika. Međutim, i tu postoje sigurnosni rizici budući da sama sigurnost nije bila na prvom mjestu u ranoj fazi primjene IoT-a. To je dovelo do stvaranja ranjivosti u IoT mreži koje mogu dovesti do prekida industrijskog procesa usljed iskorištavanja sigurnosnih propusta, manipulacije ili industrijske špijunaže. Sve ovo navodi na logičan zaključak: kompanije bi morale razviti nove strategije kako bi smanjile mogućnost cyber napada te kako bi lakše upravljale njima. Jer, činjenica je da čitava mreža postaje osjetljivija na hakerske napade kako kompanije sve više ulažu u IoT tehnologije za kontrolu i automatizaciju.

Prednosti i mane

Internet stvari omogućava da se podaci prikupljeni s uređaja i opreme koriste za transformisanje procesa i sistema savremenog industrijskog okruženja. Zapravo, IoT uređaji su već preplavili industrijske pogone, tako da ih pronalazimo u skoro svim bitnim operacijama, počevši od pametnih brojača, preko senzora do alarma. Itekako ima smisla da proizvodne, hemijske, energetske i komunalne industrije koriste IoT za procese poput analize podataka u stvarnom vremenu, nadzora, prediktivnog održavanja opreme i automatizacije uređaja čak i van industrijskih postrojenja.

U studiji IBM-ovog Instituta za uspješno poslovanje predviđa se da će broj uređaja implementiranih u okviru IoT tržišta sa 15 milijardi u 2015. godini porasti na 30 milijardi do 2020, odnosno na čak 75 milijardi uređaja do 2025. Količina prikupljenih podataka mogla bi do 2020. dosegnuti i 600 zetabajta godišnje. General Electric predviđa da će ulaganja u industrijski IoT tokom narednih 15 godina preći cifru od 60 triliona dolara. Na osnovu svega navedenog, jasno je da industrijski IoT, vođen pretežno proizvodima nove generacije, predstavlja ogromno tržište koje bi globalnoj ekonomiji do 2030. godine moglo donijeti 14 triliona dolara. Ipak, kada je riječ o osiguravanju interneta stvari, razloga za zabrinutost itekako ima.

Izazovi koje donosi napredak

Prema devetnaestom izdanju Globalne korporativne studije IBM-ovog Instituta za uspješno poslovanje, 36% anketiranih direktora kompanija tvrde da osiguravanje IoT platforme i uređaja u okviru nje predstavlja glavni izazov za njihove firme. Ovo istraživanje je pokazalo da su najugroženije komponente industrijskog IoT-a uređaji i senzori, a iza njih su najranjivije same IoT platforme. Razvoj IoT tehnologija bržim tempom od njihovog osiguravanja može dovesti organizacije u neugodne situacije. Tako naprimjer, kada je riječ o industrijskoj proizvodnji te energetskim i komunalnim kompanijama, sigurnosni propusti mogu dovesti do kontaminacije velikog obima, ekoloških katastrofa, pa čak i do povreda zaposlenika. U svemu tome tehnologije koje se koriste u okviru proizvodnog procesa postaju sve popularnija meta, na koju otpada 30 posto svih hakerskih napada. Pri tome je na Bliskom istoku čak 50 posto hakerskih napada usmjereno protiv naftne i gasne industrije.

Najveći problem leži u činjenici da je većina industrijskih i komunalnih kompanija i dalje u ranoj fazi usvajanja sigurnosnih praksi i tehnologija koje će im pomoći u ublažavanju sigurnosnih rizika koji se odnose na IoT. Samo mali broj njih je u potpunosti implementirao operativne i tehničke prakse vezane za sigurnost IoT-a, kao i praksu edukacije zaposlenika o toj temi. Kao rezultat navedenog, imamo situaciju u kojoj su sigurnosni kapaciteti IoT-a većine organizacija još u povojima. Uprkos dosadašnjim ulaganjima, IT sigurnosni rizici i dalje se procjenjuju na proizvoljnoj i neredovnoj bazi.

Jedan od najvećih izazova s kojim se industrija susreće, a zbog kojeg još nema sveobuhvatne IoT sigurnosne prakse, jeste hronični nedostatak potrebnih vještina vezanih za IT sigurnost. Da bi stvari funkcionisale kako treba na ovom polju u okviru interneta stvari, poslodavci na raspolaganju moraju imati stalan priliv talentovanih IT stručnjaka. Pored toga što moraju biti odlično upoznati s problematikom vezanom za cyber sigurnost, u okviru IoT-a bi morali ispuniti još neke uslove. Za početak, morali bi posjedovati znanje o većem i raznovrsnijem izboru opreme, trebali bi se znati izboriti s kompromisima i zahtjevima kada su u pitanju zaštita privatnosti, sigurnost i pouzdanost oprememorali, kao i moći kreirati i koristiti automatizaciju te kontinuirano raditi na integraciji kako bi postigli i održali sigurnost većeg računarskog okruženja.

Koraci koje treba poduzeti

Kako bi umanjile sigurnosne rizike po svoj IoT i poboljšale performanse, kompanije trebaju implementirati prakse pomoću kojih će moći uspostaviti formalni program IoT sigurnosti u okviru kojeg će se znati kada i kako biti proaktivan u cilju pripreme efikasne odbrane od hakerskih napada. Stručnjaci poput Joy Ditto, predsjednice i direktorice Vijeća za komunalne tehnologije, smatraju da industrijske kompanije trebaju imati višeslojnu odbranu od potencijalnih napada na njihov IoT: “Shvatajući da zaštita imovine od svake potencijalne prijetnje nije izvodiva, komunalne kompanije umjesto toga smanjuju rizike uvodeći strategiju slojevite odbrane (kojoj je cilj redundancija poslovnih procesa i odgađanje efekta napada na poslovanje – op. a.)”, kaže Ditto. Kako bi počeli uvoditi bolje sigurnosne mjere i tehnološka rješenja, direktori kompanija moraju poduzeti neke osnovne korake. Prije svega, morali bi rješavati IoT rizike na nivou preduzeća. To podrazumijeva provođenje redovnih procjena rizika kako bi se identifikovali propusti u IoT sistemima i povezanim okruženjima te kako bi se dokumentovali i u djelo proveli planovi za ublažavanje potencijalnih rizika.

Zatim, trebali bi posjedovati detaljno znanje o razlikama između IoT sistema, tj. između standardnih korporativnih IoT sistema i radne opreme te bi trebali dijeliti znanje o sigurnosti kako bi bolje zaštitili svoje sisteme. Odgovorni u kompanijama trebali bi ove razlike uzeti u obzir pri određivanju prioriteta u pogledu sigurnosnih mjera kako bi rizike sveli na minimum. I na kraju, veoma je bitno kombinovati rad IT i proizvodnih sektora kako bi se stvorio zajednički pristup borbi protiv sigurnosnih rizika.

Upotreba relevantnih tehnologija

Spomenutom IBM-ovom studijom među ispitanicima je istražena i upotreba relevantnih tehnologija za osiguravanje IoT-a. Ovo prije svega uključuje korištenje enkripcije kao zaštite od napada koji bi mogli ugroziti osjetljive informacije i dovesti do uništenja imovine i opreme ili stvoriti probleme vezane za ličnu sigurnost. Zatim, tu je mrežna sigurnost i autentifikacija uređaja za osiguravanje IoT uređaja, terenskih uređaja i back-end sistema i aplikacija. Tu također spada sigurnosna analitika kako bi se identifikovali potencijalni IoT napadi te upadi koji su možda zaobišli tradicionalne sigurnosne kontrole, kao i upravljanje identitetima i pristupom. Tako se 25 posto ispitanih kompanija nalazi u završnoj fazi implementiranja napredne proaktivne detekcije IoT prijetnji. Naprednu enkripciju IoT-a implementira 21 posto kompanija, sigurnosnu analitiku 17 posto, dok upotrebi IoT blockchaina pribjegava samo četiri posto kompanija.

Analitika mrežnih aktivnosti

Nažalost, većina cyber kriminalaca koja napada IoT uglavnom je dobro finansirana i inteligentna, sa zaleđem u vidu međunarodnih kriminalnih organizacija kojima ne manjka sredstava i kreativnosti kada treba stvoriti nove sojeve IoT malwarea. To su i razlozi zbog kojih industrijske kompanije, kako bi se odbranile od naprednih hakerskih prijetnji, moraju prvenstveno razmisliti o pametnoj odbrani. U tome im mogu pomoći tehnologija analiziranja mreže radi detekcije sumnjivih aktivnosti, zatim mašinsko učenje jer je vještačka inteligencija danas ključna za održavanje IT sigurnosti budući da identifikuje potencijalne prijetnje, te podaci o prijetnjama koje čine kolekciju informacija o postojećim i nadolazećim prijetnjama. Podaci o prijetnjama mogu pomoći sigurnosnim stručnjacima da donesu odluke potkrijepljene s dovoljno informacija o tome kako da izgrade dovoljno jaku odbranu protiv hakerskih napada. Dakle, tehnologija za analizu mrežne aktivnosti, mašinsko učenje i podaci o prijetnjama tri su bitna faktora cyber sigurnosti koja će kompanijama omogućiti predviđanje prijetnji, njihovu detekciju i što je najbitnije – prevenciju. Sve su to aspekti sigurnosti s kojima savremena industrija mora računati u eri hakerskih napada na IoT sisteme.

Sve češći izvještaji o virusima koji napadaju IoT uređaje

Jedna od prvih IoT sigurnosnih prijetnji bio je Mirai malware iz 2016. godine, koji mrežne uređaje pretvara u daljinski kontrolisane tačke koje se mogu koristiti kao dio botneta u DNS mrežnom napadu. Uređaji koji budu zaraženi Mirai malwareom kontinuirano skeniraju internet u potrazi za IP adresama IoT uređaja. Također, jedna novija IoT prijetnja koja se pojavila ove godine jeste “Hide n Seek” malware, koji sam sebe kopira u /etc/init.d/ direktorij u ugrađenom Linux sistemu IoT uređaja, u kojem se čuvaju programi koji se pokreću sa sistemom. Kada se uređaj koji je na ovaj način zaražen ponovo pokrene, postaje svježe zaražen malwareom, što znači da je ovaj virus u stanju preživjeti restartovanje sistema.

Na koji način će Opća regulativa o zaštiti podataka (GDPR) utjecati na danas sve raširenije sisteme za videonadzor? I kako da poslodavci pripreme svoje poslovanje da bude u skladu s GDPR-om? Više o ovome pročitajte u nastavku

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Kada se spomene zaštita ličnih podataka, većina i ne pomisli na videonadzor. Međutim, kada uzmemo obzir da se pod ličnim podatkom podrazumijeva “svaka informacija koja se odnosi na identifikovano ili raspoznatljivo lice”, onda nam postaje jasno zašto i videosnimci moraju biti tretirani s istom pažnjom kao i medicinski ili bankovni podaci. Ključno je shvatiti da, kada je u pitanju videonadzor, više ne govorimo samo o snimanju videa. Pojava analitike i sistema za identifikaciju objekata zasnovanih na AI-u pomaže vlastima u pristupanju velikoj količini podataka. Ali podataka koji moraju biti zaštićeni u skladu s novom regulativom.

Kako će GDPR utjecati na videonadzor?

Od maja do oktobra ove godine prošlo je sasvim dovoljno vremena da se svi pomire s činjenicom da će se način na koji videonadzorni sistemi manipulišu snimljenim materijalom morati promijeniti kako bi sve bilo u skladu s GDPR-om. Tako će vlasnici kompanija od sada morati imati validne razloge za instalaciju videonadzora, a u njih spadaju zaštita imovine, sigurnost zaposlenika ili snimanje potencijalnih incidenata do kojih može doći u krugu firme. To isključuje postavljanje videonadzora s isključivim ciljem nadzora zaposlenika. Poslodavci koji žele koristiti videonadzor ubuduće će imati obavezu da zaposlenike unaprijed obavijeste o zakonskoj osnovi za korištenje tog sistema na radnom mjestu. Ukoliko se zaposleni pobuni zbog postojanja kamera na nekom specifičnom mjestu, GDPR stavlja teret na poslodavca da dokaže kako ima uvjerljiv razlog za njihovo postavljanje. Do sada je bilo uobičajeno da se snimljeni materijal čuva do mjesec dana. Nakon uvođenja GDPR-a situacija je sljedeća: za duže čuvanje potrebno je provesti procjenu rizika kako bi se dokumentovali razlozi za ovakav postupak (npr. ako postoji mogućnost da će ga tražiti zaposlenici hitne službe). U tom slučaju, snimke treba čuvati tako da se “održava integritet prikupljenih informacija”, što znači enkriptiranje podataka tamo gdje je to potrebno, kao i ograničavanje pristupa njima. Osim toga, potrebno je čuvati i zapise o aktivnostima nadzornih kamera, a ta dokumentacija se mora održavati sve dok traje videonadzor.

Razlozi moraju biti opravdani

Vlasti će, ukoliko budu htjele koristiti videonadzorne sisteme, morati udovoljiti nekim drugim uslovima kako bi se opravdalo njihovo korištenje, a jedan od njih je: da li je videonadzor u javnom interesu? I pojedinci koji imaju kućne videonadzorne sisteme pokriveni su novom regulativom. Naime, pošto će njihove kamere u većini slučajeva snimiti kretanje stranaca van privatne imovine, oni će biti obavezni postaviti jasno vidljive oznake na kojima stoji da je videonadzor u funkciji. Vlasnici privatne imovine će također morati pripaziti na to da snimljene materijale zadrže samo minimalan broj dana, te da se snimci ne pokazuju nekim trećim licima. Međutim, u slučaju da je kamera zabilježila zločin, snimci se mogu čuvati koliko god je potrebno za krivično gonjenje i otkrivanje zločinca.

Koraci koje treba poduzeti

U cilju smanjenja mogućnosti hakiranja nadzornih sistema nužno je uložiti u kvalitetan softver i osigurati mrežni i videonadzorni hardver. Dakle, bitno je da stalno budete u toku s najnovijim cyber sigurnosnim praksama te da se pobrinete za redovne nadogradnje sistema. Ovi koraci su od posebne važnosti zbog interneta stvari, koji današnjim kamerama omogućava povezivanje na internet, što situaciju vezanu za privatnost čini još osjetljivijom, a opremu dostupnijom hakerima. Također, zaista nema potrebe da se kamere postavljaju posvuda. Dovoljno je da se kompanije fokusiraju na ključne tačke nadziranog terena te da zatim svoju strategiju fokusiraju na ta područja. Pri postavljanju novog sistema potrebno je imati u vidu to da postoji obaveza da se izradi Procjena utjecaja na zaštitu podataka kada je u pitanju “obiman sistematski monitoring javno dostupnih prostora”. Jednostavno se zapitajte zašto na nekom mjestu želite postaviti kameru? Postavljanjem ciljanog videonadzora imat ćete i opravdane razloge za pohranu i analizu prikupljenih podataka. Usaglašenost s odredbama GDPR-a u velikoj mjeri zavisi od toga kako koristite usluge koje pružaju partnerske kompanije. Zato je za sve vlasnike biznisa bitno da znaju šta sve korištenje usluga partnerskih kompanija podrazumijeva u smislu obaveza vezanih za GDPR i na kome je da te obaveze ispuni.

Enkripcija kao bitna stavka

Dave Seesdorf, glavni menadžer sigurnosnih proizvoda u Seagate Technologyju, smatra da je enkripcija najbolji metod zaštite podataka koji vam omogućava da poslovanje bude u skladu s GDPR-om: “GDPR se bavi zaštitom podataka. Vjerujem da sve nove tehnologije zasnovane na vještačkoj inteligenciji, poput prepoznavanja lica, brojeva registracijskih tablica, preciznog geolociranja pojedinca, rudarenja podataka i prikupljanja itd., spadaju u kategoriju ličnih podataka. A pošto Evropska unija implementira GDPR, podaci o nadzoru, logično, sadrže lične podatke, pa ih shodno tome treba zaštititi. Budući da je enkripcija podataka jedna od stvari koje su obuhvaćene principom ugrađene privatnosti, to bi mogla biti najbolja praksa za zaštitu podataka dobivenih pomoću nadzornih sistema”, objasnio je on.

Treba imati na umu da firewalli, sigurnosni softver i mnoge druge sigurnosne mjere zasnovane na softveru nisu nepogrešive, što znači da integratorima videonadzora trebaju dodatni alati kako bi detektovali i spriječili sigurnosne propuste. U takvim slučajevima dobro dođu inteligentni i intuitivni algoritmi koji traže ranjivosti u sistemu i savjetuju vas na koji način trebate postupiti kako bi se blokirali hakerski napadi, nakon čega se predložena akcija obavlja automatski jednostavnim klikom miša. Na svu sreću, danas nije teško doći do ovakvih i sličnih rješenja koja vam štede vrijeme i živce prilikom prilagođavanja novim pravilima vezanim za privatnost potadaka. Na kompanijama je samo da se na vrijeme raspitaju o svim dostupnim opcijama.

Pikseliziranje – pomoć pri usklađivanju s GDPR-om

Jedan od načina da se kompanijama olakša pridržavanje GDPR-a jesu moduli za automatsko pikseliziranje ljudi, automobila i registracijskih tablica u videu. Jedan od njih i svojevremeno prvi koji je proglašen spremnim za GDPR jeste KiwiVision Privacy Protector, koji omogućava podešavanje nivoa anonimizacije na snimcima odabranih kamera. Objekti i osobe u videu se mogu pikselizirati, zamagliti ili potpuno zakloniti, a pikselizacija se, naravno, po potrebi može i deaktivirati. Cloud alat Pixelate kompanije Ocucon obavlja sličnu stvar, a u firmi naglašavaju da njihov alat koristi AI i mašinsko učenje za efikasnu cloud redakciju videa.

Naše shvatanje cyber sigurnosti uglavnom se zasniva na internetu na kojem softverski napadi prijete našem poslovanju i svakodnevnim životima. Web-stranice mogu postati nedostupne, a korporativni serveri biti hakirani. Ali ono što još ne radimo u dovoljnoj mjeri jeste povezivanje cyber sigurnosti s fizičkim prijetnjama po autonomne računarske mreže

Izvor: ComNet
E-mail: redakcija@asadria.com

Pojam cyber sigurnosti u današnjem je svijetu vrlo čest i može obuhvatiti bilo koga i bilo šta, od nacionalnih vlada i globalnih korporacija do pojedinaca bilo koje starosne grupe. Naše shvatanje cyber sigurnosti uglavnom se zasniva na internetu na kojem softverski napadi, kao što su oni pomoću zlonamjernog softvera i DoS napada, prijete našem poslovanju i svakodnevnim životima. Međutim, ono što još ne radimo u dovoljnoj mjeri jeste povezivanje cyber sigurnosti s prijetnjama autonomnim računarskim mrežama. U takvim situacijama napadač fizički upada u sistem preko njegovih infrastrukturnih uređaja, što rezultira ili narušavanjem sigurnosti ili potpunim krahom sistema, uz katastrofalne posljedice u bilo kojem od ta dva slučaja. Ovaj članak se fokusira na hardversku cyber sigurnost te proučava moguće pristupe koje napadač može imati i opisuje funkcije unutar aktivne mrežne opreme koje mogu spriječiti takve napade. Iako ćemo se koncentrisati na IP sigurnost i mreže nadzora, ovaj osvrt relevantan je i za lokalne mreže te kao takav pokriva mnogo veći dio tržišta. Sigurnosne i nadzorne mreže zbog svoje prirode ostvaruju veze na sigurnim i nesigurnim lokacijama. Njihovim smještanjem na ranjive lokacije otvaraju se velike mogućnosti hakerskih napada, tako da je potrebno obratiti pažnju na zaštitu opreme. Međutim, i montažeri na isti način moraju paziti, čak i kada instaliraju opremu na naizgled sigurne lokacije, jer napad može poteći iz osiguranog područja. Zato ništa ne treba prepuštati slučaju.

Infrastruktura i napad

Ethernet mreža se sastoji od aktivne i pasivne opreme. Aktivna oprema (1) uključuje Ethernet switcheve i medijske konvertere, a pasivna kombinaciju kablova, konektora i dodataka poput posebnih odjeljaka koji također mogu sadržavati aktivnu opremu, kao što su, naprimjer, klima-uređaji i nadzorni sistemi. Ono na čemu ćemo se bazirati u ovom članku jesu Layer 2 Ethernet switchevi (2). Inače, Ethernet switchevi služe kao koncentratori kablova koji prikupljaju signale s različitih terenskih uređaja i, na osnovu informacija o adresama koje prenose ti signali, prosljeđuju ih do drugih uređaja. Switchevi posjeduju kombinaciju električnih ili optičkih portova (veza) u različitim brojevima. Medijski konverter je jednostavan uređaj koji konvertuje električni signal u optički i obrnuto. Sigurnosna prijetnja mreži na ovom nivou pojavljuje se kada se napadač fizički poveže na switch ili ukloni naš terenski uređaj iz mreže i umjesto njega u mrežu ubaci neki neautorizovani dio svoje opreme. Također, postoji mogućnost i povezivanja na optički port, ali bi napadač u tom slučaju morao imati i odgovarajući optički interfejs, tako da, iz praktičnih razloga, kod ovakvih napada najčešće je riječ o povezivanju preko električnog interfejsa. Električni Ethernet portovi su zasnovani na industrijskim standardima, tako da je povezivanje na njih relativno jednostavno. Budući da svaki laptop danas ima mogućnost povezivanja, najizglednije oružje za napad je već svima dostupno.

Odbrana aktivne opreme

Ethernet switchevi su dostupni u upravljivim i neupravljivim varijantama, pri čemu upravljiva platforma ima mnogo više funkcija i korisniku omogućava konfiguraciju i daljinski nadzor uređaja. Neupravljivi uređaj nema takve mogućnosti i predviđen je samo za osnovne zadatke koje obavlja na osnovu svojih fabričkih postavki. Medijski konverteri uglavnom dolaze u neupravljivoj varijanti. Tamo gdje je sigurnost bitna, upravljivi uređaji imaju opcije namijenjene sprečavanju neovlaštenog upada na mrežu, dok neupravljivi uređaji nemaju takve opcije, tako da biste u svojoj mreži trebali koristiti upravljive Ethernet switcheve.

————————

Sigurnosne karakteristike upravljivih switcheva

1. Najjednostavnije opcije obično omogućavaju najveći nivo sigurnosti, a upravljivi Ethernet switchevi potvrđuju to pravilo. Mogućnost isključivanja switch porta koji se ne koristi u trenutnoj mrežnoj konfiguraciji preko upravljačkog interfejsa naizgled je logična sigurnosna opcija, ali je i jedna od onih koju mnogi mrežni operateri ne koriste, i za koju možda i ne znaju da postoji na njihovim uređajima. Pravila njenog korištenja su, kao što možete zamisliti, jednostavna: ako se port ne koristi, ugasite ga, tako da se niko ne može preko njega neovlašteno povezati direktno na vašu mrežu. U slučaju da se port u budućnosti mora koristiti za legitiman mrežni saobraćaj, naprosto ga otvorite preko sistema za upravljanje. A kada već govorimo o jednostavnim opcijama koje donose najveći nivo sigurnosti, fabrički postavljeno korisničko ime i lozinku treba promijeniti u korisničko ime i lozinku koji se uklapaju u vaše sigurnosne prakse. Nema smisla implementirati ovoliki nivo sigurnosti ako ga napadač može narušiti jednostavnim povezivanjem na komunikacijski port (3) switcha i ostvarivanjem pristupa jednostavnim čitanjem uputstva.
2. Kada se uspostavi veza dva aktivna uređaja u mreži, generiše se potvrda veze (obično u vidu LED indikatora), koja se automatski prekida ukoliko se prekine i veza. Ovaj jednostavni hardverski okidač može se koristiti za gašenje porta na osnovu teorije da je prekid veze pokazatelj potencijalnog napada. No, funkcija se može i proširiti tako da isključi portove u slučaju gubitka napajanja aktivnog uređaja – ukoliko napadač dođe na ideju da zamijeni veze kada je switch ugašen. Ako se neki uređaj nalazi na nesigurnoj lokaciji, port koji prima komunikaciju s te lokacije trebao bi imati aktivirane navedene funkcije kako bi spriječio potencijalne napade koji uključuju prekid veze.
3. Svi terenski IP uređaji poput CCTV kamera ili zvučnika imat će Ethernet MAC adresu, koja se može koristiti pri povezivanju odgovarajućeg Ethernet switch porta na određenu MAC adresu. Ako se neregistrovana MAC adresa pokuša povezati, switch će joj naprosto blokirati pristup. Međutim, nemojte zaboraviti da bi sposobniji napadač mogao iskoristiti drugačiju vrstu napada da pronađe i kopira vašu MAC adresu, tako da vam ovaj način zaštite samo može kupiti vrijeme, ali ne pruža kompletnu zaštitu.
4. D) Uz poznate IP adrese umreženih uređaja, switch može podesiti sistem nadzora terenskih uređaja te pokretati unaprijed definisanu proceduru ukoliko od povezanih uređaja ne dobije odgovor na upite. Broj tih procedura koje se zasnivaju na protokolima za zaštitu lokacija razlikuje se u zavisnosti od switcha i proizvođača. Jedna od takvih procedura je instantno gašenje porta uz istovremeno generisanje SNMP poruke. Ona služi kao upozorenje koje sistemu za centralizirano upravljanje govori da se nešto desilo uređaju koji ima SNMP te da u slučaju potrebe upozori operatere. Druga moguća akcija je jednostavno slanje poruke bez gašenja porta ili, recimo, u slučaju da switch napaja terenski uređaj, moguće je pokrenuti proceduru resetovanja njegovog napajanja ukoliko korisnik misli da je zaglavio.
5. E) Autentifikacija korisnika preko 802.1x protokola je IEEE standard koji bi trebao biti dostupan na svim potpuno upravljivim switchevima. On propisuje autentifikacijsku proceduru za uređaje prije nego što se priključe na mrežu. Ovaj standard definiše tri strane u okviru procedure: klijenta koji se želi pridružiti mreži, autentifikatora, koji je, zapravo Ethernet switch, i autentifikacijski server. U ovom sistemu Ethernet switch štiti mrežu dok server ne verifikuje akreditive klijenta te mu dopušta ili blokira pristup mreži.

Sigurnost pasivne opreme

Osim aktivne opreme, unutar mreže potrebno je osigurati i pasivnu opremu. Koliko puta smo prošli ulicom i primijetili otvorena vrata ulične stanice kompanije za komunalne usluge ili čak otvoren pristupni panel na uličnoj svjetiljci? Razlog za ovo je činjenica da u većini slučajeva vlasnik, odnosno operater uopće ne zna da su vrata njegove ulične stanice otvorena i da njegov sistem više nije siguran. Ukoliko se u takvoj stanici nalazi bilo koja komponenta mreže, na vratima mora biti neki senzor koji će vas obavještavati o tome jesu li otvorena ili zatvorena. Ako su vrata otvorena, a vi niste svjesni toga, to predstavlja laku metu za sve napadače te izlaže opremu potencijalnim oštećenjima usljed nepovoljnih uslova iz okruženja ili vremenskih prilika. Nemojte zaboraviti da to ne mora biti samo aktivna oprema. Čak i ako stanica ima samo kablove, to je također prilika za neovlašteni upad u mrežu. Postavljanje senzora je apsolutno obavezno na svim nesigurnim lokacijama.

Da zaključimo

Sigurnosne prijetnje za Ethernet mreže mogu stići od poznatih ili nepoznatih napadača na lokalnim i udaljenim lokacijama. Imajući to u vidu, vlasnici i operateri se moraju zaštititi od svih mogućih varijanti napada. U slučaju lokalnih napada, mjesto upada na mrežu su fizičke veze s mrežom. Ukoliko je napadač udaljen, napast će preko mrežnih funkcija. Upravljivi Ethernet switchevi se zbog zaštite od napada trebaju uvijek koristiti kao aktivne komponente mreže budući da, ukoliko su pravilno konfigurisani, nude najveći nivo sigurnosti. Upravljivi uređaji također će omogućiti korisnicima da daljinski kontrolišu i nadziru mrežne uređaje te će generisati automatska upozorenja ukoliko se pojavi neki problem. Svi upravljivi Ethernet switchevi se moraju konfigurisati u zavisnosti od sigurnosnih nivoa i radnih zahtjeva lokacije na kojoj će se nalaziti kako bi se omogućilo njihovo pravilno funkcionisanje. Oni koji budu ignorisali osnove mrežne sigurnosti i koji se odluče za jeftinije neupravljive uređaje izlažu svoje mreže riziku od napada hakera, koji vrlo brzo mogu iskoristiti sofisticiranu sigurnosnu mrežu za svoje ciljeve. A s obzirom na to da je u igri zaštita kritične infrastrukture, podataka i komunikacija, jeste li spremni preuzeti taj rizik? Takvo nešto bi djelovalo neodgovorno.

Pojašnjenje pojmova

(1) Aktivna oprema je ona kojoj je za rad potrebna električna energija, a pasivnoj ne treba.

(2) U ovome članku se baziramo na Layer 2 Ethernet switcheve zasnovane na MAC adresama, a ne na Layer 3 uređaje na IP ili MAC adresama.

• Komunikacijski port na Ethernet switchevima je serijski port koji omogućava lokalni pristup postavkama nakon unošenja ispravnog korisničkog imena i lozinke.

Sada već sa sigurnošću možemo potvrditi da je skandal vezan za neovlašteno dijeljenje podataka korisnika Facebooka ne samo najveća vijest u IT svijetu od početka 2018. nego da djeluje kao da mu nema kraja jer se svaki dan pojavljuju nove informacije koje ne idu u korist toj IT kompaniji

Izvor: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Skandal je izbio nakon što je bivši direktor istraživanja u Cambridge Analytici Christopher Wylie za Observer magazin otkrio da je ta britanska konsultantska firma, čiji je vlasnik milijarder Robert Mercer, iskoristila lične podatke desetaka miliona glasača i korisnika Facebooka kako bi osmislila pobjedničku kampanju Donalda Trumpa. Facebook je dvije godine znao da je Analytica do podataka došla na neovlašten način, ali niko iz kompanije nije našao za shodno da obavijesti javnost o tome. Najnovije informacije govore da su ugroženi lični podaci čak 87 miliona korisnika Facebooka. Zbog toga ta društvena mreža podsjeća korisnike da izbrišu aplikacije koje više ne koriste, a počela je i s određenim promjenama kako se ovakav slučaj ne bi više ponovio.

Prebacivanje krivice

Aleksandr Kogan, istraživač i akademik s Univerziteta u Cambridgeu, našao se u samom centru ovog skandala. Upravo je on radio na prikupljanju podataka desetaka miliona korisnika Facebooka prije četiri godine. To je činio koristeći aplikaciju “This Is Your Digital Life”. Riječ je o kvizu za testiranje ličnosti. Kogan je prikupljene podatke kasnije proslijedio kompaniji Cambridge Analytica, koja je prvobitno potvrdila da ih je koristila kako bi kreirala reklame tokom izborne kampanje za Donalda Trumpa 2016. godine, da bi zatim negirala ono što je već izrekla. Kogan je kasnije za BBC Radio 4 izjavio da ga je Facebook iskoristio u toku ovog skandala. “Mislili smo da radimo nešto što je sasvim normalno. Smatram da me i Facebook i Cambridge Analytica u principu koriste kao žrtvenog jarca”, rekao je tom prilikom.

Sada je poznato da je Facebook između 2007. i 2014. godine omogućio i programerima pristup svojim socijalnim grafikonima (kartama mreža prijatelja njihovih korisnika, ličnim interesima i lajkovima). Iako se ovaj pristup trebao odnositi samo na spomenute podatke, u više različitih izvještaja je potvrđeno da je Facebook slabo nadgledao pristup tim podacima i provođenje dogovorenih aktivnosti, pa je od programera tražio da potpišu samo najjednostavniju saglasnost prije nego što bi ovi počeli prikupljati podatke.

Neophodna bolja zaštita

Zloupotrebu istih podataka kompanija je istraživala tek nakon što bi bila prijavljena. Ovo potvrđuje i informacija prema kojoj je skoro 64.000 stanovnika Novog Zelanda bilo pogođeno ovim skandalom, a samo je njih deset skinulo spomenuti kviz preko kojeg je Kogan prikupljao podatke. Ista stvar se odnosi i na Australiju. Kako prenosi The Guardian, iako je 311.127 Australaca zahvaćeno ovim skandalom, samo 53 građana te zemlje su učestvovala u kvizu odgovornom za nepropisno prikupljanje i korištenje ličnih podataka. Također se ispostavilo da je ukupno 2,7 miliona građana Evropske unije pogođeno neovlaštenim dijeljenjem njihovih podataka s Cambridge Analyticom. Upravo su ovakvi incidenti najbolji pokazatelj da su društvene mreže i internet u globalu potpuno zreli za uvođenje novih regulativa o zaštiti ličnih podataka kao što je GDPR, o kojem smo detaljno pisali u prošlom broju. Također, Kogan tvrdi da je tačnost prikupljenih podataka preuveličana: “U praksi, moja pretpostavka je da smo imali šest puta veću šansu da shvatimo sve pogrešno o nekoj osobi nego ono što je istina. Lično smatram da ciljanje na korisničkom nivou nije efikasan način korištenja ovakvih skupova podataka.”

Pad povjerenja

Kako prenosi Business Insider, nivo povjerenja koje su korisnici imali u Facebook kao kompaniju i svakodnevno korištenu društvenu mrežu značajno je opao nakon skandala s dijeljenjem podataka. Istraživanje Ponemon Instituta na 3.000 ispitanika pokazalo je da trenutno samo 27% ljudi vjeruje da bi Facebook zaštitio njihovu privatnost, što je znatan pad povjerenja u odnosu na prošlu godinu, kada je pozitivan stav imalo 79% korisnika te društvene mreže. Ovi najnoviji podaci podupiru rezultate do kojih je došao Business Insider Intelligence, u čijem Digital Trust izvještaju stoji da 81% korisnika Facebooka ima malo ili nimalo povjerenja u firminu posvećenost zaštiti njihovih ličnih podataka. Zanimljivo je i to da je ova studija pokazala da korisnici ovakve strahove osjećaju najviše kada se spomene Facebook, a manje kada je riječ o mrežama poput LinkedIna, Instagrama, Twittera, Snapchata i YouTubea.

I Apple se ustremio na Facebook

U kritikovanje događaja uključio se i direktor Applea Tim Cook nazvavši ovakav vid trgovine ličnim podacima invazijom na privatnost. Govoreći na forumu za razvoj u Pekingu, Cook je izjavio da je ovakvu situaciju neophodno zakonski regulisati te je detaljnije objasnio svoj stav. “Mogućnost da svako zna šta ste godinama pretraživali, ko su vaši kontakti, šta vam se sviđa, a šta ne i svaki intimni detalj vašeg života – s moje tačke gledišta ne bi trebala postojati”, istakao je Cook. Kasnije je u razgovorima za MSNBC i Recode rekao da je Apple, iako je mogao zaraditi gomilu novca da je monetizirao svoje korisnike, izabrao da to ne radi, jer smatra da je privatnost ljudsko pravo. Kada su ga novinari pitali šta bi on uradio da se našao na Zuckerbergovom mjestu, Cook je demonstrativno uzvratio da se on ne bi ni našao u takvoj situaciji, a to je ujedno bio i prvi put da je na direktan način spomenuo Zuckerberga tokom priče o zaštiti privatnosti. Međutim, ovakav Cookov stav nije nikakva novost. On je još 2014. godine isticao da Apple itekako brine o privatnosti svojih korisnika te da je privatnost osnovno ljudsko pravo i samim time spada u domen građanskih sloboda. Zuckerberg je u nekoliko navrata odgovorio na Cookove prozivke rekavši da samo zato što Facebook, za razliku od Applea, ne prodaje svoje usluge, ne znači da ne brine za svoje korisnike. Izjavio je da “ne bismo trebali dopustiti kompanijama koje naplaćuju svoje usluge da nas uvjere kako zbog toga više brinu o nama”. Uprkos Zuckerbergovom pokušaju da trenutnu situaciju predstavi u što boljem i po Facebook pozitivnijem svjetlu, stvari se ne prestaju zahuktavati. Tako #deletefacebook kampanja traje već neko vrijeme i poziva sve korisnike mreže da izbrišu svoje profile na toj društvenoj mreži, a kampanji se priključio i Brian Acton, suosnivač WhatsAppa, koji je prodat Facebooku 2014. godine.

Zuckerberg: “I moji podaci su među prikupljenima!”

Iako je prvobitno odugovlačio sa svjedočenjem, Zuckerberg se na kraju ipak morao pojaviti pred američkim Kongresom. Njegovo svjedočenje trajalo je punih deset sati i za to vrijeme je, prema mišljenju pojedinih medija i stručnjaka za govor tijela, propustio priliku da dobije “oprost slušalaca” budući da je djelovao “stoički i relativno bezosjećajno”. Tokom svjedočenja Zuckerberg je u jednom trenutku obećao senatorima da će Facebook ubuduće više raditi na sigurnosti podataka i sprečavanju njihove zloupotrebe. “Nismo učinili dovoljno da spriječimo zloupotrebu ovih alata. Nismo dovoljno sagledali našu odgovornost, a to je bila velika greška. To je bila moja greška i žao mi je”, izjavio je tom prilikom Zuckerberg. Kako bi opravdao ono što se desilo, Zuckerberg je pred senatorima rekao da su se i njegovi lični podaci našli među prikupljenim podacima te da je i njih zloupotrijebila Cambridge Analytica. Na saslušanju je jedan od senatora pitao Zuckerberga zašto jednostavno ne pređe na novi sistem u kojem bi svoje usluge naplaćivao korisnicima umjesto da ih koristi za ciljani marketing, odnosno reklamiranje. Na to je Zuckerberg odvratio kako u firmi smatraju da je servis koji finansiraju reklame u skladu s njihovom misijom, ali je ostavio mogućnost da jednom počnu pružati i plaćene usluge. Međutim, naglasio je da će uprkos tome uvijek postojati “besplatna verzija Facebooka”.

Posljedice se već osjete

Prije ovog slučaja Facebook je istraživao mogućnosti dijeljenja podataka svojih korisnika sa zdravstvenim ustanovama, koje bi one koristile za donošenje bitnih odluka vezanih za pacijente. Naprimjer, bolnica bi mogla odlučiti da pošalje kućne njegovatelje pacijentima koji, prema podacima s njihovih Facebook profila, nemaju rodbinu ili prijatelje blizu sebe. U svjetlu ovog skandala, međutim, društvena mreža je privremeno obustavila dalji rad na ovom projektu kako bi osmislila bolje načine zaštite podataka. Slično kao i u aktuelnom slučaju, Facebook nije pridavao mnogo pažnje tome da li bi korisnici trebali biti obaviješteni o ovoj praksi ili ne. Iako trenutno uživa veće povjerenje svojih korisnika od Facebooka, Instagram (inače u vlasništvu Facebooka) odlučio je znatno ograničiti količinu podataka koji se mogu prikupiti preko vanjskih aplikacija. Također, Cambridge Analytica je suspendovala svog direktora Alexandera Nixa, koji je u trenutku pisanja teksta, slično kao i Zuckerberg u SAD-u, odugovlačio s pojavljivanjem pred komisijom Britanskog parlamenta. Vodstvo kompanije je razotkriveno u snimku britanske televizije Channel 4, u kojem se, između ostalog, govorilo o potrebi profiliranja ljudi radi ubacivanja efikasnih poruka na internetu. Ovaj skandal je natjerao ljude da se počnu pitati da li i ostale društvene mreže rade ono što je uradio Facebook, što je barem jedna pozitivna stvar proizašla iz čitave situacije.

Neovlašteno prikupljanje podataka uobičajena pojava?

Aleksandr Kogan tvrdi da su ga iz Cambridge Analytice sve vrijeme uvjeravali kako “hiljade, možda i deseci hiljada aplikacija rade istu stvar” te da je to što on radi “prilično normalan način upotrebe podataka s Facebooka”. U skladu s tim, sličnih incidenata ne manjka, a jedan od zanimljivijih iz nedavne prošlosti jeste slučaj američkog proizvođača audioopreme Bose. Protiv te kompanije prošle godine je pokrenuta tužba zato što je posredstvom svoje aplikacije prikupljala podatke o slušalačkim ukusima i navikama svojih korisnika. Budući da ljudi osim muzike slušaju i političke emisije, ti podaci su služili za profiliranje korisnika, a Bose ih je neovlašteno prosljeđivao marketinškoj kompaniji segment.io.

Od 25. maja na snagu stupa GDPR, odnosno Opća uredba o zaštiti podataka Evropske unije, koja će drastično promijeniti odnos kompanija prema privatnim podacima na internetu. To je bio povod da razgovaramo s regionalnim stručnjacima, koji su nam dali svoje viđenje ove regulative i spremnosti firmi iz okruženja da joj se prilagode

Pišu: Senad Matić Karić i Vesna Matić Karić

E-mail: redakcija@asadria.com

“Podaci su nova nafta” – izjavio je Jonathan Taplin, direktor emeritus Annenberg laboratorija za inovacije na Univerzitetu u Južnoj Kaliforniji. I nije jedini stručnjak koji tako misli. Značaj velikih podataka nikada nije bio važniji, naročito ako se kombinuju s naprednom analitikom zasnovanom na vještačkoj inteligenciji i potencijalom koji donosi internet stvari. U vremenu u kojem podaci mogu potaknuti veliki rast kompanija, potrebno je imati odgovarajući skup pravila koji će ne samo regulisati upravljanje privatnim podacima u cilju zaštite privatnosti ljudi nego će pomoći i u zaštiti samih kompanija od cyber kriminalaca. Opća uredba o zaštiti podataka, odnosno GDPR, upravo je takav obavezujući skup pravila kojim se reguliše upravljanje i zaštita ličnih podataka na području Evropske unije, ali i van nje, ukoliko se upravlja podacima građana Evropske unije. Ovaj posljednji detalj jedan je od glavnih razloga zbog kojeg se proteklih mjeseci o GDPR-u sve više priča te se ubrzano organizuju konferencije i radionice o njegovoj implementaciji, budući da to znači da će se sve, pa i regionalne i prekookeanske kompanije koje sarađuju s evropskim firmama i pri tome upravljaju podacima građana Evropske unije morati prilagoditi regulativi te uvesti isti nivo sigurnosti za podatke.

Pojam ličnih podataka obuhvata bilo kakvu informaciju o pojedincu koja se može koristiti za direktno ili indirektno identifikovanje osobe, što uključuje sve od imena i fotografije, preko e-mail adresa, bankovnih podataka, postova na društvenim mrežama do zdravstvenih podataka i IP adrese računara. GDPR se odnosi ne samo na kompanije koje prikupljaju lične podatke i odlučuju o njihovoj upotrebi (u GDPR regulativi nazvane “kontrolori”) nego i na kompanije koje procesiraju takve podatke za kontrolore. Drugim riječima, od regulative neće biti izuzeti ni cloud servisi.

Ključni aspekti GDPR-a: sigurnost i privatnost po jednakim pravilima

GDPR je zamijenio raniju Direktivu o zaštiti podataka 95/46/EC iz 1995. godine, koja je iz očitih razloga zastarjela u vremenu u kojem dolazi do neizbježnog uspona IoT-a. Jedan od pokazatelja da je pravo vrijeme za promjene u upravljanju podacima i njihovom osiguravanju jeste i nedavni slučaj u kojem je Cambridge Analytica, britanska politička konsultantska kompanija, na neprimjeren i neovlašten način prikupila lične podatke 50 miliona korisnika Facebooka radi profiliranja glasača u svrhu osmišljavanja predsjedničke kampanje Donalda Trumpa. Pri tome je Facebook znao za to protekle tri godine, ali nije obavijestio javnost o tome. Osim spomenutog prekograničnog prilagođavanja regulativi, jedna od najčešće spominjanih praksi koje GDPR uvodi jeste i „princip ugrađene privatnosti“. To znači da se sistemi moraju od početka graditi sa zaštitom privatnosti, umjesto da im se to naknadno dodaje uz potencijalno neadekvatnu primjenu. Između ostalog, ovo podrazumijeva provođenje sveobuhvatne pseudonimizacije kao što je enkripcija te redakciju videa pri snimanju javnih površina i ograničavanje pristupa samo onim podacima koje treba obraditi.

“GDPR prvenstveno donosi bolju zaštitu građana i veću kontrolu nad obradom osobnih podataka. Postrožena pravila sama po sebi donose i uređen sustav te veću kontrolu i sigurnost u obradi. Novost je ‘pravo na brisanje’, poznato i kao ‘pravo na zaborav’ (engl. Right to be forgotten)”, objašnjava stručnjakinja za zaštitu ličnih podataka, GDPR, informacijsku sigurnost i pametne tehnologije te šefica Katedre za ekonomske i finansijske znanosti na Pravnom fakultetu Sveučilišta u Splitu doc. dr. sc. Marija Boban. Načelo ovog prava je omogućiti pojedincima da zatraže brisanje ili uklanjanje ličnih podataka ukoliko nema uvjerljivog razloga za njihovu obradu. „Zanimljivo će biti vidjeti primjenu u praksi budući da će tada pretraživači, primjerice Google, koji svoje domene ima u svim državama EU (naprimjer Google.hr), brisati “linkove” sa svim instancama, što će predstavljati i trošak novca i vremena”, dodaje Boban, napominjući da će to ipak rezultirati ključnom stvari koja Evropu najviše zanima – većom kontrolom koju će građani Evropske unije imati nad obradom svojih ličnih podataka.

Pravo na brisanje, prijenos, saglasnost

Tomislav Štefe, direktor prodaje u zagrebačkoj kompaniji za informatičku sigurnost Sagena informatički inžinjering, na slikovit način objašnjava značaj GDPR-a: “Važno je shvatiti da GDPR regulativa donosi najvažniju promjenu u zaštiti osobnih podataka u posljednjih 20 godina. Ponekad znam reći poslovnim partnerima na sastancima i prezentacijama da zamisle osobne podatke kao novčanice ili neke druge osobne dokumente. Kada bi, naprimjer, netko kopao po vašem novčaniku i tražio novac, to se smatra isključivo kažnjivim djelom. Isto tako, kada ubuduće netko bude pristupao vašim osobnim podacima, morat će se znati tko to smije raditi i na koji način. Ako to radi neovlašteno, platit će kaznu.” Štefe dodaje da bi normalno bilo da “cijenimo i čuvamo podatke kao što je normalno da zaključamo vrata stana i prozore kuće. Sada se samo dogovaramo putem ove Uredbe da je to obavezno”. Još jedan ključni novitet jeste pravo na prijenos podataka, pri čemu korisniku treba omogućiti da svoje lične podatke koji se mogu povezati s njim prenese iz jednog u drugi sistem za procesiranje podataka, sve dok to ne podrazumijeva kršenje intelektualnih prava. Ovo uključuje ne samo podatke koje je korisnik sam dao kompaniji nego i one o njegovom ponašanju, a podatke mora dobiti u nekom često korištenom i uobičajenom elektronskom formatu.

Stručnjakinja za IT i telekomunikacijske sisteme dr. Sabina Baraković napominje da će prijenos ličnih podataka građana Evropske unije biti omogućen jedino u slučaju da su svi sigurnosni uslovi zadovoljeni. “Prilikom prenosa podataka u zemlje za koje Evropska unija nije dala odobrenje kompanije moraju tražiti specijalnu pravnu saglasnost. Kompanije koje obrađuju lične podatke u ime drugih također će imati direktne obaveze i odgovornost, te se mogu smatrati odgovornim za zloupotrebu podataka. Iz tog razloga morat će s kompanijama koje prikupljaju podatke jasno definisati uslove obrade ličnih podataka, te održavati sigurnost podataka kroz odgovarajuće tehničke i organizacijske mjere”, kaže Baraković.

Saglasnost za korištenje podataka i pravo na informisanost o svrsi i lokaciji procesiranja podataka područja su koja GDPR dodatno definiše, budući da kompanije neće više moći tražiti pristanak za korištenje podataka kroz duge dokumente pune pravne terminologije. Umjesto toga, saglasnost mora biti jasna, razumljivo napisana i odvojena od drugih aspekata korištenja softvera i računarskih usluga. Također je treba biti moguće lako povući. Na sličan način funkcioniše i pravo na informisanost – kompanija mora korisniku besplatno isporučiti kopiju ličnih podataka u elektronskom formatu i obavijestiti ga o tome da li i kako se njegovi podaci obrađuju.

Zatim imamo DPO-a, odnosno službenika za zaštitu podataka. Kompanije će, ovisno o vrsti i obimu u kojem upravljaju osjetljivim ličnim podacima, morati angažovati DPO-a. Bitno je spomenuti da se ovo može odnositi i na male firme, bez obzira na to što se u ranijim fazama definisanja GDPR-a upošljavanje službenika za zaštitu podataka odnosilo samo na kompanije sa više od 250 zaposlenika. U principu, DPO će biti potreban firmama koje u velikom obimu sistematski i regularno nadgledaju lične podatke, kao i onima koje procesiraju bilo koju kategoriju ličnih podataka, uključujući i one koji otkrivaju etničko porijeklo te političku i religijsku opredijeljenost, kao i lične podatke koji se odnose na krivične presude i prestupe.

I na kraju, blagovremeno prijavljivanje sigurnosnih incidenata podrazumijeva da se cyber sigurnosni incidenti koji predstavljaju rizik za pojedince moraju brzo prijaviti bez nepotrebnog odugovlačenja. „Tačnije, kompanije moraju informisati odgovarajuća nadležna tijela o curenju podataka najkasnije 72 sata od otkrivanja”, naglašava Baraković. Obavezujuću prirodu GDPR-a prate vrlo visoke kazne u slučaju nepridržavanja njegovih stavki. Maksimalna kazna za ozbiljne propuste kao što su odsustvo odgovarajuće saglasnosti korisnika za procesiranje njegovih podataka ili nedovoljna zaštita privatnosti iznosi 4% globalnih godišnjih prihoda ili 20 miliona eura, šta god bude veće. Za druge prestupe poput neblagovremenog obavještavanja o hakerskom napadu koji je ugrozio lične podatke – kompanije mogu biti kažnjene iznosom od 2% prihoda.

Prilagođavanje GDPR-u i troškovi provedbe

Jedno je sigurno: GDPR nije regulativa čije će uvođenje biti moguće izvesti jednokratno, nego je riječ o kontinuiranom procesu koji će uvijek biti dio poslovanja kompanija. Mnogi stručnjaci se slažu u ocjeni da više od ispunjavanja samih tehničkih uslova kompanije moraju biti spremne prilagoditi unutrašnju organizaciju i filozofiju rada novim okolnostima.

“U uvođenju Opće uredbe o zaštiti podataka jako je bitno da vodeći ljudi kompanija budu upoznati s tim, znači od uprava, pravnih i finansijskih službi pa sve do IT sektora. Ponekad se misli da se Uredba odnosi samo na IT sektor, ali to nije tako. To je zato što su danas većinom podaci digitalizirani. No, Uredba se odnosi na sve u kompaniji, a IT sektor ponajviše operativno pomaže da se ona primijeni”, kaže Štefe.

On je također detaljnije pojasnio na šta je bitno obratiti pažnju prilikom prilagođavanja GDPR-u i navodi neka rješenja za bezbolniju prilagodbu: “U samom uvođenju postoji nekoliko faza: upoznavanje i dizanje svjesnosti Uprave o Regulativi, rad s pravnom službom te rad s IT sektorom i svima ostalima. Mi ponajviše kao dugogodišnji Platinum partner renomirane kompanije McAfee nudimo tzv. toolove kojima se Uredba može lakše implementirati. Dakle, postoji softver kojim možete pokrenuti tzv. discovery podataka koji vam pronalazi osobne podatke (matični broj osobe, brojeve dokumenata i sl.) i onda te podatke dalje možete lakše strukturirati i definirati njihov pristup i ovlaštenja. Također, Uredba nalaže da se i osobe koje rade s bazama podataka moraju kontrolirati, pa u tu svrhu nudimo DAM (Database Activity Monitor) rješenja koja dodatno štite baze podataka te kontroliraju tko je sve imao pristup bazi, što i kada se po bazi podataka radilo. Ukoliko dođe do problema uzrokovanog hakerskim napadom, potrebno ga je brzo rješavati. Za ovu potrebu nudimo korisnicima SIEM (Security Information Event Management) alate koji prate rad cijelog sustava i vide iz kojeg izvora napad dolazi. Takvi alati vam drastično skraćuju vrijeme potrebno za izolaciju problema, a samim time i vrijeme da sustav zakrpite i stabilizirate”, objašnjava Štefe.

S druge strane, član Nacionalnog vijeća za kibernetičku sigurnost Hrvatske i nekadašnji predsjednik vijeća HAKOM-a Dražen Lučić vjeruje da će se mnogi problemi i nedoumice vezane za ovu problematiku rješavati u hodu i dodaje: “Vrlo brzo će se vidjeti koliko su kompanije zaista spremne, a koliko je to bila samo samoreklama isticanjem.” On također smatra da je u prvoj fazi primjene bitno da “određeni problemi ne budu povod za kažnjavanje organizacija i odgovornih pojedinaca u njima, nego poticaj za prilagodbu rješenja stvarnim uvjetima poslovanja i rada organizacija”. Konkretnije informacije vezane za same troškove provedbe GDPR-a dobili smo od Alena Šalamuna, tehnološkog direktora slovenske firme REAL Security. On napominje da će troškovi biti u korelaciji s time kako su organizacije pratile opće smjernice razvoja IT sigurnosnih sistema. “Kompanija koja nema osnovne elemente kao što su firewall, IPS sistem, backup sistem, SIEM sistem, DLP i slično imat će, naravno, visoke troškove, ali ne zbog samog GDPR-a. To su sistemi koje bi već odavno morali imati. S druge strane, kompanija kojoj fali samo pravna strana – definicija baze ličnih podataka i interni pravilnik – neće imati visoke troškove. Predviđa se da će troškovi implementacije za velike FTSE kompanije iznositi oko 480.000 eura, a za Fortune kompanije oko 800.000 eura. Na državnom nivou, riječ je o velikim ciframa u svakom slučaju”, objašnjava Šalamun. Što se tiče samog REAL Securityja, on napominje da su njihovi troškovi nešto manji, jer ne moraju zapošljavati nove radnike, a već su imali i skoro sve potrebne sisteme, tako da svoj trošak procjenjuju na 25.000 eura.

Utjecaj na zemlje van Evropske unije

Što se tiče kompanija iz zemalja koje nisu dio Evropske unije, a koje sarađuju s onima iz EU, Baraković se slaže da će ove promjene neizbježno utjecati i na njih. “Budući da kompanije iz Bosne i Hercegovine sarađuju sa kompanijama iz Evropske unije te obrađuju i koriste podatke građana Evropske unije, to znači da se Uredba odnosi i na njih. Uredba u potpunosti mijenja način na koji se podaci prikupljaju, koriste, obrađuju, pohranjuju i tretiraju na bilo koji način. Stoga je usklađivanje sa zahtjevima Uredbe kompleksan proces pun izazova koji će značajno utjecati na poslovanje kompanija širom svijeta, pa tako i u Bosni i Hercegovini”, kaže Baraković i dodaje: “Da bi se uskladile s Uredbom, kompanije u BiH moraju prilagoditi svoje poslovanje na način da koriste jednostavan, jednoznačan i razumljiv jezik komuniciranja s vlasnicima ličnih podataka, te da po zahtjevu vlasnika svaku radnju koja uključuje njihove lične podatke odrade u najkraćem mogućem roku uz dokaz da je zatražena radnja i izvršena. Također, moraju dobiti dozvolu za obradu ličnih podataka, dok za obradu podataka maloljetnih osoba moraju dobiti saglasnost njihovih roditelja. Dodatno, kompanije moraju omogućiti uskraćivanje saglasnosti za slanje poruka u direktnom marketingu.”

—————————–

Neki i dalje nespremni

GDPR je stupio na snagu 2016. godine, a obavezujući postaje nakon dvogodišnjeg perioda predviđenog za prilagođavanje poslovanja regulativi, tačnije 25. maja ove godine. Uprkos vremenu rezervisanom za prilagođavanje, trenutno vladaju podijeljena mišljenja o tome jesu li kompanije spremne za GDPR. Štefe iz Sagene dijeli korisnike u dvije grupe kada je riječ o njihovoj spremnosti za novu regulativu: “Dok se neki jako dobro pripremaju, naručuju konzalting usluge ili šalju svoje djelatnike na stručne seminare, ima i onih koji, da tako kažem, ne poduzimaju ništa, imaju pristup da je bolje pričekati i vidjeti kako će drugi nešto napraviti, pa onda isto implementirati kod sebe. Osobno mislim da je to potpuno promašen put. Ne govorim to iz razloga kako bi se tvrtkama prodao dodatni konzalting, softver i usluge za uvođenje GDPR regulative.”

Šalamun smatra da većina kompanija neće imati problema kada je riječ o spremnosti da se prilagode novoj regulativi, naglašavajući da GDPR služi kao nadogradnja postojećih zakona o zaštiti ličnih podataka. “Organizacije poput naše, koje su već slijedile primjere dobre prakse kako bi osigurale IT sisteme, sada ne moraju uraditi mnogo toga”, kaže on. Sličnu procjenu je ponudila i informacijska povjerenica Slovenije Mojca Prelesnik, s tim da ona naglašava kako postoji i veći broj izuzetaka. “Postoji značajan broj organizacija koje nisu obratile dovoljno pažnje na postojeću legislativu te je slabo poznaju i implementiraju – takve će se susresti s većim izazovima, budući da će morati mnogo toga naučiti i provesti za kratko vrijeme”, kaže Mojca.

S druge strane, Boban tvrdi da većina firmi nije spremna za nadolazeće promjene: “Uistinu bez okolišanja mogu reći da većina nije spremna ili su tek u postupku usklađivanja. A datum primjene jest već 25. maja 2018. Promjene su velike: od novih pravnih uvjeta do uvođenja ‘procjene rizika’ kroz ‘procjenu učinka’, pa do ostalih zahtjeva koje Uredba donosi i direktno se primjenjuju za sve koji posluju na području Europske unije, odnosno za sve koji obrađuju podatke građana EU.”

Nastaje novo tržište

Naši sagovornici se uglavnom slažu u jednom – da će biti spremni do 25. maja za sve što im GDPR donosi. Siniša Radulović, voditelj marketinga u Alarm automatici, kaže da je njihova kompanija prošle godine krenula s aktivnijom pripremom kako bi bili spremni na sve izazove koje donosi GDPR, a pridružuje mu se viši savjetnik za informatičku sigurnost u kompaniji Diverto i predsjednik Odbora za kibernetičku i informacijsku sigurnost HUMS-a Alen Delić, koji to predstavlja na živopisan način: “Iznimno je zanimljivo sagledati koliko smo spremni mi koji inače pomažemo drugima da se prilagode kako ne bi ispalo da su kod postolara (obućara) najgore cipele… Dakako, bit ćemo spremni za stupanje Uredbe na snagu”, kaže Delić. Profesor asistent pri Katedri za pravnu informatiku na Pravnom fakultetu Sveučilišta u Zagrebu doc. dr. sc. Tihomir Katulić kaže da će veće kompanije s naših prostora vjerovatno dočekati regulativu spremne: “U Hrvatskoj i regiji vjerujem da i dalje stoji ocjena da će telekomi, banke i financijske institucije zbog svojih resursa, posebno regulatornih stručnjaka, snažnih informatičkih i infosec odjela primjenu Uredbe dočekati spremni. Projekte je provelo ili provodi oko petina najvećih gospodarskih subjekata. Nastalo je živahno tržište konzultantskih usluga na kojem se natječe petnaestak kompanija. Situacija sa srednjim i manjim društvima značajno je slabija, dok javni sektor kao da misli da se to njih ne tiče. Srednji i mali poduzetnici uz velike rizike percipiraju Uredbu kao još jedan u nizu administrativnih tereta kojima države regije guše vlastito poduzetništvo i pokazuju da su i dalje tek na početku tranzicije u tržišna gospodarstva.”

Šta je s kompanijama iz SAD-a?

Pojedini mediji tvrde da polovina velikih kompanija iz SAD-a neće na vrijeme biti spremna za nove regulative. Kako i koliko bi se ova potencijalna nespremnost američkih kompanija mogla odraziti na njihovo dalje poslovanje s evropskim firmama pojasnio je Štefe: “Nemam gotove statističke podatke, ali na bazi mnogo iskustva u komunikaciji sa stranim partnerima stječe se dojam da se stranci ozbiljno pripremaju. To se vidi i po brojnim inozemnim GDPR konferencijama, samitima, eventima te mnogi IT vendori sve više nude razna rješenja za implementaciju GDPR-a na operativnoj razini.”

S njime se slaže i Šalamun, koji tvrdi da su kompanije iz SAD-a već dugi niz godina imale dosta stroge zakone vezane za potencijalne zloupotrebe ličnih podataka, tako da, kako smatra, neće biti problema koji se prognoziraju u pojedinim medijima. Delić ipak napominje da postoje poznati slučajevi u kojima su kompanije iz SAD-a odustale od daljih poslovnih aktivnosti vezanih za EU, bez obzira na to je li riječ o poslovanju u EU ili samo o korištenju podataka građana Evropske unije. Međutim, on smatra da su to ipak sporadični slučajevi te da će se svaka ozbiljnija kompanija koja ima EU kao tržište prilagoditi promjenama. Ipak, podijelio je s nama i jednu zanimljivu informaciju iz prve ruke koja pokazuje da stvari ipak nisu tako jednostavne. “U praksi je očito kako prilagodba ide sporije kad je u pitanju netko iz SAD-a. Upravo smo u procesu pregovora s kompanijom koja godišnje zarađuje desetke milijuna dolara, a s kojom nikako da usuglasimo stavove o prilagodbi GDPR-a”, rekao je Delić.

Potencijalni zastoji u provedbi GDPR-a

Zanimalo nas je i koliki izazov će kompanijama predstavljati da novim pravilima prilagode ne samo sebe i svoje sisteme nego i vanjske saradnike te krajnje korisnike njihovih usluga. U vezi s tim, Štefe naglašava da je provođenje GDPR-a izazov za sve u lancu, jer “kako podaci cirkuliraju među sudionicima poslovnih tvrtki bilo bi logično da ako su zaštićeni i kontrolirani u tvrtki A, onda nisu nezaštićeni i lako dostupni u tvrtki B“, zbog čega smatra da poslovni partneri prije svega trebaju dobro iskomunicirati i redefinisati način poslovanja kako bi bio usklađen sa GDPR-om.

Lučić tvrdi da je Opća uredba o zaštiti podataka istovremeno i izazov i prilika. “Većini organizacija koje upravljaju podacima bit će izazov, kako organizacijski tako i financijski. No to je istovremeno prigoda da te organizacije unaprijede unutarnje i vanjske procese u vezi s upravljanjem privatnim podacima. S druge strane, otvara se mogućnost jednom dijelu tvrtki da ponude dodatne usluge, da prošire broj svojih korisnika, a to znači i nova radna mjesta specijalizirana za upravljanje i zaštitu podataka, informacijsku i kibernetičku sigurnost”, kaže on. Ipak, određeni zastoji u prilagodbi postoje, što potvrđuje i Delić: “Pokazuje se na operativnoj razini kako često postoje nerazumijevanja između subjekata, posebno kad se govori o odnosu voditelja obrade i izvršitelja obrade. Često moramo vrijeme potrošiti s trećim stranama objašnjavajući im osnovnu terminologiju ili prakse kako bi se pojedinci prilagodili. Ljudima je najveći problem što ne shvaćaju svoje uloge i odgovornosti u cijelom konceptu, pa često iz straha nastane problem koji zapravo ne postoji”, rekao je Delić.

Prednosti i mane nove regulative

Prelesnik naglašava da je trenutni GDPR rezultat kompromisa usljed lobiranja i konfliktnih interesa tokom procesa njegovog usvajanja. Međutim, ona ističe da je jedna od glavnih prednosti GDPR-a “proaktivan pristup, zasnovan na principu odgovornosti, tj. usvajanju novih preventivnih mjera”. “Kada je riječ o manama, bojimo se da željena harmonizacija EU pravila neće biti postignuta na željenom nivou, budući da nekoliko nacionalnih zakona o zaštiti podataka može ponovno dovesti do fragmentacije legislative”, dodaje Mojca. Prema Mariji Boban, jedna od prednosti je to što “posebnu kategoriju predstavljaju upravo osobni podaci djece, gdje je ponajprije postavljena dobna granica 16 godina, ali i mogućnost predviđanja niže dobne granice za davanje privole za obradu osobnih podataka djece i do 13 godina, čime se podiže zaštita prava djece”. Ona također ističe da su “mjere sigurnosti koje Uredba propisuje za posebne kategorije osobnih podataka, posebno u rastućem sustavu e-zdravstva kao i novu definiciju regulacije mrežnog identifikatora i genetskih i biometrijskih podataka kao osobnih podataka, uistinu velika novost i više nego dobrodošle jer nisu bile pokrivene dosadašnjim zakonodavstvom”. S druge strane, Boban kao mane procesa implementacije ističe nepripremljenost i troškove.

Naši sagovornici vjeruju u pozitivan efekat Uredbe. Tako Lučić smatra da će uspješno uvođenje GDPR-a “sigurno imati pozitivan doprinos razvoju i podizanju razine informacijske sigurnosti. To automatski znači novi i veći izazov kibernetičkim kriminalcima, koji će se morati znatno više potruditi u svojim nečasnim namjerama ili će, što je realnije očekivati, potražiti lakše mete.” On spominje i aspekt povećanja nivoa svijesti o sigurnosti podataka kod korisnika IT usluga. “To će imati pozitivan učinak na gospodarstvo jer će ohrabriti korisnike novih tehnoloških usluga da ih koriste više, češće i s povjerenjem”, kaže Lučić. Međutim, on kao i Marija Boban dodaje da manu predstavljaju troškovi uvođenja GDPR-a, kao i “opasnost da će uvođenje GDPR-a usporiti ili čak odgoditi uvođenje suvremenih tehnoloških rješenja koja se zasnivaju na obradi privatnih podataka i/ili obradi i čuvanju velike količine podataka. Tipičan primjer su telekomunikacije i uvođenje komunikacije stroj – stroj (Machine-to-Machine – M2M) i interneta stvari (Internet of Things – IoT), temeljenih na 5G tehnologiji za npr. koncept pametnih gradova.”

Jedan framework za sve?

Zapitali smo se postoji li mogućnost da ovakav skup pravila postane dio svjetske scene i uđe u upotrebu u cijelom svijetu ukoliko se pokaže uspješnim na primjeru Evropske unije. Naši sagovornici ne samo da su potvrdili da je to moguće nego kažu da se to, zapravo, već i desilo. “U pravilu, ovo i jest ulazak na svjetsku scenu – na mala vrata”, ističe Boban, a Katulić objašnjava da Uredba već ima veliki utjecaj na kompanije sa sjedištem daleko od EU: “Njena primjena na takva poduzeća, ukoliko prate ili obrađuju podatke europskih građana i sudjeluju na europskom tržištu, osigurat će transfer pravnih standarda u zakonodavstva daleko od Unije, kako je bilo i s Direktivom koju je, primjerice, Argentina gotovo doslovno implementirala u vlastitom zakonodavstvu, a takvih primjera će sada biti mnogo više. Uredba je postala svjetski standard zaštite podataka i prije početka primjene.” Lučić ipak nije toliko uvjeren da bi isti framework bio odmah prihvaćen u cijelom svijetu. “Svakako da bi uspješno uvođenje GDPR-a u EU postalo jedan obrazac za primjenu u svijetu. No, ako i dođe do preslikavanja primjene GDPR-a, to će u idućih desetak godina biti ograničeno na manji dio svijeta i to onaj koji se gospodarski, zakonodavno i politički može usporediti s EU”, kaže on. GDPR nesumnjivo predstavlja dobru platformu za sigurniju cyber budućnost. Međutim, raznolikost stručnih mišljenja iznesenih u ovoj temi pokazuje da se treba vidjeti koliko je ta sigurnija budućnost zaista blizu.

Videonadzor i GDPR

Voditelj marketinga u Alarm automatici Siniša Radulović tvrdi da će Uredba imati veliki utjecaj na sisteme videonadzora, ali i na sve ostale sisteme pomoću kojih se skupljaju lični podaci. “Važno je prilagoditi procese i procedure te u svakome trenutku znati što se događa s informacijama – gdje se nalaze i na koji su način pohranjene, tko sve ima pristup, koje su procedure u slučaju zahtjeva za brisanjem podataka itd. Današnja tehnologija i softveri omogućavaju većinu stvari koje definira Uredba, ostalo će trebati nadograditi i prilagoditi pravilima”, kaže Radulović.

Jesu li se kompanije pripremile za GDPR?

Direktor prodaje u Sagena informatičkom inžinjeringu Tomislav Štefe smatra da su se kompanije trebale već pripremiti i vremenski definirati aktivnosti, jer vremena više nema mnogo: “Imate ogroman rast digitalne ekonomije i informacija općenito. Svake minute na Zemlji stvori se 1,74 petabajta novih podataka. U tih istih šezdeset sekundi izvedu se 244 kibernetička napada na razne osobe, institucije i kompanije. U toj jednoj minuti tim kompanijama, osobama i institucijama ukrade se gotovo četiri tisuće novih podataka, što je nešto više od pet milijuna podatkovnih zapisa u jednom danu!”, upozorava Štefe.

Pametni objekti već neko vrijeme ne pripadaju samo futurističkim filmovima i knjigama. Naprotiv, riječ je o tržištu za koje se predviđa rast vrijednosti na skoro 32 milijarde dolara do 2022. Međutim, hakerski napadi ne zaobilaze ni ovu industriju

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Početkom godine Alphabet, Google X razvojni centar, pokrenuo je Chronicle – vlastitu kompaniju koja će se baviti cyber sigurnošću na osnovu analize velikih podataka. Chronicle će se fokusirati na rano detektovanje sigurnosnih prijetnji pomoću mašinskog učenja i AI-ja, kao i analiziranje podataka vezanih za sigurnost unutar velikih korporacija s Fortune 500 liste, od kojih se neke bave i razvojem pametnih objekata. Novonastala kompanija tvrdi da je zahvaljujući korištenju Googleove infrastrukture u mogućnosti detektovati sigurnosne prijetnje brže i u većoj mjeri u odnosu na postojeće slične sisteme, što je, priznat ćete, dobrodošla vijest u doba svakodnevnih hakerskih napada.

Chronicle će u svoju uslugu uvrstiti i VirusTotal, popularnu mrežu za prijavljivanje malwarea koja prima više od milion prijava dnevno, a koju je Google kupio još 2012. godine. Iako još nisu otkriveni baš svi detalji vezani za novu kompaniju, njen osnivač Stephen Gillett obećava veću efikasnost kada je riječ o otkrivanju hakerskih napada na velike kompanije.

Pro i kontra

Iskorištavajući sve prednosti današnjeg modernog, povezanog društva, pametni objekti koriste senzore i digitalne kontrolere za automatizaciju svega, od klimatizacije do električne energije i nadzornih sistema. Kao rezultat toga, pametni objekti troše manje energije, ugodniji su za život i njima je lakše upravljati. Vlasnici objekata i menadžeri zaduženi za upravljanje počinju koristiti sisteme za pametne objekte kako bi poboljšali efikasnost rada i povećali udobnost korisnika. Upotreba ovog tipa tehnologije ne samo da u konačnici dovodi do značajnih ušteda nego može povećati i vrijednost same imovine pružanjem dodatnih usluga korisnicima objekta. To mogu biti personalizovana kancelarijska okruženja, umrežene konferencijske sale, intergrisana sigurnost i nadzor te inteligentna parkirališta. I treba naglasiti da iza nabrojanih prednosti stoje izvještaji dobijeni detaljnom analizom podataka u centralnim sistemima za upravljanje objektima. Jedan ovakav sistem, koji je često smješten u centru za podatke ili u cloudu, mora prvo biti povezan na sve glavne građevinske sisteme i senzorske uređaje, što se može uraditi pomoću SaaS rješenja zasnovanih na IoT-u, koji podatke vezane za neki pametni objekt smještaju u cloud.

Negativna strana jeste to što ovakvi objekti, nadopunjeni modernom tehnologijom, donose i povećan rizik od hakerskih napada – i to uglavnom jer kontroleri i IoT uređaji koji se u njima koriste obično rade na starijim operativnim sistemima koji godinama nisu zakrpljeni. Štaviše, oni međusobno komuniciraju putem nestandardnih protokola. Dakle, današnji sigurnosni sistemi nisu opremljeni da “razumiju” ove nestandardne protokole, tako da ne mogu na vrijeme ni prepoznati potencijalne sigurnosne prijetnje niti detektovati zlonamjerne aktivnosti unutar mreže. Isto tako, mnoga od spomenutih SaaS rješenja funkcionišu izvan IT procesa u kompanijama, što znači da je neophodna proaktivna zaštita od sigurnosnih prijetnji koja bi obuhvatala prostorije kupaca, internet i samo preduzeće.

Sigurnosni izazovi

Jedan od glavnih izazova predstavlja ometanje nadzornih sistema, pošto cyber kriminalci danas mogu s relativnom lakoćom preuzeti nadzor nad njima ili ih jednostavno isključiti. Zatim, tu je i sposobnost hakera da kritične fizičke sisteme stave van funkcije. Treći problem jeste preuzimanje kontrole nad umreženim IP uređajima. Naime, napadači mogu preuzeti kontrolu nad umreženim uređajima kao što su kamere kako bi došli do određenih podataka.

Većina sistema za pametne objekte je umrežena i njima se digitalno upravlja, uključujući grijanje, ventilaciju i klimatizaciju (HVAC), rasvjetu, elektroenergetske sisteme, liftove i protivpožarne alarme. Zatim, pametni objekti su nerijetko povezani s internetom stvari, uključujući IP kamere, detektore pokreta i ostale nadzorne sisteme, interne komunikacijske sisteme i još dosta doga. Na kraju, ne treba zaboraviti spomenuti i povezanost s IT sistemima, što obuhvata servere, laptope i radne stanice. Zaključak se sam nameće: ovolika umreženost uređaja u okviru jednog objekta pruža bezbroj prilika hakerima da s većom stopom uspjeha izvedu napade na odabranu metu. “Napadači uvijek traže najslabiju tačku koju će iskoristiti za napad, tako da sigurnost mora biti implemenirana istovremeno širom mreže”, potvrdio je Lior Kalev, stručnjak za IT sigurnost i šef odjela za rizik od cyber napada u Deloitteu.

Potencijalne sigurnosne prijetnje

Kada je riječ o mogućim sigurnosnim prijetnjama po pametne objekte, onda govorimo o sljedećem opasnostima:

Malware

Nažalost, iako sistemi pametnih objekata ne surfaju internetom i ne otvaraju e-mailove, ipak moraju biti dobro osigurani protiv zlonamjernog softvera koji se može “ugnijezditi” u korisničkim porukama. Ukoliko do ovoga dođe, mogu nastati ozbiljni problemi poput sabotiranja podataka, a može doći i do oštećivanja opreme. Pored toga, veoma je bitno osigurati se tako da malware ne može pristupiti sistemima objekta preko vanjskih diskova i USB-ova, jer mnogi smatraju da je na ovaj način bio prenesen i Stuxnet virus. I na kraju, podrazumijeva se da je neophodna zaštita ličnih uređaja koje koriste svi oni koji se žele povezati na sistem pametnog objekta preko korisničkog interfejsa. Objašnjenje za ovu predostrožnost sasvim je jednostavno: ukoliko korisnik pristupa sistemu preko svog, zaraženog uređaja, malware se može lako infiltrirati u pametne objekte.

Krađa identiteta

Veliku štetu organizaciji može nanijeti krađa identiteta ukoliko kradljivci steknu kontrolu nad administratorskim privilegijama, koje bi im omogućile da kontrolišu sistem kako požele. Do ovakvih situacija uglavnom dolazi u slučajevima kada sam administrator ili nepažljivi korisnik klikne na phishing e-mail i na taj način haker dođe do njegovih podataka za logiranje. Verizonov izvještaj o hakerskim napadima iz 2014. potvrdio je da će jedan od pet korisnika kliknuti na link koji se nalazi unutar phishing emaila, uprkos tome što se smatraju opreznim i svjesnim opasnosti koje im prijete u online sferi. Jednom kada na ovakav način uđu u mrežu, cyber kriminalci imaju gomilu mogućnosti na raspolaganju da vam naštete, od ubacivanja virusa, krađe podataka i udaljenog kontrolisanja sistema, pa do prisluškivanja i špijuniranja svih podataka koji se šalju iz kompanije. Neautorizovana osoba može se maskirati kao sistemski administrator ili povezati svoje uređaje na mrežu organizacije koji će glumiti legitimne uređaje, a da niko ne primijeti da je došlo do toga.

Krađa podataka

Baze podataka su veoma privlačna meta cyber kriminalcima, posebno ako sadrže privatne podatke koji se mogu lako preprodati na crnom tržištu. Osim baza koje sadrže lične podatke, cijenjene su i one koje sadržavaju akreditive koji će kriminalcima pomoći da pristupe fizičkom ili intelektualnom vlasništvu.

Mreže

Mreže u pametnim objektima mogu se suočiti s veoma naprednim, prikrivenim hakerskim napadima koji mogu zaobići tradicionalne metode detekcije. Tu se ubrajaju:

Botneti

Botneti su, zapravo, nizovi skripti i komandi ili je riječ o programima koji su dizajnirani da se povežu s nečim (uglavnom sa serverom) te da vrše različite funkcije. Iako bot sam po sebi ne mora nužno biti štetan, određeni zlonamjerni programi uspostavljaju botnete ukoliko dođe do proboja mreže. Rezultat je arhitektura za komandu i kontrolu koja je sposobna da širi zarazu unutar same mreže, što značajno otežava njeno “čišćenje” te stvara idealno okruženje za stvaranje štete, koja u ovakvom slučaju može biti znatno veća nego inače.

Hakeri i DDoS napadi

Pojedinim hakerima nije strana upotreba takozvane metode sile radi pristupa mreži. To nerijetko znači isprobavanje svih mogućih kombinacija lozinki unutar određenih parametara s ciljem dobijanja podataka za logiranje, a opet u cilju zaobilaženja verifikacije akreditiva u organizaciji. Nažalost, čak i mreže u pametnim objektima mogu biti meta DDoS napada koji se uglavnom odvijaju preko većeg broja računara i, samim tim, većeg broja učesnika. Oni najčešće koriste gore spomenute botnete, odnosno udaljene računare koji se nalaze pod njihovom kontrolom te preko njih šalju gomilu zahtjeva i stvaraju bespotreban saobraćaj, koji može toliko usporiti mrežu neke organizacije da na kraju postaje neupotrebljiva. Cyber kriminalci kreiraju botnete inficiranjem većeg broja, odnosno grupe računara malwareom koji im pruža udaljenu kontrolu nad njima i omogućava uslove za pokretanje napada.

Centri podataka i cloud

Kada je riječ o podatkovnim centrima i cloudu koji se koriste za upravljanje pametnim objektima, oni mogu biti podložni web-napadima. Naime, treba imati na umu da je neophodno osigurati i zaštititi web-stranice preko kojih različiti korisnici pristupaju pametnim objektima. Kako internet nastavlja rasti i razvijati se tako i hakerski napadi zasnovani na online strategijama i dalje predstavljaju prijetnju za mreže i osjetljive podatke. Sigurnosni stručnjaci, poput onih iz McAfee Laba, identifikovali su stotine hiljada novih oblika malwarea svakoga dana, a većina njih se širi putem interneta.

Slojeviti pristup sigurnosti

Rješenje ovih problema ne leži u jednom programu ili jednom obliku zaštite. Zahvaljujući širokom spektru sistema za objekte, aplikacija i korisnika, neophodno je uvođenje i uspostavljanje slojevitog sistema zaštite koji će spriječiti napade malwareom, ali i zaštititi sistem i korisnike od nepoznatih prijetnji.

Navest ćemo jedan primjer: stariji sistemi za objekte uglavnom nisu projektovani sa sigurnosnim funkcijama koje bi omogućile osiguranu komunikaciju preko zajedničke mreže. U ovakvim slučajevima IoT gateway se može iskoristiti za povezivanje sa ovim sistemima, nakon čega se podaci VPN-om mogu poslati do centra za podatke ili na cloud. Adi Dar, direktor IT sigurnosne kompanije Cyberbit, smatra da se na kraće staze ne bi trebalo oslanjati na previše fokusirana, neintegrisana rješenja za uopćene, velike probleme kada je riječ o cyber sigurnosti pametnih objekata.

Recimo, pošto se napad na energetski sistem pametnog objekta može otkriti mjesecima unaprijed, on smatra da treba uložiti u potpuno novu sigurnosnu arhitekturu koja omogućava pregled cjelokupnih mreža u objektima. A što se tiče dalje budućnosti, Dar misli da bi menadžeri pametnih objekata trebali poraditi na pojačavanju svijesti o opasnostima od hakerskih napada. Oni bi, prema njegovom mišljenju, morali početi planirati odbranu i raditi na jačanju otpornosti na cyber napade od prvog dana kada preuzmu neki pametni objekt pod svoju kontrolu. To bi trebali raditi u saradnji s renomiranim konsultantima i integratorima.

Dobra, bolja, najbolja sigurnost

Kako bismo sve navedeno stavili u neku perspektivu, reći ćemo da kao dobru sigurnost stručnjaci navode postojanje minimalnog paketa proizvoda koji će se moći izboriti s većinom modernih cyber prijetnji. Nešto bolja zaštita protiv hakerskih napada podrazumijeva već spomenuti osnovni paket plus opširniju i sveobuhvatniju zaštitu infrastrukture. Ovakav vid osiguranja obuhvata i osiguranje protiv šireg opsega cyber prijetnji.

I na kraju, najbolji metod osiguravanja pametnih objekata, prema mišljenju sigurnosnih stručnjaka, podrazumijeva postojanje spomenutog boljeg osiguranja uz kontekstualnu identifikaciju i uklanjanje prijetnji. Najbolji pristup sigurnosti uključuje integrisanje sigurnosnih podataka iz različitih izvora, kao što su firewalli, mreže, cloud, sistemi za pametne objekte i gatewayi. To bi značilo osiguravanje svih sistema u stvarnom vremenu kako bi se pokušale izbjeći bilo kakve katastrofe do kojih dolazi zato što mnogi i ne znaju da se napad već desio. Dakle, kako bi se spriječili hakerski napadi na sisteme pametnih objekata, neophodno je da umreženi uređaji i njihovi podaci budu otporni na sve potencijalne pokušaje onesposobljavanja i isključivanja sistema. I ne samo to: lanac nadzora morao bi ostati osiguran u cijelosti, počevši od samih uređaja, pa do cloud servisa i aplikacija koje kompanija koristi.

Koje su komponente sistema za pametne objekte pod najvećim rizikom od napada?

Na osnovu ankete koju je proveo Compass Intelligence, a objavilo Kontinentalno udruženje automatiziranih objekata (Continental Automated Buildings Association, CABA), u sisteme za objekte s najvećim rizikom od hakerskih napada spadaju sigurnosni sistemi sa 76% vjerovatnoće za napad, zatim senzorski sistemi s procijenjenim rizikom od 73%, a ne zaostaju ni sistemi za upravljanje osobljem i imovinom (69%) te energetski menadžment (65%). Prema ovom istraživanju, najmanju šansu da budu meta cyber napada imaju sistemi za upravljanje parkinzima, sistemi za rasvjetu te sistemi za upravljanje liftovima.

Kao i svi ostali trendovi, oni vezani za IT sigurnost također se mijenjaju iz godine u godinu. Prema prognozama stručnjaka, očekuje nas turbulentna godina kada je riječ o računarskoj sigurnosti, ali imamo i dobrih vijesti. Više o najnovijim trendovima u ovoj oblasti pročitajte u nastavku

Piše: Vesna Matić-Karić
E-mail: redakcija@asadria.com

Iako nam ni 2017. nije nedostajalo sigurnosnih izazova s kojima se valjalo izboriti, stručnjaci predviđaju da će se obični korisnici interneta, ali i kompanije i vlade, nastaviti susretati s istim izazovima i tokom ove godine. Tako su stručnjaci za ransomware, koji godinama stvara glavobolje na polju IT sigurnosti, rekli da će takva vrsta napada opet predstavljati veliki problem. Osim toga, ova godina će nam donijeti i formalno uvođenje Regulative o općoj zaštiti podataka u Evropskoj uniji (GDPR), što će itekako utjecati na metode pomoću kojih organizacije upravljaju ličnim podacima. GDPR je regulativa za jačanje i ujedinjavanje zaštite podataka za sve pojedince unutar Evropske unije.

Regulativa o općoj zaštiti podataka u Evropskoj uniji (GDPR)

Zapravo, predviđa se da će GDPR biti najvažniji faktor sigurnosti u 2018. godini. Za razliku od većine događaja vezanih za IT sigurnost, ovaj je potpuno predvidljiv, jer se na njemu radi skoro deceniju. I mada baš zbog te činjenice ne bi trebalo biti nikakvih iznenađenja za one kompanije čiji se poslovi obavljaju u EU, polovina firmi iz SAD-a još nije spremna za nove regulative koje će, između ostalog, podrazumijevati i to da one koje posluju s Evropom zaštite lične podatke ljudi s kojima sarađuju te da prijave sigurnosne propuste čim do njih dođe.

Ipak, jedno je sigurno: one kompanije koje ne budu usklađene s novim IT-sigurnosnim zahtjevima Evropske unije do 25. maja riskiraju gubitak svojih globalnih prihoda u visini od četiri posto – i to samo zbog novčanih kazni. Ključni trend koji je obilježio 2017. odnosio se na pojačanu upotrebu AI-ja, odnosno vještačke inteligencije u rješavanju problema koji se tiču IT sigurnosti, a predviđa se da će se s tim nastaviti u predstojećoj, 2018. godini. Što se tiče ostalih predviđenih trendova, krenimo redom:

Tehnologije za zbunjivanje hakera

Tehnologije zbunjivanja napadača (deceptivne tehnologije) relativno su nova pojava u IT-u, a mogu pomoći u detekciji, analizi i odbrani od hakerskog napada – i to uglavnom u realnom vremenu. Ove tehnologije unose u sistem kompanije veliki broj lažnih akreditiva, pa čim haker iskoristi neki od njih, sigurnosni tim dobija upozorenje o neovlaštenom ulasku u sistem. Na ovaj način se onemogućuje da napadači dođu do niza legitimnih akreditiva. Deceptivne tehnologije trebale bi doživjeti pravi procvat u toku ove godine, tvrdi sigurnosni stručnjak Matthew Gyde i to uglavnom zbog toga što senzori u okviru IoT-a donose neke nove opasnosti od hakerskih napada. Zato će se u 2018. kompanije okrenuti upravo ovoj metodi podizanja nivoa sigurnosti u svojim proizvodima tokom njihove razvojne faze.

Dostupnost višefaktorske autentifikacije malim firmama

Izgleda da će 2018. biti godina u toku koje će jednostavna rješenja za višefaktorsku autentifikaciju postati dostupna malim biznisima. Do sada je ona uglavnom bila nedostižna manjim firmama, ali s masovnijom pojavom i upotrebom pametnih telefona i softvera kao usluge predstavljena su nova, jeftinija rješenja višefaktorske autentifikacije, koja je tako postala pristupačna i za manje biznise. “Mnogi manji biznisi će usvojiti nova rješenja višefaktorske autentifikacije kako bi osigurali svoje važnije korisnike i njihove račune; 2018. će biti godina višefaktorske autentifikacije za male firme”, rekao je Corey Nachreiner, tehnološki direktor u WatchGuard Technologiesu.

Cyber sigurnost kao prilika za unapređenje poslovanja

Iako direktori kompanija hakerske napade uglavnom vide kao jedan od najvećih rizika kada je riječ o održavanju poslovanja, neki od njih će segment cyber sigurnosti posmatrati i kao šansu za inovaciju te pronalazak novih načina za zaradu, tvrdi Greg Bell, jedan od direktora u oblasti računarske sigurnosti u KPMG-u. Tokom ove godine, ali i kasnije, efikasne IT-sigurnosne mjere pomagat će kompanijama u transformisanju njihove sigurnosti i zaštite privatnosti u cilju poboljšanja poslovanja.

Postrojenja će nuditi napredna sigurnosna rješenja

Ako je vjerovati Renaudu Deraisonu, suosnivaču i tehnološkom direktoru kompanije Tenable, visokoprofilni hakerski napadi dovoljno su potresli direktore i menadžere fabrika, tako da će oni, prema njegovim riječima, zbog straha da bi i oni mogli biti meta – sami ponuditi napredna sigurnosna rješenja. Samoinicijativno će se povezati sa sigurnosnom industrijom kako bi samostalno pružili napredna rješenja za zaštitu od hakerskih napada.

DDoS napadi će postati finansijski isplativi

Sudeći prema riječima Johna Pescatorea, direktora odjela za nadolazeće sigurnosne trendove u SANS-u, DDoS napadi će postati finansijski isplativi koliko i krađe identiteta. Iako je do sada krađa identiteta bila najisplativiji “biznis” kojim se jedan haker može baviti, posljednjih godina napadi ransomwareom izazvali su podjednaku, ako ne i veću štetu. Sve se to dešava zbog većeg oslanjanja kompanija i pojedinaca na distribuirane aplikacije te cloud usluge, što opet dovodi do velikih gubitaka u slučajevima kada hakeri preuzmu kontrolu nad tim aplikacijama, informacijama ili sistemima.

Ukidanje broja socijalnog osiguranja

Previše brojeva socijalnog osiguranja bilo je u nedavnoj prošlosti kompromitovano da bi se moglo u njih pouzdati i da bi ih se moglo koristiti, tvrdi stručnjak za sigurnost Michael Sutton. “Ova će godina biti prekretnica za ukidanje broja socijalnog osiguranja. Trenutno je velika većina brojeva socijalnog osiguranja kompromitovana i više se ne možemo osloniti na njih – niti smo se ikada trebali oslanjati na njih”, rekao je Sutton.

Afrika ulazi na svjetsku scenu hakerskih napada

Prema riječima sigurnosnog stručnjaka Stevea Stonea iz IBM-ovog Xforce IRIS odjela za sigurnost, Afrika će postati žarište hakerskih napada, što se odnosi kako na napade na kompanije smještene na tom području tako i na napade koji će se vršiti sa samog kontinenta na mete u ostatku svijeta. Ovo je posljedica povećanog usvajanja novih tehnologija u svakodnevnom životu Afrikanaca, ekonomskog rasta te naglog porasta broja lokalnih cyber kriminalaca.

Neophodnost AI alata za borbu protiv AI prijetnji

Zamjenik predsjednika odjela za borbu protiv sigurnosnih prijetnji u IBM Securityju Caleb Barlow tvrdi da će nam AI alati biti neophodni za borbu protiv napada zasnovanih na AI-ju te da ćemo u toku 2018. svjedočiti rastu ovog tipa napada, jer će hakeri sve ćešće koristiti mašinsko učenje za imitiranje ljudskog ponašanja. “Igra mačke i miša između cyber kriminala i sigurnosnih inovacija ubrzo će eskalirati uključivanjem alata zasnovanih na AI-ju na obje strane”, tvrdi Barlow, naglašavajući da će industrija IT sigurnosti morati prilagoditi vlastite AI alate za borbu protiv novih prijetnji.

Obaveza pridavanja više pažnje računarskoj sigurnosti

Nova godina donosi primjenu prethodno spomenutog GDPR-a. Ova regulativa donosi niz pravila, između ostalog i to da se na svaku sigurnosnu prijetnju mora brzo odgovoriti, što će, kako tvrdi direktor BluVectora Kris Lovejoy, kompanije natjerati da shvate zašto ono što je do sada bilo “dovoljno dobro” neće više biti dovoljno. Naime, on smatra da prevelik broj profesionalaca ima “dovoljno dobro” filozofiju, prema kojoj je sasvim dovoljno svake godine malo nadograditi sistem i poraditi na zakrpama. Kris smatra da je to posljedica njihovog konformističkog načina razmišljanja, ali vjeruje da se ova praksa neće moći nastaviti i ove godine, s obzirom na to da će regulative, barem u EU, biti znatno strožije kada je riječ o sigurnosnim propustima.

Konzumerizacija računarske sigurnosti

Don Dixon, suosnivač i direktor kompanije Trident Capital Cybersecurity, tvrdi da će 2018. označiti početak konzumerizacije cyber sigurnosti. To znači da će potrošačima biti ponuđen objedinjen, sveobuhvatan i obiman skup sigurnosnih usluga koje će uključivati sve od antivirusa i zaštite od spywarea do praćenja zloupotrebe identiteta i vraćanja identiteta u slučaju da dođe do njegove krađe. Dixon smatra da je McAfee Total Protection, koji štiti identitet korisnika uz omogućavanje zaštite od virusa, zapravo rana, jednostavnija verzija onoga što će korisnicima biti ponuđeno tokom ove godine. Razlog za ovu novu ponudu leži u potrebi krajnjih korisnika da se osjećaju sigurnim u internetskoj sferi.

Ransomware će i dalje harati

Nažalost, predviđa se da će ransomware nastaviti zasipati kompanije osvježenim metodama napada. Andrew Avanessian, operativni direktor u kompaniji Avecto, tvrdi da će ovaj tip sigurnosne prijetnje biti konstanta. Inače, ni prošla godina nije protekla bez nekih jakih potresa koje je izazvao ransomware, pa ćemo 2017. definitivno zapamtiti po medijskim izvještavanjima o WannaCry i NotPetya ransomwareu.

Pojačana svijest o enkripciji

Razvit će se svojevrstan pritisak i volja da se svugdje u industriji uvede potpuna (end-to-end) enkripcija podataka prije nego što se oni pošalju preko HTTPS-a. “U industriji će postati jasnije da HTTPS ne nudi dovoljno dobru sigurnost i sveobuhvatnu enkripciju”, rekao je Darren Guccione, direktor i suosnivač Keeper Securityja.

Zdravstveni podaci bit će veoma cijenjeni na crnoj berzi

Izgleda da opet možemo očekivati hakerske napade na zdravstvene ustanove, jer stručnjaci ne predviđaju pad njihove popularnosti u očima cyber kriminalaca. Osim vrijednosti podataka, koji se lako mogu preprodati na crnom tržištu, još jedan razlog zbog kojeg hakeri ni ove godine neće odustati od napada na zdravstvene ustanove leži u činjenici da se medicinski uređaji teško nadograđuju i da često rade na starijim operativnim sistemima, čiju je odbranu lakše probiti.

Kriptovalute postaju novo igralište za kradljivce identiteta

Nažalost, izgleda da ćemo svjedočiti brojnim prevarama, hakerskim napadima i pranju novca širom tržišta kriptovaluta. Ovo će, prema procjeni sigurnosnih stručnjaka, dovesti do većeg fokusa na verifikaciji identiteta i na kraju, pretpostavlja se, rezultirati legislativom koja će biti fokusirana na utvrđivanje identiteta trgovaca. Sve će ovo biti logična posljedica rasta vrijednosti kriptovaluta, što će hakere i privući ovom tržištu.

Povratak politike nultog povjerenja

Sigurnosni stručnjaci smatraju da će se velike kompanije, uglavnom zbog sve većeg broja sofisticiranih hakerskih napada, vratiti politici “ne vjerujemo nikome” i da će uvesti rigorozne mjere autentifikacije, uz ograničavanje broja ljudi koji mogu pristupiti njihovim sistemima. Međutim, u ovakvim situacijama treba uzeti u obzir i moguće blokade zbog uvođenja novih sigurnosnih mjera te razna odugovlačenja prilikom obavljanja neophodnih zadataka, zbog čega će se organizacije okrenuti korištenju sistema zasnovanih na cloudu. Ovaj metod bi trebao ubrzati proces autentifikacije i verifikacije.

Robo-lovci

Već spomenuti stručnjak za cyber sigurnost Matthew Gyde smatra da će tokom 2018. godine kompanije početi koristiti usluge automatiziranih pronalazača sigurnosnih prijetnji, koje je on nazvao robolovcima, a koji mogu samostalno donositi odluke umjesto ljudi i ljudskih sigurnosnih timova. Zahvaljujući vještačkoj inteligenciji, robolovci će neprekidno skenirati sisteme kompanije u potrazi za bilo kakvim promjenama koje bi mogle otkriti novu sigurnosnu prijetnju. Najbitnije je to da ovi botovi uče na osnovu svega što otkriju i tek onda poduzimaju odgovarajuću akciju. Uvođenje AI-ja u čitav proces detektovanja potencijalnih sigurnosnih prijetnji omogućit će većem broju kompanija da pređu iz proaktivnog na predskazujuće ponašanje kada je riječ o očuvanju računarske sigurnosti u njima.

Nada na horizontu

Iako su pojedini spomenuti trendovi poprilično depresivni, nije sve baš ni tako crno. Za početak, lozinke će napokon početi doživljavati pad popularnosti kao primarno sredstvo autentifikacije korisnika prilikom svakodnevnog korištenja računara i mobilnih uređaja. Naime, Microsoft već uveliko radi na integrisanju biometrije u proces autentifikacije i to u obliku koji će se moći koristiti u kompanijama. Višefaktorska autentifikacija već je uveliko u upotrebi i koriste je najveći igrači poput Microsofta, Applea, Samsunga i Googlea u svojim proizvodima. Tako organizacije koje ulažu u višefaktorsku autentifikaciju, bilo putem biometrije, pametnih kartica, kodova ili neke druge metode, značajno smanjuju rizik od krađe podataka. Osim toga, iako smo već naveli da će kriptovalute biti meta hakerskih napada, rizik od istih mogao bi se barem privremeno umanjiti zbog činjenice da vrijednost kriptovaluta u posljednje vrijeme opada, pa bi upravo ta situacija mogla nakratko preusmjeriti pažnju hakera na neke druge oblasti.

Hakerski napadi treći najvjerovatniji globalni rizik

Kada govorimo o općim prijetnjama globalnoj ekonomiju, cyber napadi se nalaze na trećem mjestu, odmah iza ekstremnih vremenskih uslova i prirodnih katastrofa, stoji u izvještaju o globalnim rizicima Svjetskog ekonomskog foruma za 2018. godinu. Ovo je prvi put da su se hakerski napadi našli među top pet globalnih rizika još od 2014. Učesnici Ekonomskog foruma smatraju da su stoga potrebna veća ulaganja u upravljanje cyber rizikom. Forum je također objavio i vodič za najbolje prakse kada su u pitanju alati za IT sigurnost, koji je namijenjen upravnim odborima.