»Hekerji gredo vedno tja, kjer je denar«

31. marca obeležujemo mednarodni dan varnostnega kopiranja podatkov. Gre za iniciativo, ki že od leta 2011 opozarja na pomembnost zaščite podatkov in informacij v digitalni obliki, namenoma pa se je vzpostavila dan pred 1. aprilom, t. i. dnevom norcev, saj so z njo želeli opozoriti, da si danes nihče več ne bi smel privoščiti z levo roko jemati digitalnih groženj.

Dejstvo je namreč, da svet danes sloni na podatkih. Ti so tisti, ki nam podajajo informacije na podlagi katerih sprejemamo odločitve v zasebnem in poslovnem svetu. Za primerjavo, kako se je svet spremenil v zadnjih 10 letih: leta 2010 se je na svetu ustvarilo približno 2 zetabajta – to je 2 milijardi terabajtov – digitalnih informacij, leta 2020 pa ta količina znaša že 4 zetabajte. Če bi te podatke namestili na USB-ključe kapacitete 1 gigabajta, bi jih lahko postavili v vrsto vzdolž 368 milijonov nogometnih igrišč.

Izguba podatkov lahko nosi zelo hude posledice

Podatki torej danes predstavljajo eno najbolj vrednih stvari tako za posameznika kot podjetje oziroma organizacijo. Vse premalokrat pa z njimi ravnamo dovolj odgovorno. V primeru izgube so namreč lahko posledice zelo hude. V največ primerih, zlasti, ko govorimo o podjetjih, izguba lahko pomeni finančen udarec, v najhujših primerih celo propad. V primeru posameznika, pa lahko nosi tudi psihološke posledice – zlasti, če je prizadeto ime posameznika.

Varnostna kopija tu predstavlja le nek higienski minimum, ki bi mu moral zadostiti vsak, ki na svojih napravah ali v oblaku hrani karkoli pomembnega. Te informacije so namreč na dnevni ravni izpostavljene več nevarnostim, katerih se morda niti ne zavedamo. Najprej so tudi fizične grožnje v obliki odpovedi ali okvare opreme, ki lahko povzroči nepovratno izgubo digitalnega imetja. Še večjo nevarnost pa predstavljajo spletni napadalci, ki v teh informacijah vidijo finančno korist. Poglejmo le nekaj številk.

Ste vedeli, da hekerji izvedejo napad vsakih 39 sekund? Da se naši računalniki in telefoni vsak dan branijo pred 2244 poskusi napadov? To je le nekaj statističnih podatkov, ki kažejo, da je naše digitalno imetje v vsakem trenutku podvrženo številnim nevarnostim in da lahko tudi vsak od nas hitro postane del te statistike.

Z ozaveščenostjo do boljše zaščite

Z željo po dvigu ozaveščenosti na tem področju so se zato v komunikacijski agenciji Sidera odločili organizirati strokovni posvet na temo informacijske varnosti CyberSafe. Na posvetu so v razpravi sodelovali strokovnjaki s področja informacijske varnosti dr. Uroš Svete, direktor uprave RS za informacijsko varnost, Milan Gabor, etični heker in strokovnjak za informacijsko varnost, doc. dr. Miha Dvojmoč, profesor na Fakulteti za varnostne vede in predsednik Detektivske zbornice, mag. Gašper Cotman, direktor projektov v podjetju Huawei Technologies in Zoran Vehovar, član poslovodstva družbe Telemach, dogodek pa je povezoval izkušeni tehnološki novinar Anže Tomić.

Za začetek je dr. Uroš Svete izpostavil negativen trend, ki ga je potrjuje državno poročilo o kibernetskih napadih in incidentih – spletni napadi so vsako leto pogostejši: »V Sloveniji imamo dva odzivna centra za odgovore na kibernetske incidente. Nacionalni odzivni center Sicert in organ državne uprave Sigovcert, ki deluje znotraj Ministrstva za javno upravo. In skupno smo na obeh v lanskem letu obravnavali 3326 kibernetskih incidentov. Če te številke primerjamo s preteklimi leti, ugotavljamo, da se je v 12 letih samo na Sicertu povečalo število obravnavanih dogodkov s 325 leta 2008 na 2700 leta 2019. Gre za eksponencialno rast števila obravnavanih incidentov, pri čemer bi opozoril, da gre le na vrh ledene gore. Mnogi incidenti se namreč ne prijavijo.«

Neposodobljena oprema je enako odklenjenim vhodnim vratom

Etični heker Milan Gabor je razložil, da so v veliki meri za takšne številke krivi neposodobljeni in neustrezno vzdrževani informacijski sistemi: »Podjetja in organizacije postavijo sistem, potem pa nanje pozabijo in se z njimi ne ukvarjajo več. Dokler ni prepozno. Če so sistemi aktivni in jih nekdo uporablja, jih je treba obvezno posodabljati. Za to pa seveda rabite dovolj ljudi.«

Izpostavil je aktualen primer izdelka Exchange Server, enega najbolj razširjenih strežnikov za elektronsko pošto, vodenje koledarjev in stikov: »Pri njem je bilo nedavno ugotovljenih več kritičnih ranljivostih, ki se lahko izkoristijo za krajo informacij in šifriranje podatkov, pri tem pa so bila ogrožena vsa omrežja v katera so bili ti strežniki priključeni. Kljub številnim pozivom, naj uporabniki tega strežnika čim prej posodobijo sistem, je danes še vedno nezaščiten velik odstotek teh strežnikov. To pa je tako, kot bi vlomilcem pustil odklenjena in odprta vrata. Realna slika je, da gredo hekerji tja, kjer je denar. In danes smo lahko priča številnim primerom, kjer se napadalci prek neposodobljene opreme relativno enostavno dokopljejo do podatkov, zašifrirajo podatke in začnejo izsiljevati za denarno odkupnino.«

»Skoraj nihče ni pripravljen vložiti v preventivo, nikomur pa ni problem 10-krat dražja kurativa«

Dr. Miha Dvojmoč je k temu, kot vodja detektivske agencije, pristavil še svoje videnje iz prakse: »Na žalost je tako, da marsikdaj v podjetjih enostavno ni volje za urejanje teh stvari. Ko se o tem pogovarjamo z lastniki podjetji, dostikrat dobimo občutek, da se jim zdi 3.000 do 5.000 evrov nepotreben strošek za področje informacijske varnosti. Seveda preden pride do kakšnega incidenta. Po incidentu pa naenkrat tudi 30.000 ni več noben problem. Pri analizi smo ugotovili, da napadalci tarče izberejo zelo premišljeno. Ciljajo podjetja, za katere vedo, da imajo dovolj denarja in da zaradi zaščite ugleda imena ne bodo prijavila incidenta. Prav zato mislim, da so tovrstni dogodki, kot je današnji, še kako pomembni, saj prispevajo k ozaveščenosti in razkrivanju tovrstnih nevarnosti.«

Dr. Uroš Svete je ob tem izpostavil še, da je delo na daljavo v preteklem letu še dodatno izpostavilo kakšno ranljivost in povečalo potencial za napade zlasti na treh področjih: v bančništvu, zdravstvu in raziskovalno-izobraževalnem sektorju: »Bančništvo je že tradicionalna tarča napadov, saj si tam kibernetski kriminalci obetajo največje koristi in vidijo možnost, da uresničijo svoje cilje, sploh ko gre za izsiljevalske viruse. Zdravstveni sektor je bil, predvsem v tujini, delno pa tudi v Sloveniji, tarča tudi  z vidika, da se je izjemno povečala njegova družbena vloga in pomen. Raziskovalno-izobraževalni sektor pa z vidika, ker je postal ena ključnih moči za sodobne družbe.«

Z vidika državne uprave pa je še omenil, da se ob predsedovanju Evropski uniji, ki ga Slovenija prevzema sredi tega leta, lahko pričakuje še večjo izpostavljenost kibernetskim napadom.

Ali se lahko zaščitimo?

Strokovnjaki so bili sklepčni, da nevarnosti in napadalci prežijo v vsakem kotičku interneta, so dobro poučeni in le čakajo priložnost, da lahko »skočijo« v sistem. Seveda pa obstajajo tudi načini, kako se vsaj do neke mere pred njimi zaščititi.

»Prva stvar, ki jo lahko nastavi vsak, so ustrezna gesla. Opažamo namreč, da veliko podjetij na svojih sistemih uporablja privzeta gesla. Torej gesla, ki pridejo s samim sistemom, nastavitvami ali pa so posledica nekega testnega delovanja. In ta gesla so dostikrat tudi vstopna točka v sama omrežja. Gre za šibka, enostavna gesla, ki jih lahko napadalec ugotovi v relativno kratkem času. Naslednja stvar so neustrezno zaščiteni in po možnosti neposodobljeni strežniki, ki so odprti na internet, čeprav bi morali biti skriti. In nenazadnje, enega od ključnih problemov, ki se navezuje na vse prej omenjene elemente, predstavlja kadrovska podhranjenost. Kot je izpostavil že kolega Dvojmoč, podjetja enostavno niso pripravljena vložiti dovolj v sistemsko vzdrževanje. Lahko imajo odlično opremo, ustavi pa se pri človeških virih, ki bi jo vzdrževali in konstantno nadzorovali dogajanje na strežnikih,« je Milan Gabor podrobno opisal pomanjkljivosti, ki jih opaža v praksi svojega dela.

Včasih je bolje uporabiti analogne rešitve

Dr. Miha Dvojmoč pa je dodal, da je pri določenih postopkih celo stopiti korak nazaj in se poslužiti, kakšne starejše metode, ki ne vključuje digitalne komunikacije: »Lansko leto smo na primer transportirali neko občutljivo zadevo po slovenskih železnicah in smo se odločili, da ne bomo uporabljali naprav. V praksi je to pomenilo komunikacijo s papirjem in svinčnikom. Na ta način smo na enostaven način zaobšli potencialne nevarnosti, na katere bi morali iti pozorni v digitalni obliki.«

Pri Huawei je kibernetska varnost prednostna naloga

Podroben vpogled v to, kako za informacijsko varnost dejansko skrbijo v podjetjih, sta ponudila mag. Gašper Cotman iz podjetja Huawei Technologies in Zoran Vehovar iz podjetja Telemach. Mag. Cotman je izpostavil, da je za podjetje Huawei kibernetska varnost prednostna naloga, ki jo uresničujejo v celotnem življenjskem ciklu vseh svojih izdelkov in procesov: »V zadnjih 30 letih je naše storitve in opremo uporabljalo že več kot 3 milijarde ljudi po celem svetu, podpiramo pa tudi stabilno delovanje več kot 1500 telekomunikacijskih operaterjev v več kot 170 državah in trgih, na katerih smo prisotni. In to vidimo kot izkaz zaupanja uporabnikov v naše kibernetske standarde po celem svetu, tudi v Sloveniji. Želel bi poudariti, da v vseh teh letih nismo imeli resnih varnostnih incidentov in to bo naša prioriteta tudi v prihodnje.«

Ob tem pa je poudaril še, da v podjetju kibernetske varnosti ne vidijo le kot tehničnega vprašanja. Kot je povedal, učinkovita kibernetska varnost zahteva zelo dobro usklajen trikotnik med izdelki, procesi in ljudmi. Zato v podjetju Huawei veliko delajo na izobraževanju kadra, prav tako pa velik pomen dajejo certificiranju in revidiranju njihovih rešitev s strani zunanjih entitet. V podjetju so zavezani k zagotavljanju skupne digitalne prihodnosti z odprtim, transparentnim in vključujočim pristopom na področju kibernetske varnosti.

Izobraževanje lahko naredi veliko, vendar more biti v navezi s tehničnimi rešitvami

Podobno mnenje pa je delil tudi Zoran Vehovar, predstavnik podjetja Telemach, ki je velik zagovornik izobraževanja in ozaveščanja: »Kar zadeva naše zaposlene, ves čas skrbimo za ustrezna izobraževanja. Je pa treba izobraževanja uporabljati v kombinaciji s tehničnimi sredstvi. Na primer blokiranjem odpiranja priponk, s čimer se lahko prepreči velik del socialnega inženiringa.«

Velik pomen pa pripisuje tudi zaščiti uporabnikov. Kot telekomunikacijski operater, ki zagotavlja fiksni in mobilni širokopasovni dostop, sicer ne morejo posegati v promet in filtrirati vsebine, saj to ni v skladu z zakonodajo in načeli internetne nevtralnosti, vseeno pa se trudijo svojim uporabnikom pomagati na druge načine: »Naša vloga je, da izobražujemo in svetujemo po najboljših močeh. Ponujamo pa tudi rešitve v obliki aplikacij. Ena takšnih je na primer EON Connect, prek katere lahko uporabnik nadzira domače omrežje in filtrira neželene vsebine. Prav tako vsem našim uporabnikom polagamo na srce, naj uporabljajo protivirusno zaščito in požarne zidove. Seveda pa tudi ščitimo samo integriteto omrežja, torej omrežje kot celoto.«

Za informacijsko varnost ni dovolj le varnostna kopija

Ob koncu dogodka so se vsi strokovnjaki strinjali, da neko osnovo zaščite podatkov, zagotovo predstavljajo varnostne kopije. »Če lahko gre kaj narobe, bo narobe tudi šlo,« je dr. Dvojmoč navedel znan Murphyjev zakon in dodal, da je zato treba biti vedno pripravljen.

»Varnostna kopija predstavlja neke vrste alternativo glavnemu komunikacijskemu in informacijskemu sistemu ter hranjenju podatkov v tem sistemu iz katere lahko sistem postavimo nazaj na noge, če se mu kaj zgodi. Seveda pa je pomembno tudi, kje se nahajajo varnostne kopije. Če so vse na istem mestu, nam v primeru požara v strežniški sobi nič kaj dosti ne pomagajo,« je opozoril dr. Svete. Milan Gabor pa je izpostavil, da so varnostne kopije prav tako pomembne za same hekerje: »V Sloveniji smo že imeli primere, ko so napadalci zašifrirali tako osrednji sistem, kot varnostne kopije. Tudi na nadomestni oddaljeni lokaciji.«

Prav zato informacijske varnosti ne gre gledati zgolj z enega vidika, pomembno je videti celostno sliko in pokrpati vse morebitne luknje preden jih odkrijejo nepridipravi.