Sajber bezbjednost je način prakse koji
osigurava integritet, povjerljivost i dostupnost informacija u računarskim
sistemima. Takođe, predstavlja sposobnost odbrane i oporavka od nezgoda kao što
su kvar hard diskova ili nestanaka struje, kao i zaštite od neprijateljskih napada
na računarske sisteme. Napadi na računarske sisteme podrazumijevaju sve vrste
prijetnji računarskom sistemu, počevši od amaterskih skripti, hakera, pa do
kriminalnih organizacija.
U poslovnom okruženju, sajber bezbjednost bi
trebala biti na vrhu prioriteta i glavna instrukcija od strane menadžmenta
firme. Menadžment firme treba da spozna da su svi sistemi izgrađeni na
određenim sigurnosnim standardima i da su zaposleni radnici pravilno obučeni. Krhkost
informacija u današnjem informacionom svijetu zahtjeva jaku sajber zaštitu i
kontrolu, jer programski kod može sadržavati greške, a te greške nekad mogu
biti sigurnosni propusti. I programeri su ljudi, nakon svega.
SIGURNOSNI
TRENING. Čovjek se smatra najslabijom karikom u
svakoj strategiji sajber bezbjednosti, pa se sigurnosni trening sprovodi od
samog početka: Programeri se uče da odgovorno programiraju, od osoblja za obuku
se traži imaju visoke prolazne zahtjeve, od korisnika se traži da prepoznaju
„pecanje“ (Phishing) i socijalni inžinjering – sajber bezbjednost počinje sa
podizanjem svijesti.
Svaka kompanija će doživjeti neku vrstu napada,
pa čak i ona sa jakom kontrolom i zaštitom. Napadač će uvijek iskoristiti
najslabiju kariku u sistemu, pa poštujući osnove sajber bezbjednosti, možemo zaustaviti
priličan broj napada. Ovo je jedna vrsta „higijene“ praveći paralelu sa
hirurgom koji ne ulazi u operacionu salu dok nije izvršio dezinfekciju ruku,
tako treba imati praksu da se važne
informacije zaštite jakom autentifikacijom i da se ne ostavljaju tamo gdje su
dostupne svima.
Dobra strategija sajber bezbjednost ipak treba
i mora ići dalje od osnovne zaštite. Sofisticirani sajber napadi mogu zaobići većinu
obrambenih mehanizama, jer površina napada (broj načina na koje napadač može
dobiti pristup zaštićenom sistemu) raste zajedno sa veličinom firme.
VRSTE
SAJBER ZAŠTITE. Spektar sajber bezbjednost
je širok. Osnovne kategorije će biti navedene ispod, a dobra strategija sajber
bezbjednost bi ih trebala uzeti sve u obzir.
Kritična Infrastruktura.
Ova kategorija podrazumijeva fizičke sisteme na koje se oslanja čitavo društvo,
što uključuje električnu mrežu, vodosnabdijevanje, saobraćaj i bolnice. Ako
uključimo elektranu na Internet,
primjera radi, ona postaje ranjiva na sajber napade. Rješenja koja
implementiraju organizacije odgovorne za zaštitu ključnih infrastruktura trebalo
bi da daju smjernice i manjim firmama kako da zaštite svoju „ključnu
infrastrukturu“ i da razviju planove za nepredviđene situacije.
Mrežna Sigurnost.
U ovoj kategoriji se vodi računa o zaštiti od neovlaštenog pristupa kao i o
zaštiti od širenja zlonamjernih radnji. Ovdje se često radi i o kompromisima:
Nekad je potrebno pristup zaštiti provjerom identiteta, što opet usporava
produktivnost. Alati koji se koriste za nadgledanje mrežne sigurnosti generišu
ogromne količine podataka, nekad toliko da se prava opasnost ne može stići
pravovremeno odrediti. Zbog toga u velikim informatičkim sistemima, sigurnosni
timovi se oslanjaju na mašinsko učenje da bi mogli odrediti prijetnje u realnom
vremenu.
Bezbjednost U Oblaku.
Migracijom poslovanja u Oblak, pojavili su se novi sigurnosni izazovi. Često
smo bili svjedoci krađe podataka zbog loše podešenih migracija u Oblaku.
Provajderi usluga u Oblaku rade na stvaranju sigurnosnih alata koji omogućavaju
da firme bolje i bezbolnije urade migraciju u Oblak i osiguraju svoje podatke,
ali činjenica je: Migracija u Oblak nije dozvola za odustajanje od brige za
sajber bezbjednošću.
Aplikacijska Bezbjednost.
Bezbjednost aplikacija, posebno web aplikacija je najslabija tehnička tačka za
napad. Ova vrsta sajber zaštite počinje sa dobrom praksom prilikom pisanja koda
same aplikacije i treba biti proširena testiranjem aplikacija na hakerske
napade.
Bezbjednost Internet Stvari.
Internet stvari (Internet of things - IoT) podrazumijeva širok spektar
kritičnih i sporednih sistema kao što su: razne vrste uređaja, senzori,
printeri i sigurnosne kamere. Ova kategorija uređaja dolazi često u ranjivom
stanju i naknadno dobija nešto ili skoro ništa sigurnosnog ažuriranja,
stvarajući prijetnju ne samo za korisnika uređaja, već i za ostatak Interneta –
ovi uređaju često postanu botnet mreže. Ovo je jedinstven sigurnosni izazov i
za korisnike i za čitavo društvo.
VRSTE
SAJBER NAPADA. Generalno, sjaber prijetnje
se mogu svrstati u tri osnovne kategorije:
1. Napad Na Povjerljivost.
Krađa ili tačnije kopiranje privatnih informacija je način na koji mnogi sajber
napadi počinju. Ovdje možemo govoriti o prevari sa kreditnom karticom, krađi
identiteta ili krađi kriptovaluta. Glavni način rada državnih obavještajnih
agencija je prikupljanje povjerljivih informacija radi postizanja političke,
vojne ili ekonomske koristi, u čemu ih slijede i kriminalne organizacije.
2. Napad Na Integritet.
Ova vrsta napada je poznatija kao sabotaža, a ima za cilj da pokvari, ošteti
ili uništi informacioni sistem i osobe koje se oslanjaju na njega. Ove vrste
napada mogu biti suptilni (dodati slovo/broj ovamo, promijeniti riječ tamo) ili
rušilačke kampanje sabotaže. Izvršioci sabotaže se kreću od običnih amatera do
državno sponzorisanih napadača.
3. Napad Na Dostupnost.
Onemogućavanje korisnika da pristupi svojim podacima je danas često viđeno u
obliku ransomware-a i DDoS (distributed denial-of-service) napadima.
Ransomware enkriptuje korisničke
podatke i zahtjeva otkup za njihovu dekripciju, dok se DDoS napadima mrežni resursi preplave zahtjevima čineći resurs
nedostupnim za upotrebu.
SREDSTVA
SAJBER NAPADA. U nastavku su opisana
sredstva kojim se izvršavaju sajber napadi:
Socijalni inžinjering.
Napadač neće hakovati kompjuter, ako može hakovati čovjeka. Ovaj pristup
koristi predviđanje ljudskog ponašanja da bi se izvela prevara i dokazano je
veoma uspješan način za hakere da „uđu“ informativni sistem firme. Ako prevarom
dođe posebno oblikovan link od Facebook-a ili LinkedIn poznanika i korisnik u
firmi povjeruje u to i klikne na njega, mnogi mehanizmi zaštite neće imati
efekta. Jednom kada se haker domogne validnih pristupnih lozinki, on se može
prijaviti i pregledati povjerljive podatke. U drugom slučaju, napadač će prići
korisniku i pitati ga da mu pomogne da uđe u firmu, do neke beznačajne
kancelarije iz ovog ili onog razloga. Tokom prolazaka će koristi razne tehnike
da se domogne pristupnih kodova ili sigurnosnih kartica. Sa validnim pristupnim kodovima ili izrađenom
karticom, fizički će pristupiti podacima, ukrasti sredstva ili povrijediti
ljude.
Pecanje.
Pecanje je vrsta sajber napada gdje je glavno oružije elektronska pošta. Ovdje
je cilj prevariti primaoca elektronske pošte da je ona nešto što mu treba –
zahtjev od banke ili dopis od šefa – kako bi korisnik kliknuo na link i predao
osjetljive informacije (najčešće korisničko ime i lozinka) ili preuzeo prilog
elektronskoj pošti koji je ustvari posebno pripremljen dokument sa zlonamjernim softverom. Čak i pametni, dobro obučeni korisnici mogu biti „upecani“ ovom vrstom
napada, pa je ovdje preporučeno koristiti dvostepenu autentifikaciju (2FA) i
provjeravati validnost elektronske pošte sa pošiljaocem.
Ne Ažuriran Softver.
Teško je okriviti nekog iz IT službe ako napadač iskoristi zero-day ranjivost -
bezbjednosti propust u softveru koji je
još uvijek nepoznat proizvođaču tog softvera ili proizvođačima antivirusa. Ali,
ne instalirati dostupno ažuriranje je već nemarnost. Ako prođu mjeseci ili čak
godine od objave sigurnosnog ažuriranja, a ono nije primijenjeno je čista
poslovna i društvena neodgovornost.
Prijetnje Društvenih Mreža.
Kada je u pitanju ova vrsta prijetnje, stvar je da su zaposleni radnici u firmi
ujedno i korisnici društvenih mreža, bilo privatno kod kuće ili zbog poslovne
komunikacije sa korisnicima. Stvar je u tome da korisnici često otkrivaju mnogo
više o sebi nego što su uopšte svjesni, pa hakeri često po javno dostupnim
informacijama na profilu korisnika mogu procijeniti da li tu ima interesa za
napad. Primjera radi: Ako korisnik radi na određenoj poziciji u finansijama i
stalno objavljuje na Twitter-u nešto vezano za kućnog ljubimca, haker tada može
pecanjem napasti korisnika šaljući mu posebno pripremljen link sa popustom na
hranu za njegovog ljubimca ili ako neko sa LinkedIn naloga koji je povezan sa
100 vaših profesionalnih kontakata počne postavljati o vašem poslu – nalog je
možda kloniran, a ćutanje je zlato. Ako ste interesantni nekome, treba
očekivati špijunažu sa društvenih mreža – kako industrijsku tako i državno
sponzorisanu.
Napredna trajna pretnja.
Napredna trajna pretnja (Advanced persistent threat - APT) je skup skrivenih i
trajnih hakerskih procesa. Napredni proces naglašava sofisticirane tehnike
korištenja zlonamjernog softvera u iskorištavanju ranjivosti računarskih
sistema. Trajni proces sugeriše na spoljni komandno-kontrolni (C&C) sistem
koji kontinuirano prati i izvlači podatke iz određene mete. Pretnja ukazuje na
ljudsko učešće u organizovanju i sprovođenju napada. Ako se vaša firma bavi poslom
u koji je uključeno vrijedno intelektualno vlasništvo, vi ste meta.
KARIJERA U SAJBER BEZBJEDNOSTI.
Za sprovođenje dobre sajber bezbjednosne strategije potrebno je imati prave
ljude na pravim mjestima. Zahtjevi za ljudima iz sfere sajber bezbjednosti
nikad nisu bili veći, počevši od C-nivoa (najviši nivo rukovodilaca) do
sigurnosnih inžinjera na prvim linijama zaštite. Lideri u bezbjednosti firme su
se uspjeli smjestiti u sam menadžment, jer je zaštita podataka firme postala
ključna za poslovanje. Uloge su postale sve više specijalizovane, dok polako
nestaju sigurnosni stručnjaci koji rade više poslova. Navedene uloge su osnovni
temelj svakog sigurnosnog tima:
Glavni Bezbjednosni Oficir.
Glavni bezbjednosni oficir (Chief Security Officer – CSO) je C-nivo (najviši
nivo) rukovodilaca u velikim firmama, koji mora da uspostavi ravnotežu u
sistemu kako bi zaštito okruženje. Krupni prekršaji u pogledu sigurnosti mogu
da naude firmi, te CSO stručnjaci vide sigurnost kao realnu prijetnju i
nastavljaju sa investiranjem u nju. Tehnologija je drastično kompleksnija svake
godine i presudno je da CSO razumije nivo njene složenosti i bori se za
neophodan budžet za tu svrhu unutar firme.
Sigurnosni analitičar.
Posao sigurnosnog analitičara zavisi od potreba firme ili grane industrije u
kojoj radi. Ipak, posmatrajući globalno mogu se izdvojiti sledeće uloge:
– zaštita informacija (obuhvata: zaštitu od gubitka podataka i klasifikaciju podataka)
– zaštita od prijetnji (obuhvata: sigurnosne
informacije i upravljanje događajima, analizu ponašanja korisnika, izdvojeni
softver kao npr. antivirus, detekcija upada u sistem / zaštita od upada u
sistem i penetracijsko ispitivanje sistema.
Navedene uloge sigurnosnog analitičara pored
tehničkih i opštih vještina zahtijevaju određene certifikate ili određeni
stepen obrazovanja.
Sigurnosni arhitekta.
Sigurnosni arhitekta je radnik višeg nivoa, odgovoran za planiranje,
organizaciju, dizajn, konfiguraciju, testiranje, implementaciju, održavanije i
podršku kada su u pitanju uređaji u firmi i mrežna sigurnost. Pored tehničkih i
opštih vještina zahtijevaju se određeni certifikati ili određeni stepen obrazovanja,
kao pet ili više godina rada na sličnim poslovima.
Sigurnosni inžinjer.
Ovo je relativno nova poslovna uloga u IT-u, čije su odgovornosti još u procesu
razvoja. Trenutno ovaj posao podrazumijeva dizajn, izgradnju i odbranu
skalabilnog, sigurnog i robusnog sistema; rad na operativnom data centrima i
mrežama; pomoć organizacijama da razumiju napredne prijetnje (APT) i pomoć u
stvaranju strategije zaštite sistema. Kao i prethodni poslovi i ovdje su
potrebni određeni certifikati ili određeni stepen obrazovanja uz poznavanje
standarda kao što su ISO 27000, ISO 9001 i FedRAMP.