Kibernetička sigurnost u posljednja je dva desetljeća dobila čitav niz novih normi, regulativa i obveza, ali način upravljanja rizicima nije se promijenio jednakom brzinom. Organizacije danas raspolažu sofisticiranijim alatima i većim količinama podataka, no istodobno sve više vremena i novca troše na dokazivanje usklađenosti. Stanko Cerina, direktor Ostendo Consultinga i suosnivač startupa IVERIOS za ICTbusiness Media – ICTbusiness.inf ističe kako je omjer ulaganja u compliance i revizije postao nerazmjerno velik u odnosu na resurse usmjerene prema stvarnoj kibernetičkoj otpornosti. Takvu ocjenu temelji na više od 25 godina iskustva u informacijskoj sigurnosti i radu s kompleksnim međunarodnim i regionalnim organizacijama. Savjetovao je klijente poput MGM Resortsa, Stanford University Hospital and Clinics, Zillowa, Amgena i Mercka, ali i Podravke, HEP-a, PBZ-a, Addiko banke, Telemacha, A1 i Elektroprivrede BiH.
Prema njegovu mišljenju, generativna umjetna inteligencija prvi put pruža stvarnu priliku za promjenu načina na koji organizacije procjenjuju rizike, analiziraju sigurnosne kontrole i provode regulatorne obveze. Upravo na toj ideji nastaje IVERIOS, platforma zamišljena kao AI pomoćnik koji kontinuirano uči kako organizacija funkcionira te razumije njezine procese, sustave, odgovornosti, regulativu i rizike. Prvi konkretan rezultat tog razvoja jest ITrevizija.hr, AI-native platforma za provođenje samoprocjene kibernetičke sigurnosti, analizu dokaza i izradu izvješća u skladu sa Zakonom o kibernetičkoj sigurnosti.
On pritom naglašava da umjetna inteligencija ne može preuzeti odgovornost uprava, CISO-a, revizora i drugih stručnjaka, nego im treba omogućiti brže, objektivnije i sveobuhvatnije donošenje odluka. U intervjuu za ICTbusiness.info govori o kraju ere klasičnih GRC alata, pouzdanosti AI procjena, zaštiti najosjetljivijih poslovnih podataka i budućnosti u kojoj bi umjetna inteligencija trebala preuzeti compliance, a ljudima vratiti upravljanje rizikom.
Znamo se već desetljećima. Savjetovali ste za klijente poput MGM Resorts, Stanford University Hospital and Clinics, Zillow, Amgen, Merck, ali i brojne regionalne napredne tvrtke poput Podravke, HEP, Aminess, Liburnia, PBZ, Addiko bank, Telemach, A1, Elektroprivreda BiH. Kako je u tom periodu napredovalo upravljanje kibernetičkom sigurnošću?
U više od 25 godina rada u području informacijske sigurnosti, od čega posljednjih petnaest uglavnom za vrlo kompleksne organizacije na globalnoj razini, nisam vidio značajan napredak u načinu na koji upravljamo kibernetičkom sigurnošću.
Od ISO 27001, NIS2, DORA i GDPR-a pa do brojnih sektorskih regulativa u zdravstvu, energetici, automobilskoj industriji i zrakoplovstvu... Svi oni uvode neka pravila i sva ta pravila imaju smisla, ali…
Nijedna regulativa s kojom sam se u životu susreo nije uvela ništa novo, a pogotovo ne revolucionarno.
Ono što su uvele je dodatna kompleksnost u upravljanju usklađenošću i fokus na usklađenost i prikupljanje dokaza. I tako danas organizacije značajne resurse troše kako bi dokazale da su usklađene po raznim normama i regulativi za informacijsku sigurnost, umjesto da te iste resurse troše na upravljanje rizikom i podizanje stvarne razine kibernetičke sigurnosti. Naravno, radi se i jedno i drugo, ali omjer uloženih resursa u compliance i audit je nerealno velik u odnosu na resurse koji se ulažu u postizanje kibernetičke otpornosti.
Dolazi li vrijeme promjena u upravljanju rizikom kibernetičke sigurnosti? Danas mnoge organizacije troše više vremena na dokazivanje da upravljaju rizikom nego na samo upravljanje rizikom.
Osjećam da polako završava era klasičnih GRC alata koji su uz velika ulaganja na kraju pružali malu korist klijentima, a njihov je utjecaj na kibernetičku sigurnost blago rečeno – minimalan.
Prije dvije godine sam po prvi put uočio priliku koja stvarno može donijeti ozbiljne promjene. Nešto što bi (tada još u teoriji) moglo revolucionirati upravljanje rizikom kibernetičke sigurnosti – umjetna inteligencija.
Revolucija je snažna riječ. Možete li objasniti na čemu točno radite?
IVERIOS (https://iverios.eu) je startup koji danas balansira između znanstvenog istraživanja i primjene umjetne inteligencije na jedan drugačiji način. Razvijamo sustav koji kontinuirano uči kako organizacija funkcionira – njezine procese, odgovornosti, tehnologije, regulativu i način upravljanja rizicima. Model ne učimo ručno pravilima. Njegovo razumijevanje organizacije gradi se iz dokumentacije, komunikacije i načina na koji se rizicima upravlja u praksi.
Što više radi s organizacijom, to bolje razumije njezin kontekst. Ova platforma zamišljena je kao AI pomoćnik za poslove upravljanja rizikom – netko tko razumije organizaciju za koju radi, njezine IT sustave, upravljanje, odgovornosti, poslovne procese i rizike, prati promjene u okruženju rizika, predlaže i prati provedbu plana upravljanja rizikom, a da pritom nitko ne mora učiti kako se on koristi. Jedan od naših ciljeva je da korisnik ne mora učiti novi sustav. To zovemo zero-friction pristupom. AI bi se trebao uklopiti u postojeći način rada organizacije i komunicirati kroz alate koje zaposlenici već koriste.
I ono što je najzanimljivije, ova platforma nije ograničena samo na područje kibernetičke sigurnosti. Jednom kada razumije kako organizacija funkcionira, isti se koncept može primijeniti na gotovo svako područje upravljanja rizicima i usklađenošću. To je dugoročna vizija i svjesni smo koliko je ambiciozna. No upravo zato smo krenuli graditi sustav korak po korak, rješavajući konkretne probleme koji danas postoje na tržištu.
Iza ovog projekta stoje već dvije godine intenzivnog razvoja. Kažete da IVERIOS nije gotov. Imate li nešto gotovo?
Da sve ne bi ostalo na teoriji i znanosti, odlučili smo prvo riješiti jedan vrlo konkretan problem. Donošenjem Zakona o kibernetičkoj sigurnosti velik broj hrvatskih organizacija dobio je obvezu redovitog provođenja samoprocjena kibernetičke sigurnosti, analize uspostavljenih kontrola i izrade izvješća u skladu sa smjernicama Zavoda za sigurnost informacijskih sustava. Odmah smo prepoznali da je upravo to područje u kojem umjetna inteligencija može donijeti stvarnu vrijednost.
ITrevizija.hr prvi je proizvod razvijen na principima na kojima gradimo IVERIOS. To nije chatbot koji odgovara na pitanja, već AI-native platforma koja razumije dokumentaciju organizacije, analizira dokaze o uspostavljenim kontrolama, procjenjuje usklađenost sa zahtjevima Zakona o kibernetičkoj sigurnosti i automatski izrađuje izvješća. No tu posao ne završava. Platforma identificira područja za poboljšanje, predlaže prioritetne aktivnosti, izrađuje projektni plan i prati njegovu provedbu.
Danas ITreviziju koriste neke od sigurnosno najzahtjevnijih hrvatskih organizacija. Nama je to prije svega potvrda da koncept na kojem gradimo IVERIOS funkcionira u praksi. ITrevizija je prvi korak. IVERIOS je dugoročna vizija – umjetna inteligencija koja će organizacijama pomoći da upravljaju rizicima jednako prirodno kao što danas koriste elektroničku poštu ili uredske alate.
Kako organizacija može biti sigurna da AI ispravno razumije njezinu dokumentaciju, poslovne procese i stvarno stanje sigurnosnih kontrola?
Ovo pitanje pogađa u samu srž postojanja ovog projekta. Upravo je pouzdanost ono čime se intenzivno bavimo zadnje dvije godine. Iako se u pozadini koriste iste tehnologije, velika je razlika između ITrevizija.hr i generičkih AI asistenata ili chatbota. Preko dvadeset godina iskustva u upravljanju rizikom i usklađenošću za najkompleksnije svjetske klijente ugradili smo u način razlučivanja koji koristi ova platforma. Ona zna za koju situaciju joj trebaju kakve informacije, i kako ih razlučiti od svih ostalih podataka.
Što se događa kada su dokumenti nepotpuni, međusobno proturječni ili ne odgovaraju stvarnom stanju u organizaciji? Kako sprječavate da model donese pogrešan zaključak, previdi važan rizik ili korisniku ponudi uvjerljivu, ali netočnu preporuku?
Najbolji odgovor na ovo pitanje možemo dati kroz konkretan primjer provođenja samoprocjene kibernetičke sigurnosti korištenjem ITrevizija.hr. Kad korisnik uploada dokumente i/ili odgovore na pitanja, modeli će ih analizirati i ocijeniti. Korisniku će jasno reći što nije dovoljno dobro objašnjeno, a što je. Sustav se kod svakog takvog obraćanja korisniku referencira na konkretne elemente dostavljenih dokaza (npr. citate iz politika, sadržaj log zapisa i sl.). Naravno da je korisnik taj koji treba pročitati odgovor, po potrebi dopuniti dokaze i na kraju odobriti ili po potrebi ažurirati nalaz.
Tko snosi odgovornost ako AI pogrešno procijeni razinu usklađenosti ili kibernetičkog rizika?
Kao i kod bilo koje druge primjene umjetne inteligencije, krajnju odgovornost uvijek snosi čovjek. Prednost korištenja platforme je u tome što olakšava i ubrzava rad, osigurava objektivnost, skalabilnost i sveobuhvatnost procjene. Ne postoji čovjek koji može proučiti toliko materijal kao AI.
Može li se organizacija pred regulatorom ili revizorom pozvati na procjenu AI sustava ili konačna odgovornost uvijek ostaje na upravi, CISO-u i drugim odgovornim osobama? Gdje povlačite granicu između preporuke koju daje platforma i odluke koju mora donijeti čovjek?
Pred regulatorom procjenu mora potvrditi čovjek. Revizorima je pak ovakvo rješenje idealna pomoć u njihovom radu.
IVERIOS mora obrađivati neke od najosjetljivijih podataka o organizaciji. Kako rješavate pitanje njihove zaštite, povjerljivosti i tehnološkog suvereniteta?
Gdje se podaci pohranjuju, koriste li se za dodatno treniranje modela i može li organizacija kontrolirati kojim informacijama sustav pristupa? Koliko su za vaše korisnike važni lokalna obrada podataka, privatni modeli i mogućnost rada unutar njihove vlastite infrastrukture?
Zaštita podataka je od samog početka ugrađivana kao integrirani element platforme. Povjerljivi podaci se kriptiraju na razini pojedinih polja u bazama podataka, a mi ih kao vlasnici sustava ne možemo dekriptirati bez vlasnika. Smješteni su u sigurnim datacentrima, isključivo na području EU. Obzirom da korisničke podatke ne možemo vidjeti, ne možemo ih ni koristiti za treniranje, niti nam je treniranje modela nešto što bi ovisilo o korisničkim podacima.
ITrevizija.hr omogućava potpuno oslanjanje na naše privatne modele koji mogu biti unutar naše SaaS arhitekture, ali isto tako i kod korisnika ukoliko raspolaže odgovarajućim GPU resursima.
Tvrdite da AI može osloboditi stručnjake administrativnog rada, ali može li dugoročno stvoriti novu ovisnost i oslabiti znanje unutar organizacije?
Svaka primjena AI donosi taj rizik, no ja ga ovdje vidim u pozitivnom svjetlu. Obzirom na vrlo ograničene security resurse kojima organizacije danas raspolažu, utjecaj umjetne inteligencije će puno više ići u smjeru nadoknađivanja manjka resursa, nego slabljenja znanja.
Postoji li rizik da zaposlenici prestanu kritički procjenjivati nalaze jer vjeruju preporukama sustava? Kako osigurati da AI bude pomoćnik stručnjacima, a ne zamjena za razumijevanje rizika i razvoj internih kompetencija?
Dugoročno očekujem upravo suprotno – da će AI postati toliko dobar u razumijevanju poslovnih procesa, IT sustava, rizika i regulative da će biti racionalno osloniti se na njegove preporuke. To neće smanjiti potrebu za stručnjacima, nego će promijeniti njihovu ulogu: manje će vremena trošiti na tumačenje regulative, a više na razumijevanje poslovanja, određivanje prihvatljive razine rizika i donošenje odluka. Cilj platformi poput ITrevizija.hr i IVERIOS nije zamijeniti ljudsku prosudbu, nego omogućiti da se ona koristi tamo gdje donosi najveću vrijednost.
Kako ćete dokazati da AI-native pristup doista povećava kibernetičku otpornost, a ne samo ubrzava izradu izvješća i prikupljanje dokaza?
Brža izrada izvješća sama po sebi ne povećava sigurnost. Prava vrijednost AI-ja je u tome što može kontinuirano obraditi neusporedivo više podataka nego čovjek, povezati poslovne procese, IT sustave, rizike, regulatorne zahtjeve i dokaze te mnogo ranije uočiti odstupanja i nove rizike. Time se stručnjaci za kibernetičku sigurnost oslobađaju administrativnog compliancea i mogu se usredotočiti na ono što doista povećava otpornost organizacije – upravljanje rizicima i unapređenje sigurnosti.
Koje pokazatelje pratite kod korisnika ITrevizije – vrijeme potrebno za samoprocjenu, broj otkrivenih nedostataka, brzinu provedbe mjera ili smanjenje stvarnih sigurnosnih incidenata? Imate li već rezultate koji pokazuju konkretnu razliku u odnosu na klasične GRC alate i savjetničke procese?
Razlika je zapravo mnogo dublja od same brzine. Klasični GRC sustavi zahtijevaju dugotrajno i skupo početno modeliranje – definiranje kataloga kontrola, mapiranje zahtjeva različitih regulativa, prilagodbu procesa organizaciji te kontinuirano održavanje te baze znanja. Takvi sustavi u pravilu ne razumiju kako kontrole funkcioniraju u praksi, već vode evidenciju o tome koje kontrole postoje i kojim regulatornim zahtjevima odgovaraju.
ITrevizija koristi potpuno drugačiji, AI-native pristup. Ona razumije kako sigurnosne kontrole funkcioniraju, kako su povezane s poslovnim procesima i IT sustavima te koje dokaze treba analizirati kako bi procijenila njihovu stvarnu učinkovitost. Zbog toga nije potrebno višemjesečno konfiguriranje niti ručno mapiranje različitih regulativa. Sustav može odmah analizirati dostavljene dokaze i odgovoriti na praktički svako pitanje iz područja kibernetičke sigurnosti, neovisno o tome proizlazi li ono iz NIS2, ISO 27001, DORA-e, GDPR-a, TISAX-a ili bilo kojeg drugog regulatornog ili industrijskog okvira.
Već danas analiza dokaza za jedno pitanje traje manje od jedne minute, pri čemu AI obradi između 10 i 50 stranica dokumenata, log zapisa, konfiguracija, dashboarda i drugih dokaza. Rezultat nije samo odgovor, nego strukturirani popis pozitivnih i negativnih nalaza s jasnim referencama na konkretne dijelove dostavljenih dokaza, tako da korisnik uvijek može razumjeti zašto je AI donio određeni zaključak i provjeriti njegovu ispravnost.
Vjerujemo da upravo tu leži najveća razlika u odnosu na klasične GRC alate. Dok oni upravljaju katalogom kontrola i mapiraju regulatorne zahtjeve, ITrevizija razumije svrhu i način rada sigurnosnih kontrola te procjenjuje njihovu stvarnu učinkovitost. Zato ne odgovara samo na pitanje je li neka kontrola evidentirana, nego može procijeniti štiti li organizaciju od rizika zbog kojih je ta kontrola uopće uvedena.
Kako vidite budućnost upravljanja kibernetičkom sigurnošću?
Prvi put u povijesti imamo tehnologiju koja može razumjeti kontrole, politike, procedure, regulativu i dokaze napisane prirodnim jezikom. Upravo zato vjerujem da se sada događa promjena koju prethodne generacije GRC alata jednostavno nisu mogle ostvariti.
Ako se moja procjena pokaže točnom, za koju godinu više nećemo govoriti o AI alatima za compliance. Svaka će organizacija imati vlastitog AI kolegu koji razumije njezino poslovanje, prati rizike i predlaže sljedeći korak. Ljudi će i dalje donositi odluke, ali više neće trošiti dane na prikupljanje informacija i administraciju. Vjerujem da je upravo to sljedeća velika promjena u upravljanju kibernetičkom sigurnošću.
Vrijeme je da umjetna inteligencija preuzme compliance, a ljudi ponovno upravljanje rizikom.
