Umjetna inteligencija snažna u informacijskoj sigurnosti

O promjenama i trendovima u području informacijske sigurnosti, razgovarali smo s jednom od najvećih domaćih stručnjakinja Biljanom Cerin, direktoricom Ostendo Consultinga. I da nema tu floskula da li je riječ o muškom biznisu, jer iskreno ovdje se jedino broji znanje.

Prema njezinim riječima umjetna inteligencija ima sve više utjecaja iako se rješenja koriste već dulje vrijeme, međutim praksa nam govori da se napredne AI funkcionalnosti gore spomenutih rješenja u pravilu više koriste za pasivno promatranje ponašanja entiteta na IT sustavima nego za donošenje izvršnih odluka poput blokiranja korisnika, akcija. „Jednostavno, pouzdanost AI donesenih odluka nije još dostigla do te mjere primjenjivu razinu“, ističe Biljana Cerin.

U kojem se smjeru danas uz razvoj AI kreće informacijska sigurnost?

Već se desetljećima u polju informacijske sigurnosti koriste tehnologije koje se danas ubrajaju u Machine Learning i Artificial Intelligence. Praktički svako tehničko rješenje s područja sigurnosti koje se bavi analizom podataka hvali se nekom vrstom mogućnosti učenja. Antivirusni sustavi se na Bayesovoj shemi zaključivanja oslanjaju još od sredine prošlog desetljeća a i danas se velika većina sigurnosnih rješenja koja se nazivaju umjetnom inteligencijom svode na rutine za izračun vjerojatnosti temeljene na obradi velikih količina podataka. Danas ćemo uobičajeno ovakve metode u sretati u DLP sustavima za sprječavanje curenja povjerljivih podataka, SIEM sustavima za naprednu obradu logova, IPS sustavima za prevenciju neovlaštenog upada u IT sustave.

Imamo li na umu da je zadnjih godina the buzzword u IT-u bio BI i DWH, potpuno je jasno da je globalno stjecanje iskustva u obradi velikih količina podataka rezultiralo i poboljšavanjem algoritama, kako u smislu kvalitete, tako i u smislu brzine. Ipak, praksa nam govori da se napredne IA funkcionalnosti gore spomenutih rješenja u pravilu više koriste za pasivno promatranje ponašanja entiteta na IT sustavima nego za donošenje izvršnih odluka poput blokiranja korisnika, akcija i sl. Jednostavno, pouzdanost AI donesenih odluka nije još dostigla do te mjere primjenjivu razinu. Odličan primjer je primjena AI kod DLP rješenja.

Umjetna će inteligencija s velikom dozom točnosti identificirati kanale komunikacije povjerljivih podataka no definirate li politiku koja brani komunikaciju takvih podataka nedozvoljenim putanjama susrest ćete se s lavinom problema. Ako svaki dan ispravno propusti milijun podataka i neispravno blokira njih 15, DLP će biti (s pravom) optužen za ometanje normalnog odvijanja poslovnih procesa. Ispada da od umjetne inteligencije očekujemo daleko veću točnost nego od vlastite.

Kakvi su svjetski trendovi i trendovi  u Hrvatskoj i regiji?

AI alati su u pravilu skupi i kompleksni za korištenje. Ulaziti u kupnju takvih alata bez jasnog projekta implementacije, bez da znamo što točno taj alat mora analizirati, gdje se to nalazi i što alat mora napraviti u slučaju da uoči sigurnosni rizik, je bacanja novaca. Pored toga, ispravna primjena DLP-a, SIEM-a i sličnih rješenja u pravilu zahtijeva osobu ili tim koji se tome može posvetiti. U regiji uglavnom svjedočimo da je odluka o kupnji ovakvih alata rezultat kombinacije nerazumijevanja neke regulative i slatkorječive ponude vendora. Vrlo rijetke u regiji su organizacije koje u takva rješenja investiraju zbog duboko razvijene svijesti u riziku kojem su izložene.

GDPR je dotaknuo sve i potaknuo sve i na razmišljanje o sigurnosti pa tako informacijskoj sigurnosti. Što se sve događalo?

Tako bi to trebalo biti, ali nije. Gotovo da ne postoji organizacija u Hrvatskoj koja je radi GDPR-a povećala razinu sigurnosti osobnih podataka. Činjenica je da GDPR ne navodi što točno organizacije moraju napraviti kako bi osigurale dovoljnu razinu zaštite osobnih podataka. Oni koji su do sada sustavno zanemarivali zaštitu podataka, to čine i dalje. Oni koji su prema osobnim podacima bili odgovorni, odgovorni su i dalje.

Sustavno zanemarivanje sigurnosti srećemo svugdje i nema nekog pravila na koje bismo se mogli osloniti. Razina informacijske sigurnosti ovisi o korporativnoj kulturi koju promiče uprava. Kakva uprava - takva i sigurnost. Svakim danom naša se ovisnost o IT sustavima povećava. Svakim danom, manipulacija ovim sustavima može nam prouzročiti sve veću štetu. Hoćemo li naučiti prije nego nam se to dogodi? Teško.

Na IT tržištu problem je naći kvalitetne ljude. Što je s IT stručnjacima na području sigurnosti gdje danas treba imati multidisciplinarna znanja i uz to iskustvo?

Hrvatski val razvoja infosec kadrova pojavio se sredinom prošlog desetljeća i onda je stao. Potaknulo ga je uglavnom uvođenje obveze upravljanja operativnim rizikom u financijskom sektoru i usvajanje britanske norme BS 7799 kao ISO 27001 i ISO 27002. Veliki broj tada stasalih stručnjaka je napustio Hrvatsku, pa se danas suočavamo sa ozbiljnim nedostatkom iskusnog infosec kadra. Obrazovne institucije su identificirale ovaj problem i ponudile programe edukacije mladih infosec inženjera, no to je nešto što će nam pomoći tek za desetak godina.

U ovom je poslu iskustvo od presudne važnosti pa se od svakog infosec stručnjaka pored formalne edukacije očekuje i barem 5 godina iskustava u struci. Stručni certifikati poput CISSPa, CISMa i CISAe daju dodatno jamstvo razumijevanja materije, no malo je Hrvata koji se njima mogu pohvaliti ostalo u Hrvatskoj. Infosec stručnjak mora vidjeti široku sliku s organizacijske, poslovne i tehnološke strane. Mi smo uvijek otvoreni za nove ljude i nove ideje u ovom području u koje ćemo rado investirati i vrijeme i novac i znanje.

U kojem se smjeru u Hrvatskoj razvija segment informacijske sigurnosti?

Problem je što su vrata većine hrvatskih organizacija gotovo u potpunosti zatvorena za inovativne infosec proizvode iz Hrvatske. I dok velike razvijene zemlje zapada odustaju od uvozne infosec tehnologije, mi radimo upravo obrnuto. Gotovo svaki infosec proizvod u Hrvatskoj je razvijen van Hrvatske. Dio tih proizvoda razvijali su i naši stručnjaci koji su poslovnu sreću i podršku svojoj ljubavi prema infosecu pronašli u nekoj drugoj zemlji poput Irske, Amerike ili Izraela.

Svega je nekoliko tvrtki u Hrvatskoj koje su se odlučile baviti razvojem infosec proizvoda, a ni jedna od njih ne bi se održala zahvaljujući vjernosti hrvatskih klijenata. S druge strane, stotine pa i tisuće tvrtki u Hrvatskoj vrlo uspješno posluju prodajući na našem tržištu strana infosec rješenja. Dobar potez u smjeru poticanja razvoja infosec industrije u Hrvatskoj bi bio omogućiti inovativnim rješenjima inicijalne, pilot primjene u kontroliranim okruženjima hrvatskih tvrtki, kako bi stekli onu najvažniju, prvu referencu, nužno potrebnu za daljnji iskorak na tržištu.