NIS2 tek ulazi u stvarnu provedbu

Kibernetička sigurnost jedna je od rijetkih disciplina u kojoj se prihvatljiva razina zaštite može vrlo brzo pretvoriti u nedovoljnu. Organizacije zato ne mogu zrelost procjenjivati samo kroz broj kupljenih alata ili jednokratnu usklađenost s propisima. Kako za ICTbusiness Media - ICTbusiness.info ističe Saša Jušić, član Uprave i Principal Information Security Consultant u Infigo IS-u, razina sigurnosti ovisi o industriji, složenosti sustava, upravljačkoj kulturi i spremnosti na ulaganje. U Hrvatskoj posljednjih godina raste svijest o rizicima, dijelom zbog novog zakonskog okvira, a dijelom zbog većeg broja incidenata. Najčešće slabosti Jušić vidi u nejasnim odgovornostima, manjku kompetentnih stručnjaka i nedovoljno uređenim procesima.

Tehnički se to vidi kroz sporo zakrpavanje, slabu autentikaciju, neadekvatan nadzor i nedovoljno zaštićene sigurnosne kopije. NIS2 je promijenio način na koji uprave gledaju na sigurnost, ali pravi izazov tek je provedba. Umjetna inteligencija istodobno snižava prag znanja potreban za napad i povećava potrebu za automatizacijom obrane. Tržištu posebno nedostaju iskusni stručnjaci koji mogu povezati tehnički incident s poslovnim posljedicama. U razgovoru Jušić govori o sektorima pod najvećim pritiskom, ljudima, testiranju oporavka i mjerama koje bi Hrvatska trebala provesti u sljedeće tri godine.

Kako ocjenjujete kibernetičku zrelost hrvatskih organizacija?

Davanje općenitih ocjena o razini zrelosti i stanju kibernetičke sigurnosti u organizacijama, bez jasno definiranog opsega i kriterija evaluacije, prilično je nezahvalno, i to iz više razloga.

Razina kibernetičke sigurnosti pojedine organizacije ovisi o nizu čimbenika, uključujući industriju u kojoj posluje, njezinu veličinu i složenost, razinu osviještenosti menadžmenta, spremnost organizacije na ulaganja u zaštitu od kibernetičkih prijetnji i sl. Situaciju dodatno komplicira i iznimna dinamičnost samih kibernetičkih prijetnji. One se kontinuirano mijenjaju i razvijaju, a razvoj umjetne inteligencije donosi nove mogućnosti, ali i nove sigurnosne izazove.

Zbog toga je teško dati općenitu i dugoročno relevantnu ocjenu stanja sigurnosti. Ono što se danas smatra odgovarajućom razinom zaštite, već sutra možda neće biti dovoljno.

Ono što se, međutim, može zaključiti jest da organizacije u Republici Hrvatskoj posljednjih godina posvećuju sve više pažnje zaštiti od kibernetičkih prijetnji te da se sredstva namijenjena kibernetičkoj sigurnosti kontinuirano povećavaju.

Razloga za to je više. Svakako treba istaknuti novi regulatorni okvir, odnosno Zakon i Uredbu o kibernetičkoj sigurnosti, koji su obuhvatili velik broj organizacija iz različitih sektora. Jednako tako, povećan broj sigurnosnih incidenata značajno je pridonio podizanju svijesti o stvarnim rizicima i potencijalnim posljedicama kibernetičkih napada.

Stoga se može zaključiti da se razina zrelosti i svijesti o kibernetičkoj sigurnosti u hrvatskim organizacijama postupno povećava. Uz pretpostavku da se raspoloživa sredstva ulažu promišljeno i u odgovarajuće mjere, može se očekivati i kontinuirano podizanje ukupne razine kibernetičke otpornosti organizacija.

Koje slabosti najčešće vidite?

Na organizacijskoj razini, ključni nedostaci najčešće uključuju nejasno definirane uloge i odgovornosti u području kibernetičke sigurnosti, nedovoljan broj kompetentnih i iskusnih stručnjaka te nedostatak odgovarajućeg upravljačkog okvira s jasno definiranim pravilima, procesima i zahtjevima za primjenu mjera kibernetičke sigurnosti.

Iz toga proizlazi cijeli niz tehničkih nedostataka kao što su neredovito i parcijalno ažuriranje sustava sigurnosnim zakrpama, nedostatak kvalitetnih alata i procesa za kontinuirani nadzor sigurnosti informacijskih sustava, korištenje slabih lozinki i jednofaktorske autentikacije za pristup kritičnim sustavima, nedovoljno zaštićeni backup sustavi, neredovito ili površno provođenje sigurnosnih testiranja, itd. Općenito kao jedan od glavnih izazova može se izdvojiti nedostatak prave kibernetičke higijene te predanosti i discipline u provođenju pojedinih zadataka. Na taj način dolazi do previda, propusta, a onda i do incidenata.

Danas su gotovo sve organizacije izložene riziku od kibernetičkih napada. Ovisno o tome radi li se o financijski motiviranim napadima, geopolitički motiviranim aktivnostima, kibernetičkoj špijunaži ili nekim drugim oblicima prijetnji, mete se mogu razlikovati. Međutim, u konačnici gotovo svaka organizacija, bez obzira na industriju u kojoj posluje ili svoju veličinu, može postati žrtvom kibernetičkog napada.

Ako ipak moramo izdvojiti posebno izložene sektore, među njima bih istaknuo proizvodnju, sektor zdravstva, mala i srednja poduzeća (SME), energetski sektor, odvjetnička društva i sl. Za razliku od, primjerice, financijskog ili telekomunikacijskog sektora, ovo su sektori koji nemaju značajniju povijest strožih regulatornih okvira i zahtjeva za provođenjem mjera kibernetičke sigurnosti pa i njihova izloženost u tom dijelu može biti veća.

U konačnici, kada govorimo o financijski motiviranim napadima, poput ransomwarea, logika napadača je vrlo jednostavna napast će tamo gdje mogu ostvariti financijsku korist. Industrija, veličina organizacije ili lokacija često nisu presudni, presudno je postoji li prilika za zaradu.

Drugim riječima, napadači ne biraju uvijek najzanimljiviju metu, često biraju najlakšu priliku.

Koliko je NIS2 već promijenio praksu?

Dosta. Kao i svaki drugi regulatorni okvir, NIS2, odnosno Zakon o kibernetičkoj sigurnosti (NIS2 je transponiran u Zakon o kibernetičkoj sigurnosti) prisiljava organizacije na uspostavu određenih mjera kibernetičke sigurnosti, što zasigurno u konačnici rezultira podizanjem razine kibernetičke sigurnosti.

Definiranje obveznih mjera, pravila i zahtjeva kao i uspostava nadzora nad njihovom provedbom, zasigurno stvara određeni pritisak koji od organizacija zahtjeva veću agilnost i ozbiljniji pristup upravljanju kibernetičkim rizicima. Donošenje takvih zakonodavnih okvira često podrazumijeva i određene posljedice u slučaju neispunjavanja propisanih zahtjeva, što onda podiže i razinu vidljivosti ovakvih tema prema najvišem menadžmentu. Aktivnija uključenost menadžmenta automatski bi trebala dovesti do većeg fokusa, pa u konačnici i većih budžeta za pitanja kibernetičke sigurnosti.

Koji su najveći tehnički rizici?

Korištenje slabih autentikacijskih mehanizama na ključnim sustavima, sustavi za koje nisu pravovremeno primijenjene sigurnosne zakrpe, nedostatak kvalitetnih alata za otkrivanje  detekciju neovlaštenih sustava (AV/EDR), nezaštićeni backup sustavi, neadekvatan dizajn i tehnička arhitektura sustava itd. Sigurno bi ih se našlo još, ali ovo su zasigurno neki.

Rekao bih da je ovo jako dobro pogođeno. Ovo su zasigurno neki od ključnih problema s kojima se organizacije susreću, a dodatni izazov predstavlja i činjenica da se svako od ovih područja sastoji od niza dodatnih mjera niže razine o kojima je potrebno voditi računa.

Sve češći. Nekada davno napadači se nisu toliko fokusirali na lance opskrbe kao vektor napada jer su imali dovoljno opcija i kanala kojima su bili u mogućnosti direktno kompromitirati pojedine organizacije. Danas je situacija ipak nešto drugačija. Dio organizacija je dosegao dovoljnu razinu zrelosti da neke jednostavnije tehnike napada više nisu efikasne kao nekada. To ne znači da su takve organizacije apsolutno sigurne - to znači samo to da je količina vremena i resursa koje je potrebno uložiti za njihovu uspješnu kompromitaciju značajno povećana. U takvim slučajevima, napadi kroz lanac opskrbe mogu biti vrlo efikasni. Osim toga, uspješan napad na lanac opskrbe napadaču omogućuje automatski pristup i većem broju žrtvi, što sigurno ovakve napade čini sve atraktivnijima. Svi trendovi u svijetu kibernetičke sigurnosti potvrđuju da su tzv. supply chain napadi u porastu i taj će se trend još neko vrijeme sigurno nastaviti.

Kako se promijenila uloga AI-ja u napadima i obrani?

AI je dosta nezahvalna tema. Svi imamo određena mišljenja i očekivanja, a zapravo nitko ne može sa sigurnošću tvrditi kako će AI utjecati na naše živote kroz par godina, pa tako i na područje kibernetičke zaštite i obrane. Ono što je sigurno jest da i obrambena i napadačka strana već neko vrijeme koriste AI u provođenju svojih operacija te je realno očekivati da će se taj trend nastaviti i dodatno ubrzati.

Dostupna istraživanja također pokazuju da se vrijeme potrebno za uspješnu kompromitaciju sustava smanjuje. Iako se to ne može pripisati isključivo umjetnoj inteligenciji, AI tehnologije zasigurno mogu pridonijeti bržem izvođenju pojedinih faza napada, automatizaciji aktivnosti i povećanju njihove učinkovitosti.

Konačno, dostupnost AI alata dodatno smanjuje razinu znanja i tehničkih vještina potrebnih za provođenje određenih vrsta kibernetičkih napada. To znači da će sofisticiranije mogućnosti postupno postajati dostupne širem krugu potencijalnih napadača, što će zasigurno imati utjecaj na cjelokupni kibernetički prostor.

Osobno smatram da je važno pomno pratiti razvoj i trendove povezane s naprednim AI tehnologijama, ali pritom zadržati dozu kritičkog razmišljanja, razlikovati stvarne mogućnosti i rizike od marketinga i pretjeranih očekivanja. Na temelju toga organizacije trebaju postupno i smisleno prilagođavati svoje interne procese, alate i načine rada.

Ima li tržište dovoljno sigurnosnih stručnjaka?

Ne. Iako se broj ljudi u industriji očekivano povećava, još uvijek je prisutan deficit u odnosu na tržišne potrebe.

Najteže se zapošljavaju specijalisti za pojedina područja, pogotovo oni s iskustvom i konkretnim kompetencijama koje mogu doprinijeti kvalitetnom rješavanju složenih zadataka. Bez obzira da li je riječ o GRC konzultantima, stručnjacima za provođenje penetracijskih testova, specijalistima za odgovor na sigurnosne incidente i sl., sve su to pozicije gdje je još uvijek prisutan deficit u odnosu na tržišne promjene. Tko zna, možda AI doskoči ovom izazovu 😊

To dosta ovisi o složenosti i zahtjevnosti projekta, odnosno zadataka. Vjerujem da kroz jednu do dvije godine, uz kvalitetan mentoring i osobnu motivaciju, osoba može doći do razine gdje može samostalno obavljati određene zadatke, uz naravno nadzor i kontrolu od strane iskusnijih kolega.  Za neke složenije zadatke, to može biti 3-5 godina, a onda nakon toga sve ovisi i pojedincu. Rekao da bih da su tu ključne dvije stvari: okolina u kojoj pojedinac djeluje i koliko ima podrške u svom razvoju te osobna motivacija i interes za stručni razvoj i ulaganje u svoje osobno znanje. Ukoliko se to pogodi, onda napredak može biti brzo vidljiv.

Zanimljivim projektima, adekvatnom kompenzacijom za njihov rad te prilikom za daljnjim razvojem i usavršavanjem. Naravno, motivirajuća i zdrava okolina za rad, uvijek dodatne pomaže.

Kako se testira stvarna otpornost?

Postoji niz testova kojim organizacije danas mogu testirati svoju digitalnu otpornost, od vrlo jednostavnih pa da onih najsloženijih. Tu su prije svega penetracijski testovi, red teaming testovi, trenutno se puno govori o Threat-Led penetration testovima u kontekstu DORA regulative i testiranja otpornosti na kibernetičke napade, a postoji i cijeli niz operativnih testova za testiranje otpornosti sustava u smislu raspoloživosti i mogućnosti oporavka u slučaju incidenta. Naravno, svi ovi testovi koštaju u smislu potrebnog vremena i financijskih resursa, tako da organizacije moraju vješto upravljati svojim budžetima da postignu adekvatnu pokrivenost i da pritom ostvare željeni rezultat.

Sve više. U industrijama koje su zrelije po pitanju kibernetičke sigurnosti takva su testiranja već postala uobičajena praksa, dok se neke organizacije tek privikavaju na ideju da redovito sigurnosno testiranje može imati važnu ulogu u zaštiti njihovog poslovanja i kontinuiteta poslovanja.

Rekao bih da dobar dio zrelijih organizacija testira svoj backup, jer su svjesni da to ima direktni utjecaj na sposobnost operativnog oporavka u slučaju incidenta. Ono što je pitanje koliko su ti testovi pouzdani i da li su obuhvaćeni svi relevantni scenariji.  Nažalost, to se obično sazna tek kada dođe do incidenta i kada se iz tog backupa zaista treba i oporaviti.

S obzirom na sve strože regulatorne zahtjeve, ali i rastuću učestalost ozbiljnih kibernetičkih incidenata, sve su češće vježbe i simulacije u kojima sudjeluju Uprave i visoki menadžment kompanija.

Iz osobnog iskustva mogu reći da je visoki menadžment u pravilu sve više zainteresiran za ove teme te pokazuje spremnost učiti i bolje razumjeti što se događa u kibernetičkom prostoru i kakav potencijalni utjecaj pojedine prijetnje mogu imati na njihove organizacije.

Naravno, to još uvijek nije pravilo. I dalje postoji značajan broj organizacija u kojima Uprave i menadžment podcjenjuju kibernetički rizik i smatraju ga isključivo IT temom u kojoj oni nemaju posebnu ulogu.

Što bi Hrvatska morala promijeniti u sljedeće tri godine?

Osobno mislim da ne moramo puno mijenjati. Republika Hrvatska ima priličan broj kvalitetnih sigurnosnih stručnjaka i nekako je subjektivni dojam da se stvorila neka pozitivna energija i općenita angažiranost oko ovih tema. Naravno, uvijek postoji prostor za napredak, ali gledajući ukupnu sliku, smatram da su temelji postavljeni prilično dobro.

Jedan od pokazatelja da je Republika Hrvatska ozbiljno pristupila problematici kibernetičke sigurnosti jest taj da je među prvim zemljama u EU koje su donijele Zakon i Uredbu o kibernetičkoj sigurnosti i koja je provela identifikaciju i kategorizaciju ključnih i važnih subjekata. Donesena je i Uredba o kibernetičkoj sigurnosti koja prilično jasno i temeljito definira mjere kibernetičke sigurnosti koje pojedini subjekti moraju provesti. Uz to je donesen i niz popratnih dokumenata, okvira i smjernica koji organizacijama olakšavaju razumijevanje i provedbu propisanih zahtjeva. Koliko god to možda izvana izgledalo jednostavno, uspostaviti takav sustav na nacionalnoj razini nije malen posao. Zaista nitko ne može reći da ne zna što mu je činiti po pitanju kibernetičke sigurnosti, pogotovo ako je jedan od kategoriziranih subjekata.

Također, značajno je povećan broj konferencija, stručnih događanja i drugih aktivnosti kojima je cilj komunicirati nove zahtjeve te općenito podizati razinu svijesti organizacija i pojedinaca o kibernetičkim rizicima. Sukladno tome, velik broj organizacija već je pokrenuo projekte usklađivanja sa Zakonom i povezanim zahtjevima. Neki će ih provesti kvalitetnije, neki manje kvalitetno, ali vjerujem da će se tijekom sljedećih nekoliko godina vidjeti i konkretniji pomaci u ukupnoj razini kibernetičke zrelosti na nacionalnoj razini.

Logično, uvijek se može reći da je potrebno dodatno povećavati ulaganja u kibernetičku sigurnost, ali i to treba promatrati u kontekstu onoga što je realno i održivo. Ako bih morao izdvojiti područja na kojima bi Hrvatska u sljedećim godinama mogla dodatno napredovati, to bi prije svega bilo ulaganje u obrazovanje i razvoj kompetencija, jačanje suradnje između javnog i privatnog sektora te stvaranje uvjeta za razvoj i zadržavanje kvalitetnih stručnjaka u Hrvatskoj.

Drugim riječima, smatram da smo napravili dobar posao u postavljanju temelja. Sljedeći izazov nije nužno donošenje novih pravila, nego njihova kvalitetna provedba, kontinuirano podizanje kompetencija i stvaranje stvarne kibernetičke otpornosti.

* Projekt izrade serijala tekstova pod zajedničkim naslovom „Čija je digitalna Hrvatska? – Infrastruktura, sigurnost i interesi iza digitalne budućnosti države“ objavljen je uz financijsku potporu Agencije za medije iz Programa za poticanje novinarske izvrsnosti za 2026. godinu.