KRIPTOGRAFIJA I REGULACIJA

Apple i Meta upozoravaju da bi kanadski zakon mogao otvoriti vrata sustavnom slabljenju enkripcije

Rasprava se ne vodi samo o jednom nacionalnom zakonu nego o starom sukobu između zakonitog pristupa podacima i arhitekture sigurnih digitalnih usluga. Tehnološke kompanije tvrde da široke ovlasti i slab nadzor mogu u praksi voditi prema stražnjim vratima, dok vlasti odgovaraju da ne traže sustavne ranjivosti. Ishod je važan jer će se slični modeli gotovo sigurno prelijevati i na druga tržišta.

Apple i Meta upozoravaju da bi kanadski zakon mogao otvoriti vrata sustavnom slabljenju enkripcije
Depositphotos

Apple i Meta javno su se usprotivili kanadskom prijedlogu zakona C-22. Kompanije tvrde da bi zakon u praksi mogao natjerati pružatelje usluga da oslabe enkripciju svojih uređaja i servisa. Kanadske vlasti odbacuju tvrdnju da zakon traži stvaranje sustavnih ranjivosti, no rasprava je već otvorila šire sigurnosno pitanje. Upravo zato ova objava otvara mnogo širu priču od same početne informacije.

Zato ovu objavu treba čitati kao indikator smjera, a ne kao izolirani incident. U gotovo svakom tehnološkom segmentu danas vrijedi isto pravilo: onaj tko prvi osigura kapacitet, podatke, energiju, sigurnost ili regulatornu prohodnost dobiva prednost koja se teško nadoknađuje naknadno. Analitičke kuće već neko vrijeme upozoravaju da se industrija nalazi u prijelazu iz faze pilotiranja u fazu teške izvedbe. U prvoj etapi bilo je dovoljno pokazati da tehnologija radi; u drugoj se traže energija, sigurnost, kapacitet, integracija i rezultat koji se može mjeriti kroz prihod, trošak ili operativnu brzinu.

Dodatni pritisak stvara činjenica da AI istodobno pomaže obrani i ubrzava napad. Organizacije zato moraju pretpostaviti da će ranjivosti biti pronađene brže, da će socijalni inženjering biti uvjerljiviji i da će kompromitacija lanca opskrbe ili identiteta imati dulji rep nego prije. U takvom okviru vrijednost otpornosti sve se manje mjeri samo brojem blokiranih napada, a sve više brzinom oporavka i sposobnošću da se kompromitacija zadrži na što manjem dijelu sustava.

Posljedica je jasna: sigurnosne odluke više se ne mogu odgađati do sljedećeg budžetskog ciklusa. Krpanje, segmentacija, zaštita identiteta, revizija privilegija i nadzor softverskog lanca opskrbe moraju pratiti isti ritam kojim se sustavi mijenjaju. Tvrtke koje to ne uspiju sve će teže braniti i vlastite procese i regulatornu poziciju.

Kad najveći pružatelji platformi upozoravaju na rizik sustavnog slabljenja enkripcije, rasprava više nije akademska. U pozadini je pitanje može li država tražiti pristup podacima bez stvaranja novih slabih točaka koje će prije ili kasnije pokušati iskoristiti i kriminalni ili državni akteri.

U kibernetičkoj sigurnosti više nije dovoljno zakrpati jedan proizvod i proglasiti problem riješenim. Napadači spajaju socijalni inženjering, kompromitirane instalere, ukradene vjerodajnice i automatizaciju, pa obrana mora jednako tako spojiti upravljanje identitetom, telemetriju, segmentaciju i disciplinu zakrpa.

Zato će idućih kvartala prednost imati one organizacije koje mogu spojiti brzinu zakrpa, restrikciju privilegija i dobru vidljivost nad stvarnom uporabom alata. Mnogo je manja korist od formalno dugačkog popisa zaštita ako kritična točka ostane izvan fokusa jer se ne uklapa u stare kategorije.