Mar res veste, kaj varujete?
Večina slovenskih podjetij že ima nameščene požarne pregrade in protivirusne programe. Pohvalno, če zaposlene občasno pošljete na »kibernetsko usposabljanje«. Nekatera podjetja so celo prebrala zakon in začela samoregistracijo po ZInfV-1 ter pišejo varnostne politike. To je napredek. A hkrati je tudi past: ustvarja občutek, da ste v podjetju nekaj naredili, medtem ko najpomembnejše stvari še vedno ostajajo nedotaknjene.
Za plačilo lahko uporabite plačilno kartico, PayPal, Apple Pay ali Google Pay:
Najprej se morate prijaviti.
V kolikor še nimate svoje prijave, se lahko registrirate.
Večina slovenskih podjetij že ima nameščene požarne pregrade in protivirusne programe. Pohvalno, če zaposlene občasno pošljete na »kibernetsko usposabljanje«. Nekatera podjetja so celo prebrala zakon in začela samoregistracijo po ZInfV-1 ter pišejo varnostne politike. To je napredek. A hkrati je tudi past: ustvarja občutek, da ste v podjetju nekaj naredili, medtem ko najpomembnejše stvari še vedno ostajajo nedotaknjene.
Ta mesec sem se nadpovprečno veliko pogovarjal z varnostnimi strokovnjaki. Najbolj mi je v spominu ostalo sporočilo malodane vseh, da podjetja večinoma sploh ne vedo, kaj pravzaprav varujejo. Še vedno je preveč podjetij, ki nimajo jasnega, posodobljenega inventarja IT-virov in podatkov. Ne vedo natančno, kje so kritični poslovni podatki, kdo ima do njih dostop, katere aplikacije so res nujne za poslovanje in katera naprava z dostopom do omrežja je že dolgo pozabljena.
Brez te slike je vsaka naložba v varnost na slepo. Podjetje kupi napredno orodje, a ne ve, ali ščiti tisto, kar ga lahko najbolj boli. Ko pride do incidenta, pa ugotovi, da so bile najobčutljivejše datoteke v deljeni mapi, do katere je imelo dostop 40 ljudi, ali da je kritični dobavitelj še vedno uporabljal geslo iz leta 2019. Podjetja bi morala redno (vsaj enkrat na leto, še raje četrtletno) narediti resen popis: kaj imajo, kje je, kdo lahko do tega dostopa in kaj se zgodi, če to izgubijo za 48 ur. Čeprav je videti kot (nadležna) birokracija, je takšen zemljevid IT-krajine temelj vsega ostalega.
Zanimalo me je tudi, ali se znajo podjetja pravilno odzvati, sploh tista, ki dejansko premorejo načrt za odzivanje na incidente in načrt neprekinjenega poslovanja. Po besedah sogovornikov sta omenjena načrta pogosto zgolj na papirju, le redka podjetja ju res preizkusijo v praksi. Varnostne kopije se »delajo«, a skoraj nihče ne preveri, ali jih je mogoče dejansko obnoviti v razumnem času. Načrt komuniciranja obstaja, a nihče ne ve, kdo v prvih dveh urah pokliče stranke, medije ali regulatorja. Vaje so redke, površne ali pa se izvajajo le zato, da se »odkljuka« zahteva.
Resnična odpornost pa se ne meri po tem, kako dobro podjetje preprečuje napad, ampak po tem, kako hitro in urejeno okreva, če/ko napad uspe. Podjetja, ki tega ne vadijo, ob resničnem incidentu izgubljajo dragocene ure ali dni. In to jih stane več kot večletne naložbe v preventivo.
Že več kot dve desetletji ne morem pozabiti mnenja domačega varnostnega strokovnjaka, ki je dejal, da so lahko ljudje najšibkejši ali najmočnejši člen varnostne verige, odvisno od tega, kako jih »vzgojiš«. Kaj pravi praksa? Varnostna usposabljanja so pogosto enkratna, dolgočasna in usmerjena v to, da zaposleni »ne klikajo na neznane povezave«. Le redko pa se gradi kultura, v kateri zaposleni vedo, da je varnost del njihovega dela, in se počutijo varne, ko prijavijo nekaj sumljivega.
Težava je tudi v tem, da skoraj nobeno podjetje sistematično ne meri, kako uspešna so ta usposabljanja. Predvsem pa nihče resno ne vlaga v to, da bi varnost postala del vsakodnevnega odločanja, od nabave programske opreme do izbire dobaviteljev.
Najboljši napadi že dolgo niso tehnične mojstrovine, so predvsem napadi, ki so se začeli s tehnikami socialnega inženiringa. Nekdo je napadalcem odprl vrata v aplikacijo, sistem in/ali omrežje. Na tem mestu bi si upal celo zapisati, da najšibkejši člen vendarle ni »nepoučen zaposleni«, ampak podjetje, ki ga je pustilo samega proti profesionalnim napadalcem!
Kibernetska varnost ni projekt z začetkom in s koncem, ampak je sposobnost podjetja, da preživi in deluje tudi takrat, ko gre (ne) kaj narobe. In ravno tukaj večina podjetij še vedno najbolj zaostaja. Tista, ki to razumejo, ne kupujejo le zaščite. Gradijo (kibernetsko) odpornost. In to je danes edina stvar, ki res šteje.
