Miloš Krunić: Sajber bezbednost nije procenat na prezentaciji

Kakva slučajnost! Nedavno sam na jednom predavanju upravo ovo pitanje iskoristio kao deo humoristične priče o svakodnevici jednog CISO-a.

Kada menadžment pita koliko smo bezbedni, možemo odgovoriti da smo bezbedni 95%. Zašto baš 95%? Pa, 94% zvuči zabrinjavajuće, a 96% bi već bilo neodgovorno. :)

Naravno, šalu na stranu. Problem je što na ovo pitanje svi žele jednostavan odgovor, a takav odgovor zapravo ne postoji.

Sajber bezbednost nije stanje koje jednom dostignemo i onda možemo mirno spavati. To je kontinuiran proces upravljanja rizicima. Možemo imati odlične tehnologije, dobro definisane procese i obučene ljude, ali uvek postoji nešto što ne znamo, nismo predvideli ili jednostavno nismo stigli da rešimo.

Zato bih pitanje postavio malo drugačije: Koliko dobro poznajemo svoje rizike, koliko smo spremni za incident i koliko brzo možemo da se oporavimo kada nešto pođe po zlu?

Za mene je to mnogo bolji pokazatelj stvarne bezbednosti od bilo kojeg procenta na prezentaciji.

Iskreno, mislim da tu tvrdnju previše olako koristimo.

Često je najjednostavnije kriviti zaposlenog koji je kliknuo na phishing link, a mnogo je teže priznati da organizacija nije uradila dovoljno da ograniči posledice takve greške.

Odgovornost organizacije je da obezbedi što sigurnije okruženje za rad. To podrazumeva snažnu autentikaciju, kontrolu pristupa u zavisnosti od konteksta, princip najmanjih privilegija, ograničavanje nepotrebnih funkcionalnosti i odgovarajuću mrežnu zaštitu.

Evo jednog konkretnog primera. Zašto bi prosečan zaposleni morao imati mogućnost da iz PowerShella ili drugih komandnih i skriptnih alata uspostavlja proizvoljne internet konekcije? Većini zaposlenih to nikada neće trebati.

Istovremeno, upravo takve mogućnosti napadači mogu zloupotrebiti za preuzimanje dodatnog zlonamernog koda ili iznošenje podataka. Tu možemo mnogo uraditi kontrolom aplikacija i izlaznog mrežnog saobraćaja. Čak je i lokalni firewall, koji smatram izuzetno korisnom i često zanemarenom kontrolom, deo tog rešenja.

Naravno, moramo edukovati zaposlene. Ali edukacija ne sme biti zamena za tehničke kontrole.

Naš cilj ne treba da bude organizacija u kojoj niko nikada neće napraviti grešku, već organizacija u kojoj jedna ljudska greška ne može lako prerasti u ozbiljan incident.

To postaje još važnije u vremenu autonomnih AI agenata i automatizovanih napada, gde se vreme između početnog kompromitovanja i ozbiljnih posledica može dramatično skratiti.

Zato što su compliance i resilience, odnosno usklađenost i otpornost, dva veoma različita pojma.

Usklađenost nam govori da li ispunjavamo određene zahteve. Otpornost pokazuje šta se dešava kada nešto ipak krene po zlu.

Možemo imati sertifikate, usvojene politike, završene revizije i uredno popunjene registre rizika. Ali ništa od toga samo po sebi ne garantuje da ćemo uspešno zaustaviti napad ili nastaviti poslovanje posle ozbiljnog incidenta.

Recimo, organizacija može imati dokumentovan proces pravljenja rezervnih kopija. Ali kada je poslednji put pokušala da iz tih kopija vrati kompletan kritični sistem? Koliko je to trajalo? Da li je poslovanje moglo da funkcioniše za to vreme?

Upravo na takvim pitanjima počinje priča o stvarnoj otpornosti.

Ne želim da umanjujem značaj regulative. Naprotiv, ona je neophodna i često predstavlja važan pokretač poboljšanja bezbednosti. Ali ne smemo dozvoliti da ispunjavanje regulatornih zahteva postane naš krajnji cilj.

Svaka ozbiljna kompanija mora razumeti svoju odgovornost prema klijentima, zaposlenima i vlasnicima. Ta odgovornost ne prestaje onog trenutka kada uspešno završimo reviziju.

Usklađenost je obaveza. Otpornost je sposobnost koju moramo izgraditi. A ozbiljnoj organizaciji potrebno je oboje.

Miloš Krunić

Pored sajber bezbednosti, veliki sam ljubitelj sporta. Zato bih ovo pokušao objasniti kroz jednu sportsku situaciju.

Zamislimo finale Svetskog prvenstva u košarci. Ostalo je deset sekundi do kraja, naša ekipa ima poslednji napad i priliku da pobedi. Kome ćemo dati loptu?

Verovatno igraču koji ima najviše iskustva u takvim situacijama. Ne nužno zato što je tehnički najbolji, već zato što je mnogo puta bio pod sličnim pritiskom, zna šta se očekuje od njega i zna kako saigrači razmišljaju.

Ako poslednji napad poverimo nekome ko se prvi put nalazi u takvoj situaciji, verovatnoća greške je mnogo veća.

Slično je i u sajber bezbednosti.

Kada otkrijemo ransomware, nije trenutak da počnemo raspravljati ko je za šta odgovoran, ko sme isključiti određeni sistem ili ko treba obavestiti menadžment. To moramo znati unapred.

U prvih 60 minuta prioritet je potvrditi šta se dešava, sprečiti dalje širenje napada, aktivirati odgovorne timove, zaštititi kritične sisteme i rezervne kopije, sačuvati dokaze i uspostaviti koordinisano donošenje odluka.

Paralelno moramo procenjivati poslovni uticaj i obaveze obaveštavanja.

Ali najvažnije pitanje je: Da li smo se za takvu situaciju pripremali dok je sve funkcionisalo normalno?

Ako smo kroz vežbe prošli različite scenarije, testirali komunikaciju i jasno definisali odgovornosti, onda svako zna gde treba da bude na terenu i koji potez treba da odigra.

Ako nismo, vrlo brzo ćemo dobiti deset ljudi koji istovremeno pokušavaju preuzeti loptu, dok protivnik već slavi pobedu.

Otpornost se ne gradi tokom incidenta. Gradi se mnogo ranije, kroz pripremu, vežbe i iskustvo.

Verovatno onu da CISO mora razumeti svoju ulogu u organizaciji, ali i granice te uloge.

Kada dolazimo iz tehničkog sveta, često imamo potrebu da svaki problem rešimo sami. Pronađemo ranjivost, predložimo tehničko rešenje, implementiramo kontrolu i nastavimo dalje.

Međutim, u CISO ulozi stvari funkcionišu drugačije.

Ne možemo sve rešiti sami, niti svaki bezbednosni problem automatski predstavlja najveći prioritet za organizaciju.

Moramo razumeti poslovni kontekst, važnost određenog procesa, posledice potencijalnog incidenta i mogućnosti organizacije da rizik smanji.

Nije dovoljno doći na sastanak i mahati crvenom zastavicom uz objašnjenje da nešto predstavlja ozbiljan rizik. Treba objasniti šta taj rizik znači za poslovanje, koje opcije imamo, koliko one koštaju i šta se dešava ako ne uradimo ništa.

Tu dolazimo do još jedne važne stvari koju nijedna sertifikacija ne može u potpunosti naučiti: odnosi sa ljudima, sposobnost slušanja, razumevanje tuđih prioriteta i pronalaženje zajedničkih rešenja jednako su važni kao tehničko znanje.

CISO nije tu da sam reši sve probleme, već da omogući organizaciji da donosi bolje odluke o rizicima.

To je promena načina razmišljanja koja je, po mom mišljenju, jedan od najtežih delova prelaska iz tehničke u lidersku ulogu.

Sajber bezbednost jeste stručna disciplina, ali rizici koje pokušavamo kontrolisati vrlo često imaju direktne poslovne posledice.

Ako napad zaustavi prodaju, onemogući pružanje usluga, ugrozi podatke klijenata ili izazove finansijsku štetu, to više nije samo problem IT ili security tima.

Zato je izuzetno važno da menadžment razume sajber rizike.

Ne očekujem da direktor poznaje detalje konfiguracije firewall pravila ili način rada EDR sistema. Ali očekujem da razume šta znači gubitak dostupnosti ključnog poslovnog procesa i kakve posledice određeni rizik može imati po organizaciju.

A šta kada menadžment ne smatra da je neki rizik prioritet?

Tada je na CISO-u da rizik predstavi jasno, kroz poslovni uticaj, moguće scenarije i dostupne opcije za njegovo smanjenje.

Ako poslovna strana nakon toga odluči da određeni rizik prihvati, takva odluka mora imati jasnog vlasnika, definisan obim i, gde je primenljivo, rok za ponovno preispitivanje.

Naravno, prihvatanje rizika ne može služiti kao opravdanje za ignorisanje zakonskih i regulatornih obaveza.

Ono što ne smemo dozvoliti jeste situacija u kojoj svi znaju da problem postoji, ali niko nije odgovoran za odluku šta ćemo s njim.

I tu vidim jednu od ključnih odgovornosti CISO-a: ne da preuzme sve poslovne rizike na sebe, već da obezbedi da se o njima donose informisane i odgovorne odluke.

Mislim da ulazimo u jedan od najzanimljivijih, ali i najizazovnijih perioda u istoriji sajber bezbednosti.

Jason Clinton, zamenik CISO-a kompanije Anthropic, nedavno je upozorio da će situacija, pre nego što postane bolja, verovatno postati znatno gora. Procenjuje da je pred nama približno 18 meseci posebno intenzivnih izazova i poziva organizacije da ulažu u osnovne bezbednosne kontrole.

Dovoljno je pogledati šta se dešavalo poslednjih dana.

Kritične ranjivosti u PHP-u, otkrivene uz pomoć veštačke inteligencije, i problem sa kriptografskim ključevima sertifikacionog autoriteta eMudhra pokazuju koliko ozbiljne slabosti mogu postojati u tehnologijama na koje se svakodnevno oslanjamo.

Veštačka inteligencija omogućava nam da otkrivamo ranjivosti koje su u određenim sistemima postojale godinama, možda čak i decenijama. To je ogromna prilika za odbranu.

Ali ista tehnologija predstavlja priliku i za napadače.

Oni već koriste AI, a posebno je zabrinjavajuće koliko brzo će napredne mogućnosti pronalaženja i iskorišćavanja ranjivosti postajati dostupne sve širem krugu aktera.

Tu zapravo počinje nova faza nadmetanja.

Verujem da ćemo sve češće gledati automatizovane napadačke sisteme nasuprot automatizovanim odbrambenim sistemima, ali uz čoveka koji i dalje mora razumeti kontekst, proceniti posledice i doneti ključne odluke.

I upravo zato mislim da danas moramo prestati odlagati osnovne stvari.

Upravljanje ranjivostima, kontrola pristupa, segmentacija mreže, zaštita identiteta, nadzor i sposobnost brzog odgovora na incidente ne smeju biti teme koje tek planiramo rešiti naredne godine.

Organizacije koje nemaju rešene osnove teško će se nositi sa brzinom budućih napada, bez obzira na to koliko AI tehnologije kupe.

Hoće li AI dugoročno više pomoći odbrani ili napadačima?

Nadam se da će prednost biti na strani odbrane. Ali sama tehnologija nam tu prednost neće garantovati.

Uh, hajde da počnemo od osnova. Često ih preskačemo jer nam nisu dovoljno zanimljive, a upravo tu možemo napraviti najveću razliku.

Običnom korisniku bih savetovao da zaštiti svoje digitalne identitete. Koristite različite, snažne lozinke uz menadžer lozinki, uključite višefaktorsku autentikaciju ili passkeys gde god je moguće i redovno ažurirajte uređaje.

Posebno zaštitite svoj primarni e-mail nalog, jer je on često ključ za pristup mnogim drugim servisima.

Zaposlenom u kompaniji bih savetovao da nikada ne pretpostavlja da je nešto legitimno samo zato što izgleda poznato.

Poruka od direktora, zahtev za promenu bankovnog računa ili neočekivana prijava mogu izgledati potpuno uverljivo. Proverite sumnjive zahteve kroz drugi, pouzdan kanal.

A ako napravite grešku, prijavite je odmah. Mnogo je lakše zaustaviti incident u prvim minutima nego nakon nekoliko sati prikrivanja problema.

Onome ko donosi odluke o bezbednosti dao bih malo drugačiji savet: nemojte prvo pitati koji novi alat treba kupiti.

Pitajte koje su vam najvažnije poslovne funkcije, šta ih može zaustaviti, ko je odgovoran za rizike i koliko brzo ih možete obnoviti nakon ozbiljnog incidenta.

Ako na ta pitanja nemate jasne odgovore, verovatno već znate odakle treba početi.

Da će nas još jedan bezbednosni alat konačno učiniti sigurnim. Često nam ne nedostaje tehnologije, već jasnih procesa, definisanih odgovornosti i ljudi koji znaju šta treba da urade kada nešto pođe po zlu.

Kontrola izlaznog mrežnog saobraćaja, posebno na korisničkim računarima. Mnogo pažnje posvećujemo tome šta sme ući u našu mrežu, a premalo tome koje aplikacije i procesi iz nje mogu slobodno komunicirati prema internetu.

Voleo bih da prestanemo pretpostavljati da nešto funkcioniše samo zato što imamo dokument koji kaže da funkcioniše.

Ako verujemo da se možemo oporaviti od ozbiljnog incidenta, hajde da to i testiramo.

Rezultat vežbe vredi mnogo više od lepo napisane procedure koju nikada nismo upotrebili.