Včasné hlásenie incidentu znamená, že organizácia získa rýchlu externú podporu, využije databázy hrozieb a dokáže izolovať problém čo najskôr. Tak prečo je hlásenie taká háklivá téma?
Dobrá a zlá správa
Počet hlásených kybernetických incidentov v štatistike Národného bezpečnostného úradu medziročne narastá. Je to znakom, že sa zvyšuje úroveň povedomia regulovaných subjektov a nasadzujú sa pokročilé kyberbezpečnostné riešenia. Ale na druhej strane je to varovanie, že pribúda hrozieb.
„Pozorujeme, že úroveň zabezpečenia slovenských firiem stúpa, nie je to však rovnomerné. Tí, ktorí bezpečnosť systematicky zlepšujú, sa posúvajú vpred, zatiaľ čo tí ostatní… A priepasť medzi nimi sa prehlbuje,” glosuje stav Milan Pikula z NBU.
Ľudia, technológie, hrozby
Najčastejšou príčinou hlásených incidentov na Slovensku za ostatné dva roky boli phishing a podvody.
Európska agentúra pre kybernetickú bezpečnosť ENISA dlhodobo uvádza, že viac než 70 percent kybernetických incidentov sa začína nejakou formou sociálneho inžinierstva alebo kompromitáciou prihlasovacích údajov.
Incidenty technického charakteru sú spôsobené zneužitím zraniteľností softvéru a hardvéru, malvérom, nedostatočnými aktualizáciami ale aj nesprávnymi konfiguráciami. Sofistikované útoky na firmy a inštitúcie síce spôsobujú väčšie škody, ale početnosťou dominujú útoky na používateľov.
Prečo to je dôležité
„Dnes si vďaka službám ako WormGPT alebo FraudGPT môže AI-asistovaný phishing objednať ktokoľvek. Stačí zadať cieľovú skupinu, jazyk a cieľ útoku. A umelá inteligencia sa postará o zvyšok, vygeneruje dokonalý e-mail, SMS či hlasovú správu,“ varuje Silvia Strežová z centra bezpečnostných operácii void SOC.
Úspešnosť kyberútokov sa dramaticky zvyšuje s pomocou AI. A tak čelíme na nerozoznanie naklonovaným hlasom, deepfake videám a e-mailom, ktoré poznajú nielen naše pracovné pozície, ale aj záujmy, prezývku či štýl komunikácie.
Povinne aj dobrovoľne
Prevádzkovatelia základnej služby musia hlásiť závažné kybernetické incidenty cez jednotný systém v zákonom určených lehotách. Dobrovoľne však môže incident či hrozbu nahlásiť aj akákoľvek iná osoba. Kritériá závažného narušenia spresňuje nová vyhláška ku kyberzákonu a uvádza aj náležitosti hlásení.
„V národnej jednotke SK-CERT nám záleží na tom, aby firmy vedeli, že hlásenie incidentov má reálny prínos, najmä ak sa urobí okamžite po odhalení,“ vysvetľuje Milan Pikula. Zatiaľ čo bežná firma sa stretne s veľkým incidentom zriedkavo, SK-CERT má každodenné skúsenosti a vie odborne pomôcť od metodiky až po technické úkony.
Najhoršie rozhodnutie
Presvedčenie “kto nič nerobí, nič nepoškodí” je v prípade kyberincidentu veľmi kontraproduktívne. Nevinne vyzerajúca udalosť, podozrenie na incident, môže skrz jednu firmu prerásť do obludných rozmerov.
„Ak mi incident zničí len mobilný telefón alebo bežne dostupný laptop, viem ich relatívne rýchlo nahradiť. Čím je podnikateľské prostredie komplexnejšie, musím si ho aj adekvátne chrániť, či už ide o zamestnancov, IT vybavenie alebo aplikácie,“ vysvetľuje architekt kybernetickej bezpečnosti Marián Trizuliak zo Západoslovenskej distribučnej.
Máme problém
Skúsený súdny znalec IT Jaroslav Oster v praxi pozoruje, že reakcie zamestnancov na incident sú rôznorodé: „Asi najfrekventovanejšími sú dva prístupy a v princípe oba nesprávne.“
Prvým typom je alibistický prístup v chápaní „nevidím, nepočujem, neriešim, neangažujem sa“. Jednoducho sa tváriť, že nikto nič nevidel.
Druhý, proaktívny prístup k incidentu, sa dá ľudovo označiť sloganom „idem, riešim“. Vtedy sa zamestnanec, používateľ IKT s istou úrovňou znalostí, rozhodne problém riešiť vo vlastnej réžii. Motívy môžu byť rôzne, od pozametania problému pod koberec z pocitu viny, až po falošnú predstavu o schopnosti riešiť incident.
Všetko má príčinu
Chaotické prístupy k nahlasovaniu incidentov sú priamym dôsledkom nesprávne komunikovaných opatrení. Sú výsledkom toho, ak zamestnanec nedostane odpovedajúcu bázu informácií o riadení incidentov v organizácii a najmä o svojej úlohe a zodpovednosti.
„V praxi často narážame na to, že zamestnanci neovládajú časové súvislosti, ktoré vyplývajú zo zákonných povinností prevádzkovateľa,“ upozorňuje Jaroslav Oster.
Čo si kto nacvičí
Príprava na kybernetický incident hraničí takmer s posadnutosťou, hovorí kyberbezpečnostný profesionál spoločnosti Alison Slovakia Jozef Bálint. „Lebo to, čo sa zdá prehnané na tréningu, ušetrí chaos a škody v realite.“
Preto treba incidenty nielen zdokumentovať, ale aj simulovať. Znamená to mať plány izolácie aj scenáre útokov, lebo kybernetický útok je ako požiar. Ak nemáte hydranty a cvičených hasičov, zostane len panika.
„Komunita bezpečákov je o tom, že nechceme reagovať na incidenty, či likvidovať škody. Chceme im predchádzať. Verím, že pôsobíme hlavne preventívne a edukatívne,“ povzbudzuje kolegov Marián Trizuliak. Bez hlásení kyberincidentov, nie je v ľudských silách dohľadávať informácie o nich a učiť sa z nich.
Takže ako s pokutami
Za samotný vznik incidentu prevádzkovateľovi nemožno udeliť pokutu. Ak sa však prevádzkovateľ dopustí správneho deliktu tým, že poruší povinnosť nahlásiť závažný kybernetický bezpečnostný incident, už sa pokute nevyhne.
Národný bezpečnostný úrad môže uložiť pokutu od tristo do sedem miliónov eur alebo do výšky 1,4 percenta svetového ročného obratu za predchádzajúce účtovné obdobie.