Ko se zgodi najhujše: zakaj izgubljamo bitko v prvih urah

Kaj se zgodi, če v podjetju zjutraj ugotovijo, da ne morejo dostopati do ključnih sistemov? Del naročil stoji, finančna služba ne more preveriti plačil, proizvodnja čaka na podatke, vodstvo pa želi takojšen odgovor: kaj se dogaja in koliko časa bo trajalo? Na prvi pogled gre za tehnični incident, v resnici pa se vse zelo hitro spremeni v poslovno krizo, saj je pomembno predvsem, ali ljudje vedo, kaj storiti.

Če podjetje nima vnaprej dogovorjenega postopka ukrepanja, se začne improvizacija. Nekdo začne ugašati strežnike, drugi kliče zunanjega izvajalca, tretji obvešča stranke, četrti išče zadnjo varnostno kopijo. Vmes se izgubljajo dokazi, sprejemajo napačne odločitve in podaljšuje čas okrevanja.

Težava ni vedno v tem, da podjetje nima tehnologije. Pogosto jo celo ima, toda ko pride do varnostnega dogodka, se pokaže, ali so ti elementi sploh povezani v delujoč sistem z jasno definiranimi procesi in odgovornostmi. Kibernetska odpornost pomeni, da se povežejo tehnologija, postopki, varnostna kultura in zunanji partnerji. Brez tega podjetje hitro ugotovi, da ima veliko rešitev, vendar premalo jasnih odgovorov.

Najpogostejša napačna predstava o kibernetski varnosti

Ena ključnih nalog Varnostno operativnega centra A1 je ločiti pomembne varnostne dogodke od množice vsakodnevnih opozoril. Vladimir Ban, vodja A1 Varnostno operativnega centra FOTO: Matjaž Vertuš

Kot pojasnjuje Vladimir Ban, vodja A1 Varnostno operativnega centra, A1 Slovenija, je najpogostejša napačna predstava o kibernetski varnosti prepričanje, da vemo, kako bo napad potekal oziroma prepričanje, da bo napadalec razmišljal enako, kot razmišljamo mi. »Iz tega sledi (dostikrat lažno) prepričanje, da smo varni. Napadalci namreč pogosto razmišljajo popolnoma drugače kot mi in posledično gledajo na posamezne sisteme drugače kot mi. Nam je na primer pomembno nekaj, njim pa nekaj čisto drugega. In potem mi poskrbimo za tisto, kar je pomembno za nas, in živimo v prepričanju, da smo varni. Dokler dejansko ne pride do napada, ko spoznamo, da je napadalec ubral čisto drugo pot, ki je nismo dovolj dobro 'pokrili'.«

Napadalci ne iščejo popolne tarče, ampak najlažjo pot

Podjetja pogosto izgubijo nadzor, še preden ugotovijo, kaj se dogaja, ker napadalci ne iščejo popolne tarče, ampak najlažjo pot do učinka. Tehnologije nove generacije jim pomagajo oceniti, katere tarče so bolj ranljive, kje bo poskus vdora zahteval najmanj truda in kako ga je mogoče čim bolj avtomatizirati. Njihova logika je preprosta: čim boljši izkoristek časa.

Zato bodo napadi v prihodnje še hitrejši, bolj natančni in bolje prilagojeni posamezni organizaciji, obramba pa mora temu slediti. Sistemi za zaznavanje napadov in postopki v A1 Varnostno operativnem centru se stalno prilagajajo hitrosti napadalcev. Če se dogodki avtomatizirajo, mora tudi obramba hitreje prepoznati, kateri dogodek je res nevaren, kako nujno je ukrepanje in koga je treba vključiti.

Hitrost napadov in obrambe

Na vprašanje, kako so se lani ali v obdobju nekaj let pohitrili napadi in kako tej dinamiki sledi »obrambna linija« A1 Varnostno operativnega centra, Vladimir Ban 

Napadi so se v zadnjem letu močno pohitrili. »Razloga sta predvsem dva. Napadalci na eni strani želijo čim hitreje priti do cilja in 'unovčiti' svoje zmage, na drugi strani pa napadalci vedo, da jih verjetno nekdo 'opazuje' in želijo 'prehiteti' odgovor obrambe. In ravno tu je ključ dobre obrambe. Čas odziva mora biti danes bistveno krajši, kot je bil včasih. Celoten proces od zaznave, triaže do reakcije mora biti učinkovit, dober in hiter. Zato pa potrebuješ predvsem dvoje. Širok sistem zaznav, da 'v fazi triaže čim prej čim več veš, ter dober in natančen playbook, ki bo jasno in učinkovito definiral korake ob različnih tipih napadov,« izpostavlja Ban.

Zabrisana meja med tehnologijo in človekom

Eden najbolj zgovornih poudarkov zadnje statistike SI-CERT je nezadržna rast phishinga. Leta 2025 so obravnavali 1995 primerov phishinga, pri čemer poudarjajo, da ribarjenje za poverilnicami in bančnimi podatki ostaja glavno orodje spletnih goljufij in kibernetskega kriminala. Storilcem omogoča prvi dostop do storitev posameznikov in omrežij podjetij, pri tem pa ne gre več za osamljene posameznike, temveč za organiziran kriminal z naborom orodij za pripravo, izvajanje in spremljanje uspešnosti kampanj. Po podatkih Slovenske policije je skupna višina prijavljenih spletnih goljufij leta 2025 dosegla 40,4 milijona evrov, kar je 33 odstotkov več kot leto prej. Pri posameznih primerih so zneski še bistveno višji – SI-CERT je med drugim zaznal kripto prevaro z oškodovanjem v višini 260.000 evrov in primer vrivanja v poslovno komunikacijo, kjer je škoda dosegla 170.000 evrov.

Prepoznava lažnih sporočil je zato vse težja. Napadalci uporabljajo prepričljive scenarije, ustvarijo občutek nujnosti in zaposlenega vodijo skozi postopek, ki se mu v tistem trenutku zdi logičen. Prav zato SI-CERT med ključnimi poudarki leta 2025 izpostavlja phishing kot eno najpomembnejših vstopnih točk v podjetja in opozarja, da pravočasno obveščanje o tovrstnih napadih pomaga omejevati njihovo širjenje.

Zaposleni ostajajo hkrati tveganje in pomemben del obrambe. Lahko naredijo napako, na katero računajo storilci, lahko pa so tudi prvi, ki opazijo nenavadno sporočilo, sumljiv klic ali neobičajno aktivnost v informacijskem okolju. Zato je nujna visoka varnostna kultura, da zaposleni vedo, komu prijaviti sumljiv dogodek, kaj storiti ob pritisku in kdaj se ustaviti, tudi če se zdi zahteva na prvi pogled legitimna.

Regulativa določa okvir, ne preprečuje napadov

Sodobni varnostno operativni centri pomagajo podjetjem hitreje prepoznati grožnje in se učinkoviteje odzvati na varnostne dogodke. FOTO: Depositphotos

Nove regulativne zahteve, od zakona o informacijski varnosti (ZInfV-1) do pravil za finančni sektor, so kibernetsko varnost premaknile v pisarne vodstev podjetij, ker napadi vplivajo na poslovanje, pogodbe, dobavne roke, zaupanje strank in ugled. Vendar regulativa še ne preprečuje motenj, določa namreč okvir odgovornosti.

Vodstvo ima lahko pripravljene politike, evidence, načrte in poročila, pa kljub temu ob prvem resnem incidentu ugotovi, da ne ve, kdo naj sprejme ključno odločitev. Ali izklopiti del sistema? Kdaj obvesti stranke? Kdaj regulatorja? Kdaj upravo? Kdo preveri, ali so varnostne kopije uporabne? Kdo vodi komunikacijo? Skladnost je zato pomembna, vendar ni končni cilj. Končni cilj je operativna sposobnost odziva, kar pomeni, da zaposleni znajo izvajati te postopke tudi pod pritiskom.

Alarmov je dovolj. Težje je razumeti, kateri je res pomemben

Napredna varnostna orodja danes spremljajo dogajanje na računalnikih, strežnikih, v omrežju in drugih delih informacijskega okolja. Zbirajo podatke iz različnih sistemov, iščejo nenavadne vzorce in opozarjajo na dogodke, ki jih človek ne bi mogel pregledati ročno.

Ni pa dovolj le tehnični signal. Nenavaden dostop sredi noči je lahko sumljiv dogodek, lahko pa gre za zaposlenega, ki dela pri nujnem projektu. Velik prenos podatkov je lahko znak kraje informacij, lahko pa gre za redno migracijo sistema. Tehnologija lahko opozori na odstopanje, razumevanje poslovnega konteksta pa zahteva izkušnje, poznavanje okolja in sodelovanje z naročnikom in tu se pokaže vrednost A1 Varnostno operativnega centra, ki naročnikom pomaga ločiti pomembno od nepomembnega. V kriznem trenutku je to ključno, saj naročnik ne potrebuje še več zmede, ampak jasnejšo sliko.

Noben oddelek ne more sam obvladati sodobnega incidenta

Lažno elektronsko sporočilo je pogosto šele začetek. Vse več prevar združuje elektronsko pošto, telefonske klice in psihologijo prepričevanja. FOTO: Depositphotos

Veliko podjetij kibernetsko varnost še vedno razume kot seznam rešitev, ki jih je treba kupiti, toda odpornost se zgradi z vzpostavitvijo takšnega načina delovanja, ki deluje tudi takrat, ko so okoliščine manj idealne, kar še posebej velja za srednje velika in večja podjetja, ki imajo kompleksna IT-okolja, razpršene lokacije, zunanje izvajalce, oblačne storitve in uporabnike z različnimi pravicami dostopa.

Specializirani partnerji zato postajajo pomemben del kibernetske odpornosti, ker v poslovnih okoljih pomagajo vzpostaviti nadzor in ker omogočajo dostop do strokovnjakov, ki se s takšnimi dogodki ukvarjajo vsak dan. Pri A1 Slovenija je kibernetska varnost kombinacija tehnologije, postopkov in operativne podpore. Vloga A1 Varnostno operativnega centra je predvsem v tem, da podjetjem omogoča boljši pregled nad dogajanjem, hitrejše zaznavanje incidentov in bolj usklajeno ukrepanje.

Odpornost se pokaže šele, ko nekaj odpove

Nekatere organizacije verjamejo, da se jim nič ne more zgoditi, kar je velika in zelo draga zmota. Najbolj pripravljena so tista, ki predvidevajo, da se lahko zgodi, in zato vnaprej določijo, kako bodo ravnala. To vključuje tehnično zaščito, redno preverjanje ranljivosti, večnivojsko avtentikacijo, varnostne kopije, nadzor dostopov, usposabljanje zaposlenih in jasen načrt ukrepanja. Vključuje pa tudi izobraževanja zaposlenih in testiranja.

Napadalci danes vse pogosteje izkoriščajo človeški dejavnik, zato so ozaveščeni zaposleni pomemben del obrambe. FOTO: Depositphotos

Najdražja ni vedno sama škoda, ampak čas brez nadzora

Neposredna škoda ob kibernetskih vdorih nastane zaradi ukradenih podatkov, stroškov obnove in morebitnih odškodnin, največji strošek pa je čas, ko podjetje nima nadzora nad dogajanjem. Vsaka ura negotovosti pomeni večjo možnost napačne odločitve. Vsaka dodatna ura nedelovanja pomeni pritisk na zaposlene, dobavitelje in stranke. Vsaka nejasna informacija lahko škodi zaupanju, zato je odpornost poslovanja tudi vprašanje upravljanja časa. Podjetje, ki incident zazna zgodaj, ima bistveno boljše izhodišče kot tisto, ki prve ure porabi za iskanje odgovornosti.

Kibernetskega napada morda res ne bo vedno mogoče preprečiti. Z dobrimi rešitvami za zaščito informacijskega okolja ga lahko hitro prepoznamo, omejimo škodo in hitro znova vzpostavimo normalno poslovanje. Zato moramo sprejeti dejstvo, da kibernetska varnost ni samo strošek in da je kibernetska odpornost velika poslovna prednost.

Vsebino ustvarja Vsebinski studio Delo mediji d.o.o.