Svet kibernetske varnosti na zgodovinski prelomnici

Realnost kibernetske varnosti je, da podjetja razumejo (nove) zahteve na papirju, nimajo pa operativnih kapacitet za njihovo neprekinjeno izvajanje. Svet kibernetske varnosti je na zgodovinski prelomnici. Škoda zaradi kibernetskih napadov na mala in srednja podjetja v EU resno ogroža evropsko gospodarstvo. In ukrepi so tu. Z uveljavitvijo zakona o informacijski varnosti (ZInfV-1), ki v slovenski pravni red prenaša evropsko direktivo NIS2, je dolgo uveljavljeno prepričanje, da je kibernetski napad zgolj »tehnični dogodek« ali »težava IT-oddelka«, postalo ne le zastarelo, ampak tudi pravno in poslovno nevarno.

Zakon prinaša korenito konceptualno spremembo v razmišljanju in delovanju: kibernetska varnost postaja vprašanje korporativnega upravljanja, neprekinjenega poslovanja in osebne odgovornosti vodstva. Od podjetij ne zahteva zgolj nakupa novih požarnih pregrad, temveč tudi vzpostavitev celovitega sistema upravljanja kibernetskih tveganj – od detekcije do poročanja regulatorju in dokazovanja skladnosti. Predvsem pa uvaja odgovornost vodstva, da bodo s tem podjetja kibernetsko varnost jemala resno.

Izzivi za podjetja

Zanimalo nas je, kako se zakon o informacijski varnosti izvaja v praksi in s kakšnimi izzivi se spopadajo podjetja, ki so njegovi zavezanci. Zakon o informacijski varnosti namreč precej širi krog zavezancev v primerjavi s prvotno direktivo iz leta 2016. Namesto ozkega nabora izvajalcev storitev tako imenovane kritične infrastrukture nova zakonodaja deli podjetja v dve ključni kategoriji: bistveni in pomembni subjekti. Zakon zdaj vključuje panoge, kot so energetika, promet, bančništvo in zdravstvo. Prej namreč niso bili »pod drobnogledom«, zdaj pa so – to velja za upravljanje odpadkov, poštnih storitev, proizvodnjo kritičnih izdelkov (na primer kemikalije, medicinski pripomočki), živilsko industrijo in javno upravo.

»Eden večjih izzivov, s katerimi se srečujemo v praksi, ni tehnologija, temveč razlika med zaznavanjem tveganj na operativni ravni in odločitvami na ravni vodstva. NIS 2 in ZInfV-1 neposredno rešujeta to razliko, saj poslovodstvu nalagata jasno odgovornost za upravljanje kibernetskih tveganj in nadzor nad izvajanjem ustreznih ukrepov,« pravi Matic Grobelšek, direktor za poslovni trg v podjetju A1 Slovenija. Vsi našteti morajo po novem precej bolj skrbno ravnati s svojo digitalno infrastrukturo, a še vedno ne tako zelo strogo kot ponudniki v oblaku ali podatkovni centri. Ta širitev pomeni, da se bodo s strogimi pravili soočila tudi srednje velika in velika podjetja, ki do zdaj niso sodila v kritično infrastrukturo.

Pritisk na nezavezance prek dobavnih verig

Največji posredni »udarec« zakona pa čutijo podjetja, ki sploh niso neposredni zavezanci. Zakon o informacijski varnosti namreč zahteva strogo obvladovanje tveganj v celotni dobavni verigi (22. člen). Kot poudarja Matjaž Mravljak, direktor Inšpekcije za informacijsko varnost v Uradu vlade RS za informacijsko varnost (URSIV), to za inšpekcijo pomeni velik izziv: »Eden ključnih izzivov pri izvajanju ZInfV-1 je upravljanje tveganj v dobavni verigi. Poseben izziv so veliki dobavitelji, zlasti multinacionalna podjetja iz EU in tretjih držav, ki pogosto niso pripravljena sprejeti ali izvajati obveznosti iz 22. člena ZInfV-1. Dodatne izzive predstavlja tudi izvajanje ocen tveganj ključnih dobaviteljev pri zavezancih ter vključevanje ustreznih varnostnih določb v pogodbe z dobavitelji. Pri tem so z zahtevami zakona posredno obremenjeni tudi subjekti, ki sami niso zavezanci po ZInfV-1, vendar nastopajo kot ključni dobavitelji zavezancev.«

Posamezno podjetje tako ne more več trditi, da je varno, če so varni le njegovi sistemi. Zakon o informacijski varnosti zahteva, da podjetja ocenijo in upravljajo varnostna tveganja svojih dobaviteljev in ponudnikov storitev. To pomeni aktivno vlogo nabavne službe. Spremembe bodo vplivale tudi na delo kadrovske službe, saj človeški dejavnik ostaja najpogostejša vstopna točka za napade in prevare. Redno izobraževanje zaposlenih po novem postaja zakonska obveza, kar pomeni, da morata kadrovski oddelek in oseba, odgovorna za informacijsko varnost, kibernetsko higieno vključiti v vsakodnevne procese.

Pogled s terena: razlike med teorijo in prakso

Ko se odmaknemo od zakonodajnega besedila in pogledamo dejansko stanje v podjetjih, se hitro pokažejo velike razlike. »Podjetja zahteve na papirju razumejo in imajo formalne politike pogosto dobro urejene, popolnoma pa jim spodleti pri operativni izvedbi in neprekinjenem nadzoru (24 ur na dan, sedem dni na teden),« pravi Vladimir Ban, vodja A1 Varnostno operativnega centra (VOC), in iz izkušenj na terenu opiše, kaj se dejansko razkrije v trenutku, ko podjetje začne proces vključevanja v varnostno-operativni center. »Pri tako imenovanih onboardingih redno opažamo, da imajo podjetja, ki so predmet ZInfV-1, formalne politike relativno dobro urejene, precej manj pa dejanski vpogled v svoje okolje. Prvi korak skoraj vedno razkrije, da del sistemov in dostopov sploh ni pod nadzorom. Čeprav številna podjetja menijo, da imajo dober pregled nad varnostnimi dogodki, se v praksi žal pogosto izkaže, da nekaterih zlonamernih aktivnosti sploh ne zaznavajo ali jih zaznajo prepozno. Uveljavljanje določil zakona tako v praksi postane predvsem test realnega stanja, ne dokumentacije.«

Številna podjetja so pod pritiskom zakona sicer sprožila val naložb v sodobne varnostne tehnologije, a sama oprema brez procesov ne prinaša varnosti. Slepe pege, kot so nenadzorovani zunanji dostopi, pomanjkanje vidljivosti nad lastnim omrežjem in odsotnost protokolov za odzivanje, ostajajo ključna težava. Varnostni strokovnjaki opozarjajo tudi na pomanjkljivosti, kot so šibka avtentikacija, neustrezne konfiguracije ali neodpravljene ranljivosti. Posebej pomembno področje so tudi privilegirani in drugi skrbniški računi, ki pogosto predstavljajo najhitrejšo pot do zlorabe informacijskega sistema. Bodisi jih je preveč, bodisi niso ustrezno zaščiteni.

»ZInfV-1 je v številnih podjetjih sprožil investicije, vendar šele varnostni pregled strokovnjakov pokaže, kje so dejanske vrzeli. Ko se okolje enkrat priključi na varnostno-operativni center, postane jasno, da je največ dela s standardizacijo procesov in vidnosti ter odzivanjem. Šele takrat lahko govorimo o skladnosti, ki dejansko deluje v praksi,« dodaja Ban.

Varnostno-operativni center postaja nujna poslovna infrastruktura

Za uspešen prehod iz percepcije tehničnega incidenta v celovito odpornost podjetja je ključno povezovanje treh deležnikov. Ker podjetja nimajo lastnih kadrovskih in operativnih kapacitet za stalno spremljanje sistemov in groženj, varnostno-operativni center (VOC) nastopa kot ključni vezni člen in operativna razširitev kibernetske obrambe podjetja.

»VOC ne deluje kot zunanji svetovalec, ki zapusti podjetje po napisanem poročilu, temveč kot živa infrastruktura, ki zahteve ZInfV-1 prevaja v vsakodnevne operativne procese,« pojasnjuje Ban. Vloga VOC je prenos zakona v prakso skozi stalno spremljanje (24 ur na dan, sedem dni na teden), klasifikacije in takojšnje odzivanje na varnostne incidente namesto občasnih IT-pregledov. Za podjetja je zelo pomembno tudi zagotavljanje zakonskih rokov, predvsem lovljenje kritičnih časovnih oken za obveščanje (zgodnje opozorilo v 24 urah in podrobna analiza v 72 urah), kar je brez avtomatiziranega centra skoraj nemogoče doseči.

»Varnostno-operativni center v tej novi realnosti postaja nujna poslovna infrastruktura. Podjetjem namreč omogoča, da zaprejo vrzel med tistim, kar zahteva zakonodajalec, in tistim, kar zmore njihova interna IT-ekipa, ter tako kibernetsko odpornost spremenijo v svojo tržno prednost. Podjetja, ki ZInfV-1 razumejo zgolj kot regulativo, bodo vedno zaostajala. Tista, ki ga izkoristijo za dvig zrelosti upravljanja tveganj, pa bodo dolgoročno bolj odporna in poslovno stabilnejša,« je zaključil Grobelšek.