Smail Jušić: »Tehnologijo lahko kupiš, ekipe, znanja in zaupanja pa ne.«

Smail Jušić, strokovnjak za kibernetsko varnost v T-2 in letošnji prejemnik priznanja Varnostni inženir leta, je eden ključnih ljudi pri razvoju T-2 SOC – varnostno-operativnega centra, ki danes deluje 24 ur na dan, vse dni v letu. Z njim smo se pogovarjali o tem, kako so se v zadnjem desetletju spremenile kibernetske grožnje, zakaj tehnologija sama po sebi ne zagotavlja varnosti, zakaj bi morali v Sloveniji več sodelovati ter kako bo umetna inteligenca spremenila delo varnostnih inženirjev.

Za razvoj T-2 SOC ste prejeli tudi priznanje varnostni inženir leta. Kako se je zgodba centra pravzaprav začela in kaj je T-2 SOC danes?

Začetki segajo približno deset let v preteklost, ko smo pripravili prvi tehnični in organizacijski načrt za postavitev lastnega SOC centra. Pomembno vlogo je imelo poslovodstvo T-2, predvsem Jože Zrimšek, član poslovodstva za področje tehnike, ki me je takrat povabil na pogovor in mi dejal: »T-2 mora zgraditi lasten SOC center.« Nato pa še: »Smail, vidim te kot ključno osebo pri njegovi izgradnji.«

Smail Jušić, prejemnik priznanja varnostni inženir leta 2026 FOTO: Nikola Jurišić

Izziv sem sprejel, čeprav sem se dobro zavedal odgovornosti. SOC namreč ni nekaj, kar postaviš z nakupom ene tehnološke rešitve. Zgraditi moraš ekipo, procese, pravila odzivanja, način komunikacije, znanje in predvsem zaupanje.

Začeli smo praktično iz nič. Gradili smo arhitekturo, izbirali tehnologije, povezovali različne varnostne vire ter vzpostavljali postopke za zaznavanje in obravnavo varnostnih dogodkov. Ob tem smo ves čas razvijali znanje ekipe, testirali, se učili in prilagajali.

Danes je T-2 SOC varnostno-operativni center, ki deluje neprestano, z ekipo varnostnih analitikov, vzpostavljenimi procesi, naprednimi tehnologijami in tudi lastnimi rešitvami. Z znanjem in kakovostjo smo si ustvarili mesto med kibernetskimi centri v Sloveniji in širše. Evropski projekt INTERCEPT, ki ga vodi T-2, je dodatna potrditev, da so naše znanje, izkušnje in rešitve prepoznani tudi na evropski ravni.

Kaj je bil pri razvoju centra najtežji preskok?

Zagotovo ne tehnologija. Tehnologijo lahko kupiš. Veliko težje je iz posameznih rešitev, ljudi in idej zgraditi delujoč 24/7 operativni model, v katerem se morajo usklajeno povezovati varnostni analitiki, procesi, orodja, odzivanje na dogodke ter komunikacija s strankami in državnimi organi.

To je bil najtežji, a hkrati najpomembnejši preskok. Pri razvoju SOC-a je ogromno prispeval Marko Doltar, pomembno vlogo pa so imeli tudi vsi sodelavci, ki so sodelovali pri njegovi izgradnji. V ozadju so bile velike investicije v infrastrukturo, tehnologijo, licence, kader, izobraževanja in certificiranja.

Več let smo se učili, testirali, gradili in dozorevali, preden smo samozavestno stopili na trg. Danes lahko rečem, da je bila odločitev za lasten SOC ena pomembnejših strateških odločitev T-2 na področju kibernetske varnosti.

Ves ta čas spremljate tudi dejanske napade in incidente. Kaj se je pri napadalcih najbolj spremenilo?

Predvsem njihova profesionalizacija. Pri resnejših napadih danes ne govorimo več o posamezniku, ki nekaj poskuša, ampak o dobro organiziranih skupinah z jasno razdeljenimi vlogami. Nekdo išče ranljivosti, drugi poskuša pridobiti dostop, tretji prodaja ukradene poverilnice na črnem spletu, četrti pa lahko izsiljuje.

Napadalci so postali organizirani skoraj tako, kot bi šlo za podjetje.

Hkrati je vse pomembnejša identiteta uporabnika. Pri številnih napadih je vstopna točka še vedno spletno ribarjenje oziroma phishing, zloraba dostopov VPN ali elektronske pošte. Napadalec ne potrebuje nujno zapletenega tehničnega vdora, če lahko uporabnika prepriča, da mu sam odpre vrata.

Z umetno inteligenco so napadalci postali še hitrejši in učinkovitejši. Zato se danes pogosto bolj kot na sisteme osredotočajo na najšibkejši člen – človeka.

O phishingu, geslih in večfaktorski avtentikaciji govorimo že leta, incidentov pa ni nič manj. Kje podjetja še vedno delajo največjo napako?

Največja težava je, da številna podjetja kibernetske varnosti še vedno ne obravnavajo kot upravljavsko tveganje, primerljivo z drugimi strateškimi tveganji podjetja. Če vodstvo tveganj ne razume in varnosti ne določi kot strateške prioritete, tudi kultura varnosti v podjetju težko zares zaživi.

Zaposleni so pogosto zadnja obrambna linija, na katero prelagamo prevelik del odgovornosti. Seveda jih moramo izobraževati o phishingu, geslih in kibernetski higieni, vendar ne moremo pričakovati, da bo človek vedno popoln varnostni filter.

Podjetje mora zato imeti vzpostavljene dodatne varovalke tudi za trenutek, ko zaposleni naredi napako – od večfaktorske avtentikacije in omejevanja dostopov do jasnih postopkov odzivanja na incidente.

Varnostna kultura zaposlenih in napredna tehnološka infrastruktura morata delovati z roko v roki.

FOTO: Depositphotos

Pred petimi leti ste predlagali tesnejše sodelovanje slovenskih telekomunikacijskih operaterjev pri izmenjavi informacij o kibernetskih grožnjah. Pobuda takrat ni zaživela. Je danes drugače?

Danes so razmere bistveno drugačne. Grožnje so kompleksnejše, okolje bolj nepredvidljivo, geopolitične razmere močno vplivajo tudi na digitalni svet, umetna inteligenca pa vse hitreje spreminja naše poslovno in zasebno življenje.

Tudi odnos do izmenjave informacij se zato spreminja. Vendar je med načelnim strinjanjem, da je sodelovanje pomembno, in dejanskim operativnim deljenjem informacij še vedno precejšnja razlika.

Izzivi so zaupanje, pravni okvir, odgovornost, strah pred razkritjem občutljivih informacij in včasih tudi konkurenčnost med operaterji.

Ko govorim o izmenjavi informacij, ne mislim na poslovne skrivnosti ali podatke o naročnikih. Govorim o pravočasni izmenjavi informacij, ki lahko pri nekom drugem preprečijo incident – indikatorjih zlorab, zlonamernih domenah in IP-naslovih, vzorcih napadov, taktikah in dobrih praksah.

Prav zato je evropski projekt INTERCEPT pomemben korak. Ne gre zgolj za tehnološko nadgradnjo, ampak za strateško razvojno pobudo na področju kibernetske varnosti, zaščite kritične infrastrukture in digitalne suverenosti Slovenije in Hrvaške.

Kaj bi si kot varnostni inženir leta želeli spremeniti na področju kibernetske varnosti v Sloveniji?

Želim si, da bi v Sloveniji zaživelo še bolj povezano sodelovanje centrov za kibernetsko varnost. Imamo SI-CERT, ki ima izjemno pomembno vlogo kot operativni koordinator in osrednje vozlišče za izmenjavo podatkov, vendar lahko telekomunikacijski operaterji na tem področju naredimo še bistveno več.

Navsezadnje zagotavljamo dostop do interneta velikemu delu prebivalstva in gospodarstva, zato imamo tudi posebno odgovornost pri hitrem zaznavanju groženj, izmenjavi informacij in odzivanju nanje.

T-2 je bil in ostaja odprt za takšno povezovanje, predvsem na tehnični in operativni ravni.

Kako pa bo videti prvovrsten SOC čez pet let? Bo varnostnega inženirja deloma nadomestila umetna inteligenca?

SOC čez pet let zagotovo ne bo več prostor, kjer bodo varnostni analitiki predvsem pregledovali in razvrščali alarme. Avtonomna umetna inteligenca in avtomatizacija ga bosta preoblikovali v bistveno bolj proaktiven in strateški center.

Umetna inteligenca bo prevzela velik del začetnega triažiranja, obogatitve podatkov, analize lažnih alarmov in drugih rutinskih nalog. Vrednost varnostnega inženirja se bo zato premaknila drugam.

Ne bo več predvsem »čistilec alarmov«, ampak strateški arhitekt in revizor obrambe. Varnostni inženir prihodnosti bo kombinacija upravljavca umetne inteligence, forenzika in strateškega svetovalca. Združevati bo moral tehnično znanje, kritično razmišljanje, razumevanje poslovanja, komunikacijske sposobnosti in etično odgovornost.

Umetna inteligenca bo torej pospešila in preoblikovala delo SOC-a, človek pa bo ostal tisti, ki bo dal kontekst, prevzel odgovornost in sprejel končno presojo.

Vsebino ustvarja Vsebinski studio Delo mediji d.o.o.