Kybernetická odolnosť v období technologickej a geopolitickej neistoty 

Za posledných päť rokov sa nezmenili základné princípy kybernetickej bezpečnosti. Rozvoj umelej inteligencie, rastúce geopolitické napätie, elektronizácia služieb štátu a organizácií či nová regulácia zásadne menia prostredie, v ktorom organizácie riadia riziká. 

Všetky tieto trendy majú spoločný dôsledok – organizácie sa ich snažia riešiť spôsobmi, ktoré vznikli pre úplne iné prostredie a podmienky. 

Jednotlivé výzvy nepôsobia izolovane. Vytvárajú súbeh okolností, ktoré menia charakter hrozieb, skracujú čas potrebný na ich pôsobenie na organizácie a zároveň sťažujú (niekedy možno až znemožňujú) organizáciám reagovať primeraným spôsobom. 

Spôsoby realizácie bezpečnostných opatrení slovenských organizácií sú rôzne, čo štatisticky potvrdzuje napr. Národný bezpečnostný úrad vo svojich každoročných správach o kybernetickej bezpečnosti. Podobné trendy potvrdzujú aj každoročné správy ENISA a iných relevantných vendorov vo svojej oblasti pôsobenia. 

Niektoré organizácie sa stále spoliehajú na formálnu zhodu s požiadavkami regulácie namiesto systematického budovania kybernetickej odolnosti. Iné pristúpili k zásadným zmenám až po skúsenosti s bezpečnostným incidentom. 

Príklad z praxe – organizácie, kde je bezpečnosť formalita 

V menej vyspelých organizáciách sú nové legislatívne povinnosti často plnené len formálne. Je vypracovaná všeobecná bezpečnostná smernica, sú zaradené základné školenia používateľov a sú obstarané bezpečnostné technológie. Tie však zostávajú v predvolenom nastavení a poznatky zo školení sú po čase zabudnuté. Takto zavedené opatrenia dnes už len ťažko zabezpečujú ochranu organizácie pred kybernetickým incidentom. 

Príklad z praxe – organizácie, kde je racionalita aj v oblasti informačnej bezpečnosti 

V tomto prípade nie sú formálne pokryté povinnosti v plnom rozsahu, organizácia disponuje priemernou (nie najmodernejšou) infraštruktúrou, avšak tá je vhodne a bezpečne nastavená. Pri otvorení falošnej faktúry je organizácia zabezpečená kombináciou procesných a technických opatrení. Platbe na podvodný účet z phishingovej faktúry je zabránené manuálnym overením čísla účtu s dokumentáciou a prístup na škodlivú stránku je zablokovaný bezpečnostnými mechanizmami firewallu. 

Oba príklady sú dnes veľmi aktuálne. Otázkou je, ako možno všeobecne známe, rokmi osvedčené konzervatívne prístupy ku kybernetickej bezpečnosti uplatňovať v prostredí, ktoré sa mení podstatne rýchlejšie ako samotné technické (IT) prostriedky. 

Dostupnosť umelej inteligencie mení ekonomiku kybernetických útokov 

Kľúčovou zmenou posledných rokov nie je samotná umelá inteligencia, ale jej široká dostupnosť. Tá výrazne skracuje čas a znižuje náklady útočníkov na prípravu a realizáciu kybernetických útokov. 

Umelá inteligencia umožňuje útočníkom automatizovať prieskum verejne dostupných systémov, identifikovať zraniteľnosti a pripravovať personalizované phishingové kampane. Vyhľadávanie cieľov je vo veľkej miere nahrádzané automatizovanými nástrojmi, ktoré priebežne identifikujú exponované systémy a vyhodnocujú ich vhodnosť na kompromitáciu. 

Tento trend zvyšuje význam riadenia zraniteľností na perimetri siete a do budúcna možno očakávať, že organizácie budú schopné na nové zraniteľnosti tejto kategórie reagovať automatizovane a v čo najkratšom čase. 

Geopolitická nestabilita znižuje schopnosť modernizovať infraštruktúru 

Súčasné poznatky z bezpečnostných útokov v dnešnej dobe nie je možné hodnotiť bez zohľadnenia geopolitického diania vo svete. 

Obmedzenia globálnych dodávateľských reťazcov, rast cien polovodičov, vysoký dopyt po výpočtových zdrojoch pre AI a ekonomická neistota spôsobujú predlžovanie plánovaných intervalov obmeny výpočtovej techniky. 

Organizácie sú dnes čoraz častejšie nútené prevádzkovať infraštruktúru dlhšie, ako bolo pôvodne plánované. To, že súčasná infraštruktúra nemusí vyhovovať novým potrebám (zvyšujúce sa objemy údajov, nedostatok výkonu), je iba časť problému. 

Druhú časť problému tvorí hardvér a jeho spoľahlivosť – t. j. schopnosť bezporuchovej prevádzky v určenom stave a s určenými, očakávanými parametrami odozvy. 

Tretiu, nie poslednú časť problému predstavuje využívanie operačných systémov, firmvérov sieťových prvkov alebo aplikačného softvéru bez podpory výrobcu, čo významne komplikuje riadenie zraniteľností a prijímanie nových bezpečnostných opatrení. 

Osobitnou kategóriou sú kritické systémy štátu postavené na rôznorodom, dnes už zastaranom hardvéri a aplikačnom vybavení. V takýchto prípadoch, keď výmena nie je z akéhokoľvek dôvodu možná, pomôžu kompenzačné bezpečnostné opatrenia a dôsledná izolácia systému, jeho komponentov a dodatočné, predradené prvky ochrany. 

Kompenzačné opatrenia získavajú na význame 

Obmedzené finančné zdroje neumožňujú mnohým organizáciám realizovať potrebné investície do kybernetickej bezpečnosti. Technologická infraštruktúra je preto často prevádzkovaná aj po skončení plánovaného životného cyklu, čím sa zvyšuje bezpečnostné riziko. 

Pri plánovaní bezpečnostných opatrení je určovaný rozsah finančných aj časových investícií, ktoré si organizácia môže dovoliť. Ak je možné prispôsobiť existujúcu infraštruktúru tak, aby bola bezpečnejšia (t. j. pridaním nových spôsobilostí) bez jej okamžitej výmeny, rozhodujúcim faktorom často nie sú financie, ale čas potrebný na realizáciu zmien. Čím neskôr sú opatrenia zavedené, tým vyššie je riziko zneužitia existujúcich slabín. 

Riziká starších infraštruktúr je možné významne znižovať segmentáciou siete, izoláciou kritických prostredí, riadením privilegovaných prístupov, efektívnym prevádzkovým a bezpečnostným monitoringom a kvalitne vybudovaným viacvrstvovým zálohovaním. 

Do tejto kategórie opatrení možno zaradiť aj opatrenia založené na znižovaní viditeľnosti systémov. 

Princíp security by obscurity (t.j. bezpečnosť založená na skrývaní sa či utajení) býva oprávnene kritizovaný, ak predstavuje jediný mechanizmus ochrany. V prostredí dnešného masového automatizovaného skenovania verejného internetu však môže toto doplnkové, kompenzačné opatrenie znižovať pravdepodobnosť kompromitácie systémov, ktoré by sa inak stali cieľom automatizovaných útokov. 

Napríklad skrývanie a obmedzovanie prístupu do administračných rozhraní informačných systémov dostupných z internetu či webových stránok. Aj prevádzkovateľ jednoduchého eshopu, drobný živnostník či malá firma majú v štandardných paneloch nastavení webhostingu možnosť „vyklikať“ si bezpečnostné opatrenia. Významné zníženie rizika prináša už jednoduché obmedzenie prístupu k administračným rozhraniam dostupným z internetu. Triviálne opatrenie, akým je ochrana administrátorského rozhrania dodatočnou autentifikáciou (Basic Authentication), výrazne sťažuje zneužitie webových zraniteľností. Úroveň ochrany je možné ďalej zvýšiť obmedzením prístupu podľa IP adries alebo geografickej lokality a nasadením webového aplikačného firewallu (WAF) s vhodne nastavenými bezpečnostnými pravidlami. V dnešnej dobe je možné tieto opatrenia štandardne realizovať bez ďalších dodatočných nákladov. 

Regulácia nemôže nahradiť riadenie rizík 

Formálna zhoda s požiadavkami regulácie sama osebe neznižuje riziko úspešného útoku či spôsobilostí organizácie sa po útoku zotaviť s čo najmenšími následkami.  

Ak organizácie nedokážu (alebo nechcú) požiadavky pretaviť do reálnych technických a organizačných opatrení, zostáva dosiahnutý súlad ako príklad predpätého formalizmu. 

Termín predpätý formalizmus možno z právneho pohľadu definovať ako nepružné lipnutie na paragrafoch a zákonoch. To platí aj v kybernetickej bezpečnosti. Kybernetická bezpečnosť nie je stav dosiahnutý splnením požiadaviek legislatívy či smernice. Ide o proces kontinuálneho riadenia rizík. 

Skutočná kybernetická odolnosť vzniká návratom k podstate fungovania bezpečnostných mechanizmov 

Technologické trendy sa menia, no základné princípy ochrany informačných systémov zostávajú nemenné.  

Z praktických skúseností vyplýva, že bezpečnostné funkcie existujúcich technológií zostávajú v mnohých organizáciách nevyužité. Najčastejšie sú pri technických auditoch infraštruktúry identifikované nedostatky v segmentácii siete a v návrhu zálohovania, pričom ich odstránenie si často nevyžaduje významné finančné investície. 

Pri jednom technicko-bezpečnostnom posúdení bolo zistené, že zálohovací systém bol priamo dostupný z internej zamestnaneckej siete, nebol oddelený od virtualizačnej infraštruktúry a v prípade kompromitácie umožňoval vymazanie všetkých záloh. Zavedením sieťovej segmentácie, sprísnením komunikačných pravidiel, úpravou konfigurácie zálohovacieho úložiska a šifrovaním záloh bola ich odolnosť výrazne zvýšená. Absolútna bezpečnosť síce nemôže byť dosiahnutá, no pri ochrane záloh sú maximalizácia úrovne zabezpečenia, prísnosť a precíznosť kľúčové. 

V inom prípade bolo zistené, že moderné bezpečnostné riešenie malo  neaktívnych viac ako polovicu detekčných mechanizmov, pričom ich využitie nebolo možné pre chýbajúcu segmentáciu siete. Úpravou konfigurácie existujúcej infraštruktúry bolo bez dodatočných investícií dosiahnuté výrazné zvýšenie úrovne ochrany. 

Praktické skúsenosti potvrdzujú, že vyššia kybernetická odolnosť nie je podmienená nákupom nových technológií. Vo väčšine prípadov je dosahovaná systematickým prehodnotením bezpečnostnej architektúry, správnou konfiguráciou existujúcich riešení, pravidelným overovaním ich účinnosti a priebežným rozvojom zručností používateľov. 

Budovanie kybernetickej odolnosti dnes znamená predovšetkým schopnosť efektívne využívať existujúce technológie, priebežne overovať ich účinnosť a systematicky zvyšovať pripravenosť ľudí. Organizácie, ktoré dokážu prepojiť technológie, procesy a ľudí do funkčného celku, budú podstatne lepšie pripravené čeliť nielen súčasným, ale aj budúcim hrozbám než tie, ktoré budú svoju bezpečnosť stavať predovšetkým na obstarávaní nových technológií alebo formálnom plnení požiadaviek.