U Europskoj uniji već 11. godinu zaredom listopad se obilježava kao europski mjesec kibernetičke sigurnosti. Zemlje članice tim povodom organiziraju razne edukacije i kampanje kojima je cilj podići svijest o kibernetičkoj sigurnosti među građanima, ali i poslovnim subjektima.

Dnevno se bilježi i do sedam milijuna kibernetičkih napada koji sežu od jednostavnijih, poput probijanja nečije lozinke do sofisticiranijih, kao što je hakerski napad na sustav neke institucije ili tvrtke. Kako online napadi postaju sve češći i uvjerljiviji, teže je prepoznati opasnosti i zato se važno educirati o potencijalnim kibernetičkim prijetnjama.

Damir Bujan, konzultant za informacijsku i kibernetičku sigurnost u A1 Hrvatska, podijelio je nekoliko savjeta koji će ti pomoći da što sigurnije navigiraš online svijetom, a otkrio je i koji su najveći cyber security izazovi u bližoj budućnosti.

Kako je izgledao tvoj karijerni put i profesionalni razvoj u A1 Hrvatska?

Došao sam u A1 Hrvatska prije skoro tri godine, početkom 2021. godine. Primarno sam zaposlen kao ICT Presales za DC usluge (usluge podatkovnog centra poput kolokacije). U to vrijeme A1 je završavao izgradnju svog novog podatkovnog centra u Zagrebu pa sam dosta vremena provodio ondje. Nakon što je DC otvoren krajem 2021., počeli smo dovoditi potencijalne korisnike u obilazak nove zgrade, što je rezultiralo povećanom prodajom usluge kolokacije (oprema korisnika smještena u A1 podatkovnom centru).

Tijekom 2022. godine naglasak na informacijsku i kibernetičku sigurnost postajao je sve veći jer su upiti korisnika na tu temu postali učestaliji. Sukladno tome, fokus A1 ICT odjela također je pojačan u tom segmentu pa sam preuzeo ulogu konzultanta za informacijsku i kibernetičku sigurnost. Zapravo, postao sam svojevrsni „prevoditelj“ tehničkog jezika kojim govore tehničari, inženjeri i ostali IT stručnjaci na jezik koji je razumljiv direktorima, upravama i osobama koje moraju donositi bitne strateške odluke.

Kako izgleda radni dan u životu konzultanta za informacijsku i kibernetičku sigurnost?

Tipičan radni dan u životu konzultanta za informacijsku i kibernetičku sigurnost sastoji se od dosta čitanja i proučavanja novih kibernetičkih prijetnji te stalnog usavršavanja u domeni koja je kao živi organizam i podložna stalnim promjenama. Tu je i dosta sastanaka i dijeljenja informacija s kolegama, „brainstorminga“ oko strategije i pristupa određenom korisniku kako bismo mu pomogli riješiti određeni problem. Također, tu su i sastanci kod korisnika koji su sve samo ne dosadni kad je kibernetička sigurnost u pitanju.

Phishing napadi kojima smo izloženi na privatnim e-mail adresama postaju sve uvjerljiviji, a njima smo izloženi i na poslu. Možeš li ukratko opisati što je whaling i kako ne nasjesti na takve napade?

Whaling napad zapravo je ciljani phishing napad. Dok se klasičnim phishingom cilja jako veliki segment korisnika (pa tko se ulovi, ulovio se), whaling napadom ciljamo točno određenog pojedinca. To je obično C-level direktor u nekoj tvrtki i u većini slučajeva osoba koja ima pristup financijama te tvrtke. Najbolja prevencija od whaling i phishing napada jest stalno biti na oprezu i kritički razmišljati o svemu što radiš na internetu.

Stalno moraš imati na umu: ako nešto zvuči predobro da bi bilo istinito, to je u 99,9 posto slučajeva alarm za uzbunu i sigurno je neka vrsta prijevare u pitanju. To nije nimalo jednostavno, a kriminalci na internetu su sve domišljatiji u kreiranju uvjerljivih phishing kampanja. Danas su jako popularne lažne internet stranice banaka koje te mame da klikneš na link i uneseš svoje podatke s kartica, tekućih računa, osobne podatke i slično.

Na što se raspodjeljuje i troši novac koji tvrtke odvajaju za kibernetičku sigurnost?

Većina novca koji tvrtke troše na kibernetičku sigurnost odlazi na kupnju sofisticiranih alata kako bi se rizik od prijetnji s interneta smanjio na najmanju moguću mjeru. Manji dio novca odlazi na edukaciju korisnika. Smatram da bi se trebao smanjiti broj alata i tehnologija koje prosječna tvrtka koristi kao zaštitu od kibernetičkih napada, a da bi se trebali povećati budžeti za edukaciju korisnika. Naime, kompletna zaštita od kibernetičkih napada pada u vodu ako imamo korisnike koji nisu educirani o tome kako se trebaju ponašati na internetu.

Koliko su ljudi danas svjesni izloženosti kibernetičkim napadima? Kako odabrati dobru i neprobojnu lozinku?

Svjesnost o izloženosti kibernetičkim napadima sve je veća, ali isto tako maliciozni napadači svakim su danom sve vještiji. Sukladno tome, stalno postoji određeni raskorak između naše svijesti o rizicima i onoga što napadači mogu napraviti.

Savjet vezan uz lozinke je sljedeći: ne trebaju ti kratke i složene lozinke, već relativno dugačke, ali jednostavne. Na primjer, lozinka „banana-jabuka_ananas“ puno je bolja od lozinke „211?eu)Lwm“. Naime, prvu ćeš puno lakše zapamtiti od druge. Također, lozinku od 20 znakova značajno je teže probiti posebnim alatima nego ovu od 10 znakova.

Još jedan vrlo bitan savjet: nikako ne koristi istu lozinku za više ključnih stvari poput poslovnog korisničkog računa, Gmaila, Facebooka i slično. Kompromitiranjem lozinke svi tvoji računi na kojima koristiš istu lozinku bit će nepovratno izgubljeni.

Koji su najveći cyber security izazovi koji nas očekuju u idućih nekoliko mjeseci?

U sljedećih šest do 12 mjeseci glavni izazovi u EU bit će stupanje na snagu NIS2 (Network and Information Security) direktive. Cilj NIS2 direktive jest uspostaviti standardnu razinu kibernetičke sigurnosti u svim državama članicama uvođenjem standardiziranih zahtjeva i mjera te zakonskog okvira.

Uspostavom sigurnosnih zahtjeva, obvezom izvještavanja, provedbom mjera i sankcija, NIS2 nastoji zaštititi ključnu infrastrukturu Europske unije i sve njezine građane od utjecaja kibernetičkih napada na IT sustave tvrtki koje pružaju usluge od iznimne važnosti za svakodnevni život (vodovod, distribucija električne energije, plinovod, željeznica, proizvodnja hrane i slično). Dakle, tri su primarna cilja uvođenja NIS2 direktive:

- Povećati otpornost na kibernetičke napade među ključnim pružateljima usluga u EU.
- Pojednostavniti otpornost na kibernetičke napade strožim sigurnosnim zahtjevima i kaznama za njihovo kršenje.
- Poboljšati spremnost EU za suočavanje s kibernetičkim napadima.

Internet je prostor svakodnevnog funkcioniranja digitalnog društva, a najučinkovitija obrana od svih vrsta cyber napada je prevencija, odnosno edukacija i informiranje građana. Kibernetička sigurnost je zajednički napor koji zahtijeva predanost pojedinaca, organizacija i društva u cjelini, a uz određene mjere opreza internet možemo učiniti sigurnijim za sve.

Foto: Zvonimir Raspudić/Getty Images