Mogu li IT bezbednosni propusti da unište kompaniju?
Oslanjajući svoje poslovanje na IT rešenja, kompanije ne pridaju dovoljno pažnje IT bezbednosti, već potencijalnoj uštedi i boljoj optimizaciji procesa. Time ignorišu neke od najozbiljnijih pretnji iz sajber prostora, kao što su mogući gubitak podataka, finansijske zloupotrebe, krađa identiteta i intelektualne svojine, neovlašćeni upadi u korporativne IT ekosisteme… Da li se zapitate koliki je životni vek ovakve „neoprezne“ kompanije?
Kompanije, javna preduzeća i državne institucije svoje celokupno poslovanje zasnivaju na IT rešenjima. Na taj način se postižu uštede, brža komunikacij među zaposlenima, bolje planiranje raspoloživih resursa, smanjenje grešaka, veća fleksibilnost i znatno kraće vreme za obavljanje svakodnevnih poslovnih aktivnosti. Ipak, ono čemu kompanije, sasvim neopravdano, posvećuju manje pažnje jeste informaciona bezbednost. Diskusije na najvećim svetskim IT sajmovima i konferencijama ukazuju na to da će ozbiljne kompanije narednih godina najmanje polovinu budžeta za IT trošiti da zaštite svoje podatake. Zaposleni, donosioci odluka, ali i vlasnici kompanija, često se uzdaju u krilaticu: „Neće se to valjda nama desiti“, ne sluteći da najmanji propust u IT bezbednosti može dovesti do potpunog kolapsa cele kompanije. Pojedine firme koje se nakon takvih incidenata oporave, ipak izgube veliki broj klijenata i nikada ne uspeju da vrate poverenje krajnjih korisnika. Da ne pominjem narušenu reputaciju, finansijske gubitke i ono što je nekada najvažnije – odliv najkvalitetnijeg kadra.
Gubitak i krađa podataka
Hakerski napad na Sony, krajem prošle godine, je jedna od ozbiljnijih pretnji ne samo po kompaniju, već i po same zaposlene. Nakon phishing napada brojni zaposleni su dobili i email-ove u kojima se preti, kako njima tako i njihovim porodicama. Odgovornost za ovaj napad preuzela je hakerska grupa Guardians of Peace. Sumnja se da je bezbednost u kompaniji Sony narušena još u maju prošle godine. Tako je zlonamerni softver, koji je kompanija Trend Micro nazvala WIPALL upao u mrežu Sony korporacije, ali je njegova aktivnost ostala neprimećena sve do kraja novembra. Pomoću WIPALL-a su napadači prvo izvukli, a potom i obrisali poverljive informacije sa računara u kompaniji. Zbog ovoga je Sony bio prinuđen da isključi celu svoju mrežu na nedelju dana. Tek nakon detaljne provere IT sistema serveri, neophodni za rad studija, su ponovo aktivirani. Većina veoma poverljivih, ukradenih podataka se našla i na internetu, što dodatno ukazuje na zloupotrebu koja može pogoditi kompaniju krađom patenata, odnosno intelektualne svojine.
Najnovije pretnje i trendovi u IT bezbednosti
Prema poslednjim analizama liderskih kompanija na polju IT bezbednosti, Trend Micro i Check Point, sajber napadi imaju tendenciju da prerastu u najozbiljniju pretnju po život kompanija i digitalnu ekonomiju uopšte. Kako tvrdi Tom Kelerman, Chief Cybersecurity Officer u kompaniji Trend Micro, prošla godina predstavlja prekretnicu u smislu obima i vrste informatičkih napada, a kao najbolji primer za to navodi napad na kompaniju Sony. Što je najgore, ovo samo predstavlja uvod u još teže oblike napada, koji će pojedine kompanije, koje manje brinu o svojoj bezbednosti dovesti do uništenja. Ulaganje u ovu oblast ne treba da se doživljava kao trošak, već kao investicija koja se iz dana u dan isplaćuje. Objašnjenje je jednostavno, jer se potreba za IT bezbednošću najbolje vidi tek posle napada, a to je kasno.
DDoS je i u 2014. godini bila veoma česta tehnika napada. Više od polovine napada dogodi u industriji zabave i medija (Sony PSN, Microsoft Xbox Live). Duplo manje ovakvih napada je u softverskim i tehnološkim kompanijama, a za njima slede kompanije, koje pružaju bezbednosne i finansijske usluge.
Ako posmatramo napade kroz aplikacije, u prošloj godini ih je najviše bilo na Java aplikacijama i internet pretraživačima. Daleko manje napada je bilo preko propusta u proizvodima kompanije Adobe i Microsoft Office programima. Sa druge strane, napadi na mobilne uređaje sve više rastu, a i dalje je najpopularniji OS Android.
Što se tiče finansijskog sektora napadi su sa bankarskih kompanija, gde su i dalje dominantni, počeli da se sele u bitcoin svet. U 2014. godini se skoro četvrtina napada dogodila ili krađom bitcoin novčanika ili tajnim rudarenjem (Data Mining) koristeći resurse zaraženih računara. Napadi pomoću keylogger-a su još uvek aktuelni i to ponajviše u domenu elektronskog i, sve popularnijeg, mobilnog bankarstva. Ipak, nema sumnje da je i dalje socijalni inženjering ključan za uspešne i sve obimnije prevare u finansijskom sektoru.
Predviđanja za 2015. godinu ukazuju na povećanje broja napada na mobilne uređaje i bežične mreže i to prvenstveno u korporativnim sredinama kako bi se došlo do što veće koristi od ukradenih podataka. Sa druge strane, gotovina je uvek aktuelna tako da se u finansijskom sektoru očekuje pojačan broj ciljanih napada, koji mogu oštetiti kompaniju i za duplo veće iznose nego u prošloj godini. Kao što navode predstavnici kompanije Trend Micro ovo je samo početak sofisticiranijih napada, koji slede u budućnosti.
Finansijski gubici
Još nijedan hakerski napad na kompanije nije prošao bez finansijskih posledica. Nekada je u pitanju krađa novca, a nekada onemogućavanje kompanije da ostvari dobit. Svaki IT napad u kraćem ili dužem periodu uspori redovno poslovanje. Na taj način firma ostaje bez očekivane zarade, a gubitak može da bude i nekoliko stotina hiljada dolara. U poslednje vreme napadi su sve učestaliji i veći, pa se dešava da u pojedinim slučajevima šteta po kompaniju dostigne i nekoliko miliona dolara.Koliko je sistem kompanije Sony prošle godine bio ranjiv pokazuje i to da je potpuno druga hakerska grupa, Lizard Squad izvela DDoS napad. Ovo je prouzrokovalo da pristup PlayStation mreži od strane korisnika bude satima onemogućen. U samo nekoliko dana, Lizard Squad je istom tehnikom napao i Microsoft Xbox Live, pa je pristup i ovoj platformi određeno vreme bio blokiran. Hakerima ovo nije bilo dosta pa su krajem godine ponudili na prodaju alat Lizard Stresser. Ovaj alat je ponuđen svim korisnicima koji žele da preko DDoS tehnike napadnu različite web sajtove i internet servise.
Bezbednost i cloud sistemi
Cloud rešenja se nameću kao bezbednija, a njihova prednost je u tome što su kompanijama u svakom trenutku dostupne najnovije verzije softvera i hardvera a nema dodatnih ulaganja u IT sistem, kao ni troškova održavanja. Upravo zbog toga, kompanije se sve češće odlučuju na cloud rešenja. Na taj način, omogućeno im je korišćenje gotovih softverskih rešenja, ušteda, ne samo na kraće već i na duže staze, fleksibilnost i skalabilnost, brža implementacija novih usluga, brži oporavak u slučaju katastrofe, pristup korporativnim podacima s bilo koje lokacije i slično.
Pored pouzdanosti i raspoloživosti cloud sistema, važno je osigurati i bezbednost. Istraživanja u prethodne dve godine pokazala su da veliki broj kompanija nije pridavao značaj bezbednosti podataka, ali nakon implementacije cloud rešenja bezbednost korporacije višestruko se povećala.
Razlog leži u tome što cloud provajderi mogu da izdvoje veća sredstva za stručne kadrove i nove sisteme prevencije i zaštite IT infrastrukture, jer im je to deo osnovne delatnosti, što mnogim kompanijama koje se čak bave i IT‑jem nije. Pored toga, cloud provajderi nastoje da to potvrde i međunarodnim sertifikatima na polju bezbednosti, koje njihovi klijenti nisu u mogućnosti da obezbede.
Više o bezbednosnim IT rešenjima možete čuti na trećoj Infosec konferenciji. Jedna od najposećenijih konferencija u regionu, u organizaciji kompanije TeleGroup, održaće se 23. aprila u Grand Casinu u Beogradu. TeleGroup podržava napore regionalnih IT asocijacija u skretanju pažnje državnim strukturama i široj javnosti o informacionoj bezbednosti kao najznačajnijem resursu svake države kao i postojanju sve sofisticiranijih pretnji u sajber prostoru, koje ugrožavaju stabilnost regionalne privrede i društva. U tom smislu je neophodno sistemsko uvođenje mehanizama zaštite od sajber kriminala, što je zajednička odgovornost državnih struktura i privrede, gde se od IT kompanija očekuje da obezbede kvalitetna rešenja. Za više informacija posetite:
Luka Milinković
(Objavljeno u časopisu PC#220)
