Nedavni kibernetski napad na dru\u017ebo HSE je povzro\u010dil nemalo motenj v delu organizacije in tudi v drugih povezanih organizacijah ter s tem pokazal, kako ranljiva je pravzaprav kriti\u010dna infrastruktura. Incident je odprl vpra\u0161anja o stopnji kibernetske varnosti in odpornosti v kriti\u010dni infrastrukturi, zlasti v elektrarnah in pri distribuciji elektri\u010dne energije. Izpostavil je tudi problematiko ozave\u0161\u010denosti zaposlenih o kibernetski varnosti in pripravljenosti na tak\u0161ne napade.<\/p>\n\n\n\n
V tokratnem zapisu bomo razmi\u0161ljali o kibernetski varnosti v \u0161ir\u0161em dru\u017ebenem kontekstu, o vlogi vodstva pri promociji kibernetske varnosti, o pomenu zaposlenih, ki so pogosto prva obrambna vrsta ter o varnosti dobavne verige in krepitvi kibernetske odpornosti.<\/p>\n\n\n\n
Kriti\u010dna infrastruktura je za kibernetske napadalce zelo privla\u010den sektor, saj uspe\u0161ni napadi mo\u010dno vplivajo na dostopnost javnih storitev in lahko ohromijo delovanje dru\u017ebe. Nemoteno delovanje tehnologije, ki poganja klju\u010dne storitve, je nujno za delovanje dru\u017ebe. Upravljanje elektrarn, vodovodov, komunikacijskih omre\u017eij, prometa, finan\u010dnih in ban\u010dnih storitev in drugih podobno pomembnih podro\u010dij zahteva neprekinjeno spremljanje informacijskih in operativnih sistemov, ki skrbijo za delovanje celotne infrastrukture. Kibernetski napadi so vedno pogostej\u0161i in naprednej\u0161i, zato je u\u010dinkovito sledenje varnostnim ukrepom v organizaciji pogosto izziv. Pred desetletji so bili OT sistemi popolnoma zaprti (ang. air-gapped<\/em>) in se niso povezovali navzven. Danes se povezujejo v internet kot vsi drugi sistemi, \u0161e vedno pa na njih pogosto te\u010dejo zastareli programi brez varnostnih posodobitev.<\/p>\n\n\n\n Poleg tega je velik izziv postala tudi (ne)varnost dobavnih verig. Ta problem moramo nasloviti in obvladati v \u010dim kraj\u0161em \u010dasu. Deljenje VPN povezav in obla\u010dnih storitev z drugimi dru\u017ebami \u0161iri podro\u010dje napada in pu\u0161\u010da posledice ne samo napadeni organizaciji, temve\u010d rudi drugim organizacijam v dobavni verigi.<\/p>\n\n\n\n Uspe\u0161en kibernetski napad ne prinese le izgube podatkov, ampak tudi izgubo ugleda. Poleg tega mu sledijo visoki stro\u0161ki za odpravo posledic po napadu, v kriti\u010dni infrastrukturi pa se lahko soo\u010damo celo z \u017eivljenjsko ogro\u017eajo\u010dimi situacijami. Vse to so razlogi, zakaj bi morala biti kibernetska varnost ter z njo povezano deljenje informacij o kibernetskih gro\u017enjah in ozave\u0161\u010danje uporabnikov eno glavnih poglavij vsake poslovne strategije za leto 2024.<\/p>\n\n\n\n Ne glede na to, kako napredne in kvalitetne so va\u0161e varnostne naprave, so v boju proti socialnemu in\u017eeniringu \u0161e vedno neu\u010dinkovite. Ko odgovarjamo na razli\u010dne pozive v e-po\u0161ti, na dru\u017eabnih omre\u017ejih in v aplikacijah za klepete, moramo biti ekstremno previdni. Porast v spletnem nakupovanju je odprl nove dimenzije napadov preko SMS sporo\u010dil (ang. smishing<\/em>), kar je pogosto povezano z vdori v baze dostavnih slu\u017eb. Kadar se poslano \u0161kodljivo sporo\u010dilo \u010dasovno povezuje z uporabnikovim nakupov v spletni trgovini ali v drugi aplikaciji (npr. e-banki), je mo\u017enost za uspe\u0161en potek napada zelo velika.<\/p>\n\n\n\n Pred nekaj tedni je bila v zagonu kampanja preko SMS sporo\u010dil, v katerih so od uporabnika zahtevali pla\u010dilo nizkih carinskih stro\u0161kov za dostavo blaga izven EU. Predstavljajte si, da ste prav v tistem \u010dasu naro\u010dili nekaj iz Velike Britanije. Vrednost \u00bbcarinskih stro\u0161kov\u00ab se zdi sprejemljiva, zato znesek poravnate. \u010cez nekaj minut pa prejmete sporo\u010dilo za potrditev pla\u010dila v e-banki v vrednosti 300 EUR. Zagotovo bi vam malo zavrelo. Na sre\u010do ve\u010dina ponudnikov ban\u010dnih storitev pri pla\u010devanju z e-banko zahteva potrditev transakcije in se nadaljnjih odlivom lahko izognete. Vseeno pa lahko hekerji \u017ee samo z mno\u017eico nakazil po 1,98 EUR zaslu\u017eijo milijone.<\/p>\n\n\n\n CISO ne more prepre\u010diti napak, ki jih uporabniki delajo v svojem prostem \u010dasu. Vsekakor pa bi vzpostavljanje kibernetsko odpornega poslovnega okolja morala biti ena njegovih glavnih prioritet. V podjetju Carbonsec verjamemo, da je najbolj\u0161i na\u010din za dvig ozave\u0161\u010denosti zaposlenih reden trening s simulacijami napadov z ribarjenjem. Rezultate kampanj naj odgovorni predstavijo zaposlenim ter izvedejo delavnice, na katerih predelajo glavne in najpogostej\u0161e napake.<\/p>\n\n\n\n \u010ceprav socialni in\u017eeniring pogosto ena\u010dimo z razli\u010dnimi variantami napadov z ribarjenjem, obstajajo tudi drugi napadi, ki prav tako sodijo v socialni in\u017eeniring. Kibernetski napad se za\u010dne z zbiranjem informacij in nih\u010de ne ve, kako dolgo so nas opazovali, preden se je napad dejansko za\u010del.<\/p>\n\n\n\n Informacije, ki jih delimo na internetu, so za napadalce prava zakladnica. Morda se bodo s pomo\u010djo teh informacij z vami celo spoprijateljili, in to na poponoma nesumljiv na\u010din. Nedol\u017een klepet je lahko dragocen vir informacij za nekoga, ki to\u010dno ve, kaj i\u0161\u010de.<\/p>\n\n\n\n \u0160e en primer socialnega in\u017eeniringa je t. i. \u00bbpridr\u017eanje vrat\u00ab (ang. tailgating<\/em>) \u2013 omogo\u010danje dostopa v poslovne prostore osebam, katerih identitete nismo preverili. Lahko se pretvarjajo, da so zunanji izvajalci, npr. serviserji tiskalnikov ali avtomata za kavo. In ne pozabite, o ob\u010dutljivih temah se v javnosti ne pogovarjajte. V kavarni ali restavraciji nikoli ne veste, kdo sedi pri sosednji mizi.<\/p>\n\n\n\n Na sistemski ravni mora biti redno varnostno testiranje del organizacijskih procesov, kot je to npr. po\u017earna vaja. Varnostni testi poka\u017eejo, kako u\u010dinkoviti so varnostni ukrepi in protokoli ter ponudijo smernice za aktivnosti v naslednjem obdobju. Rezultati varnostnega testa so osnova za osve\u017eitev ocene tveganja, vpeljavo dodatnih varnostnih kontrol v poslovnem okolju ter izbolj\u0161anje va\u0161ih storitev.<\/p>\n\n\n\n V skladu s strate\u0161kim upravljanjem kibernetske varnosti je smiselno planirati razli\u010dne varnostne teste tekom celega leta in glede na va\u0161e notranje procese v plan umestiti tudi verifikacijo. Tako lahko celotno notranje omre\u017eje testirate enkrat letno, teste z manj\u0161im obsegom pa \u010dasovno ustrezno razporedite (npr. testiranje ene aplikacije ali le dela omre\u017eja, testiranje odpornosti na dolo\u010deno ranljivost ipd.).<\/p>\n\n\n\n Priprava \u010dasovnice varnostnih testiranj vam pomaga pri prioritizaciji aktivnosti na podro\u010dju kibernetske varnosti, naloge lahko razporedite \u010dez vse leto in se izognete ozkim grlom pred dolo\u010denimi roki (npr. zunanje revizije, doseganje letnih ciljev ipd.).<\/p>\n\n\n\n Strategija kibernetske varnosti mora biti usklajena z na\u010drtovanjem poslovanja in razvoja. Ob koncu tretjega kvartala, ko se obi\u010dajno oblikujejo plani za naslednje leto, vodstvo dolo\u010di cilje. Pomembno je, da pri strate\u0161kem na\u010drtovanju sodeluje tudi CISO ter v cilje vklju\u010di informacijsko in kibernetsko varnost.<\/p>\n\n\n\n Na primer, \u010de razvijate programsko opremo in \u017eelite novo aplikacijo lansirati v oktobru, na\u010drtujte vdorni test za junij. Tako bo imela va\u0161a razvojna ekipa dovolj \u010dasa, da odpravi odkrite ranljivosti in lahko najpozneje v za\u010detku septembra izvedete verifikacijo.<\/em><\/p>\n\n\n\n Strategija upravljanja kibernetske varnosti naj vklju\u010duje redne revizije po enem od uveljavljenih ogrodij (npr. CIS) ter na\u010drt za odziv in povrnitev po kibernetskem napadu. Ukrepi in odgovorne osebe morajo biti to\u010dno dolo\u010deni. Tako bo vsak v organizaciji vedel, kdo je odgovoren za posamezno nalogo ali del infrastrukture.<\/p>\n\n\n\n V\u010dasih je vodstvo te\u017eko prepri\u010dati, naj varnosti namenijo ve\u010d sredstev. CISO mora skrbeti, da kibernetska varnost postane in ostane glavna prioriteta. Ozave\u0161\u010danje je dolgotrajen proces in se ne zgodi \u010dez no\u010d, zato moramo biti potrpe\u017eljivi. V\u010dasih se je treba kaj nau\u010diti tudi na napakah. Nekatere organizacije se \u017ee od samega za\u010detka zavedajo pomena kibernetske varnosti, druge pa morajo najprej izkusiti napad, \u0161ele potem umestijo kibernetsko varnost med podporne stebre poslovanja. \u010ce je kon\u010dni rezultat bolj\u0161a kibernetska varnost, smo cilj dosegli.<\/p>\n\n\n\n Vi\u0161a raven kibernetske varnosti za podjetje pomeni bolj\u0161i polo\u017eaj na trgu. Kot dolo\u010da nova EU regulativa, je spremljanje varnosti dobaviteljev nujno, saj povezovanje podjetij v mre\u017ee obla\u010dnih tehnologij ustvarja ve\u010djo povr\u0161ino napada.<\/p>\n\n\n\n Zelo verjetno katera od va\u0161ih strank \u017ee spremlja va\u0161e zunanje omre\u017eje. Tudi vi za\u010dnite spremljati varnost svojih dobaviteljev in s tem prispevajte k ustvarjanju varne dobavne verige. Predstavljajte si, da bi vsi za\u010deli obve\u0161\u010dati svoje dobavitelje o varnostnih pomanjkljivostih, ki jih zaznamo pri rutinskem spremljanju. Ustvarjati bi za\u010deli \u00bbinteligenco dobavne verige\u00ab, s pomo\u010djo katere bi lahko odstranili varnostne gro\u017enje, \u0161e preden bi se uresni\u010dile, in zmanj\u0161ali tveganja, ki grozijo verigi organizacij.<\/p>\n\n\n\n Kot smo \u017ee omenili, izzivi kibernetske varnosti niso vezani le na poslovna okolja. Postali so pomemben del na\u0161ih \u017eivljenj. Obi\u010dajni uporabniki interneta v svojih domovih navadno ne name\u0161\u010dajo po\u017earnih pregrad ali drugih varnostnih naprav. Vsekakor pa bi vsak uporabnik internetnih storitev moral imeti dolo\u010deno stopnjo ozave\u0161\u010denosti in znanja o kibernetski varnosti, da lahko ostane odporen na kibernetske napade in ne ogro\u017ea drugih, ki so z njim povezani v kibernetsko dobavno verigo (npr. prijateljev v dru\u017eabnem omre\u017eju).<\/p>\n\n\n\n Menim, da bi tisti, ki imamo dovolj znanja o kibernetskih gro\u017enjah morali prena\u0161ati to znanje na tiste, ki so na tem podro\u010dju \u0161ibkej\u0161i (npr. otroci, starej\u0161i, manj izobra\u017eeni uporabniki, tisti, ki za opravljanje svojega primarnega dela ne uporabljajo ra\u010dunalnika ipd.). Ustvarjanje varnostno ozave\u0161\u010dene dru\u017ebe je naloga, pri kateri lahko vsi sodelujemo in ki vsem prina\u0161a koristi.<\/p>\n\n\n\n <\/p>\n\n\n Penetracijski test omogo\u010da odkrivanje ranljivosti IT sistema in je podlaga za dolo\u010danje njihove kriti\u010dnosti in podajanje priporo\u010dil.<\/p>\n<\/div><\/div><\/article>\nVloga socialnega in\u017eeniringa in kibernetski napad<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2023\/06\/smart-home-3096219_1280-1024x682.jpg\")
<\/figure>\n\n\n\nSocialni in\u017eeniring ni samo \u00bbphishing\u00ab<\/h2>\n\n\n\n
Kibernetski napad in na\u010drtovanje rednih varnostnih testov<\/h2>\n\n\n\n
Podpora vodstva je nujna<\/h2>\n\n\n\n
Spremljajte varnost dobavne verige<\/h2>\n\n\n\n
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2023\/12\/1920-businessman-touching-on-virtual-screen-icon-b2b-business-to-business-icons-and-symbols-commerce-technology-marketing-concept-1024x678.jpg\"){kind=icon}
<\/figure>\n\n\n\nSkupaj gradimo varnej\u0161o dru\u017ebo<\/h2>\n\n\n\n
\nPi\u0161ite nam za vam prilagojeno varnostno testiranje<\/strong><\/a><\/div>\n<\/div>\n\n\n\n![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/Penetration-testing.jpg\")
<\/a><\/div>Penetracijski test<\/a><\/h3><\/header>
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/code-review.jpg\")
<\/a><\/div>![\"Webinar:](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2021\/10\/avtomatsko-potrjevanje-varnosti_heker_carbonsec-1.jpg\")
<\/a><\/div>