Većina organizacija smatra da su njihovi najvrjedniji digitalni resursi podaci. No iz perspektive današnjih napadača često postoji još vrjednija meta – kriptografski ključevi koji štite identitete, certifikate, aplikacije i pristup kritičnim sustavima.
Upravo zato, kako se približava puna primjena NIS2 direktive i novih nacionalnih obveza iz područja kibernetičke sigurnosti, sve više organizacija postavlja pitanje koliko su njihovi sustavi zaista otporni na moderne prijetnje. Dok se najveći dio rasprava posljednjih mjeseci fokusirao na upravljanje rizicima, prijavu incidenata i sigurnost lanca vrijednosti, u pozadini se otvara pitanje o kojem se još uvijek premalo govori – koliko su zapravo sigurni kriptografski ključevi koji štite digitalno poslovanje?
“Većina modernih poslovnih sustava danas funkcionira zahvaljujući kriptografiji. Digitalni certifikati, elektronički potpisi, autentikacija korisnika, enkripcija podataka i sigurna komunikacija između sustava ovise o kriptografskim ključevima. Oni predstavljaju temelj digitalnog povjerenja”, objašnjava Ivan Galić, cyber security stručnjak iz Alfateca.
Problem nastaje kada organizacije zaštitu tih ključeva počnu promatrati kao tehničko pitanje rezervirano samo za IT odjele. U stvarnosti, riječ je o poslovnom riziku koji može imati izravan utjecaj na kontinuitet poslovanja, reputaciju i usklađenost s regulatornim zahtjevima.
Posljednjih godina sigurnosni incidenti pokazali su da napadači sve češće ne ciljaju same podatke, već pokušavaju kompromitirati digitalne identitete, certifikate i sustave koji upravljaju kriptografskim ključevima. Ako napadač dođe do privatnog ključa, može se lažno predstavljati kao legitimni korisnik ili sustav, izdavati certifikate, zaobilaziti sigurnosne kontrole i pristupati informacijama koje bi trebale biti zaštićene.
Posljedice takvih incidenata ne mjere se samo tehničkom štetom. Gubitak povjerenja korisnika, prekid poslovnih procesa, regulatorne posljedice i reputacijska šteta često predstavljaju znatno veći problem od samog incidenta.
Istodobno, složenost upravljanja certifikatima i ključevima raste iz godine u godinu. Organizacije danas upravljaju stotinama, a često i tisućama certifikata raspoređenih kroz cloud okruženja, podatkovne centre, poslovne aplikacije, SaaS platforme i različite uređaje povezane na mrežu.
Dodatni izazov predstavlja i skraćivanje životnog vijeka SSL/TLS certifikata. Ono što je nekad bila administrativna aktivnost koja se provodila povremeno danas postaje kontinuirani operativni proces. Certifikate treba pratiti, obnavljati, rotirati ključeve i osigurati da nijedan kritični sustav ne ostane bez valjanih sigurnosnih mehanizama.
“Zbog toga organizacije sve više ulažu u centralizirano upravljanje certifikatima i kriptografskim ključevima. Takav pristup pruža bolju preglednost, smanjuje mogućnost ljudske pogreške i olakšava usklađivanje s regulatornim zahtjevima.” kaže Galić.
No vidljivost je tek prvi korak.Ako organizacija zna gdje se njezini ključevi nalaze, sljedeće pitanje glasi: kako ih štiti?
“Tradicionalni pristup, u kojem se ključevi pohranjuju unutar aplikacija ili na poslužiteljima zaštićenima prvenstveno softverskim mehanizmima, više ne pruža razinu sigurnosti koju zahtijevaju današnje prijetnje. Moderni napadači vrlo dobro razumiju vrijednost kriptografskih ključeva i svjesni su da kompromitacija jednog ključa može otvoriti vrata cijelom sustavu.” nastavlja Galić.
Zato sve više organizacija uvodi koncept hardware root of trust. Riječ je o pristupu prema kojem se najosjetljiviji sigurnosni elementi štite na razini hardvera, izolirano od ostatka IT okruženja.
U praksi tu ulogu preuzimaju Hardware Security Module (HSM) sustavi. Njihova svrha nije samo sigurna pohrana ključeva. Oni stvaraju posebno zaštićeno okruženje u kojem se kriptografski ključevi generiraju, koriste i čuvaju tijekom cijelog životnog ciklusa.
Takva infrastruktura danas predstavlja temelj brojnih sustava digitalnog povjerenja, od infrastrukture javnih ključeva i digitalnih potpisa do sustava za upravljanje identitetima, enkripcijskih platformi i cloud servisa.
Alfatec već više od tri desetljeća surađuje s tvrtkom Thales na projektima zaštite kritičnih sustava i digitalnih identiteta. Jedno od najpoznatijih rješenja u tom području je Thales Luna HSM, koji organizacijama omogućuje uspostavu hardware root of trust te zaštitu kriptografskih ključeva u skladu sa suvremenim sigurnosnim i regulatornim zahtjevima.
Takva rješenja danas koriste financijske institucije, telekomunikacijski operateri, državne institucije, zdravstvene organizacije i drugi sustavi u kojima je povjerenje temelj svakodnevnog poslovanja.
Važnost zaštite kriptografskih ključeva dodatno raste u kontekstu NIS2 direktive i hrvatskog Zakona o kibernetičkoj sigurnosti. Nova regulativa od organizacija zahtijeva dokazivo upravljanje rizicima i zaštitu kritičnih sustava.
Istodobno, Europa sve snažnije otvara pitanje digitalnog suvereniteta. Organizacije više ne žele samo zaštititi podatke. Žele zadržati kontrolu nad vlastitim identitetima, certifikatima, kriptografskim ključevima i sigurnosnom infrastrukturom na kojoj počiva njihovo poslovanje.
Upravo zato digitalni suverenitet i cyber otpornost danas postaju dvije strane iste medalje.
Organizacije koje imaju potpunu kontrolu nad svojim kriptografskim resursima spremnije su odgovoriti na sigurnosne incidente, regulatorne zahtjeve i sve sofisticiranije prijetnje koje dolaze iz digitalnog okruženja.
“Onaj tko će čekati prvi incident da pokrene proces usklađivanja, platit će puno više od bilo koje regulatorne kazne. Cijena se često mjeri izgubljenim povjerenjem korisnika, reputacijom i prekidima poslovanja”, upozorava Galić.
Možda je upravo to i najvažnija poruka koju donosi NIS2. Usklađenost nije cilj sama po sebi. Ona je prilika da organizacije preispitaju temelje na kojima počiva njihova digitalna sigurnost.
A kada se dođe do samih temelja, vrlo brzo postaje jasno da se povjerenje u digitalnom svijetu ne gradi samo na pravilnicima i procedurama već na realnoj sposobnosti da zaštitimo ono što napadači danas najviše traže – naše podatke.
