Kibernetički napadi odavno nisu samo tehnički incidenti koji se rješavaju u pozadini. Oni mogu poslužiti kao instrument pritiska, sredstvo gospodarske štete ili alat manipulacije informacijama, tvrdi Tonko Obuljen, predsjednik Vijeća Hrvatske agencije za mrežne djelatnosti (HAKOM). Korisnika, objašnjava, ne zanima nastaje li problem kod banke, operatora elektroničkih komunikacija ili pružatelja usluga u oblaku. Zanima ga funkcionira li usluga, pa institucije danas grade upravo takav, koordinirani odgovor.
Ta poruka dobro opisuje promjenu regulatornog pristupa posljednjih godina. Umjesto da se oslanjaju isključivo na prevenciju, hrvatski regulatori danas jednaku pozornost posvećuju otpornosti sustava i sposobnosti brzog oporavka. U institucijama koje čuvaju stabilnost financijskog, energetskog i komunikacijskog sustava svjesni su da napad može doći u svakom trenutku. Pravo pitanje više nije može li se svaki incident spriječiti, nego može li sustav nastaviti funkcionirati dok napad još traje.
Hrvatska agencija za nadzor financijskih usluga (HANFA) u posljednje dvije godine prošla je kroz kibernetički incident i, umjesto da ga sakrije, iskustvo je pretvorila u javnu lekciju. Anamarija Staničić, zamjenica predsjednika Upravnog vijeća HANFA-e, otvoreno je podijelila što su iz toga naučili. Upravo takva transparentnost gradi povjerenje, koje je u digitalnom okruženju jedna od najvrjednijih valuta.
Iz tog iskustva A. Staničić izdvojila je 3 ključne pouke. Prvo, u trenutku napada vrijeme postaje najdragocjeniji resurs pa organizacija unaprijed mora znati tko budi upravu, tko donosi odluke, tko koordinira oporavak sustava, a tko komunicira sa zaposlenicima, regulatorima i javnošću. Drugo, upravljanje kibernetičkim rizikom nije odgovornost samo IT odjela, nego uprave koja određuje koliko je rizika institucija spremna prihvatiti. Treće, ulaganje u ljude jednako je važno kao ulaganje u tehnologiju jer kultura brzog prijavljivanja sumnjivih situacija često odlučuje hoće li incident ostati manji sigurnosni događaj ili prerasti u ozbiljnu krizu.
Pretpostavka da je napadač već unutra
Sličnu logiku potvrđuje filozofija koja danas dominira sigurnosnim krugovima. Zove se assume breach ili “pretpostavi da je napad već u tijeku”. Staničić objašnjava da njezin tim upravo od toga polazi. Ne zato što očekuje najgori scenarij, nego zato što je to danas najracionalnija polazna točka. Napadač uvijek traži novu ranjivost, a obrana nikada nije apsolutna. Zato se sustavi grade tako da izdrže i onda kada prva linija obrane zakaže.
Takav pristup mijenja i način na koji se promatra uspješnost sustava. Više nije presudno samo je li do incidenta došlo, nego koliko je brzo otkriven, koliko je dugo trajao prekid, koji je dio sustava bio pogođen i koliko je vremena trebalo da se usluge ponovno normaliziraju. Građane pritom ne zanima tko je nadležan za pojedini sustav. Zanima ih mogu li obaviti plaćanje, pristupiti svojem novcu i koristiti osnovne usluge. Upravo prema tom kriteriju regulatori danas grade svoju otpornost.
Guverner Hrvatske narodne banke Ante Žigman promjenu je sažeo jednom rečenicom: “Nekada smo sustav smatrali stabilnim ako je mogao izdržati šok. Danas se sve češće pitamo može li nastaviti funkcionirati dok šok još traje.” Stabilnost je usporedio s mostom čiju konstrukciju nitko ne primjećuje dok sve funkcionira, a tek pod pritiskom postaje jasno koliko su njegovi dijelovi međusobno povezani.
Prijaviti, a ne skrivati
Najslabija karika svakog sigurnosnog sustava i dalje je čovjek, ali hrvatski regulatori više ne polaze od pretpostavke da se ljudske pogreške mogu potpuno izbjeći. Obuljen upozorava da napadači sve češće koriste AI i metode društvenog inženjeringa kako bi zaobišli klasične sigurnosne mehanizme, pri čemu upravo čovjek postaje njihova najčešća meta.
A. Staničić upozorava da phishing danas izgleda potpuno drukčije nego prije nekoliko godina. Poruke više nisu pune loših prijevoda i očitih pogrešaka, nego izgledaju kao legitimni zahtjevi regulatora ili internih IT službi. Zato se naglasak sve više stavlja na edukaciju zaposlenika i kulturu u kojoj klik na zlonamjernu poveznicu nije razlog za skrivanje, nego za trenutačnu prijavu. Upravo brzina prijave često odlučuje koliko će šteta biti velika.
Guverner Ante Žigman ilustrirao je koliko brzo digitalni poremećaj može postati svakodnevni problem građana primjerom nestanka električne energije u dijelovima Španjolske, kada je gotovina u jednom trenutku postala jedino sredstvo plaćanja jer kartični sustavi nisu radili. Taj primjer pokazuje koliko su danas financijski, energetski i komunikacijski sustavi međusobno povezani te koliko građani ovise o njihovoj neprekidnoj dostupnosti.
Suradnja kao odgovor na globalni trend
Jedan od zabrinjavajućih nalaza istraživanja Svjetskog gospodarskog foruma pokazuje da gotovo 70 posto stručnjaka sumnja da će države u budućnosti dovoljno uspješno surađivati u odgovoru na ovakve prijetnje. Hrvatski regulatori pokušavaju graditi upravo suprotan model. Rizici danas putuju zajedno, a financijski, energetski, telekomunikacijski i medijski sustavi toliko su isprepleteni da posljedice rijetko ostaju ograničene na jedan sektor. Anamarija Staničić kao primjer navodi Središnje klirinško depozitarno društvo, jedini registar vlasništva nad dionicama u Hrvatskoj, gdje bi eventualni ozbiljan napad imao posljedice daleko izvan jedne institucije.
Na važnost zajedničkog djelovanja upozorio je i Tomislav Ćorić, potpredsjednik Vlade i ministar financija:”Kibernetički incident, poremećaj na financijskim tržištima ili problem u energetskom sustavu vrlo brzo prelaze granice pojedinačnih nadležnosti. Upravo zato međuinstitucionalna suradnja danas postaje jednako važna kao i stručnost svakog pojedinog regulatora. Povjerenje građana gradi se godinama, a može se ozbiljno narušiti jednim propustom. Pronalaženje ravnoteže između stabilnosti i razvoja jedan je od najzahtjevnijih zadataka suvremenih regulatora.”
