Svarilo: Slovenska podjetja in ustanove so prelahka tarča hekerjev

Slovenska podjetja in institucije se pomena kibernetske varnosti po mnenju vodje nacionalnega odzivnega centra SI-CERT Gorazda Božiča in revizorja informacijskih sistemov Boštjana Kežmaha premalo zavedajo. Oba poudarjata, da pri izbiri zaščite sistema nad kakovostjo ponavadi prevlada cena, slabosti sistema pa hekerjem ne predstavljajo večjih težav.

Kot je v pogovoru za STA pojasnil preizkušeni revizor Kežmah, se pomena kibernetske varnosti bolj zavedajo v velikih podjetjih v zasebni lasti, medtem ko v državni upravi ter malih in srednjih podjetjih temu namenjajo premalo pozornosti.

Pojasnil je, da zlasti v javni upravi velja, da se varnostni sistemi nabavljajo preko javnih naročil, kjer pa praviloma kot merilo izbora prevlada najnižja cena. Ob tem je opozoril, da so razpisna merila preveč ohlapna. Sam meni, da bi se morale institucije še pred pripravo javnih razpisov obrniti na zunanje strokovnjake ter besedila razpisov z njihovo pomočjo pripraviti tako, da bi se na razpisne lahko prijavila zgolj tista podjetja, ki bi lahko ponudila najbolj kakovostno zaščito.

Tudi Božič je za STA opozoril, da so kakovostnejši programi dražji. Sam meni, da se bo moralo na tem področju nekaj spremeniti, med drugim bi lahko določene pakete oblikovale zavarovalnice.

Zadnji v vrsti kibernetskih napadov, ki je opozoril na razsežnost ranljivosti nekaterih operacijskih sistemov, se je v petek zgodil v skoraj 100 državah po svetu. V Sloveniji so zaznali osem napadov, med drugim v novomeškem Revozu. Hekerji so v napadu uporabili škodljivo programsko opremo, ki zaklene računalnike in zahteva 300 ameriških dolarjev odkupnine v virtualni valuti bitcoin za njihovo vnovično delovanje.

Izsiljevalski napadi so se prvič pojavili leta 2012, hekerjem pa izsiljevanje zelo olajšujejo virtualne valute, je pojasnil Božič. Pri tem je izpostavil paradoks, da živimo v družbi, ki se zavzema za transparentnost, obenem pa pozdravlja takšne valute, ki omogočajo brisanje sledi pretoka denarja. Seveda ni vse črno-belo, je dodal.

Vodja SI-CERTA je še dejal, da se na centru letno srečajo z okoli 4500 prijavami, najbolj izpostavljen je bančni sektor, kjer se tudi pretaka največ denarja. Napadene stranke ponavadi zanima, ali bodo v primeru plačila zahtevanega zneska res dobile ključ, s katerim bodo lahko spet dostopale do sistema.

Kot je dejal, ga hekerji ponavadi res posredujejo, v nasprotnem primeru bi namreč njihova "tržna dejavnost" propadla. Svetovni centri za obravnavo varnostnih incidentov na spletu se namreč med seboj zelo hitro seznanijo, če žrtev napada kljub plačilu ni prejela ključa, in javnost ter druge žrtve napadalcev posvarijo, naj zahtevane odkupnine ne plačajo.

Kežmah je medtem delil izkušnjo pri pregledu varnosti ene od slovenskih bank. Kot je dejal, je ugotovil pomanjkljivosti sistema pri spletni banki, a informatiki v banki kljub opozorilu napake niso odpravili. Opravičevali so se s tem, da te pomanjkljivosti ni izkoristil še nihče.

Po oceni Kežmaha je še ena "tempirana bomba" energetski sektor, ki prav tako zaostaja na področju varnosti informacijskih sistemov, medtem ko so bolnišnice vdore relativno dobro prenesle.

Oba strokovnjaka sta se strinjala, da se bomo s takšnimi napadi srečevali tudi v prihodnje, zato bo ustrezna zaščita informacijskih sistemov vse bolj pomembna.