Ситуацията с IT сигурността на бизнеса в България е плашеща
Фалшиво е убеждението, че ако човек не ползва социални мрежи, остава защитен онлайн
~ 7 мин.
Мирела Вавова Границите между физическата и дигиталната реалност се размиват все повече. Доказателство за това са зачестилите хакерски атаки срещу потребителите, бизнеса и държавните институции в световен мащаб. Икономическите щети от набезите на киберпрестъпниците придобиват все по-мащабни измерения и се оценяват на стотици милиарди долари годишно. Защо е важно да защитаваме своето дигитално „Аз“ и как, по какъв начин хакерите може да се възползват от нашата уязвимост, осъзнава ли българският бизнес необходимостта от затягане на своята киберсигурност и как реагира на новите правила за защита на лични данни разговаряме с експерта по киберсигурност Спас Иванов от CENTIO.
– Сигурността на дигиталното ни „Аз“ става все по-важна. Какво всъщност включва цифровата идентичност на потребителя? Кои аспекти от нея са най-апетитни за кражба?
– Цифровата идентичност е съвкупност от всички наши действия във виртуалното пространство. Голям брой потребители живеят с фалшивото убеждение, че след като не ползват Facebook, Instagram или други социални мрежи те някак си остават незабелязани и защитени. Всъщност дори да не сме приели социалните мрежи като начин на забавление и комуникация всеки от нас има достатъчно данни за опазване. Достатъчно е да споменем някои от тях, които са изключително ценни за киберпрестъпниците – данните за нашата локация в реално време, достъпни от всеки смартфон; данните, съхранявани от държавната администрация под формата на електронни регистри, включващи практически всичко за всеки; данните, които сте предоставяли на авиокомпании, туристически агенции и хотели в България и зад граница; данните от кредитни и дебитни карти, заедно с възможността да банкирате онлайн.
– Кибератаките и злоупотребата с лични данни зачестяват. На какво ниво е културата на българския потребител да защитава себе си онлайн?
– Едва ли ще изненадаме някого, ако обобщим, че дигиталната култура на българина е изключително ниска, като се забелязват две основни тенденции. От една страна, хората на възраст 55+ имат фундаментален проблем с темата сигурност в интернет. Те не разбират нито как мрежата работи, нито как и защо трябва да се пазят. От друга страна са подрастващите, които по същество нямат технологичната бариера на техните родители или баби и дядовци, също никак не се интересуват от технологията, която използват и от там нямат представя как да се защитават. В голяма степен децата и хората до около 25 години искат единствено да потребяват дигитално съдържание – дали чрез приложения, игри или социални мрежи. Без значение е какво стои зад въпросното съдържание, важното за тях е да се забавляват. Разбира се пропуски в познанията има и в най-отговорната група потребители – тези между 25 и 55 години, но при тях дефицитът не е по-различен отколкото в другите и европейски държави.
От подобна ситуация може да се излезе само чрез подходящи реформи в образователната система, която да учи малките на безопасност в дигиталното пространство, също както го прави и за заобикалящата ни среда. Все пак границите между виртуалното и реалното все повече се размиват, а някои учени дори предполагат, че ще изчезнат напълно преди края на века.
– Много хора смятат, че техните данни не са интересни за хакерите и затова неглижират киберсигурността си. Бихте ли обяснили защо такива разсъждения са в разрез със съвременния начин на живот в модерните общества?
– Да предположим че тезата им е вярна – техните данни наистина не са им потребни поради някаква уважителна причина. Същите тези хора обаче разполагат с компютри, рутери, смарт телевизори и смартфони. При занижена сигурност е много вероятно киберпрестъпниците да се сдобият с контрол върху тези устройства. Мога да уверя всеки потребител, че трудно ще установи наличието на чуждо присъствие и употреба на устройствата му. Какво толкова, пак ще кажат някои. Ето три добри причини да се замислите:
- устройствата ви могат да бъдат ползвани за добив на крипто валути /coinmining/, където вие плащате сметката за електричество, а друг печели;
- за да бъдат част от бот мрежи, т.е. през вашите устройства могат да се атакуват сайтове на държавната администрация, частни компании, международни компании. Така всеки може да се озове в ситуация да пише обяснение пред следствени органи, включително да получи забрани за пътувания и достъп до определени услуги;
- през техните устройства да се извършват още по-тежки киберпрестъпления, като разпространение на детска порнография, кражба на пари, да станат сървъри за пиратско съдържание и т.н.
Всеки сам може да направи извод за последствията. В допълнение тези хора, поради занижената дигитална сигурност, стават лесна жертва на вируси изнудвачи /ransomware/, които заключват всички важни файлове на компютъра с искане за откуп.
– Хакерите непрестанно развиват своя инструментариум, организирайки все по-сложни атаки, включително чрез използването на изкуствен интелект. Как човек сам може да оптимизира онлайн защитата си?
– Това е въпрос за милиони, или ако сме съвсем точни за около 1 000 милиарда долара годишно. Според статистиката толкова е оборотът на кибермафията. Истината е, че няма проста рецепта, нито универсално решение. Потребителите трябва да могат да се учат непрекъснато, да разбират какви технологии използват и оттам какви са рисковете за тях. Няма нужда да са експерти, а просто трябва да знаят къде да потърсят решение. Почти половината от потребителите на интернет не могат да назоват името на браузъра си, вида и версията на операционната система, а какво остава да я защитят. Легален софтуер, винаги с най-новите възможни обновления на операционните системи, добър антивирус и повече внимание върху какво кликат, е в основата на отговора.
– Каква е ролята на антивирусната програма в цялостната киберзащита? Достатъчна ли е тя и какво друго може да направи човек, за да повиши сигурността на своята дигитална идентичност?
– Антивирусният софтуер е разработен изначално да реагира, когато опасността достигне до компютъра или устройството. В общия случай това е първата и последна линия на защита за повечето потребители поне у нас. Не е трудно да се направи изводът, че от качеството на избрания антивирусен софтуер зависи в голяма степен качеството на защитата. За съжаление, все още голяма част от българите продължават да се доверяват и да използват т.нар. безплатни антивирусни програми. В тях често няма важни модули за защита, нито може да се разчита на поддръжка от производителя под каквато и да е форма. Моят съвет е: ползвайте премиум, платени продукти с поддръжка на български език – това може да ви спестя много главоболия и време. В допълнение, съветвам всеки потребител да преразгледа начина, по който се логва онлайн. Където е възможно да се добави двуфакторна оторизация, да го направят – Google, Facebook, Instagram, Yahoo, Microsoft го имат. Да се научат да боравят с генератори на пароли и софтуер за управлението им – LastPass например е лесен и удобен, като с негова помощ може да се премахнат слабите и лесно разгадаеми пароли.
– Що се отнася до бизнеса, започват ли да осъзнават българските компании нуждата от това да повишават киберсигурността на своите системи? Освен занижената култура в тази посока, какво друго пречи на фирмите, за да отговорят на все по-рестриктивните регулации в ЕС?
– Определено в момента бизнесът започва да осъзнава зависимостта си от информационните технологии (IT). В същото време обаче страда от хронична липса на добре подготвени IT хора, а в областта на IT сигурността ситуацията е направо плашеща. Това често ги подтиква да взимат неправилни решения, да инвестират в скъпи технологии, надценени инструменти за зашита и псевдо консултанти. В повечето случаи бизнес хората нямат визия как ще управляват и ще се развиват в IT в близко бъдеще, а в същото време изпитват страх да не правят нищо, което води до разпиляно харчене на средства. В държавната администрация този проблем е придобил размери с мащабите на пандемии, като в общия случай ефективността на похарченото, спрямо очакваните резултат е 10% или по малко.
Фирмите трябва да се научат да аутсорсват определени дейности, тъй като не могат и не трябва да поддържат IT security персонал, освен ако нямат пряко задължение за това. Един споделен ресурс като IT security monitoring centre, който обслужва множество компании по отношение на сигурността и мениджмънта на инциденти, може да спести на година десетки, а в някои случаи стотици хиляди на бизнеса. Компаниите в страната трябва да знаят, че рискът от киберпрестъпления може да бъда застрахован, и да помислят и за това, като допълнителна мярка за защита на интересите си.
– Според Вас как например се отразява GDPR на бизнес средата в Европа? Развива ли я, или я обременява по още един начин? Защо?
– Определено първата половина на 2018 мина под знака на GDPR, като България не прави изключение. Някъде около средата на месец май митовете за регулацията взеха връх над разума, което принуди много мениджъри да направят неразумни инвестиции в различни направления. Оставяйки настрана този факт, мога да бъда категоричен, че GDPR беше стъпка в правилната посока, целяща да канализира усилията за опазване данните на европейските граждани. Компаниите, внедрили нужните промени, със сигурност в дългосрочен план ще получат конкурентно предимство. Ако съдим по общия предизвикан ефект, то явно задължителното за прилагане законодателство на ЕС е катализаторът, който да подтикне бизнеса да сложи в ред собствената си организация. В подкрепа на тези думи е икономиката на САЩ, където има десетки регулации подобни на GDPR, целящи всички да играят по еднакви правила.
Със съжаление мога да споделя, че все още значителен брой компании и публични органи у нас, не просто не са готови, а дори не са започнали да мислят по въпроса. Недоумение буди пасивността на тези организации, които очевидно очакват все още някаква промяна. Най-често изтъкваните причини са липсата на местен закон за защита на данните и „слуховете“ че GDPR в крайна сметка ще бъде отменен. Разбира се тези доводи са абсурдни за радост на надзорните органи, които няма да се бавят със санкциите от началото на тази година. Ако мениджърите изберат мъдро своите консултанти, целият процес по привеждане в съответствие може да бъде учудващо лек и полезен.
