Kybernetické riziká už nie sú len problémom IT oddelení

Kybernetické útoky sú čoraz sofistikovanejšie. Umelá inteligencia mení spôsob, ako útočníci hľadajú nové zraniteľnosti, ale zároveň prináša nové možnosti aj pre obrancov. O tom, aké hrozby dnes predstavujú najväčšie riziko pre firmy, prečo stále človek zostáva najslabším článkom bezpečnosti a ako sa na novú éru kybernetických hrozieb pripravujú organizácie aj štát, sme sa rozprávali s Petrom Borákom, partnerom pre poradenstvo v oblasti kybernetickej bezpečnosti v spoločnosti EY Slovensko.

Na fotografii Peter Borák, partner pre poradenstvo v oblasti kybernetickej bezpečnosti v spoločnosti EY Slovensko

Ktoré kritické zraniteľnosti sú v dnešnom firemnom prostredí najviac podceňované, aj keď o nich spoločnosti dobre vedia?

Najčastejšie nejde o jednu konkrétnu technickú slabinu, ale o kombináciu viacerých faktorov. Organizácie síce investujú do bezpečnostných technológií, no často podceňujú riadenie identít, bezpečnosť dodávateľského reťazca alebo pripravenosť zamestnancov na sofistikované útoky. Útočníci dnes cielene využívajú prepojenie viacerých techník, napríklad phishing ako vstupnú bránu, potom nasleduje ransomvér alebo ďalšie formy kompromitácie infraštruktúry.

Aký je váš pohľad na ransomvérové útoky a dilemu, či by mali zasiahnuté firmy vyjednávať s útočníkmi?

Z pohľadu bezpečnostnej praxe je najdôležitejšie, aby sa organizácia do takejto situácie vôbec nedostala. Kľúčové sú pravidelné zálohy, segmentácia siete, kvalitný incident response plán a priebežné testovanie pripravenosti. Každá organizácia by mala mať scenáre a business continuity plány pripravené ešte pred incidentom, pretože rozhodovanie pod časovým tlakom býva výrazne komplikovanejšie.

Vnímate pri firemných bezpečnostných auditoch častejšie technologické zlyhania alebo skôr fatálne chyby ľudského faktora?

Ľudský faktor zostáva aj dnes najčastejším vstupným bodom útoku. Moderné bezpečnostné riešenia sú veľmi pokročilé, ale stačí jedno nepozorné kliknutie na podvodný e-mail alebo nesprávna manipulácia s citlivými údajmi a útočník môže získať prístup do celej organizácie. Zároveň však platí, že práve človek môže byť aj najsilnejším článkom obrany, ak má dostatočné povedomie a vie správne rozpoznať rizikové situácie.

Aká je reálna pripravenosť štátnych inštitúcií na každodenné čelenie sponzorovaným kybernetickým operáciám a cielenej špionáži?

Pripravenosť sa postupne zlepšuje aj vďaka legislatívnym požiadavkám, ktoré prináša napríklad aj smernica NIS2. Štátne organizácie však čelia veľmi širokému spektru hrozieb a ich úroveň pripravenosti sa prirodzene líši. Dôležité je, aby sa kybernetická bezpečnosť nevnímala len ako technická disciplína, ale ako strategická súčasť riadenia celej organizácie.

Ktoré prvky kritickej infraštruktúry považujete z pohľadu našej národnej bezpečnosti za aktuálne najviac zraniteľné?

Najväčšiu pozornosť si vyžadujú sektory, ktorých výpadok by mal okamžitý dosah na fungovanie štátu a spoločnosti. Ide najmä o energetiku, zdravotníctvo, dopravu, finančný sektor, verejnú správu a telekomunikácie. Práve preto európska legislatíva kladie na tieto organizácie výrazne prísnejšie požiadavky v oblasti riadenia kybernetických rizík.

Ako by mala v praxi vyzerať ideálna a skutočne funkčná spolupráca medzi vládnym sektorom a súkromnými bezpečnostnými expertmi?

Kybernetické hrozby sa vyvíjajú veľmi rýchlo a žiadna organizácia ich nedokáže zvládať izolovane; je potrebná výmena informácií o incidentoch, spoločné cvičenia, zdieľanie skúseností a aj koordinácia pri budovaní odolnosti. Efektívna spolupráca verejného a súkromného sektora výrazne skracuje čas potrebný na identifikáciu nových hrozieb a reakciu na ne.

Je podľa vás reálne naprogramovať AI tak, aby proaktívne vyhľadávala a neutralizovala hrozby úplne bez ľudského dozoru?

Umelá inteligencia už dnes výrazne pomáha bezpečnostným tímom pri analýze obrovského množstva dát, identifikácii podozrivých vzorcov správania či automatizácii reakcií na incidenty. Napriek tomu si nemyslím, že by v dohľadnej budúcnosti úplne nahradila človeka. Strategické rozhodovanie, vyhodnocovanie rizík a riešenie komplexných incidentov budú naďalej vyžadovať odborný ľudský dohľad.

Ako veľmi sa dnes prelína klasická kyberbezpečnosť so psychologickými operáciami a cieleným šírením dezinformácií napr. na sociálnych sieťach?

Veľmi intenzívne. Moderné útoky už často necielia len na technológie, ale predovšetkým na dôveru ľudí. Útočníci kombinujú technické prostriedky so sociálnym inžinierstvom a využívajú emócie, autoritu či časový tlak. Umelá inteligencia navyše umožňuje vytvárať mimoriadne presvedčivý, ale nepravdivý obsah, ktorý je čoraz ťažšie odlíšiť od skutočnosti.

Zdroj: magnific.com

Aké technické a psychologické prostriedky dnes útočníci najčastejšie využívajú na manipuláciu verejnej mienky a polarizáciu spoločnosti?

Čoraz častejšie ide o kombináciu viacerých nástrojov. Okrem klasických phishingových kampaní pribúdajú deepfake videá, syntetické hlasy, automaticky generovaný obsah či koordinované siete účtov na sociálnych sieťach. Psychologicky útočníci využívajú najmä strach, naliehavosť, autoritu alebo snahu vyvolať silnú emocionálnu reakciu.

Ako sa dá efektívne brániť proti útokom sociálneho inžinierstva, ktoré využívajú strach a aktuálne spoločenské krízy?

Najlepšia ochrana je kombinácia technických opatrení a pravidelného vzdelávania. Zamestnanci aj bežní používatelia by mali poznať základné znaky podvodnej komunikácie a vedieť, že útočníci veľmi často vytvárajú pocit naliehavosti alebo sa vydávajú za autoritu. Organizácie by mali tieto situácie pravidelne simulovať a precvičovať.

Čo je absolútne najdôležitejší krok, ktorý by mal bežný občan urobiť na svoju ochranu pred rafinovanou digitálnou manipuláciou?

Najdôležitejšia je obozretnosť. Overovať si zdroje informácií, neotvárať podozrivé odkazy, používať viacfaktorové overovanie a nepodliehať tlaku okamžite konať. Útočníci dnes cielia najmä na emócie a rýchle rozhodovanie, preto je zdravá dávka skepticizmu jednou z najúčinnejších foriem obrany.

Čo by ste na záver poradili mladej generácii, ktorá aktuálne uvažuje o profesionálnej kariére v náročnej oblasti informačnej bezpečnosti?

Kybernetická bezpečnosť patrí medzi najdynamickejšie oblasti informačných technológií. Už dávno nejde len o programovanie alebo administráciu systémov. Potrebné sú znalosti technológií, legislatívy, riadenia rizík, ale aj komunikácie či biznisového prostredia. Mladým ľuďom by som odporučil neustále sa vzdelávať, získavať praktické skúsenosti a zapájať sa do odborných komunít a súťaží. Práve tie často umožňujú stretnúť skúsených expertov a urýchliť ich profesionálny rast. Aj prostredníctvom súťaže EY Cyber Security Trophy chceme upozorniť na význam odborníkov, ktorí posúvajú úroveň kybernetickej bezpečnosti na Slovensku a v Česku.

Úvodný obr zdroj: EY