Sajber bezbednost u Srbiji

Filip Majkić

Sajber bezbednost u Srbiji, panel

Uz već spomenutu izložbu, organizovana je i panel diskusija na temu “Sajber bezbednost sajber Srbije”, koja je bila naš povod gostovanja u galeriji O3one (Ozon), 22. oktobra u Beogradu. Cela manifestacija se održava uz podršku Agencije EU za bezbednost mreža i podataka (ENISA), koja po drugi put sprovodi kampanju “Evropski mesec sajber bezbednosti” tokom oktobra meseca. Od ove godine, na listi zemalja koje se pridružuju ovoj inicijativi je i Srbija. Registar nacionalnog internet domena Srbije (RNIDS) je organizovao panel diskusiju, na kojoj su učestvovali domaći stručnjaci iz svih oblasti značajnih za bezbednost na Internetu.
 

Na globalnom nivou, kampanja “European Cyber Security Month” (ECSM) ima za cilj da promoviše sajber bezbednost među građanima. Osnovni cilj kampanje je promena stava prema sajber pretnjama od strane najširih slojeva korisnika Interneta i građanstva uopšte, te da im pruži najnovije informacije kroz edukaciju i razmenu praktičnih primera i ideja. Kao što naši čitaoci dobro znaju, RNIDS je organizacija od ključnog značaja za stabilnost i razvoj DNS sistema u Srbiji, te je kroz svoju delatnost posvećen ne samo očuvanju bezbednosti na domaćem internet prostoru, već takođe i edukaciji korisnika nacionalnih internet domena .RS i .СРБ. RNIDS sprovodi i edukativno-promotivnu kampanju “Registruj čim pomisliš”, o značaju internet domena u svakodnevnom životu.
 

Sama izložba je otvorena dan pre održavanja panela kome je i Benchmark prisustvovao i sa koga će vam uskoro preneti i utiske. U galeriji Ozon u Beogradu je 21. oktobra u 19 časova i formalno otvorena izložba “Istorija bezbednosti telekomunikacija – od dimnih signala do Interneta”. Ona ima za cilj da na zabavan i za običnog posetioca jednostavan način prikazuje razvoj komunikacija na daljinu od praistorije pa do današnjih dana.
 

Interesantno je da je ovim konceptom “provučeno” da neki problemi u komunikacijama, sa naročitim naglaskom na bezbednosne probleme, ostaju aktuelni i do današnjih dana. Dostupnost prenosa, poverljivost komunikacije, verno prenošenje poruke, to su neke od stvari koje su važile i za vreme kada su se poruke prenosile golubovima pismonošama, kuririma, telegrafima, kao i danas kada se prenose savremenijim sredstvima – radiom, televizijom, telefonom i – Internetom. Na ovaj način se jasno daje do znanja da je pitanje bezbednosti oduvek bilo pitanje od krucijalne važnosti u odgovarajućem vremenu, kao i da su od velikog značaja bile stavke kao što su nivo znanja i poštovanje pravila.
 

Sama izložba je nastala u saradnji RNIDS-a sa “Diplo fondacijom”. Autor izložbe je Lazar Bošković, koncept je osmislio Jovan Kurbalija, dok je autor ilustracija Vladimir Veljašević. Dizajn izložbe kreirao je Orange studio. No, nas je svakako zaintrigirala panel diskusija i sastav njenih učesnika, te smo narednog dana, 22. oktobra, posetili izložbu i prisustvovali tročasovnoj debati koja je obilovala interakcijom sa prisutnom publikom, o čemu ćemo nešto više reći na narednim stranicama.
 

Takođe, iskoristili smo priliku da dobijemo informacije i gledište na problem sajber bezbednosti (pre svega, u Srbiji) iz dva različita (ne i suprotstavljena) ugla. Stoga smo potražili sagovornike u samom RNIDS-u, kao i u velikoj domaćoj korporaciji za koju ova tematika ima prvorazrednu važnost usled ogromnog uticaja na njen poslovni model…

Izložba i prateće manifestacije su bile dobar povod da na temu o sajber bezbednosti u Srbiji porazgovaramo sa gospodinom Žarkom Kecićem, izvršnim direktorom RNIDS-a za IKT usluge, kao i gospodinom Milanom Nikolićem, direktorom korporativne bezbednosti kompanije Telenor Srbija. Oni su nam iz svojih uglova izneli poglede na neke od aktuelnih tema u sferi sajber bezbednosti.

Intervju – Milan Nikolić, direktor korporativne bezbednosti, Telenor

Benchmark: Gospodine Nikoliću, možete li nam reći nešto više o ulaganjima Telenora u bezbednost informacija?

Milan Nikolić, Telenor: Telenor pridaje veliku pažnju bezbednosti informacija, posebno podataka o svojim korisnicima, zbog toga što je odgovarajući nivo zaštita ovih podataka od ključnog značaja za sticanje i očivanje njihovog poverenja, a samim tim, i za njihov dolazak i ostanak u Telenoru. Stoga, Telenor je zaštitu informacija institucionalizovao u svom modelu korporativnog upravljanja i postoje odgovarajuće politke, pravila i procedure koji su obavezni za sve zaposlene.
 

Telenor inače primenjuje svetski standard za zaštitu informacija ISO 27001 i organizovao je odbranu po dubini, tako da ostvari stepen zaštite informacija primeren aktuelnim rizicima. Uopšte gledano, zaštita informacija ima najviši prioritet na agendi kompanije Telenor i u njenom poslovanju.

Benchmark: Mi smo bili u poseti vašem Data centru. Koliko vam on olakšava koncept zaštite informacija u praksi?

Milan Nikolić, Telenor: Data centar je sam po sebi jedna od mera zaštite informacija. On obezbeđuje fizičku zaštitu vitalnih resursa kompanije i ograničava pristup isključivo na autorizovano osoblje. Takođe, zahvaljujući Data centru održavamo neprekidno funkcionisanje sistema, zaštitu resursa, monitoring i slično.
 

No, treba znati da je sam po sebi Data centar samo jedna komponenta u sistemu zaštite informacije. Vrlo su važni i modeli upravljanja, poslovni procesi, tehnološke implementacije bezbednosnih mera i kako sve to skupa funkcioniše u praksi u sklopu IT sistema. Konačno, treba znati da smo itekako svesni da je ključna stvar visoka osvešćenost naših zaposlenih u rukovanju sa informacijama, kako poslovnih informacija kompanije Telenor, tako i informacija naših klijenata.

Benchmark: Vi dolazite na ovaj panel iz sveta biznisa. Kako iz vašeg ugla izgleda saradnja sa državom i državnim organima?

Milan Nikolić, Telenor: Saradnja sa državom i njenim organima je veoma dobra. Imamo uspostavljen paretnerski odnos što možda nekome može delovati začuđujuće. Međutim, naša država nema dovoljno resursa da bi samostalno i na odgovarajući način podržala zaštitu informacija u javnom i komercijalnom sektoru. Takođe, iz objektivnih razloga nije u stanju da podstiče svest o problemu bezbednosti u mrežama u najširem građanstvu. Dakle, država se za sada bavi uglavnom svojim, osetljivim sektorima kao što su, na primer, odbrana i bezbednost. Već kada se radi o javnoj upravi ili privredi, materija je slabo regulisana i stvari su tamo ipak tek na početku.
 

Benchmark: Koji su ključni izazovi korporativne bezbednosti, i ima li tu nekih osobenosti kada je Srbija u pitanju? Ili su naši izazovi nešto sa čime se susrećete i u drugim državama gde posluje kompanija Telenor?

Milan Nikolić, Telenor: Ključni izazovi za korporativnu bezbednost u virtualnom domenu su masovna digitalizacija svega, brz razvoj i širenje informacionih i komunikacionih tehnologija u sve oblasti života, razvoj i širenje interneta, koji je postao idealan kanal za distribuciju informacija i znanja, ali i alat za napade za IKT sisteme, te sofisticirani, mnogobrojni i lako dostupni alati i metodi napada, industrijalizacija i komercijalizacija sajber kriminala, koji uspeva da angažuje veoma stručne izvođače radova, kao i mnogi drugi rizici.
 

Takođe, istakao bih nedovoljnu osvešćenost svih ljudi koji su uključeni u sistem, kao i troškovna i budžetska ograničenja vezana za broj specijalista na pitanjima bezbednosti informacija. Dakle, generalno, izazovi su brojni, razumevanje na svim stranama postoji, ali je nažalost često samo deklarativno. Probleme rešavamo u hodu, sa onim resursima koji su nam na raspolaganju.

Benchmark: Gospodine Nikoliću, hvala Vam puno!

Intervju – Žarko Kecić, izvršni direktor RNIDS-a za IKT usluge

Benchmark: Gospodine Keciću, možete li nam reći koliko je uopšte u Srbiji razvijena svest o opasnostima od visokotehnološkog kriminala i kako je to skopčano sa navikama našeg stanovništva?

Žarko Kecić, RNIDS: Mi se ne razlikujemo mnogo od ostatka sveta. Ono što se kod nas dešava se dešava i u drugim državama sveta, uključujući i one za koje imamo utisak da vlada i institucije rade neuporedivo bolje i efikasnije. Internet je slobodan, ali nije fer da se besplatno preuzima nešto što je intelektualni kapital drugih. No, u ovom trenutku mi želimo da običnom korisniku skrenemo pažnju na sve opasnosti koje mogu da ga zadese na Internetu.
 

Ja mogu da govorim o DNS sistemu, koji je jedini centralizovan sistem na Internetu, i kao takav je glavna meta napada raznoraznih interesnih grupa poslednjih nekoliko godina. Te grupe imaju različite ciljeve, bilo da predstave svoju političku ili versku pripadnost i ideju, da steknu materijalnu korist, ili pak da nanesu štetu nekom drugom. U našoj zemlji postoji pri upravi za borbu protiv organizovanog kriminala postoji odeljenje za visokotehnološki kriminal, ali oni nažalost nemaju resurse da obave sve aktivnosti koje bi trebalo, na polju zaštite i sprečavanja zloupotreba.

Benchmark: Koliko odeljenje za visokotehnološki kriminal trpi baš zbog nedostatka tih resursa, i da li se to odražava na stanje u celini?

Žarko Kecić, RNIDS: Oni se uglavnom fokusiraju na direktne kriminalne radnje, gde imamo jasnu prevaru, nečiju jasnu materijalnu korist, napadača, i bave se onim što je vruća tema u poslednje vreme, a to je zaštita dece i borba protiv dečije pornografije. Međutim, za manje incidente, gde šteta nije toliko jasna, ili možda nije toliko velika – naoko, ali nekome svakako jeste i može biti nemerljiva – tu je stanje daleko slabije. Recimo, DDoS napadi na računare gde imamo neku štetu, ali gde napadači od toga nemaju nikakvu direktnu korist, ili makar neku očiglednu korist jer korist može biti i ostvarivanje konkurentske prednosti putem nanošenja štete tržišnom suparniku, nisu nešto što je u fokusu ovog odeljenja.
 

Verovatno je svako od nas imao iskustva ili sa direktnim napadom, ili sa virusom, ili sa nekim malverom. Možete misliti kolika šteta nastaje ukoliko se stotine ili čak hiljade računara neke institucije ili preduzeća izloži direktnom udaru neke zainteresovane ili “nezainteresovane” strane ili pojedinca. Takve stvari su izuzetno ozbiljne i zahtevaju visok stepen efikasnosti institucija kako bi se sa njima izlazilo na kraj.

Benchmark: Koliko mislite da se odmaklo u edukaciji najšireg građanstva o opasnostima od visokotehnološkog kriminala?

Žarko Kecić, RNIDS: Poslednjih godina imamo pomake. Cilj ovog skupa, između ostalog, jeste da podignemo pozornost, u nadi da nećemo stati samo na mesecu oktobru  kao mesecu sajber sigurnosti, već da ćemo nastaviti sa kampanjama i tokom godine. Tu nam je potrebna svaka vrsta medijske podrške kako bi naša poruka stigla do krajnjih korisnika. Bez toga, svaka priča je priča u prazno i nema mnogo šansi na uspeh.
 

Benchmark: Gde vidite glavne izazove u tom smislu, sa naglaskom na Srbiju?

Žarko Kecić, RNIDS: Izazova je mnogo i Srbija se ne razlikuje puno od drugih zemalja. Možda ne obraćamo toliko pažnje kao druge zemlje na sigurnost sistema, ali faktora koji na to utiču je puno i često je na njih nemoguće ili veoma teško uticati. Da li je to nedostatak novca za nabavku opreme za zaštitu IT sistema, ili nedostatak kvalitetnih kadrova, smatram da ćemo sve to pronaći ukoliko podignemo svest o potrebi za time. Ukoliko postavimo stvari tako da je neophodno da zaštitimo nešto veoma vredno, onda bi trebalo i da uložimo adekvatnu količinu novca, ili bolje rečeno resursa, u zaštitu toga.

Sa druge strane, situaciju otežava to što nema garancija i ništa nije sigurno. Imamo primere kompanija koje su ulagale desetine miliona dolara u sisteme bezbednosti i zaštite, a na kraju nisu uspele da zaštite podatke kojima su raspolagale. Na kraju bi bivale hakovane i njihovi sistemi obarani. Imamo primere globalnih sistema koji su hakovani, kao što je to Sony Playstation Network, ili napad na Spam House sa početka ove godine, a o upadima u VISA sisteme ili sisteme banaka je više izlišno i govoriti. Ovo je teška borba kojoj praktično nema kraja i potrebna je podrška sa svih strana kako bi se efikasno vodila.
 

Benchmark: A Srbija? Jeste li imali sličnih problema i kakva su vaša iskustva u svakodnevici?

Žarko Kecić, RNIDS: RNIDS je svakodnevno izložen napadima, jačim ili slabijim. Recimo, početkom februara smo imali prilično jak napad. Svakodnevno imamo u peak satima između 150 i 200 upita u sekundi na naše DNS servere, a tokom tog napada, koji je trajao nedelju dana, imali smo preko 450 hiljada upita u sekundi! Naši serveri su to izdržali, ali naša mrežna infrastruktura nije napravljena da podrži toliko istovremenih konekcija. Međutim, osim blagog usporenja, nije bilo ozbiljnijih posledica. Za sada…(osmeh).

Benchmark: Gospodine Keciću, hvala Vam puno!

Panel diskusija

Po završetku intervjua, zauzeli smo svoje mesto u galeriji u publici. Panel diskusija je usledila, i na njoj je učestvovalo šestoro stručnjaka u domenu sajber bezbednosti. Nama se izuzetno dopalo što je koncept bio takav da je svaki od učesnika dolazio iz neke svoje branše, i doprinosio sa specifičnim pogledom na probleme sajber bezbednosti, najčešće na one sa kojima se suočava u svakodnevnoj praksi. Na taj način je publici omogućeno da čuje razmišljanja iz različitih uglova, i stekne uvid u probleme i izazove o kojima se možda na prvi pogled i ne razmišlja.
 

Moderator panela je bio Žarko Ptiček, pravnik posvećen oblasti IT prava i član Statutarne komisije RNIDS-a. Učesnici panela su uz već pomenute Žarka Kecića, izvršnog direktora RNIDS-a za IKT usluge, te Milana Nikolića, direktora korporativne bezbednosti kompanije Telenor Srbija, bili i Luka Gerzić, specijalista za IT bezbednost iz firme “Gerzic&Associates”, Vladimir Marinkov, advokat specijalizovan za sajber kriminal iz kancelarije “Guberina – Marinkov” i Miloš Rančić, sistem administrator iz društveno-tehnološkog centra “Haklab”.
 

Teme kojih se panel dotakao su bile (bez)brojne. Posebno je značajno bilo što je svo vreme vršena interakcija sa publikom, dodatno podsticana od strane moderatora, gospodina Žarka Ptičeka. Bilo je govora o značaju DNS sistema, koji čini osnovu komunikacije na Internetu, te problemima do kojih dovode bezbednosni propusti u ovom sistemu. Kako problemi sajber bezbednosti dotiču i svakodnevni život građana, bilo je veoma interesantno čuti pravnike, koji su izneli poveći broj primera iz domaće sudske prakse. Takođe, posetioci su mogli da pitaju i za “pravni savet”, odnosno da dobiju mišljenje kako neka situacija izgleda sa pravnog stanovišta, odnosno da pitaju i saznaju kako bi se zakon postavio u određenim hipotetičkim primerima narušavanja bezbednosti. Naravno, od najvećeg je interesovanja bio scenario ugrožavanja informacija o korisnicima.
 

Učesnici diskusije su potvrdili da sajber bezbednost ide daleko iznad neke osnovne predstave o njegovoj funkciji, koja se u širim slojevima korisnika poistovećuje sa odbranom internet sajtova od hakerskih napada. U velikim kompanijama ona ima znatno šire polje delovanja, pre svega u zaštiti celokupne IKT infrastrukture, zaštiti od industrijske špijunaže, te u upravljanju incidentima i rizicima, o čemu ste deo mogli da saznate u intervjuu gospodina Milana Nikolića.
 

Puno pažnje je posvećeno i svakodnevici običnog sveta. Diskutovalo se o tome šta svako može zdravorazumski da uradi kako bi povećao sopstveni nivo bezbednosti u komunikacijama preko Interneta. Pričalo se o individualnoj i korporativnoj odgovornosti. Interesantno je bilo čuti od pravnika da smatraju da glavni problem nisu sami zakoni, već njihovo sprovođenje, te fakat da se u Srbiji zakoni (pre)često tumače umesto da se primenjuju.Bilo je priče i o tome kako i jedna Norveška ima svoju sajber komandu, a kamoli SAD, Kina ili Indija.
 

Nama se posebno dopalo na koji je način gospodin Miloš Rančić, sistem administrator Haklaba, demistifikovao brojne pojmove i predrasude vezane za opasnosti na webu, ali i “mistične fraze” kao što je cloud i kako se ponašati u njemu, gde treba a gde ne treba tražiti uzroke problema i slično. Naravno, mi ne bismo bili mi kada ne bismo pretresali svetske teme, pa se tako dugo i naširoko pričalo o Edvardu Snoudenu, ali i na vrlo ozbiljan način o tome šta možemo očekivati kada se najveće svetske vlade ponašaju prema korisničkim podacima na način koji uznemirava stanovništvo i doliva strahovanje za privatnost podataka pojedinaca usled visokog stepena prismotre.
 

Umesto zaključka

Nakon tročasovne diskusije, koja se dotakla praktično svih zamislivih aspekata bezbednosti na Internetu, razišli smo se zadovoljni što smo bili u prilici da čujemo mnoštvo različitih mišljenja. Još jednom bismo pohvalili organizaciju koja je obezbedila da se o problemima u domenu sajber bezbednosti čuju mišljenja iz različitih uglova, što nam je pomoglo da shvatimo različite perspektive i percepcije problema i izazova sa kojima se svaki korisnik Interneta suočava. Takođe smo uvereni da je panel diskusija doprinela podizanju svesti o problemima, čemu je i Benchmark dao svoj doprinos. Problematika sajber bezbednosti je živa stvar, i to je nešto što će doživljavati različite faze i pojavne oblike, kako se globalna, ali i lokalna gledišta na tu tematiku budu menjala, kako od strane vlada i kompanija, tako i od strane najširih slojeva običnih korisnika. Istovremeno, to je i osnovni utisak koji smo poneli sa skupa.