Management
U današnjem međusobno povezanom svijetu, važnost stručnosti u području kibernetičke sigurnosti ne može biti dovoljno naglašena. S kibernetičkim prijetnjama poput phishinga, zlonamjernog softvera i napada socijalnog inženjeringa koji postaju sve sofisticiraniji i češći, organizacije i pojedinci sve više ovise o stručnjacima za kibernetičku sigurnost kako bi zaštitili svoje digitalne resurse.
U ovom intervjuu razgovaramo o temi kibernetičke sigurnosti s Tinom Šokićem, stručnjakom za informacijsku sigurnost i privatnost koji se već petnaestak godina bavi IT područjem.
Tino, vi ste stručnjak za kibernetičku sigurnost s mnogim certifikatima i iskustvom u suočavanju s informacijskom sigurnošću i prijetnjama. Možete li istaknuti certifikaciju i određeno iskustvo u ovom području na koje ste najponosniji?
Prva stvar koju moram reći o certifikatima je činjenica da sam, i jesam, vrlo sretan što su svi moji certifikati samo posljedica mojeg praktičnog iskustva. Na primjer, što se tiče mojih najnovijih certifikataa, počeo sam provoditi procjene IT-a gdje su ISO 27002 kontrole bile korištene kao okvir, a zatim sam odlučio prisustvovati i certificirati se kao stručnjak za provedbu ISO 27001. Od tada moja karijera “procjene” i “savjetovanja” krenula je uzlaznom putanjom. Što se tiče nečega na što sam ponosan, teško je reći, nikada o tome nisam razmišljao na taj način – ali jedna od cool stvari bila je kako je NATO, Kooperativni centar za obranu od kibernetičkih prijetnji, došao do mene i zamolio me da držim predavanja na njihovoj bazi samo zato što su vidjeli moj rad s druge strane planeta – doslovno tečaj koji sam stvorio prije nekoliko godina, a koji je i danas relevantan. Na neki način, takve stvari se mogu dogoditi. 🙂
Možete li izdvojiti neki izazov po pitanju kibernetičke sigurnosti s kojim ste se suočili tijekom svoje karijere i kako ste ga riješili?
Telefonski poziv u večernjim satima klijenta koji je bio van sebe zbog onoga što se dogodilo s njegovim računalom. Nakon e-pošte (naravno), kliknuo je na privitak i pokrenuo ga, a svi njegovi datoteke postale su nedostupne. Nažalost, dogodio se uspješan napad ransomwareom. I razlog zašto to spominjem je zbog načina na koji je reagirao na incident na operativnoj razini. U trenunku kad je kliknuo, znao je da nešto nije u redu! Najzanimljivije od svega u toj situaciji bila je sigurnosna obuka koju smo imali nekoliko dana prije incidenta. Jedan od načina za zaštitu vašeg sustava je prekinuti sve mrežne veze s računalom – doslovno izvaditi mrežni kabel iz računala ili isključiti Wi-Fi vezu. Na taj način potencijalno zaustavljate širenje ransomwarea kroz vaš informacijski sustav.
Koje su neke uobičajenih zabluda o kibernetičkoj sigurnosti s kojima se često susrećete, i kako ih rješavate?
Jedna od najvećih zabluda s kojom se susrećem “svakodnevno” je činjenica da tvrtke imaju tendenciju misliti kako je kibernetička sigurnost posao IT odjela. “Zaštititi računala? Imamo IT da to obavi!” – kaže menadžer u xyz tvrtki. Pa, istina je uvijek na pola puta odavde, i zato se “borim” argumentima koji kažu da je kibernetička sigurnost odgovornost svih. Baš kao prelazak ceste. Pogledate lijevo i desno, napravite procjenu rizika i krenete. Dovoljno je da loši momci postignu svoj cilj samo jednom, a vi se morate moći zaštititi svaki put.
Koje je vaše mišljenje o ulozi izvršnih direktora i menadžera kad je riječ o kibernetičkoj sigurnosti i zaštiti podataka njihovih tvrtki?
Izvršni direktori i menadžeri postavljaju temelje za korporativnu kulturu tvrtke, a to uključuje stavove prema kibernetičkoj higijeni. Ako vodstvo smatra kibernetičku higijenu važnom, taj će se stav prenijeti kroz tvrtku, utječući na politike i ponašanje zaposlenika – jednostavno tako. Sve se svodi na upravljanje rizicima i ROSI (Povrat na ulaganje u sigurnost), a ljudi unutar organizacije su najvrijedniji i najrizičniji resurs, ako gledamo kroz naočale upravljanja rizicima. Možemo ići i dublje u detalje i još bolje istražiti pitanju usklađenosti, regulatorne/pravne odgovornosti gdje postoje razni zakoni i propisi koji zahtijevaju da tvrtke zaštite informacije o kupcima i zaposlenicima. Izvršni direktori i menadžeri moraju osigurati da njihove tvrtke poštuju ove propise kako bi izbjegli pravne posljedice.
Možete li nabrojati najčešće kibernetičke prijetnje u poslovnom okruženju? Koji bi bio vaš savjet za prevenciju kibernetičkih napada, i ako se napad dogodi, koje korake bi trebali poduzeti zaposlenici?
Ovo je jednostavno 🙂 Edukacija – Testiranje – Edukacija – Ponavljanje… Kibernetička sigurnost je živo biće i treba je uzeti s pažnjom, baš kao i sve oko nas.
Možete li podijeliti svoje misli o važnosti stvaranja kulture svijesti o kibernetičkoj sigurnosti među zaposlenicima unutar poslovne strategije, i zašto je stalna obuka tako važna?
Da, ključna stvar u ovom pitanju je “stalna”. Ljudi se često smatraju najslabijom karikom u lancu sigurnosti. Stvaranjem kulture svijesti, zaposlenici mogu postati prva linija obrane, sposobni prepoznati i učinkovito reagirati na sigurnosne prijetnje. Najlakši način za rješavanje rizika je uklanjanje aktivnosti koja je uzrok rizika u prvom redu, ali to nije način na koji možemo tretirati rizik, pogotovo kada govorimo o stvarnim ljudima koji koriste stvarnu tehnologiju i obavljaju stvarne poslove. U osnovi, cilj je stvoriti svjestan radni kadar koji može doprinijeti sigurnosnom položaju organizacije umjesto da bude njezina najslabija karika.
