Za početak, što nam može reći o svom znanstvenom radu "Kibernetička sigurnost kao ključna determinanta nacionalne sigurnosti Republike Hrvatske", posebno aktualnoj temi, s obzirom na to da je hakerskih napada i u RH sve više, pitali smo autora Damira Prskala, ravnatelja Poslovnog učilišta integralna sigurnost i razvoj te konzultanta za informacijsku sigurnost?

- Znanstveni rad koji navodite objašnjava što je kibernetička sigurnost i zašto je važna za nacionalnu sigurnost Hrvatske. Rad također daje primjere stvarnih kibernetičkih napada na državne institucije i tvrtke u Hrvatskoj. Hakerski napadi postali su svakodnevna prijetnja, a broj napada stalno raste. Prema podatcima MUP-a, u 2023. godini zabilježena su 2032 slučaja kibernetičkog kriminala. Ti napadi ugrožavaju sigurnost podataka, privatnost građana i mogu imati ozbiljne posljedice za nacionalnu sigurnost, ekonomiju i stabilnost države.

Pišete, između ostalog, i o klasifikaciji prijetnji za kibernetičku sigurnost. Koje su prijetnje najveće, najopasnije, s najvećom štetom kad se napadi dogode, da se tako izrazim?

- Važno je razlikovati prijetnje od metoda napada u kibernetičkoj sigurnosti. Prijetnje se dijele u četiri kategorije: kibernetički terorizam, kibernetičko ratovanje, kibernetički kriminal i kibernetička špijunaža.

DAMIR PRSKALO

Metode napada su specifične taktike kojima se hakeri koriste za napad na informacijske sustave. Najveće prijetnje su one koje ciljaju kritičnu infrastrukturu, poput energetike, vodoopskrbe, transporta, komunikacija i financijskih usluga. Napadi na te sektore mogu prouzročiti prekide u opskrbi energijom, poremećaje u prometu, gubitak komunikacijskih veza i financijske gubitke. Takvi napadi ugrožavaju sigurnost i stabilnost države te svakodnevni život građana. Primjeri napada na kritičnu infrastrukturu u regiji uključuju: KBC Rebro (2024.) - hakeri su blokirali pristup ključnim podatcima bolnice i zahtijevali otkupninu, što je privremeno prekinulo rad bolničkih sustava; Elektroprivreda Srbije (EPS) (2023.) - hakerska grupa "Qilin" blokirala je servere i ukrala privatne podatke, uključujući ugovore i financijske dokumente; vlada Crne Gore (2022.) - hakeri su kompromitirali informacijsku infrastrukturu vlade privremeno onesposobivši mnoge vladine web-stranice i sustave. Spomenimo još i da je u studenom 2023. Holding Slovenske elektrarne (HSE) bio meta kibernetičkog napada koji je kompromitirao njihove informacijske sustave. Iako je napad izazvao značajne probleme u IT infrastrukturi, srećom nije utjecao na proizvodnju i distribuciju električne energije. Također, u prosincu 2023., albanski parlament pretrpio je ozbiljan kibernetički napad, hakeri su pokušali provaliti u podatke parlamenta s namjerom da ih izbrišu, što je rezultiralo privremenim prekidom rada parlamenta...

Kad su kibernetičke prijetnje u pitanju, jesmo li u Hrvatskoj sigurni onoliko koliko mislimo da smo sigurni? Koji su segmenti društva najugroženiji - vojni, civilni, poslovni, financijski, industrijski...?

- Naša sigurnost nije onakva kakvom je često zamišljamo. U posljednjih nekoliko godina Hrvatska bilježi znatan porast kibernetičkih napada. Ti napadi pogađaju državne institucije, gospodarske subjekte i građane, koji su često žrtve raznih cyber-prijevara. Vojni i financijski sektor često su meta zbog osjetljivih podataka koje posjeduju. Poslovni i industrijski sektor pod velikim su rizikom zbog potencijalnih ekonomskih gubitaka. Civilni sektor, uključujući zdravstvene ustanove, poput KBC-a Zagreb, sve je češća meta napada. To pokazuje da hakeri ne prezaju ni pred napadima na institucije koje pružaju ključne usluge građanima.

Kako se zaštititi, obraniti od sve opasnijih hakerskih napada...?

- Iako apsolutna zaštita od kibernetičkih napada nije moguća, postoji nekoliko ključnih koraka za smanjenje rizika i povećanje otpornosti. Edukacija zaposlenika: važno je da zaposlenici znaju prepoznati prijetnje i imaju jake lozinke. Većina napada proizlazi iz ljudskih pogrešaka. Prema istraživanjima, samo 14 % uspješnih napada može se pripisati tehnološkim manjkavostima, a čak 86 % napada proizlazi iz ljudskih pogrešaka. Napredna sigurnosna rješenja: korištenje firewalla, antivirusnog softvera i multifaktorske autentikacije može znatno smanjiti rizik od napada. Sigurnosni protokoli i strategije: redovite sigurnosne kopije i strategija nultog povjerenja osiguravaju brz oporavak i zaštitu osjetljivih podataka. Primjenom tih mjera organizacije mogu povećati svoju otpornost na kibernetičke prijetnje i osigurati kontinuitet poslovanja.

Postoji li kultura razmjene informacija o kibernetičkim napadima? Kakva je pritom uloga sigurnosno-obavještajnog aparata, kakvo je tu stanje, koliko smo opremljeni, koliko se ulaže u cyber-sigurnost?

- Kultura razmjene informacija o kibernetičkim napadima posebno je razvijena među državama članicama NATO-a i EU-a. Sigurnosno-obavještajni aparat igra ključnu ulogu u toj razmjeni omogućujući pravovremeno otkrivanje i odgovor na prijetnje. U Hrvatskoj je Sigurnosno-obavještajna agencija (SOA) 2019. godine uspostavila Centar za kibernetičku sigurnost kako bi zaštitila nacionalni kibernetički prostor. Također, SOA je razvila sustav SK@UT za rano otkrivanje i zaštitu od sofisticiranih kibernetičkih napada. Kibernetička sigurnost u Hrvatskoj je u stalnom razvoju, uz znatna ulaganja u jačanje kapaciteta. To uključuje usvajanje novih zakona i direktiva EU-a. Na primjer, Zakon o kibernetičkoj sigurnosti iz 2024. godine usklađen je s NIS2 direktivom EU-a, što dodatno jača nacionalne kapacitete za zaštitu od kibernetičkih prijetnji.

Hoće li novi Zakon o kibernetičkoj sigurnosti potaknuti veća ulaganja u otpornije sustave kibernetičke sigurnosti, između ostalog i kod poslovnih subjekata? Vaš završni komentar?

- Novi Zakon o kibernetičkoj sigurnosti, temeljen na NIS 2 direktivi, znatno će utjecati na poslovne subjekte u Hrvatskoj. Obuhvaća 19 ključnih sektora koji moraju prilagoditi poslovanje i pojačati ulaganja u informacijsku i kibernetičku sigurnost. Osim toga, važne su i druge europske regulative, poput DORA-e (Digital Operational Resilience Act), koja je usmjerena na financijski sektor, te CER-a (Critical Entities Resilience Directive), koji jača otpornost europske kritične infrastrukture. CER zahtijeva redovite procjene rizika i podršku kritičnim entitetima poput energije, transporta i zdravstva kako bi se osigurala njihova funkcionalnost u slučaju prijetnji poput kibernetičkih napada ili prirodnih katastrofa.

Kibernetičku sigurnost moramo promatrati kao cjelovit model koji uključuje učinkovito upravljanje i osiguranje nesmetanog funkcioniranja svih sudionika, bilo da se radi o državnim institucijama, bilo o gospodarskim subjektima. Kibernetička sigurnost više nije samo tehnološki aspekt, već ključni dio nacionalne sigurnosti. U današnjem, digitalnom dobu zaštita informacija i infrastrukture postala je vitalna za očuvanje stabilnosti i sigurnosti države. Stoga je nužno da svi sudionici, od vlade do privatnog sektora, surađuju i kontinuirano ulažu u razvoj i unaprjeđenje kibernetičke otpornosti.

Za kraj, citat Eugena Spafforda, direktora tvrtke Computer Operations, Audit and Security Technology (COAST), savršeno ilustrira izazove s kojima se suočavamo u području kibernetičke sigurnosti: “Jedini informacijski sustav koji je zaista siguran je onaj koji je ugašen, isključen iz napajanja, zaključan u sefu od titana, zakopan u betonskom bunkeru, okružen nervnim plinom i dobro plaćenim naoružanim čuvarima. Čak ni tada, ne bih se baš kladio na njega.”