Kibernetski napadi: kdo odgovarja, ko odpove varnost?

Kibernetska varnost je postala eno ključnih vprašanj poslovanja finančnih institucij in drugih podjetij. Napadi so vse bolj avtomatizirani, kriminalne skupine sodelujejo med seboj, posledice uspešnega vdora pa lahko presegajo neposredno finančno škodo. Podjetje lahko izgubi dostop do svojih sistemov, podatkov in storitev, hkrati pa tudi zaupanje strank.

O teh izzivih so na poslovno-medijski konferenci Platforme na panelu Kibernetska odpornost: ko varnost postane del poslovne strategije razpravljali predstavniki finančnega sektorja, regulatorjev in strokovnjaki za kibernetsko varnost. Skupno sporočilo je bilo jasno: tehnologija je nujna, vendar sama ne zadostuje. Pomembni so tudi usposobljeni zaposleni, pripravljeni postopki in sposobnost organizacije, da se na napad odzove brez panike.

Smail Jušić, strokovnjak za kibernetsko varnost pri T-2, je predstavil podatke njihovega varnostno-operativnega centra, ki deluje neprekinjeno, vse dni v letu.

Leta 2025 so zaznali približno 14.000 varnostnih dogodkov, kar je okoli 40 odstotkov več kot leto prej. Tudi SI-CERT je obravnaval povečano število primerov: po podatkih, predstavljenih na panelu, približno 6.000 dogodkov oziroma 35 odstotkov več kot leto prej.

Med pogostimi dogodki so poskusi prijav v elektronske poštne predale in pregledovanje omrežij ter sistemov z namenom odkrivanja ranljivosti. Pomembno grožnjo še vedno predstavljajo tudi phishing napadi, pri katerih napadalci z lažnimi sporočili poskušajo uporabnike prepričati, da razkrijejo podatke ali odprejo škodljive povezave.

Število zaznanih dogodkov samo po sebi ne pomeni, da je bilo toliko uspešnih napadov. Kaže pa, kako obsežno je okolje, v katerem morajo organizacije neprestano spremljati in obvladovati tveganja.

Steve Brown, podpredsednik za kibernetsko varnost in spremljanje groženj pri Mastercard Europe, je opozoril, da kriminalne skupine vse pogosteje uporabljajo avtomatizirane postopke za preverjanje ukradenih podatkov o plačilnih karticah.

S pomočjo skript lahko v velikem obsegu preverjajo, katere številke kartic so še uporabne. Takšni postopki jim omogočajo hitrejše izvajanje zlorab, obrambi pa nalagajo potrebo po hitrem zaznavanju nenavadnih vzorcev transakcij.

Brown je izpostavil tudi izsiljevalske viruse oziroma ransomware. Kriminalne skupine si izmenjujejo informacije o ranljivostih, izkoriščajo dostop do kompromitiranih sistemov in ga lahko prodajajo drugim napadalcem. Zato lahko en sam varnostni spodrsljaj odpre vrata širšemu krogu kriminalcev.

Ob tem tradicionalne metode goljufij niso izginile. Napadalci še vedno uporabljajo socialni inženiring, telefonske klice in druge oblike manipulacije, pri katerih poskušajo izkoristiti človeško napako ali trenutek nepazljivosti.

Podjetja vlagajo znatna sredstva v zaščitne sisteme, vendar lahko zaposleni kljub temu postanejo pomembna vstopna točka za napadalce.

Brown je poudaril, da morajo organizacije zaposlene obravnavati kot pomemben del obrambe, ne pa kot postranski element. Usposabljanje mora biti praktično in povezano z dejanskim delom posameznika.

Zaposleni morajo znati prepoznati nenavadne zahteve za plačilo, nepričakovana sporočila, občutek nujnosti in druge opozorilne znake. Smiselne so tudi simulacije napadov, ki pomagajo preveriti, kako bi se posamezniki odzvali v resničnih okoliščinah.

Pomembno je, da izobraževanje ne ostane pri formalnem potrjevanju, da je zaposleni opravil spletni tečaj. Organizacija mora preverjati, ali zaposleni pridobljeno znanje dejansko zna uporabiti.

Posebno pozornost so sogovorniki namenili evropski uredbi DORA, ki določa okvir digitalne operativne odpornosti finančnega sektorja.

Gregor Pajek iz odvetniške družbe Rojs, Peljhan, Prelesnik in partnerji, o.p., je pojasnil, da so roki za poročanje o večjih incidentih kratki. Po predstavljenem okviru je treba prvič poročati v štirih urah od razvrstitve incidenta, sledijo nadaljnja poročila v predpisanih rokih.

Katja Grošelj Ziherl, vodja Sektorja za pravne zadeve in regulativo, Agencija za zavarovalni nadzor, je poudarila, da v prvih urah ni mogoče pričakovati vseh podrobnosti. Pomembneje je, da institucija pravočasno posreduje čim bolj objektivne informacije o incidentu, njegovem obsegu in morebitnih posledicah, kot pa da zaradi čakanja na popolno sliko zamudi rok.

Pajek je opozoril tudi na odgovornost vodstvenih in nadzornih organov ter na pomen skrbnega upravljanja pogodbenih razmerij z zunanjimi ponudniki informacijskih storitev. Organizacije morajo vedeti ne samo, kdo jim storitev zagotavlja neposredno, temveč tudi, kdo sodeluje v nadaljnji verigi podizvajalcev.

Uspešna obramba ni odvisna samo od tega, ali bo podjetje napad preprečilo, temveč tudi od tega, kako se bo nanj odzvalo.

Brown je izpostavil pomen kriznih simulacij, pri katerih sodelujejo različni deli organizacije. Vnaprej je treba določiti, kdo sprejema odločitve, kako se obnovijo ključne storitve in kako se komunicira s strankami, regulatorji ter drugimi deležniki.

Ob incidentu lahko nepremišljeni posegi povzročijo dodatno škodo ali uničijo pomembne digitalne sledi. Zato morajo biti postopki odzivanja vnaprej dogovorjeni, zaposleni pa morajo poznati svoje naloge.

Sporočilo panela je jasno: kibernetska odpornost ni enkratna naložba v programsko opremo, temveč stalen proces. Zahteva tehnično zaščito, znanje zaposlenih, odgovornost vodstva in redno preverjanje, ali je organizacija pripravljena tudi na najzahtevnejše scenarije.