Nekada je bilo dovoljno zaključati kancelariju. Ključ je imao vlasnika, vrata su imala bravu, a odlaskom zaposlenog završavao se i njegov pristup. Digitalno poslovanje promijenilo je tu logiku.
Danas ključ nije predmet u džepu. To je korisnički nalog, administratorska privilegija, pristup aplikaciji, elektronskoj pošti ili poslovnom sistemu. Ako se ne ugasi na vrijeme, ostaje otvoren mnogo duže nego što bilo ko primijeti.
Najveći problem je što takav ključ ne zvecka u džepu i ne vidi se na stolu.
Ko zapravo ima ključ?
Lako je znati ko radi u firmi. Mnogo je teže znati ko sve može pristupiti njenim sistemima.
Promjena radnog mjesta ne znači uvijek i promjenu ovlašćenja. Završetak projekta ne znači uvijek kraj pristupa partnera. Stari nalog može ostati aktivan samo zato što ga niko nije ugasio.
Pojedinačno, to može izgledati bezazleno. Zajedno, takvi propusti postaju ozbiljan sigurnosni rizik.
Napad ne počinje uvijek tamo gdje ga očekujemo
Napad rijetko izgleda kao filmski upad u sistem. Češće počinje tiho, porukom na koju neko klikne, ukradenim podacima za prijavu ili starim pristupom koji je ostao aktivan.
Kada napadač dobije pristup, meta nije nužno računar. Meta su podaci, aplikacije, procesi i sistemi bez kojih poslovanje ne može normalno da funkcioniše.
Zato bezbjednost nije samo pitanje kako spriječiti ulazak. Važno je znati šta se dešava poslije i koliko dugo neželjeni pristup može ostati neprimijećen.
Ransomware se često vidi tek kada je šteta već nastala. Fajlovi su zaključani, sistemi ne rade, a poslovanje staje.
Tada rezervna kopija prestaje biti tehnička stavka i postaje pitanje opstanka poslovanja.
Isto važi za plan oporavka. Njegova vrijednost ne mjeri se time koliko dobro izgleda na papiru, nego time da li funkcioniše kada je najpotrebniji.
Najopasniji je ključ koji niko ne traži
Stari nalog, preširoka administratorska privilegija ili partnerski pristup koji je nadživio saradnju ne moraju izgledati opasno. Upravo zato jesu opasni. Ne traže pažnju, ne smetaju svakodnevno i često ih primijetimo tek kada postanu ulaz.
Zato dobra zaštita ne znači samo dodavati nove slojeve. Ponekad znači ukloniti ono što više nema razlog da postoji.
Povjerenje nije doživotna dozvola
Povjerenje u osobu ne znači neograničen pristup sistemu. Zaposleni može biti pouzdan, a da mu ipak nije potreban uvid u sve. Partner može imati opravdan pristup jednom projektu, ali ne i ostatku infrastrukture.
Na toj logici počiva Zero Trust pristup. Korisnik nije sumnjiv zato što traži pristup, ali pristup ne dobija samo zato što je poznat.
Pristup treba da traje samo dok za njega postoji stvarna potreba.
Mirno vrijeme je najbolji trenutak za pregled naloga, privilegija i pristupa. Tada se vidi šta još treba da radi, šta treba ograničiti i šta treba ugasiti prije nego što postane problem.
Ključ je identitet. Vrata su svaki sistem kojem se pristupa. Prava brava više nije ona koja samo zaključava, nego ona koja stalno provjerava da li je pristup opravdan.
Najveća slabost često nije napad koji dolazi spolja. Slabost je pristup koji je ostao otvoren iznutra, dovoljno neprimjetan da se zaboravi i dovoljno rizičan da jednog dana zaustavi posao.
Granica firme danas se ne vidi na ulazu u zgradu. Ona se vidi u nalozima koji još rade, dozvolama koje su ostale i ključevima koje niko više ne preispituje.
Zato prvi korak ne mora biti veliki. Dovoljno je provjeriti ko još ima ključ firme i zapitati se kome bismo ga danas zaista ponovo ostavili ispod otirača.
Srđan Bjelić je rukovodilac Sektora za promociju i podršku prodaji ICT i poslovnih rješenja u kompaniji "Supernova". Profesionalno iskustvo u telekomunikacijama, poslovnim rješenjima i digitalnoj transformaciji sticao je kroz rad u sistemima "Telekom Slovenije" i m:tel grupe, na tržištima BiH i Adria regije.