Kibernetička sigurnost u 2023. godini

Stanje kibernetičke sigurnosti u Hrvatskoj i svijetu

Kibernetička sigurnost postala je jedna od ključnih tema za tvrtke svih veličina, a posebno u 2023. godini kada se broj i sofisticiranost kibernetičkih napada konstantno povećavaju. Za hrvatske tvrtke, razumijevanje trenutnih prijetnji i implementacija odgovarajućih sigurnosnih mjera više nije opcija, već nužnost.

Prema izvješću Hrvatske regulatorne agencije za mrežne djelatnosti (HAKOM), u 2023. godini zabilježen je porast kibernetičkih napada od 38% u odnosu na prethodnu godinu. Ovo pokazuje da hrvatske tvrtke postaju sve češći cilj hakera, što zahtijeva proaktivan pristup sigurnosti.

Najveće prijetnje u 2023. godini

Kako biste zaštitili svoje poslovanje, važno je razumjeti najčešće prijetnje s kojima se tvrtke suočavaju ove godine:

1. Ransomware napadi

Ransomware napadi i dalje su jedna od najdestruktivnijih prijetnji za tvrtke. U 2023. godini, ovi napadi postali su još sofisticiraniji, s napadačima koji ne samo da šifriraju podatke žrtve, već ih i prethodno kradu, stvarajući "dvostruku ucjenu" - platite da dobijete podatke natrag i da se ne objave.

Hrvatske tvrtke u financijskom i zdravstvenom sektoru posebno su na meti ovih napada. Prosječan trošak ransomware napada za srednju tvrtku u Hrvatskoj procjenjuje se na oko 350.000 €, uključujući troškove zastoja, oporavka podataka i potencijalne otkupnine.

2. Phishing napadi

Phishing ostaje najčešća metoda za inicijalni pristup sustavima tvrtke. U 2023. godini, napadači koriste sve sofisticiranije tehnike, uključujući:

• Spear phishing - Ciljani napadi na određene zaposlenike s personaliziranim porukama
• Business Email Compromise (BEC) - Lažiranje email adresa izvršnih direktora ili partnera
• Smishing - Phishing putem SMS poruka
• Vishing - Glasovni phishing putem telefonskih poziva

Prema istraživanju provedenom među hrvatskim tvrtkama, 76% uspješnih kibernetičkih napada započelo je phishing email-om.

3. Napadi na lanac opskrbe

Napadi na lanac opskrbe (Supply Chain Attacks) postali su veliki trend u 2023. godini. Umjesto izravnog napada na ciljanu tvrtku, napadači traže slabije zaštićene partnere ili dobavljače softvera kako bi stekli pristup.

Nakon globalno poznatog SolarWinds napada, hrvatske tvrtke počele su ozbiljnije provjeravati sigurnost svojih dobavljača. Međutim, prema našem istraživanju, samo 28% hrvatskih tvrtki provodi detaljan sigurnosni audit svojih dobavljača softvera.

4. Napadi na cloud infrastrukturu

S povećanom migracijom na cloud rješenja, napadi usmjereni na cloud infrastrukturu postali su češći. Najčešći problemi uključuju:

• Pogrešne konfiguracije cloud usluga koje ostavljaju podatke izložene
• Nedovoljna zaštita API-ja
• Slaba kontrola pristupa i upravljanje identitetima
• Nedostatak vidljivosti u cloud okolini

U Hrvatskoj, 62% tvrtki koje koriste cloud usluge priznaju da nemaju specijalizirane stručnjake za cloud sigurnost.

5. IoT sigurnosni propusti

Internet stvari (IoT) nastavlja rasti u industrijskom sektoru, a s time dolaze i nove sigurnosne prijetnje. IoT uređaji često imaju slabiju sigurnost i mogu poslužiti kao ulazna točka u mrežu tvrtke.

U Hrvatskoj, posebno u proizvodnom sektoru, vidjeli smo porast napada koji iskorištavaju slabo zaštićene IoT uređaje. Prema podacima CERTa (Computer Emergency Response Team), broj incidenata vezanih uz IoT porastao je za 45% u 2023. godini.

Ključne strategije za zaštitu vašeg poslovanja

Na temelju trenutnih prijetnji, evo nekoliko ključnih strategija koje hrvatske tvrtke trebaju implementirati:

1. Implementacija višefaktorske autentifikacije (MFA)

Višefaktorska autentifikacija jedna je od najučinkovitijih mjera za sprječavanje neovlaštenog pristupa. Prema podacima Microsofta, MFA može blokirati više od 99.9% napada vezanih uz kompromitaciju računa.

Preporuka: Implementirajte MFA za sve kritične sustave, posebno email račune, VPN pristup i cloud usluge.

2. Redovito sigurnosno kopiranje podataka

Robusna strategija sigurnosnog kopiranja podataka ključna je za oporavak od ransomware napada. Slijedite pravilo 3-2-1:

• Imajte najmanje 3 kopije vaših podataka
• Pohranite kopije na 2 različita medija
• Čuvajte 1 kopiju izvan lokacije (offsite)

Također, redovito testirajte proces oporavka kako biste bili sigurni da sve funkcionira kada je potrebno.

3. Edukacija zaposlenika

Zaposlenici su često prva linija obrane, ali i najslabija karika u sigurnosnom lancu. Redoviti treninzi o prepoznavanju phishing napada, sigurnosnim praksama i rukovanju osjetljivim podacima su ključni.

Preporuka: Provodite simulacije phishing napada kako biste testirali svijest zaposlenika i pružili ciljanu edukaciju.

4. Primjena principa najmanjih privilegija

Osigurajte da zaposlenici imaju pristup samo onim resursima koji su im potrebni za obavljanje njihovog posla. Redovito revidirajte korisničke dozvole i odmah ukidajte pristup bivšim zaposlenicima.

5. Patch management

Mnogi napadi iskorištavaju poznate ranjivosti za koje već postoje zakrpe. Uspostavite proces redovitog ažuriranja svih sustava, aplikacija i uređaja.

Preporuka: Kritične sigurnosne zakrpe trebale bi biti implementirane unutar 24-48 sati od izdavanja.

6. Implementacija Zero Trust arhitekture

Zero Trust pristup temelji se na principu "ne vjeruj nikome, uvijek verificiraj" - čak i unutar vaše mreže. Ovaj model zamjenjuje tradicionalni pristup perimetarske sigurnosti i posebno je važan u doba udaljenog rada.

Ključni elementi Zero Trust modela uključuju:

• Rigoroznu verifikaciju identiteta
• Osiguravanje uređaja
• Minimalizaciju privilegija pristupa
• Kontrolu pristupa aplikacijama
• Monitoring i analitiku

7. Izrada i testiranje plana odgovora na incidente

Brzi i učinkoviti odgovor na sigurnosni incident može značajno smanjiti njegov utjecaj. Vaš plan odgovora trebao bi uključivati:

• Jasno definirane uloge i odgovornosti
• Postupke za identifikaciju i ograničavanje incidenata
• Strategiju komunikacije (interna i vanjska)
• Postupke za oporavak sustava
• Analizu nakon incidenta za učenje i poboljšanje

Preporuka: Testirajte svoj plan odgovora najmanje dva puta godišnje kroz simulacije incidenata.

Regulatorni aspekti kibernetičke sigurnosti u Hrvatskoj

Hrvatske tvrtke moraju biti svjesne i usklađene s relevantnim propisima o kibernetičkoj sigurnosti:

GDPR i Zakon o provedbi Opće uredbe o zaštiti podataka

Osim globalnih zahtjeva GDPR-a, tvrtke moraju biti upoznate sa specifičnim hrvatskim provedbenim zakonom koji definira dodatne nacionalne odredbe.

Zakon o kibernetičkoj sigurnosti operatora ključnih usluga

Ovaj zakon, koji implementira EU NIS direktivu, definira obaveze operatora ključnih usluga u sektorima energetike, transporta, bankarstva, financijske infrastrukture, zdravstva, vodopskrbe i digitalne infrastrukture.

NIS2 direktiva

Nova EU direktiva o kibernetičkoj sigurnosti (NIS2) koja će zamijeniti postojeću NIS direktivu, proširuje obveze na više sektora i uvodi strože zahtjeve. Hrvatske tvrtke trebaju se pripremiti za implementaciju ove direktive koja će biti prenesena u nacionalno zakonodavstvo do kraja 2023.

Zaključak

Kibernetička sigurnost u 2023. godini zahtijeva proaktivan, slojeviti pristup zaštiti. Za hrvatske tvrtke, to znači ulaganje u tehničke kontrole, edukaciju zaposlenika, i razvoj robusnih procesa za prevenciju, detekciju i odgovor na incidente.

Ključno je razumjeti da kibernetička sigurnost nije samo IT pitanje, već strateški poslovni prioritet koji zahtijeva podršku najvišeg vodstva i integraciju u sve aspekte poslovanja.

Tvrtke koje uspješno implementiraju sveobuhvatnu sigurnosnu strategiju neće samo smanjiti rizik od skupih incidenata, već će izgraditi povjerenje klijenata i partnera, što može postati značajna konkurentska prednost u digitalnom dobu.