V bezpečnosti nejde jen o boj systémů, nejslabším článkem je člověk

Pod pojmem bezpečnost dat si většina z nás v dnešní době představí ochranu před kybernetickým útokem. To ale není úplně správně, že ano?

Řešit kybernetickou bezpečnost je samozřejmě velký trend, nesmíme ale zapomínat ani na ty zbylé. Systémy se prolínají. Kamery nebo požární zabezpečení jsou vlastně IT systémy, které mohou být napadeny kybernetickým útokem. A funguje to i naopak, můžu mít data uložená na serveru, kyberneticky zabezpečená, ale když někdo přijde a server mi ukradne, o data přijdu úplně stejně.

Vaše firma zavedla pojem konvergované bezpečnosti. Můžete ho přiblížit?

Díváme se na bezpečnost jako na jeden komplexní celek, takže současně pokrýváme hrozby, které se týkají provozní, kybernetické a fyzické bezpečnosti. Ty jsou mezi sebou provázané. Dokládá to již zmíněný příklad s daty. Firmy často řeší různé oblasti bezpečnosti zvlášť pomocí jednotlivých oddělení. Jestliže ale chci data, a nejen ta, skutečně ochránit, musím je zabezpečit všemi způsoby a ty ještě zkombinovat do jednoho celku.

Firmy tedy chybují nejčastěji v tom, že se na bezpečnost nedívají komplexně?

Ano, často mezi sebou nemají jednotlivé bezpečnosti provázané. Mám kamery, které hlídají vstup do areálu nebo budovy, pak opatření, která bdí nad bezpečností dat. Systémy mezi sebou ale nekomunikují. A pak může přijít chvíle, kdy se firma stane terčem útoku, přičemž jedna část nemusí tušit, co se děje v té druhé. Dejme tomu, že do serverovny může přijít uživatel na identifikační kartu a pomocí přístupových kódů se připojí do počítače. Uživatel se identifikoval, takže z hlediska fyzické bezpečnosti je všechno v pořádku, měl přihlašovací údaje, to také sedí. Jak ale zjistím, že někdo nevyužil falešný přístup do místnosti nebo naopak neprolomil účet pod cizím jménem? Pokud bezpečnosti nesloučím, tyto incidenty nezjistím, a získám tak pocit, že je vše v pořádku.

Pozornost se přesouvá k vyhodnocování dat

Jedním z vašich zákazníků je Letiště Praha. Jaké principy využíváte v případě tohoto klienta?

Vytvořili jsme bezpečnostní dispečink, což je takové zastřešení, do kterého jsme integrovali systémy používané letištěm. Velkou část prostoru věnujeme provozní a fyzické bezpečnosti. V bezpečnostním dispečinku se hlídají všechny možné fyzické vstupy, kdo kam smí nebo nesmí, kdo se jak pohybuje, kdo do zabezpečených zón vstoupí cíleně nebo omylem. Systém je napojený na bezpečnostní službu, což vyžaduje zároveň kybernetické zabezpečení, aby se nikdo nenaboural do komunikačních kanálů ostrahy.

Sbíráme data a porovnáváme je mezi sebou, zkoumáme souvztažnosti. Máme konkrétní scénáře, co dělat v případě různých druhů útoků. Což zahrnuje i procesní část, aby se řešení incidentů zrychlilo.

Předpokládám, že právě práce s daty je základem konvergované bezpečnosti.

Přesně tak. Dnes máme mnoho zdrojů dat, technologie, spoustu čidel a informací. Takže z mého pohledu se i v oblasti konvergované bezpečnosti pozornost přesouvá k vyhodnocování dat, což bude klíčové. Pokud budu správně pracovat s daty, můžu se přesunout do oblasti predikce, zjišťovat vývoj a zabránit incidentům dřív, než nastanou. To je za mě budoucnost bezpečnosti.

Dokážete říct konkrétní případ v rámci predikce?

Z hlediska kybernetické bezpečnosti jsou vydefinované modely a scénáře útoků. Systémy jsou postaveny na behaviorální analýze a systém hlídá, co se v prostředí děje. Někdo zvenku se třeba jen snaží orientovat ve firemní síti, zjišťuje, kam se dostane. A ačkoli zatím neútočí, systém může toto chování vyhodnotit jako podezřelé. Včasnou reakcí pak můžeme případnému útoku zabránit. V kybernetické bezpečnosti jde o vteřiny. A to samé můžete využít i ve fyzické bezpečnosti. Třeba někdo vám už třetí den po sobě projde kolem domu, zvláštně si ho prohlíží a vy už tušíte, že něco hrozí.

Mizí morální zábrany

V tu chvíli nastupuje umělá inteligence?

Ano. V souvislosti s ní očekáváme velký převrat jak na poli obrany, tak i možných útoků. S každou digitalizací vznikají potenciální hrozby, každý systém má slabiny a může být napadený. Tím, že přecházíme do virtuálního světa, mizí i zábrany, které lidé mají. Ve fyzickém světě nám dělá větší problém někoho napadnout nebo mu něco ukrást. Kybernetické útoky jsou z morálního hlediska jednodušší, a proto jich je víc.

Jakou hrozbu přináší umělá inteligence?

Přichází informační válka a ztrácí se povědomí o tom, co je pravda a co lež, protože je výrazně těžší ověřit si to, co vidím. Pomocí umělé inteligence dokážu vytvořit video, vložit někomu větu do úst a tímto způsobem manipulovat. Můžu prolomit ochranu falešnou identifikací. AI dokáže velmi jednoduše napodobit chování, zvládne se přizpůsobit a naším jménem se někam připojit. Což spadá nejen pod kybernetiku, ale i pod fyzickou bezpečnost. Můžeme si zmapovat čidla, kamerové systémy a například ukázat cestu do budovy. AI dokáže vzít v úvahu i počasí, kdy mají čidla kratší dosah.

Technologická skupina TTC kupuje brněnskou firmu zaměřenou na datovou analýzu

12. 1. 2023 ▪ 4 min. čtení

Podle toho, co říkáte, vstupuje AI do všech zmíněných typů bezpečnosti, včetně provozní. Je to tak?

Ano. Provozní bezpečnost znamená, že hrozby jsou neúmyslné, například vlivem opotřebení, počasí nebo selhání techniky či lidského faktoru. A i zde bude hrát umělá inteligence důležitou roli. Třeba pro různé simulace, modelování a předvídání událostí i stavů. Využití najde například v oblasti autonomní dopravy.

Co je tedy důležité? Neopomíjet žádnou stránku bezpečnosti?

Když si dáte do vyhledávače bezpečnost firmy, objeví se odkazy zaměřené především na kybernetickou bezpečnost. Hodně se za poslední dobu změnilo to, co je pro nás důležité, co si hlídáme. Už to nejsou tolik cennosti, elektronika a papíry, ale data. Tudíž se bezpečnost přesouvá do kybernetického světa. A na fyzickou stránku se někdy trošku zapomíná.

Útoky budou směřovat na lidský faktor

Co firmě hrozí ve chvíli, když se fyzická bezpečnost opomine?

Mimo jiné samozřejmě i ztráta dat. Jednoduchý příklad je, že jako zaměstnanec firmy mám notebook, ve kterém mám důležitá data. Ve firmě funguje skvělý firewall, data mám zabezpečená, ale jdu si po práci zaběhat, nechám počítač v autě a někdo mi ho ukradne. Takže jednoduše vyvezu data ven, kde se k nim někdo dostane. Takže já si vlastně data ve firmě za velké peníze chráním, ale pak neodhadnu dopady vně firmy. Dalším příkladem je telefon. Máme v něm mnoho důležitých dat, kdo ho má ale ve skutečnosti opravdu chráněný? A skrz mobilní telefony vznikají i firmám velké bezpečnostní mezery.

Jaká jsou řešení?

Firma musí mít zpracovaná pravidla, jak se k těmto zařízením chovat, poučit zaměstnance a kontrolovat, že se pravidla dodržují. Pak mít ohlídané telefony a notebooky, aby v nich tyto citlivé údaje nebyly nebo aby byly řádně zabezpečené. Firmy jsou ale v tomto směru bohužel poměrně benevolentní. A zaměstnanci tento typ bezpečnosti příliš neřeší, protože je zdržuje od práce.

Takže z hlediska bezpečnosti je stále důležitý lidský faktor?

Ano a toho využije i umělá inteligence. Nejnebezpečnější je manipulace lidí, protože člověk už je výpočetně relativně omezený. Útoky proto budou z mého pohledu směřovat na lidský faktor. Budou se snažit ovlivnit myšlení a chování lidí, protože tam vzniká největší propast. Takže už nepůjde o boj systémů. AI bude cílit na člověka. Firmy proto musí zabezpečit tuto část. A pak přichází na řadu různé principy, jak se chovat, čemu věřit a čemu naopak ne. Je tedy potřeba edukovat lidi, aby odhadli nepřítele a nevěřili všemu, co vidí. Musíme se naučit ověřovat informace.

Ohlídat lidský faktor je ale z hlediska bezpečnosti asi náročné, že? Mám pocit, jako bychom udělali krok zpět. Technologie jsou na vysoké úrovni, ale vracíme se zpět k člověku, který sice nevědomky, ale snadno dělá chyby.

Lidský faktor je nejslabší článek v řetězci, který je opravdu potřeba posílit. Takže jednak musíme mít zpracované, co po zaměstnancích chceme, a pak to do nich musíme smysluplně dostat. To je naprosto klíčové. A samozřejmě se stále budou objevovat případy, kdy člověk vynese informace z firmy naprosto vědomě s cílem je prodat.

Jaký je postup, když se vám ozve firma s tím, že by ráda získala návrh, jak se zabezpečit?

Setkáme se s ní, zjistíme, co chce chránit, jakým způsobem má tyto citlivé věci doposud zabezpečené, a my z hlediska konvergované bezpečnosti prověříme všechny články a možné nedostatky. Z toho pak vyplývají různá bezpečnostní řešení. Někdy to může být nějaké opatření, třeba i zamykání dveří, jindy zavedeme nástroje. Naším principem ale není za každou cenu zavádět nové systémy za mnoho peněz. Důležitá je i ekonomická stránka. Například pokud se ve firmě ztrácejí věci a není možné přijít na to, jakým způsobem, mnohdy je levnější nechat pár věcí ztratit než instalovat drahý kamerový systém.