'V Sloveniji nimamo dovolj kompetentnega kadra za kibernetsko varnost'

Kibernetske grožnje so postale stalnica – od napadov na državne sisteme do izsiljevanja podjetij – njihovi učinki pa lahko ohromijo celotne družbe. Na panelu o kibernetski varnosti na konferenci Bloomberg Adria Resilience Executive Forum so strokovnjaki pokazali, kako lahko Slovenija poveže nacionalne varnostne strukture, izkušnje iz Nato vaj, tehnološke inovacije in finančne mehanizme za zaščito kritičnih sistemov.

Razprava je osvetlila vlogo rešitev, ki nastajajo v poslovnem okolju, a v kriznih scenarijih hkrati delujejo kot varnostna infrastruktura države, ter zakaj je digitalna odpornost ena ključnih konkurenčnih prednosti prihodnosti.

Na panelu so sodelovali Uroš Svete, direktor Urada Vlade RS za informacijsko varnost, Gregor Spagnolo, član upravnega odbora STF, tehnični vodja slovenske ekipe na Locked Shields pri NATO Cooperative Cyber Defence Centre of Excellence, Angelina Vučkovič, direktorica B2B Adria pri družbi Canon in Peter Filip Jakopič, direktor premoženjskih zavarovanj na Zavarovalnici Triglav. Panel je moderiral Daniel Fazlić, svetovalec za digitalno preobrazbo in umetno inteligenco.

Slovenija je na Natovi letni vaji Locked Shields, ki jo organizira od leta 2010 in strokovnjakom za kibernetsko varnost omogoča, da izboljšajo svoje znanje in spretnosti pri obrambi nacionalnih IT-sistemov in kritične infrastrukture, bila zelo uspešna. Dosegla je tretjo mesto.

Spagnolo je povedal, da so se "naučili, da se v kibernetsko varnost ne splača vlagati milijone. V kibernetski varnosti so dejansko ključni ljudje". "Umetna inteligenca lahko pomaga, ampak na koncu rabimo ljudi, ki razumejo tehnologijo in poznajo drobovje. Če pogledamo uspeh na vaji Locked Shields, sestava slovenske ekipe prihaja iz zasebnega sektorja, te pa ne dela z javno upravo na področju kritične infrastrukture, saj ti ljudje delajo za tuja podjetja, pri čemer le sedijo v Sloveniji," je povedal.

Svete z Urada za informacijsko varnost je pritrdil. "Razlika med realnim stanjem in vajo Locked Shields je ta, da na žalost mnogi, ki so zastopali Slovenijo, niso direktno vključeni v kibernetsko varnost Slovenije," je izpostavil. "V praksi podjetja mnogokrat ne vedo, katere aplikacije imajo, kaj šele kje se nahajajo, kdo so administratorji in kdo jih upravlja."

Nejc Pernek

 

"Nočna mora danes je, če vodstvo podjetja ne razume problema kibernetske varnosti in ostane na ravni tehničnih bližnjic, s katerimi ne moreš priti do realnih rezultatov," je pojasnil Svete in dodal, da je največja sprememba v zadnjih dveh letih ta, da smo v Sloveniji sprejeli nov zakon, ki podaja pravno podlago za to področje.

Vučkovič s podjetja Nikon je povedala, da se "zaradi pritiska digitalizacije pritiska na ponudnike, da znižujejo cene. Nihče se ne zaveda, da polovica groženj prihaja od zunanjih ponudnikov. Zato ponudniki vztrajamo, da se vzpostavi varnostni sistemi pri izmenjavi dokumentov, da uporabniki z večplastno zaščito poskrbijo za varnost. Ko pride do vdorov, je že prepozno."

O stanju kibernetske varnosti v Sloveniji je spregovoril Jakopič z Zavarovalnice Triglav. "Če se primerjamo s primerljivimi trgi, ki so bolj razviti, ne dosegamo njihovega nivoja glede kibernetske varnosti. Če pa pogledamo globalno, kdaj so začela podjetja ta tveganja jemati resno, je to bilo pred 20 leti. Kibernetska tveganja so glavni izziv podjetij na svetu. Če v ZDA podjetje dobi novega lastnika, jih najbolj skrbi, če imajo zavarovanje za to področje."

V Sloveniji je stanje drugačno, meni Jakopič. "Če vprašate slovenske podjetnike, kaj jih najbolj skrbi, so to naravne nesreče, kar smo videli s poplavami leta 2023." Povedal je še, da obstajajo kibernetska zavarovanja, predvsem na segmentu B2B.

Letos je bila proglašena direktiva NIS 2, s katero EU želi doseči visoko raven kibernetske varnosti, dodatno izboljšati kibernetsko odpornost. Svete je povedal, da odkar je bila proglašena, je država iskala pomembne akterje, pri čemer je vzpostavila samoregistracijski sistem za podjetja. "Računamo, da bomo imeli v končni fazi preko 1.000 zavezancev, od ministrstev, javnih agencij in podjetij. 10 odstotkov vseh naših zavezancev je iz sektorja kritične infrastrukture." Svete je še opozoril, da je smiselno, da se to vključuje postopoma, najbolj kritična sektorja pa sta po njegovem energetika in podatkovna infrastruktura.

Nejc Pernek

 

Spagnolo je spregovoril o ključnih zadevah, ki Sloveniji manjkajo na področju kibernetske varnosti. "Manjka nam nacionalna skupina za reševanje velikih incidentov. Imamo strokovnjake, ki jih rabimo za specifične probleme, vendar problem so kadri, pri čemer govorimo o kvaliteti, ne kvantiteti. V Sloveniji nimamo dovolj kompetentnega kadra za kibernetsko varnost."

"Ne govorimo o preventivi, ampak o reakciji na kršitve podatkov in vdore. Vnaprej načrtovane rešitve lahko zagotovijo varnost. Da imajo podjetja orodja, kjer se vidijo ranljivosti, da se vidijo navade uporabnikov in kje so grožnje. Pri nas umetna inteligenca spremlja navade uporabnikov in vsako odstopanje pošlje opozorilo administratorju, ki preveri, kaj se dogaja," je povedala Vučkovič.

Jakopič s Triglava je medtem izpostavil, da je človeški faktor "najšibkejši člen". "Tehnologija zelo napreduje, ljudje pa smo še vedno krvavi pod kožo. Človeška naivnost je največji problem. Velika podjetja veliko testirajo z raznimi napadi, stanje se izboljšuje, vendar je zadosti le ena napaka."

Kaj bi torej bilo potrebno na državi ravni? "Ustanovit zavod, kjer bi bila podjetja skupaj združena, da bi lahko sodelovala v primeru večjega napada," je povedal Spagnolo. Svete medtem meni, da bi za začetek v Sloveniji morala večina podjetij prebrati določila novega kibernetskega zakona, ker se ne zavedajo osnovnih določil. Vučkovič meni, da je ključna izobrazba, da podjetja vedo, od kod prihaja nevarnost, Jakopič pa, da je največja ranljivost na področju kadrov.