Digitalizácia bez bezpečnosti prináša viac rizík než úžitku (Miroslav Pikus)

Slovenský odborník na kybernetickú bezpečnosť vysvetľuje, ako rýchly rozvoj digitalizácie mení charakter kybernetických hrozieb v krajinách západného Balkánu a Moldavsku.

Kybernetická bezpečnosť sa stala jednou z kľúčových tém digitálnej transformácie. S rastúcou prepojenosťou systémov sa čoraz viac prelínajú oblasti kritickej infraštruktúry, národnej bezpečnosti a ochrany digitálneho priestoru.

Miroslav Pikus v súčasnosti pôsobí ako expert na kybernetickú bezpečnosť v regionálnom projekte, ktorý realizuje Rozvojový program OSN (UNDP) s podporou Ministerstva financií Slovenskej republiky. V rozhovore hovorí o hlavných výzvach, ktorým čelia krajiny západného Balkánu a Moldavsko. Zároveň približuje skúsenosti Slovenska s budovaním kapacít v oblasti kyberbezpečnosti a vysvetľuje, aké ponaučenia môžu byť užitočné aj pre ďalšie krajiny.

Miroslav Pikus

Aké miesto má kybernetická bezpečnosť v širšom systéme bezpečnosti?

Po celé stáročia sa bezpečnosť spájala najmä s obranou – ochranou hraníc, ľudí a fyzickej infraštruktúry, teda s doménou národnej bezpečnosti. Keď sa informácie stali kľúčové pre fungovanie štátov aj organizácií, začala sa rozvíjať informačná bezpečnosť ako spôsob ich ochrany. Kybernetická bezpečnosť z tohto prostredia následne vyrástla ako reakcia na riziká, ktoré priniesla čoraz väčšia závislosť od softvéru a počítačových sietí.

Kybernetická bezpečnosť je to, čo zabezpečuje dôveryhodnosť tejto neviditeľnej vrstvy. Dá sa prirovnať k imunitnému systému digitálnej spoločnosti – keď funguje, nikto si ju nevšíma, no ak zlyhá, zlyháva spolu s ňou aj všetko ostatné.

Čo najviac zmenilo vaše chápanie kybernetickej bezpečnosti a aké riziko považujete do budúcnosti za najviac prehliadané?

Keď som začínal v 90. rokoch, vnímal som kybernetickú bezpečnosť ako technický problém, na ktorý existujú technické riešenia. Desaťročia praxe ma však naučili, že ide predovšetkým o problém organizácií a ľudí. Väčšina úspešných útokov totiž nevyužíva sofistikované technické zraniteľnosti, ale skôr ľudí, procesy a nejasne rozdelené zodpovednosti.

Pokiaľ ide o najviac prehliadané riziko, tým je naša vzájomná závislosť. Vybudovali sme spoločnosť, v ktorej sú energetika, telekomunikácie, financie a logistika tak úzko prepojené, že zlyhanie jedného systému môže spustiť reťazovú reakciu naprieč ostatnými.

S nástupom umelej inteligencie, ktorá zrýchľuje útoky aj našu závislosť od automatizácie, sa chyby a zlyhania objavujú rýchlejšie, než na ne dokážeme reagovať.

Aké sú najdôležitejšie základné kroky a preventívne opatrenia v kybernetickej bezpečnosti?

Skôr ako akékoľvek sofistikované riešenia musíme mať dobre zvládnuté základy. Hovoríme tomu kybernetická hygiena. Ide o správne nakonfigurovaný firewall, aktuálnu ochranu proti škodlivému softvéru na všetkých zariadeniach, viacfaktorové overovanie, aby samotné ukradnuté heslo nestačilo, a bezpečné, pravidelne testované zálohy uložené tak, aby sa k nim útočník nevedel dostať.

Nejde o nič atraktívne, no väčšina úspešných útokov funguje práve preto, že niektorý z týchto základov chýbal. Majte preto zvládnuté základy. Zastavia väčšinu útočníkov a dávajú zmysel aj investíciám do pokročilejších opatrení.

Momentálne odovzdávate svoje skúsenosti krajinám západného Balkánu a Moldavsku v rámci projektu, ktorý podporuje Slovensko. Čo vás motivovalo zapojiť sa a v čom vidíte jeho najväčší význam alebo prínos?

IT bezpečnosť bola pre mňa vždy srdcovou témou a práca na projektoch, ktoré pomáhajú štátom a spoločnosti k vyššej bezpečnosti, dáva tejto vášni ešte väčší zmysel. Západný Balkán a Moldavsko prechádzajú výnimočnou premenou – rýchlo digitalizujú, približujú sa k Európskej únii a zároveň čelia veľmi reálnym kybernetickým hrozbám. Je tu teda naliehavá potreba a každý posun vpred je okamžite viditeľný.

Pre mňa je najväčšou hodnotou projektu to, že nezostáva len pri odporúčaniach na papieri. Buduje dlhodobé kapacity a prepája ľudí v regióne, ktorí čelia rovnakým výzvam.

Nedávno sa v Bratislave uskutočnil workshop zameraný na posilnenie ochrany kritickej energetickej infraštruktúry pred rastúcimi kybernetickými hrozbami. Prečo je energetický sektor v porovnaní s inými odvetviami takým atraktívnym cieľom kybernetických útokov?

Každá kritická infraštruktúra, či už ide o banky, mobilných operátorov alebo nemocnice, je kľúčová, no bez elektriny má problém fungovať. To dáva energetickému sektoru špecifické postavenie. Zároveň je v ňom mimoriadne vysoká miera automatizácie a závislosti od digitálnych technológií. Táto kombinácia z neho robí mimoriadne rizikový, a preto aj veľmi atraktívny cieľ.

Na základe vašej spolupráce s odborníkmi z Albánska, Bosny a Hercegoviny, Čiernej Hory, Severného Macedónska a Moldavska, aké najdôležitejšie výzvy v oblasti kybernetickej bezpečnosti v regióne pozorujete?

Z technického hľadiska sa problémy líšia, no v energetike výrazne vyčnieva jedna vec: potreba prísnejšieho oddelenia a kontrolovaného prepojenia medzi IT a OT systémami. Jednoducho povedané, IT je kancelársky svet – e-maily, účtovníctvo, weby, zatiaľ čo OT (z angl. operational technology, prevádzkové technológie) sú systémy, ktoré fyzicky riadia turbíny, rozvodne a energetické siete. Ak tieto dve prostredia nie sú prísne oddelené, aj obyčajný phishingový e-mail otvorený v kancelárii môže byť vstupnou bránou k technológiám, ktoré riadia chod elektrickej siete.

Čo ma však najviac prekvapilo, je organizačná rovina: koľko spoločností stále nemá samostatnú pozíciu CISO – teda bezpečnostného manažéra oddeleného od IT oddelenia. A práve tam sa to začína, pretože ten, kto systémy spravuje, by zároveň nemal byť jediný, kto hodnotí ich bezpečnosť.

Prečo je tak ťažké v praxi preklenúť bezpečnostnú medzeru medzi priemyselnými systémami a firemnými IT sieťami?

Priemyselné riadiace systémy boli často navrhované pred desaťročiami s dôrazom na spoľahlivosť, nie na prostredie plné hrozieb z internetu. Postupne sa však kvôli pohodliu a potrebe vzdialeného spravovania začali prepájať s firemnými sieťami.

Ak medzi týmito dvoma svetmi chýba jasné oddelenie, monitoring a kontrolovaný tok dát, útočník, ktorý kompromituje bežný kancelársky počítač, sa môže postupne dostať až k systémom, ktoré fyzicky riadia elektrickú sieť. Uzavretie tejto medzery patrí z technického hľadiska medzi najdôležitejšie priority.

Vraveli ste, že krajiny západného Balkánu digitalizujú rýchlo. Znamená tento rýchly digitálny rast automaticky aj lepšiu kybernetickú bezpečnosť a odolnosť?

Žiaľ, nie, a práve to je ten problém. Digitalizácia a prepojenosť bez bezpečnosti sú skôr záťaž ako prínos. Každá nová online služba zároveň znamená aj nový možný priestor na útok. Potrebujeme zmeniť prístup – prestať hovoriť o digitalizácii všeobecne a začať hovoriť o odolnej a bezpečnej digitalizácii.

Čo stojí za rastúcim významom kybernetickej bezpečnosti v týchto krajinách?

Sú dva zdroje motivácie. Po prvé, ako kandidátske krajiny EÚ zosúlaďujú svoju legislatívu a inštitúcie s európskymi rámcami, napríklad so smernicou NIS2. Po druhé, región zažil sériu ničivých kybernetických útokov. Spomeňme útoky v roku 2022, ktoré paralyzovali štátne elektronické služby v Albánsku, alebo ransomvérový útok, ktorý v tom istom roku ochromil verejnú infraštruktúru v Čiernej Hore.

Tieto incidenty posunuli kybernetickú bezpečnosť z technickej na politickú tému. Napriek tomu jednotlivé inštitúcie a sektory nepristupujú k tejto téme rovnako naliehavo. Prioritám totiž naďalej konkurujú mnohé iné naliehavé ekonomické a infraštruktúrne potreby.

Dá sa teda povedať, že krajiny západného Balkánu a podobné regióny investujú do kybernetickej bezpečnosti dostatočne?

Zatiaľ nie. Náš prieskum ukázal, že tretina energetických spoločností v regióne investuje do kybernetickej bezpečnosti menej než 1 % svojho rozpočtu. To je hlboko pod úrovňou, ktorú si vyžaduje aktuálna miera hrozieb.

Čo sú hlavné príčiny?

Časť problému je skutočne finančná: kybernetická bezpečnosť si vyžaduje nákladné investície a zosúladenie so smernicou NIS2 nie je lacná záležitosť. Zároveň je to však aj otázka priorít a riadenia. Rovnako dôležité ako veľkosť rozpočtu je aj to, či sa peniaze míňajú správne na vhodné opatrenia, ľudí a procesy.

Ako by ste porovnali pripravenosť na kybernetickú bezpečnosť na Slovensku so západným Balkánom a Moldavskom a aké sú hlavné podobnosti a rozdiely?

Situácia na Slovensku tiež nie je ideálna. Podľa najnovších štatistík Národného bezpečnostného úradu z roku 2024 sú energetické subjekty v priemere na 88 % v súlade so smernicou NIS. Pritom NIS by sa nemala vnímať ako konečný cieľ, ale skôr ako základné minimum. Na druhej strane, smernica bola na Slovensku transponovaná už v roku 2018, situácia sa každým rokom postupne zlepšuje a verím, že sme na dobrej ceste. Najvýraznejší rozdiel je v tom, že Slovensko môže čerpať z projektov kybernetickej bezpečnosti financovaných z EÚ, ku ktorým krajiny s kandidátskym statusom zatiaľ nemajú plný prístup.

Okrem toho však úprimne čelíme veľmi podobným problémom – nedostatku odborníkov, zastaraným systémom a rozdielu medzi tým, čo je napísané v regulácii, a tým, ako sa bezpečnosť reálne uplatňuje v praxi.

Aké praktické skúsenosti zo Slovenska v oblasti kybernetickej bezpečnosti sa dajú realisticky preniesť na západný Balkán a čo sa, naopak, nedá jednoducho kopírovať pre štrukturálne rozdiely?

To, čo sa prenáša dobre, je samotná cesta. Slovensko si prešlo presne tou istou cestou ako tieto krajiny – transpozíciou smernice NIS do národnej legislatívy, budovaním národného úradu pre kybernetickú bezpečnosť a kapacít na riešenie incidentov a aj vzdelávaním prevádzkovateľov kritickej infraštruktúry o dodržiavaní pravidiel v praxi. Počas toho sme však urobili aj chyby. Podcenili sme náklady na implementáciu a často sme vnímali dodržiavanie predpisov skôr ako papierovú povinnosť než ako reálne zvyšovanie bezpečnosti. Zdieľanie týchto chýb je niekedy rovnako cenné ako zdieľanie úspechov.

Preniesť sa však nedá kontext: prístup k fondom EÚ, veľkosť a vyspelosť trhu kybernetickej bezpečnosti či inštitucionálne kapacity sú výrazne odlišné. Preto nejde o to „urobte to ako Slovensko“, ale skôr „učte sa z toho, ako to robilo Slovensko, a vyhnite sa našim zbytočným krokom a obchádzkam“.

Miroslav Pikus počas workshopu

Počas vašej prezentácie na workshope ste spomenuli, že ľudia a odborné znalosti sú v kybernetickej bezpečnosti kľúčové „bojisko“. Čo ste tým mysleli a čo vás k tomuto záveru viedlo?

Technológie sa dajú kúpiť, ale odborné znalosti nie. Tie treba budovať a to trvá roky. Firewall je len taký dobrý, ako človek, ktorý ho nastaví. Aj najsofistikovanejší monitorovací systém je na nič, ak mu nikto nerozumie. Preto sú ľudia skutočným „bojiskom“. Útočníci aj obrancovia totiž v konečnom dôsledku súťažia o rovnaký obmedzený zdroj – talentovaných odborníkov.

V menších krajinách je to ešte zložitejšie kvôli odlivu mozgov. Skúsení špecialisti odchádzajú do súkromného sektora alebo do bohatších krajín a verejné inštitúcie s pevne danými platovými tabuľkami im nedokážu konkurovať. Odpoveďou na to však nie sú len vyššie platy, ale aj budovanie atraktívnych odborných komunít, kontinuálne vzdelávanie a zmysluplná práca pre odborníkov. Presne o to sa snažia aj regionálne projekty, ako je ten náš cez UNDP.

O Miroslavovi Pikusovi

Miroslav Pikus je slovenský expert na kybernetickú bezpečnosť s tridsaťročnými skúsenosťami, vrátane manažérskych pozícií v spoločnostiach ESET, Avnet, Websupport a Deutsche Telekom. V súčasnosti pôsobí ako odborník v regionálnom projekte UNDP podporovanom Slovenskom ‚Kybernetická bezpečnosť pre odolnú digitálnu budúcnosť‘.