Procjenjuje se da je u ovom trenutku u svijetu više od osam milijardi uređaja spojenih  na internetsku mrežu, a već dogodine će ih biti oko 20 milijardi.

Toliki broj uređaja  koji generiraju ogromnu količinu podataka sve je izloženiji kibernetičkom kriminalu. Meta postaju svi koji su spojeni na internetsku mrežu, pa tako i industrijska postrojenja. O time kako osigurati sigurnu komunikacijsku vezu u industriji razgovarali smo s Adrianom Liebhardtom, voditeljem prodaje za procesnu industriju u Siemensu Hrvatska.   

Uz tako naglu i nekontroliranu digitalizaciju, kako zaštititi industrijska postrojenja od kibernetičkih napada?
Navikli smo se da imamo pristup informacijama uvijek i svugdje. U industriji je slično, kontrolno-upravljački sustavi koji se tu koriste zapravo su neka vrsta prilagođenih računala. Takvi uređaji postaju dostupni s udaljenih mjesta zbog njihova servisiranja, da se inženjer od kuće sam može spojiti i riješiti neki kvar, ali i u svrhu sakupljanja podataka, praćenja trenutnog stanja i općenito trendova koje donosi digitalizacija. S obzirom na to da su dosad  kibernetički napadi uglavnom fokusirani na IT segment, potrebno je prvo pobuditi svijest o ugrozi koja prijeti i industrijskom okruženju. U industriji još nema dovoljno svijesti da su i ti uređaji ranjivi, a kritična infrastruktura je još izloženija. Uzmimo za primjer vodoopskrbu, promet ili energetiku, koje su tradicionalno tehnološki konzervativnije grane gdje često ne postoji svijest da je  jedno industrijsko računalo koje je spojeno na mrežu bez ikakve zaštite vrlo osjetljivo i netko može, primjerice, ubaciti maliciozni softver i prouzročiti velike štete u svakodnevnom životu. Stvaranje kibernetički sigurnog industrijskog okruženja podrazumijeva interdisciplinarna znanja i holistički pristup. To prije svega znači razumjeti digitalizaciju i izazove koje donosi, posjedovati specifična znanja za pojedine industrijske grane, upotrebljavati suvremenu tehnologiju i kontinuirano provoditi procese koji su u skladu s relevantnim certifikatima i standardima. Siemens je gradio instaliranu bazu i znanja diljem svijeta desetljećima i samo kompanije koje svakodnevno prate trendove i izazove mogu biti pravi partner na putu ka sigurnoj digitalizaciji. Dosad najpoznatiji primjer cyber kriminala u industrijskom okruženju je Stuxnet,  namjerni malware implantiran u proizvodnju za obogaćenje urana u Iranu. Tehnologiju tog softverskog koda projektirali su ljudi koji jako dobro poznaju proces proizvodnje i hardver odnosno softver koji je bio tamo instaliran. Ideja je bila da se taj maliciozni softver pojavi svakih 14 dana i bude aktivan 10 minuta u sekvenci, koliko mu je trebalo da Irancima uništi cjelokupnu proizvodnju. Sve se činilo kao da radi savršeno normalno pa tehnolozi i inženjeri nisu moglo dokučiti o čemu se radi. Taj maliciozni kod se širio diljem svijeta preko mreže i USB medija, ali nigdje nije bio aktivan, osim točno tom dediciranom uređaju jer je tako bio projektiran. Tu je bila važnija poruka o unošenju nesigurnosti, da su htjeli uništiti postrojenje mogli su upotrijebiti puno efikasnije i invazivnije metode, a ovako su dugoročno unijeli strah od cyber napada u industrijskim postrojenjima i s time se je počelo aktivno razgovarati i o pojmu cyber ratovanja.

Gdje su gubici veći – u tehnološki razvijenim ili manje razvijenim zemljama?
Teško je procijeniti, no dijeljenje informacija je jače u razvijenim zemljama pa o tome imamo i više podataka. Lakše je napasti manje razvijenu tehnologiju, ali je napadaču puno zanimljivije napasti tehnološki razvijena rješenja. Osim toga, napada se vrjednija kompanija, čije se informacije mogu puno bolje utržiti i eksploatirati. U industriji i IT-u koriste se iste platforme, a ključne su razlike u životnom vijeku tih uređaja. IT se bazira na trendovima, novim softverima i hardverima, životni vijek im je tri do četiri godine, dok je u industriji životni vijek 20 do 40 godina. To znači da ćete u industriji naći tehnologiju nastalu i prije saznanja da postoji opasnost od cyber kriminala, često su to stari operativni sustavi koje nije moguće aktualizirati s ciljem zaštite od danas aktualnih opasnosti. Moramo znati da cyber kriminalci više nisu ljudi koji doma sjede u sobi s računalom, neki nadobudni geekovi iz američkih filmova. To su danas sofisticirani  programeri koji imaju deblje račune od ljudi iz kompanija koje napadaju. Cijela ta scena je puno razvijenija nego što mi mislimo, u nekim zemljama vjerojatno postoje i cijele tvrtke koje obavljaju svakakve djelatnosti.

Koja je glavna opasnost od cyber kriminala — krađa podataka, ucjene ili jednostavno stvaranje štete?
U poslovnom sektoru je glavna opasnost od vlasništva podataka, a u industrijskoj okolini je ugroza u smislu funkcionalnosti industrijskih postrojenja. Glavna zadaća je da su ona stabilna i otporna na smetnje i greške, da imamo kontinuitet. Tu nije toliko izražena opasnost od gubitka podataka u industrijskoj špijunaži jer će njih malo tko moći iskoristiti. Obično se tu radi o napadu u smislu disfunkcionalnosti, poremećaja kontinuiranog rada što nikako ne treba zanemariti ukoliko uzmemo u obzir cijenu zastoja proizvodnje. Ugroze putem  interneta, kompromitiranja podataka ili pak napadi uskratom najčešći su primjeri  kibernetičkog kriminala. Potrebno je pobuditi svijest te dijeliti  informacije kroz suradnju  industrije, institucija, te akademske zajednice. Pravi  primjer  toga  je  CERT organizacija  (Computer  Emergency  Response Team). Danas diljem svijeta postoji više stotina javnih i privatnih CERT organizacija, i u   Hrvatskoj postoji nacionalni CERT.  Velike  tehnološke  kompanije također imaju  svoje vlastite  CERT-ove, primjerice Siemens ih ima nekoliko diljem svijeta. Cilj  takvih organizacije je suradnja i objavljivanje informacija. I dalje se podatci o napadima ponekad zataškavaju, najčešće motivirani štetom koju može prouzročiti negativni publicitet, a ideja CERT-a je dijeljenje informacija o napadima, što je podloga za bolje sustave zaštite.

Koliki su godišnji gubici u svijetu zbog kibernetičkog kriminala?
Prema procjeni Centra za strateške i međunarodne studije iz Washingtona, kibernetički kriminal košta globalno gospodarstvo oko 400 milijardi američkih  dolara godišnje. Računa se da je 2016. kibernetičkim napadima s  interneta u svijetu prouzrokovano više od 500 milijardi eura štete. Preneseno u ekonomske  okvire,  taj iznos možemo poistovjetiti s 1,6 posto BDP-a u pojedinim europskim zemljama, a to je impresivna brojka za nešto o čemu nismo dovoljno svjesni, i što se kontinuirano razvija iz dana u dan.

Poslovanje u 'oblaku' je sve popularnije. Koliko je opasan cloud computing?
Kao i svako računalo koje je spojeno na mrežu. Jedno je u smislu zaštite podataka, jer držite podatke na serveru koji nije u vašem vlasništvu. Morate dobro definirati odnose pružatelja usluge vlasnika platforme i vas kao korisnika, da ste svjesni gdje su ti podaci i da vam on jamči da nitko neće imati pristup podacima osim vas.  Drugi aspekt je ranjivost clouda kao platforme, nevezano tko je pružatelj usluga. Ta platforma je na internetu. Vi se morate spojiti na internet kako biste koristili ili povukli određene podatke na vaše računalo. U trenutku spajanja na internet, podaci na vašem računalu postaju isto tako dostupni kao i ovi na cloudu, s tom razlikom da bi ovi na cloudu trebali biti sigurniji jer pružatelji usluga imaju puno sofisticiranije tehnologije od vas jer je to njihov core business. U duhu upotrebe novih poslovnih modela clud computing je tehnologija koja će zasigurno uvelike zaživjeti u mnogim industrijskim granama. 

Imate li neke podatke u šteti koju cyber kriminal izaziva u Hrvatskoj?
U Hrvatskoj je toga manje, jer tehnologija nije toliko razvijena a nemamo niti tako razvijenu industrijsku proizvodnju koja bi nekome mogla biti zanimljiva.  Siemens je na globalnoj razini inicirao potpisivanja povelje Charter of trust, koja okuplja desetke velikih kompanija iz raznih branši – industrije, IT-ja, telekoma. Ideja je da se surađuje na rješenjima zaštite od kibernetičkog kriminala. Unutar te povelje su neke kompanije konkurenti, no ovdje rade za viši cilj podizanja svijesti i obrane od kibernetičkog kriminala. I Siemens u Hrvatskoj radi na sličnom projektu – s partnerima radimo na jednom laboratoriju koji će služiti testiranju sigurnosnih rješenja za naše industrijske uređaje. Ideja je imati poligon za testove na otpornosti od kibernetičkih napada. Projekt se razvija na sveučilištu u Osijeku, uz partnere iz akademske zajednice (FERIT), IT segmenta (Atos) te partnera iz industrije (ATO Inženjering).