Napomáháme zatajováním podstatných informací o kybernetických útocích útočníkům?

Kybernetické útoky na organizace v České republice jsou stále častějším jevem. Přesto jsou informace, které se dostávají do médií, často povrchní, nesystematické a postrádají jakýkoliv praktický význam pro odbornou veřejnost i potenciální oběti.

Tento článek představuje dva pohledy na problematiku zveřejňování detailů o kybernetických útocích: přístup, který zastávám já, a umírněnější přístup ChatGPT.

Mirek: Současná praxe představuje selhání, které pomáhá výhradně útočníkům

Média a bezpečnostní instituce systematicky selhávají. Kybernetické útoky jsou prezentovány jako izolované incidenty, aniž by se veřejnost dozvěděla cokoliv užitečného. „Firma X byla napadena hackery“ – ale co dál? Byl to DDoS, ransomware, phishing? Byla zneužita známá zranitelnost v infrastruktuře, webové aplikaci, nebo šlo o kompromitaci zaměstnanců přes sociální inženýrství? Takové informace nikdy nezazní.

Útočníci ale přesně vědí, co zneužili a budou v tom pokračovat dál. Mají svoje exploity, skenují internet a hledají další oběti. Kdo je v nevýhodě? Potenciální oběti. Zatímco bezpečnostní komunita se musí spoléhat na zdlouhavé vyšetřování a anonymizované reporty zveřejněné měsíce po útoku, útočníci mají informace v reálném čase.

Informace o kybernetických incidentech se objevují v různých tiskových zprávách, zprávách CERT.CZ, Národního bezpečnostního úřadu či specializovaných médiích, ale neexistuje centrální databáze, která by tyto údaje systematicky a ověřeně shrnovala. Absence systematického zveřejňování detailů může v části veřejnosti vytvářet falešný dojem, že těch útoků vlastně až tak moc není. Výsledkem jsou podceněné rozpočty na kybernetickou bezpečnost, nízká míra prevence a zbytečné škody.

A když už jsme u té výše škod, tak instituce jako NÚKIB sice zveřejňují přehledy incidentů, ale konkrétní dopady, včetně finančních ztrát, se téměř nikdy neuvádějí. To je zásadní problém, protože bez těchto dat není tak snadné provádět analýzu kybernetických rizik. Organizace tak nejsou schopny reálně vyhodnotit, kolik by měly investovat do zabezpečení, protože nemají představu o tom, jaké škody mohou hrozit.

Stejně problematické jsou bezpečnostní reporty soukromých firem nabízejících bezpečnostní řešení. Často obsahují selektivně vybraná data, která podporují prodej daného produktu, ale neposkytují reálný pohled na problematiku. Chybí konkrétní čísla o škodách, metodách útoku či skutečné efektivitě protiopatření. Takové reporty mohou vytvářet falešnou představu o stavu kybernetické bezpečnosti a místo zlepšení obranyschopnosti slouží spíše jako marketingový nástroj.

Navíc stále nemáme jasnou taxonomii kybernetických hrozeb, což je další zásadní nedostatek. Bez jasného pojmového rámce není možné efektivně analyzovat trendy a srovnávat incidenty mezi sebou. To dále komplikuje jak strategické plánování bezpečnostních opatření, tak i jakékoli snahy o kvantitativní vyhodnocování kybernetických rizik.

ChatGPT: Transparentnost ano, ale s rozvahou

Odpovědné zveřejňování informací musí být vyvážené. Detailní technické informace mohou poskytnout útočníkům přesný návod k dalším útokům. Pokud by se zveřejnily příliš brzy, mohli by útočníci upravit své metody, aby se vyhnuli detekci. Některé organizace navíc nemají okamžitou kapacitu aplikovat bezpečnostní opatření, a veřejná diskuse o konkrétních slabinách by jejich situaci mohla ještě zhoršit.

Nicméně, pokud se relevantní detaily nezveřejní ani týdny či měsíce po útoku, pak se už nelze vymlouvat na „odpovědné zveřejňování“ – je to prostě informační blackout, který škodí. Pokud útočníci své metody již použili a skenovali systémy, pak informace o nich už mají – potenciální oběti je ale nemají. Z tohoto pohledu by tedy mělo existovat alespoň dodatečné zveřejnění technických detailů poté, co je situace pod kontrolou.

A pokud jde o výši škod? Je pravda, že zveřejňování těchto informací by mohlo vést ke spekulacím či obavám investorů nebo zákazníků. Ale současná situace, kdy nejsou dostupné vůbec žádné údaje o ekonomických dopadech útoků, vede k tomu, že firmy a státní správa podceňují riziko. Zveřejnění agregovaných dat o finančních ztrátách by mohlo pomoci organizacím lépe pochopit, jak vážná hrozba kybernetických útoků skutečně je.

Jaký je správný přístup?

Mirek: Odpověď je jednoduchá – zveřejňovat podrobnosti co nejrychleji. Pokud je známo, že útočníci zneužívají konkrétní zranitelnost, měla by být tato informace ihned dostupná IT specialistům v organizacích. Není žádný důvod čekat. Stejně tak anonymizované reporty NÚKIB zveřejněné měsíce po útoku, nikomu nepomohou – neobsahují ani výši škod, takže se nedají použít pro kvantitativní analýzu rizik. A to je problém!

ChatGPT: Ano, je pravda, že pozdní nebo příliš vágní informace nepomáhají organizacím se bránit. Ale je třeba zajistit, aby zveřejnění informací nevedlo k větší škodě. Proto je důležité najít rovnováhu mezi transparentností a bezpečností – což ale nesmí být výmluva pro zatajování detailů na neurčito. Navíc, pokud se opravdu chceme posunout k efektivní obraně, musíme zlepšit zveřejňování dat o ekonomických dopadech kybernetických útoků a zavést jednotnou taxonomii kybernetických hrozeb.

Kybernetická bezpečnost není jen otázkou obrany jednotlivých organizací, ale celkové spolupráce v rámci státu i soukromého sektoru. Pokud budou zveřejňovány pouze obecné fráze o tom, že „někdo byl napaden“, nikdy nezvýšíme připravenost organizací na hrozby, které se neustále vyvíjejí.

Závěr: Z výše uvedených názorů vyplývá, že problém nedostatečného zveřejňování detailů kybernetických útoků je komplexní. Na jedné straně je třeba okamžité a přesné sdílení informací, aby IT specialisté mohli promptně reagovat na aktuální hrozby. Na druhé straně je nutné zachovat rozvahu, aby nedošlo k nechtěnému poskytnutí návodu útočníkům a aby se nepodpořily neúměrné obavy veřejnosti či investorů. Důležité je proto pracovat na zavedení:

• standardizované metodiky pro reportování incidentů, která bude obsahovat jak technické, tak ekonomické údaje.
• jasné taxonomie kybernetických hrozeb, jež umožní efektivní analýzu a srovnání incidentů.
• spolupráce mezi státními institucemi, soukromým sektorem a odbornou komunitou.

Tím se můžeme posunout směrem ke komplexnějšímu a prakticky využitelnému modelu obrany, který nejenže informuje o hrozbách, ale také reálně přispívá ke zvýšení bezpečnostní připravenosti všech zúčastněných subjektů.

Poznámka: Tento článek vznikl na základě mého rozhovoru s ChatGPT. V diskusi byl ChatGPT mnohem zásadovější a trval na zachování stávající stavu a obhajoval spíše utajování informací než jejich zveřejňování.

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: kybernetická bezpečnost

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.