Kada bi BiH mogla dobiti strateški i zakonski okvir za cyber sigurnost

Nedavni hakerski napadi na Vijeće ministara, Parlamentarnu skupštinu BiH i Centralnu izbornu komisiju (CIK) neki su od najaktuelnijih primjera koji odlično ilustriraju ranjivost Bosne i Hercegovine na cyber napade kojih je u posljednje vrijeme sve više.

Potvrđuje to i Senad Džananović, cyber security ekspert i viši menadžer u PwC Bosne i Hercegovine, koji u razgovoru za Al Jazeeru ističe da se organizacije u Bosni i Hercegovini po pitanju cyber sigurnosti mogu svrstati u grupu sa niskim stepenom zrelosti, te samim tim i nivoom otpornosti na cyber napade.

“Ovakvom činjeničnom stanju doprinosi nizak nivo svijesti donosilaca odluka o opasnostima sa kojima se organizacije kojim upravljaju suočavaju, te posljedično veoma nizak nivo ulaganja u mjere zaštite od cyber napada, veoma slab zakonski okvir koji značajno zaostaje za zakonskim okvirom Evropske unije ili zemalja u regionu, kao i nedostatan broj cyber security eksperata”, pojašnjava Džananović.

Podsjeća da u okruženju često možemo čuti da su “naše organizacije male i nisu interesantne napadačima”.

“Informacije i statistike o cyber napadima se nažalost veoma teško mogu prikupiti što nekada možda stvara iskrivljenu sliku o stvarnom stanju i upravo doprinosi činjenici da je svijest aktera o važnosti cyber sigurnosti na veoma niskom nivou. Međutim, analizirajući razne medijske članke, kao i izjave zvaničnika možemo vidjeti da su cyber napadi itekako prisutni te da se mnogi građani i organizacije suočavaju nekada i sa ozbiljnim gubicima”, ističe Džananović.

Nedovoljna svijest i znanje

U Bosni i Hercegovini se, kada govorimo o organizacijama, najčešće susrećemo sa tipovima napada kao što su phishing, business email compromise (BEC), ransomware i DDOS napadi, kaže Džananović.

Ako govorimo o građanima, dodaje, tu još uvijek grupu najčešćih napada predstavljaju prevare koje su potpomognute tehnikama cyber kriminala.

“Međutim, potrebno je naglasiti jednu činjenicu koja nam ukazuje da je nedovoljna svijest i znanje možda i najveći problem kada je u pitanju cyber sigurnost”, pojašnjava. “Izvještaji svjetskih cyber security kuća navode da je u 97 posto svih uspješnih napada inicijalni vektor napada, odnosno način na koji je napadač uspio da kompromitira računar ili sistem žrtve, nažalost, e-mail. Zbog nedovoljnog znanja i svijesti kolegica i kolega koji koriste računare, najjednostavniji načini inicijalne provedbe napada su u Bosni i Hercegovini nažalost ujedno i najčešći”, dodaje.

Digitalno (ne)blagostanje

Prema rezultatima globalnog istraživanja kompanije Surfshark o kvaliteti digitalnog blagostanja u 117 zemalja (92 posto svjetske populacije), Bosna i Hercegovina se nalazi na 80. mjestu, a kada je riječ konkretno o cyber sigurnosti zauzima 77. mjesto. U posljednjih godinu dana pala je za 23 mjesta.

Komentirajući ove podatke, koji su definitivno zvono za uzbunu, Džananović ističe da unapređenje cyber sigurnosti zahtjeva holistički pristup, što podrazumijeva jačanje zakonskog okvira, te podizanje sveukupnog nivoa znanja o cyber sigurnosti – počevši od djece, preko građana, pa sve do ključnih donosilaca odluka unutar organizacija.

“Svaka od navedenih komponenti itekako ima svoju snagu i na različite načine doprinosi jačanju cyber sigurnosti”, kaže Džananović.

“Treba naglasiti da nam samo jačanje zakonskog okvira bez adekvatnog nadzora nad provedbom istog neće puno pomoći. Pored zakonskog okvira potrebno je osigurati i adekvatne kapacitete za nadzor nad provedbom donesenih zakona i tek tada možemo očekivati mjerljive pomake”, dodaje.

Još uvijek bez tijela za cyber sigurnost

Pored toga što nema efikasne institucionalne operativne mehanizme, Bosna i Hercegovina je jedina zemlja Zapadnog Balkana koja nema državnu strategiju za cyber sigurnost, koja predstavlja jedan od najznačajnijih alata za očuvanje sigurnosti zemlje, njenih informacija i građana. Također, Bosni i Hercegovini nedostaje i operativna mreža Timova za odgovor na računarske incidente (CERT).

Vijeće ministara BiH je 2017. godine usvojilo odluku o uspostavljanju Tima za odgovor na računarske incidente (CERT) u institucijama Bosne i Hercegovine. Prema toj odluci je Ministarstvo sigurnosti bilo zaduženo da izradi izmjene i dopune Pravilnika o unutrašnjoj organizaciji i sistematizaciji radnih mjesta s ciljem uspostavljanja CERT tijela za institucije Bosne i Hercegovine kao posebne organizacione jedinice u okviru ministarstva, no to se još uvijek nije dogodilo.

“Ministarstvo bezbjednosti BiH je u periodu 2018-2020 u više navrata dostavljalo Savjetu ministara BiH izmjene i dopune Pravilnika, ali one nikada nisu usvojene”, rekli su Al Jazeeri iz Ministarstva sigurnosti BiH.

Također navode da su, nakon ozbiljnijih cyber napada na Parlament BiH i Generalni sekretarijat Vijeća ministara, dodatno intenzivirali aktivnosti u cilju uspostavljanja CERT-a za institucije Bosne i Hercegovine.

“S tim u vezi, ponovo su izmjene i dopune Pravilnika o unutrašnjoj organizaciji i sistematizaciji radnih mjesta Ministarstva bezbjednosti BiH upućene na usvajanje Savjetu ministara BiH”, kažu iz Ministarstva sigurnosti.

Dodaju da u ovom kontekstu u planu imaju operativno i institucionalno uspostavljanje CERT-a sa ciljem ostvarenja strateških ciljeva tog tijela te uspostavljanje mreže CERT-ova u Bosni i Hercegovini.

Također podsjećaju i da su uz pomoć i podršku UNDP-a izradili Nacrt zakona o mrežnoj i informacionoj bezbjednosti u institucijama Bosne i Hercegovine, koji je trenutno u fazi prikupljanja mišljenja.

Bankarski sektor značajno prednjači

Džananović pojašnjava da postoji značajna razlika u nivou zrelosti organizacija u Bosni i Hercegovini u odnosu na zemlje u Evropskoj uniji što je, kako ističe, dobrim dijelom posljedica upravo razlika u zakonskom okviru koji reguliše cyber sigurnost, ali i momentu kada se organizacije počinju usklađivati sa navedenim zakonima.

“Ako posmatramo razlike u nivoima zrelosti organizacija odnosno različitih industrija po pitanju cyber sigurnosti u Bosni i Hercegovini, primjetit ćemo da je bankarski sektor po navedenom pitanju značajno zreliji nego ostale industrije”, kaže.

“Analizirajući potencijalne faktore koji su doprinijeli ovakvom stanju primjetit ćemo da je zakonski okvir koji definira mjere cyber sigurnosti u bankarskom sektoru značajno ispred svih ostalih industrija, da je primjena mjera u navedenom sektoru krenula mnogo ranije nego je to slučaj s drugim industrijama, te da je nadzor nad provedbom mjera itekako prisutan.”

Uzimajući u obzir navedeno, Džananović zaključuje da donošenje propisa, odnosno zakona i podzakonskih akata kojim se uređuje oblast zaštite od cyber kriminala, te adekvatan nadzor nad njihovom provedbom, značajno utječe na sveukupno jačanje cyber security kapaciteta, odnosno otpornosti na cyber napade.