Подценява ли българският бизнес значението на киберсигурността?

Голяма част от компаниите в България нямат зрелостта да считат киберсигурността си за нещо важно. Но през 21-ви век няма как да се прави бизнес без подсигуряване на инфраструктурата. Това мнение изрази Любомир Тулев, специалист по киберсигурност, основател и изпълнителен директор на CyberXperts, в предаването „В развитие“ по Bloomberg TV Bulgaria.

Голяма част от пробивите в момента се случват заради елементарни грешки, изтъкна той. Над 70% от успешните кибератаки, например, стават заради изтичане на потребителското име и парола на служители, посочва Тулев.

„Ако една компания регулярно сменя паролите на служителите и въведе двуфакторна верификация, може да предотврати голяма част от успешните пробиви. Това не струва пари, а е въпрос на вътрешна организация“, изтъква гостът.

Той обърна внимание и на Закона за транспониране на директивата на ЕС за мрежова и информационна сигурност NIS 2, който беше приет и обнародван в Държавен вестник през февруари. Това стана с известно закъснение спрямо предвидения краен срок до 17 октомври 2024 г., като България беше една от седемте страни членки на съюза, които не бяха транспонирали директивата в националното си законодателство.

Според Тулев голяма част от компаниите в България все още не са подготвени да прилагат директивата. Причината е, че много компании правят паралел с директивата за защита на личните данни GDPR от 2018 г. и смятат, че става въпрос за обикновено въвеждане на политики и процедури, затова предпочитат да изчакат.

„NIS 2 е различна от GDPR, тъй като с нея се прилагат конкретни технически и административни мерки, които са задължителни за всички компании, попадащи в нейния обхват“, подчертава гостът.

Предвидената глоба за собствениците варира от 500 до 5000 евро. За компаниите от критични сектори наказанието за неспазване на директивата е 2% от глобалния годишен оборот за предходната година, а за важните субекти тя достига 1,4% от годишния им оборот за предходната година, предупреждава Тулев.

Той засегна и темата за изкуствения интелект (AI), като посочи, че през последните години технологията позволява атаките да се случват по-бързо и да се подготвят качествено. AI способства особено за атаки от типа социално инженерство или 3D атаки, при които атакуващите обгръщат жертвите си триизмерно в мрежата си и те не разбират, че става въпрос за измама, обясни експертът.

Триизмерните атаки използват фишинг имейл, deepfake звуков разговор и фалшиво видео съдържание. Такава атака е осъществена за първи път преди три години срещу главния изпълнителен директор на клон на китайска банка в Хонконг, при която той е подмамен да преведе 17 млн. долара.

Освен това хакерите се възползват от езикови модели, за да откриват уязвимости, които дотогава са били неизвестни.

AI моделът Mythos на компанията Anthropic е насочен към офанзивната киберсигурност, като има възможност много бързо да анализира код и критична инфраструктура, за да открива подобни атаки, посочва Тулев.

Този модел все още не е пуснат за общо ползване, тъй като преминава през сериозен процес на проверка. Европейската комисия (ЕК) и в частност Германия искат да получат модела за тестване на банковата инфраструктура, добавя експертът.

"Има спекулации, че Mythos вече е открил някои уязвимости в облачните банкови системи и в междубанковата инфраструктура SWIFT, затова изпреварващият достъп до модела е много важен за сигурността на европейските банки", разкрива Тулев.

Един от основните проблеми тук е свързан със суверенитета – как информацията, която ще бъде открита, да остане само на територията на ЕС, без да бъде предоставена за ползване и от американските власти, отбелязва гостът.

Целия разговор може да откриете на сайта на Bloomberg TV Bulgaria.