Голяма част от компаниите в България нямат зрелостта да считат киберсигурността си за нещо важно. Но през 21-и век няма как да се прави бизнес без подсигуряване на инфраструктурата. Това мнение изрази Любомир Тулев, специалист по киберсигурност, основател и изпълнителен директор на CyberXperts, в предаването „В развитие“ по Bloomberg TV Bulgaria с водещ Антонио Костадинов.

Голяма част от пробивите в момента се случват заради елементарни грешки, изтъкна той. Над 70% от успешните кибератаки, например, стават заради изтичане на потребителското име и парола на служители.

„Ако една компания регулярно сменя паролите на служителите и въведе двуфакторна верификация, може да предотврати голяма част от успешните пробиви. Това не струва пари, а е въпрос на вътрешна организация.“

Директивата на ЕС NIS 2 вече и в България

Законът за транспониране на директивата на ЕС NIS 2 (за мрежова и информационна сигурност – бел. ред.) беше приет и обнародван в Държавен вестник през февруари. Това стана с известно закъснение спрямо предвидения краен срок до 17 октомври 2024 г., като България беше една от седемте страни членки на съюза, които не бяха транспонирали директивата в националното си законодателство.

До юли държавата трябва да разработи подзаконови нормативни актове, с които да бъде определена, например, регулаторната комисия, която ще следи за прилагането на закона. 

Според Тулев голяма част от компаниите в България все още не са подготвени да прилагат директивата. Причината е, че много компании правят паралел с директивата за защита на личните данни GDPR от 2018 г. и смятат, че става въпрос за обикновено въвеждане на политики и процедури, затова предпочитат да изчакат.

„NIS 2 е различна от GDPR, тъй като с нея се прилагат конкретни технически и административни мерки, които са задължителни за всички компании, попадащи в нейния обхват.“

Директивата разширява предшественичката си NIS 1, приета през 2016 г., в три стъпки. Първо, увеличава обхвата от индустрии, като освен банковия сектор и здравеопазването включва още отпадните води, държавните дружества. Второ, разширява мерките – технически и административни, и контрола в областта на информационната сигурност. Трето, въвежда санкции не само за компаниите, които не изпълняват изискванията, а и за техните собственици.

Предвидената глоба за собствениците варира от 500 до 5000 евро. За компаниите от критични сектори наказанието за неспазване на директивата е 2% от глобалния годишен оборот за предходната година, а за важните субекти тя достига 1,4% от годишния им оборот за предходната година, съобщи гостът.

Отделно законът предвижда и възможност държавата да лиши компанията от лиценз, докато не приложи мерките, или може да назначи временно управляващ дружеството, който да го приведе в съответствие, за да продължи дейността си.

„Голяма част от компаниите смятат NIS 2 за регулаторна и финансова тежест. В действителност те трябва да разглеждат директивата като средство да повишат киберсигурността си и да подобрят конкурентоспособността си, тъй като компания, която изпълнява изискванията, става по-надеждна в очите на западните инвеститори.“

Изкуственият интелект в помощ на хакерите

През последните години изкуственият интелект (AI) позволява атаките да се случват по-бързо и да се подготвят качествено, отбеляза Тулев. Той способства особено за атаки от типа социално инженерство или 3D атаки, при които атакуващите обгръщат жертвите си триизмерно в мрежата си и те не разбират, че става въпрос за измама, обясни експертът.

Триизмерните атаки използват фишинг имейл, deepfake звуков разговор и фалшиво видео съдържание. Такава атака е осъществена за първи път преди три години срещу главния изпълнителен директор на клон на китайска банка в Хонконг, при която той е подмамен да преведе 17 млн. долара.

Освен това хакерите се възползват от езикови модели, за да откриват уязвимости, които дотогава са били неизвестни, и да извършват атаки от типа нулев ден.

AI моделът Mythos на компанията Anthropic е насочен към офанзивната киберсигурност, като има възможност много бързо да анализира код и критична инфраструктура, за да открива подобни атаки, посочи Тулев. Той все още не е пуснат за общо ползване, тъй като преминава през сериозен процес на проверка. Европейската комисия и в частност Германия искат да получат модела за тестване на банковата инфраструктура, съобщи експертът.

"Има спекулации, че Mythos вече е открил някои уязвимости в облачните банкови системи и в междубанковата инфраструктура SWIFT, затова изпреварващият достъп до модела е много важен за сигурността на европейските банки."

Един от основните проблеми тук е свързан със суверенитета – как информацията, която ще бъде открита, да остане само на територията на ЕС, без да бъде предоставена за ползване и от американските власти, отбеляза Тулев. 

Ще изяде ли изкуственият интелект работата на специалистите по киберсигурност? Как младите хора, които навлизат в професията, да увеличат конкурентоспособността си? Какво е значението на двуфакторната верификация за потребителите и компаниите?

Вижте целия коментар във видеото.

Всички гости на предаването „В развитие“ можете да гледате тук. 

Още по темата

Новото поколение AI модели изправя киберсигурността пред изпитание

Mythos променя киберсигурността: открива узязвимости, пропускани с десетилетия

Къде се крият инвеститорите в бурята? Киберсигурност, енергия, но не и злато

AI ускорява атаките: киберсигурността става битка на скорости

Българско решение за киберсигурност се използва активно от норвежката армия