Kibernetička sigurnost kao nova bojišnica: Koliko je Hrvatska spremna na rat bez metka?
Ratovi se danas sve češće vode bez ispaljenog metka, u prostoru u kojem je napad udaljen samo jedan klik. Hrvatska u 2025. ulazi s tri nova zakona o sigurnosti, certifikaciji i kritičnoj infrastrukturi, dok istodobno raste broj kibernetičkih napada na poslovne sustave, telekome i javne institucije. O tome koliko smo spremni i gdje su najveće slabosti, govori pukovnik Hrvatske vojske u miru Robert Čulina, stručnjak koji spaja operativno iskustvo i razumijevanje digitalnog okruženja.
Nova bojišnica bez metka
Kibernetička sigurnost više nije sporedna tehnološka tema, nego nova bojišnica na kojoj se odlučuje o funkcioniranju moderne države. Ratovi se, kako ističe Robert Čulina, sve češće vode klikom, dok se fizičko bojište premješta u pozadinu, a ključne se operacije odvijaju u nevidljivom digitalnom prostoru.
Čulina podsjeća da prijelaz iz klasičnog u tehnološki potpomognuto ratovanje nije nastao jučer, nego se počeo konkretno vidjeti još u Zaljevskom ratu početkom devedesetih godina. Tada se, prisjeća se, prvi put susreo s raketnim sustavima koji su u ono vrijeme izgledali gotovo nezamislivo.
– Prvi put u životu susreo sam se s tim u Zaljevskom ratu, upotrebom tadašnjih, a i današnjih raketa Tomahawk. Bila je fascinantna i sama činjenica da se raketa ispaljuje iz podmornice, uzima brzinu u zraku, dolazi u blizinu cilja i trećim sustavom navodi na cilj. To je meni, kao mladom inženjeru i studentu, bilo nešto što je izgledalo nemoguće shvatiti – rekao je Čulina.
Snažan simbol tog novog razdoblja bila je i scena koju je svijet vidio preko američke televizije.
– Sjećate se novinarke CNN-a Christiane Amanpour, kada su vojska i televizija uskladile trenutak da raketa prođe ispred kamere uživo. To je bio šok i za ljude iz struke, i za protivnika, jer smo prvi put vidjeli raketu kako leti ispred TV kamere. Po meni je to bio jedan od prvih javnih prikaza sustava koji je u sebi već imao elemente onoga što danas zovemo umjetna inteligencija – naglasio je Čulina.
Od tomahawka do digitalnih karata
Iako raketni motori i eksplozivna punjenja nisu doživjeli revolucionarne promjene, završna faza vođenja rakete danas je bitno drukčija nego prije tridesetak godina.
– Raketni motor se nije puno promijenio, rakete se i dalje ispaljuju s podmornica, brodova ili auto-lansera, eksploziv je otprilike isti. Ono što se promijenilo jest završni dio. Danas postoje digitalne karte, GIS sustavi, pomoću kojih se u vrlo malim razdaljinama, čak na desetak centimetara, može odrediti pozicija cilja – pojasnio je Čulina.
Dio raketa danas se dodatno navodi optičkim sustavima i posebno pripremljenim slikama cilja. Čulina navodi primjer napada na zgradu u Beogradu u kojem je ključnu ulogu odigrao upravo takav način navođenja.
– Netko je prije toga uslikao prozor u koji raketa treba ući. Ta slika se uploadala na raketu. Kad je raketa došla 200 do 300 metara do cilja, uključila se videokamera, usporedila stvarnu sliku s onom koja je pohranjena u sustavu i raketa je ušla u taj prozor. Takvu raketu ne možete ometati, možete je samo pogoditi. Ometanje navigacijskog sustava tada je bilo vrlo teško – istaknuo je Čulina.
Dok rakete i dronovi ostaju vidljivi simboli modernog ratovanja, paralelno je nastao prostor u kojem se rat vodi bez izravnog kontakta fizičkih sredstava – cyber prostor.
Cyber ratovanje i svakodnevni napadi
Prema riječima Roberta Čuline, ključni pomak nastao je u trenutku kad su napadi počeli ciljati infrastrukturu, promet, komunikacije i ostale sustave nužne za normalno funkcioniranje društva, bez nužnog sudjelovanja vojnika na terenu.
– Kod cyber ratovanja napada se infrastruktura, promet i ključna područja jedne države ili bojišta, raznim metodama i bez dodira čovjeka s dronom ili raketom. Ona je negdje pohranjena, aktivira se daljinski, a sve se odvija dok netko ne napravi ono što treba – opisao je Čulina.
U poslovnom svijetu, ističe, kibernetički napad više nije izuzetak nego svakodnevica.
– Danas na jednu solidnu firmu od četiri ili pet tisuća ljudi imate svakodnevne napade u matrici pet tisuća puta pet tisuća. Znači pet tisuća napadača s pet tisuća različitih napada. Ne možemo se braniti od svakog pojedinačno, ali sustav se mora postaviti tako da pokušaj napada ne postane stvarni napad, odnosno da ne napravi štetu – objasnio je Čulina.
Upravo zato sustavi koji čuvaju ključne podatke i ključne funkcije moraju biti zaštićeni u skladu s najstrožim standardima, što danas definiraju nova zakonska rješenja.
Tri nova zakona i zaokret prema cijelom društvu
Hrvatska je u proteklom razdoblju donijela tri nova zakona koja uređuju područje sigurnosti, certifikacije i kritične infrastrukture. Prijašnji zakon o kritičnoj infrastrukturi, donesen prije desetak godina, prema Čulini nikada nije u potpunosti zaživio u praksi.
– Stari zakon iz 2014. ili 2015. godine propisivao je način zaštite infrastrukture ključne za život ljudi i opstanak društva, ali u praksi nije zaživio. Zato je donesen novi zakon, proširen u nekim segmentima, a ponovno se moraju donijeti kriteriji kada je nešto kritična infrastruktura – rekao je Čulina.
Ti kriteriji ne određuju sigurnosne službe, nego resorna ministarstva koja upravljaju pojedinim sektorima.
– Ako je riječ o energetskom sustavu, onda kriterije donosi Ministarstvo gospodarstva. Svako ministarstvo za svoj sektor definira što je kritično. Primjerice, ako imate 20 tisuća turista koji cijelo ljeto moraju imati struju, taj dio elektroenergetskog sustava proglašava se kritičnom infrastrukturom i na njega se primjenjuje zakon o kritičnoj infrastrukturi – pojasnio je Čulina.
Nova zakonska rješenja, dodaje, proširuju vojnu i sigurnosnu logiku zaštite na cijelo društvo.
– Zavod za sigurnost informacijskih sustava nekad je certificirao sustave za određene vrste klasificiranih podataka – od povjerljivog do vrlo tajnog, uključujući NATO klasifikacije. To se odnosilo na Ministarstvo obrane, Ministarstvo unutarnjih poslova, sigurnosno-obavještajnu zajednicu i druge dijelove državne uprave. Sada se tim zakonima isti princip širi na cijelu državu, odnosno na sve segmente društva za koje postoji ključna potreba – istaknuo je Čulina.
Kritična infrastruktura i privatni sektor
Jedna od najvećih promjena jest činjenica da se dio privatnog sektora – posebno telekomi i tvrtke koje upravljaju ključnim sustavima – više ne može ponašati kao da je izvan sigurnosnih obveza države.
– Problem je bio u tome što je, primjerice, telekom kao privatna firma spajao dvije vojarne fiksnim linkom, dok je mene obvezivao zakon o nacionalnoj sigurnosti, druge u vojarni zakon o obrani, a telekom to uopće nije morao doživljavati. Nije bio dužan. Sada telekom mora certificirati svoju opremu i poslovanje i praktički postaje izjednačen s vojnim objektima koje spaja – rekao je Čulina.
To se ne odnosi samo na tehničke sustave, već i na ljude koji rade na zaštiti kritične infrastrukture.
– Kod kritične infrastrukture postoji obveza i tjelesne zaštite, ne može se više uzeti bilo koja zaštitarska tvrtka. Moguće je angažirati samo one koje su certificirane za čuvanje kritične infrastrukture. Certifikacija znači provjeru svake firme i svakog radnika koji dolazi na takvo mjesto – naglasio je Čulina.
Tu nastaje još jedan ozbiljan problem: mnogi direktori, upozorava, ne žele potpisati sigurnosne provjere potrebne za dobivanje certifikata poslovne sigurnosti.
– Certifikati poslovne sigurnosti veliki su problem u Republici Hrvatskoj. Većina direktora neće potpisati privolu za provjeru. Sve je počelo odlukom Zorana Milanovića da se određeni dužnosnici ne moraju sigurnosno certificirati. Od tada je stvoreno ozračje u kojem se dio ljudi jednostavno izuzima od provjera – podsjetio je Čulina.
Ransomware, DDoS i krađa identiteta
Hibridni napadi koji kombiniraju kibernetičke alate i informacijsko djelovanje danas su dio svakodnevice – od ransomwarea, preko dezinformacija, do DDoS napada.
Čulina precizno objašnjava što ransomware zapravo jest.
– Ransomware je komad softvera koji se socijalnim inženjeringom, phishingom, „uvali“ na računalo, zakriptira vaše podatke i onda plaćate ključ da biste te podatke otvorili. Bitno je da gledatelji razumiju da se ne radi o tome da netko samo zaprijeti, nego vam doslovno zaključa podatke – rekao je Čulina.
DDoS napadi usmjereni su na preopterećenje sustava:
– DDoS je način na koji prema vašem uređaju s takozvanih botova ide previše zahtjeva. Uređaj je preslab u odnosu na broj čvorova u mreži koji ga napadaju. Ti zahtjevi ne traže ništa posebno, samo opterećuju sustav, mogu vam zakočiti stroj ili zatvoriti bandwidth, resurse mreže – objasnio je Čulina.
Ipak, po njegovu mišljenju, najopasnija posljedica kibernetičkih ranjivosti nije uvijek izravna financijska šteta, nego krađa identiteta.
– Trenutno smatram da je najgora krađa identiteta. Ako vam netko uzme vjerodajnice s mreže i može se prijaviti kao vi, onda se može predstavljati kao vi i u javnom prostoru, pa i u ovakvom podcastu. Onda nastaju veliki problemi – upozorio je Čulina.
Kako se mogu zaštititi građani i tvrtke?
Stupanj zaštite, kaže Čulina, ovisi o tome što točno želite čuvati.
– Ako nemate ništa vrijedno, ne trebate pretjerivati. Ali ako se bavite financijskim transakcijama ili imate podatke koje želite sačuvati, onda morate ići na jaču zaštitu. To znači jače lozinke, dvofaktorsku autentifikaciju, pametne kartice, USB tokene i slične sustave – nabrojao je Čulina.
Za najosjetljivije podatke, poput osobnih fotografija ili važnih dokumenata, ponekad je najsigurnije rješenje i „offline“.
– Ako imate fotografije koje su vam važne, najbolje je presnimiti ih na drugi tvrdi disk i odnijeti u sobu, da nisu spojene na struju ni na mrežu. Nije uvijek sve stvar digitalne zaštite, nekad je i fizičko odvajanje najbolja zaštita – dodao je Čulina.
Kao ključni problem u percepciji sigurnosti navodi činjenicu da se do prije nekoliko godina na sigurnosne stručnjake gledalo kao na „špijune“, a ne kao na ljude koji štite sustav.
– Ljude koji se bave informacijskom i informacijskom sigurnošću godinama se doživljavalo kao špijune. Teško je bilo objasniti i djelatnicima i biznisu da nismo tamo da ih špijuniramo, nego da ih štitimo. Tek su nedavni događaji i novi zakoni promijenili percepciju – rekao je Čulina.
Plaće, kadrovi i ljudski faktor kao najslabija karika
Još jedna konstanta u svim sigurnosnim izvješćima jest – ljudski faktor. To se, prema Čulini, ne mijenja ni u digitalnom dobu.
– Vrlo je teško upravljati ljudima. Nisu svi jednako zdravi, jednako mentalno sposobni, jednako osviješteni. Imate ljude koje ništa ne briga, kojima možete danas reći da nešto ne rade, a sutra to opet rade isto. U državnim firmama često im ne možete ni dati otkaz – kaže Čulina.
Poseban izazov je zadržavanje kvalitetnih stručnjaka u državnom sustavu, jer privatni sektor nudi višestruko veće plaće.
– Plaće su bile stvarno niske i mladi dečki ostajali su dok im je posao bio zanimljiv. Kad bi telekom ili neka banka vidjeli da je tamo netko dobro obučen i fin, plaća je znala otići i do tri puta više. Imao sam slučajeve da su mi prijatelji iz banaka uzimali inženjere koje sam odgojio i davali im abnormalno veće plaće – prisjetio se Čulina.
Promjene su, kaže, ipak počele. U vojsci je osnovano zapovjedništvo za kibernetički prostor, a sigurnosno-obavještajna zajednica ima bolje plaće nego ranije. No to samo otvara nova pitanja.
– Čim u državnoj upravi dođu velike plaće, na ta mjesta često dolaze ljudi koji nisu sposobni. Netko stavi „svog“ koji se navodno razumije u računala na plaću od tri tisuće eura, a on u državnoj firmi praktički ne mora ništa raditi. To je dio problema – istaknuo je Čulina.
Upravo zbog toga, objašnjava, u svim sigurnosnim analizama ljudski faktor ostaje najveći rizik – od neodgovornog ponašanja do namještanja poslova.
Koliko je Hrvatska zapravo sigurna?
Na pitanje koliko je Hrvatska danas sigurna u kibernetičkom smislu, Robert Čulina ne daje jednostavan odgovor, ali ističe da postoje ljudi i institucije koji svoj posao rade vrlo ozbiljno.
– Stvarno postoje ljudi, moje kolege, koji izvrsno rade posao i ne daju se. Neke institucije su jako sigurne, neke institucije nisu uopće sigurne, i tu ne bih ulazio dalje – rekao je Čulina.
Veliku ulogu u narednim mjesecima i godinama imat će Zavod za sigurnost informacijskih sustava, koji mora certificirati sve ustanove i sustave koji drže osobne podatke građana.
– Po zakonu, ZSIS u roku od šest do osam mjeseci mora certificirati svakoga tko drži vaše osobne podatke. To je mehanizam koji bi trebao izjednačiti one koji dobro i one koji loše rade, natjerati ih da dosegnu isti standard – naglasio je Čulina.
Kao početnu točku cijelog procesa navodi europsku i hrvatsku regulativu o zaštiti osobnih podataka.
– Sve je počelo s GDPR direktivom i Zakonom o zaštiti osobnih podataka. Tu je „povučeno za uši“ malo žešće, i tek tada su mnogi shvatili da se podaci građana ne smiju olako izlagati riziku – zaključio je Čulina.
Na kraju razgovora poruka je jasna: kibernetička sigurnost više nije ni samo vojno pitanje, ni samo pitanje IT-ja, nego presjek svega – države, privatnog sektora i svakog pojedinog građanina. Rat bez metka vodi se svakodnevno, a hrvatski odgovor ovisit će o tome koliko brzo će zakon, tehnologija i ljudi uspjeti uhvatiti isti korak.
