Michał Rosiak Ci, którzy mnie znają, wiedzą, że nie należę do tych, którzy lubią milczeć :) W ostatnich tygodniach miałem przyjemność trafić na kogoś, kto nie tylko mnie przegadał, ale przede wszystkim mówił naprawdę ciekawie na interesujące mnie zawodowo tematy. Z Wielandem Alge, wiceprezesem i dyrektorem generalnym odpowiedzialnym za region EMEA w firmie Barracuda Networks, przeszło godzinę rozmawialiśmy o historii, teraźniejszości i przyszłości cyber-przestępczości. Nadeszła pora, by w przedświątecznej atmosferze podzielić sie naszą rozmową z Wami.
Badania z ostatnich lat wskazują, że czujemy się bezpieczniej na ulicach miast. Jak istotną przyczyną tego jest fakt, że spora część przestępczości przenosi się online, wraz ze znaczną częścią naszego życia?Chciałbym, by tak było, jednak myślę, że ta część przestępczości, która zmieniła środowisko, niekoniecznie jest tą, którą odbieramy jako zagrożenie. To raczej kwestia bogacenia i starzenia się społeczeństw w Europie Środkowo-Wschodniej. Nie da się jednak ukryć, że nawet jeśli w sieci byłoby dużo zagrożeń, te internetowe wciąż nie są dla większości z nas tożsame z "prawdziwą" przestępczością. Nie krzyczymy: "Okradli mnie w sieci, to przez to, że policja nie jest widoczna!". Co więcej - "patrole" w cyber-przestrzeni to prosta droga do... przegrania wyborów, ludziom nie podoba się ingerencja w ich prywatność w sieci. A nawet jeśli ingerujemy - francuskim służbom, znanym z aktywności w sieci, nie udało się niestety zapobiec tragediom w Paryżu. W dużej części dlatego, że rozwiązania o których mówimy, bazują na big data, a te działają efektywnie, gdy mamy dużą próbkę. Terrorystów nie ma wystarczająco dużo, ale na to akurat chyab nie ma co narzekać.
Ataki na zwykłych internautów i na biznes - jakie możemy określić jako najpopularniejsze i czym się od siebie różnią?
Technologicznie często niczym, nie jest rzadkością, gdy w masowym phishingu przestępcy zarażają internautów malware'em bardzo podobnym do tego, używanego przy atakach APT. Z tą różnicą, że gdy prowadzisz firmę, to, że ktoś spaceruje po twojej sieci, a nawet wykradnie jakieś dane, może wcale nie być największym problemem. Kluczem jest zatrzymanie albo zakłócenie działania Twojego biznesu. IT już dawno przestało być wsparcie biznesu, IT w tej chwili definiuje biznes, jest jego podstawą. Przez lata nie mogliśmy przekonać małych i średnich firm do inwestycji w bezpieczeństwo: "Przecież my nie jesteśmy celem, jesteśmy za mali!". Coraz częściej rozumieją, że przestępcy nie dzielą celów według wielkości, a firmy zdają sobie sprawę, że podchodząc całościowo do IT są w stanie poprawić również bezpieczeństwo. Bo "zabezpieczyć" już od dawna nie jest tożsame z "blokować", a oznacza wypadkową z analizy, kontroli i zarządzania ruchem. Do tego stopnia, że np. dywersyfikując zasoby dla zbiorczego uaktualnienia naszego oprogramowania dla kilkudziesięciu, czy kilkuset tysięcy użytkowników, niejako "przy okazji" pozbywamy się jednego potencjalnego punktu ataku, czy też poszerzamy pasmo, mogące być potencjalnie celem ataku.
Bezpieczeństwo w internecie to ciągła walka: My kontra Oni. Jesteśmy w stanie ją wygrać?
Nie, bowiem do momentu, gdy bycie kryminalistą jest opłacalne, kryminaliści będą walczyć. Cyber-przestępczość to biznes - choć nieco odmienny od klasycznego modelu - a z biznesem bardzo często wiąże się ryzyko. Przecież "praca" w cyber-przestępczości niesie za sobą mniej biurokracji, a często nawet... ryzyk, niż inwestycja w startup! No ale odsiadki nie przeliczymy na pieniądze. Problemem jest to, że my chcielibyśmy, żeby rozwiązania problemów związanych z przestępczością w sieci były proste, zero-jedynkowe, ale tak nigdy nie będzie. Ja bym traktował je bardziej jak... małżeństwo. Rzadko kiedy jest w stu procentach idealnie, ale nie możemy też powiedzieć, że zawsze są te same problemy. One są zależne od sytuacji, musimy się do nich dostosowywać na bieżąco, zarządzać, analizować i mitygować występujące problemy, wynikające często choćby z rozwoju technologii, jak choćby popularne od dłuższego czasu chmury obliczeniowe.
Czy w dzisiejszych czasach jest choć jeden człowiek korzystający z dobroci życia online, który może powiedzieć: "Jestem w stu procentach bezpieczny"?
Mój ojciec. Nawet jeśli ktoś włamałby mu się do komputera, nie miałby z tym żadnego problemu. Stwierdziłby, że przecież jemu nic się nie stało. Jeśli jednak chodzi o tych z nas, którzy trzymają w sieci mniejsze lub większe tajemnice? Nikt z nas nie może tak powiedzieć.
Co zatem zrobić, by przynajmniej zbliżyć się do ideału?
Nam, pokoleniu, które dzieciństwo przeżyło off-line, ciężko oddzielić rzeczy, które naprawdę chcemy zachować w tajemnicy od tych, które nas nie obchodzą. Zastanów się jakimi danymi dysponujesz, co powoduje, że są unikalne i warte ochrony? Większość ludzi i firm tego nie wie. Ja sam mam z tym problem, niekoniecznie z racji na ryzyko ataku, raczej tego, że nie zawsze kontroluję to, czym się dzielę. Już choćby pozornie niegroźny wpis na Facebooku może być odebrany w różnych kontekstach i narobić mi, jako "osobie pół-publicznej", problemów.
Po atakach w Paryżu wraca pytanie o ryzyka, związane z cyber-terroryzmem. Czy sprawa faktycznie wygląda tak poważnie?
Zdecydowanie tak, to jedno z największych zagrożeń na najbliższe lata. Teraz infrastruktura krytyczna jest często podatna z racji na oprogramowanie pisane w czasach pierwszych, niegrożnych wirusów, ale z drugiej strony - powierzchnia ataku była relatywnie mała. Teraz unowocześniając software powiększamy też powierzchnię, a nierzadko łączymy elementy infrastruktury krytycznej na wielu kontynentach, ryzykując sytuację "położenia" połowy świata przy przełamaniu zabezpieczeń w infrastrukturze jednej firmy! Weźmy zwykły supermarket, gdzie twierdzą, że inwestycje w IT nie są im potrzebne, pytają: "jakie firewalle??", a otwierają szeroko oczy, gdy zdadzą sobie sprawę, żę do sieci mają podłączone kamery IP z monitoringu, kasy, a nawet zamrażarki!
Jak będzie wyglądało cyber-bezpieczeństwo za pięć lat?
W dobrej sytuacji będą organizacje, które podchodząc do tych spraw proaktywnie, przewidują ataki, inwestują w rozwiązania bezpieczeństwa. Te, które nie dadzą się przekonać, mogą wypadać z gry, bądź ulegać szantażom. Dostosuje się też wreszcie prawo - przestępstwa w internecie będą lepiej wykrywane, a ich sprawcy będą trafiać pod sąd i coraz częściej do więzień.
Wojtek Jabczyński 
Piotr Domański 