Ľudská chyba v kybernetickej bezpečnosti a ako automatizácia mení bezpečnostné hrozby

Prečo technológia sama o sebe nestačí

Pri kybernetickej bezpečnosti sa firmy prirodzene sústreďujú na technológie. Firewally, antivírusy, bezpečnostný monitoring, EDR, SIEM, automatizované detekcie či prístupové politiky vytvárajú dojem, že bezpečnosť je predovšetkým technický problém.

V praxi však mnohé incidenty nezačínajú technickou zraniteľnosťou. Začínajú v bežnej pracovnej situácii: používateľ otvorí legitímne vyzerajúci e-mail, schváli požiadavku v časovej tiesni, použije zaužívaný proces alebo dôveruje správe, ktorá zapadá do kontextu jeho práce.

Z technického pohľadu môže systém fungovať správne. Problém vzniká až v tom, ako sa technológia používa v reálnom prostredí: pod tlakom, v rutine, v automatizovanom procese a často bez dostatočného kontextu. Kybernetická bezpečnosť pre firmy dnes nestojí iba na nástrojoch, ale na schopnosti prepojiť technológie, procesy a správanie používateľov do jedného funkčného bezpečnostného modelu.

Ľudská chyba nie je zlyhanie používateľa, ale súčasť pracovnej reality

Pojem ľudská chyba sa v kybernetickej bezpečnosti používa často, no môže byť zavádzajúci. Naznačuje, že problémom je jednotlivec, ktorý zlyhal. V skutočnosti ide skôr o dôsledok pracovných podmienok, v ktorých sa ľudia denne rozhodujú.

Používatelia pracujú s množstvom e-mailov, aplikácií, notifikácií, schvaľovacích krokov a interných procesov. Musia reagovať rýchlo, efektívne a často bez toho, aby mali priestor analyzovať každý detail. Práve tu vzniká priestor pre riziko.

Niektoré z týchto vzorcov patria aj medzi najčastejšie chyby v IT bezpečnosti, pretože vznikajú v bežnej prevádzke, nie v extrémnych situáciách:

• kliknutie na odkaz v časovej tiesni,
• dôvera v známu autoritu alebo obchodného partnera,
• schválenie požiadavky bez hlbšej kontroly,
• používanie rutinných skratiek pri opakujúcich sa úlohách,
• obchádzanie príliš komplikovaných bezpečnostných pravidiel.

Ľudia nie sú problém, ktorý treba „opraviť“. Sú súčasť prostredia, v ktorom musí bezpečnosť fungovať. Ak bezpečnostný model predpokladá ideálne správanie používateľov, je navrhnutý pre podmienky, ktoré v praxi neexistujú. Dnešná bezpečnosť preto nevychádza z predstavy, že chyby sa nesmú stať. Vychádza z predpokladu, že chyby sa stanú a systém musí minimalizovať ich dopad.

Ako sociálne inžinierstvo využíva rutinu a časový tlak

Súčasné bezpečnostné hrozby sú čoraz menej nápadné. Útok už nemusí vyzerať ako útok. Často vyzerá ako bežná pracovná komunikácia, rutinná požiadavka, interné upozornenie alebo správa od známeho partnera.

Sociálne inžinierstvo funguje práve preto, že neútočí iba na technológiu. Útočí na pracovný kontext. Útočník sa snaží zapadnúť do procesov, ktoré už vo firme existujú.

Najčastejšie formy zahŕňajú:

• phishing, teda masové správy navrhnuté tak, aby vyvolali reakciu,
• spear phishing, cielené správy pripravené pre konkrétnu osobu alebo firmu,
• zneužitie autority, napríklad falošnú správu od manažéra, IT oddelenia alebo dodávateľa,
• business e-mail compromise, kde útok napodobňuje legitímnu obchodnú komunikáciu.

Rozdiel oproti minulosti je v kvalite. Správy sú jazykovo presvedčivé, kontextovo presné a často nadväzujú na reálne udalosti. Útočníci využívajú verejne dostupné informácie, organizačné zmeny, obchodné vzťahy, pracovné roly aj informácie zo sociálnych sietí.

echnické nástroje môžu zachytiť veľkú časť známych vzorcov. Pri útokoch založených na manipulácii používateľov je však dôležitá aj ochrana pred phishingom a útokmi cez e-mail, ktorá dokáže pracovať s identitou odosielateľa, obsahom správy a rizikovými signálmi v komunikácii. Vtedy rozhoduje kombinácia technickej detekcie, bezpečnostného povedomia a procesov, ktoré umožňujú overenie bez zbytočného trenia.

Automatizácia zvyšuje rýchlosť aj dopad bezpečnostných incidentov

Automatizácia je základom dnešných firiem. Zrýchľuje schvaľovanie, synchronizuje dáta, prepája systémy, znižuje manuálnu prácu a podporuje škálovanie procesov. Z pohľadu prevádzky je nevyhnutná. Z pohľadu bezpečnosti však mení charakter rizika.

Pri manuálnom procese má chyba často obmedzený dosah. Niekto si ju môže všimnúť, zastaviť ju alebo opraviť skôr, než sa rozšíri. V automatizovanom procese sa chyba môže opakovať rýchlo, dôsledne a bez viditeľného zásahu človeka.

Ak sa chyba alebo zneužitie dostane do automatizovaného toku:

• šíri sa rýchlejšie,
• zasahuje viac systémov,
• môže zostať dlhšie neodhalené,
• využíva legitímne pravidlá a prístupy,
• zvyšuje dopad incidentu

podobne ako pri scenároch, kde je rozhodujúce predísť ransomvéru skôr, než sa incident rozšíri naprieč infraštruktúrou

Automatizácia sama o sebe nie je problém. Problémom je automatizácia bez kontrolných bodov, bez monitoringu odchýlok a bez jasnej možnosti zásahu.

Bezpečná automatizácia neznamená spomalenie firmy. Znamená, že rýchlosť procesov nevedie k strate kontroly.

Nové bezpečnostné hrozby vznikajú medzi ľuďmi, procesmi a technológiami

Tradičný model bezpečnosti často pracoval s predstavou, že útok prichádza zvonka a cieľom je prelomiť technickú bariéru. Súčasné bezpečnostné hrozby sú komplexnejšie. Útočníci sa čoraz častejšie snažia zneužiť legitímne identity, oprávnenia, integračné toky a procesné medzery. Práve preto je dôležité riešiť nielen používateľské správanie, ale aj to, ako si nenechať hacknúť firemnú infraštruktúru cez slabé prístupy, nedostatočnú segmentáciu alebo chýbajúci monitoring.

Namiesto toho, aby systém „rozbili“, snažia sa správať ako jeho legitímna súčasť. To mení spôsob detekcie aj obrany. Ak používateľ alebo proces vykonáva technicky povolenú akciu, klasické kontroly nemusia vyhodnotiť správanie ako rizikové. Skutočný problém sa ukáže až v kontexte: nezvyčajný čas, neštandardná lokalita, netypická kombinácia akcií, odchýlka v objeme dát alebo neobvyklý postup v automatizovanom procese.

Nový model bezpečnostných hrozieb je preto založený na troch prepojených oblastiach:

• ľudia, ktorí pracujú pod tlakom a v rutine,
• procesy, ktoré určujú, ako sa rozhodnutia vykonávajú,
• technológie, ktoré tieto rozhodnutia zrýchľujú a škálujú.

Ak jedna z týchto oblastí nie je zahrnutá do bezpečnostného návrhu, vzniká slepé miesto.

Prečo samotné školenia ani samotná technológia nestačia

Firmy sa pri riešení ľudskej chyby často prikláňajú k jednému z dvoch extrémov. Buď sa spoliehajú na školenia a očakávajú, že informovaní používatelia zabránia incidentom, alebo investujú do technológií a veria, že automatizované systémy vyriešia ľudský faktor.

Ani jeden prístup sám o sebe nestačí. Jednorazové školenie zvýši povedomie, ale nezmení pracovné podmienky. Používateľ môže vedieť, ako vyzerá phishing, no v strese, pri veľkom objeme práce alebo pri dôveryhodne vyzerajúcej správe môže reagovať inak.

Technológia zase dokáže blokovať známe hrozby a monitorovať správanie, no bez pochopenia firemného kontextu môže vytvárať falošný pocit bezpečia. Ak bezpečnostné opatrenia príliš komplikujú prácu, používatelia si nájdu skratky. A tieto skratky sa často stanú novým rizikom.

Efektívna bezpečnosť vzniká v kombinácii:

• školení, ktoré vychádzajú z reálnych pracovných situácií,
• technických kontrol, ktoré počítajú s ľudskou chybou,
• procesov, ktoré umožňujú bezpečné rozhodovanie aj pod tlakom,
• automatizácie, ktorá má dohľad, limity a kontrolné body.

Cieľom nie je dokonalosť. Cieľom je odolnosť.

Ako znížiť riziko ľudskej chyby vo firme

Ľudskú chybu nemožno úplne eliminovať. Dá sa však výrazne znížiť jej pravdepodobnosť a najmä jej dopad.

Praktické opatrenia zahŕňajú:

• viacúrovňové overovanie pri citlivých úkonoch,
• kontrolné body v automatizovaných procesoch,
• detekciu neštandardného správania používateľov a systémov,
• segmentáciu prístupov a princíp najnižších oprávnení,
• pravidelné testovanie bezpečnostných procesov,
• školenia založené na reálnych scenároch, nie všeobecných poučkách,
• jednoduché postupy na nahlasovanie podozrivých situácií,
• kultúru, v ktorej sa chyba nahlasuje skôr, než sa skrýva.

Kľúčové je nastaviť bezpečnosť tak, aby bola použiteľná. Ak je bezpečnostný proces príliš zložitý, používatelia ho budú obchádzať. Ak je príliš voľný, firma stráca kontrolu. Správny prístup hľadá rovnováhu: umožňuje ľuďom pracovať efektívne, no zároveň zachytáva momenty, v ktorých sa z bežnej chyby môže stať incident.

Technické kontroly, ktoré počítajú s ľudskou chybou

Bezpečnostné opatrenia navrhnuté pre reálny svet nevychádzajú z predpokladu, že používateľ nikdy neklikne na nesprávny odkaz alebo nikdy neschváli podozrivú požiadavku. Vychádzajú z otázky: čo sa stane, keď sa to stane? Pri koncových zariadeniach pomáha Endpoint Detection and Response sledovať neštandardné správanie, identifikovať rizikové aktivity a reagovať na incidenty skôr, než sa rozšíria do ďalších častí infraštruktúry.

Dôležité sú najmä:

Kontextové riadenie prístupu
Prístup sa neposudzuje iba podľa identity, ale aj podľa zariadenia, lokality, času, typu operácie a rizikovosti správania.

Detekcia odchýlok
Systém sleduje, čo je pre používateľa, aplikáciu alebo proces bežné. Neštandardná aktivita sa stáva signálom, ktorý môže vyvolať kontrolu alebo reakciu.

Segmentácia a obmedzenie oprávnení
Jedna chyba by nemala automaticky umožniť prístup k celej infraštruktúre alebo všetkým dátam.

Automatizovaná reakcia na riziko
Ak sa objaví podozrivá aktivita, systém by mal vedieť rýchlo obmedziť prístup, vyžiadať dodatočné overenie alebo upozorniť bezpečnostný tím.

Auditovateľnosť a spätná dohľadateľnosť
Pri incidente je zásadné vedieť, čo sa stalo, kedy, cez aký účet, v akom systéme a s akým dopadom. Práve tu pomáha SIEM riešenie pre centralizovaný bezpečnostný monitoring, ktoré zhromažďuje a koreluje udalosti z rôznych častí infraštruktúry. Tieto kontroly nevylučujú ľudskú chybu. Robia niečo dôležitejšie: znižujú pravdepodobnosť, že jedna chyba prerastie do rozsiahleho incidentu.

Najčastejšie chyby pri riešení ľudského faktora

Aj firmy, ktoré si uvedomujú význam ľudského faktora, často opakujú rovnaké chyby. Výsledkom je bezpečnosť, ktorá formálne existuje, no v praxi nefunguje tak, ako by mala.

Obviňovanie používateľov

Ak sa po incidente hľadá vinník namiesto príčiny, firma prichádza o dôležitú spätnú väzbu. Používatelia potom chyby skrývajú, nenahlasujú podozrivé situácie a vnímajú bezpečnosť ako hrozbu, nie ako podporu.

Prehnané obmedzenia

Plošné zákazy, komplikované schvaľovanie a nepraktické pravidlá môžu paradoxne zvýšiť riziko. Ak bezpečnosť príliš brzdí prácu, ľudia si vytvoria neoficiálne postupy.

Automatizácia bez kontroly

Automatizované procesy bez monitoringu, notifikácií a možnosti zásahu môžu rozšíriť chybu rýchlejšie než manuálne procesy. Čím viac je proces automatizovaný, tým dôležitejšie sú kontrolné body.

Bezpečnosť len na papieri

Politiky a smernice sú dôležité, ale nestačia. Ak neodrážajú reálne správanie používateľov, aktuálne bezpečnostné hrozby a spôsob práce firmy, ich praktický dopad je minimálny.

Skutočná bezpečnosť sa neprejavuje v dokumentoch, ale v každodenných rozhodnutiach, procesoch a reakciách na riziko.

Bezpečnosť navrhnutá pre ľudí, nie proti nim

Vývoj kybernetických hrozieb ukazuje jasný trend: technológia sama o sebe nestačí a ľudský faktor nemožno ignorovať ani odstrániť. Bezpečnosť musí byť navrhnutá tak, aby počítala s tým, ako ľudia skutočne pracujú.

Najefektívnejšie bezpečnostné riešenia sú často tie, ktoré používateľov zbytočne nezaťažujú. Podporujú rozhodovanie, upozorňujú na riziko, overujú citlivé akcie a zasahujú vtedy, keď sa správanie odchyľuje od normálu.

Takýto prístup prináša tri dôležité výsledky:

• znižuje frustráciu používateľov,
• zvyšuje ochotu dodržiavať pravidlá,
• umožňuje firme pracovať rýchlo a bezpečne zároveň.

Bezpečnosť navrhnutá pre ľudí neznamená mäkší prístup. Znamená realistickejší prístup. Počíta s tým, že používatelia robia chyby, procesy sa menia, automatizácia zrýchľuje dopad incidentov a útočníci využívajú legitímne pracovné vzorce.

Ľudská chyba sa nedá odstrániť, ale jej dopad sa dá riadiť

Ľudská chyba v kybernetickej bezpečnosti nie je problém, ktorý sa dá vyriešiť jedným školením alebo jedným nástrojom. Je to prirodzená súčasť pracovnej reality, ktorú musia firmy zahrnúť do bezpečnostného modelu. Rovnako automatizácia nie je riziko sama o sebe. Rizikom sa stáva vtedy, keď zrýchľuje procesy bez kontroly, kontextu a možnosti včasného zásahu.

Firmy, ktoré chcú zvládať súčasné bezpečnostné hrozby, potrebujú prepojiť tri oblasti: ľudí, procesy a technológie. Potrebujú bezpečnostné povedomie, ktoré vychádza z reality práce. Potrebujú technické kontroly, ktoré počítajú s chybou. A potrebujú automatizáciu, ktorá zvyšuje efektivitu bez toho, aby znižovala kontrolu.