Fizyczny atak na wirtualny świat. Dlaczego chmura przestała być bezpiecznym azylem?

Przez lata sektor technologiczny przyzwyczaił się do myślenia o zagrożeniach w kategoriach czysto wirtualnych. Zagrożeniem było złośliwe oprogramowanie, ataki phishingowe czy luki w kodzie aplikacji. Jak jednak zauważa Kim Larsen, Group CISO w firmie KeepIT, obecna rzeczywistość geopolityczna brutalnie weryfikuje to podejście, błyskawicznie zacierając granicę między cyberprzestrzenią a fizyczną infrastrukturą krytyczną. Kluczowym elementem nowej doktryny wojennej stają się bezpośrednie ataki na fizyczną infrastrukturę sieciową i obliczeniową. Jako bezprecedensowy przykład Kim Larsen wskazuje atak kinetyczny na centrum danych w Dubaju, w którym obiekt cyfrowy potraktowano jako pełnoprawny cel militarny.

W obliczu konfliktów zbrojnych wielkoskalowe serwerownie przestają być bezpiecznymi azylami. Stają się punktami krytycznymi, których eliminacja może sparaliżować gospodarki całych państw. Równolegle walka toczy się na morzach. W ramach operacji hybrydowych regularnie odnotowuje się przypadki statków na Morzu Bałtyckim, które „przypadkowo” upuszczają kotwice i niszczą podmorskie kable światłowodowe. Analizy wywiadowcze jednoznacznie wskazują, że nie są to zdarzenia losowe, jeśli linia nie zostanie uszkodzona za pierwszym razem, jednostki ponawiają próby.

Służy to dwóm celom: testowaniu procedur reagowania oraz badaniu realnego wpływu odcięcia łączności na społeczeństwo i biznes. Co więcej, działania te skutecznie podkopują zaufanie do instytucji rządowych, sojuszy międzynarodowych oraz samej sieci, którą dotąd uznawano za niezawodną.

Iluzja nieprzerwanej dostępności

W obliczu tych zagrożeń retorykę zmieniają giganci technologiczni. Sam Bill Gates w wywiadzie dla szwedzkiej telewizji przyznał, że o ile jeszcze dwa lata temu na pytanie o bezwzględną dostępność produktów Microsoftu odpowiedziałby twierdząco, o tyle dziś zachowuje daleko idącą ostrożność i apeluje o planowanie awaryjne na wypadek globalnych incydentów.

Sytuację w firmach dodatkowo komplikuje model operacyjny. Dzisiejsze przedsiębiorstwa masowo polegają na aplikacjach w modelu SaaS. Każdy nowy proces w działach marketingu, HR czy finansów wiąże się z wdrażaniem kolejnych zewnętrznych narzędzi, przez co korporacyjne dane nieustannie opuszczają strefę bezpośredniej kontroli wewnętrznych działów IT. Choć podstawowa higiena cyfrowa pozwala częściowo monitorować ten przepływ, sytuację drastycznie zaostrza masowa i często bezkrytyczna implementacja rozwiązań bazujących na sztucznej inteligencji.

Pułapka modelu współdzielonej odpowiedzialności

Michael Heuer, VP DACH w KeepIT, zwraca uwagę na fundamentalny błąd strategiczny współczesnych menedżerów IT: brak zrozumienia modelu współdzielonej odpowiedzialności. Biznes błędnie zakłada, że powierzając dane renomowanemu dostawcy (np. w ramach Microsoft 365 czy Salesforce), przenosi na niego pełną odpowiedzialność za ich bezpieczeństwo, retencję oraz odzyskanie w przypadku katastrofy.

– Rzeczywistość rynkowa w regionie DACH pokazuje, że nawet potężne korporacje giełdowe z indeksów DAX czy MDAX nie posiadają niezależnych systemów ochrony danych dla swoich środowisk SaaS. Organizacje te wmawiają sobie, że nowe regulacje ich nie dotyczą, nawet w tak rygorystycznie nadzorowanych sektorach jak branża farmaceutyczna – wskazuje Michael Heuer.

Przedsiębiorstwa rzadko skrupulatnie analizują treść umów chmurowych. Tymczasem w oficjalnej dokumentacji dostawców,pisanej drobnym drukiem, widnieje jasne zastrzeżenie: za zabezpieczenie i ochronę danych odpowiada wyłącznie klient. Przeświadczenie, że drogim pakietem licencyjnym klasy premium (jak Microsoft E3 czy E5) da się wykupić pełne bezpieczeństwo, stoi w sprzeczności z międzynarodowymi standardami, takimi jak wytyczne NIST.

Niezależny backup 

Ostatecznym dowodem na te ograniczenia jest fakt, że najwięksi dostawcy chmurowi sami wprowadzają obecnie dodatkowo płatne narzędzia do tworzenia kopii zapasowych na wypadek ataku ransomware. To bezpośrednie przyznanie, że natywne mechanizmy obronne nie gwarantują pełnej ochrony przed złośliwym szyfrowaniem. Według danych instytutu Gartner obecnie zaledwie 20% firm na świecie stosuje niezależny backup środowisk SaaS. Prognozuje się jednak, że pod presją rosnących zagrożeń kinetycznych i hybrydowych wskaźnik ten wkrótce wzrośnie do 80%.