Kako ekonomski modeli i seča troškova uništavaju digitalnu bezbednost

Ranjivost temeljnih softverskih alata moderne mreže

Savremena internet infrastruktura oslanja se na relativno mali broj ključnih tehnoloških alata koji pokreću milione internet stranica i aplikacija širom sveta. Jedan od takvih alata je programski jezik PHP, koji predstavlja osnovu za približno 70 procenata svih veb lokacija na globalnom nivou. Kada se u tako bazičnom softveru pojave bezbednosni propusti, poput uočene ranjivosti poznate pod nazivom PHP2Shell, posledice nisu lokalizovane na jednu kompaniju. Istraživačke grupe iz firmi kao što su Wiz, Calif i OpenAI identifikovale su sistemski rizik koji napadačima omogućava preuzimanje kontrole nad serverima i krađu osetljivih podataka.

Analogija sa ugostiteljstvom slikovito objašnjava ovaj problem u tehnološkom sektoru. Pretraživač funkcioniše poput restoranske sale, dok je server kuhinja koja prima i priprema porudžbine na osnovu zahteva. U tom sistemu, PHP deluje kao glavni kuvar koji spaja sastojke i šalje obroke gostima. Ako spoljni akteri uspeju da preuzmu funkciju kuvara, celokupan rad kuhinje ulazi u haos, a gosti dobijaju pogrešne i opasne narudžbine. Slične ranjivosti uočene su i na drugim ključnim platformama kao što su Node.js, Gitlab, Plex, Railway, OpenCode i eMudhra.

Razmere ovih tehničkih nedostataka primorale su državne organe u Nemačkoj, Francuskoj, Australiji, Holandiji, Japanu i Velikoj Britaniji da privremeno povuku pojedine zvanične sajtove iz mreže radi primene zakrpa. Nacionalne agencije za bezbednost preporučile su ove mere kako bi sprečile potencijalno preuzimanje infrastrukture od strane neovlašćenih lica. Razlog za zabrinutost je opravdan jer brzi razvoj automatizovanih alata znatno olakšava otkrivanje slabosti u kodu. Bezbednosni stručnjaci upozoravaju da brzi talas napada stvara situaciju u kojoj nema dovoljno vremena za blagovremenu zaštitu svih kritičnih sistema.

Poslovni modeli privatnog kapitala i bezbednost

Iako se javna debata uglavnom fokusira na tehničku superiornost hakerskih napada, dublji uzrok bezbednosne krize leži u strukturi finansijskih podsticaja. Uočeni problemi u digitalnoj mreži nisu nova pojava i prisutni su godinama pre najnovijeg tehnološkog talasa. Tokom prve polovine 2019. godine zabeleženo je čak 3.494 uspešnih napada na finansijske institucije, dok je 16 bolnica u Engleskoj moralo da otkaže sve operacije koje nisu bile hitne zbog ucenjivačkog softvera. Džejmi Dajmon, izvršni direktor banke JP Morgan, još tada je upozorio akcionare da kibernetička bezbednost predstavlja najveću pretnju finansijskom sistemu.

Istorijat bezbednosnih propusta pokazuje da su problemi postojali i znatno ranije, poput slučaja iz 2017. godine kada su hakeri preuzeli kontrolu nad sistemom za upozoravanje na tornada u Dalasu. Dugotrajna prisutnost ovih problema ukazuje na to da tehnološki napredak napadača nije jedini pokretač krize. Finansijska tržišta često nagrađuju kompanije koje prodaju jeftino izrađen softver jer je takav proizvod profitabilniji za distribuciju. Smanjenje troškova razvoja i testiranja direktno povećava kratkoročnu profitabilnost, ali ostavlja dugoročne rupe u zaštiti podataka.

Ilustrativan primer predstavlja fond privatnog kapitala Bain Capital i njegova akvizicija kompanije PowerSchool. Nakon preuzimanja, uprava je donela odluku o premeštanju funkcija inženjeringa i kibernetičke bezbednosti na spoljne izvođače u inostranstvu. Ova strategija uštede dovela je do stvaranja alata za upravljanje podacima koji su omogućili dobavljačima da zaobiđu bezbednosne protokole i direktno pristupe računarima školskih okruga. Sličan obrazac seče troškova i premeštanja razvoja u inostranstvo viđen je i u primerima kompanija SolarWinds, Pulse Connect Secure i Kaseya, čiji su bezbednosni proboji ugrozili državne organe, metro sisteme i korporativne mreže.

Tržišna konsolidacija kao izvor sistemskog rizika

Spajanja i preuzimanja u tehnološkom sektoru često dovode do stvaranja monopolskih struktura koje kombinuju složene i zastarele softverske sisteme. Kada se u takvim sistemima dogodi proboj, posledice se trenutno prelivaju na čitave industrijske grane. Kompanija Change Healthcare, koja posluje u okviru grupe UnitedHealth Group, pretrpela je ozbiljan kibernetički napad tokom 2024. godine. Budući da je ova platforma ključna za obradu zdravstvenih plaćanja, lekari, bolnice i apoteke ostali su bez prihoda duže od mesec dana.

Sličan scenario dogodio se iste godine u automobilskom sektoru kada je napadnut softverski provajder CDK Global. Ova kompanija zauzima gotovo monopolsku poziciju u pružanju softvera za auto-salone, zbog čega je prodaja vozila bila praktično obustavljena na nekoliko nedelja. Procepi u zaštiti ovako velikih sistemskih igrača pokazuju da korporativna konsolidacija smanjuje otpornost celokupnog tržišta. Umesto diversifikovanog ekosistema sa više nezavisnih rešenja, tržište se oslanja na nekoliko divova čiji pad parališe ekonomiju.

Kada kompanije spajaju svoje operacije, proces integracije IT sistema često zaobilazi temeljne provere bezbednosti radi brzine i smanjenja troškova. Kontrola kvaliteta se zanemaruje jer investitori zahtevaju brze finansijske prinose i povraćaj uloženog novca. Kao posledica toga, tehnički dug se gomila u samim temeljima softvera, stvarajući idealne uslove za sprovođenje masovnih kibernetičkih napada. Tržišna dominacija onemogućava korisnicima da pređu na bezbednije alternative jer drugačije opcije na tržištu jednostavno ne postoje.

Prikrivanje incidenata i eksternalizacija troškova

Pored smanjenja ulaganja u odbranu, velike korporacije neretko pribegavaju praksi prikrivanja bezbednosnih incidenata od javnosti i regulatornih tela. Poznat je primer kompanije Uber iz 2016. godine, kada su hakeri kompromitovali podatke 57 miliona korisnika i 600.000 vozačkih dozvola. Umesto obaveštavanja nadležnih organa i pogođenih lica, šef bezbednosti u Uberu organizovao je isplatu od 100.000 dolara hakerima kako bi prikrio vest o proboju. Njegov postupak je kasnije rezultirao pravosudnim procesom i presudom za ometanje pravde.

Stručnjak za kibernetičku bezbednost Brus Šnajer objasnio je još 2021. godine logiku iza ovakvog korporativnog ponašanja. Kupci i korisnici softvera u trenutku kupovine ne mogu da uoče razliku između bezbednog i bezbednosno šupljeg koda. Zbog toga tržišni podsticaji ohrabruju kompanije da donose odluke u sopstvenom privatnom interesu, čak i kada time ugrožavaju širu društvenu stabilnost. Ušteda novca preuzimanjem većeg rizika finansijski odgovara kompaniji, a stvarni troškovi nastale štete prebacuju se na pojedince i državu.

Kada se troškovi bezbednosnih neuspeha eksternalizuju na krajnje korisnike, firme nemaju ekonomski motiv da same pojačaju zaštitu. Bez zakonskog pritiska i direktne finansijske odgovornosti za nastale propuste, korporativni upravni odbori uklanjaju procene bezbednosti iz kriterijuma za bonuse izvršnih direktora. Time se stvara okruženje u kojem se bezbednost posmatra kao nepotreban trošak koji smanjuje neto profitabilnost poslovanja.

Neuspeh dobrovoljnih okvira i industrijski lobi

Pokušaji uspostavljanja obavezujućih standarda kibernetičke bezbednosti u SAD decenijama se suočavaju sa otporom industrijskih lobističkih grupa. Kada je američki Kongres 2013. godine propustio da usvoji sveobuhvatne zakonske propise, predsednik Obama je izdao izvršnu uredbu pod nazivom Poboljšanje kibernetičke bezbednosti kritične infrastrukture. Ova uredba naložila je Nacionalnom institutu za standarde i tehnologiju (NIST) da razvije okvir za zaštitu u saradnji sa privatnim sektorom.

Naredne, 2014. godine, NIST je objavio svoj Okvir 1.0 koji je uspostavio smernice, ali isključivo na dobrovoljnoj bazi. Savet industrije informacionih tehnologija (ITI), koji zastupa vodeće tehnološke kompanije, javno je podržao ovaj dokument, ali je istovremeno nastavio intenzivno lobiranje protiv uvođenja bilo kakvih obavezujućih pravila. Kao rezultat tog pritiska, Kongres je 2015. godine usvojio Zakon o kibernetičkoj bezbednosti koji je zadržao princip dobrovoljne razmene informacija o pretnjama, dok su obavezujuća pravila Federalne komisije za komunikacije iz 2016. godine ubrzo poništena.

Čak i kada su uvođene zakonske novine, poput Zakona o izveštavanju o kibernetičkim incidentima za kritičnu infrastrukturu iz 2022. godine (CIRCIA), implementacija je usporavana administrativnim procedurama. Odgovor CISA-e o finalnom pravilu ostao je u procesu razmatranja i godinama nakon usvajanja zakona. Bivša predsednica Federalne trgovinske komisije (FTC) Lina Kan bila je glasni zagovornik oštrijeg pristupa prema korporativnoj neodgovornosti, naglašavajući da bez primene instrumenata pravne odgovornosti nema stvarne promene u ponašanju tržišnih aktera.

Uspostavljanje jasnih standarda po uzoru na građevinarstvo

Upoređivanje softverskog inženjeringa sa drugim industrijskim granama pokazuje koliko je regulatorni pristup digitalnom sektoru zaostao. U građevinarstvu ili automobilskoj industriji postoje strogi normativi, inspekcijski nadzori i obavezni sertifikati koji garantuju bezbednost objekata i vozila. Niko ne gradi mostove ili stambene zgrade bez poštovanja rigoroznih građevinskih propisa jer bi urušavanje takvih struktura izazvalo neposredne zakonske i materijalne posledice po investitore i izvođače.

Kada se dogodi tragedija poput urušavanja zgrade Surfside u Majami Biču, incident godinama ostaje u fokusu javnosti, a nadležni organi sprovode detaljne istrage radi utvrđivanja odgovornosti. U digitalnom svetu, s druge strane, kolapsi i bezbednosni proboji u ključnim softverima tretiraju se kao neizbežne tehničke nepogode. Razlog leži u tome što je digitalna infrastruktura razvijana u eri deregulacije tokom koje su javne inspekcijske procene rizika praktično eliminisane.

Rešenje kibernetičke nestabilnosti zahteva napuštanje modela dobrovoljnih preporuka i uvođenje minimalnih zakonskih standarda za izradu softvera. Državni organi moraju uspostaviti mehanizme koji teraju kompanije da snose pune finansijske i pravne posledice za propuste u kôdu koji plasiraju na tržište. Baš kao što su propisi o pojasu u automobilima ili standardi o kvalitetu hrane zaštitili potrošače, obavezujući zakoni u softverskom sektoru jedini su način da se korporativni podsticaji usklade sa javnim interesom.

Izvor: Matt Stoller, BIG · Fotografija: Pexels / Freepik (ilustracija)