Dok su francuski ministar unutarnjih poslova i državna agencija za kibernetičku sigurnost otvoreno objavili da su stranice preventivno ugasili zbog kritične ranjivosti, dvije najveće institucije socijalnog sustava šutjele su i pustile milijune građana pred zatvorena digitalna vrata.
Od srijede navečer, 21. listopada, korisnici portala Ameli i CAF u Francuskoj ne mogu pristupiti svojim osobnim prostorima. Službeno objašnjenje glasi „planirano održavanje“. No prekid rada dogodio se istog dana kada su objavljene zakrpe za dvije kritične ranjivosti u programskom jeziku PHP, od kojih jedna omogućuje napadaču izvršavanje koda na poslužitelju bez ikakve autentifikacije.
Portal Downdetector zabilježio je eksploziju prijava, a prekid se protegnuo kroz cijelu noć i četvrtak. Korisnici su umjesto podataka dobivali poruku: „Došlo je do pogreške pri dohvaćanju podataka.“
Ista ranjivost, dva različita pristupa
Ministarstvo unutarnjih poslova Francuske na društvenim je mrežama jasno priopćilo da je, na zahtjev agencije ANSSI, preventivno ugasilo niz svojih stranica, među kojima i one prefektura te meteorološke službe Météo France. Razlog je, kako su naveli, kritična sigurnosna ranjivost koju je proizvođač softverske komponente objavio nekoliko sati ranije.
Zdravstveno osiguranje i obiteljska blagajna za doplatke za djecu odabrali su suprotnu strategiju: minimalnu komunikaciju. Ta razlika nije samo pitanje odnosa prema javnosti. Ona otkriva da u istoj državi, u istom trenutku, dvije razine uprave imaju posve različit pojam transparentnosti prema građaninu čiji podaci vise o sigurnosti poslužitelja.
Postavlja se pitanje koje ni jedna od dviju ustanova nije htjela izgovoriti: ako je rizik bio dovoljno ozbiljan da se, prema preporuci stručnjaka za kibernetičku sigurnost, cijeli sustav preventivno isključi, zašto o tome nisu obavijestili korisnike istim riječima kojima se služilo ministarstvo?
Gašenje kao zaštita, ali i kao maska
Paradoksalno, sama nedostupnost usluge zasad je dobra vijest za sigurnost podataka. Isključivanjem javnog pristupa ustanove su dobile vrijeme da zakrpe ranjivosti bez gledatelja i bez napadača za leđima. To je, uostalom, i procedura koju stručnjaci preporučuju.
Prava opasnost u ovakvim trenucima ne dolazi sa servera, nego iz sandučića elektroničke pošte. Masovno medijski popraćen prekid idealna je prilika za kampanje phishinga u kojima se prevaranti predstavljaju kao Ameli ili CAF i traže pristupne podatke. Svaka poruka te vrste u sljedećim danima može se tretirati kao lažna.
Za najhitnije slučajeve zdravstveno osiguranje ostavilo je telefonski broj 36 46. Korisnici doplatka za djecu neće biti kažnjeni zbog kašnjenja uzrokovanog prekidom jer im uobičajeni rok ionako teče do početka sljedećeg mjeseca.
Do sredine poslijepodneva u četvrtak broj prijava se znatno smanjio, a oba portala postupno su ponovno postala dostupna. Prava šteta, međutim, ne mjeri se satima nedostupnosti.
Lekcija za svaku državu koja digitalizira sve
Francuski slučaj nije izoliran. Hrvatska je u posljednjih nekoliko godina gotovo cijelu javnu upravu preselila na mrežu — od porezne uprave i mirovinskog sustava do zdravstvenih portala i sustava e-Građani. Što se dogodi kada se otkrije ranjivost koja omogućuje daljinsko izvršavanje koda na poslužiteljima na kojima leže zdravstveni i socijalni podaci milijuna ljudi?
Odgovor ne ovisi o tome koliko je dobar vatrozid, nego o tome je li institucija spremna u roku od nekoliko sati javno reći istinu. Francuski primjer pokazuje da to nije stvar tehnologije, nego političke volje. Ministarstvo je moglo objaviti priopćenje u nekoliko rečenica. Ustanove socijalnog osiguranja nisu, pa su građani ostatak dana proveli nagađajući je li riječ o održavanju ili o napadu.
Dok se raspravlja o europskim fondovima za digitalizaciju i o brzini uvođenja novih platformi, temeljno pitanje ostaje izvan svake rasprave: sigurnost podataka i pravo građanina da zna što se s njima događa. Država koja šuti o ranjivosti svog sustava ne štiti građane — štiti vlastitu reputaciju.
Ako se sljedeći put zatvore hrvatski zdravstveni i socijalni portali, prvo pitanje na konferenciji za novinare mora biti isto ono koje u Francuskoj nitko nije postavio na vrijeme: je li ovo održavanje ili napad, i zašto o tome ne govorite jednako jasno kao vaše kolege iz ministarstva?
0 komentara
Još nema komentara. Budite prvi.