Nova dimenzija kibernetičke obrane: BKA dobiva proširene ovlasti
Njemačka sigurnosna arhitektura pred značajnom je promjenom: planiranim zakonom o jačanju kibernetičke sigurnosti Savezni kriminalistički ured (BKA) trebao bi ubuduće dobiti pravo na aktivno djelovanje protiv infrastrukture napadača. Savezni ministar unutarnjih poslova Alexander Dobrindt (CSU) nazvao je taj naum „prekretnicom za sigurnosnu arhitekturu Njemačke” i najavio: „Uzvraćamo udarac, isključujemo prijetnju. Kada nas napadnu, moći ćemo ometati napadače i uništiti njihovu infrastrukturu.”
Taj novi oblik „aktivne kibernetičke obrane” označava promjenu paradigme u njemačkoj strategiji kibernetičke sigurnosti. Dok su dosad u prvom planu bile prije svega obrambene mjere, sada bi se preventivno trebalo moći djelovati protiv potencijalnih prijetnji.
Od pasivne zaštite do aktivne obrane
Dosad se njemačka kibernetička obrana uglavnom ograničavala na reaktivne mjere. „Dosad smo na napade reagirali tako što smo ih pokušavali preusmjeriti u bezopasna područja mreže”, objasnio je ministar Dobrindt dosadašnji pristup. Te su metode doduše bile djelotvorne, ali su predstavljale maksimum dosadašnjih aktivnih obrambenih mjera.
Ubuduće bi se na nišan trebali moći uzeti i softver i poslužitelji napadača u inozemstvu. To se proširenje ovlasti politički obrazlaže promijenjenim sigurnosnim stanjem i povećanom hitnošću u kibernetičkom prostoru.
Konkretni scenariji primjene novih ovlasti
BKA bi prema novim odredbama trebao dobiti pravo suzbijanja različitih vrsta infrastrukture napadača:
- IoT uređaja koji se zloupotrebljavaju za kibernetičke napade
- Poslužitelja koji služe kao zapovjedni i kontrolni centri
- Otetih instanci u oblaku
- Command & Control poslužitelja za koordinaciju DDoS napada
Cilj je moći rano intervenirati kako bi se napadi poput DDoS napada spriječili u samom začetku, prije nego što mogu nanijeti štetu.
Razgraničenje od spornog koncepta hackbacka
Ministar Dobrindt naglasio je da kod planiranih mjera nije riječ o hackbacku. Hackback je „neusmjeren udar odmazde”, dok je ovdje u prvom planu konkretno otklanjanje opasnosti od strane Saveznog kriminalističkog ureda, savezne policije i Saveznog ureda za sigurnost u informacijskoj tehnici.
Radi ilustracije ministar je povukao analogiju: „Kada od kovčega bez vlasnika prijeti opasnost, mi protiv toga postupamo i ne utvrđujemo najprije čiji je taj kovčeg.” Tko se točno krije iza napadačkog sustava, za otklanjanje opasnosti je nevažno. Važno je samo da od poslužiteljske strukture prijeti konkretna opasnost.
Zbog tog razgraničenja savezna vlada ne vidi potrebu za izmjenom Ustava. Planirane bi se mjere trebale kretati u okviru postojećih ustavnopravnih mogućnosti.
Kritični glasovi iz civilnog društva
Unatoč uvjeravanjima savezne vlade, kritičari u toj odredbi vide problematičnu ovlast za hackback. Njihova glavna briga: kod profesionalnih kibernetičkih napada redovito se zloupotrebljavaju tuđi uređaji, pa mjere ne bi pogodile stvarne počinitelje, nego neupletene treće osobe.
Planirane mjere kibernetičke sigurnosti nadovezuju se na niz zakonodavnih nauma koji policiji i državnim odvjetništvima trebaju dati proširene ovlasti. Nakon planova za zadržavanje podataka, provedbenih zakona o digitalnom osiguranju dokaza te ovlasti za analizu podataka i biometrijsku usporedbu na internetu, ovo je već treći veliki paket te vrste.
Posebno se kritizira planirani tempo zakonodavstva jer bi nacrti kroz Bundestag trebali proći ubrzano.
Kontekst i značenje za sigurnosnu branšu
Nove ovlasti predstavljaju znatno proširenje državnih mjera kibernetičke sigurnosti. Za poduzeća i organizacije to s jedne strane znači potencijalno jaču zaštitu od kibernetičkih napada, a s druge strane nastaju i novi pravni i tehnički izazovi.
Aktivna kibernetička obrana promatra se kao nužna nadopuna postojećim zaštitnim mjerama poput otvrdnjavanja IT sustava ili zakonskih obveza za veću IT sigurnost prema pravilima NIS2.
Učinci na branšu sigurnosne tehnike
Proširene državne ovlasti mogle bi promijeniti zahtjeve prema privatnim sigurnosnim rješenjima. Poduzeća će se možda moći pojačano oslanjati na robusne, državno koordinirane obrambene mjere, dok istodobno postaju važniji dokumentacija i transparentnost njihovih vlastitih sigurnosnih mjera.
Pogled unaprijed: pravni i tehnički izazovi
Provedba novih ovlasti donijet će različite izazove. Moraju se uzeti u obzir i međunarodnopravni aspekti i praktično razlikovanje legitimnih od zloupotrijebljenih sustava.
Za sigurnosnu branšu nastaju nove mogućnosti suradnje s državnim tijelima, ali istodobno rastu i zahtjevi za dokumentaciju i sljedivost sigurnosnih mjera.
Nadolazeći mjeseci pokazat će kako će se razvijati rasprava o proširenim ovlastima i kakve će konkretne učinke nove odredbe imati na krajolik kibernetičke sigurnosti u Njemačkoj.
