Kibernetska varnostna vprašanja 2025 na področju vlade in javnega sektorja

Vodje za informacijsko varnost (CISO) so preobremenjeni s kompleksnimi izzivi varovanja občutljivih javnih podatkov, saj se kibernetski napadi stopnjujejo

Za vodje informacijske varnosti (CISO) v vladi in javnem sektorju (Gov/PS) so izzivi varovanja občutljivih podatkov in kritičnih sistemov večji kot kdaj koli prej. Zaradi edinstvene narave in količine podatkov, s katerimi te organizacije ravnajo, so še posebej ranljive. Potencialni vpliv kršitve sega daleč preko finančnih izgub. V mnogih primerih so ogrožene blaginja državljanov, javna varnost in celo nacionalna varnost.

Vodje CISO v vladnih in javnih organizacijah se soočajo s kompleksno mrežo izzivov. V zadnjih petih letih so hitro spreminjajoči se geopolitični dogodki in naraščajoče napetosti povzročili povečanje kibernetskih napadov na kritično infrastrukturo. Sektor se zdaj osredotoča na izboljšanje odpornosti in zmanjšanje povezanih tveganj, saj starejše IT infrastrukture odpirajo vrata številnim ranljivostim, ki jih lahko izkoristijo nasprotniki. Kljub prizadevanjem za posodobitev in zavarovanje teh sistemov ostajata sama kompleksnost in obseg naloge nepremagljiva. Pravzaprav je po raziskavah KPMG pomanjkanje razumevanja ali zaupanja vanje zmanjšalo samozavest 65 odstotkov vladnih in javnih organizacij glede vlaganja v ta orodja.¹

Poleg nenehnega iskanja ravnovesja med obravnavanjem starih sistemov morajo vodje CISO v tem sektorju slediti tudi hitremu razvoju novih tehnologij, kot so umetna inteligenca (UI), tehnologija veriženja blokov in kvantno računalništvo. Dejstvo, da se vodje CISO že soočajo s proračunskimi omejitvami in omejitvami virov, še otežuje privabljanje in ohranjanje usposobljenih strokovnjakov za kibernetsko varnost, predstavlja popolno nevihto kibernetskih izzivov, s katerimi se morajo organizacije spopasti.

Tudi regulativna krajina postaja vse bolj zapletena. V Evropi bodo na primer prihajajoči predpisi o kibernetski varnosti, kot so Zakon o digitalni operativni odpornosti (DORA), Direktiva NIS2 in Zakon o kibernetski odpornosti, v prihodnjih mesecih in letih vplivali na tisoče podjetij in vladnih organizacij. Ta regulativna utrujenost je lahko ogromna. Sredi teh izzivov morajo vodje varnostnih služb (CISO) najti načine za okrepitev odpornosti in pripravo na neizogibne kibernetske incidente. To zahteva premik v miselnosti od zgolj preventivnega pristopa k pristopu, ki vključuje tudi odkrivanje, odzivanje in okrevanje.

To poročilo raziskuje izzive, priložnosti in akcijske točke za vodje varnosti v tem širokem sektorju. Z razumevanjem edinstvenih tveganj in zahtev ter s proaktivnim pristopom do kibernetske varnosti lahko CISO pomagajo zaščititi kritična sredstva in podatke, ki so temelj javnih institucij.

Ključni vidiki kibernetske varnosti za CISO

Odpornost po zasnovi – Kibernetska varnost za podjetja in družbo
Grajenje zaupanja ob širjenju umetne inteligence
Imperativ digitalne identitete

Odpornost po zasnovi – Kibernetska varnost za podjetja in družbo

Kritična infrastruktura, ki poganja našo družbo, od energetskih omrežij in transportnih sistemov do čistilnih naprav in zdravstvenih ustanov, je vse bolj ranljiva za sofisticirane kibernetske napade. Glede na vse večjo pogostost in kompleksnost teh groženj morajo vodje informacijske varnosti (CISO) svojo pozornost preusmeriti s zgolj preprečevanja incidentov na krepitev odpornosti – sposobnosti hitrega odzivanja, okrevanja in prilagajanja z omejenim vplivom. Ne gre le za tehnološke rešitve, temveč tudi za ljudi, procese in okvire upravljanja.

CISO morajo biti sposobni locirati in identificirati svoja sredstva, da jih lahko učinkovito zavarujejo. To vključuje ne le sredstva podatkovnih centrov, temveč tudi kritične sisteme in končne točke zunaj tradicionalne IT, kot so tisti v tovarnah, transportnih omrežjih in energetskih omrežjih – ki veljajo za operativno tehnologijo (OT).

Ker se organizacije vse bolj zanašajo na zunanje ponudnike programske opreme in storitev, napadalci pa neposredno ciljajo na dobavitelje, se povečuje tveganje šibkih členov v dobavni verigi. Ta rastoči ekosistem širi tudi površino napada, kar akterjem groženj z vsakim novim zunanjim odnosom omogoča dodatne vstopne točke.

Robustni načrti za odzivanje na incidente, redno testiranje in vaje ter medfunkcijsko sodelovanje lahko zmanjšajo vpliv neizogibnih kršitev in zagotovijo neprekinjeno delovanje kritičnih storitev. Z gojenjem kulture odpornosti v celotni organizaciji lahko direktorji za varnost v informacijski varnosti (CISO) zaposlenim omogočijo, da postanejo aktivni udeleženci pri obrambi pred kibernetskimi grožnjami.

Ključni izzivi

Vrzel v virih in znanjih

Mnogi upravljavci kritične infrastrukture, zlasti manjše občine, nimajo strokovnega znanja ali sredstev za izvajanje celovitih strategij odpornosti.

Pritisk na skladnost s predpisi

Večji regulativni nadzor, kot sta NIS2 in regulativni okvir za kritične subjekte (RCE) v EU ter podobni standardi drugod, od organizacij zahteva, da dokažejo svoje zmogljivosti odpornosti, kar povečuje kompleksnost operativnih in skladnostnih zahtev.

Prefinjenost groženj

Napadalci uporabljajo naprednejše taktike, kot so izsiljevalska programska oprema, porazdeljena zavrnitev storitve (DDoS) in napadi v dobavni verigi, ki ciljajo na ranljivosti, značilne za industrijske sisteme.

Ključne priložnosti

Odziv na incidente v realnem času – Napredni sistemi za spremljanje, ki uporabljajo umetno inteligenco in strojno učenje (ML), lahko v realnem času prepoznajo anomalije, kar omogoča hitrejši odziv na incidente.

Usklajevanje predpisov – Čeprav so regulativni mandati zahtevni, lahko spodbudijo naložbe v prakse kibernetske varnosti in odpornosti. To lahko prispeva k inovacijam in dvigu industrijskih standardov.

Čeprav se vladne/javne organizacije zavedajo tveganj, povezanih z napadi na kritično infrastrukturo, mnoge niso dobro pripravljene. Zastareli sistemi in nezadostno financiranje prizadevanj za posodobitev so ovirali sposobnost mnogih direktorjev za varnost informacijske varnosti pri izvajanju celovitih programov odpornosti. Da bi premostile to vrzel med prepoznavanjem in učinkovitim blaženjem, morajo organizacije dati prednost naložbam v kibernetsko varnost, tesno sodelovati z industrijskimi partnerji in sprejeti proaktiven pristop k načrtovanju odpornosti. Ta prizadevanja so ključnega pomena za ohranjanje bistvenih storitev in varovanje blaginje skupnosti, ki jim služijo.

Grajenje zaupanja ob širjenju umetne inteligence

Hitro širjenje umetne inteligence na ključnih področjih vlade/javnosti je odprlo izjemne priložnosti za inovacije in učinkovitost. Vendar pa se morajo organizacije, ki z navdušenjem sprejemajo umetno inteligenco, soočiti tudi z naraščajočimi pomisleki glede zaupanja, zlasti ko gre za varnost in zasebnost. Ogromna količina občutljivih podatkov, ki poganjajo sisteme umetne inteligence, je privlačna tarča za zlonamerne akterje, kar povečuje verjetnost kršitev podatkov in zasebnosti. Kompleksna in pogosto nepregledna narava algoritmov umetne inteligence lahko vodi tudi do nenamernih pristranskosti in netočnih napovedi. To lahko spodkoplje zaupanje javnosti in povzroči škodo ugledu.

Vodje informacijske varnosti morajo razmišljati dlje od tradicionalnih reaktivnih ukrepov in se osredotočiti na vgrajevanje zaupanja v celoten življenjski cikel umetne inteligence. Tesno morajo sodelovati s kolegi iz upravljanja, da bi se spopadli z izzivi kakovosti in klasifikacije podatkov ter zagotovili, da so informacije, uporabljene za učenje modelov umetne inteligence, točne, nepristranske in ustrezno zavarovane.

Prav tako je pomembno sodelovati z deležniki v IT in poslovnih sektorjih pri razvoju robustnih varnostnih okvirov, ki sledijo razvoju groženj in zmanjšujejo vrzel med inovacijami in zaščito. Spodbudno je, da je raziskava KPMG pokazala, da je v 76 odstotkih vladnih in javnih organizacij kibernetska varnost običajno vključena že v najzgodnejših fazah načrtovanja odločanja o naložbah v tehnologijo in ima pomemben vpliv.

Ključni izzivi

Ranljivost modelov umetne inteligence

Preprosto povedano, modeli umetne inteligence so ranljivi za napade nasprotnikov. Zlonamerni vnosi lahko zavedejo sisteme, kar vodi do netočnih odločitev, ki lahko ogrozijo varnost in zaupanje. Dodatne grožnje, kot sta zastrupitev modelov in uhajanje podatkov, lahko še dodatno ogrozijo zanesljivost in zaupnost.

Neprekinjeno spremljanje in tveganje

Ohranjanje zaupanja zahteva spremljanje v realnem času za odkrivanje anomalij in razvijajočih se groženj, pa tudi prilagodljive ocene tveganja za odpravljanje ranljivosti, kot so premik modela ter kibernetsko-fizična tveganja in napadi. Organizacije se spodbujajo k razvoju in izvajanju prilagodljivih, proaktivnih okvirov za zaščito sistemov umetne inteligence in zagotavljanje odpornosti.

Ključne priložnosti

Vključevanje varnosti v celoten življenjski cikel umetne inteligence – Z vključitvijo varnostnih ukrepov v življenjski cikel razvoja umetne inteligence so lahko organizacije bolje pripravljene na prepoznavanje in ublažitev ranljivosti pred uvedbo. Ta proaktivni pristop lahko pomaga preprečiti drago naknadno vgradnjo varnostnih ukrepov in zmanjšati verjetnost obsežnih, motečih kibernetskih napadov.

Reševanje izziva spremljanja – Z uvedbo naprednih algoritmov za odkrivanje anomalij ter optimizacijo okvirov beleženja in revizije lahko organizacije znatno izboljšajo svojo sposobnost odkrivanja in odzivanja na morebitne varnostne grožnje v realnem času.

Kljub priznavanju potenciala in pomena umetne inteligence v vladnih/socialnih organizacijah ostaja raven pripravljenosti relativno nizka. Počasno uvajanje, omejeno financiranje in pomanjkanje specializiranega osebja še vedno predstavljajo ovire. Pomanjkanje strokovnega znanja na kritičnih področjih, kot sta varnost umetne inteligence in upravljanje tveganj, organizacije pušča ranljive za tveganja, kot so ranljivosti v zasnovi sistema in nezadostna zaščita podatkov. Da bi premagali te ovire, morajo vodje informacijske varnosti v vladnih/socialnih organizacijah dati prednost proaktivnemu načrtovanju, dodeliti ustrezne vire in vlagati v izpopolnjevanje svojih zaposlenih.

Imperativ digitalne identitete

Ker organizacije sprejemajo digitalizacijo za izboljšanje storitev in učinkovitosti, je potreba po varnih in zanesljivih sistemih digitalne identitete postala izjemnega pomena. Digitalne identitete služijo kot osnova za varen dostop do širokega nabora kritičnih storitev, od bančništva in zdravstva do vladnih funkcij. Ker ti sistemi posameznikom omogočajo preverjanje identitete na spletu, omogočajo nemoteno in varno interakcijo.

Vendar pa je porast sofisticiranih groženj, kot so ponaredki, kraja identitete in digitalne goljufije, razkril omejitve tradicionalnih metod preverjanja pristnosti. Organizacije so vse bolj zaskrbljene zaradi porasta strojnih identitet, zlasti privilegiranih nečloveških računov storitev, ki imajo dostop do občutljivih podatkov za določene aplikacije. Ker internet stvari postaja vse bolj razširjen, postaja tudi upravljanje strojnih identitet velik izziv.

Za vodje informacijske varnosti (CISO) v vladnem/javnem sektorju so vložki še posebej visoki. Sistemi digitalne identitete igrajo ključno vlogo pri varovanju zasebnosti posameznikov, preprečevanju goljufij in zagotavljanju integritete občutljivih podatkov. Kršitev ali okvara teh sistemov ima lahko daljnosežne posledice, saj lahko spodkoplje zaupanje javnosti, moti delovanje bistvenih storitev in celo ogrozi nacionalno varnost. Zato morajo vodje informacijske varnosti (CISO) dati prednost razvoju in izvajanju varnih, preglednih in skladnih okvirov digitalne identitete. Tesno morajo sodelovati s svojimi ekipami, da bi v celoten življenjski cikel digitalne identitete vključili varnostne in zasebnostne vidike.

Ključni izzivi

Ohranjanje javnega zaupanja in zasebnosti podatkov

Posamezniki se bolj kot kdaj koli prej zavedajo, kako se njihovi osebni podatki uporabljajo in varujejo, zlasti ko gre za biometrične podatke. Obstajajo pomisleki glede tega, kako se podatki shranjujejo, obdelujejo in delijo. Zasebnost in suverenost podatkov ostajata najpomembnejši vprašanji.

Biometrični podatki in varnost preverjanja pristnosti

Z vse bolj avtomatiziranimi in obsežnimi naprednimi napadi z umetno inteligenco se je učinkovitost napadalcev znatno povečala. Na primer, hkrati je mogoče ustvariti več ponaredkov, sistemi umetne inteligence pa se lahko nenehno učijo iz vedenja braniteljev, da bi izboljšali svoje strategije. Ta napredek olajša izogibanje tradicionalnim metodam preverjanja pristnosti, kot sta prepoznavanje obraza ali skeniranje prstnih odtisov, in povečuje varnostne ranljivosti v teh sistemih.

Ključne priložnosti

Javno-zasebno sodelovanje – Ob priznavanju, da imajo vlade, tehnološka podjetja in druge sorodne organizacije ključno vlogo pri oblikovanju okvirov digitalne identitete, lahko ekipe za kibernetsko varnost delujejo kot spodbujevalci sodelovanja pri razvoju varnih in interoperabilnih sistemov. Z spodbujanjem medsektorskih razprav in partnerstev lahko strokovnjaki za kibernetsko varnost pomagajo premostiti vrzeli v standardizaciji, skladnosti s predpisi in najboljših praksah.

Usklajevanje predpisov – Čeprav je reševanje regulativnih izzivov zapleteno, usklajevanje s predpisi, kot so Splošna uredba o varstvu podatkov (GDPR), DORA, NIS2 ali eIDAS, ekipam za kibernetsko varnost ponuja priložnost, da vzpostavijo najboljše prakse skladnosti in okrepijo zaupanje v sisteme digitalne identitete.

Večina vladnih/javno-zasebnih organizacij ima v primerjavi z drugimi sektorji nizko stopnjo pripravljenosti, ko gre za zavarovanje digitalnih identitet. To je pogosto posledica nezadostnih naložb in pomanjkanja učinkovitega javno-zasebnega sodelovanja. Kompleksnost izzivov, kot so zaupanje, pomisleki glede zasebnosti in uporabniška izkušnja, je pogosto podcenjena. V federativnih vladnih sistemih usklajenost in sodelovanje med ravnmi še povečujeta kompleksnost. Da bi premagale te ovire in dosegle celovit pristop k digitalni identiteti, morajo organizacije dati prednost naložbam in sodelovanju.

Kibernetska varnost v resničnem svetu v vladi in javnem sektorju

Medtem ko vlade uvajajo obsežne digitalne pobude, ki koristijo državljanom, ostaja usklajevanje pomislekov glede kibernetske varnosti in udobja v ospredju.

Dobrodošel primer je nacionalni sistem digitalne obdelave podatkov, ki temelji na biometričnih podatkih in ki revolucionarno spreminja izkušnjo potnikov na letališčih v Indiji. Aplikacija uporablja obraz posameznika kot enoten identifikacijski žeton, ki povezuje identiteto, potovalne dokumente in potovalne informacije. Od uvedbe konec leta 2022 je ta program dosegel izjemne stopnje uporabe, s skoraj 10 milijoni uporabnikov in več deset tisoč novimi prenosi dnevno. Sistem deluje na več kot 20 letališčih v Indiji.

Uvedba te tehnologije je prinesla več ključnih prednosti, vključno z izboljšano izkušnjo potnikov, večjo učinkovitostjo in večjo varnostjo. Brezpapirni sistem omejuje deljenje podatkov in zagotavlja, da so osebno prepoznavni podatki potnikov (PII) varno shranjeni v mobilni denarnici potnikov. Ker uporaba še naprej narašča, služi kot odličen primer, kako je mogoče biometrične tehnologije izkoristiti za izboljšanje varnosti in udobja v javnem sektorju.

KPMG nudi podporo pri izvajanju javnih projektov, ki združujejo komercialni in vladni kontekst in izkušnje s področja kibernetske varnosti. Podpora zajema različna področja, vključno s strategijo in upravljanjem, upravljanjem identitet in dostopa, varnostno arhitekturo ter stalno diagnostiko in blaženjem.

S pravilnim pristopom lahko vladne pobude ohranijo najvišje standarde zasebnosti in varnosti podatkov, hkrati pa zagotavljajo storitve, ki so dostopne, učinkovite in uporabniku prijazne.

Kako vam lahko pomagajo strokovnjaki KPMG

Strokovnjaki KPMG lahko ocenijo vaš program kibernetske varnosti in pomagajo zagotoviti, da je skladen s poslovnimi prioritetami. Sodelujemo z vladnimi in javnimi vodji na področju kibernetske varnosti pri razvoju digitalnih rešitev, svetovanju pri izvajanju in spremljanju tveganj ter oblikovanju odzivov na kibernetske incidente.

Uporabljamo napredne metodologije za obravnavanje potreb po kibernetski varnosti in razvoj strategij po meri. Ponudba digitalnih rešitev vključuje ocene kibernetskega oblaka, avtomatizacijo zasebnosti, optimizacijo varnosti tretjih oseb, varnost umetne inteligence ter upravljano odkrivanje in odzivanje.

stream

KPMG združuje naš multidisciplinarni pristop z globokim, praktičnim znanjem industrije, da bi strankam pomagal pri soočanju z izzivi in odzivanju na priložnosti.

Preberite več