Jesu li hakeri ugrozili mrežu?M-tel navodno bio pod sajber...

Telekomunikacioni operator M-tel navodno je sredinom prošle sedmice bio pod ozbiljnim hakerskim napadom, ali iz kompanije zvanično nijesu ni potvrdili ni demantovali tu informaciju, ali ni odgovorili na pitanja da li su i, ako jesu, u kojoj mjeri ugroženi podaci korisnika.

Nakon više prijava građana da ne mogu da pristupe svojim nalozima, novinarka “Vijesti” u četvrtak ujutro se uvjerila da sajt te firme, ali ni korisnička aplikacija preko koje, pored ostalog, korisnici mogu i plaćati usluge - ne funkcionišu... Operateri službe za korisnike tokom dana su ponavljali da je riječ o “ažuriranju sistema”, koje će se okončati tokom dana. Sajt i aplikacija proradili su u četvrtak, oko 21 sat. Iz kompanije toga dana nijesu odgovorili na pitanja redakcije, tražeči vremena, kako su rekli, da i sami ustanove o čemu je riječ.

Dan kasnije, iz M-tela stigli su odgovori, ali ne na konkretna pitanja lista - da li su pod napadima, kome su to prijavili i jesu li eventualno ugroženi podaci korisnika.

“Vijestima” je istovremeno, iz više nezavisnih izvora, nezvanično rečeno da je taj operator pod jakim sajber napadima, da to nisu prijavili nadležnima i da pokušavaju da sami riješe problem.

“Procesi i sistemi koji su implementirani u kompaniji M-tel obezbjeđuju uspješno rješavanje sofisticiranih sajber prijetnji koje mogu da budu upućene iz bilo kojeg dijela svijeta”, saopšteno je tada, pored ostalog, iz te telekomunikacione firme.

Oni, međutim, nisu odgovorili ni na pitanje - da li su i kome od nadležnih prijavili te evenutalne probleme u radu.

KONTROLA, TAJNOST, ĆUTANJE

Kompaniju u tim situacijama obavezuju brojni domaći propisi - Zakon o informacionoj bezbjednosti, Zakon o elektronskim komunikacijama, Zakon o zaštiti podataka o ličnosti...

Na upite redakcije, dio nadležnih državnih organa tvrdio je da nije upoznat sa navodnim hakerskim napadom, dok su drugi ćutnju “pravdali” stepenom tajnosti podataka...

“Informišemo (Vas) da Agencija za zaštitu ličnih podataka i slobodan pristup informacijama nije dobila zvaničnim putem upit od strane bilo kog fizičkog ili pravnog lica za predmetnu stvar. Kako ne raspolažemo sa traženim informacijama dok se ne izvrši nadzor, smatraćemo Vaš upit inicijativom za pokretanje postupka nadzora. O rezultatima postupka nadzora, javnost će biti blagovremeno informisana”, odgovoreno je iz Agencije za zaštitu ličnih podataka i slobodan pristup informacijama.

Istovremeno, iz Agencije za sajber bezbjednost, pozivajući se na član 37 Zakona o informacionoj bezbjednosti, pojasnili su da je propisana obaveza označavanja odgovarajućim stepenom tajnosti obavještenja, izvještaja i smjernica koje se odnose na sajber incidente...

“Imajući u vidu navedene zakonske odredbe, Agencija za sajber bezbjednost nije u mogućnosti da javno iznosi informacije iz dokumentacije o sajber incidentima koje su zaštićene odgovarajućim stepenom tajnosti. Agencija ostaje posvećena transparentnom informisanju javnosti, u granicama svojih zakonskih ovlašćenja i uz poštovanje propisa kojima se uređuje zaštita podataka, kao i konstantnom preuzimanju svih mjera iz svoje nadležnosti”, poručili su iz te institucije.

Iz Agencije za elektronske komunikacije i poštansku djelatnost (EKIP), nisu odgovorili na set pitanja “Vijesti” o tom slučaju. Redakcija je, pored ostalog, pitala EKIP da li je kompanija prijavila sajber napad ili drugi oblik neovlašćenog pristupa informacionim sistemima ili narušavanju bezbjednosti i integriteta svojih mreža i usluga, kada i na koji period se prijava odnosi. Pitali smo i o prirodi i obimu incidenta, pogođenim sistemima i uslugama, mogućoj ugroženosti podataka i broju obuhvaćenih korisnika, ukoliko je incident prijavljen, ali i koje je mjere EKIP preduzeo povodom prijave. Bez odgovora su ostala i pitanja da li je EKIP, ukoliko kompanija nije prijavila incident, iz drugih izvora dobio informacije koje ukazuju na mogući napad i je li tražio izjašnjenje tog operatora. Nijesu odgovorili ni na pitanje koje obaveze operator ima prema EKIP-u i korisnicima u slučaju ovakvog incidenta, u kojim rokovima mora postupiti i da li ta Agencija provjerava jesu li te obaveze u konkretnom slučaju ispunjene.

Prema nezvaničnim informacijama “Vijesti”, napadi su počeli u srijedu, a sistem nije u potpunosti osposobljen ni tokom vikenda.

Izvori redakcije tvrde da je “upad” navodno primijećen tek nakon što je oboren sajt kompanije i mobilna aplikacija, iako su napadači prethodno navodno “ušli” u interne kompanijske sisteme finansija i prodaje... Dio tih sektora, tvrdi izvor lista, nije funkcionisao ni u subotu ujutru.

ŠTA PIŠE U PROPISIMA

Kompanija je, prema propisima, ako se desio sajber incident bila dužna da obavijesti brojne državne organe... Prema Zakonu o informacionoj bezbjednosti, u slučaju da se procijeni da bi sajber prijetnja, ozbiljna sajber prijetnja, odnosno incident mogli u značajnoj mjeri negativno da utiču na kontinuitet pružanja usluga, organi i drugi subjekti dostavljaju početno obavještenje Agenciji za sajber bezbjednost, u roku od 24 časa od trenutka saznanja.

“Po prijemu početnog obavještenja Agencija, odnosno CIRT državne uprave sprovodi analizu uticaja sajber prijetnje, ozbiljne sajber prijetnje, odnosno incidenta na kontinuitet pružanja usluga i mogućih načina reagovanja na te sajber prijetnje, odnosno incident i utvrđuje nivo incidenta koji može biti niski, srednji ili visoki... Ako, po prijemu početnog obavještenja, utvrdi da je incident niskog nivoa, Agencija, odnosno CIRT državne uprave, u roku od 24 časa od prijema tog obavještenja, organu, odnosno drugom subjektu može, ako je to potrebno, dati smjernice za reagovanje na nastali incident”, navodi se pored ostalog u tom propisu.

Ukoliko se utvrdi da je incident srednjeg nivoa, Agencija odmah, a najkasnije u roku od 24 časa od prijema tog obavještenja, daje smjernice za reagovanje na nastali incident i učestvuje u rješavanju tog incidenta, a organi i drugi subjekti dužni su da, u roku od 72 časa od podnošenja početnog obavještenja, dostave prvi izvještaj o trajanju incidenta i mjerama koje su preduzete za rješavanje...

“Ako, po prijemu početnog obavještenja, utvrdi da je incident visokog nivoa, Agencija je dužna o tome da obavijesti CIRT državne uprave, odnosno CIRT državne uprave Agenciju, bez odlaganja, u pisanoj formi. U slučaju iz stava 1 ovog člana, Agencija i CIRT državne uprave zajedno učestvuju u rješavanju incidenta i organu i drugom subjektu daju smjernice za reagovanje na nastali incident. Tokom trajanja incidenta iz stava 1 ovog člana, organi i drugi subjekti dužni su da u roku od 72 časa od podnošenja početnog obavještenja Agenciji, odnosno CIRT-u državne uprave dostave prvi izvještaj o trajanju incidenta i mjerama koje su preduzete za rješavanje tog incidenta. Ako tokom trajanja incidenta iz stava 1 ovog člana organi i drugi subjekti saznaju za nove podatke ili okolnosti koje mogu biti od uticaja na taj incident, dužni su da o tome Agenciji, odnosno CIRT-u državne uprave, bez odlaganja, dostave poseban izvještaj na propisanom obrascu”, navodi se u Zakonu i precizira da ako incident visokog nivoa traje i nakon isteka roka od 72 sata, organi i drugi subjekti dužni su da, svakih 24 časa, Agenciji, odnosno CIRT-u državne uprave dostavljaju kontinuirane izvještaje o trajanju incidenta i mjerama koje su preduzete za rješavanje tog incidenta.

“Ako Agencija i CIRT državne uprave ne mogu da riješe incident visokog nivoa u skladu sa članom 34 ovog zakona, u roku od deset dana od dana dostavljanja početnog obavještenja, Ministarstvo, uz prethodno pribavljeno mišljenje Agencije, dostavlja Vladi predlog za proglašenje sajber krize”, naglašeno je u Zakonu u informacionoj bezbjednosti.

Prema Zakonu o elektronskim komunikacijama, operator je dužan da preduzima odgovarajuće tehničke i organizacione mjere kako bi se zaštitila bezbjednost ličnih podataka, podataka o saobraćaju, elemenata i funkcija mreže, kao i bezbjednost i otpornost elektronskih komunikacionih mreža i usluga.

“Operator je dužan da, bez odlaganja, obavijesti Agenciju i organ nadležan za zaštitu ličnih podataka o povredi podataka o ličnosti ili povredi privatnosti korisnika. U obavještenju iz stava 1 ovog člana naročito se navodi opis posljedica nastale povrede, kao i predložene ili preduzete mjere radi otklanjanja uzroka povrede. Operator je dužan da, bez odlaganja, obavijesti korisnika ako povreda ličnih podataka može štetno uticati na lične podatke ili privatnost korisnika. Obavještenje iz stava 3 ovog člana obavezno sadrži opis prirode povrede ličnih podataka, uz upućivanje korisnika na ovlašćeno lice operatora kod kojeg se mogu dobiti bliži podaci, kao i predlog mjera za ublažavanje negativnih posljedica povrede ličnih podataka”, stoji u Zakonu.

Prema istom propisu, operator je dužan da vodi evidenciju povreda ličnih podataka, koja sadrži podatke o uzroku povrede ličnih podataka, posljedicama nastale povrede i preduzetim mjerama zaštite...

M-tel: Svakodnevno uspješno sprečavamo kompromitaciju sistema i podataka

Iz kompanije su zahvalili novinarki jer “kao kompanija kojoj je sajber bezbjednost u fokusu poslovanja, vjerujemo da je od vitalnog značaja da svi privredni subjekti, regulatorna tijela, mediji i ukupna javnost imaju svijest o važnosti preventivnih mjera, adekvatnih alata i konkretnih aktivnosti koje se sprovode u ovoj oblasti”.

“Živimo u društvu u kojem su sajber prijetnje svakodnevica. Kompanija M-tel sprovodi adekvatne procedure, procese i napredna tehnološka rješenja koja su sposobna da odgovore i najvećim izazovima sajber bezbjednosti. Sve navedeno obezbjeđuje da se zaštite informacioni sistemi i omoguće kontinuitet pružanja usluga i bezbjednost podataka”, odgovorili su.

Naveli su da je u redovnim aktivnostima koje kompanija sprovodi u saradnji sa firmom PULSEC, obezbijeđena puna funkcionalnost informacionih sistema, kontinuitet u pružanju elektronskih komunikacionih usluga, bezbjednost ličnih podataka korisnika i drugih podataka kojima Društvo raspolaže.

“Procesi i sistemi koji su implementirani u kompaniji M-tel obezbjeđuju uspješno rješavanje sofisticiranih sajber prijetnji koje mogu da budu upućene iz bilo kojeg dijela svijeta. U skladu sa iskustvom, znanjem i rješenjima koje primjenjujemo, pripremili smo paket usluga koje možemo da ponudimo crnogorskom društvu, u cilju obezbjeđivanja adekvatne zaštite sistema i poslovanja. Izazove u sajber svijetu uspješno rješavamo svakodnevno, kako bismo spriječili sajber incidente koji bi doveli do kompromitacije podataka ili sistema. Izrazito smo zadovoljni što je postavljen regulatorni okvir na visokom nivou i uspostavljen rad Agencije za sajber bezbjednost, koja predstavlja ključnu tačku u razmjeni informacija za sajber zaštitu”, poručili su iz te kompanije.