Kroz njegov intervju na temu Podrške bezbednosti na internetu, Direktor tehnologije i
informativnih usluga aplikacije Rakuten Viber Lijad Šnel (Liad Shnell) razmatra koliko su
platforme za razmenu poruka postale izuzetno važne u uslovima kriza i sukoba. Šnel objašnjava
načine na koje to utiče na prioritete sajber-bezbednosti – od enkripcije i sprečavanja
zloupotreba do reakcija na incidente i zaštitu korisnika.
Uz to, objašnjava kako Viber procenjuje i umanjuje rizike koji spajaju tehničke pretnje sa
ljudskim ponašanjem.
Platforme za razmenu poruka sve više figuriraju kao infrastruktura od presudne važnosti
u uslovima kriza i sukoba. Na koji način takvo sagledavanje stvarnosti utiče na to kako
Viber vrši prioritizaciju ulaganja u bezbednost i procenu scenarija pojave rizika?
“U slučaju izbijanja ratnih sukoba, prirodnih nepogoda ili blokade komunikacijskih sistema od strane
državnih službi, aplikacije za razmenu poruka ne predstavljaju samo podršku važnoj infrastrukturi – već
one to same i postaju. Kako stotine miliona ljudi ukazuju svoje poverenje Rakuten Viberu, bezbednosne
odluke se transformišu iz teorijskog rizika u stvarnu odgovornost. Ljudi koriste Viber kako bi proverili jesu
li njihovi voljeni živi I zdravi, primili važna obaveštenja, koordinirali pružanje pomoći, izveštavali o
zloupotrebama i ponekad osigurali sopstveni opstanak u narednih sat vremena. Takva stvarnost nas
primorava da posmatramo dostupnost, integritet i sprečavanje zloupotreba kao parametre koji direktno
utiču na život – a ne tehničke abstrakcije.
To su razlozi zbog kojih ih – uz poverljivost podataka – smatramo za osnovne bezbednosne ciljeve.
Pratimo pojave preuzimanja korisničkih naloga, zloupotrebu identiteta korisnika i visoko-frekventni
društveni inžinjering kao visokouticajne bezbednosne incidente sa posledicama na živote ljudi. Zbog toga
ugrađujemo bezbednosne kontrole direktno u funkcionalne procese naših proizvoda i infrastrukturu –
umesto da ih nadograđujemo posle incidentnih pojava.
Automatizacija i momentalno otkrivanje incidenata su od izuzetne važnosti u tim slučajevima, pošto
manualni procesi ne mogu da pruže potrebna rešenja na nivou tako velikih kriznih situacija. Kada
korisnici zavise od vaše platforme, bezbednost prestaje da bude trošak – već ključni sadržaj vaše
društvene odgovornosti.”
Potpuna enkripcija (s-kraja-na-kraj) se često spominje kao binarna opcija koja se “pali ili
gasi”. Koji su najzahtevniji izazovi kada se razmatra snažna enkripcija, sprečavanje
zloupotreba i zaštićenost platforme?
“Enkripcija s-kraja-na-kraj je programerski aktivirana kao standard u Rakuten Viberu još od
verzije 6.0, bez potrebe da to čini sam korisnik. Ovo automatski nameće teško pitanje: kako se
boriti protiv izrabljivanja dece, koordinacije terorističkih aktivnosti ili velike prevare kada sadržaj
poruka biva automatski nedostupan? Snažna enkripcija ne eliminiše rizike. Preuzimanje
korisničkih naloga, zloupotreba identiteta korisnika i koordinirano spamovanje će i dalje biti
pretnje od značajnog uticaja čak i kada sadržaj biva zaštićen. Još jedna tačka tenzije je
zaštićenost platforme, jer sistemi u kojima je primenjena enkripcija i dalje moraju da podržavaju
povraćaj podataka, promene uređaja i softverska ažuriranja bez narušavanja korisničkog
poverenja.
Glavni tok upravljanja aplikacijom i čuvanja podataka su veoma osetljive tačke u kojima se
bezbednost i korisnost sudaraju. U kriznim situacijama, uljezi koriste frikciju i konfuziiju – dok
korisnici očekuju momentalnu jasnoću i operativnu pouzdanost. Bavljenje ovim podrazumeva
uvođenje više nivoa zaštite baziranih na korisničkim običajima, metadata paternima, prijavama
korisnika i kontekstu na nivou celokupne platforme. Značajno ulažemo u sprečavanje takvih
pojava, ograničenje frekvencije, signalizaciju identiteta i mogućnosti brzog reagovanja koji
bivaju aktivirani u potpunosti van procesa razmena poruka.
Veštačka inteligencija sve više podržava te zaštitne slojeve, omogućavajući nam da
prepoznamo zlonamerne aktivnosti brže i na širem planu – bez ugrožavanja enkripcije ili
privatnosti. Potpuna enkripcija nije smer kretanja, već osnova koja zahteva stalno bavljenje
njome u skladu sa nivoima rizika. Samim time, naša odgovornost je da obezbedimo privatnost
platforme, kao i njenu bezbednost i zaštićenost na globalnom nivou.”
Aplikacije za razmenu poruka sve češće postaju prva linija fronta u borbi protiv prevara,
“dip-fejk” simulacija i društvenog inžinjeringa. Kako razlikujete problem iz domena
sajber-bezbednosti od onog koji potiče iz korisničkih navika kada konstruišete
mehanizme odbrane?
“Rakuten Viber ne posmatra prevare i društveni inžinjering isključivo kao tehničke ili ljudske
problem. Oni su pozicionirani između njih – gde propusti u sajber-bezbednosti najčešće utiču na
sisteme, a društveni inžinjering na ljude. Zbog toga moderne pretnje i napadi namerno
kombinuju obe vrste negativnih uticaja. Prevare korišćenjem “Dip-fejk” simulacija, zloupotreba
korisničkog identiteta i opšte prevare često bivaju uspešne ne zbog probijenog sistema sajber-
zaštite već zato što vešto manipulišu korisničkim poverenjem i užurbanošću. To znači da izazov
nije isključivo u izboru između tehnologije i korisničkih navika – već stvaranju zaštite koja se
istovremeno bavi obema temama.
Kako bismo u tom smislu bili efikasni, fokusiramo se na izgradnji sistema koji korisnike upućuju
za bezbednije ponašanje a da im pritom bezbednost ne predstavlja opterećenje. Ovo
podrazumeva obaveštenja kada vas nepoznata osoba kontaktira, ili nadalje kada bivate pozvani
da se priključite grupi od strane nepoznatog naloga. Korisnicima je takođe data mogućnost
ograničavanja ko sve može da ih doda u grupe, time umanjivši izloženost tim pokušajima kao
standard umesto da bivaju na stalnom oprezu.
Ovi vidovi kontrole su priređeni tako da stvaraju pravi nivo frikcije u pravom trenutku – a da
pritom ne preplave korisnike upozorenjima. Veštačka inteligencija nam pomaže da dinamično
prilagođavamo ove vrste zaštite razvoju taktike napadača – bez uvida u sadržaj poruka.
Kvalitetan dizajn bezbednosnih funkcija uzima u obzir korisničke navike i ponašanje umesto da
pretpostavlja savršeno procenjivanje. Cilj je da stvorimo platform koja sama absorbuje
kompleksnost – umesto da se time bave naši korisnici.”
Kako isprobavate planove za reakciju na incidente koji – umesto krađe podataka – sadrže
dezinformacije, zloupotrebu identiteta korisnika ili koordinirane operacije negativnog
uticaja?
“Pristupamo reakciji na incidente za operacije od uticaja na znatno drugačiji način od
uobičajenih slučaja provala u datoteke. Klacični modeli reagovanja na incidente usredsređeni su
na “ograničavanje, ispitivanje i ispravljanje” – ali operacije od uticaja zahtevaju potpuno drugačiji
pravilnik.
Relevantna scenarija sadrže ugrožavanje naloga putem širenja koordiniranih narativa, "dip-fejk"
simulacije medijskog sadržaja koji postaje viralan u grupnim prepiskama i imitacija zvaničnih
kanala tokom vanrednih situacija. U ovim slučajevima, primarni rizik nije gubitak podataka već
urušavanje poverenja u nizu i šteta koja nastaje u realnim životnim okolnostima. Efektivne stres-
test probe moraju da budu fokusirane na brzinu odgovora i donošenje odluka u nejasnim
situacijama – ne samo na tehničko ograničavanje širenja.
Uz to, enkriptovane platforme poput naše moraju da ograniče svoju primećenost u osnovnom
dizajnu i testiraju primećivanje malicioznih aktivnosti bez istraživanja sadržaja poruka korisnika.
Signali tipova ponašanja, paterni umrežavanja i metrika brzine tada postaju informacije od
centralne važnosti. Veštačka inteligencija igra ključnu ulogu u prepoznavanju koordiniranog
ponašanja na određenom nivou i razlikovanja organskog viralnog širenja sadržaja od veštačke
amplifikacije. Automatizacija bi trebala da ima ulogu prvostepenog odgovora, a ljudi da budu
fokusirani na prosuđivanje, eskalaciju i komunikaciju. Ovaj model je presudan u ograničavanju
opsega štetnog dejstva i očuvanja bezbednog i pouzdanog korisničkog iskustva na najširoj
osnovi.”
Koja metrika je zapravo važna kada se prosuđuje bezbednost globalne platforme za
razmenu poruka, i koja često spominjana metrika zapravo ume da zavara?
“Najvažnija bezbednosna metrika za Viber je ona koja odslikava štetu načinjenu korisnicima – a
ne internu aktivnost. Zbog toga pomno pratimo opseg štetnog dejstva – i to: koliko korisnika je
bilo izloženo pre nego što su aktivnosti umanjenja štete i kontrole situacije proradile? Učestalost
preuzimanja naloga, uspešni pokušaji krađe identiteta i ponavljanje štetnih dejstava nam mnogo
više otkrivaju od sirovih podataka širine napada. Metrika zaštite od zloupotrebe – poput one
koja nam otkriva koliko brzo prevare, spam ili koordinirane štetne kampanje gube svoju
efektivnost bivaju od presudnog značaja na globalnom nivou.
Lažni pozitivni saobraćaj je takođe važan, jer preterano blokiranje dovodi do erozije poverenje
kao što previše retko blokiranje omogućava nanošenje štete. Još jedan ključni signal je
primetljivost oporavka, što ukazuje na to koliko bezbedno i brzo korisnici bivaju u stanju da
povrate pristup pre nego što se pojave novi kanali kroz koje se izvode napadi na sistem.
Ono što ume da zavara je broj blokiranih poruka ili napada – jer je to u suštini izraz digitalne
sujete. Velike brojke možda ne znače ništa više od toga da napadači češće pokušavaju da
načine štetu, a ne da su time korisnici bezbedniji. Spisak elemenata kojima se testira
usklađenost sistema rezultati ispitivanja propusnica su nužni u tom procesu, ali nam premalo
otkrivaju na temu istinske otpornosti.
Pouzdana metrika bezbednosti meri rezultate koji važe za korisnike, a ne aktivnost prikazana na
statističkim ekranima. Na širem planu, uspešnost bezbednosnog dejstvovanja definiše se
stepenom umanjenja štete, očuvanog poverenja i brzinom reakcije pod pritiskom – a ne
izveštajima koji izgledaju savršeno.”