Kur sulmi nuk vjen me armë, por me klikime: A është Shqipëria gati për “luftën” kibernetike të së ardhmes?

Nga Eni Muça- Në korrik të vitit 2022, Shqipëria u përball me një nga sulmet më të mëdha kibernetike në historinë e saj: faqja e-Albania dhe sistemet digjitale shtetërore u goditën rëndë, duke paralizuar shërbimet për qytetarët. Asokohe, sulmet u lidhën me grupime iraniane dhe shërbyen si një këmbanë alarmi për nivelin real të sigurisë kibernetike në vend. Por duket se kërcënimi nuk ka kaluar. Rasti më i fundit, hakerimi i faqes së Bashkisë së Tiranës  është një tjetër sinjal i qartë se Shqipëria mbetet një objektiv i lehtë. Në një epokë ku teknologjia është thelbi i funksionimit institucional dhe i shërbimeve publike, pyetja që ngrihet natyrshëm është: Sa gati jemi për t’u mbrojtur në këtë fushë lufte të re?

Për të hedhur dritë mbi situatën aktuale dhe sfidat që na presin, Business Magazine bisedoi me Edlira Martirin, eksperte e sigurisë kibernetike dhe bashkëthemeluese e kompanisë Cybermorfosis.

1. Sa e ekspozuar është Shqipëria përballë rreziqeve dhe sulmeve kibernetike? Si e komentoni sulmin e hakerave iranianë mbi faqen e Bashkisë së Tiranës?
Shqipëria është shumë më e pambrojtur seç jemi gati ta pranojmë publikisht. Ndërkohë që vendet demokratike ndërtojnë sisteme mbi baza të standarteve dhe kontrolleve teknike me integritet dhe transparence, ne kemi ndërtuar një kulturë ku rënia e një sistemi thjesht “riparohet” dhe çështja mbyllet, pa kuptuar se çfarë informacioni u prek, u kopjua, u fshi apo u instrumentalizua. Pra duhet kuptuar, se rreziku nuk vjen vetëm nga jashtë, ai vjen edhe nga mënyra si ne vetë e trajtojmë sigurinë. Sulmet si ai ndaj infrastrukturës së Bashkisë së Tiranës nuk janë vetëm incidente teknike, por tregues të qartë të një dobësie strukturore në mënyrën si ne i ruajmë, i menaxhojmë dhe i auditojme sistemet tona. Kjo duhet të na shërbejë si një alarm për të kaluar nga qasjet reaktive që ne kemi aktualisht, pra, ra sulmi, duhet të riparojmë dëmin, në ndërtimin e një kulture të qëndrueshme të sigurisë dhe përgjegjësisë që arrin të parandalojë rreziqet e identifikuara.
2. Cili sektor është më i synuari? Sektori publik, privat, bankat? Pse? Çfarë synojnë: ekspozim të dhënash, vjedhje llogarish, informacion të klasifikuar, tjetër?
Sektori publik është më i synuari për nga vëllimi dhe karakteri i të dhënave që mban, qe nga bazat e të dhënave të qytetarëve, e deri tek informacioni që ka vlerë strategjike. Këto sulme janë gjithnjë e më shumë pjesë e një arsenali të luftës hibride, ku sulmuesit nuk kërkojnë thjesht kredenciale apo pagesa për ransomëare, ata kërkojnë të ndërtojnë një narrativë, p.sh që një shtet apo biznes është i pambrojtur, i korruptuar, ose i dobët për të menaxhuar rrjetin, pajisjet, programet, dhe informacionin e vet. Gjithashtu, sektori publik është më i synuari sepse është më kompleks dhe ende i dobët, jo thjesht teknikisht, por në mënyrën si organizohet, si financohet, dhe sidomos si mbron veten. Ai nuk ka mjaftueshëm mekanizma llogaridhënieje, gjë që për sulmuesit, të brendshëm apo të jashtëm qofshin, është një avantazh i pastër.
Në lidhje me synimet, sulmuesit sot kanë disa të tilla: së pari, përfitimin financiar përmes rryshfetit, mashtrimeve apo shitjes së të dhënave; së dyti, aksesin në sisteme, të dhëna, llogari përdoruesish, dhe së treti, sabotimin e proceseve kritike, që nga ndërprerja e shërbimeve deri te manipulimi i të dhënave, me synimin për të shkaktuar çrregullim, kaos dhe presion ndaj objektivit. Shpesh, sulmi nuk është qëllimi, është formë për të krijuar dyshim dhe për të pasur kontroll, si dhe për të krijuar të vërteta të tjera.

Lexo edhe: Shqipëria nis një proces investimesh për mbrojtjen kibernetike
3. A ka Shqipëria një strategji të qartë për t’iu përgjigjur këtyre sulmeve/rreziqeve? A është AI një ndihmë për t’u mbrojtur apo një mjet që paralajmëron një epokë të re kërcënimesh?
Më vjen mirë që ka hapa të dukshëm përpara, sidomos në rritjen e kapaciteteve, proceseve teknike dhe ligjeve e rregulloreve të përafruara me ato të BE. Shqipëria ka nje strategji në implementim e siper, por mendoj se duhet ende ekspertizë për ta mbajtur të përditësuar dhe funksionale. Duhet që të ndërtohen procese konkrete zbatuese dhe audituese, në mënyrë që të gjithë kontrollet teknike në legjislacion, të përkthehen në përmirësime po konkrete në sistemet, infrastrukturat, kodet burimore të softuerëve tanë. Siguria nuk është si industritë e tjera, apo si domenet e tjera. Ekspertiza e fushës e di mirë këtë, që nëse kam në sistem një hallkë vulnerabël, e gjithë siguria do varet nga ajo hallkë, gjë që tregon se kujdesi jonë për posturën kibernetike duhet të jetë një qasje 360 gradë brenda cdo organizate.

Sa i përket AI, jemi në një pikë ku këto algoritme nuk mund të trajtohen më si teknologji neutrale, Inteligjenca Artificiale duhet të qeveriset, auditohet dhe vlerësohet për të parë ndikimin real në sigurinë dhe privatësinë e qytetarëve, por për këtë mendoj se nuk kemi të gjithë kapacitetet e mjaftueshme. Kjo vjen se nuk e kemi kuptuar si duhet AI, jemi thjesht përdorues të platformave dhe GPT të gatshme, por të ndërtosh, mësosh, testosh realisht këto algoritme me të dhënat e tua, duhet një kujdes i shtuar, pasi mund të krijohen risqe të natyrave nga më të ndryshmet. Nëse nuk kemi kontroll mbi sistemet tona, AI nuk do na shpëtojë, do na ekspozojë më shpejt. Në përfundim, do doja të shtoja që ne duhet të marrim shembull nga praktikat më të mira evropiane, jo vetëm për mënyrën si ndërtojnë teknologjinë dhe zbatojnë ligjin, por edhe për kujdesin që tregojnë ndaj çdo komponenti: nga hardueri dhe softueri, te ofruesit që u besojnë sistemet e tyre (third parties). Duhet të jemi gjithashtu transparentë dhe koherentë në vendimmarrje, të rishohim se si e komunikojmë të vërtetën në publik, në mënyrë që përmirësimet të vijnë natyrshëm, siguria të shtohet në të gjithë sektorët dhe niveli i besimit të përdoruesve të rritet.

Sulmet kibernetike nuk janë më çështje teknike që i përkasin vetëm IT-së. Ato janë çështje shtetërore, ekonomike, shoqërore dhe gjithnjë e më shumë, politike. Informacioni është pushtet, ndaj Shqipëria duhet të zgjohet, jo vetëm për të reaguar pas sulmit, por për të parandaluar, mbrojtur dhe siguruar të ardhmen digjitale të qytetarëve të saj.