Južnokorejski regulatori upravo su otkrili toplu vodu: kad ti podatke ukradu iz banke, narediš provjeru

Pročitaj to još jednom. Ne trebaš nikakav kontekst, nikakav Bloomberg, nikakav izvještaj od pedeset stranica. Suština je tu, gola i neugodna kao račun u restoranu nakon što si već platio kreditnom karticom koja je jučer procurila: država je otkrila da su financijske institucije izgubile osobne podatke građana, pa je naredila — provjeru. I izvještaj. I to brzo, molim lijepo, prije nego što se sjetimo da smo mogli to tražiti i prije nego što je itko izgubio ijedan bajt.

To je kao da ti provalnik iznese stan, a ti onda pozoveš sastanak u zgradi i kažeš: "Molim sve stanare da do kraja tjedna dostave procjenu vlastite sigurnosne situacije." Provalnik je već na drugom kraju grada, prodaje tvoju televiziju, a ti još pišeš zapisnik.

Nije stvar u Koreji. Korea je samo najnoviji primjer onoga što cijela planeta radi već petnaest godina, a što smo svi pristali zvati "kibernetičkom sigurnošću" zato što zvuči ozbiljnije od "organiziranog nemara s proračunom". Jer ono što se stvarno dogodilo nije napad. Napad je bio samo posljednji korak. Ono što se dogodilo je da je netko, negdje, u nekoj banci, odobrio pristup, propustio zakrpu, ignorirao upozorenje, potpisao izuzeće, odgodio migraciju "za sljedeći kvartal" — i onda se čudio kad je sve otišlo. To nije sigurnosni incident. To je arheološki nalaz. Iskopali smo slojeve odgađanja i na dnu našli tuđe matične brojeve.

I sad će biti provjera. I izvještaji. I komisije. I preporuke. I rok od trideset dana za hitne mjere koje su trebale biti implementirane 2019. godine, kad je prvi put netko u nekom odboru rekao "možda bismo trebali". Nitko nije slušao jer je tada bilo važnije lansirati mobilnu aplikaciju s ljepšim sučeljem, a ne trošiti novac na nešto što se ne vidi na godišnjoj konferenciji za investitore.

Ovdje je zanimljivo nešto drugo, nešto što se ponavlja toliko dosljedno da bi trebalo biti predmet ozbiljnog psihijatrijskog istraživanja: institucije ne provjeravaju sigurnost dok ih netko ne opljačka. Nikad obrnuto. Nikad preventivno. Uvijek reaktivno. Uvijek nakon. To je kao da vatrogasna brigada ne postoji dok ne izgori prva kuća, a onda se svi čude zašto gori dalje.

Ako pitaš bilo kojeg inženjera koji je proveo ijedan dan u produkcijskom okruženju, reći će ti isto: prava sigurnost je dosadna. Dosadna kao održavanje. Dosadna kao plaćanje osiguranja. Dosadna kao backup koji nikad ne koristiš. Nitko ne dobiva bonus za katastrofu koja se nije dogodila. Nitko ne piše press release: "Naša banka danas nije izgubila podatke, zahvaljujući petogodišnjem strpljivom radu tima od četiri čovjeka koje nitko ne zna po imenu." Ne. Nagrada ide onome koji ugasi požar, ne onome koji je spriječio da izbije. Zato požari i izbijaju.

Korejski regulatori sada traže da institucije "hitno dovrše interne sigurnosne inspekcije i izvijeste tijela vlasti". To je, u prijevodu, priznanje da nitko ne zna što se stvarno dogodilo, koliko je podataka otišlo, kome je otišlo i što će se s tim podacima dogoditi sljedećih deset godina. Jer podaci ne nestaju. Podaci se skladište. Prodaju. Recyčliraju. Koriste za phishing koji će izgledati vjerodostojno jer sadrži tvoje ime, tvoj broj računa, ime tvoje banke i tvoje zadnje tri transakcije. To nije šteta koja se zatvori u jednom fiskalnom tromjesečju. To je hipoteka na tuđu budućnost, i nitko je neće otplaćivati.

Ono što je najgorče u cijeloj priči nije ni broj pogođenih, ni iznos štete, ni imena institucija. Najgorče je što je ovaj obrazac toliko predvidljiv da bi trebao biti u udžbenicima. Napadne se sektor. Sektor prizna. Regulator naredi provjeru. Provjera pokaže da je problem bio poznat godinama. Nekoliko ljudi dobije otkaz ili premještaj, ovisno o tome koliko su visoko na ljestvici. Zatim se sve smiri. Zatim se ponovi u drugom sektoru. Zatim se vratimo na prvi, jer su ljudi otišli, procedure su se opustile, a novi menadžer ne zna što je stari znao, ili je znao pa šutio.

To se zove institucionalna demencija. Nije uvreda, to je dijagnoza. Organizacija pamti dok je ljudi koji pamte, a onda zaboravi, jer pamćenje nije nikad bilo u sustavu nego u glavama, a glave odlaze na bolje plaćene pozicije u konkurenciji koja je jučer također izgubila podatke.

Ako postoji ijedan zaključak koji se iz ovoga može izvući bez da zvuči kao PowerPoint prezentacija, onda je to ovaj: sve dok je sigurnost trošak, a ne uvjet poslovanja, ovakve vijesti ćemo čitati svakih nekoliko mjeseci, s različitim zastavama, istim scenarijem, i sve manje iznenađenja. Jer nitko nikad ne naredi provjeru prije nego što podaci odu. Provjera je uvijek popis onoga što je već bilo pokradeno, samo napisan ljepšim rukopisom i s rokom dostave.

Koreja je samo poslala dopis. Dopis koji će netko pročitati, potpisati, proslijediti, arhivirati, i zaboraviti do sljedećeg incidenta.

Izvor: bloomberg.com