ЦИВИЛ Медиа се обрати со три прашања поврзани со шпионската афера што ја тресе земјата до истакнати експерти и јавни интелектуалци. На прашањата одговори проф. д-р Александар Иванов, истакнат експерт во областа на безбедноста, аналитичар и колумнист.
За разлика од дневно-политичките наративи со кои се релативизира случајот, проф. Иванов во своите одговори нуди детална институционална и правна анатомија на безбедносните протоколи на НАТО. Тој јасно предупредува на феноменот на „внатрешна закана“ (insider threats) и потенцира дека малите држави во сложени геополитички околности немаат луксуз за импровизации кои можат трајно да го нарушат меѓународниот кредибилитет на земјата.
ЦИВИЛ МЕДИА: Како земја членка на НАТО, какви безбедносни стандарди мора да се применат при ангажирање на ИТ-администраторите кои имаат пристап до мрежите во највисоките државни институции, како што е Кабинетот на Претседателот и Врховен командант на армијата?
АЛЕКСАНДАР ИВАНОВ: Во институции од највисок државен ранг, ИТ-администраторот не е „обичен технички профил“, туку лице со потенцијално привилегиран пристап до инфраструктурата преку која се создаваат, обработуваат, пренесуваат или чуваат чувствителни и класифицирани информации. Затоа неговиот ангажман мора да се третира како прашање на национална безбедност, а не само како кадровско или техничко прашање.
Првата основа е националниот систем за заштита на класифицирани информации, изграден како дел од евроатлантската интеграција уште пред членството во НАТО. Законот за класифицирани информации од 2004 година, а потоа новиот Закон за класифицирани информации од 2019 година, ја поставуваат рамката за класификација, пристап, ракување, размена и заштита на класифицирани информации. Од законот произлегуваат подзаконски акти за административна, физичка, персонална, индустриска и информатичка безбедност, со што се опфаќа целиот циклус на заштита – од човекот, преку документот и просторот, до информацискиот систем.
Втората основа е принципот „потребно е да знае“ (need to know). Дури и кога едно лице има безбедносен сертификат, тоа не значи дека има општо право на пристап до сите класифицирани информации. Пристапот мора да биде ограничен според службената потреба, конкретната функција, нивото на класификација и овластувањето. Овој принцип е особено важен за ИТ-администраторите, затоа што нивните технички привилегии може да бидат пошироки од формалната содржина на нивните работни задачи.
Третата основа е безбедносната проверка и континуираната проверливост. За лица кои имаат пристап до системи во кои се обработуваат класифицирани информации мора да постои соодветен безбедносен сертификат, завршена обука за ракување со класифицирани информации, јасна евиденција на овластувања, како и периодично преоценување на ризикот. Кај администраторски профили не е доволно само формално исполнување услови; потребни се и дополнителни контроли на привилегиран пристап, логирање, принцип на најмала привилегија, поделба на должности, двојна контрола за критични операции и редовна ревизија на активностите.
Четвртата основа е усогласувањето со НАТО-културата на безбедност. Членството во НАТО не значи само политичка припадност кон Алијансата, туку и обврска за доверливо, дисциплинирано и стандардизирано постапување со класифицираните информации, вклучително и со информации добиени од сојузници. Ако системот на една земја дозволи лица со висок технички пристап да бидат недоволно проверени, недоволно контролирани или без јасна одговорност, тогаш ризикот не е само национален, туку и сојузнички.
Во конкретен институционален контекст, Кабинетот на Претседателот и Врховен командант на армијата е структура во која природно се појавуваат информации од највисоко ниво на чувствителност – државна тајна и други степени на класификација. Оттука, ИТ-персоналот кој има пристап до системите мора да биде предмет на најстроги персонални, технички и организациски контроли. Клучниот аргумент е дека ИТ-администраторот можеби формално не е корисник на одредена класифицирана содржина, но поради природата на администраторските овластувања може да има техничка можност да ја види, копира, пренасочи, избрише или прикрие трагата за пристап. Токму затоа безбедносните стандарди за ваквите позиции мора да бидат повисоки од стандардите за обични корисници.
Заклучно, за ваков тип позиции мора да важи строга комбинација од: безбедносен сертификат, принцип „потребно е да знае“, минимални привилегии, континуирано логирање и мониторинг, поделба на должности, редовни безбедносни ревизии, обука и јасна командна/правна одговорност. Во спротивно, институцијата станува ранлива не само на надворешен сајбер-напад, туку и на внатрешна злоупотреба на доверениот пристап.
ЦИВИЛ МЕДИА: Доколку во една државна институција од ваков ранг се појават сомневања за копирање и енкриптирање податоци со цел нивно предавање на трета (странска) страна, колку е ранлив нашиот систем на т.н. внатрешни закани (insider threats) и кои се првите чекори што контраразузнавањето мора да ги преземе?
АЛЕКСАНДАР ИВАНОВ: Внатрешната закана е една од најтешките форми на безбедносен ризик, затоа што доаѓа од лице кое веќе има доверба, овластување, физички или логички пристап и познавање на системот. Кај класичен надворешен напад системот се брани од неовластен пристап; кај внатрешна закана проблемот е што пристапот често започнува како овластен, но се злоупотребува за неовластена цел.
Нашиот систем е формално поставен преку Законот за класифицирани информации, подзаконските акти и институционалната улога на Дирекцијата за безбедност на класифицирани информации. Меѓутоа, реалната отпорност не зависи само од постоењето на прописи, туку од нивната доследна примена: дали привилегираните пристапи се евидентираат, дали логовите се заштитени од бришење, дали постои независна контрола врз администраторите, дали се прават редовни проверки, дали се применува анализа на аномалии и дали има брза координација меѓу институцијата, контраразузнавачките структури, јавниот обвинител и дигиталната форензика.
Ако постои сомневање дека податоци се копирани, енкриптирани или подготвени за предавање на странска страна, првиот чекор е итно ограничување на ризикот без уништување на доказите. Тоа значи контролирано суспендирање или ограничување на пристапите, зачувување на системската состојба, изолација на релевантните уреди и кориснички профили, забрана за неовластено интервенирање во системите и активирање на внатрешните и надворешните безбедносни процедури.
Вториот чекор е обезбедување на дигитални докази според форензички стандарди. Треба да се обезбедат компјутери, службени телефони, преносни медиуми, серверски логови, VPN записи, записи од системи за управување со идентитет и пристап, е-пошта, cloud-пристапи, записи од firewall, DLP/EDR алатки и други релевантни извори. Клучно е да се воспостави синџир на чување на доказите (chain of custody), за да може доказите подоцна да бидат употребливи во кривична постапка.
Третиот чекор е контраразузнавачка проценка: дали станува збор за индивидуална злоупотреба, за поттик од странска разузнавачка структура, за компромитација преку уцена, финансиски мотив, идеолошка мотивација, невнимание или комбинација од повеќе фактори. Контраразузнавањето мора да утврди и дали постои поширока мрежа, дали се компромитирани други лица, дали се користени посредници и дали веќе има истекување кон странски субјект.
Четвртиот чекор е кривично-процесно постапување. Во зависност од фактичката состојба, намерата, последиците и видот на информациите, може да дојдат предвид кривични дела од областа на делата против државата, како што се шпионажа, оддавање државна тајна, саботажа или диверзија, но и дела поврзани со неовластен пристап, злоупотреба на службена положба или компјутерски криминал, зависно од конкретните факти. Државните органи мора да постапуваат преку јавниот обвинител и судот, со почитување на Законот за кривичната постапка.
Петтиот чекор е проценка на штета и сојузничко известување, доколку има можност да се засегнати НАТО или други странски класифицирани информации. Во таков случај не е доволно само домашно дисциплинско или кривично постапување; потребна е и институционална проценка на компромитацијата, ограничување на последиците, промена на лозинки/криптографски материјали, ревизија на пристапите и, кога е потребно, координација со сојузничките канали.
Во однос на посебните истражни мерки, тие можат да бидат релевантни кога постојат законски услови и кога доказите не можат да се обезбедат на друг начин. Во рамките на Законот за кривичната постапка, ваквите мерки се предлагаат од јавниот обвинител и се одобруваат со судска наредба, при што мора да се почитуваат законитоста, пропорционалноста и временските ограничувања. Во ваков тип сомневања, особено значајни може да бидат мерките поврзани со електронски комуникации, таен увид и пребарување во компјутерски систем и други законски дозволени дејствија, но секогаш во рамките на судска контрола.
Ранливоста од внатрешни закани се намалува само ако државата ја комбинира правната рамка со реална оперативна дисциплина: претходна проверка на лица, континуирана контрола на привилегиран пристап, техничко логирање, независна ревизија, култура на безбедност и брза реакција при сомнеж. Ако било кој од овие елементи недостига, системот може формално да изгледа усогласен, но практично да биде изложен.
ЦИВИЛ МЕДИА: Во ситуација кога има сомнеж за дигитален упад или шпионажа, дали ненавременото одземање на уредите и одложувањето на дигиталната форензика може трајно да ги уништат доказите (логови, VPN записи) и како тоа влијае врз кредибилитетот на државата пред сојузниците?
АЛЕКСАНДАР ИВАНОВ: Да. Кај дигиталните докази времето е пресудно. За разлика од класичните материјални докази, дигиталните траги се динамични, лесно променливи и често временски ограничени. Логовите може да се ротираат или автоматски да се избришат, VPN записите може да се чуваат краток период, cloud-системите може да презапишат активности, а уредите може да бидат далечински избришани, криптирани или физички оштетени. Затоа секое одложување ја намалува можноста да се утврди што точно се случило, кој пристапил, од каде, кога и со каква намера.
Во вакви случаи приоритет не е само „одземање уреди“, туку правилно и законито обезбедување на целата дигитална слика: работни станици, сервери, мобилни уреди, администраторски профили, резервни копии, мрежни записи, VPN логови, евиденции за пристап, системи за автентикација и надворешни комуникациски канали. Ако се реагира непрофесионално, може да се направи двојна штета: да се изгубат доказите и истовремено да се компромитира нивната доказна вредност во постапка.
Одложената форензика може да има и контраразузнавачка цена. Додека институциите чекаат, потенцијалниот сторител или надворешниот налогодавач може да ги избрише трагите, да ги предупреди соработниците, да продолжи со ексфилтрација или да активира дополнителни канали. Во случаи поврзани со класифицирани информации, брзината не е прашање на административна ефикасност, туку дел од заштитата на националната безбедност.
Прашањето за кредибилитетот пред сојузниците е подеднакво важно. Довербата во НАТО и во билатералната безбедносна соработка се гради врз претпоставка дека секоја земја членка е способна да ги заштити заедничките информации и да реагира брзо, професионално и транспарентно во рамките на дозволеното. Ако една држава создаде впечаток дека бавно реагира, дека доказите не се обезбедуваат навреме или дека институционалните процедури се подложни на политички, кадровски или организациски импровизации, тоа може да ја намали довербата во нејзиниот капацитет за чување чувствителни информации.
Малите држави, особено во сложени геополитички околности, немаат луксуз да ја релативизираат примената на правилата. Токму доследноста во процедурите е нивна најсилна заштита. Кога постојат различни интереси, притисоци и обиди за влијание, малите држави мора да покажат дека институционалниот систем функционира независно од дневната политика и дека секој сомнеж за компромитација на класифицирани информации се третира сериозно, брзо и професионално.
Затоа, ненавременото обезбедување на уредите и одложената дигитална форензика можат трајно да ја намалат доказната вредност, да ја отежнат кривичната и контраразузнавачката анализа и да испратат лош сигнал до сојузниците. Во областа на класифицираните информации довербата тешко се стекнува, а многу лесно се губи; затоа брзата, законита и професионална реакција е истовремено правна, безбедносна и дипломатска обврска.
Уредник: Џабир Дерала
Редакциска белешка: Во продолжение на своите одговори што ги достави по писмен пат, проф. Иванов приложи и листа на користени референтни извори за правна и институционална рамка.
- Дирекција за безбедност на класифицирани информации, „Законски акти“ – Закон за класифицирани информации („Службен весник на РСМ“ бр. 275/2019) и претходниот Закон од 2004 година.
- Дирекција за безбедност на класифицирани информации, „Подзаконски акти“ – уредби за административна, физичка, персонална, индустриска и информатичка безбедност.
- Дирекција за безбедност на класифицирани информации, „Безбедносни сертификати“ – услови, безбедносен прашалник и обука за ракување со класифицирани информации.
- Закон за кривичната постапка – одредби за посебни истражни мерки, вклучително член 252.
- Кривичен законик – релевантни кривични дела против државата и поврзани дела, зависно од конкретната фактичка состојба.
- ДБКИ, „За нас“ – историјат на националниот безбедносен авторитет и развојот на системот за заштита на класифицирани информации во контекст на НАТО и ЕУ интеграцијата.
Поддршка за ЦИВИЛ
