Ne postoji mnogo karijernih stepenica koje je Marijana Bačić preskočila na putu do članice Uprave Hrvatskog Telekoma i glavne operativne direktorice za poslovne korisnike. U dvadesetak godina u najvećem hrvatskom telekomu prošla je niz pozicija, ali je vjerojatno najveći trag ostavila upravo na ovoj sadašnjoj. U toj ulozi nadležna je za cijeli ekosustav koji HT i njegova ICT kompanija Combis nude tvrtkama - od podatkovnih centara i cloud usluga do kibernetičke sigurnosti. S Marijanom Bačić razgovarali smo o tome zašto hakeri napadaju male obrtnike jednako intenzivno kao i banke, kako je umjetna inteligencija promijenila igru na obje strane fronte, zašto Hrvatska ima potencijal postati ozbiljan digitalni čvor u Europi, što bi neki budući ICT stručnjaci već sada trebali početi učiti…
Koje su danas najveće prijetnje na hrvatskom tržištu kada govorimo o kibernetičkoj sigurnosti?
Prije svega to je spoznaja da veličina tvrtke uopće više ne određuje hoćete li biti meta. Dapače, iznenadili biste se kolikom upornošću i "žestinom" napadaju male. Danas je sve povezano. Mali dobavljač, knjigovođa, serviser, svi oni imaju pristup sustavima svojih većih partnera. Napadač to zna i često ne ide ravno na veliku metu, nego traži otvorena vrata. Zato educirati male tvrtke nije više njihova privatna stvar, nego zaštita svih nas u tom lancu.
Druga stvar je brzina. Napretkom alata koji se temelje na umjetnoj inteligenciji danas je vrlo lako pokrenuti kompleksan atak kao i napraviti iznimno personaliziran napad koji cilja pojedinca - phishing poruku koja zvuči kao da je piše netko tko vas poznaje. Ako kompanija nema nikakav nadzor, bez sigurnosno-operativnog centra ili barem nekog oblika monitoringa i detekcije, napadač može ući u sustav, i u nešto više od sat vremena doći do vaših podataka a da itko primijeti, i onda u jednom trenutku sve enkriptirati. Sve staje. Samo za ilustraciju, prije samo godinu dana tom istom napadaču trebalo bi i do četiri puta više vremena za istu stvar. O takvoj brzini promjena govorimo.
Europska unija prepoznala je taj problem kroz direktivu NIS2, koju smo u Hrvatskoj usvojili kroz Zakon o kibernetičkoj sigurnosti, a za financijske institucije tu je i DORA (Uredba o digitalnoj operativnoj otpornosti). Ali usklađivanje s regulativom je minimum, stvarni razlog za ulaganje u sigurnost je vlastita zaštita.
Mala poduzeća često navode da nemaju resurse za takvu zaštitu, a mnogi smatraju da nitko neće dirati baš njih.
Godinama sam u ICT biznisu, a Combis sam neko vrijeme operativno vodila izbliza, pa sam i previše puta vidjela što se dogodi tvrtki koju napad zatekne nespremnu. Zastoj koji traje danima, podaci kojih više nema, klijenti koji gube povjerenje. Šteta od jednog ozbiljnog incidenta gotovo uvijek bude veća od cijele investicije u zaštitu koju je trebalo posložiti na vrijeme. Zato kad mi netko kaže "nas neće dirati", odgovorim da pitanje nije hoće li, nego hoćete li tada biti spremni.
A ta zaštita više nije luksuz za velike. Potrudili smo se da bude dostupna i manjim tvrtkama, bez velike kapitalne investicije. Za razumnu pretplatu mala tvrtka danas može imati pristup sigurnosno-operativnom centru (SOC), virtualnom CISO-u - to je naša usluga temeljena na AI-ju, koju smo prvi uveli na razini Deutsche Telekom grupe, dakle ne samo u Hrvatskoj, nego u deset zemalja grupe - zatim backupu, zaštiti podataka, podatkovnom centru. Dakle, cijeli niz usluga za koje bi inače trebalo zaposliti cijeli tim stručnjaka.
Uz to radimo na edukaciji: kroz naš program T Business akademiju, organiziramo webinare, dolazimo u regije upravo zato da tvrtkama pokažemo koliko su zapravo nezaštićene, koje im opasnosti prijete i kako ih prevenirati. Kad vide konkretne brojke, razmišljanje se brzo promijeni.
Možete li podijeliti neke brojke?
Naravno, te brojke pratim svakodnevno. Naš sigurnosno-operativni centar, koji se nalazi ovdje u zgradi, u nešto manje od dvije godine zabilježio je više od četiri i pol tisuće sumnjivih radnji i to samo na bazi klijenata koje mi štitimo, a trenutačno je to 185 organizacija. Od toga su 83 napada bila potencijalno vrlo ozbiljna. U godinu dana broj tvrtki i organizacija pod našom zaštitom narastao je 130 posto. Na razini endpointa, dakle računala i ostalih uređaja, s 30 tisuća prošle godine došli smo na 65 tisuća.
I tu opet dolazimo do brzine promjena koju sam već spomenula. Čisto za ilustraciju, prije pet godina u Combisu smo nazvali portfelj usluga kibernetičke sigurnosti "30SEC" jer se napad u svijetu tada prosječno događao svakih trideset sekundi. Danas se događa svake dvije sekunde.
Jedan primjer koji često navodim: klijent kojeg štitimo imao je sigurnosni incident koji smo riješili za 19 minuta. Od trenutka kad smo uočili sumnjivo ponašanje do potpune neutralizacije prijetnje. U isto vrijeme, kompanija koja nije koristila naše usluge doživjela je napad u subotu ujutro. U ponedjeljak se dogodila potpuna enkripcija sustava i nitko ništa nije mogao raditi. Na žalost, oporavak je trajao iznimno dugo.
Što biste preporučili kao prvi korak tvrtki koja nikad nije ozbiljno razmišljala o kibernetičkoj sigurnosti?
Da krenu od temelja, da ne kažem nule. I velike kompanije kojima smo pomogli se iznenade koliko važnih koraka preskoče. Počnite s jakim lozinkama i višefaktorskom autentifikacijom - zvuči trivijalno, ali je i dalje jedna od najvećih rupa u obrani. Zatim uspostavite sustavan monitoring, program detekcije koji je nadzor i koji može primijetiti anomaliju. I na kraju, dvije povezane i neraskidive poveznice - educirajte i trenirajte svoje ljude, do te mjere da postane i pomalo "paranoično".
I drugo, imajte jasan i razrađen plan za sve scenarije: što ako napad uspije? Kako osigurati kontinuitet poslovanja? Sve to treba bit uspostavljeno, raspisano i komunicirano jer u suprotnom posljedice mogu biti jako skupe - poslovno, financijski, ali i reputacijski.
Svijest o opasnostima je porasla i to je pohvalno. Ali samo svjesnost nije dovoljna. Treba se truditi biti uvijek korak ispred i sa zaštitom koja je stalno "upaljena".
Koliko je AI promijenio horizont kibernetičke sigurnosti, na strani napada i na strani obrane?
Puno, jako puno - i to u oba smjera. Napadači koriste AI za brzo nalaženje ranjivosti i za ogromne i organizirane napade, kao i personalizirane phishing poruke koje je gotovo nemoguće razlučiti od legitimnih poruka. Ali i mi koji štitimo sustave koristimo moderne alate: AI nam omogućuje da obrađujemo mnogo veće količine podataka, da radimo prediktivnu analitiku, da smo spremniji i da brže odgovaramo na prijetnje.
Naš sustav prvo nauči što je za svaku tvrtku normalno ponašanje. Onda lovi odstupanja. Spajanje s VPN-a u 3 ujutro iz zemlje u kojoj nemate nijednog zaposlenika sustav vidi prije nego što ijedan analitičar stigne pogledati ekran. To je prvi trigger. Nakon toga uvijek dolazi čovjek i to se ne smije zaboraviti.
Čovjek je u središtu svega, i na strani napada i na strani obrane. Bez vrhunskih stručnjaka nema ni vrhunske zaštite, bez obzira na alate. Ali bez AI-jem podržanih alata danas jednostavno nije moguće adekvatno braniti korisnika - količina podataka i brzina događaja premašuju ono što bi ikoji tim stručnjaka mogao pratiti ručno.
Edukacijom i znanjem do prevencije?
Drugačije niti ne može. Interno, više od 50 posto naših zaposlenika prošlo je neku vrstu edukacije o umjetnoj inteligenciji. Razvili smo i program "AI ti to možeš" namijenjen široj javnosti, a kroz T Business akademiju educiramo male i srednje poduzetnike o konkretnoj primjeni AI-ja - u svakodnevnom poslovanju i specifično u kontekstu kibernetičke sigurnosti.
Na tržištu je danas mnogo raznoraznih edukacijskih AI programa. Ali jesu li baš svi oni stvarno vrijedni?
Točno znam na što mislite, mnogi od tih programa samo su formalni, da tvrtka može reći da je "prošla AI edukaciju" i dobila papir. A to je opasna zabluda. Certifikat sam po sebi ne znači ništa ako znanje nije primjenjivo u konkretnom procesu.
Ono što stvarno mijenja situaciju je apsorpcija alata u svakodnevni rad. Mi interno radimo upravo na tom usvajanju s konkretnim ciljevima: bolje korisničko iskustvo, automatizacija procesa, veća poslovna učinkovitost. Samo poznavanje alata, bez primjene, ne donosi nikakvu vrijednost.
Dat ću vam primjer. Radili smo u Combisu s Đuro Đaković Grupacijom - teška industrija, obrana, transport. I nismo im "uveli Copilot" i otišli. Učili smo ljude kako da im AI bude alat u svakodnevnom poslu puno prije nego što smo im dali alat. Rezultat su uštede veće od sat vremena dnevno po čovjeku. To je razlika između papira i stvarne primjene.
Kako podatkovna infrastruktura prati eksponencijalni rast količine podataka?
Količina podatkovnog prometa u mreži raste stopom između 20, 30 pa i više posto godišnje, a ona će se još ubrzati. Podatkovni centri postaju sve kritičnija infrastruktura koja će dobivati još više na važnosti u kontekstu digitalnog ekosustava koji će se temeljiti na razvoju AI-ja.
Mi u HT-u imamo pet podatkovnih centara - dva u Zagrebu te po jedan u Varaždinu, Rijeci i Splitu. Ono što mi znamo i koristimo u našim data centrima jest da takav centar treba biti visoko dostupan, energetski učinkovit, skalabilan i siguran. To su načela kojih se držimo. Koristimo u potpunosti obnovljivu energiju, što je danas jako važno s obzirom na količinu potrebne energije.
Time govorimo o široj infrastrukturnoj priči i cijelom ekosustavu: podatkovni centar, cloud tehnologija, telekomunikacijska povezivost koja vas dovodi do tih centara i kibernetička sigurnost koja sve to štiti. Jedan element ne ide bez drugog. Mi smo u poziciji da nudimo sve četiri komponente zajedno, što je naša ključna prednost.
Gradimo i novi podatkovni centar jer razumijemo da će se Data centri puniti mnogo brže nego do sada. Ali naša strategija nije samo kolokacija opreme, iznajmljivanje prostora za serverske ormare, nego uslužni model kojim klijentu nudimo end-to-end odgovornost: povezivost, smještaj, migraciju, održavanje i sigurnost kao jedinstveno rješenje.
U kontekstu zaštite podataka mnogo se priča o konceptu digitalnog suvereniteta. Koliko je ta tema važna poslovnim korisnicima?
Jako važna, osobito za regulirane industrije. Neke su kompanije regulatorno obvezne čuvati podatke unutar granica zemlje, ali čak i one koje to nisu suočavaju se s pitanjem: gdje su moji podaci i tko do njih može doći? Regulativa EU daje jednu razinu zaštite, američka nudi drugu logiku. Čak bih se usudila reći da je suverenitet na neki način postao i proizvod.
U Deutsche Telekomu smo tako, na primjer, nedavno s tvrtkom Palo Alto Networks predstavili koncept upravljane kibernetičke obrane kod koje svi podaci ostaju i obrađuju se isključivo u Europi i to je jedinstveno na tržištu. Mi takvu vrstu usluge isporučujemo kroz SOC za naše korisnike.
Ipak, mislim da ćemo u bliskoj budućnosti vidjeti sve više hibridnog clouda: neke podatke tvrtke drže lokalno iz razloga dostupnosti, regulacije ili sigurnosti, a istovremeno koriste globalne cloud platforme za pristup najnaprednijim alatima. Tehnologiju je teško zaustaviti na "graničnom prijelazu" i to je upravo smjer kojim idemo.
Kada govorimo o digitalizaciji Hrvatske, konkretno u javnom sektoru, idemo li dovoljno brzo?
Hrvatska na dvije brzine, to je formulacija koju često koristimo. I to nije fraza, brojke je potvrđuju. Veliki sustavi i ICT su u cloudu na razini većoj od 80 posto, a prosjek tržišta je na 47. Kod AI-ja je jaz još veći. Koristi ga oko 15 posto gospodarstva, a među malim tvrtkama samo 12. Taj se jaz ne smanjuje, nego širi.
S druge strane, javni sektor još ima prostora za napredak koji svi mi kao građani primjećujemo,od gradova do državnih institucija, administrativne usluge mogu i trebaju biti brže i dostupnije.
Ali postoji i šira slika. Naš geostrateški položaj, telekomunikacijska infrastruktura koja je stvarno izvrsna. Pritom je HT-ova mobilna mreža u rangu najboljih u Europi, a s optičkom smo pokrili milijun kućanstava i poslovnih korisnika. Posljednjih nekoliko godina upravo je u gradnji optičke mreža napravljen veliki iskorak na nacionalnoj razini. Rast pokrivenosti optikom u Hrvatskoj bio je brži od prosjeka EU, a HT je zaslužan za 60 posto tog rasta.
Također, kad se uzme u obzir i ICT ekspertiza koja postoji ovdje, sve to čini Hrvatsku potencijalnim ozbiljnim digitalnim čvorom za cijelu regiju.
HT i Combis su postali Centar izvrsnosti za kibernetičku sigurnost cijele Deutsche Telekom grupe. Što to konkretno znači u praksi?
Znači da naš sigurnosno-operativni centar ne štiti samo hrvatske klijente, on pokriva i korisnike u Crnoj Gori, Sjevernoj Makedoniji, Grčkoj, Slovačkoj. Sve što se dogodi u Njemačkoj, Poljskoj ili Grčkoj, mi ovdje adresiramo gotovo u realnom vremenu. Zovemo to kolektivnim imunitetom, imamo pregled nad prijetnjama u cijeloj Deutsche Telekom mreži od četrnaest zemalja, što nam daje informacijsku prednost kakvu lokalni igrači jednostavno ne mogu imati.
Osim za kibernetičku sigurnost, centar smo izvrsnosti i za Smart City usluge i sve više za cloud. Godišnje dobivamo nagrade najvećih cloud providera, što govori u kojoj mjeri smo dio te globalne industrije. Do kraja godine planiramo najaviti i novosti u AI dijelu portfelja.
Ono što možda nije dovoljno poznato javnosti, a poslovni korisnici to znaju, jest da ne postoji veći projekt u Hrvatskoj u ICT ili telekomunikacijskom segmentu u kojemu nismo sudjelovali s barem nekom od naših usluga. Možda najbolji primjer je projekt Rijeka Gateway: inovativna implementacija 5G-a za javnu luku, za koji smo dobili i priznanje Europske komisije kao jedan od najinovativnijih projekata. Partneri koji globalno rade projekte s najvećim svjetskim lukama, u Los Angelesu ili u Hamburgu, rekli su nam da ni s jednom kompanijom u svijetu nisu tako surađivali i da nisu mogli vjerovati da se nešto takvo implementira ovdje.
Što će u sljedećih pet godina najviše obilježiti vaše poslovanje?
Umjetna inteligencija, ali ne kao buzzword, nego kao tehnologija koja će zaista zaživjeti u konkretnim poslovnim procesima. Mi je već sad pozicioniramo upravo tako: ne prodajemo AI kao apstrakciju, nego kao rješenje konkretnih poslovnih problema koji vode k većoj učinkovitosti i boljem korisničkom iskustvu.
No AI ne može funkcionirati u vakuumu. Preduvjet za sve to je ekosustav: brza povezivost, skalabilni podatkovni centri, cloud i kibernetička sigurnost koji sve to čuvaju. AI aplikacije u realnom vremenu generiraju goleme količine podataka, AI modeli se treniraju u podatkovnim centrima, a sva ta infrastruktura mora biti sigurna. Mi smo taj ekosustav gradili pet godina i zato smo danas lider u području i možemo odgovoriti na najsloženije korisničke zahtjeve.
Kada se osvrnete na vašu karijeru, dvadeset plus godina u HT-u, mnogo pozicija, mnogo projekata. Što vas je najviše oblikovalo kao poslovnu osobu?
Ono što me najviše obilježilo i još uvijek me obilježava jest spajanje telekomunikacijskog i ICT biznisa. Počela sam raditi na tom modelu prije više godina, kad je ideja da telekom operater postane i ozbiljan ICT igrač još bila donekle nekonvencionalna. Posljednju godinu vodila sam Combis i istovremeno bila u Upravi HT-a. Rijetko tko dobije takav uvid. Istog dana gledate i oblikujete operativu velike ICT tvrtke i strategiju cijele Grupe. Danas je to što smo tada gradili naš core biznis, a u velikom dijelu industrije to je još uvijek daleka vizija.
Ono što me najviše pokreće su projekti koje radimo s korisnicima. U posljednje vrijeme najviše se govori o 5G projektima. Spomenuti Rijeka Gateway s dan-danas jedinstvenim modelom network slicinga u Europi, prvi pametni 5G aerodromi na kojima radimo.
Tu su i kontinuirani projekti iz kibernetičke sigurnosti. Sve kompleksniji i međunarodni. Jedan takav upravo je krenuo. S Telekomom Slovenije povezali smo jedanaest bolnica iz Hrvatske i Slovenije u EU projekt ShieldHealthAdria čiji je cilj zajednička obrana zdravstvenog sustava. Kompleksnost projekata raste, ali mi smo ih, stvarno to mogu reći, dočekali spremni. Imamo vrhunske ljude koji znaju što rade, prepoznati su izvan granica Hrvatske.
Mladi koji sada završavaju srednju školu pitaju se isplati li se uopće ići u, recimo, programiranje kad AI prijeti da će zamijeniti junior pozicije. Što biste im preporučili?
Mi kao organizacija čvrsto vjerujemo, a i ja osobno, da će povezivost, cloud, kibernetička sigurnost samo nastaviti dobivati na značaju, ne gubiti ga. A taj ekosustav obuhvaća niz IT specijalnosti i ekspertiza.
Mladi će tehnologije usvajati brže nego itko drugi i primjenjivati ih na načine koje mi danas ne možemo predvidjeti. AI neće zamijeniti ljude koji razumiju kako se taj ekosustav gradi, održava i štiti - naprotiv, trebat će ih više. Pitanje nije hoće li programiranje nestati, nego u kojim područjima će biti najpotrebnije. A za to se ne treba posebno brinuti: infrastruktura, sigurnost i podaci su industrije koje ostaju.
Za sudjelovanje u komentarima je potrebna prijava, odnosno registracija ako još nemaš korisnički profil....