“Šum” u zajednici cyber security stručnjaka

Cyber sigurnost je u posljednjoj deceniji postala jedno od najbrže rastućih polja. Sa sve većim brojem digitalnih usluga, cloud rješenja i oslanjanja na online komunikaciju, potrebe za stručnjacima nikada nisu bile veće. Organizacije – od malih nevladinih udruženja, preko malih i srednjih poduzeća, pa do državnih institucija – traže rješenja za zaštitu svojih podataka i infrastrukture.

Nažalost, uz ovaj rast došao je i problem koji često ostaje neizgovoren: “šum” u zajednici cyber security stručnjaka.

Fenomen samoproglašenih stručnjaka

Cyber sigurnost je “in”. To je tema koja se pojavljuje u medijima, na konferencijama, pa čak i u političkim diskusijama. Privlači pažnju jer nosi sa sobom dozu ozbiljnosti i osjećaj da je riječ o nečemu urgentnom i važnom. Upravo zbog toga, nije rijetkost da osobe koje imaju tek djelomičnu poveznicu sa IT sektorom sebe predstavljaju kao eksperte u ovoj oblasti.

Primjeri su brojni: administrator servera koji se predstavi kao stručnjak za sigurnost mreža, developer koji sebe brendira kao eksperta za sigurnost aplikacija, ili čak menadžer IT projekata koji bez praktičnog iskustva počne nuditi “konsultantske usluge” iz cyber sigurnosti. Nije rijetkost ni da se osobe iz potpuno nepovezanih struka uključe i predstave kao dio cyber sigurnosne zajednice, oslanjajući se više na opću popularnost teme nego na vlastito znanje. Svjesni smo širine oblasti koje cyber sigurnost pokriva – od tehničkih do pravnih i organizacionih aspekata – ali je ipak neophodno imati elementarno iskustvo i ekspertizu u “core” domenima kako bi se neko mogao legitimno smatrati stručnjakom.

Dobre namjere, put ka...

Situacija postaje još problematičnija kada međunarodne organizacije i strani donatori, u potrazi za lokalnim partnerima, angažiraju upravo ovakve samoproglašene stručnjake. Motiv je razumljiv – donatori žele brzo djelovati, ne ulaziti duboko u provjeru i smatrati da su pronašli “lokalni kapacitet”. Ali rezultat je suprotan od očekivanog.

Dodjelom projekata osobama bez stvarne ekspertize, stvara se vještački kredibilitet. Jedan angažman otvara vrata drugom, a onda i trećem. Na kraju, osoba koja nije imala ni temeljno razumijevanje cyber sigurnosti postaje “prepoznati stručnjak” u očima institucija, dok zajednica i korisnici dobijaju projekte bez stvarnog učinka.

Posljedice na kvalitet i zajednicu

Takva praksa ima nekoliko direktnih posljedica:

1. Loši rezultati projekata – mjere se aktivnostima, a ne ishodima. Umjesto podizanja kapaciteta ili stvarne zaštite, projekti se svode na radionice bez dubine i dokumente bez praktične primjene.

2. Marginalizacija stvarnih stručnjaka – eksperti sa iskustvom i znanjem često ne dolaze do izražaja jer su manje vidljivi u “hype-u” samopromocije.

3. Gubitak povjerenja – institucije i korisnici nakon nekoliko loših iskustava razvijaju skepticizam prema samom konceptu cyber sigurnosti i projektima koji ga prate.

4. Slabljenje lokalne zajednice – umjesto gradnje održivih kapaciteta, stvara se generacija “papirnih stručnjaka” čiji je utjecaj zasnovan na projektima, a ne na stvarnom znanju.

   
   
   
   

Zašto je ovo posebno opasno u cyber sigurnosti

Cyber sigurnost se ne može svesti na teoriju ili PowerPoint prezentacije. To je oblast u kojoj jedna pogrešna odluka može značiti kompromitovane podatke, blokiranu uslugu, pa čak i nacionalnu sigurnosnu prijetnju. Za razliku od nekih drugih sektora, gdje površnost možda može proći nezapaženo, u cyber sigurnosti posljedice se brzo osjete i mogu biti veoma skupe.

Lažna ekspertiza nije samo problem “imidža” – ona je direktna prijetnja sigurnosti sistema i korisnika.

Šta je rješenje?

Nema brzog i jednostavnog odgovora, ali postoje jasni koraci:

• Standardizacija obrazovanja i certifikacija – organizacije bi trebale tražiti relevantne međunarodne certifikate (npr. CISSP, CISM, OSCP) ili obrazovanje na temu cyber sigurnosti, uz oprez da certifikat sam po sebi nije garancija znanja, ali jeste minimalna ulaznica.

• Transparentna evaluacija – donatori i institucije moraju ulagati u provjeru stvarnih kompetencija i iskustva osoba koje angažuju. Reference se moraju provjeravati, a rezultati prethodnih angažmana moraju biti jasno mjerljivi.

• Podrška zajednici eksperata – umjesto da se angažuju pojedinci ad hoc, potrebno je jačati organizacije i centre sa jasnom misijom, infrastrukturom i timskim kapacitetima.

• Odgovornost donatora – međunarodne organizacije imaju obavezu prema lokalnoj zajednici da resurse usmjere tamo gdje će donijeti najveću korist, a ne tamo gdje je “najlakše angažovati”.

Zaključak

“Šum” u zajednici cyber security stručnjaka nije bezazlen fenomen. On urušava povjerenje, slabi kvalitet projekata i onemogućava prave stručnjake da donesu stvarnu promjenu.

Vrijeme je da kao zajednica prepoznamo ovaj problem, da ga jasno imenujemo i da počnemo graditi standarde i prakse koje će valorizirati stvarnu ekspertizu. Samo tako ćemo osigurati da cyber sigurnost u Bosni i Hercegovini – i šire – bude više od modne riječi i postane stvarna zaštita u digitalnom prostoru.