Sajber rizici u radu organizacija civilnog društva
Organizacije civilnog društva svakodnevno rade sa ljudima kojima su podrška, poverenje i bezbednost od presudnog značaja. Bilo da pružate psihološku ili pravnu pomoć, radite sa izbeglicama i migrantima, LGBTQIA+ zajednicom, osobama sa invaliditetom, ženama koje su preživele nasilje ili drugim društveno osetljivim grupama, vaša organizacija čuva mnogo više od dokumenata i tabela. Čuva poverljive informacije i poverenje ljudi koji su vam se obratili, često u nekom od najtežih trenutaka svog života.
Znam da većina vas nema vremena, budžet ni tim koji bi se bavio isključivo sajber bezbednošću. Radite sa onim što imate, često na brzinu, između rokova. To je realnost civilnog sektora u Srbiji i nije tema ovog teksta da vam sudi zbog toga. Tema je da vam pokaže gde su najveći rizici i šta možete da uradite već sada, bez obzira na veličinu tima ili budžet.
Zato digitalna bezbednost nije tema rezervisana samo za velike kompanije. Naprotiv, organizacije civilnog društva su posebno privlačna meta za sajber napade, upravo zbog prirode podataka koje obrađuju i ograničenih resursa kojima raspolažu.
Ako vaša organizacija prima donacije putem interneta, vodi evidenciju korisnika i korisnica programa, obrađuje osetljive lične podatke ili koristi digitalne alate za komunikaciju, upravljanje projektima i koordinaciju volontera, internet bezbednost je sastavni deo odgovornog rada. Posledice sajber napada nisu samo tehnički problem. Mogu dovesti do curenja poverljivih podataka, prekida rada organizacije, gubitka poverenja donatora, partnera i zajednice, ali i do ozbiljnih pravnih posledica zbog neadekvatne zaštite podataka o ličnosti.
U nastavku donosim najvažnije rizike i preporuke koje svaka organizacija civilnog društva može da primeni.
Zašto su organizacije civilnog društva česta meta sajber napada?
Mnoge organizacije smatraju da nisu interesantne hakerima jer nisu velike kompanije niti ostvaruju profit. Sajber kriminalce, međutim, ne zanima čime se bavite. Zanima ih pristup podacima, nalozima i finansijskim informacijama, a organizacije civilnog društva tim podacima raspolažu mnogo više nego što se obično misli.
U praksi, većina organizacija civilnog društva svakodnevno prima donacije putem interneta, čuva baze donatora, partnera, korisnika i volontera sa ličnim podacima, obrađuje posebno osetljive informacije o korisnicima programa, uključujući zdravstvene, socijalne ili pravne podatke, koristi Google Workspace, Google Drive, Dropbox ili druge cloud servise za čuvanje projektne dokumentacije, upravlja profilima na društvenim mrežama koje često koristi više osoba i pritom nema zaposlenu osobu zaduženu za IT i bezbednost.
Tome se pridružuje još jedan problem koji je veoma čest u domaćem civilnom sektoru. Mali tim od četiri ili pet ljudi često koristi isti službeni imejl nalog na više računara i telefona, deli lozinke putem Vibera ili mejla i pristupa organizacionim dokumentima sa privatnih uređaja. Kako većina organizacija nema budžet za odvojene poslovne telefone i računare, isti uređaj se koristi i za posao i za privatne potrebe.
To znači da se na jednom telefonu ili računaru mogu naći poverljivi podaci korisnika programa, finansijska dokumentacija, pristup donatorskim platformama, privatni nalozi zaposlenih i pristup društvenim mrežama organizacije. Bez jasnih pravila digitalne higijene i upravljanja uređajima, dovoljno je da jedan uređaj bude kompromitovan pa da napadač dobije pristup velikom delu poslovanja organizacije. U takvim situacijama anonimnost korisnika i korisnica, kao i poverljivost njihovih podataka, više nisu zagarantovane.
Ovde treba da budemo iskreni jedni prema drugima. Ako radite sa osetljivim podacima, izbor alata koje koristite nije neutralna, tehnička odluka. Besplatna platforma koja prikuplja i dalje deli podatke korisnika, servis koji nema jasnu politiku privatnosti ili alat koji čuva podatke na serverima van vaše kontrole, nisu bezbedan izbor za rad sa ljudima koji su vam poverili svoju priču. Isto važi i za aplikacije za komunikaciju koje ne nude enkripciju, i za sve alate gde ne znate tačno gde vaši podaci zapravo završavaju. Praktičnost ne sme biti jedini kriterijum kada je u pitanju bezbednost ljudi kojima pomažete.
Posebno su izložene organizacije koje pružaju psihološku, pravnu ili neku drugu vrstu savetodavne podrške, jer upravo one raspolažu podacima čije bi objavljivanje moglo ozbiljno ugroziti bezbednost i privatnost ljudi kojima pružaju pomoć. Dodatni izazov predstavlja i to što veliki broj organizacija u Srbiji koristi Google Drive kao centralno mesto za čuvanje kompletne dokumentacije. Jedan kompromitovan Google nalog često znači pristup ugovorima, bazama korisnika, finansijskoj dokumentaciji, projektima i internoj komunikaciji cele organizacije.
Najčešći rizici za organizacije civilnog društva
Kompromitovanje imejl naloga
Većina napada danas počinje upravo preko imejla. Ako napadač preuzme pristup službenom nalogu, može da čita internu komunikaciju, šalje lažne poruke partnerima i donatorima, menja lozinke na drugim servisima ili pristupi svim dokumentima povezanim sa tim nalogom.
Curenje podataka
Najveća vrednost organizacije često nisu računari ili oprema, već informacije koje čuva – podaci korisnika programa, evidencije o pruženoj podršci, baze donatora, finansijska dokumentacija. Posledice curenja nisu samo reputacione. Organizacija može imati i zakonske obaveze u skladu sa propisima o zaštiti podataka o ličnosti, a izgubljeno poverenje zajednice mnogo je teže vratiti nego izgubljene fajlove.
Prevara lažnim imejlovima
Jedan od najopasnijih napada danas jeste lažno predstavljanje zaposlenih ili rukovodstva organizacije. Napadač pošalje poruku koja izgleda kao da dolazi od izvršne direktorke, predsednika udruženja ili finansijske koordinatorke i traži hitnu uplatu, promenu broja računa ili slanje poverljive dokumentacije. Zbog pritiska i osećaja hitnosti, zaposleni često ne stignu da provere da li je zahtev zaista autentičan.
Napadi preko ucena
Kod ove vrste napada svi dokumenti organizacije bivaju zaključani, a napadači traže novac da bi ponovo omogućili pristup. To mogu biti baze korisnika, projektna dokumentacija, grantovi, finansijski izveštaji ili podaci o pruženim uslugama. Organizacije sa malim timovima i bez rezervnih kopija podataka često nemaju način da nastave sa radom dok se problem ne reši.
Zloupotreba društvenih mreža i donatorskih platformi
Ako neko preuzme pristup vašim Facebook, Instagram ili LinkedIn profilima ili platformama za prikupljanje donacija, može objavljivati lažne informacije, slati prevare u ime organizacije ili preusmeravati donacije na druge račune. Takve situacije direktno narušavaju poverenje javnosti.
Kompromitovanje internet stranice
Neažurirani WordPress sajtovi i zastareli dodaci predstavljaju čestu ulaznu tačku za napadače. Posledice mogu biti ubacivanje zlonamernog sadržaja, preusmeravanje posetilaca na druge stranice, infekcija uređaja posetilaca ili potpuno obaranje sajta.
Koraci koje svaka organizacija može da primeni
Dobra vest je da unapređenje digitalne bezbednosti ne mora da zahteva veliki budžet. Već nekoliko osnovnih koraka značajno smanjuje rizik.
Koristite menadžer lozinki. Lozinke više ne bi trebalo deliti putem imejla, Vibera ili u Excel tabelama – menadžeri lozinki omogućavaju kreiranje jakih lozinki i bezbedno deljenje pristupa članovima i članicama tima.
Uključite dvofaktorsku autentifikaciju svuda gde je moguće – na imejlu, Google nalogu, društvenim mrežama, donatorskim platformama i drugim servisima koje koristite.
Redovno pravite rezervne kopije podataka, i to odvojeno od glavnog sistema, kako bi organizacija mogla da nastavi sa radom čak i nakon sajber incidenta.
Izbegavajte deljenje zajedničkih naloga kad god je to moguće. Kada svaka osoba ima sopstveni nalog, zna se ko ima pristup kojim podacima, a pristup se lako ukida kada neko napusti organizaciju.
Preispitajte alate koje koristite. Pre nego što unesete podatke korisnika u novu platformu ili aplikaciju, proverite ko stoji iza nje, gde se podaci čuvaju i da li postoji jasna politika privatnosti. Ako ne možete da odgovorite na ta pitanja, to je znak da alat verovatno nije pravi izbor za rad sa osetljivim podacima.
Ulažite u digitalnu pismenost zaposlenih i volontera. Najbolji bezbednosni alati neće mnogo pomoći ako ljudi ne prepoznaju pokušaj prevare.
Redovno ažurirajte uređaje i aplikacije. Automatska ažuriranja zatvaraju bezbednosne propuste koje napadači najčešće koriste.
Ako vam sve ovo deluje kao dosta posla za tim koji nema IT podršku, u pravu ste, i tu vam mogu pomoći. Radim sa organizacijama civilnog društva na proceni digitalne bezbednosti, obukama za zaposlene i volontere i praktičnim rešenjima prilagođenim malim timovima. Znam da su budžeti organizacija ograničeni i da se sredstva teško raspoređuju, ali kada je u pitanju zaštita podataka ljudi koji vam veruju, to nije stavka na kojoj treba štedeti. Ulaganje u digitalnu bezbednost je ulaganje u ljude kojima služite, i toplo vam preporučujem da za to odvojite deo budžeta, čak i kada je mali.
Poverenje je jedan od najvažnijih resursa vaše organizacije
Ljudi se obraćaju organizacijama civilnog društva jer veruju da će njihovi podaci, njihove priče i njihova privatnost biti zaštićeni. Jedan kompromitovan nalog ili jedno curenje podataka može narušiti poverenje koje se gradilo godinama. Zato sajber bezbednost nije samo tehničko pitanje. Ona je sastavni deo odgovornog rada, zaštite ljudskih prava i očuvanja integriteta organizacije. Ne postoji jedno rešenje koje će vas zaštititi od svih pretnji – najefikasniji pristup jeste kombinovanje više nivoa zaštite.
Ovo je prvi tekst u okviru rubrike NV(O)nline. U narednim tekstovima bavićemo se konkretnim izazovima sa kojima se organizacije civilnog društva svakodnevno susreću, od bezbednog korišćenja Google Drive-a i zaštite email naloga, preko upravljanja podacima o korisnicima, do digitalne higijene i odgovorne upotrebe veštačke inteligencije.
Autorka: Tamara Stamenković
