На форуму GDF 2026 у Москви имао сам прилику да упознам проф. др Сергеја Клевогина, руског стручњака за информациону безбедност и рачунарске мреже, дугогодишњег предавача Баумановог образовног центра “Специјалист” при Московском државном техничком универзитету “Бауман”. Посебно је посвећен образовању стручњака за сајбер-безбедност, са нагласком на практичну обуку у области етичког хаковања. У претходном тексту о нашем сусрету писао сам о његовом искуству у сајбер безбедности. Овога пута наш разговор настављамо кроз интервју у којем пажњу посвећујемо образовању за етичко хаковање, односно припреми стручњака који користе знања и методе хакера како би откривали рањивости и унапређивали безбедност рачунарских система. Разговарамо о значају практичних вежби, платформама као што су Hack The Box и Standoff365, улози вештачке интелигенције у сајбернападима и одбрани, али и могућностима повезивања студената и младих стручњака из Русије и Србије. Интервју отвара и једно важно образовно питање: да ли ће будући стручњаци за сајбер-безбедност бити вредновани првенствено према дипломама или према стварним знањима и практичним вештинама које могу да покажу?

1. Када сте први пут схватили да желите да се бавите информационом безбедношћу?

– То је заиста важно питање. Млади стручњак, упознајући свет, стиче много утисака о различитим областима делатности. Својевремено су ме занимале најразличитије области, сасвим сам могао да постанем спортиста, музичар или еколог. Али човек не постаје професионалац у једном тренутку, за то је потребно направити много корака који воде ка успеху, а први кораци пружају могућност да се стекне представа о путу који предстоји. Код мене се тако догодило да сам, радећи као ИТ инжењер и инструктор образовног центра „Специјалист“, почео да се развијам у правцу заштите ИТ инфраструктуре. А узбуђење током припреме за сертификационе испите и осећај победе након њиховог успешног полагања учврстили су ме у уверењу да је информациона безбедност оно чиме вреди да се бавим.

2. Може ли се данас рећи да живимо у свету у којем је сајбербезбедност постала подједнако важна као физичка безбедност?

– Може. Сајбернапади на системе који обезбеђују основне услове за живот толико су реални да су чак нашли одраз у изазовима на платформи Hack The Box, где су се појавиле области посвећене хаковању ICS система (Industrial Control Systems), односно индустријских управљачких система. Критична инфраструктура у потпуности зависи од информационих технологија. Саобраћај, водоснабдевање, финансије, здравство, комуникације, па чак и енергетика не могу нормално да функционишу без заштићених дигиталних система. И руски захтеви који се односе на критичну информациону инфраструктуру (КИИ) већ третирају сајбер-ризик као ризик по безбедност живота и свакодневног функционисања, а не као ИТ проблем. При томе је очигледно да се природа претњи и њихов темпо разликују. Физичке претње су релативно стабилне и локализоване, док се сајберпретње брзо мењају и шире. И економија безбедности је другачија: у сајберпростору напад је јефтинији од одбране. Али то не чини сајбер-безбедност мање важном.

3. Када бисте морали у једној реченици да објасните младој особи или представнику пословног света шта је данас сајбербезбедност, шта бисте рекли?

– Не бих говорио исту реченицу младој особи и представнику пословног света. Младој особи бих рекао да је сајбербезбедност у томе да јој неко не украде налог у компјутерској игри. А представнику пословног света рекао бих да је то заштита прихода, пословних процеса и репутације, са резултатом који се може изразити бројкама и планом деловања у случају инцидента.

4. Ако и нападачи и стручњаци за заштиту користе исту вештачку интелигенцију, ко ће имати предност?

– Ако бисмо питање поставили без вештачке интелигенције, онда браниоци побеђују. На основу таласа вести о успешним хаковањима може се стећи утисак да нападачи побеђују, али ако погледамо иза тих таласа, видећемо мирно море са мноштвом порука: „Инциденти нису допуштени“. Вештачка интелигенција не мења фундаменталну асиметрију у сајбербезбедности, већ само повећава брзину и размере деловања обе стране. Браниоци побеђују зато што контролишу исправке и архитектуру; нападачи побеђују зато што им је довољно да пробију само једну тачку и зато што се специјализују за системе који се не могу поправити.

5. Може ли вештачка интелигенција једног дана самостално да изводи сајбернапад или сајберодбрану без непосредног учешћа човека? Ако може, какве ризике то ствара?

– То се већ догађа. Нећу указивати на вести о стварно спроведеним кампањама, већ ћу рећи да је раније хаковање машина и решавање изазова на платформи Hack The Box захтевало неколико сати. То се могло видети у статистици машине или изазова. Сада, међутим, хаковање једноставних система траје неколико минута. Учешће човека овде се своди само на то да АИ агенту укаже на рањиви систем. Основни ризик овде представља колапс временског прозора за реаговање човека. Традиционална заштита ослања се на чињеницу да је нападачима потребно време за откривање, анализу и искоришћавање рањивости. У условима скраћивања трајања тог процеса, ако бранилац не може да реагује брзином машине, ранији процеси реаговања постају само пука формалност.

6. Шта се у сајбер-безбедности може упоредити са Њутновом механиком или Ајнштајновом теоријом релативности у физици – које основне принципе стручњак мора да разуме без обзира на то колико технологије буду напредовале?

– Ако повучемо паралелу са физиком, онда у сајбер-безбедности улогу „Њутнове механике“ има мала група принципа који остају важећи без обзира на то колико се технологије мењају. То су пре свега три стуба информационе безбедности: поверљивост – интегритет – доступност; затим принцип вишеслојне одбране (Defense in Depth); принципи смањења површине напада и минималних привилегија. Ако бисмо тражили „теорију релативности“ у сајбербезбедности, пронашао бих је у разумевању да је безбедност увек релативна у односу на контекст: не постоји апсолутна заштита нити апсолутна незаштићеност, постоји само ризик за конкретан систем, у конкретном тренутку, у односу на конкретног противника.

7. Шта бисте рекли студенту који данас каже: „Не морам да учим рачунарске мреже или протоколе, јер ће ми вештачка интелигенција све објаснити“?

– Вештачка интелигенција заиста веома добро све објашњава и желим да вас охрабрим да се не устручавате да постављате питања вештачкој интелигенцији и тражите од ње да вам објасни принципе рада мрежа и протокола. Истовремено, постоје ствари које свакако треба „знати напамет“. Питање шта тачно треба учити напамет може бити предмет расправе и често зависи од задатака које је потребно решавати у свакодневној пракси. При томе је у раду често потребан не одговор, већ разумевање ситуације и способност доношења одлуке. И ту вештачка интелигенција може помоћи, али у Баумановом образовном центру „Специјалист“ ми кажемо да „вештачка интелигенција умножава знање, али ако множимо нулом, резултат ће бити нула, зато је неопходно подићи знање на такав ниво да његово умножавање доводи до повећања“.

8. Како оцењујете савремено образовање у области сајбер-безбедности? Да ли се превише пажње посвећује алатима, а премало начину размишљања и разумевању основних принципа?

– Ваша оцена је у целини тачна: савремено образовање у области сајбербезбедности заиста пати од неравнотеже, при којој се претерани нагласак ставља на алате и испите, док се начин размишљања и основни принципи недовољно развијају. Међутим, проблем није у томе што алати нису потребни, већ у томе што алати често постају једини садржај образовања, док способност размишљања и разумевање система одлазе у други план.

9. Етички хакер мора да размишља као нападач. Где се налази граница између знања која се користе за заштиту система и знања која могу бити употребљена за наношење штете? Колико је етика важна у образовању стручњака за етичко хаковање?

– Граница између знања за заштиту и знања за наношење штете не пролази кроз технички садржај, већ кроз ауторизацију и циљеве. Технички гледано, етички хакер и злонамерни нападач користе исте методе, а разлику ствара контекст њихове примене. Етика у образовању стручњака за етичко хаковање није неки необавезни слајд којим се само формално испуњава обавеза, већ носећа конструкција професије. На курсевима етичког хаковања у нашем образовном центру „Специјалист“ управо то постављам као лајтмотив. Приликом проучавања било које технике, чак и оне најосновније, црвеном линијом се подвлачи разлика између етичке и неетичке примене, јер се граница одређује управо ауторизацијом, а не степеном штетности.

10. Мислите ли да ће се једног дана појавити аутономни сајберсистеми који ће самостално откривати, процењивати и заустављати нападе још пре него што човек примети да се нешто догодило?

– Да, али у наредним годинама то ће бити полуаутономија уз учешће човека, а не потпуно преношење овлашћења на машине. Технички гледано, системи способни да самостално откривају, процењују и заустављају нападе већ имају проверене концепте и комерцијалне производе, али откривање, процењивање и блокирање напада пре него што их човек примети. У критично важним сценаријима и даље је ограничено захтевима безбедности и одговорности, а човек остаје на позицији онога ко даје коначно одобрење.

11. Hack The Box и Standoff365 су окружења у којима се знање проверава у пракси. Да ли ће будућност образовања у области сајбер-безбедности мање зависити само од диплома, а више од доказивања стварних практичних вештина? Колико важни треба да постану курсеви, лабораторијске вежбе и практични задаци у образовању будућих стручњака?

– Сајбер-безбедност се креће од провере диплома ка провери стварних вештина. То не значи да ће дипломе потпуно изгубити вредност, већ ће само прећи у категорију основног филтера. Тржиште већ шаље јасне сигнале. Конкурси за посао у области сајбер-безбедности сада захтевају практично искуство. Стручњаци за запошљавање све чешће постављају питање не „шта сте учили“, већ „шта умете да радите“. Зато је исправан приступ да лабораторијске вежбе и практични задаци постану основни део образовања, а не факултативна активност или завршни пројекат. Могуће је да је у Русији то делимично због тога што су многе западне сертификације изгубиле актуелност, а сертификација које су развијене као домаће замене нема много, али, с друге стране, велике компаније не журе да подигну заставу сверуског система сертификације стручњака за сајбер-безбедност управо зато што се сајбер-безбедност креће од провере диплома ка провери стварних вештина.

12. Можемо ли замислити заједничко такмичење руских и српских студената и младих стручњака у етичком хаковању, на пример, у ЦТФ формату, кроз ред-теам/блуе-теам сценарије или на платформи Standoff365? Шта је, по Вашем мишљењу, потребно да би се ова идеја претворила у конкретан пројекат?

– Недавно сам се на конференцији „Сума технологија“ у Санкт Петербургу сусрео са једним од својих студената и он ми је испричао да путује на Руско-српску научно-технолошку конференцију у оквиру форума „Руски индустријалац“. То говори о сарадњи између наших земаља. А заједничко такмичење руских и српских студената сасвим је могуће, зато што за етичке хакере постоје бројне платформе за сусрете и комуникацију. Ево сасвим недавне вести о мојој посети конференцији KazHackStan у Астани, где је једна од најважнијих компоненти било управо међународно ЦТФ такмичење, у којем су учествовали тимови из различитих земаља, а не само студенти Казахстана: У Русији се често одржавају конференције ове врсте, праћене ЦТФ такмичењима, и код нас не постоје ограничења за учешће тимова из Србије. А ако једног дана у Србији буде организована међународна конференција о сајбер-безбедности, сигурно ће се наћи тимови из пријатељских земаља који ће моћи да учествују у сајберборби.

др Ненад Бадовинац

Извор и фото: zapisi-reportaze.com