Besiruošdamos atitikti direktyvos dėl tinklų ir informacinių sistemų saugumo (TIS2) reikalavimus, įmonės susitelkia į tinklų, serverių ir centrinės infrastruktūros apsaugą. Tačiau nemaža dalis rizikų slypi kur kas arčiau – darbuotojų įrenginiuose, kurie jungiasi prie organizacijos sistemų biure, namuose ar kelionėse. Pasak Agnės Pastalienės, „Telia“ kibernetinio saugumo produktų vadovės, būtent įrenginių įvairovė ir mobilumas tampa vienu iš svarbiausių pasirengimo TIS2 iššūkių.
Asociatyvi „Pixabay“ nuotr.
A. Pastalienės teigimu, TIS2 direktyva įpareigoja organizacijas taikyti rizikos valdymo priemones ir užtikrinti tinkamą tinklų bei informacinių sistemų apsaugą. Praktikoje tai reiškia, kad įmonės turi aiškiai žinoti savo IT turtą: kokios sistemos naudojamos, kokie įrenginiai jungiasi prie infrastruktūros ir kokios saugumo priemonės jiems taikomos.
Pavyzdžiui, organizacija turi turėti galimybę realiu laiku matyti, ar prie vidinio el. pašto ar dokumentų saugyklos jungiasi tik įmonės valdomi kompiuteriai, ar ir darbuotojų asmeniniai telefonai bei planšetės. Jei prie sistemos jungiasi įrenginys, kuriame neįdiegti saugumo atnaujinimai arba išjungtas ekrano užraktas, tokia prieiga gali būti automatiškai apribota arba leidžiama tik per papildomą autentifikavimą.
„Skirtingai nei serveriai ar duomenų centrai, darbuotojų naudojami įrenginiai yra mobilūs – jie keliauja kartu su darbuotojais, jungiasi prie įvairių tinklų, juose diegiamos naujos programos. Hibridinis darbas ir lankstus darbo modelis padidino įrenginių kiekį, judėjimą ir įvairovę. Be to, darbuotojai nevengia jungtis prie įmonės sistemų, pavyzdžiui, el. pašto, per asmeninius prietaisus. Dėl to būtent šie įrenginiai neretai tampa pirmuoju tašku, per kurį kibernetinės grėsmės patenka į organizacijos sistemas“, – sako A. Pastalienė.
Paprasti kontrolės sprendimai
Anot A. Pastalienės, siekdamos sumažinti kibernetines rizikas, organizacijos turi gebėti bet kuriuo metu matyti, kiek prie vidinių sistemų jungiasi įrenginių, kurie valdomi centralizuotai, kokios juose įdiegtos saugumo priemonės ir ar jie atitinka nustatytas saugumo politikas.
Praktikoje tai gali reikšti, kad darbuotojui prisijungus prie įmonės el. pašto iš naujo telefono, sistema pirmiausia patikrina, ar įrenginyje aktyvuotas duomenų šifravimas, ar operacinė sistema nėra pasenusi. Jei bent viena iš šių sąlygų neatitinka įmonės politikos, darbuotojui gali būti pasiūlyta automatiškai įdiegti reikiamus nustatymus prieš suteikiant prieigą prie duomenų.
Tinklo saugos stiprinimas, ugniasienių diegimas ir infrastruktūros atnaujinimai yra svarbi organizacijos kibernetinio saugumo dalis. Tačiau kibernetinių incidentų analizė rodo, kad dalis atakų prasideda ir nuo paprastų vartotojo veiksmų: paspausto žalingo el. laiško, atsisiųstos aplikacijos, nesaugaus „Wi‑Fi“ tinklo ar pasenusios operacinės sistemos.
„Įrenginių saugumas lemia, ar grėsmės pasieks vidines sistemas. Todėl TIS2 reikalavimų logika yra labai aiški – jeigu įrenginys naudojamas darbui, jis turi būti prižiūrimas. Kelionėje naudojamas telefonas gali turėti tiek pat kritinės reikšmės duomenų, kiek ir serveris duomenų centre“, – akcentuoja A. Pastalienė.
Saugūs duomenys net pametus telefoną
Agnės Pastalienės teigimu, daugeliui organizacijų šiuos iššūkius padeda spręsti mobiliųjų įrenginių valdymo sprendimai. Jie leidžia centralizuotai matyti prie sistemų besijungiančius įrenginius, taikyti saugumo politikas, valdyti aplikacijas, užtikrinti duomenų šifravimą ir prireikus nuotoliniu būdu pašalinti įmonės duomenis iš pamesto ar pažeisto įrenginio.
„Jei darbuotojas pameta telefoną, kuriame buvo sukonfigūruotas darbo el. paštas, IT administratorius gali nuotoliniu būdu ištrinti tik įmonės duomenis ir paskyras, nepažeisdamas asmeninės informacijos. Taip pat galima apriboti galimybę į darbo telefoną diegti nepatvirtintas programėles arba automatiškai įdiegti saugumo atnaujinimus, kai tik jie tampa prieinami“, – aiškina A. Pastalienė.
Nors tokie sprendimai tiesiogiai neapsaugo nuo socialinės inžinerijos ar phishing atakų, jie padeda sumažinti vartotojo klaidų pasekmes. Tai leidžia organizacijoms išlaikyti kontrolę net ir tada, kai darbuotojai dirba nuotoliniu būdu ar darbo reikmėms naudojasi asmeniniais mobiliais įrenginiais.
Anot „Telia“ atstovės, organizacijos, kurios šiandien vertina savo pasirengimą TIS2, vis dažniau supranta, kad įrenginių ir tapatybės bei prieigos valdymo sprendimai yra ne tik reguliavimo atitikties, bet ir veiklos tęstinumo klausimas. Centralizuotas matomumas leidžia greičiau pastebėti neįprastus prisijungimus, pavyzdžiui, kai darbuotojo paskyra vienu metu naudojama skirtingose šalyse.
Automatiniai saugumo atnaujinimai padeda užkirsti kelią pažeidžiamumams, o nuotolinis konfigūravimas leidžia greitai pritaikyti naujas saugumo politikas visiems įrenginiams. Tai padeda ne tik sumažinti incidentų tikimybę, bet ir greičiau suvaldyti situaciją, jei pažeidimas vis dėlto įvyksta.
