Nuo duomenų nutekinimo, iki neregėto masto DDoS atakų; nuo pinigų viliojimo prisidengiant žinomais pavadinimais ar veidais, iki įmonių buhalterių patiklumo patikrinimo – šiandien tai yra pačios didžiausios kibernetinio saugumo rizikos Lietuvoje. Tęsiantis spaliui, Europos kibernetinio saugumo mėnesiui, „Telia“ ekspertai sako: užsakyti niokojančias atakas beveik nieko nekainuoja, o jų žala gali būti milžiniška.
Asociatyvi „Pixabay“ nuotr.
„Jei prieš dešimtmetį įmonės ir organizacijos jautėsi saugios naudodamos ugniasienes bei antivirusines programas, tai šiandien kibernetinis saugumas nėra tik įmonės IT skyriaus ar samdomų IT specialistų rūpestis. Kiekvienas darbuotojas privalo tai suprasti ir žinoti, kaip elgtis įvairiomis situacijomis“, – sako „Telia“ rizikų vadovas Vytautas Bučinskas.
Pulti pigu, gintis sudėtinga
Prieš dešimtmetį dar buvusios naujiena, pastaraisiais metais paslaugų trikdymo atakos (angl. Distributed Denial of Service, DDoS) tapo daugelio verslų kasdienybe ir įgavo didelį mastą. Maža to, kibernetiniai nusikaltėliai jas ėmė naudoti reketui: pirma atlieka parodomąją ataką ir atsiunčia grasinantį laišką, reikalaudami pinigų, o nesulaukę išpirkos jie didina atakų galingumą ir kelia išpirkos sumą.
Anot „Telia“ rizikų vadovo, nedidelę ataką, kurios užtektų sutrikdyti smulkios įmonės veiklą, galima suorganizuoti net visiškai nemokamai. O ir didesnio masto atakos nėra itin brangios – jos kainuoja kelis šimtus ar kelis tūkstančius eurų, tačiau tokių atakų žala gali siekti šimtus ir net tūkstančius kartų didesnes sumas.
„Pernai kelias dienas Lietuva buvo viena labiausiai atakuojamų šalių visame pasaulyje, nes prieš vieną Lietuvoje gerai žinomą bendrovę buvo surengta kibernetinio reketo ataka. Puolimas buvo itin sudėtingas ir galingas, jo vektoriai nuolat keitėsi, todėl pasitelkėme net „Telia“ grupės kolegas. Ataką nukenksminome, klientą apgynėme. Kokia išvada? Jei jūsų verslas susijęs su internetu, apsauga nuo DDoS yra privaloma“, – sako V. Bučinskas.
Padidintas dėmesys administratoriams
„Telia“ ekspertas pataria nenuvertinti ir IT administratorių vaidmens, valdyti jų teises ir tikrinti jų darbo kokybę – tai nėra paprasta, bet įmanoma.
„Kai prieš dešimtmetį startavo „WikiLeaks“, anoniminių pranešėjų platforma per kurią nutekinama informacija žiniasklaidai, jau tada išryškėjo milžiniška administratorių įtaka ir galia organizacijose. Gal net didžiausia. Šiandien apie „WikiLeaks“ girdime mažiau, bet duomenų nutekėjimai vyksta ir jie tikrai neaplenkia Lietuvos – keli pastarųjų metų atvejai daug lietuvių palietė asmeniškai“, – kalba V. Bučinskas.
Gerieji verslo pavyzdžiai – įmonėje įdiegti procesus, užtikrinančius nuolatinę prieigos kontrolę prie debesijos paslaugų, ir naudoti prieigos valdymo („Privileged Access Management“, PAM) sprendimus. Tokiu atveju darbuotojų prisijungimai ir atlikti pakeitimai yra fiksuojami, o slaptažodžiai saugomi specialiuose seifuose – dažnu atveju darbuotojai net neturi patys jų žinoti. IT administratoriui, vadovui ar kitam atsakingas pareigas užimančiam darbuotojui išėjus iš darbo, visos prieigos lieka įmonės rankose.
Saugumas yra kiekvieno darbuotojo atsakomybė
Niekur nedingo ir sukčių skambučiai. Tik jei anksčiau senoliams skambindavo įkalinimo įstaigose esantys asmenys, kurie prisistatydavo policijos pareigūnais ar atsiliepusiųjų giminaičiais, tai dabar tokie sukčiai taikosi ir į verslą, o pinigų tikisi išvilioti prisidengdami žinomų įmonių, institucijų vardais – nuo bankų, ryšio operatorių, iki Valstybinės mokesčių inspekcijos.
„Įmonės ar įstaigos vardas suteikia daugiau pasitikėjimo. Prašoma įvairiausių dalykų: ir įdiegti programą į kompiuterį, ir pasikeisti slaptažodį, ir banko duomenų, ir tiesiog atlikti neva vėluojantį pavedimą. Sėkmės procentas nedidelis, bet sumos siekia milijonus ir šie sukčiai nesiruošia sustoti“, – pastebėjo „Telia“ atstovas.
Verslui svarbu atminti, kad telefoniniai sukčiai gali nusitaikyti ir į juos, todėl įmonėms privalu mokyti personalą nepasitikėti nuotoliniais nurodymais, gautais telefonu ar el. paštu, ir visada naudoti keturių akių principą, t. y. piniginių pavedimų negali atlikti vienas žmogus, juos turi patvirtinti ar bent peržiūrėti kitas darbuotojas.
V. Bučinskas atkreipia dėmesį, kad nedidelėms įmonėms gali būti sudėtinga užtikrinti visapusišką saugumą – tiek dėl laiko ir išteklių, tiek dėl kompetencijų stygiaus. Ir net pažangiausi saugumo sprendimai neapsaugos nuo darbuotojų klaidų, nes įstačius šarvo duris (naudojant VPN, ugniasienes, saugią debesiją), įsilaužėliai gali rasti langą (buhalterės nerakinamą telefoną ar darbuotojo įsidiegtą programą). Todėl svarbu laikytis holistinio požiūrio, o dar paprasčiau – kreiptis pagalbos į savo srities profesionalus.
