Kibernetinis saugumas organizacijoje – nuo išorinių iki vidinių pavojų

Siekiant užtikrinti kibernetinį saugumą kiekvienai organizacijai būtina įvertinti, ką ir kaip reikia saugoti, kas tai įgyvendins ir, svarbiausia, kodėl to reikia. Kyla klausimas, kurie pavojai – išoriniai ar vidiniai – kelia daugiausiai grėsmės organizacijų saugumui?

Atakuojamos kritinės sistemos

Nacionalinio kibernetinio saugumo centro prie KAM (NKSC) duomenimis, 2018 m. Lietuvoje užregistruota virš 53 tūkst. kibernetinio saugumo incidentų – 3 proc. mažiau nei ankstesniais metais. Tačiau, pasak NKSC direktoriaus dr. Ryčio Rainio, grėsmių pobūdis kelia vis daugiau nerimo.

„Per pastaruosius metus išaugo kibernetinių incidentų sudėtingumas, atakos tampa vis labiau rafinuotos, o jas ištirti automatizuotomis priemonėmis tampa vis sudėtingiau. Pernai NKSC ištyrė 914 didelės ir vidutinės reikšmės kibernetinių incidentų, o tai yra 41 proc. daugiau nei 2017 m. Nerimą kelia ir tai, kad šių atakų taikiniais didžiąja dalimi buvo kritinės infrastruktūros“, – komentuoja dr. R. Rainys, rugsėjo 5 d. pateiksiantis platesnę kibernetinio saugumo apžvalgą konferencijoje „ESET Security Day“.

Taip pat 2018 m. Lietuvoje registruota 21 proc. daugiau incidentų, įvykusių dėl įrenginių saugumo spragų. Pasak saugumo specialistų, tai siejama su didėjančiu IoT įrenginių naudojimu: kuo daugiau išmaniųjų įrenginių aplink mus, tuo daugiau galimybių kibernetiniams nusikaltėliams atakuoti tiek namų vartotojus, tiek verslo organizacijas ar kritines sistemas.

Skiriasi požiūris į saugumą

Vienas iš ESET Lietuva organizuojamos konferencijos pranešėjų, ICS (angl. Industrial Control System) saugumo ekspertas Vytautas Butrimas tikina, kad kritinėms infrastruktūroms reikia išskirtinio (kas atitinka pramoninių procesų valdymo sistemų specifika angl. Industrial Control Systems) lygio apsaugos priešingai, nei verslo organizacijoms.

„Jeigu kalbėtume apie „Office IT“ apsaugą, Lietuva yra tarp pažengusių šioje srityje šalių. Organizacijos sėkmingai taiko gerąsias IT saugumo praktikas, kaip ISO 27001 ar SANS parengtą „Critical CIS Security Controls“, – vardina V. Butrimas. – Deja, ši praktika nėra pakankama, jei kalbėtume apie kritinių infrastruktūrų, kuriose vyksta fiziniai procesai, t.y. elektros gamyba, gamtinių dujų tiekimas vamzdynuose, vandens valymas ir tiekimas bei kiti industriniai procesai, apsaugą“.

Iššūkiu tokiose infrastruktūrose dažniausiai tampa IT saugumo specialistų ir inžinierių bendradarbiavimas, nes požiūris į saugumą OT (angl. Operational Technology) aplinkoje yra kitoks nei IT aplinkoje. Net vienas nesusipratimas gali tapti rimta grėsme organizacijos viduje.

Kaip pavyzdį V. Butrimas pateikia 2008 m. JAV įvykusį incidentą, kai IT specialistas inicijavo vieno iš kompiuterių operacinės sistemos atnaujinimą, neįvertinęs, kad šis priklauso atominės jėgainės reaktoriaus apsauginei sistemai. Susidariusi situacija automatiškai buvo traktuojama kaip avarinė, ir reaktorius buvo išjungtas net dviems paroms.

„Tai geras pavyzdys, kaip IT specialistas taikė gerąją IT saugumo praktiką, tačiau ji buvo netinkama ir netgi pavojinga fizinių procesų apsaugai“, – apibendrina V. Butrimas.

Žmogiškasis faktorius

Duomenų nutekėjimo prevencijos sprendimų srityje besispecializuojančios kompanijos „Safetica“ atstovas Radek Hanzlik tikina, kad žmogiškasis faktorius vis dar tebėra vienas iš grėsmių katalizatorių įmonėse, todėl net pačius geriausius saugumo sprendimus būtina papildyti tinkama organizacijos saugumo politika.

„Itin svarbu ugdyti darbuotojus apie saugų darbą su jautriais duomenimis, ką galima ir ko negalima daryti, kaip likti saugiam skaitmeninėje erdvėje, nes tik edukuotas vartotojas sugeba atpažinti grėsmes, – komentuoja kviestinis „ESET Security Day“ pranešėjas R. Hanzlik. – Be to, daugėjant išmaniųjų įrenginių verslo aplinkoje, organizacijos privalo stiprinti savo saugumo politikas dėl asmeninių įrenginių naudojimo darbo reikalams. Jei nesinori uždrausti tokių įrenginių naudojimo darbe, vadinasi, būtina pasirūpinti tinkama jų ir įmonės duomenų apsauga“.

Pavojus verslo duomenims kyla ir tuo metu, kai darbui skirti įrenginiai yra išnešami už organizacijos tinklo ribų: darbuotojai nešasi įrenginius namo, keliauja į konferencijas ar susitikimus. Pasak saugumo eksperto R. Hanzlik, tokiais atvejais gelbsti duomenų nutekėjimo prevencijos sprendimai, leidžiantys taikyti nustatytas saugumo taisykles, nepriklausomai nuo įrenginio buvimo vietos.

Plačiau apie kibernetinio saugumo iššūkius ir gerąsias praktikas bus galima išgirsti jau rugsėjo 5 d. Vilniuje vyksiančioje saugumo konferencijoje „ESET Security Day“. Tarp renginio pranešėjų – ESET saugumo evangelistas Tony Anscombe, Nacionalinio kibernetinio saugumo centro direktorius Rytis Rainys, ICS ekspertas Vytautas Butrimas, IT saugumo specialistas Darius Povilaitis, VDAI IT skyriaus vadovas dr. Jevgenij Tichonov, Fondia Suomija vyr. teisininkė Sari Koskela ir „Safetica“ atstovas Radek Hanzlik.

Pranešimo aprašyme pateikti vertinimai ir idėjos išimtinai priklauso autoriui – Vytautui Butrimui ir jie negali būti laikomi NATO Energetinio saugumo kompetencijos centro, ar kitos organizacijos, su kuria autorius yra susijęs, oficialia pozicija.