Kelios nepatogios tiesos apie organizacijų kibernetinį saugumą

Duomenų nutekėjimo skandalai vienas po kito pradeda purtyti Lietuvos institucijas. Šių metų gegužę VDAI skyrė virš 61,5 tūkstančio eurų baudą elektroninių pinigų įstaigai „MisterTango“. Taip pat nemenka bauda už asmens duomenų nutekėjimą gresia ir VMI. Kibernetinio saugumo kompanija „Sophos“ atliko tyrimą, kurio tikslas – suprasti tikrąsias priežastis, kodėl organizacijos visame pasaulyje nukenčia nuo kibernetinių atakų. Tyrimo rezultatai nustebino daugelį ekspertų.

Tendencijos bausti dėl duomenų nutekėjimo mažų mažiausiai baugina. Jeigu lietuviškos baudos neįkvepia pokyčiams, verta susipažinti su globaliomis tendencijomis. „Facebook“ ir „Cambridge Analytica“ skandalą vainikavo 645 tukstančiai JAV dolerių bauda, tuo tarpu milžinė „Google“ taip pat gavo 50 milijonų eurų baudą vien už aiškumo principų nesilaikymą informuojant vartotojus. Visai neseniai pasaulį sudrebino šimtai milijonų eurų baudos skirtos „British Airways“ ir „Marriott“.

Neseniai kibernetinio saugumo kompanija „Sophos“ atliko tyrimą, kurio tikslas – suprasti tikrąsias priežastis, kodėl organizacijos visame pasaulyje nukenčia nuo kibernetinių atakų. Tyrimas apėmė 3100 įvairaus dydžio organizacijų, turinčių mažiau nei 100 ir daugiau nei 5000 darbuotojų. Tyrime dalyvavo kompanijos iš šešių pasaulio kontinentų, kurios dirba IT, transporto ir logistikos, finansų, viešojo sektoriaus, statybų ir žaliavų, žurnalistikos ir medijos srityse.

„Atrodo, kad BDAR pradeda rodyti aštresnius dantis ir Lietuvoje turime aiškius signalus imtis pokyčių. Remiantis „Sophos“ tyrimo duomenimis organizacijos ne visada žino, kaip konkreti ataka pateko į jų prižiūrimą tinklą, todėl silpnąja grandimi laiko vartotojų įrenginius, kurių jie nekontroliuoja. Nors dedikuojama daug laiko tirti grėsmes, tačiau net 85 % pastangų yra bevaisės“, – sako Justinas Valentukevičius, kibernetinio saugumo bendrovės „Sophos” atstovas Baltijos šalyse.

Prarasti ar pakeisti įmonės ir klientų duomenys, neveikiančios ar veikiančios nekorektiškai tinklo paslaugos – tai tik keletas problemų, su kuriomis susiduria „Sophos“ saugumo ekspertai, tirdami atakų padarinius organizacijų tinkluose. Tyrimas parodė, kad daugiau nei 73 % visų kibernetinių atakų prasiskverbia į organizacijas ne per vartotojų kompiuterius ar mobiliuosius įrenginius, bet per tarnybines stotis bei infrastruktūrinius tinklo mazgus.

„Pirmiausia, tenka pripažinti, kad net 68 % apklaustųjų organizacijų nukentėjo nuo kibernetinių atakų. Šiuolaikiniame pasaulyje tai yra labiau norma nei išimtis. Tiesa, didžiosios kompanijos nukenčia dažniau nei mažos“, – pastebi Justinas Valentukevičius.

Yra ir kita medalio pusė – didelės organizacijos tiesiog turi daugiau saugumo specialistų, gebančių atpažinti atakas. Be to, nedera manyti, kad nukentėjus vieną kartą, daugiau atakų nebus. Tyrimas parodė, kad praėjusiais metais įmonės nukentėjo nuo kibernetinių atakų vidutiniškai du kartus, o 10 % jų patyrė daugiau nei keturias atakas. Tai rodo, kad organizacijos šalina padarinius, tačiau neskuba proaktyviai kamšyti saugumo spragų. Įdomu, kad didžioji dalis atakų buvo aptiktos tarnybinėse stotyse ir tinklo infrastruktūros mazguose – po 37 %. Priešingai saugumo specialistų įsitikinimams, darbuotojų kompiuteriuose ir mobiliuose įrenginiuose aptinkama tik atitinkamai 16,9 % ir 9,6 % visų atakų.

Antra, stebina itin ilgas atakų aptikimo laikas organizacijose, kurios vis tik turi kompetencijų tas atakas atpažinti. Net 13 valandų prieigai prie organizacijos informacinių sistemų ir duomenų – vidutiniškai tiek laiko turi kibernetiniai nusikaltėliai. „Tiek laiko įgudusiems programišiams pakaktų pridaryti sunkiai ištaisomų pakeitimų tinklo konfigūracijose, nutekinti klientų ir vartotojų prisijungimų duomenis ar kitą jautrią informaciją, įdiegti diskus šifruojančias ir išpirkos reikalaujančias kenkėjiškas programas“, – sako J. Valentukevičius.

Įdomiausia tai, kad 13 valandų – tai tik aisbergo viršūnė, kadangi tik 1744 iš 3100 tyrime dalyvavusių įmonių žinojo, kiek laiko praėjo iki atakos aptikimo. Tai leidžia manyti, kad kibernetiniai nusikaltėliai savo veikloms atlikti gali nevaržomai šeimininkauti organizacijos tinkle ir sistemose savaitėmis ar mėnesiais. Akivaizdu, kodėl daugelis tyrimo dalyvių kaip svarbiausią EDR (angl. Endpoint Detection and Response) sistemos pasirinkimo kriterijų įvardijo galimybę tiksliai identifikuoti įtartinus įvykius tinkle.

Neretai pasitaiko, kad organizacijų saugumo specialistai nesugeba tiksliai identifikuoti saugumo spragų, kurias kibernetiniai nusikaltėliai išnaudojo savo atakoms. Neįtikėtina, tačiau remiantis tyrimo duomenimis, kas penktas saugumo ekspertas neturi pakankamos kompetencijos arba specializuotos programinės įrangos, gebančios identifikuoti ir užkirsti kelią šiuolaikinėms kompleksiškoms atakoms. Beje, šiuo atveju didžiosios organizacijos dažniau atpažįsta atakų kilmę, kas iš esmės natūralu turint didesnį biudžetą, skirtą saugumo infrastruktūrai stiprinti.

Specializuotos kompetencijos personalo ir programinės įrangos trūkumas priveda prie to, kad organizacijos eikvoja daug laiko analizuoti ir tirti fiktyvius saugumo incidentus. Nepatogi tiesa, tačiau 85 % saugumo ekspertų pastangų yra eikvojama veltui. Vidutiniškai keturias dienas per mėnesį organizacijų saugumo specialistai skiria potencialių saugumo grėsmių analizei. Viso labo 15 % tiriamų incidentų yra sąlygoti realių grėsmių ir atakų. Ši statistika galioja tiek mažoms, tiek stambioms organizacijoms, tačiau mažiau aktuali toms įmonėms, kurios intensyviai stebi įtartinų įvykių tinklą. Beje, tokios organizacijos džiaugiasi sutaupytais kaštais, nes laikas nepasitvirtinančių grėsmių tyrimams švaistomas rečiau.

Kalbant apie specializuotos kompetencijos personalą, galima drąsiai teigti – jo trūksta. Trūksta ir didelėse korporacijose, galinčiose užtikrinti nuolatinį šios dinamiškos srities žinių ir gebėjimų atnaujinimą. Net 80 % organizacijų pripažįsta, kad norėtų turėti stiprią komandą, dedikuotą užtikrinti organizacijos saugumą. Organizacijos, neturėdamos kvalifikuotų saugumo specialistų, verčiasi turimais resursais ir apsiriboja patirtų atakų padarinių šalinimu. Kodėl neieško ir neįdarbina saugumo ekspertų? Organizacijos pripažįsta, kad rasti ir įdarbinti kibernetinio saugumo specialistą yra didelis iššūkis.

„Sophos“ atliktas tyrimas ne tik įvardina organizacijų saugumo problemas, bet ir leidžia geriau pažinti kibernetinio saugumo situaciją organizacijų tinkluose bei suponuoja sritis, kurioms organizacijos turėtų skirti daugiau dėmesio artimiausiu metu. Kad ir kokios nepatogios tiesos būtų, identifikavimas ir sugebėjimas pripažinti problemą – tiesiausias kelias į jos sprendimą“, – priduria Justinas Valentukevičius.