10 kibernetinio saugumo taisyklių – ką svarbu prisiminti verslui?
Po to, kai NATO viršūnių susitikimo metu Lietuva patyrė dešimtis įvairių informacinių ir kibernetinių atakų, telekomunikacijų bendrovės „Telia“ skaitmeninės pažangos centro vadovas Andrius Šemeškevičius sako, kad nors incidentai didesnės žalos nepadarė, viršūnių susitikimo patirtis dar kartą patvirtina, kaip svarbu laikytis skaitmeninės higienos ir įmonėms pačioms apsisaugoti nuo galimų išpuolių. Ekspertas išskiria 10 svarbiausių kibernetinio saugumo taisyklių, kurių svarbu laikytis kiekvienam verslui.
Birželį „Telia“ pristatė Skaitmeninės pažangos centrą, kuriame technologijų ekspertai skatina visuomenę sutelkti dėmesį į kibernetinį saugumą ir auginti atsparumą grėsmėms. Specialistai primena, kad skaitmeniniam imunitetui stiprinti, svarbiausia yra prevencija. Laikantis tam tikrų taisyklių galima išvengti įsilaužimų ir jų padaromos žalos tiek duomenims, tiek įmonės reputacijai.
Apsisaugokite nuo atakų iš įmonės vidaus
Anot centro vadovo A. Šemeškevičiaus, statistiškai 62 proc. visų vidinių įsilaužimų įmonėse įvyksta paprasčiausiai dėl darbuotojų aplaidumo. Eksperto teigimu, į darbo kompiuterį įdėtas neaiškios kilmės USB raktas ar darbuotojo paspausta įtartina nuoroda internete įmonei gali pridaryti milžiniškų nuostolių.
„Svarbu edukuoti darbuotojus ir netoleruoti jokio aplaidumo. Be to, aukščiausių kibernetinio saugumo standartų reikia reikalauti ir iš trečiųjų šalių – paslaugų teikėjų, turinčių teisę jungtis prie organizacijos tinklo. Būtina tinkamai valdyti prieigos teises ir slaptažodžių kūrimo bei keitimo procesus“, – pažymi A. Šemeškevičius.
Anot eksperto, rizikas sumažina virtualaus privataus tinklo (VPN – angl. virtual private network) naudojimas, taip pat taisyklių, apibrėžiančių, su kokiomis sistemomis darbuotojai gali dirbti iš namų, nustatymas. Be to, gali būti pravartu prieigą prie tam tikrų sistemų darbuotojams suteikti tik darbo metu bei naudoti mobiliųjų išmaniųjų prietaisų saugos sprendimus.
„Svarbu nuolat stebėti situaciją ir reaguoti į incidentus. Šios užduotys neturėtų gulti vien tik ant IT skyriaus pečių. Prie kibernetinio saugumo užtikrinimo privalo prisidėti ir padalinių bei komandų vadovai, personalo skyrius. Tik bendromis pastangomis galima užtikrinti tinkamą apsaugą nuo vidinių kibernetinių grėsmių“, – sako A. Šemeškevičius.
Užkirskite kelią DDoS ir kitoms išorės atakoms
Anot A. Šemeškevičiaus, šiandien vienos labiausiai paplitusių yra paslaugų trikdymo (DDoS) atakos. Jų metu iš išorės tinklų į vidinius organizacijos serverius nukreipiama daugybė užklausų. Jei sistema nėra tinkamai apsaugota, ji yra pernelyg apkraunama ir „užlūžta“. Kenkėjiškos užklausos koordinuotai į įmonės serverius gali būti nukreipiamos iš daugelio pasaulio šalių – sistema nepajėgia jų visų apdoroti ir taip sutrikdomi tam tikri įmonės veiklos procesai, tampa nepasiekiama jos interneto svetainė.
„Kartais DDoS atakos naudojamos kaip savotiška dūmų uždanga įsilaužimams į įmonės sistemas ir duomenų vagystėms. Apsiginti nuo tokių atakų gali padėti patikima tinklo aplikacijų ugniagesė, kuri aptinka anomalijas, atitinkamai reaguoja ir užkerta kelią kenkėjiškai veiklai. Saugantis nuo tokių atakų taip pat labai svarbu tinkamai parinkti IT sistemos nustatymai. Pavyzdžiui, papildomu saugikliu gali tapti nustatymai, kurie prie įmonės IT sistemos leidžia jungtis tik darbo dienomis, tik per specifines operacines sistemas ar tik iš tam tikro pasaulio regiono“, – sako A. Šemeškevičius.
„Telia“ Skaitmeninės pažangos centro vadovo teigimu, taip pat labai svarbu pasirūpinti ilgais ir sudėtingais sistemų slaptažodžiais, o verslui itin reikšmingus duomenis šifruoti kriptografinėmis priemonėmis. Be to, darbuotojams turi būti suteikta prieiga prie tokio IT sistemų lygmens, kuri jiems yra iš ties reikalinga. Galiausiai, reikėtų nepamirti laiku atnaujinti programinę įrangą, pasirūpinti alternatyviomis ryšio linijomis ir sistemas nuolat testuoti.
Tinkamai valdykite debesijos paslaugas
Debesijos technologijos yra naudojamos vis plačiau ir leidžia dalintis informacija, prie jos ir tam tikrų aplikacijų prieiti iš bet kurios pasaulio vietos. Visgi tame slypi ir tam tikri pavojai, o įmonėms vis daugiau savo duomenų ir procesų iškeliant į „debesis“ nepasirūpinimo jų saugumu kaina taip pat didėja.
„Nereikėtų manyti, kad pasirinkus tokius debesijos infrastruktūros tiekėjus, kaip „Amazon“, „Microsoft“, „Google“ ar IBM, jiems galima palikti ir visus su saugumu susijusius klausimus. Tiekėjai tik suteikia infrastruktūrą, kuri turi šimtus parinkčių. Statistika rodo, kad 62 proc. kibernetinių incidentų debesijos aplinkoje nutinka dėl klaidingai pasirinktų nustatymų. Naudojantis debesijos platformomis būtina tinkamai nustatyti, kas, kada, kokiu būdu ir iš kurių vietų galės jungtis prie IT sistemų“, – sako A. Šemeškevičius.
Pasirūpinkite, kad kuriant WEB aplikacijas būtų laikomasi aukštų saugumo standartų
Anot A. Šemeškevičiaus, pažeidžiama organizacijos kibernetinio saugumo vieta gali tapti ir WEB aplikacijos – t. y. programos, kurios veikia internete. Jų užsakovai ir kūrėjai dažnai nekelia ir nesilaiko aukštų saugumo reikalavimų, o pirmenybę teikia mažesniems kaštams.
„Saugumą omenyje reikėtų turėti nuo pat WEB aplikacijų kūrimo pradžios. Būtina reikalauti, kad programų kūrėjai vadovautųsi standartiniu kūrėjų ir internetinių programų saugumo informavimo dokumentu „OWASP“. Tokį reikalavimą verta įrašyti į sutartis su programų kūrėjais. Jeigu vėliau įmonė dėl saugumo incidentų patirtų nuostolių ir paaiškėtų, kad kūrėjai nesivadovavo šiais standartais, užsakovas galėtų pareikalauti garantinio remonto ar žalos atlyginimo“, – pažymi A. Šemeškevičius.
Laiku atnaujinkite techninę įrangą
A. Šemeškevičiaus, kartais įmonės susigundo įsigyti seno modelio įrangą, nes ji, pasirodžius naujai versijai, parduodama su nuolaida. Nors iš pirmo žvilgsnio toks variantas gali atrodyti išties patraukus, nes ir senesnei įrangai paprastai galioja garantija, tačiau neretai vėliau paaiškėja, kad įrangos palaikymas iš gamintojo pusės greitai baigsis. Kai taip nutiks, įranga naudotis taps nesaugu.
„Be įrangos atnaujinimų kompromituojama kibernetinė įmonės sauga. Dėl to rekomenduojama įsigyti naujausią įrangą, o perkant senesnę – būtinai pasidomėti, kada baigsis jos programinis palaikymas“, – pataria A. Šemeškevičius.
Naudokite naujausias programinės įrangos versijas
A. Šemeškevičius taip pat pažymi ir patikimos programinės įrangos svarbą. Ekspertas pažymi, kad tais atvejais, kai įmonė pati kuria ar užsisako individualizuotą programinę įrangą, didelė tikimybė, kad ji niekada nebus atnaujinama. Tam vėliau greičiausiai neatsiras lėšų biudžete.
„Dėl to geriau rinktis pasaulinius sprendimus, kurie yra nuolat atnaujinami. Daugeliu atvejų tai leidžia palaikyti ne tik aukštesnį saugumo lygį, bet ir geresnį funkcionalumą. Taip pat svarbu ilgai neužsibūti prie tos pačios programos versijos jos neatnaujinant, nes vėliau padaryti didelį šuolį ir be jokių tarpinių laiptelių pereiti prie daug naujesnės programinės įrangos versijos bendrovei gali būti labai brangu, o procesas pareikalauti daug laiko“, – pažymi A. Šemeškevičius.
Pasirūpinkite alternatyvia interneto ryšio infrastruktūra
Svarbi kibernetinio saugumo dedamoji, anot A. Šemeškevičiaus, yra rezervinis ryšys. Tai gali būti dubliuota linija – fiksuotas šviesolaidis ir mobilusis ryšys ar kombinacija su palydoviniu ryšiu.
„Turimą ryšio įrangą taip pat svarbu testuoti. Kiekvieno testo metu, kai iš įrangos fiziškai ištraukiamas laidas, išryškėja trūkumai, dėl kurių avarijos atveju veiklos atnaujinimas užtruktų. Įmonėms taip pat verta pasirūpinti atsarginiu ryšiu nuotoliniam darbui, taip pat atsargine įranga bei naudoti hibridinės debesijos sprendimus“, – sako A. Šemeškevičius.
Būkite pasiruošė greitai atkurti veiklą
A. Šemeškevičiaus teigimu, organizacijoms svarbu būti pasiruošus nepalankiems scenarijams ir patyrus kibernetinę ataką gebėti operatyviai atstatyti sutrikdytus veiklos procesus.
„Pasitaiko atvejų, kai įmonės kibernetiniams nusikaltėliams sumoka didžiules pinigų sumas, kad tik kuo greičiau galėtų tęsti veiklą. Pavyzdžiui, laikrodžių, navigacijos sistemų ir kitų įrenginių gamintoja „Garmin“ programišiams sumokėjo 10 mln. eurų išpirką mainais į savo IT sistemų atkūrimo raktus. Įmonė paskaičiavo, kad pačiai atkurti veiklą užtruktų dvi savaites. Visą šį laiką bendrovės pagaminti laikrodžiai, navigacijos sistemos bei kita įranga neveiktų, o tai lemtų didesnius, nei sumokėta išpirka, finansinius nuostolius ir žalą reputacijai“, – pasakoja A. Šemeškevičius.
Anot eksperto, įmonėms verta atlikti testus, kurie parodo, kiek laiko užtruktų įmonės veiklos atstatymas po tam tikrų saugumo incidentų. Be to, A. Šemeškevičiaus teigimu, bendrovėms svarbu gerai apgalvoti ir atsarginių kopijų darymo bei saugojimo strategiją.
Pasirenkite krizių valdymo planą
Pasak A. Šemeškevičiaus, įvykus kibernetinei atakai būtina remtis krizių valdymo taisyklėmis. Kiekvienai įmonei svarbu turėti kibernetinės atakos valdymo planą, kuriame būtų numatyti už atakos pasekmių šalinimą atsakingą komanda, veiksmų seka, komunikacijos veiksmai, pasitelkiami techniniai įrankiai.
„Neturint plano atsakas gali būti chaotiškas – pavyzdžiui, gali paaiškėti, kad el. paštas neveikia, o reikalingų telefono numerių niekas nežino ar apskrita nėra aišku, kas už ką atsako. Savo veiksmus kibernetinių atakų atveju taip pat svarbu dokumentuoti, nes vėliau tokių dokumentų gali prireikti teisėsaugai ar tariantis dėl žalos atlyginimo. Patirtos atakos masto ir vertinimo svarbu nekomentuoti viešai, nes tokiu būdu informacija perduodama ir kibernetiniams nusikaltėliams, kurie atitinkamai gali koreguoti tolimesnę atakos strategiją bei taktiką“, – sako A. Šemeškevičius.
Nepamirškite kibernetiniam saugumui numatyti atskiros biudžeto eilutės
Išlaidas kibernetiniam saugumui įmonės dažnai įtraukia į bendrą IT veiklos biudžetą. Visgi, „Telia“ technologijų vadovo teigimu, praktikoje tai dažnai reiškia, kad lėšų kibernetiniam saugumui paprasčiausiai nelieka arba šiai sričiai skiriami tik IT biudžeto likučiai.
„IT saugai skirtas biudžetas privalo turėtų atskirą eilutę – ji neturėtų būti sumaišoma su bendru IT veiklos biudžetu, nes tuomet kyla didelė tikimybė, kad visos lėšos bus skirtos IT plėtrai, o saugai nieko neliks. Įmonių vadovams reikia suprasti, kad kibernetinio saugumo sritis šiandien yra gyvybiškai svarbi, todėl jai numatyti reikiamas lėšas ir naudoti jas pagal paskirtį“, – sako A. Šemeškevičius.
A. Šemeškevičiaus manymu, kibernetinių grėsmių tik daugės, todėl įmonėms ir institucijoms svarbu neprarasti budrumo, pakankamai investuoti į savo kibernetinę saugą ir vadovautis svarbiausiomis saugumo taisyklėmis.
