Kibernetinio incidento žala matuojama ne tik nutekintų duomenų kiekiu. Sutrikus sistemoms stringa darbai, gali nutrūkti paslaugų teikimas, didėja finansiniai nuostoliai. Netinkamai valdant incidentą nukenčia ir įmonės reputacija. Todėl atsakomybė už pasirengimą tenka ne vien IT komandai – nuo visos organizacijos sprendimų priklauso, kaip greitai pavyks suvaldyti padarinius ir tęsti veiklą.
Reaguoti tenka vis greičiau. Pasitelkę dirbtinį intelektą (DI), nusikaltėliai gali automatizuoti dalį atakos, vienu metu nusitaikyti į daugiau žmonių arba apgaules pritaikyti konkretiems asmenims. Todėl vien aptikti grėsmę nebeužtenka. Organizacija turi iš anksto žinoti, kas įvertins situaciją, priims sprendimus ir imsis veiksmų.
Apie tai, kaip įmonėms pasirengti tokioms grėsmėms, verslo ir IT ekspertai kalbėjo rugsėjo 10 d. parodų ir kongresų centre „Litexpo“ vykusioje konferencijoje „ESET Security Day 2026“. Jau dvyliktą kartą surengta konferencija subūrė 650 dalyvių, pranešimus joje skaitė 19 ekspertų.
Registrų centro atvejis
Apie tai, kodėl vien įdiegtų saugumo priemonių nepakanka, kalbėjo Registrų centro IT direktorius Antanas Raguotis. Jis pristatė Nekilnojamojo turto registro (NTR) ir Juridinių asmenų dalyvių informacinės sistemos (JADIS) duomenų nutekinimo atvejį. Pasinaudoję kitos institucijos paskyromis, tretieji asmenys neteisėtai prisijungė prie NTR ir gavo apie 600 tūkst. išrašų su Lietuvos gyventojų duomenimis.
Pasak A. Raguočio, incidentą lėmė ne viena techninė spraga, o kelių nepakankamai suvaldytų rizikų visuma. Daugiau dėmesio tuo metu buvo skiriama kitoms, didesnėmis laikytoms rizikoms, o papildomas tapatybės patvirtinimas el. paštu vertintas kaip pakankamas. Pereiti prie patikimesnio sprendimo mėginta dar 2014 m., tačiau pokytis nebuvo įgyvendintas.
Sužinojęs apie incidentą, Registrų centras subūrė krizės valdymo grupę ir parengė neatidėliotinų, būtinų bei ilgalaikių darbų planą. Apie duomenų nutekinimą informuotos teisėsaugos ir priežiūros institucijos, o Generalinė prokuratūra pradėjo ikiteisminį tyrimą.
Sudėtinga buvo ir individualiai informuoti žmones, nes viešo pranešimo pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) nepakanka. Pranešimams išsiųsti teko sukurti atskirą techninį sprendimą, o viešinamos informacijos apimtį ribojo vykstantis ikiteisminis tyrimas.
Po incidento Registrų centras sustiprino naudotojų kontrolę ir stebėseną, o prisijungiant prie sistemų vien slaptažodžio nebepakanka. A. Raguočio teigimu, organizacijos turi nuolat vertinti tapatybės patvirtinimo būdus, išoriniams partneriams suteiktas prieigas ir sistemose tvarkomų duomenų jautrumą. Vien sutartyse apibrėžtų atsakomybių nepakanka – rizikas reikia peržiūrėti nuolat, nelaukiant naujo incidento.
Pavojų kelia ir seniai žinomos spragos
Registrų centro atvejis – ne vienintelis priminimas, kad duomenims pasiekti ne visuomet reikia sudėtingos atakos. Nacionalinio kibernetinio saugumo centro (NKSC) direktorius Antanas Aleknavičius aptarė du scenarijus, parodančius nepakankamos paskyrų kontrolės pasekmes.
Pagal vieną scenarijų, užvaldžius el. pašto paskyrą, gali būti atkurti prisijungimo prie informacinės sistemos duomenys. Pagal kitą – prie sistemos galima prisijungti per vis dar veikiančią numatytąją paskyrą. Abiem atvejais pasekmė gali būti ta pati – neteisėta prieiga prie sistemose saugomų duomenų ir jų nutekinimas.
Pasak A. Aleknavičiaus, priemonės, galinčios užkirsti kelią tokiems atvejams ar sumažinti jų žalą, žinomos jau seniai. Todėl kalbant apie DI keliamas grėsmes pradėti reikėtų nuo pagrindų – paskyrų ir prieigų kontrolės, patikimo tapatybės patvirtinimo bei sistemų stebėsenos.
Tačiau žinoti, ką reikėtų daryti, dar nereiškia būti pasirengusiam. Saugumo operacijų centro (SOC) paslaugomis nesinaudoja daugiau kaip 160 iš 260 viešojo valdymo sektoriaus organizacijų, o kai kur tokia paslauga teikiama labiau formaliai nei praktiškai.
Valstybės informacinės sistemos susijusios tarpusavyje, todėl vienos įstaigos spraga gali paveikti ir kitas. A. Aleknavičiaus teigimu, modelį „kiekvienas sau“ reikėtų keisti sektoriniais ir regioniniais saugumo centrais, kurie padėtų organizacijoms stebėti grėsmes ir į jas reaguoti.
Paslėpta instrukcija gali suklaidinti DI agentą
Konferencijoje kalbėta ir apie saugų DI sprendimų diegimą bei valdymą. Bendrovės „nexos.ai“ informacijos saugumo vadovė Sigita Jurkynaitė išskyrė tris patikimam DI naudojimui svarbias sąlygas: tinkamą duomenų pateikimo ir saugojimo infrastruktūrą, savo sprendimų saugumą galinčius pagrįsti tiekėjus ir atsakingai šiomis technologijomis gebančius naudotis darbuotojus. Pasak jos, DI gali būti galingas asistentas, tačiau galutiniai sprendimai ir atsakomybė turi likti žmogaus rankose.
Žmogaus priežiūros reikia ir naudojant DI agentus. Jie gali ne tik analizuoti informaciją ar rengti atsakymus, bet ir naudotis dokumentais, įvairiais įrankiais bei organizacijos sistemomis. Tai leidžia automatizuoti daugiau procesų, tačiau klaidos pasekmės gali neapsiriboti netiksliu atsakymu – klaidingai supratęs nurodymą DI agentas gali atlikti veiksmus organizacijos sistemose.
Draudimo bendrovės „If“ išmaniosios automatizacijos sprendimų architektas Raimondas Kazlauskas atkreipė dėmesį, kad DI agentą galima suklaidinti ir neįveikus organizacijos apsaugos priemonių. Tam gali pakakti per plačių prieigų, nepatikimos informacijos ar dokumente paslėptos instrukcijos, kurią agentas palaikytų teisėtu nurodymu.
R. Kazlauskas pateikė teismo dokumento pavyzdį. Jame galima paslėpti žmogui beveik nematomą instrukciją, kurią dokumentą analizuojantis DI agentas suprastų kaip užduoties dalį. Dėl to gali pasikeisti jo rengiamos išvados, nors darbuotojui pats dokumentas neatrodytų įtartinas.
Todėl prieš diegiant DI agentą svarbu įvertinti jam suteikiamas prieigas, naudojamus įrankius ir informacijos šaltinius. Taip pat reikia aiškiai nustatyti, kokius veiksmus jis gali atlikti savarankiškai, o kada būtina žmogaus patikra. Pasak R. Kazlausko, svarbu kurti ne tariamai neklystančius agentus, o sistemas, kurios išliktų saugios ir jiems suklydus. Viena klaida neturėtų atverti prieigos prie jautrių duomenų ar kitų svarbių sistemų.
Kaip sumažinti riziką dar iki incidento
Ne visų kibernetinių incidentų galima išvengti, tačiau jų tikimybę ir galimą žalą galima mažinti iš anksto. Konferencijoje kalbėta apie tam svarbias sritis – debesijos modelio pasirinkimą, duomenų apsaugą, saugų DI diegimą ir nuolatinę IT infrastruktūros priežiūrą.
„Organizacijos susiduria ne su technologijų stygiumi, o su jų gausa. Nauji skaitmeninio saugumo sprendimai diegiami greičiau, nei spėjama įvertinti jų kuriamą vertę. Todėl didžiausias iššūkis – ne naujų technologijų pasirinkimas, o efektyvus jau naudojamų sprendimų valdymas“, – teigė konferenciją pradėjęs „NOD Baltic“ vadovas Tomas Parnarauskas.
Apie vieną iš tokių pasirinkimų – verslo debesijos modelį – kalbėjo „Bitė Group“ technologijų direktorius Mindaugas Rauba. Pasak jo, debesija šiandien naudojama ne tik duomenims saugoti. Nuo pasirinkto modelio priklauso, kaip lanksčiai organizacija galės plėsti sistemas, užtikrinti jų patikimumą ir diegti DI.
Vieno visoms įmonėms tinkamo modelio nėra. Renkantis reikia atsižvelgti į verslo poreikius, jau naudojamas sistemas ir organizacijos gebėjimą valdyti pasirinktą infrastruktūrą.
Praktiniai skaitmeninio saugumo sprendimų taikymo pavyzdžiai pristatyti „Tech Demos“ erdvėje. „Safetica“ ekspertai Dariya Minx ir Dario Taveri aiškino, kaip duomenų praradimo prevencijos (angl. data loss prevention, DLP) priemonės padeda stebėti jautrių duomenų naudojimą ir užkirsti kelią jų praradimui ar nutekinimui dėl darbuotojų klaidų.
„Baltimax“ vyresnysis kibernetinio saugumo inžinierius ir ESET ekspertas Lukas Apynis apžvelgė naujausias kibernetinių incidentų tendencijas ir jų reikšmę organizacijų saugumui. „Baltimax“ IT inžinierius Gediminas Mikelionis parodė, kaip „ManageEngine“ sprendimai padeda centralizuotai valdyti IT aplinką, automatizuoti pasikartojančias užduotis ir greičiau pastebėti sistemų sutrikimus.
DI keičia ir vadovų vaidmenį
Bendrovės „NFQ Technologies“ generalinis direktorius Paulius Insoda kalbėjo apie tai, kaip DI keičia ne tik kodo rašymą, bet ir komandų valdymą. Technologijos padeda dirbti greičiau, tačiau kartu kelia klausimų, kaip keisis darbuotojų vaidmenys, komandų darbas ir vadovų atsakomybė. Pasak P. Insodos, didžiausias DI eros pokytis vyksta ne inžinerijoje, o lyderystėje.
T. Parnarauskas taip pat pabrėžė, kad su technologijomis būtina žengti koja kojon, tačiau didžiausią vertę kuria žmonės. Šią mintį atliepė ir konferencijos tema „Move Smarter. Stay Secure.“ – judėti pirmyn reiškia ne tik diegti naujoves, bet ir gebėti jas saugiai valdyti.
Įmonės pasirengimą rodo ne įdiegtų sprendimų skaičius, o tai, ar darbuotojai atpažįsta grėsmes, žino, kam apie jas pranešti ir kokių veiksmų imtis pirmiausia. Jei atsakomybės pradedamos aiškintis tik įvykus incidentui, net ir pažangiausios priemonės gali nepadėti.
Tokie susitikimai IT bendruomenei svarbūs ne vien dėl pristatomų sprendimų. Atvirai kalbant apie incidentus ir padarytas klaidas, kitoms organizacijoms lengviau pastebėti savo silpnąsias vietas ir jas ištaisyti dar iki atakos.
Jei turite klausimų ar norite pasikonsultuoti kibernetinio saugumo temomis, kviečiame kreiptis į ESET ekspertus bei mūsų partnerius.
Kontaktai:
El.paštas: info@eset.lt Tel.+370 5 233 9992
„ESET Security Day” organizatoriai: ESET, „NOD Baltic”, „Baltimax”.
Dėkojame renginio partneriams ir pranešėjams: „Cyber Service“, „Bitė Lietuva“, „Nord Security“,„NRD Cyber Security“, „Safetica“, „Entry Scope“, „Nevda“, „ManageEngine“.