Kibernetinis saugumas daugeliui įmonių vis dar skamba kaip reikalas, kuriuo rūpinasi bankai, energetikos bendrovės ir valstybės institucijos. Mažoje gamybos įmonėje ar advokatų kontoroje dažnai kyla mintis, kad nusikaltėliams jų duomenys neįdomūs. Tai primena žmogų, kuris nerakina buto durų, nes „čia juk nieko vertingo nėra“. Tik įsilaužėliai duris tikrina ne pagal tai, kas už jų, o pagal tai, ar jos atrakintos.

Per keletą metų darbo su įmonėmis pastebėjau vieną dėsningumą: dauguma skaudžių incidentų prasideda ne nuo genialios atakos, o nuo paprastos spragos, kurią buvo galima užtaisyti per vieną popietę. Čia dalinuosi tuo, ką laikau būtiniausiu minimumu. Kibernetinio saugumo sprendimai gali būti gerokai paprastesni nei įprasta manyti, o kibernetinio saugumo paslaugos yra prieinamos ir mažam verslui.

Kodėl mažos įmonės tapo patogiu taikiniu

Didžioji dalis atakų nėra „asmeniška“. Automatizuoti įrankiai kasdien tikrina tūkstančius įmonių: ar pašto paskyra be papildomo patvirtinimo, ar serveris be naujausių pataisų, ar darbuotojas paspaus nuorodą. Kas pasitaiko pirmas, tas ir tampa auka. Lietuva čia jokia išimtis. 2022 m. vasarą šalį užplūdo DDoS atakos prieš valstybines ir privačias organizacijas, o Nacionalinis kibernetinio saugumo centras (NKSC) savo apžvalgose nuolat primena, kad sukčiavimas el. paštu ir išpirkos reikalaujančios kenkėjiškos programos išlieka tarp dažniausių grėsmių.

Yra ir teisinė bei komercinė pusė. Europos Sąjungos NIS2 direktyva išplėtė reikalavimus daugiau sektorių, o stambesni verslo klientai vis dažniau klausia tiekėjų, kaip šie tvarko saugumą. BDAR baudos už asmens duomenų apsaugos pažeidimus gali siekti 20 mln. eurų arba 4 proc. metinės apyvartos. Net jei tokia suma mažai įmonei nerealistiška, išlaidos incidentui likviduoti (prastova, išorės ekspertai, teisininkai, prarastas klientų pasitikėjimas) dažniausiai gerokai viršija tai, kas būtų kainavę užkirsti kelią.

Mantas, Rasa ir „skubus“ pavedimas

Prieš porą metų draugas Mantas, kuris su verslo partneriu valdo nedidelę logistikos įmonę, paskambino sutrikusiu balsu. Buhalterė Rasa, viena atidžiausių žmonių, kokius esu sutikęs, gavo laišką tarsi nuo įprasto tiekėjo: pasikeitė banko sąskaita, kitą apmokėjimą reikia siųsti į naują. Laiškas atrodė nepriekaištingai, net parašas sutapo, nes įsilaužėliai kelias savaites skaitė tikrą susirašinėjimą. Pavedimas išėjo. Dalį pinigų pavyko sustabdyti bendradarbiaujant su banku, likusi dalis dingo.

Mantas vėliau juokavo, kad tai brangiausias jo gyvenime saugumo mokymas. Svarbiausia pamoka buvo ne apie Rasą. Įmonėje tiesiog nebuvo taisyklės, kad rekvizitų pakeitimas tvirtinamas telefonu, o pašto paskyroms nebuvo įjungto papildomo patvirtinimo. Klaidą padarė ne žmogus, o procesas, kurio nebuvo.

Dviejų žingsnių autentifikacija ir slaptažodžiai

Jei reikėtų pasirinkti vieną veiksmą, duodantį didžiausią naudą už mažiausią kainą, rinkčiausi dviejų žingsnių autentifikaciją. Papildomas patvirtinimas per programėlę ar fizinį saugumo raktą, įjungtas el. pašte, buhalterinėje sistemoje, debesijos paslaugose ir nuotolinės prieigos įrankiuose, užkerta kelią didžiajai daliai paskyrų perėmimo atvejų, net kai slaptažodis jau nutekėjęs. SMS žinutės geriau nei nieko, bet programėlės ir raktai yra patikimesni.

Antra dalis – slaptažodžiai. Kiekvienai paslaugai reikia atskiro ir ilgo slaptažodžio, o žmogaus atmintis tam netinka. Čia praverčia slaptažodžių tvarkyklė, kurią verslas gali įsigyti visai komandai. „Vilnius2024!“ nėra slaptažodis, tai kvietimas įsilaužėliui pabendrauti.

Atnaujinimai ir atsarginės kopijos, kurias kas nors išbandė

Neatnaujintos programos yra atviras kvietimas. Žinomos spragos aprašomos viešai, o jų išnaudojimo instrukcijos plinta greičiau nei gamintojų pataisos. Automatiniai atnaujinimai operacinėms sistemoms, naršyklėms, biuro programoms ir tinklo įrenginiams yra paprasčiausias būdas išlaikyti tvarką. Dažniausiai pamirštami serveriai, spausdintuvai ir senos svetainių papildinių versijos.

Atsarginėms kopijoms galioja taisyklė 3-2-1: trys duomenų kopijos, dvi skirtingose laikmenose, viena laikoma atskirai nuo pagrindinio tinklo, geriausia nekeičiama arba atjungta, kad išpirkos reikalaujanti programa jos nepasiektų. Tačiau svarbiau už schemą yra patikrinimas. Atsarginė kopija, kurios niekas niekada nebandė atkurti, yra veikiau viltis nei kopija. Kartą per ketvirtį verta atkurti bent vieną svarbų failą ar sistemą ir pamatyti, kiek tai užtrunka.

Žmonės, procesai ir prieigos teisės

Kibernetinis saugumas yra ne vien technologijos. Trumpi, gyvi mokymai kelis kartus per metus veikia geriau nei viena nuobodi prezentacija per pirmąjį darbo mėnesį. Labai padeda paprastas kelias pranešti apie įtartiną laišką be baimės būti išbartam: žmogus, kuris prisipažįsta paspaudęs nuorodą per penkias minutes, išgelbsti įmonę, o besislapstantis dvi savaites ją pakiša po ledynu.

Procesai dažniausiai yra pigiausia priemonė. Mokėjimo rekvizitų keitimas tik su patvirtinimu telefonu, dviejų asmenų pritarimas didesniems pavedimams, aiški tvarka, kas gauna prieigą prie ko. Mažiausių privilegijų principas skamba rimtai, bet reiškia tik tiek, kad žmogus mato tai, ko reikia jo darbui. Išėjusių darbuotojų paskyros turėtų būti išjungiamos tą pačią dieną, o ne po pusmečio, kai kas nors netyčia pastebi.

Įrenginių, pašto ir tinklo apsauga

Čia į sceną išeina kibernetinio saugumo sprendimai, kurie dažnai atrodo painūs dėl gausybės pavadinimų, nors iš tikrųjų sprendžia keletą aiškių užduočių. Šiuolaikinė galinių įrenginių apsauga stebi kompiuterių elgesį, o ne tik ieško žinomų virusų. Pašto filtrai sulaiko didžiąją dalį sukčiavimo laiškų dar prieš jiems pasiekiant darbuotoją. Diskų šifravimas užtikrina, kad pamestas nešiojamasis kompiuteris netaptų duomenų nutekėjimo istorija. Ugniasienė ir tinklo suskirstymas neleidžia vienam užkrėstam įrenginiui pasiekti visko iš karto, o svečiams skirtas belaidis tinklas laikomas atskirai nuo darbinio.

Pirkti visko iš karto nereikia. Kibernetinio saugumo sprendimai geriausiai veikia tada, kai pasirenkami pagal realią riziką, o ne pagal tai, kas geriausiai blizgėjo pardavėjo pristatyme.

Incidentų planas: kas ką daro, kai viskas sustoja

Incidentai kartais įvyksta net tada, kai padaryta viskas teisingai. Svarbu, kad sprendimai tuomet nebūtų priimami paniškai penktadienio vakarą. Pakanka vieno puslapio: kas vadovauja reagavimui, kas skambina IT partneriui ir bankui, kur laikomi svarbiausi kontaktai (geriausia popieriuje, nes pašto sistema gali neveikti), kaip apie įvykį informuojami klientai.

Asmens duomenų pažeidimą, kuris kelia pavojų žmonių teisėms, BDAR reikalauja per 72 valandas pranešti Valstybinei duomenų apsaugos inspekcijai. Apie rimtus incidentus svarbiems sektoriams priskiriamos įmonės informuoja NKSC. Planą verta bent kartą per metus išbandyti per valandą trunkančias pratybas. Dažniausiai paaiškėja, kad niekas nežino, kur laikomas administratoriaus slaptažodis.

Kada verta pasitelkti išorės specialistus

Mažai ar vidutinei įmonei laikyti visą saugumo komandą retai apsimoka. Vienas IT specialistas, kuris kartu tvarko spausdintuvus, licencijas ir direktoriaus telefoną, fiziškai negali visą parą stebėti tinklo. Čia praverčia kibernetinio saugumo paslaugos: rizikų vertinimas, parodantis, nuo ko pradėti, silpnų vietų testavimas (dar vadinamas įsilaužimo testais), nuolatinė stebėsena ir reagavimas, darbuotojų mokymai, pagalba rengiant dokumentus, kurių reikalauja teisės aktai ar stambūs klientai. Išlaidos, numatytos kibernetinio saugumo paslaugoms, dažniausiai kur kas mažesnės nei kad ir vienos savaitės prastova.

Saugumo specialistas Bruce'as Schneieris yra pasakęs: „Saugumas yra procesas, o ne produktas.“ Ši mintis geriausiai paaiškina, kodėl vienkartinis įrankio pirkimas problemos neišsprendžia. Rinkdamasis kibernetinio saugumo paslaugų teikėją, atkreipčiau dėmesį į tris dalykus: ar jis kalba žmonių kalba, ar aiškiai pasako, ką ir kada padarys, ir ar nesistengia parduoti visko iš karto.

Ką padaryti šią savaitę

Kad viskas nesibaigtų teorija, pakanka nedidelio veiksmų sąrašo:

• Įjungti dviejų žingsnių autentifikaciją visose el. pašto ir finansinių sistemų paskyrose.
• Įdiegti slaptažodžių tvarkyklę ir pakeisti pasikartojančius slaptažodžius.
• Patikrinti, ar visuose įrenginiuose veikia automatiniai atnaujinimai.
• Išbandyti atsarginės kopijos atkūrimą su tikru failu.
• Sutarti, kad mokėjimo rekvizitų pakeitimai visada tikrinami telefonu.
• Užrašyti vieno puslapio incidentų planą ir kontaktų sąrašą.
• Išjungti buvusių darbuotojų paskyras.

Kelias prasideda nuo mažų žingsnių

Kibernetinis saugumas nėra vienkartinis projektas, po kurio galima atsikvėpti. Jis labiau primena higieną: dantų neplovimas irgi neatsiliepia iš karto, bet skaičiuoti pradedama vėliau. Mantas per mėnesį po incidento įvedė keturias iš čia paminėtų taisyklių ir sako, kad dabar ramiau miega. Rizika neišnyko, bet atsirado aiškumas ir planas. Pirmas žingsnis kainuoja vieną popietę ir puodelį kavos, o atidėliojant incidentas dažniausiai pasirenka laiką pats.