Birželį „Telia“ pristatė Skaitmeninės pažangos centrą, kuriame technologijų ekspertai skatina visuomenę sutelkti dėmesį į kibernetinį saugumą ir auginti atsparumą grėsmėms. Specialistai primena, kad skaitmeniniam imunitetui stiprinti, svarbiausia yra prevencija. Laikantis tam tikrų taisyklių galima išvengti įsilaužimų ir jų padaromos žalos tiek duomenims, tiek įmonės reputacijai.

Apsisaugokite nuo atakų iš įmonės vidaus

Anot centro vadovo A. Šemeškevičiaus, statistiškai 62 proc. visų vidinių įsilaužimų įmonėse įvyksta paprasčiausiai dėl darbuotojų aplaidumo. Eksperto teigimu, į darbo kompiuterį įdėtas neaiškios kilmės USB raktas ar darbuotojo paspausta įtartina nuoroda internete įmonei gali pridaryti milžiniškų nuostolių.

„Svarbu edukuoti darbuotojus ir netoleruoti jokio aplaidumo. Be to, aukščiausių kibernetinio saugumo standartų reikia reikalauti ir iš trečiųjų šalių – paslaugų teikėjų, turinčių teisę jungtis prie organizacijos tinklo. Būtina tinkamai valdyti prieigos teises ir slaptažodžių kūrimo bei keitimo procesus“, – pažymi A. Šemeškevičius.

Anot eksperto, rizikas sumažina virtualaus privataus tinklo (VPN – angl. virtual private network) naudojimas, taip pat taisyklių, apibrėžiančių, su kokiomis sistemomis darbuotojai gali dirbti iš namų, nustatymas. Be to, gali būti pravartu prieigą prie tam tikrų sistemų darbuotojams suteikti tik darbo metu bei naudoti mobiliųjų išmaniųjų prietaisų saugos sprendimus.

„Svarbu nuolat stebėti situaciją ir reaguoti į incidentus. Šios užduotys neturėtų gulti vien tik ant IT skyriaus pečių. Prie kibernetinio saugumo užtikrinimo privalo prisidėti ir padalinių bei komandų vadovai, personalo skyrius. Tik bendromis pastangomis galima užtikrinti tinkamą apsaugą nuo vidinių kibernetinių grėsmių“, – sako A. Šemeškevičius.

Užkirskite kelią DDoS ir kitoms išorės atakoms

Anot A. Šemeškevičiaus, šiandien vienos labiausiai paplitusių yra paslaugų trikdymo (DDoS) atakos. Jų metu iš išorės tinklų į vidinius organizacijos serverius nukreipiama daugybė užklausų. Jei sistema nėra tinkamai apsaugota, ji yra pernelyg apkraunama ir „užlūžta“. Kenkėjiškos užklausos koordinuotai į įmonės serverius gali būti nukreipiamos iš daugelio pasaulio šalių – sistema nepajėgia jų visų apdoroti ir taip sutrikdomi tam tikri įmonės veiklos procesai, tampa nepasiekiama jos interneto svetainė.

„Kartais DDoS atakos naudojamos kaip savotiška dūmų uždanga įsilaužimams į įmonės sistemas ir duomenų vagystėms. Apsiginti nuo tokių atakų gali padėti patikima tinklo aplikacijų ugniagesė, kuri aptinka anomalijas, atitinkamai reaguoja ir užkerta kelią kenkėjiškai veiklai. Saugantis nuo tokių atakų taip pat labai svarbu tinkamai parinkti IT sistemos nustatymai. Pavyzdžiui, papildomu saugikliu gali tapti nustatymai, kurie prie įmonės IT sistemos leidžia jungtis tik darbo dienomis, tik per specifines operacines sistemas ar tik iš tam tikro pasaulio regiono“, – sako A. Šemeškevičius.

„Telia“ Skaitmeninės pažangos centro vadovo teigimu, taip pat labai svarbu pasirūpinti ilgais ir sudėtingais sistemų slaptažodžiais, o verslui itin reikšmingus duomenis šifruoti kriptografinėmis priemonėmis. Be to, darbuotojams turi būti suteikta prieiga prie tokio IT sistemų lygmens, kuri jiems yra iš ties reikalinga. Galiausiai, reikėtų nepamirti laiku atnaujinti programinę įrangą, pasirūpinti alternatyviomis ryšio linijomis ir sistemas nuolat testuoti.

Tinkamai valdykite debesijos paslaugas

Debesijos technologijos yra naudojamos vis plačiau ir leidžia dalintis informacija, prie jos ir tam tikrų aplikacijų prieiti iš bet kurios pasaulio vietos. Visgi tame slypi ir tam tikri pavojai, o įmonėms vis daugiau savo duomenų ir procesų iškeliant į „debesis“ nepasirūpinimo jų saugumu kaina taip pat didėja.

„Nereikėtų manyti, kad pasirinkus tokius debesijos infrastruktūros tiekėjus, kaip „Amazon“, „Microsoft“, „Google“ ar IBM, jiems galima palikti ir visus su saugumu susijusius klausimus. Tiekėjai tik suteikia infrastruktūrą, kuri turi šimtus parinkčių. Statistika rodo, kad 62 proc. kibernetinių incidentų debesijos aplinkoje nutinka dėl klaidingai pasirinktų nustatymų. Naudojantis debesijos platformomis būtina tinkamai nustatyti, kas, kada, kokiu būdu ir iš kurių vietų galės jungtis prie IT sistemų“, – sako A. Šemeškevičius.

Pasirūpinkite, kad kuriant WEB aplikacijas būtų laikomasi aukštų saugumo standartų

Anot A. Šemeškevičiaus, pažeidžiama organizacijos kibernetinio saugumo vieta gali tapti ir WEB aplikacijos – t. y. programos, kurios veikia internete. Jų užsakovai ir kūrėjai dažnai nekelia ir nesilaiko aukštų saugumo reikalavimų, o pirmenybę teikia mažesniems kaštams.

„Saugumą omenyje reikėtų turėti nuo pat WEB aplikacijų kūrimo pradžios. Būtina reikalauti, kad programų kūrėjai vadovautųsi standartiniu kūrėjų ir internetinių programų saugumo informavimo dokumentu „OWASP“. Tokį reikalavimą verta įrašyti į sutartis su programų kūrėjais. Jeigu vėliau įmonė dėl saugumo incidentų patirtų nuostolių ir paaiškėtų, kad kūrėjai nesivadovavo šiais standartais, užsakovas galėtų pareikalauti garantinio remonto ar žalos atlyginimo“, – pažymi A. Šemeškevičius.

Laiku atnaujinkite techninę įrangą

A. Šemeškevičiaus, kartais įmonės susigundo įsigyti seno modelio įrangą, nes ji, pasirodžius naujai versijai, parduodama su nuolaida. Nors iš pirmo žvilgsnio toks variantas gali atrodyti išties patraukus, nes ir senesnei įrangai paprastai galioja garantija, tačiau neretai vėliau paaiškėja, kad įrangos palaikymas iš gamintojo pusės greitai baigsis. Kai taip nutiks, įranga naudotis taps nesaugu.

„Be įrangos atnaujinimų kompromituojama kibernetinė įmonės sauga. Dėl to rekomenduojama įsigyti naujausią įrangą, o perkant senesnę – būtinai pasidomėti, kada baigsis jos programinis palaikymas“, – pataria A. Šemeškevičius.

Naudokite naujausias programinės įrangos versijas

A. Šemeškevičius taip pat pažymi ir patikimos programinės įrangos svarbą. Ekspertas pažymi, kad tais atvejais, kai įmonė pati kuria ar užsisako individualizuotą programinę įrangą, didelė tikimybė, kad ji niekada nebus atnaujinama. Tam vėliau greičiausiai neatsiras lėšų biudžete.

„Dėl to geriau rinktis pasaulinius sprendimus, kurie yra nuolat atnaujinami. Daugeliu atvejų tai leidžia palaikyti ne tik aukštesnį saugumo lygį, bet ir geresnį funkcionalumą. Taip pat svarbu ilgai neužsibūti prie tos pačios programos versijos jos neatnaujinant, nes vėliau padaryti didelį šuolį ir be jokių tarpinių laiptelių pereiti prie daug naujesnės programinės įrangos versijos bendrovei gali būti labai brangu, o procesas pareikalauti daug laiko“, – pažymi A. Šemeškevičius.

Pasirūpinkite alternatyvia interneto ryšio infrastruktūra

Svarbi kibernetinio saugumo dedamoji, anot A. Šemeškevičiaus, yra rezervinis ryšys. Tai gali būti dubliuota linija – fiksuotas šviesolaidis ir mobilusis ryšys ar kombinacija su palydoviniu ryšiu.

„Turimą ryšio įrangą taip pat svarbu testuoti. Kiekvieno testo metu, kai iš įrangos fiziškai ištraukiamas laidas, išryškėja trūkumai, dėl kurių avarijos atveju veiklos atnaujinimas užtruktų. Įmonėms taip pat verta pasirūpinti atsarginiu ryšiu nuotoliniam darbui, taip pat atsargine įranga bei naudoti hibridinės debesijos sprendimus“, – sako A. Šemeškevičius.

Būkite pasiruošė greitai atkurti veiklą

A. Šemeškevičiaus teigimu, organizacijoms svarbu būti pasiruošus nepalankiems scenarijams ir patyrus kibernetinę ataką gebėti operatyviai atstatyti sutrikdytus veiklos procesus.

„Pasitaiko atvejų, kai įmonės kibernetiniams nusikaltėliams sumoka didžiules pinigų sumas, kad tik kuo greičiau galėtų tęsti veiklą. Pavyzdžiui, laikrodžių, navigacijos sistemų ir kitų įrenginių gamintoja „Garmin“ programišiams sumokėjo 10 mln. eurų išpirką mainais į savo IT sistemų atkūrimo raktus. Įmonė paskaičiavo, kad pačiai atkurti veiklą užtruktų dvi savaites. Visą šį laiką bendrovės pagaminti laikrodžiai, navigacijos sistemos bei kita įranga neveiktų, o tai lemtų didesnius, nei sumokėta išpirka, finansinius nuostolius ir žalą reputacijai“, – pasakoja A. Šemeškevičius.

Anot eksperto, įmonėms verta atlikti testus, kurie parodo, kiek laiko užtruktų įmonės veiklos atstatymas po tam tikrų saugumo incidentų. Be to, A. Šemeškevičiaus teigimu, bendrovėms svarbu gerai apgalvoti ir atsarginių kopijų darymo bei saugojimo strategiją.

Pasirenkite krizių valdymo planą

Pasak A. Šemeškevičiaus, įvykus kibernetinei atakai būtina remtis krizių valdymo taisyklėmis. Kiekvienai įmonei svarbu turėti kibernetinės atakos valdymo planą, kuriame būtų numatyti už atakos pasekmių šalinimą atsakingą komanda, veiksmų seka, komunikacijos veiksmai, pasitelkiami techniniai įrankiai.

„Neturint plano atsakas gali būti chaotiškas – pavyzdžiui, gali paaiškėti, kad el. paštas neveikia, o reikalingų telefono numerių niekas nežino ar apskrita nėra aišku, kas už ką atsako. Savo veiksmus kibernetinių atakų atveju taip pat svarbu dokumentuoti, nes vėliau tokių dokumentų gali prireikti teisėsaugai ar tariantis dėl žalos atlyginimo. Patirtos atakos masto ir vertinimo svarbu nekomentuoti viešai, nes tokiu būdu informacija perduodama ir kibernetiniams nusikaltėliams, kurie atitinkamai gali koreguoti tolimesnę atakos strategiją bei taktiką“, – sako A. Šemeškevičius.

Nepamirškite kibernetiniam saugumui numatyti atskiros biudžeto eilutės

Išlaidas kibernetiniam saugumui įmonės dažnai įtraukia į bendrą IT veiklos biudžetą. Visgi, „Telia“ technologijų vadovo teigimu, praktikoje tai dažnai reiškia, kad lėšų kibernetiniam saugumui paprasčiausiai nelieka arba šiai sričiai skiriami tik IT biudžeto likučiai.

„IT saugai skirtas biudžetas privalo turėtų atskirą eilutę – ji neturėtų būti sumaišoma su bendru IT veiklos biudžetu, nes tuomet kyla didelė tikimybė, kad visos lėšos bus skirtos IT plėtrai, o saugai nieko neliks. Įmonių vadovams reikia suprasti, kad kibernetinio saugumo sritis šiandien yra gyvybiškai svarbi, todėl jai numatyti reikiamas lėšas ir naudoti jas pagal paskirtį“, – sako A. Šemeškevičius.

A. Šemeškevičiaus manymu, kibernetinių grėsmių tik daugės, todėl įmonėms ir institucijoms svarbu neprarasti budrumo, pakankamai investuoti į savo kibernetinę saugą ir vadovautis svarbiausiomis saugumo taisyklėmis.

Terapinių ir psichologinei sveikatai galinčių padėti programėlių rinkos vertė pernai išaugo ketvirtadaliu ir šiandien siekia apie 5 milijardus eurų. Prognozuojama, kad per artimiausius 10 metų skaičius kils iki 26 milijardų. Tačiau amerikiečių nevyriausybinės organizacijos „Mozilla Foundation“ atliktas tyrimas parodė, kad ne visomis tokiomis programėlėmis galima pasitikėti. Tyrėjai apžvelgė 32 terapines programėles ir nustatė, kad bent 22 iš jų turi rimtų saugumo ir privatumo spragų.

„Turime suprasti, kad tokiose programėlėse žmonės dalijasi ypač jautria informacija, tačiau jose nereikalaujama iš naudotojų sudėtingų slaptažodžių, todėl nulaužti kieno nors paskyrą yra kur kas lengviau. Kitos galbūt prašo prieigos prie tam tikrų duomenų, kurie nebūtinai yra reikalingi, pavyzdžiui, vietos nustatymo, mikrofono, kameros ar nuotraukų albumo. O yra ir tokių, kurios tiesiog be jokių skrupulų jūsų surinktus jautrius duomenis parduos reklamdaviams“, – perspėja „Telia Global Services Lithuania“ IT paslaugų tiekimo specialistas Tomas Niparavičius.

Dėl tokių programėlių naudojimo ypač suklusti turėtų tie, kurie naudoja darbovietės paskirtą mobilųjį telefoną. Suteikus prieigą prie įrenginio, vidiniai organizacijos duomenys gali tapti atviri trečiosioms šalims, tokiu atveju tai taps jau ne tik jūsų privatumo klausimu, tačiau kils grėsmė ir įmonės saugomos informacijos saugumui.

Vis labiau populiarėja psichologinės pagalbos programėlės, kuriose žmonėms yra suteikiama galimybė konsultuotis tiesiogiai ir gauti atsakymus į nerimą keliančius klausimus. Pasak specialisto, įtartinomis reikėtų laikyti tas programėles, kuriose galima interaktyviai bendrauti su dirbtiniu intelektu.

„Kai kurios aplikacijos nurodo, kad vartotojo pokalbio su chatbot’u niekas negali pamatyti, tačiau pačios programėlės privatumo politikoje nurodoma, kad tokie susirašinėjimai gali būti panaudoti analizuojant aplikacijos efektyvumą ir tobulinant verslo bei marketingo strategijas. Programėlė fiksuoja visas vartotojo interakcijas su dirbtiniu intelektu, įskaitant ir nuotraukas, vaizdo ar garso įrašus, kurie atsiranda susirašinėjimo metu. Tai jau savaime kelia įtarimą“, – įspėja T. Niparavičius. 

Nesaugios gali būti net orų prognozių programėlės

Specialistas įspėja, kad nesąžiningai naudoti vartotojų asmeninę informaciją gali ne tik terapinės, bet ir bet kitos pramoginės programėlės. Todėl net jei darbo reikalais į darbo įrenginį parsisiuntėte meteorologinių prognozių programėlę, turėtumėte būti atsargūs ir bet kuo nepasitikėti.

„Atrodytų, net ir nekaltos orų prognozių programėlės iš tiesų gali būti ne tokios ir nekaltos. Informacija apie jūsų lokaciją gali būti parduota trečiosioms šalims reklaminiais tikslais. Negana to, kai kurios orų aplikacijos prašo priėjimo prie vartotojų kontaktų, kameros ar mikrofono. Juk tai visai nereikalinga informacija programėlei, kuria jūs naudojatės tik orams sužinoti“, – sako T. Niparavičius.

Įvairių programėlių saugumą tiriančios nevyriausybinės organizacijos sako, kad atidžiai reikėtų sekti ir kokias aplikacijas naudoja vaikai. Neseniai atliktas tyrimas parodė, kad iš 200 populiariausių vaikams skirtų programėlių, net 73% aplikacijų seka vartotojų elgseną, o surinkta informacija dalinasi su trečiosiomis šalimis. Todėl, primena specialistas, rekomenduojama neduoti vaikams darbinių įrenginių ar būti ypač dėmesingiems naudojantis jais. 

Kaip apsaugoti asmeninę informaciją?

Ekspertas ramina, kad toks kai kurių programėlių kūrėjų elgesys dar nereiškia, kad iš telefonų reikia ištrinti visas aplikacijas ir jomis nesinaudoti. Tačiau imtis papildomų apsisaugojimo priemonių – verta.

„Pirmiausiai, prieš atsisiųsdami aplikaciją į savo išmanųjį įrenginį, paskaitykite atsiliepimus apie ją. Įdiegdami programėlę perskaitykite jos privatumo ir saugumo politikos taisykles bei įvertinkite, kokios informacijos ji reikalauja. Be to, pravartu išmanųjį įrenginį laikyti tvarkingą – ištrinkite programėles, kurių nebenaudojate,“, – pataria T. Niparavičius.

Specialistai taip pat pabrėžia, kad ištrynus programėlę iš įrenginio, apie jus surinkta informacija dažniausiai nėra ištrinama. Tačiau kiekvienas vartotojas, norintis, kad informacija apie jį būtų ištrinta, turi tokią teisę ir su šiuo prašymu gali kreiptis į programėlių kūrėjus.