Kibernetinis saugumas Lietuvos verslui jau nėra tik didelių organizacijų ar technologijų sektoriaus klausimas. Net ir maža įmonė, turinti kelis darbuotojus, elektroninį paštą, buhalterinę sistemą, interneto svetainę ar klientų duomenų bazę, tampa skaitmeninės rizikos dalimi. Praktikoje tai reiškia, kad kibernetinė ataka gali sutrikdyti pardavimus, logistiką, atsiskaitymus, gamybą ar reputaciją, net jei pati įmonė nelaiko savęs technologiškai pažangia.
Lietuvos kontekste ši tema ypač aktuali. Nacionalinio kibernetinio saugumo centro duomenimis, 2024 m. Lietuvoje užregistruoti 3 874 kibernetiniai incidentai, tai yra 63 proc. daugiau nei 2023 m. Todėl kibernetinio saugumo sprendimai turėtų būti vertinami ne kaip papildoma IT išlaidų eilutė, o kaip veiklos tęstinumo, finansinės apsaugos ir pasitikėjimo klientais dalis.
Kibernetinis saugumas prasideda nuo bazinės higienos
Pirmasis ir dažnai pigiausias sprendimas – aiškios skaitmeninės higienos taisyklės. Kiekviena įmonė turėtų turėti tvarką, kaip kuriami, saugomi ir keičiami slaptažodžiai, kas gali jungtis prie vidinių sistemų, kaip naudojamas elektroninis paštas, kokie įrenginiai leidžiami darbui ir kaip elgiamasi gavus įtartiną laišką.
Versle vis dar pasitaiko situacijų, kai keli darbuotojai naudoja tą patį prisijungimą prie bendros sistemos, slaptažodžiai saugomi naršyklėje ar užrašų knygelėje, o buvusiems darbuotojams prieigos panaikinamos tik po kelių savaičių. Tokios spragos dažnai nereikalauja sudėtingų įsilaužimo metodų – pakanka pavogto slaptažodžio arba neatsargaus paspaudimo.
Bazinis sprendimas – slaptažodžių valdymo įrankis, privalomas kelių veiksnių autentifikavimas ir periodinė prieigų peržiūra. Tai prieinama beveik kiekvienai įmonei, nes dauguma šiuolaikinių el. pašto, debesijos ir verslo valdymo sistemų jau turi šias funkcijas.
Kelių veiksnių autentifikavimas – paprasta, bet efektyvi apsauga
Kelių veiksnių autentifikavimas yra vienas svarbiausių sprendimų, kurį verta įdiegti nedelsiant. Jis reiškia, kad prisijungimui nepakanka vien slaptažodžio – papildomai reikia patvirtinimo telefone, specialioje programėlėje ar kitu saugiu būdu.
Tai ypač svarbu el. paštui, buhalterinėms sistemoms, klientų duomenų bazėms, debesijos saugykloms, socialinių tinklų paskyroms ir administravimo aplinkoms. Įmonėms, kurios dirba su viešaisiais pirkimais, elektroninėmis sąskaitomis, klientų asmens duomenimis ar komercinėmis paslaptimis, toks sprendimas turėtų būti laikomas minimaliu standartu.
Dažna klaida – manyti, kad kelių veiksnių autentifikavimas apsunkins darbą. Iš tiesų gerai sukonfigūruotas sprendimas kasdienėje veikloje sukelia mažai nepatogumų, tačiau reikšmingai sumažina riziką, kad pavogtas slaptažodis taps tiesioginiu keliu į įmonės sistemas.
Atsarginės kopijos ir veiklos atkūrimo planas
Atsarginės kopijos yra vienas praktiškiausių būdų apsisaugoti nuo išpirkos reikalaujančių virusų, duomenų praradimo, darbuotojų klaidų ar techninių gedimų. Tačiau vien turėti kopijas nepakanka. Reikia aiškiai žinoti, kur jos saugomos, kaip dažnai daromos, kas turi prieigą ir per kiek laiko įmonė galėtų atkurti veiklą.
Lietuvos smulkiajam ir vidutiniam verslui aktualus klausimas – ne tik ar duomenys saugomi, bet ir kiek kainuotų viena diena be jų. Pavyzdžiui, prekybos įmonė be užsakymų istorijos, gamybos įmonė be brėžinių ar paslaugų įmonė be klientų sutarčių gali patirti tiesioginius finansinius nuostolius jau pirmą sutrikimo dieną.
Rekomenduotina laikytis principo, kad kopijos būtų saugomos keliose vietose: vietinėje laikmenoje, debesijoje ir atskirai nuo pagrindinės sistemos. Taip pat būtina bent kelis kartus per metus patikrinti, ar duomenis iš tikrųjų galima atkurti.
Darbuotojų mokymai – apsauga nuo brangiausių klaidų
Daug kibernetinių incidentų prasideda ne nuo technologinės spragos, o nuo žmogaus klaidos. Darbuotojas paspaudžia netikrą nuorodą, atidaro užkrėstą priedą, patvirtina netikrą mokėjimą arba suveda slaptažodį suklastotoje svetainėje. Todėl kibernetinis saugumas turi būti ne tik IT vadovo, bet ir visos organizacijos atsakomybė.
Įmonėms verta reguliariai rengti trumpus praktinius mokymus: kaip atpažinti sukčiavimo laiškus, kaip tikrinti siuntėjo adresą, kaip elgtis gavus netikėtą mokėjimo prašymą, ką daryti pastebėjus įtartiną veiklą kompiuteryje. Mokymai neturi būti ilgi ar akademiški. Svarbiausia, kad jie būtų periodiški, paremti realiais pavyzdžiais ir pritaikyti konkrečios įmonės veiklai.
Lietuvos versle ypač svarbu mokyti finansų, pardavimų, personalo ir administracijos darbuotojus, nes būtent jie dažnai dirba su sąskaitomis, tiekėjų duomenimis, sutartimis ir asmens informacija.
Programinės įrangos atnaujinimai ir įrenginių priežiūra
Kiekviena įmonė turėtų turėti aiškią programinės įrangos atnaujinimo tvarką. Neatnaujintos operacinės sistemos, naršyklės, verslo programos, interneto svetainių turinio valdymo sistemos ar papildiniai yra vienas dažniausių kelių įsilaužėliams.
Tai ypač aktualu įmonėms, kurios turi interneto svetaines, elektronines parduotuves ar klientų savitarnos sistemas. Net ir paprasta reprezentacinė svetainė gali tapti problema, jeigu per ją platinamas kenkėjiškas kodas, renkamos klientų prisijungimo detalės ar gadinama įmonės reputacija.
Praktinis sprendimas – inventorizuoti visą naudojamą programinę įrangą, paskirti atsakingą asmenį už atnaujinimus ir atsisakyti nebenaudojamų sistemų. Versle tai dažnai pamirštama: sena testinė svetainė, nenaudojama pašto dėžutė ar buvusio darbuotojo kompiuteris gali tapti silpnąja grandimi.
Prieigų valdymas ir darbuotojų rolės
Ne kiekvienas darbuotojas turi turėti prieigą prie visų duomenų. Įmonėje turėtų galioti mažiausių būtinų teisių principas – darbuotojas gauna tik tas prieigas, kurios reikalingos jo darbui. Tai sumažina žalą, jeigu paskyra pavagiama arba darbuotojas netyčia atlieka netinkamą veiksmą.
Prieigų valdymas ypač svarbus augančioms įmonėms. Kol komandoje dirba penki žmonės, viskas atrodo paprasta. Tačiau kai darbuotojų skaičius išauga iki kelių dešimčių, atsiranda padaliniai, išoriniai partneriai, rangovai, laikini darbuotojai. Be aiškios tvarkos tampa sunku suprasti, kas ką gali matyti, keisti ar eksportuoti.
Gera praktika – peržiūrėti prieigas bent kartą per ketvirtį, nedelsiant panaikinti jas išėjus darbuotojui ir atskirai kontroliuoti administratoriaus teises.
Tinklo, el. pašto ir debesijos apsauga
Šiuolaikinės įmonės dažnai dirba hibridiniu būdu: dalis darbuotojų biure, dalis namuose, dalis kelionėse. Todėl svarbu apsaugoti ne tik biuro tinklą, bet ir debesijos paslaugas, nuotolinę prieigą, el. paštą bei mobiliuosius įrenginius.
Prieinami sprendimai apima ugniasienes, antivirusinę ir pažangesnę galinių įrenginių apsaugą, el. pašto filtravimą, saugų VPN, įrenginių šifravimą, debesijos prieigų kontrolę. Mažai įmonei nebūtina iš karto diegti brangiausių technologijų, tačiau būtina suprasti, kurios sistemos yra kritinės ir kokia apsauga joms reikalinga.
Svarbu ir tai, kad sprendimai būtų prižiūrimi. Nupirkta, bet netinkamai sukonfigūruota saugumo sistema gali sudaryti klaidingą saugumo jausmą.
Incidentų valdymo planas
Kiekviena įmonė turėtų turėti trumpą ir praktišką planą, ką daryti įvykus incidentui. Plane turi būti atsakyta į kelis klausimus: kas priima sprendimus, kam pranešama pirmiausia, kaip izoliuojamas pažeistas įrenginys, kaip informuojami klientai ar partneriai, kaip atkuriami duomenys, kada kreipiamasi į išorės specialistus.
Tokio plano vertė paaiškėja tada, kai situacija tampa įtempta. Be plano įmonės dažnai gaišta laiką, sprendimai priimami chaotiškai, o žala didėja. Net vieno puslapio instrukcija gali padėti išvengti brangių klaidų.
Kada kreiptis į kibernetinio saugumo profesionalus
Dalis sprendimų yra prieinami kiekvienai įmonei ir gali būti įgyvendinti savarankiškai arba su įprastu IT administratoriumi. Tačiau yra situacijų, kai vidinių kompetencijų nepakanka. Į kibernetinio saugumo profesionalus verta kreiptis, kai įmonė tvarko jautrius klientų duomenis, patiria pasikartojančius incidentus, diegia naują verslo sistemą, plečia elektroninę prekybą, jungia gamybos įrangą prie tinklo arba nežino, kokios spragos realiai egzistuoja jos infrastruktūroje.
Profesionalai gali atlikti saugumo auditą, pažeidžiamumų vertinimą, įsilaužimo testavimą, incidento tyrimą, parengti saugumo politiką, padėti atitikti teisės aktų reikalavimus ir sukurti realų veiklos atkūrimo planą. Tai ypač svarbu, kai kibernetinio saugumo sprendimai įmonėje jau įdiegti, bet nėra aišku, ar jie veikia tinkamai.
Verslo požiūriu svarbiausia ne siekti absoliutaus saugumo, nes tokio nėra, o sistemingai mažinti didžiausias rizikas. Kibernetinis saugumas turi tapti nuolatiniu valdymo procesu: su atsakingais asmenimis, aiškiais prioritetais, biudžetu, mokymais ir periodine kontrole. Įmonės, kurios tai supranta anksčiau, paprastai patiria mažiau sutrikimų, greičiau atsigauna po incidentų ir atrodo patikimiau klientų bei partnerių akyse.
Parašykite komentarą