Tačiau, pasak IT infrastruktūros ir kibernetinio saugumo sprendimų bendrovės „Santa Monica Networks“ direktoriaus Mindaugo Žiūko, vien technologijų neužtenka.
„Ilgą laiką kibernetinis saugumas buvo suvokiamas kaip IT specialistų sritis. Jie turėjo rūpintis sistemomis, o vadovui svarbiau buvo pardavimai, gamyba, finansai, darbuotojai. Šiandien toks atskyrimas jau nepasiteisina. Kibernetinis incidentas gali sustabdyti pačią įmonės veiklą, todėl tai tampa vadovo, o ne vien IT skyriaus problema“, – sako vadovas.
Nuo ko iš tikrųjų prasideda saugumas?
Susiję straipsniai
Technologijų rinkoje pasirinkimas didžiulis, tačiau vien įsigyti saugumo sprendimą neužtenka. M. Žiūkas pabrėžia, kad vadovas pirmiausia turėtų suprasti, kokias verslo rizikas reikia suvaldyti investuojant į kibernetinį saugumą.
„Vienas dalykas yra norėti atitikti reguliuojančių institucijų reikalavimus ir uždėti varnelę ataskaitoje, kad štai, turime reikiamas sistemas. Visai kitas – įvertinti, kokias rizikas kibernetinės grėsmės kelia įmonės veiklai, finansams ir reputacijai, ir pasiruošti išlaikyti veiklos tęstinumą incidento atveju: turėti aiškias procedūras, žinoti atsakomybes ir gebėti greitai reaguoti.“
Technologija šioje grandinėje yra tik įrankis, todėl organizacijai tenka galvoti ir apie žmones, kurie rūpinsis jos veikimu, atnaujinimu bei priežiūra. Vienos įmonės buria stiprias vidines komandas, kitos pasitelkia išorės specialistus, tačiau abiem atvejais vadovybei reikia suprasti, nuo ko priklauso verslo atsparumas.
„Sistema pati iš savęs neapsaugo. Ji yra įrankis laiku aptikti, pastebėti ar užkardyti grėsmę, bet už kiekvieno technologinio sprendimo yra žmogus.
Todėl nereikėtų susikoncentruoti vien į technologijas. Reikia stiprinti ir žmonių gebėjimą suvaldyti krizę“, – pabrėžia M. Žiūkas.
Vadovui reikėtų užduoti nepatogų klausimą
Įmonės vadovui nebūtina žinoti, kaip techniškai veikia konkreti kibernetinio saugumo sistema.
Tačiau jis turėtų gebėti atsakyti į kur kas nepatogesnį klausimą: kas nutiktų įmonei, jei svarbiausios jos sistemos rytoj tiesiog nustotų veikti? Kiek laiko verslas galėtų funkcionuoti be jų ir kokią kainą tektų sumokėti už kiekvieną neveikimo valandą?
„Pavyzdžiui, prekybos centro atveju, neveikimo tolerancija greičiausiai skaičiuojama minutėmis, o ne valandomis ir tikrai ne dienomis. Vadovas turi suprasti, kokią finansinę žalą sukels tas neveikimas: kiek prarasime pajamų, jeigu mūsų sistemos bus sutrikusios ir veikla nefunkcionuos“, – aiškina jis.
Dar vienas svarbus dalykas – kokie įmonės duomenys ir funkcijos yra kritiniai. Vadovybė turėtų aiškiai žinoti, kokios informacijos praradimas galėtų iš esmės sutrikdyti ar net sustabdyti organizacijos veiklą.
Nuostoliai skaičiuojami ne tik pinigais
Kibernetinio incidento kaina matuojama ne vien išlaidomis sistemoms atkurti. Kai nustoja veikti svarbios sistemos, stringa kasdienis verslas, o pasekmės gali paliesti ir įmonės reputaciją bei klientų pasitikėjimą.
Tai gerai iliustruoja 2020-ųjų atvejis, kai kibernetinė ataka kelioms dienoms sutrikdė JAV sporto ir navigacijos įrenginių gamintojos „Garmin“ veiklą. Neveikė dalis svetainės funkcijų, klientų aptarnavimo sistemos, „Garmin Connect“ platforma ir kitos paslaugos.
Panašią riziką 2023 metų gruodį patyrė ir Kauno technologijos universitetas: kibernetinė ataka sutrikdė daugelio sistemų veiklą, o vėliau universitetas paskelbė apie nesankcionuotą prieigą prie paveiktose sistemose tvarkytų asmens duomenų.
„Tokiais atvejais įmonė labai greitai pamato, kad kibernetinio incidento kaina nėra vien duomenų atkūrimas ar IT darbai. Jei dėl incidento nuteka jautrūs duomenys ar ilgesniam laikui sutrinka paslaugos, nukenčia ir klientų pasitikėjimas. Todėl kibernetinio saugumo riziką būtina vertinti plačiau – nepamirštant ir to, ką incidentas gali reikšti įmonės reputacijai“, – teigia M. Žiūkas.
Lietuvoje incidentų daugėja, bet apie atsparumą kalbama per mažai
Kad kibernetinės grėsmės nėra vien teorinė rizika, rodo ir Lietuvos duomenys. „Valstybinė duomenų apsaugos inspekcija 2024 metais gavo 273 pranešimus apie asmens duomenų saugumo pažeidimus. Paveiktų duomenų subjektų skaičius viršijo 1,46 mln. Net 52 proc. pažeidimų buvo susiję su žmogiškąja klaida, o trečdalis visų atvejų kilo dėl kibernetinių incidentų“, – sako M. Žiūkas.
Įsilaužėliui gali užtekti žmogiškos klaidos
Apie darbuotojų vaidmenį kibernetiniame saugume kalbama daug, įmonės investuoja į mokymus ir reakcijų testavimą. Tačiau vadovų klaidų pasekmės gali būti gerokai didesnės.
Pavyzdžiui, suklastotas laiškas, kuriame finansų vadovės vardu prašoma atlikti skubų pavedimą, paprastam darbuotojui gali neturėti jokios praktinės reikšmės, tačiau įmonės vadovas gali turėti ir prieigą, ir teisę tokį pavedimą patvirtinti.
„Mes ir patys, kaip kibernetinio saugumo įmonė, suprantame, kad esame pažeidžiami. Todėl darbuotojų mokymams skiriame daug dėmesio: į kasdienį darbą įterpiame mokomuosius dalykus, testuojame žmonių reakcijas, stebime, kaip jie elgiasi realistiškose situacijose, ir iš to darome išvadas. Turėdami kibernetinio saugumo kompetenciją, galime į šį procesą žiūrėti gerokai atidžiau ir nuosekliau. Kibernetinis saugumas turi tapti įmonės higiena“, – įsitikinęs M. Žiūkas.
Kibernetinis saugumas – nuolatinis veiksmas
Tačiau mokymai yra tik viena dalis. Keičiasi ir technologijos, ir grėsmės.
„Kibernetinio saugumo priemonės – ne tas pats, kas gera namų spyna. Tai tęstinis procesas. Darbuotojų kompetenciją reikia kelti, sprendimus atnaujinti, prižiūrėti, palaikyti. Jeigu įmonėje trūksta kompetencijos, ją galima pasitelkti iš išorės – svarbu turėti patikimą partnerį. Jis ne tik padėtų prižiūrėti ir valdyti kibernetinio saugumo sprendimus, bet ir padėtų įmonei saugiai prisitaikyti prie sparčiai besikeičiančios aplinkos, įvertinti naujas rizikas ir nuolat adaptuoti ilgalaikę įmonės kibernetinio saugumo strategiją“, – sako M. Žiūkas.
Pasak jo, išorėje grėsmių paketas kiekvienais metais keičiasi ir plečiasi, o dirbtinis intelektas šį procesą tik dar labiau spartina ir komplikuoja.
„Dėl to praėjusiais metais nupirkti sprendimai šiais metais jau gali būti nebeaktualūs arba jų priemonių sąrašą reikia gerokai praplėsti.“
M. Žiūkas kibernetinį saugumą lygina su draudimu.
„Absoliutus saugumas neegzistuoja. Kaip ir draudimo polisas neapsaugo nuo audros, potvynio ar eismo įvykio, bet sumažina žalą. Kibernetinio saugumo priemonės veikia panašiai: svarbu būti pasiruošusiam incidentui, kad jam įvykus galėtum kuo greičiau sumažinti žalą ir atkurti veiklą.“