Nauji kibernetinio saugumo reikalavimai – ir tiekimo grandinėse dalyvaujantiems paslaugų teikėjams

Šiuo metu jame yra 1443 organizacijos iš 11 ypatingos svarbos ir 7 kitų itin svarbių sektorių. Jos visos, pagal atnaujintą Kibernetinio saugumo įstatymą, privalės laikytis aukštesnių kibernetinio saugumo standartų. Nors šiuo metu TIS2 reikalavimai tiesiogiai taikomi tik didžiausioms ir kritinę infrastruktūrą valdančioms įmonėms (elektros, vandens, dujų tiekimo, pašto paslaugų ir kt.), tačiau direktyva numato, kad jų turės laikytis ir mažesnės organizacijos, veikiančios šių bendrovių tiekimo grandinėse. Taip yra todėl, kad kibernetinio saugumo pažeidimų per tiekimo grandines kasmet daugėja, o mažesnių įmonių saugumas tampa ne mažiau svarbus nei didžiųjų. 2023 m. statistika rodo, kad apie 61% kibernetinio saugumo incidentų organizacijose kilo per trečiųjų šalių tiekėjus (ProcessUnity, 2023), o net 98% didžiųjų Europos įmonių patyrė bent vieną incidentą, susijusį su partnerių infrastruktūra (SecurityScorecard, 2023). Taigi mažesnėms įmonėms dabar yra geras metas įsivertinti rizikas, numatyti biudžetą ir pradėti įgyvendinti reikiamus kibernetinio saugumo pokyčius. Čia ypač svarbi tampa Europos Sąjungos teikiama parama – ji padeda finansuoti reikalingus sprendimus: nuo kibernetinio saugumo vertinimo ir konsultacijų iki konkrečių techninių tinklo apsaugojimo priemonių diegimo. 

Įdiegtas pažangus kibernetinio saugumo sprendimas

UAB „Iterato“, veikianti IT sprendimų srityje, pasinaudojo Europos Sąjungos programa „Labai mažų, mažų ir vidutinių įmonių kibernetinio atsparumo didinimas“  ir modernizavo turimą IT tinklo infrastruktūrą. Projektas iš dalies finansuotas ES ir Lietuvos valstybės lėšomis. „Supratome, kad mūsų verslo tęstinumas bei klientams teikiamų paslaugų saugumas tiesiogiai priklauso nuo kibernetinės apsaugos lygio. Šis projektas leido greitai įgyvendinti svarbiausius techninius sprendimus ir pasiekti aukštą saugumo lygį, atitinkantį tiek GDPR, tiek TIS2 reikalavimus,“ – sako UAB „Iterato“ vadovė Reda Pietarienė.

UAB „Iterato“ kibernetinio saugumo rizikų vertinimą atliko Lietuvos kibernetinių nusikaltimų kompetencijų ir tyrimų centras (L3CE) bendradarbiaudamas su tarptautinio projekto CYSSME ekspertais, o vieną iš technologinių sprendimų atliko UAB „Avedus“ – patyrusi kibernetinio saugumo įmonė, dirbanti su tokiais gamintojais kaip Fortinet, Radware, SentinelOne ir kitais. Per mėnesį buvo modernizuota visa „Iterato“ informacinių technologijų tinklo infrastruktūra: esami kibernetinio saugumo sprendimai pakeisti pažangiais „Fortinet“ kompanijos produktais, o tinklas tapo centralizuotai valdomas per „Fortinet Security Fabric“ platformą. Sprendime integruotos „Fortinet“ ugniasienės, komutatoriai, bevielio tinklo prieigos taškai (Wi-Fi), virtualaus privataus tinklo (VPN) prieiga, programiškai valdomas plataus tinklo ryšys (SD-WAN) su atsarginėmis kopijomis bei vartotojų autentifikavimo sprendimai.

„Mūsų tikslas buvo padėti klientui paprastai ir efektyviai pereiti prie saugesnės IT aplinkos, kad atitiktų visus saugumo reikalavimus. Džiaugiamės, kad „Iterato“ pasitikėjo mumis viso projekto metu – nuo sprendimų pasirinkimo iki diegimo,“ – sako UAB „Avedus“ IT projektų vadovas Paulius Deimantas. „Rezultatas – saugi, lanksti ir ateities iššūkiams pasirengusi IT infrastruktūra, padedanti klientui užtikrinti paslaugų kokybę ir didinti klientų pasitikėjimą.”

Šiuo metu visos įmonės yra pereinamajame laikotarpyje TIS2 direktyvai įgyvendinti – tad dabar yra tinkamas metas pasiruošti ir pradėti spręsti kibernetinio saugumo iššūkius.

„Svarbu ne tik atitikti šiandieninius saugumo reikalavimus, bet ir planuoti sprendimus ilgam laikui. Kibernetinio saugumo priemonės turi būti tvarios, lengvai integruojamos ir pritaikomos prie būsimų reguliavimo pokyčių. Taip pat svarbu rinktis partnerius, kurie ne tik tiekia įrangą, bet ir turi realią patirtį diegiant sprendimus, užtikrinant jų palaikymą bei teisinį atitikimą,“ – teigia UAB „Avedus“ IT projektų vadovas P. Deimantas.

SOC paslaugos – aktyviai IT tinklo stebėsenai

Labai svarbi kibernetinio saugumo užtikrinimo dalis yra nuolatinė tinklo stebėsena ir incidentų valdymas. Atsižvelgiant į tai, UAB „Avedus“ jau kuris laikas teikia klientams kibernetinio saugumo valdymo centro (SOC) paslaugą. Ji nuo kitų Lietuvoje veikiančių SOC teikėjų paslaugų skiriasi tuo, kad integruoja gamintojų teikiamas „SOC kaip paslauga“ (SOCaaS) ir UAB „Avedus” techninius resursus į vieną sprendimą. Tai leidžia Lietuvos įmonėms naudotis globalių gamintojų ir paslaugų teikėjų, tokių kaip „Fortinet“ ar „SentinelOne”, SOC valdymo centrų paslaugomis, tuo pačiu turint lokalų aptarnavimą lietuvių kalba. Pavyzdžiui, „Fortinet SOC“ paslaugos atveju įspėjimai greitai rūšiuojami naudojant pažangų dirbtinį intelektą (DI), mašininį mokymąsi (ML) ir „Fortinet” analitikus, kad būtų galima atskirti nereikšmingus įvykius ir nustatyti incidentus, į kuriuos reikia atkreipti dėmesį. Patvirtinus incidentą, „Fortinet“ pateikia rekomendacijas ir praneša klientui vos per 15 minučių.    

Globalių SOC panaudojimas, lyginant su lokaliais SOC, turi gerokai daugiau privalumų, nes globalūs SOC centrai gauna visapusišką informaciją iš visų savo stebėjimo vietų, realiu metu analizuoja kibernetines atakas įvairiose geografinėse lokacijose ir keičiasi šia informacija. Tai padeda ne tik realiu laiku stebėti, reaguoti į grėsmes 24/7/365, bet ir prognozuoti galimas atakas. „Avedus“ SOC darbuotojai padeda bendrauti su gamintojų SOC centrais, papildomai analizuoja klientų įvykių įrašus ir teikia klientui konsultacijas ir sprendimus. 

 Šaltiniai:

1. Programa  „Labai mažų, mažų ir vidutinių įmonių kibernetinio atsparumo didinimas ir naujo kibernetinio saugumo ugdymo turinio, skirto neformaliajam švietimui, kūrimas“ pagal 2021–2027 m. Skaitmeninės Europos programos 3 konkretų tikslą „Kibernetinis saugumas ir pasitikėjimas“ - https://cpva.lt/kvietimai/kvietimas-teikti-paraiskas-labai-mazu-mazu-ir-vidutiniu-imoniu-kibernetinio-atsparumo-didinimas-ir-naujo-kibernetinio-saugumo-ugdymo-turinio-skirto-neformaliajam-svietimui-kurimas-pagal-20212027-m-ska

2. ProcessUnity & Prevalent. (2023). Third-Party Risk Management Study. https://www.processunity.com/resources/

3. SecurityScorecard. (2023). Europe's Top 100 Companies Cybersecurity Threat Report. https://securityscorecard.com/research/