Lietuvos verslas atvirai – apie klaidas, kurios tapo didžiausiomis pamokomis

Renginyje verslo klientams „Telia IT Gyvai“ Lietuvos įmonės dalijosi savo patirtimi ir pamokomis, kurios paskatino investuoti į IT saugumą.

Maža klaida tapo baisiausia naktimi gyvenime

Kartais vienas neteisingai nuspaustas mygtukas gali sukelti nemenkus nuostolius visai įmonei. Laboratorinės diagnostikos ir profilaktinės sveikatos priežiūros paslaugų tinklą „Antėja“ vystančios „Diagnostikos laboratorijos“ IT skyriaus vadovas Vaidas Gudas tuo įsitikino savo kailiu.

„Atliekant sistemos pakeitimus kompiuterio ekrane iššoko baltas langas. Pagalvojau, kad reikia viską išsaugoti, bet paspaudus „Save“ mygtuką, sistema pradėjo viską trinti. Deja, sustabdyti to nebepavyko, viskas dingo. Atsarginės kopijos buvo daromos tik kas savaitę. Verslas sustojo, nebegalėjome priimti užsakymų, teko atstatinėti duomenis senomis priemonėmis“, – prisiminimais dalijosi V. Gudas.

Duomenų atstatymas įmonei truko 24 valandas. Tai, anot V. Gudo, buvo sunkiausia para jo gyvenime, kuri privertė įsivertinti, kiek gali kainuoti tokie incidentai ir investuoti daugiau į prevencines priemones – savalaikes atsargines duomenų kopijas ir šių kopijų periodinius atstatymo (angl. Disaster Recovery) testus.

Investuoti svarbu, dar svarbiau – tikrinti

„Telia“ produktų ir kainodaros vadovas Giedrius Jasonas pastebėjo, kad atliekant finansinį auditą visuomet prašoma pateikti įrodymus, jog kuriate atsargines kopijas ir testuojate sistemų atsparumą. Tačiau tai nėra viskas – reikia ir aiškaus veiksmų plano.

„Vien varnelės neužtenka. Tiek versle, tiek valstybiniame sektoriuje turėjome ne vieną pavyzdį, kad formaliai kopijos ir testai atliekami, bet įvykus incidentui viskas sugriūna ir darbas stoja. Neužtenka turėti teorines procedūras – reikia aiškaus veiksmų plano „Kas jeigu“ ir periodiškai tikrinti, kaip viskas veikia“, – pabrėžė G. Jasonas.

Tokius testus atlieka ir pati „Telia“. Pavyzdžiui, periodiškai perjungia sistemų pajėgumus iš vieno duomenų centro į kitą – taip nuolat tikrinama, ar incidento atveju viskas vyktų sklandžiai, darbuotojai žinotų, ką daryti, užtektų resursų.

Žinoma, svarbu būti visada pasiruošus, tačiau testų nereikėtų atlikti visiškai slapta. Tiekėjai ir partneriai turėtų bent jau žinoti, kad tokią praktiką taikote. Su tokiu atveju susidūrė klinikinių tyrimų bendrovė „Biomapas“.

„Pagal savo griežtas IT saugumo procedūras, mes tikriname ne tik savo, bet ir tiekėjų naudojamas IT sistemas. Turime vieną atvejį, kad pradėjus dirbti su vienu tiekėju, mes standartiškai atlikome jų sistemų saugumo testą. Problema buvo ta, kad tiekėjas negavo mūsų įspėjimo apie testą laiku, tad pamatęs mūsų vykdomus testus, laikinai užblokavo prieigą“, – prisiminė „Biomapo“ IT skyriaus vadovas Mindaugas Mitkus.

Darbuotojų rankose – didžiausias įmonės turtas

Ne mažiau svarbu tikrinti ir darbuotojų atsparumą atakoms.

„Ne tik nuolat organizuojame darbuotojų mokymus IT sistemų saugumo bei kibernetinių atakų klausimais, bet ir aktyviai juos tikriname. Pavyzdžiui, atliekame vidines phishing‘o atakas – savo darbuotojams siunčiame netikrus el. laiškus su paslėptomis nuorodomis, bandome išgauti duomenis, leidžiančius prisijungti prie įmonės paskyrų. Iš vykdomų testų matome, kad mūsų darbuotojai yra vis geriau pasiruošę atpažinti realius IT sistemų saugumo pavojus, – sakė M. Mitkus. – Visa tai padeda užtikrinti, kad mūsų įmonės IT sistemų sauga būtų nuolat didinama.“

Taip pat „Biomapas“ savo darbuotojams nuolat primena, kad bet kokia verslo informacija yra įmonės nuosavybė, kurią būtina saugoti ir negalima neteisėtai dalintis. „Pagalvokite, kas gali padaryti daugiau žalos – ar sukčiams pervesti 100 tūkst. eurų, ar kertinių verslo duomenų perdavimas konkurentams arba kitoms trečiosioms šalims?“ – retoriškai klausė M. Mitkus.

Darbuotojų edukacijos ir taisyklių kartais neužtenka, dėl to pravartu investuoti ir į naudotojų prieigų valdymą. Vienas iš pavyzdžių – privilegijuotų prieigų valdymo sistema (Privilleged Access Management, PAM). Pasak G. Jasono, tokia sistema leidžia užtikrinti, kad, pavyzdžiui, įmonės paštą administruojantis darbuotojas neturėtų prieigos prie finansų sistemos. „Administratorius per PAM prisijungia, atlieka darbą ir atsijungia – gali būti, kad net nemato suvestų slaptažodžių. Taip ne tik užtikrinamas slaptažodžių galiojimo terminas, bet ir pasirūpinama auditavimo priemonėmis. Kilus nesklandumams ar administratoriui išėjus iš darbo, visada turime slaptažodžius, įrašus, viską galime atsekti“, – sakė „Telia“ ekspertas.