Kas tai? Eksperto įžvalgos

Ypatingos svarbos infrastruktūros apsauga nuo kibernetinių grėsmių: ką turime žinoti

Reklama publikuota: 2020-10-29
Dr. Tadas Jakštas,NRD Cyber Security kibernetinio saugumo pajėgumų vystymo ekspertas.
svg svg
Dr. Tadas Jakštas,NRD Cyber Security kibernetinio saugumo pajėgumų vystymo ekspertas.

Ypatingos svarbos infrastruktūros teikiamų paslaugų, tokių kaip elektros energijos, vandens, transporto, finansinių ar ryšio paslaugos, sutrikimai gali turėti tiesioginį ekonominį, socialinį ar net fizinį poveikį. Sutrikdę pasaulines tiekimo grandines, jie gali atnešti milžiniškus finansinius nuostolius verslui ir valstybei, bei sukelti pavojų žmonių sveikatai ar net gyvybei.  Patikima ir saugi infrastruktūra yra gyvybiškai svarbi ekonomikos klestėjimui, nes ji ne tik palaiko efektyvų verslo ir paslaugų veikimą, bet ir skatina ilgalaikį pasitikėjimą, planavimą ir investicijų pritraukimą. Taigi, ypatingos svarbos infrastruktūros atsparumo ir saugumo užtikrinimas gali būti tiesioginis ekonomikos augimo ir investicijų katalizatorius bei saugumo garantas.

Pavyzdžiui, Didžiosios Britanijos draudimo ir perdraudimo rinkos (LLOYD’s) užsakymu Kembridžo Universiteto Rizikų Studijų Centro atlikta studija parodė, kad kompleksinė kibernetinė ataka prieš Jungtinių Amerikos Valstijų elektros skirstomųjų tinklų operatorius ir blackout scenarijaus įgyvendinimas, priklausomai nuo trukmės, turėtų katastrofiškų pasekmių verslui ir padarytų finansinių nuostolių JAV ekonomikai nuo kelių šimtų milijardų iki trilijono dolerių.

Kalbant apie nacionalinį saugumą, svarbu suprasti, kad sėkmingas ir efektyvus karinių pajėgų dislokavimas ir veikimas labai priklauso nuo patikimo civilinės ypatingos svarbos sektorių paslaugų teikimo. Pavyzdžiui, NATO, kad palaikytų greitą ir veiksmingą karinių pajėgų judėjimą ir palaikymą, labai priklauso nuo civilinių ir komercinių išteklių ir infrastruktūros, tokios kaip geležinkeliai, jūrų uostai, oro uostai ir energetikos tinklai. Tai neabejotinai didina ypatingos svarbos infrastruktūros saugumo reikšmę krizių ar karinių konfliktų metu.

Didėjančios kompleksinės grėsmės

Grėsmių, kylančių ypatingos svarbos infrastruktūrai, spektras yra labai platus — nuo tiesioginių fizinių išpuolių (pvz. teroristinių atakų) iki gamtos stichijų (pvz. uraganai, potvyniai, žemės drebėjimai).

Vis dėlto, reikėtų atkreipti dėmesį, kad, dėl didėjančios skaitmenizacijos ir automatizacijos, ypatingos svarbos sektoriai tampa vis labiau pažeidžiami kibernetinėmis atakomis. Tai yra akivaizdu žvelgiant į paskutinių 5-erių metų kibernetinių atakų spektrą. Pavyzdžiui, 2015 m. BlackEnergy ataka prieš Ukrainos elektros skirstomųjų tinklų operatorių sutrikdė elektros tiekimą 220 tūkst. vartotojų. Techniškai sudėtingesnė ataka (Crashoverride), nors ir su mažesniais nuostoliais, buvo įvykdyta prieš dar vieną Ukrainos elektros skirstomųjų tinklų operatorius 2016 m. Žinoma, kad 2017 m. užpuolikai pirmą kartą panaudojo kenksmingą programą (Triton) tam, kad sutrikdytų saugumo sistemų veiklą vienoje iš naftos perdirbimo įmonių Saudo Arabijoje. Nors ataka ir neturėjo tiesioginių fizinių pasekmių, nes buvo pastebėta ir užkardyta, vis dėlto, tai buvo pirmas atvejis, kai užpuolikai nusitaikė į saugos sistemas, kurios atsakingos už industrinių procesų suvaldymą. Sėkmingas tokios atakos įgyvendinimas gali ne tik sutrikdyti infrastruktūrą ir sukelti milžiniškus finansinius nuostolius korporacijoms, bet taip pat sukelti tiesioginį pavojų darbuotojų ar aplinkinių žmonių gyvybėms.

[infogram id="9990d4cb-afc3-426f-b9c4-94dc71af15c8" prefix="N4F" format="interactive" title="TR:NRD"]

Ypatingos svarbos informacinės infrastruktūros saugumo stiprinimas

Ypatingos svarbos informacinės infrastruktūros saugumo stiprinimas yra kompleksinė užduotis, susidedanti iš skirtingų veiksmų. Kalbant apie kibernetinį saugumą, labai svarbus holistinis požiūris ir veiksmai, užtikrinantys aiškų sąryšį tarp strateginio, operacinio ir techninio lygių.

Strateginiame lygmenyje svarbu įvertinti, kaip valstybė yra pasirengusi atremti kibernetines grėsmes. Tam naudojami įvairūs metodai ir metrikos, kurios leidžia įvertinti valstybės kibernetinio saugumo brandos lygį. Viena iš žinomiausių metodikų yra sukurta Jungtinių Tautų Tarptautinės telekomunikacijų sąjungos (ITU). Jos sukurtas Globalus kibernetinio saugumo indeksas (angl. Global Cyber Security Index, GCI) vertina valstybių pastangas adaptuoti nacionalinę teisinę bazę, įgyvendinti techninius-organizacinius reikalavimus, vystyti pajėgumus ir bendradarbiavimą kibernetinio saugumo sektoriuje. Pagal ITU skelbiamą indeksą, Lietuva už savo požiūrį ir veiklas 2018 m. pakilo net į ketvirtą vietą pasaulyje. Vis dėlto, reikia pastebėti, kad dėl atnaujintos indekso metodikos, Lietuvos reitingas šiame indekse tikriausiai bus žemesnis 10 ar daugiau pozicijų, mus aplenkus didesnėms ir daugiau į kibernetinio saugumo nacionalinius gebėjimus investuojančioms šalims.

Viena iš galimų alternatyvų ITU vertinimui – Oksfordo universiteto mokslininkų sukurtas kibernetinio saugumo pajėgumų brandos modelis (angl. Cybersecurity Capacity Maturity Model for Nations, CMM). 2017 m., kartu su Vilniaus universiteto bei kibernetinio saugumo konsultacijų, reagavimo į saugumo incidentus bei technologijų diegimo įmonės NRD Cyber Security specialistais, Oksfordo universiteto ekspertai pritaikė šį modelį ir Lietuvoje. Nacionalinio vertinimo konsultacijose dalyvavo  daugiau kaip 20 Lietuvos viešojo ir privataus sektoriaus institucijų, įskaitant Vyriausybės kanceliariją, ministerijas, teisėsaugos ir teismų atstovus, Valstybinę duomenų apsaugos inspekciją, finansų sektorių bei privataus sektoriaus organizacijas. Su rezultatais galite susipažinti čia. Svarbiausias šio modelio privalumas yra tas, kad jo taikymo metu yra ne tik surenkami faktai apie teisės aktų ar institucijų egzistavimą, bet taip pat yra vertinamas realus jų poveikis. Į kibernetinio saugumo sistemą žiūrima per penkias dimensijas: kibernetinio saugumo politikos planavimo, teisinio reguliavimo, kibernetinės kultūros lygio, švietimo bei kibernetinio saugumo gerųjų praktikų taikymo valstybiniame ir privačiame sektoriuje.
Tik įvertinusi brandą, valstybė gali aiškiai suprasti esamus trūkumus kibernetinio saugumo ekosistemoje ir atlikti veiksmus šiems trūkumams pašalinti, pavyzdžiui, nustatyti, ar nacionaliniai teisės aktai ir kibernetinio saugumo strategija įtvirtina aiškų kritinės informacinės infrastruktūros apibrėžimą, reglamentuoja  kibernetinio saugumo incidentų reagavimo planus, nustato kibernetinio saugumo reikalavimus ypatingos informacinės infrastruktūros valdytojams.

Kitas svarbus žingsnis nacionaliniame lygmenyje yra suprasti, ką ir kodėl reikėtų saugoti. Dėl šios priežasties svarbu sukurti ir įgyvendinti ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką. Identifikavusi savo ypatingos svarbos informacinės infrastruktūros objektus, jų sąsajas bei pažeidžiamumus, valstybė gali paruošti efektyvų rizikų valdymo planą. Be to, tokios infrastruktūros gynybos planų sukūrimas gali padėti sustiprinti pasiruošimą valdyti kibernetinius incidentus bei dėl kibernetinių atakų kilusias nacionalines krizes. Lietuva yra sukūrusi ir įteisinusi nacionalinės ypatingos svarbos informacinės infrastruktūros objektų nustatymo metodiką, kuri leidžia struktūriškai ir nuosekliai įvertinti ypatingos svarbos infrastruktūrą, aktyviai įtraukiant visus kibernetinio saugumo ekosistemos dalyvius. Metodika buvo sėkmingai pritaikyta nacionalinės ypatingos svarbos informacinės infrastruktūros objektų sąrašo sudarymui, kuris vėliau buvo patvirtintas Vyriausybėje.

Operaciniame ir techniniame lygiuose svarbu užtikrinti stiprių nacionalinių ir sektorinių kibernetinio saugumo incidentų reagavimo komandų (angl. CSIRT) kūrimąsi, skatinti jas bendradarbiauti nacionaliniuose ir tarptautiniuose lygiuose. Tokių komandų steigimas organizacijose arba sektoriuose yra efektyvus būdas struktūrizuotai ir patikimai stebėti, valdyti ir reaguoti į kibernetinius incidentus.

Be nacionalinių pastangų, ES ir NATO taip pat prisideda prie ypatingos svarbos infrastruktūros stiprinimo. Pavyzdžiui, ES direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti padarė labai rimtą postūmį, padedant valstybėms identifikuoti kritinę infrastruktūrą, sukurti nacionalines kibernetinio saugumo incidentų reagavimo komandas bei nustatyti kibernetinio saugumo reikalavimus ypatingos svarbos infrastruktūros valdytojams. Be teisės aktų ar direktyvų kūrimo priemonių, taip pat labai svarbu skatinti valstybių bendradarbiavimą kibernetinio saugumo srityje, pagrįstą pasitikėjimu. Pavyzdžiui, NATO, nors ir neturi įstatymų leidimo galios, tačiau Aljanso sukurta kibernetinės gynybos pažado iniciatyva (angl. Cyber Defence Pledge) įgalina valstybes keistis informacija apie kibernetinio saugumo grėsmes, aptarti kibernetinio saugumo gerąsias praktikas bei pasitelkti kibernetinio saugumo sprendimų naujoves iš akademinės bendruomenės ir privataus sektoriaus.

Geriausias būdas apsisaugoti – kolektyvios pastangos

Eksponentinis verslo/pramonės skaitmenizavimas ir automatizavimas suteikia naujų galimybių ypatingos svarbos infrastruktūros modernizacijai, pasitelkiant technologijas, kurios leidžia optimizuoti ir sukurti efektyviai veikiančius gamybos ar tiekimo procesus. Vis dėlto, industrinio daiktų interneto (angl. Industrial Internet of Things) sukuriamos naujos galimybės taip pat išryškina akivaizdžias kibernetinio saugumo grėsmes. Ateityje užpuolikų, norinčių išnaudoti skaitmeninę tinklo aplinką, atakų spektras tik didės, išplisdamas visose “išmaniųjų” transporto, elektros tinklų ar finansų sistemose ir prasiskverbdamas į vis labiau susietas gamybos grandis.

Tik bendrų pastangų dėka, kai nacionaliniu kibernetinio saugumo stiprinimu rūpinasi ne tik valstybė, bet ir verslo subjektai bei kiekvienas iš mūsų, sustiprinsime savo atsparumą kibernetinėms grėsmėms.

Daugiau apie Ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką galite sužinoti čia.

Daugiau apie nacionalinių ir sektorinių kibernetinio saugumo incidentų reagavimo komandų (angl. CSIRT) kūrimą galite sužinoti čia.

Apie autorių: Dr. Tadas Jakštas yra NRD Cyber Security kibernetinio saugumo pajėgumų vystymo ekspertas, sukaupęs plačią patirtį dirbdamas su tarptautiniais saugumo ir gynybos projektais NATO ir Europos Sąjungos institucijose.

Gauk nemokamą VERSLO naujienlaiškį į savo el.pašto dėžutę:

Pasirinkite Jus dominančius NEMOKAMUS savaitraščius:













Svarbiausios dienos naujienos trumpai:



 
Rašyti komentarą 0
Kaip išlikti saugiems skaitmeninėje erdvėje: viena auksinė taisyklė Verslo tribūna

Pastaruoju metu viešumoje vienas po kito nuskambėję didelio masto duomenų nutekinimo incidentai daugelį...

07:45
Karantino gelbėjimo planas darbuotojams: edukacija apie savijautą ir pozityvios patirtys Verslo tribūna 1

Pasirūpinti savo darbuotojų psichologine sveikata – viena iš itin išryškėjusių darbdavių užduočių per...

2021.03.31
Naujoje realybėje „Dezifog“ tapo būtinybe Verslo tribūna 1

Praėjusiais metais užklupusi pandemija įmonių organizacijos kultūrą papildė dar viena dedamąja: darbuotojų ir...

2021.03.24
Europos Sąjungos kibernetinio saugumo teisės aktų pokyčiai: ką turime žinoti Verslo tribūna

Šiandieniniame pasaulyje nė viena organizacija ar įmonė nėra visiškai apsaugota nuo kibernetinių atakų ar...

2021.03.12
Neišnaudoto e-komercijos veiklos efektyvumo potencialo – apstu Verslo tribūna 2

Pandemija ir pirmasis karantinas pralaužė ledus įstrigusioje internetinėje prekyboje maisto produktais.

2021.03.09
„Dezifog“– naujas standartas Verslo tribūna

Kauno bendrovė „Efektyvūs saugos sprendimai“ kovoje su tebesitęsiančiu koronavirusu siūlo pasitelkti jų...

2021.02.25
Pakuočių atliekų tvarkymo viešieji konkursai savivaldybėse įsibėgėja Verslo tribūna

Kelerius metus trukusios Lietuvos gamintojų ir importuotojų organizacijų ir Vilniaus miesto savivaldybės...

2021.02.25
Nutikus nelaimei, verslui svarbiausia kuo greičiau grįžt į vėžes Verslo tribūna

Gaisras, dėl kurio visiškai sustojo įmonės veikla, o jai atnaujinti reikalingos elektros nėra ir greitu metu...

2021.02.22
Mokėjimų rinkos naujovės palengvins SVV dalią Verslo tribūna

Daugelį smulkiojo ir vidutinio verslo įmonių pandemija privertė spausti stabdį ar bent jau jungti neutralių...

2021.02.17
Koordinuodamos kibernetinių spragų atskleidimą įmonės mato naudą Verslo tribūna

Kibernetinio saugumo spragas norinčios pašalinti įmonės ir įstaigos vis dažniau naudojasi pagalba iš šalies –...

2021.02.01
Vilniaus „Grinda“ lietaus nuotekoms tvarkyti pasitelkė tvarios vandentvarkos principus Verslo tribūna

Baigusi judrios sostinės T. Narbuto gatvės lietaus nuotekų kolektoriaus rekonstrukciją, Vilniaus miesto...

2021.01.21
Inovatyvi paslaugų teikimo platforma sprendžia integralumo problemas ir leidžia įstaigoms savarankiškai teikti e. paslaugas Verslo tribūna

Įsismarkavusi pandemija privertė Lietuvą, kaip ir kitas pasaulio valstybes, atsisukti į skaitmeninius...

2020.12.03
Saugumo operacijų centrai – koncentruota gynyba prieš kibernetines atakas Verslo tribūna

Šiemet pandemija ne tik išmušė iš po kojų patikimas verslo strategijas, bet ir tapo padažnėjusių atakų...

2020.11.26
„Planas A“: kaip išlikti naujoje realybėje Verslo tribūna

Prie Šiaulių banko pagalbos projekto „Planas A“, kurio tikslas – sunkmečiu padėti smulkiajam verslui,...

2020.11.26
Tarp svarbiausių darbuotojų savybių – gebėjimas „kalbėti duomenimis“ Verslo tribūna

Nuolat augantis mus pasiekiančios informacijos srautas ir riboti laiko ištekliai daro įtaką kasdien priimamų...

2020.11.19
„Kelių priežiūra“: darbuotojų ugdymas augina konkurencingumą Verslo tribūna

AB „Kelių priežiūra“ įkurta 2017 m., sujungus 11 regioninių kelių priežiūros įmonių. Pora metų vėliau prie...

2020.11.16
Naujoji verslo realybė: kaip likti prie „Plano A“ Verslo tribūna

Šiaulių bankas iniciavo smulkiesiems verslams skirtą pagalbos projektą „Planas A“. Vienas iš jo tikslų –...

2020.11.04
Ypatingos svarbos infrastruktūros apsauga nuo kibernetinių grėsmių: ką turime žinoti Verslo tribūna 2

Ypatingos svarbos infrastruktūros teikiamų paslaugų, tokių kaip elektros energijos, vandens, transporto,...

2020.10.29
Skirtingi autentifikavimo būdai – kas laimėtų saugumo lenktynes? Verslo tribūna

Ilgą laiką buvęs mūsų atpažinimo karaliumi, slaptažodis sulaukia vis daugiau kritikos. Neretai slaptažodžiai...

2020.10.15
„Planas A“ – gelbėjimo ratas Lietuvos smulkiajam verslui Verslo tribūna 2

Smulkusis verslas dažnai vadinamas Europos stuburu, žemyno konkurenciniu pranašumu, šalies ekonomikos...

2020.09.24

Verslo žinių pasiūlymai

Šioje svetainėje naudojame slapukus (angl. „cookies“). Jie padeda atpažinti prisijungusius vartotojus, matuoti auditorijos dydį ir naršymo įpročius; taip mes galime keisti svetainę, kad ji būtų jums patogesnė.
Valdyti Sutinku