Kas tai? Eksperto įžvalgos

Ypatingos svarbos infrastruktūros apsauga nuo kibernetinių grėsmių: ką turime žinoti

Reklama publikuota: 2020-10-29
Dr. Tadas Jakštas,NRD Cyber Security kibernetinio saugumo pajėgumų vystymo ekspertas.
svg svg
Dr. Tadas Jakštas,NRD Cyber Security kibernetinio saugumo pajėgumų vystymo ekspertas.

Ypatingos svarbos infrastruktūros teikiamų paslaugų, tokių kaip elektros energijos, vandens, transporto, finansinių ar ryšio paslaugos, sutrikimai gali turėti tiesioginį ekonominį, socialinį ar net fizinį poveikį. Sutrikdę pasaulines tiekimo grandines, jie gali atnešti milžiniškus finansinius nuostolius verslui ir valstybei, bei sukelti pavojų žmonių sveikatai ar net gyvybei.  Patikima ir saugi infrastruktūra yra gyvybiškai svarbi ekonomikos klestėjimui, nes ji ne tik palaiko efektyvų verslo ir paslaugų veikimą, bet ir skatina ilgalaikį pasitikėjimą, planavimą ir investicijų pritraukimą. Taigi, ypatingos svarbos infrastruktūros atsparumo ir saugumo užtikrinimas gali būti tiesioginis ekonomikos augimo ir investicijų katalizatorius bei saugumo garantas.

Pavyzdžiui, Didžiosios Britanijos draudimo ir perdraudimo rinkos (LLOYD’s) užsakymu Kembridžo Universiteto Rizikų Studijų Centro atlikta studija parodė, kad kompleksinė kibernetinė ataka prieš Jungtinių Amerikos Valstijų elektros skirstomųjų tinklų operatorius ir blackout scenarijaus įgyvendinimas, priklausomai nuo trukmės, turėtų katastrofiškų pasekmių verslui ir padarytų finansinių nuostolių JAV ekonomikai nuo kelių šimtų milijardų iki trilijono dolerių.

Kalbant apie nacionalinį saugumą, svarbu suprasti, kad sėkmingas ir efektyvus karinių pajėgų dislokavimas ir veikimas labai priklauso nuo patikimo civilinės ypatingos svarbos sektorių paslaugų teikimo. Pavyzdžiui, NATO, kad palaikytų greitą ir veiksmingą karinių pajėgų judėjimą ir palaikymą, labai priklauso nuo civilinių ir komercinių išteklių ir infrastruktūros, tokios kaip geležinkeliai, jūrų uostai, oro uostai ir energetikos tinklai. Tai neabejotinai didina ypatingos svarbos infrastruktūros saugumo reikšmę krizių ar karinių konfliktų metu.

Didėjančios kompleksinės grėsmės

Grėsmių, kylančių ypatingos svarbos infrastruktūrai, spektras yra labai platus — nuo tiesioginių fizinių išpuolių (pvz. teroristinių atakų) iki gamtos stichijų (pvz. uraganai, potvyniai, žemės drebėjimai).

Nemokami naujienlaiškiai į savo el. pašto dėžutę:













Svarbiausios dienos naujienos trumpai:



 

Vis dėlto, reikėtų atkreipti dėmesį, kad, dėl didėjančios skaitmenizacijos ir automatizacijos, ypatingos svarbos sektoriai tampa vis labiau pažeidžiami kibernetinėmis atakomis. Tai yra akivaizdu žvelgiant į paskutinių 5-erių metų kibernetinių atakų spektrą. Pavyzdžiui, 2015 m. BlackEnergy ataka prieš Ukrainos elektros skirstomųjų tinklų operatorių sutrikdė elektros tiekimą 220 tūkst. vartotojų. Techniškai sudėtingesnė ataka (Crashoverride), nors ir su mažesniais nuostoliais, buvo įvykdyta prieš dar vieną Ukrainos elektros skirstomųjų tinklų operatorius 2016 m. Žinoma, kad 2017 m. užpuolikai pirmą kartą panaudojo kenksmingą programą (Triton) tam, kad sutrikdytų saugumo sistemų veiklą vienoje iš naftos perdirbimo įmonių Saudo Arabijoje. Nors ataka ir neturėjo tiesioginių fizinių pasekmių, nes buvo pastebėta ir užkardyta, vis dėlto, tai buvo pirmas atvejis, kai užpuolikai nusitaikė į saugos sistemas, kurios atsakingos už industrinių procesų suvaldymą. Sėkmingas tokios atakos įgyvendinimas gali ne tik sutrikdyti infrastruktūrą ir sukelti milžiniškus finansinius nuostolius korporacijoms, bet taip pat sukelti tiesioginį pavojų darbuotojų ar aplinkinių žmonių gyvybėms.

[infogram id="9990d4cb-afc3-426f-b9c4-94dc71af15c8" prefix="N4F" format="interactive" title="TR:NRD"]

Ypatingos svarbos informacinės infrastruktūros saugumo stiprinimas

Ypatingos svarbos informacinės infrastruktūros saugumo stiprinimas yra kompleksinė užduotis, susidedanti iš skirtingų veiksmų. Kalbant apie kibernetinį saugumą, labai svarbus holistinis požiūris ir veiksmai, užtikrinantys aiškų sąryšį tarp strateginio, operacinio ir techninio lygių.

Strateginiame lygmenyje svarbu įvertinti, kaip valstybė yra pasirengusi atremti kibernetines grėsmes. Tam naudojami įvairūs metodai ir metrikos, kurios leidžia įvertinti valstybės kibernetinio saugumo brandos lygį. Viena iš žinomiausių metodikų yra sukurta Jungtinių Tautų Tarptautinės telekomunikacijų sąjungos (ITU). Jos sukurtas Globalus kibernetinio saugumo indeksas (angl. Global Cyber Security Index, GCI) vertina valstybių pastangas adaptuoti nacionalinę teisinę bazę, įgyvendinti techninius-organizacinius reikalavimus, vystyti pajėgumus ir bendradarbiavimą kibernetinio saugumo sektoriuje. Pagal ITU skelbiamą indeksą, Lietuva už savo požiūrį ir veiklas 2018 m. pakilo net į ketvirtą vietą pasaulyje. Vis dėlto, reikia pastebėti, kad dėl atnaujintos indekso metodikos, Lietuvos reitingas šiame indekse tikriausiai bus žemesnis 10 ar daugiau pozicijų, mus aplenkus didesnėms ir daugiau į kibernetinio saugumo nacionalinius gebėjimus investuojančioms šalims.

Viena iš galimų alternatyvų ITU vertinimui – Oksfordo universiteto mokslininkų sukurtas kibernetinio saugumo pajėgumų brandos modelis (angl. Cybersecurity Capacity Maturity Model for Nations, CMM). 2017 m., kartu su Vilniaus universiteto bei kibernetinio saugumo konsultacijų, reagavimo į saugumo incidentus bei technologijų diegimo įmonės NRD Cyber Security specialistais, Oksfordo universiteto ekspertai pritaikė šį modelį ir Lietuvoje. Nacionalinio vertinimo konsultacijose dalyvavo  daugiau kaip 20 Lietuvos viešojo ir privataus sektoriaus institucijų, įskaitant Vyriausybės kanceliariją, ministerijas, teisėsaugos ir teismų atstovus, Valstybinę duomenų apsaugos inspekciją, finansų sektorių bei privataus sektoriaus organizacijas. Su rezultatais galite susipažinti čia. Svarbiausias šio modelio privalumas yra tas, kad jo taikymo metu yra ne tik surenkami faktai apie teisės aktų ar institucijų egzistavimą, bet taip pat yra vertinamas realus jų poveikis. Į kibernetinio saugumo sistemą žiūrima per penkias dimensijas: kibernetinio saugumo politikos planavimo, teisinio reguliavimo, kibernetinės kultūros lygio, švietimo bei kibernetinio saugumo gerųjų praktikų taikymo valstybiniame ir privačiame sektoriuje. Tik įvertinusi brandą, valstybė gali aiškiai suprasti esamus trūkumus kibernetinio saugumo ekosistemoje ir atlikti veiksmus šiems trūkumams pašalinti, pavyzdžiui, nustatyti, ar nacionaliniai teisės aktai ir kibernetinio saugumo strategija įtvirtina aiškų kritinės informacinės infrastruktūros apibrėžimą, reglamentuoja  kibernetinio saugumo incidentų reagavimo planus, nustato kibernetinio saugumo reikalavimus ypatingos informacinės infrastruktūros valdytojams.

Kitas svarbus žingsnis nacionaliniame lygmenyje yra suprasti, ką ir kodėl reikėtų saugoti. Dėl šios priežasties svarbu sukurti ir įgyvendinti ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką. Identifikavusi savo ypatingos svarbos informacinės infrastruktūros objektus, jų sąsajas bei pažeidžiamumus, valstybė gali paruošti efektyvų rizikų valdymo planą. Be to, tokios infrastruktūros gynybos planų sukūrimas gali padėti sustiprinti pasiruošimą valdyti kibernetinius incidentus bei dėl kibernetinių atakų kilusias nacionalines krizes. Lietuva yra sukūrusi ir įteisinusi nacionalinės ypatingos svarbos informacinės infrastruktūros objektų nustatymo metodiką, kuri leidžia struktūriškai ir nuosekliai įvertinti ypatingos svarbos infrastruktūrą, aktyviai įtraukiant visus kibernetinio saugumo ekosistemos dalyvius. Metodika buvo sėkmingai pritaikyta nacionalinės ypatingos svarbos informacinės infrastruktūros objektų sąrašo sudarymui, kuris vėliau buvo patvirtintas Vyriausybėje.

Operaciniame ir techniniame lygiuose svarbu užtikrinti stiprių nacionalinių ir sektorinių kibernetinio saugumo incidentų reagavimo komandų (angl. CSIRT) kūrimąsi, skatinti jas bendradarbiauti nacionaliniuose ir tarptautiniuose lygiuose. Tokių komandų steigimas organizacijose arba sektoriuose yra efektyvus būdas struktūrizuotai ir patikimai stebėti, valdyti ir reaguoti į kibernetinius incidentus.

Be nacionalinių pastangų, ES ir NATO taip pat prisideda prie ypatingos svarbos infrastruktūros stiprinimo. Pavyzdžiui, ES direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti padarė labai rimtą postūmį, padedant valstybėms identifikuoti kritinę infrastruktūrą, sukurti nacionalines kibernetinio saugumo incidentų reagavimo komandas bei nustatyti kibernetinio saugumo reikalavimus ypatingos svarbos infrastruktūros valdytojams. Be teisės aktų ar direktyvų kūrimo priemonių, taip pat labai svarbu skatinti valstybių bendradarbiavimą kibernetinio saugumo srityje, pagrįstą pasitikėjimu. Pavyzdžiui, NATO, nors ir neturi įstatymų leidimo galios, tačiau Aljanso sukurta kibernetinės gynybos pažado iniciatyva (angl. Cyber Defence Pledge) įgalina valstybes keistis informacija apie kibernetinio saugumo grėsmes, aptarti kibernetinio saugumo gerąsias praktikas bei pasitelkti kibernetinio saugumo sprendimų naujoves iš akademinės bendruomenės ir privataus sektoriaus.

Geriausias būdas apsisaugoti – kolektyvios pastangos

Eksponentinis verslo/pramonės skaitmenizavimas ir automatizavimas suteikia naujų galimybių ypatingos svarbos infrastruktūros modernizacijai, pasitelkiant technologijas, kurios leidžia optimizuoti ir sukurti efektyviai veikiančius gamybos ar tiekimo procesus. Vis dėlto, industrinio daiktų interneto (angl. Industrial Internet of Things) sukuriamos naujos galimybės taip pat išryškina akivaizdžias kibernetinio saugumo grėsmes. Ateityje užpuolikų, norinčių išnaudoti skaitmeninę tinklo aplinką, atakų spektras tik didės, išplisdamas visose “išmaniųjų” transporto, elektros tinklų ar finansų sistemose ir prasiskverbdamas į vis labiau susietas gamybos grandis.

Tik bendrų pastangų dėka, kai nacionaliniu kibernetinio saugumo stiprinimu rūpinasi ne tik valstybė, bet ir verslo subjektai bei kiekvienas iš mūsų, sustiprinsime savo atsparumą kibernetinėms grėsmėms.

Daugiau apie Ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką galite sužinoti čia.

Daugiau apie nacionalinių ir sektorinių kibernetinio saugumo incidentų reagavimo komandų (angl. CSIRT) kūrimą galite sužinoti čia.

Apie autorių: Dr. Tadas Jakštas yra NRD Cyber Security kibernetinio saugumo pajėgumų vystymo ekspertas, sukaupęs plačią patirtį dirbdamas su tarptautiniais saugumo ir gynybos projektais NATO ir Europos Sąjungos institucijose.

Pasirinkite jus dominančias įmones ir temas – asmeniniu naujienlaiškiu informuosime iškart, kai jos bus minimos „Verslo žiniose“, „Sodros“, Registrų centro ir kt. šaltiniuose.

VLK kibernetinį atsparumą stiprina bendradarbiaudama su „NRD Cyber Security“ Verslo tribūna

Valstybinė ligonių kasa prie Sveikatos apsaugos ministerijos (VLK) užtikrina sveikatos priežiūrą,...

2022.03.30
INVEGA primena, kokiomis finansavimo priemonėmis verslas gali pasinaudoti krizių kontekste Verslo tribūna

Rusijai įsiveržus į Ukrainą verslai susiduria su naujais iššūkiais. INVEGA savo ruožtu keičia kai kurias jau...

2022.03.23
INVEGOS veikla prisideda prie kasmetinio beveik 2% šalies BVP sukūrimo Verslo tribūna

INVEGA ateina ten, kur numato valstybės strateginiai tikslai ir ten, kur verslui trūksta finansavimo, nes...

2022.02.17
Pandemijos įtaka verslui: santykis su darbuotojais keičiasi negrįžtamai Verslo tribūna

Besibaigiant antriems pandemijos metams, vis dar sunku tiksliai įvardyti, kiek neigiamos ir kiek teigiamos...

2022.01.19
Ar jūsų valdybos posėdžių dienotvarkėje jau įrašytas kibernetinis saugumas? Verslo tribūna 2

„McKinsey“ atlikta pasaulinė organizacijų valdybų apklausa atskleidė, kad kibernetinis saugumas yra vienas iš...

2021.12.22
Tyrimas: dovanas iš smulkiųjų vietos gamintojų perka kas penktas lietuvis Verslo tribūna

Perkant dovanas iš vietinių gamintojų, galima įsigyti išskirtinį daiktą ar paslaugą, o kartu ir paremti...

2021.12.21
Kalėdinės įmonių dovanos – kodėl ne lietuviškos? Verslo tribūna

Dalis smulkiųjų lietuviškų įmonių per šventinį laikotarpį pasiekia nuo 20% iki 50% visų metų apyvartos. Prie...

2021.12.08
Kibernetinį saugumą užtikrina ir technologijos, ir žmonės: ko svarbu nepraleisti pro akis Verslo tribūna

Jau pusantrų metų siaučianti pandemija paveikė ir kibernetinį saugumą – visame pasaulyje ženkliai padaugėjo...

2021.11.19
„Grinda“: prieš naują transformacijos etapą – įvertinti, kas padaryta Verslo tribūna

„Kas veža, tam krauna“. Nors Vilniaus „Grinda“ tarp Lietuvos savivaldybių valdomų įmonių neabejotinai...

2021.11.18
Šiaulių bankas: pasiruošti sukčių puolimui reikia taip, kaip ruošiamasi gaisrui Verslo tribūna

Aiški instrukcija ir procedūros, atsakomybių pasidalinimas, pratybos ir bendra kritinį mąstymą skatinanti...

2021.11.17
„Grinda“: kryptis – sostinės susisiekimo infrastruktūros kompetencijų centras Verslo tribūna

Asfalto danga nusidėvi. Vienose gatvėse – dėl intensyvaus sunkiasvorių transporto priemonių eismo, kitose,...

2021.10.21
NRD Cyber Security kviečia į konferenciją „Kibernetinė gynyba Lietuvoje 2021: Kas svarbu saugantis šiandien?“ Verslo tribūna

Spalio 27 d. vyks kasmetinė kibernetinio saugumo konferencija „Kibernetinė gynyba Lietuvoje 2021: Kas svarbu...

2021.10.20
Pasitikrinkite, ar jūsų kibernetiniai langai ir durys – atsparūs Verslo tribūna

Lietuva nebėra užkampis, kuris kibernetiniams sukčiams yra neįdomus. Be kitų priežasčių, tam įtakos turi ir...

2021.10.08
SVV ir tvarumas – misija įmanoma? Verslo tribūna

Ar esate nedidelis prekybininkas, o gal kirpyklos savininkas, arba kuriate rankų darbo žaislus – visam...

2021.09.29
Vilnius kuria skaitmeninį lietaus nuotekų sistemos kloną Verslo tribūna

„Londone nuolat lyja“. Girdėta? O ar girdėta, kad Vilniuje lyja ir dažniau, ir smarkiau nei Londone? Beje,...

2021.09.23
Nefinansinė darbuotojų motyvacija – ne tik įmanoma, bet ir būtina Verslo tribūna 1

Gal Jūsų verslas yra gana mažas, kolektyvas ne tik puikiai pažįsta vienas kitą, bet žino ir kiekvieno šeimos...

2021.07.21
Įvyko kibernetinio saugumo incidentas - kaip išvengti krizės? Verslo tribūna

2020 metų išvakarės tapo įsimintina diena tuometinei didžiausiai pasaulyje valiutų keitimo paslaugas...

2021.07.14
Kibernetinės krizės: kaip pasiruošti, kad nepasidarytų karšta Verslo tribūna

Kai tenka susitelkti ir skubiai sureaguoti į kibernetinį incidentą, organizacijoje labai greitai gali...

2021.06.14
Verslas verslui: paslauga gali būti ir tvari, ir ekonomiškai naudinga Verslo tribūna 1

Domėtis gaminių pakuočių tvarumu, ekologija, plastiko rūšiavimu ar net nekilnojamojo turto energetine klase...

2021.06.09
Vilniaus „Grinda“ padvigubino darbo našumą Verslo tribūna

Vilniaus miesto savivaldybės valdoma „Grinda“ sugebėjo prisitaikyti prie pandemijos sukeltų ekonominės...

2021.05.27

Verslo žinių pasiūlymai

Šioje svetainėje naudojame slapukus (angl. „cookies“). Jie padeda atpažinti prisijungusius vartotojus, matuoti auditorijos dydį ir naršymo įpročius; taip mes galime keisti svetainę, kad ji būtų jums patogesnė.
Valdyti Sutinku