ES stiprina kibernetinį saugumą: „NRD Cyber Security“ įžvalgos apie didėjančias galimybes verslui

2022 m. parodė, kad kibernetinėje erdvėje kylančių iššūkių nemažėja. Netgi atvirkščiai – jau kurį laiką kibernetinių atakų skaičius pastebimai auga, jos tampa sudėtingesnės ir įvairesnės. Taikinių spektras taip pat labai platus – atakos gali būti nutaikytos tiek į asmenis, tiek į verslo įmones, tiek ir į ypatingos svarbos informacinę infrastruktūrą. 

Praėjusį mėnesį Europos Sąjungos kibernetinio saugumo agentūra (ENISA) išleido 2022 m. kibernetinio saugumo grėsmių žemėlapį, kuriame buvo atkreiptas dėmesys į geopolitinės situacijos įtaką kibernetiniam saugumui. Akcentuojama, kad kibernetiniai piktadariai nuolat tobulėja, o vis augančios kibernetinės grėsmės gali padaryti didelį poveikį ne tik duomenų saugumui, bet ir visai valstybės politinei sistemai. Dažniausiai sutinkamos grėsmės – tai ransomware atakos, kurių pagrindinis tikslas yra užšifruoti svarbius duomenis ir už jų iššifravimą reikalauti išpirkos. 

Pasitelkusi kibernetinio saugumo ekspertų komandą ENISA pristatė ir grėsmių sąrašą, į kurį įtraukė pagrindines kibernetinio saugumo grėsmes, kurios, kaip spėjama, iškils iki 2030 metų. Į šį sąrašą patenka itin platus spektras grėsmių – su nemaža dalimi jų jau susiduriame ir šiandien. 

Tai ir atakos, nukreiptos į tiekimo grandines, ir dezinformacijos kampanijos, ir su autoritarinių režimų stiprėjimu susijęs galimas privatumo praradimas, ir kibernetinių įgūdžių trūkumas bei kitos nemažiau aktualios grėsmės. Tačiau šiuo sąrašu toli gražu nesiekiama išgąsdinti. ENISOS direktorius Juhanas Lepassaaras pabrėžia, jog prevencija yra visada geriau už gydymą. Todėl apie šias grėsmes privalo būti informuoti – tiek ir gyventojai, tiek ir verslo atstovai, tiek ir valstybinės institucijos. Ir joms pasiruošti iš anksto.   

Ne tik karo metu 

Kalbant apie kibernetinį saugumą, itin svarbu prisiminti ir tarptautinį kontekstą bei geopolitinę situaciją. Karas Ukrainoje yra bene svarbiausias šių metų įvykis,  smarkiai pakeitęs tiek saugumo suvokimą, tiek pačią tarptautinę tvarką. Tačiau kokią įtaką jis padarė kibernetiniam saugumui? 

Visų pirma, tai vienas pirmųjų šiuolaikinių konfliktų, turinčių gana ryškią kibernetinę dimensiją. Daug ką nustebino Ukrainos pajėgų gebėjimas gana sėkmingai atremti Rusijos organizuojamus kibernetinius išpuolius, nukreiptus į šalies kritinę infrastruktūrą, kurie, beje, buvo vykdomi dar prieš pilno masto karinę invaziją vasario 24 dieną. Rusija, nepaisant visų pastangų, nesugebėjo itin gausiomis ir koordinuotomis kibernetinėmis atakomis padaryti stipresnės žalos svarbiausioms Ukrainos sistemoms. 

Atsarginių duomenų kopijų kūrimas ir saugojimas, Starlink terminalų naudojimas tam, kad būtų užtikrintas nuolatinis interneto ryšys, svarbus tiek civiliams, tiek karines operacijas vykdantiems kariams – tai tik kelios iš ekspertų įvardijamų Ukrainos kibernetinio atsparumo kare priežasčių. Tačiau sėkmingą gynybą nulėmė ne tik valstybės pajėgumai, bet ir itin glaudus bendradarbiavimas su privataus verslo įmonėmis. Verslo vaidmenį akcentuoja ir patys ukrainiečiai,  ir užsienio valstybių ekspertai. 

Vis dėlto kibernetinės atakos vyksta ne tik karinių konfliktų metu – jos gali būti surengtos bet kada, todėl nuolatinė parengtis yra ypatingai svarbi. Negalima pamiršti, jog Rusija – toli gražu ne vienintelė valstybė, kelianti grėsmę Lietuvai ir Europai, ypač kibernetinio saugumo lygmenyje. Tokios šalys kaip Kinija, Šiaurės Korėja ar Iranas taip pat garsėja savo atakomis, o kur dar kiti, nevalstybiniai veikėjai – kibernetiniai nusikaltėliai, „hacktivistai“, galintys pridaryti ne ką mažiau žalos. 

Turint omenyje egzistuojančias grėsmes ir būtinybę joms gerai pasiruošti, svarbu kelti klausimą apie tai, kiek verslas gali prisidėti prie valstybės kibernetinio saugumo stiprinimo. Prieš tai minėtas pavyzdys akivaizdžiai atskleidžia, jog tai toli gražu nėra vien tik valstybinių institucijų atsakomybė. 

Atnaujinta ES  kibernetinės gynybos politika 

ES Bendra saugumo ir gynybos politika, įtvirtinta Lisabonos sutartyje, pabrėžia valstybių narių solidarumo bei bendradarbiavimo svarbą įvairiais gynybos klausimais. Kibernetinis saugumas nėra išimtis. Reaguodami į sparčiai ir gana radikaliai kintančią geopolitinę situaciją, Europos parlamentas kartu su Europos Komisija šių metų lapkričio mėnesį išleido atnaujintą ES Kibernetinės gynybos politiką, kurioje teigiama, jog ES turėtų prisiimti daugiau atsakomybės už savo kibernetinį saugumą bei užtikrinti savo technologinę bei skaitmeninę nepriklausomybę. Politikoje taip pat pabrėžiama, jog be bendradarbiavimo su privačiu sektoriumi šio tikslo  neįmanoma pasiekti – be verslo indėlio technologijų plėtra nevyks. 

Minėtoje politikoje siūloma dar labiau stiprinti bendradarbiavimą tarp ES kibernetinio saugumo organizacijų, institucijų ir kitų veikėjų, taip pat stiprinti koordinaciją tarp karinių ir civilinių kibernetinio saugumo bendruomenių. Pabrėžiama bendradarbiavimo su sąjungininkais ir kitais tarptautiniais partneriais svarba. Nepamirštos ir technologijos –  vienas iš tikslų yra  stiprinti ES viduje kuriamą technologinį potencialą. 

Nemažai dėmesio dokumente skiriama ir kibernetinio saugumo ekspertų trūkumui, mokymų ir specialistų išlaikymui. Karas Ukrainoje parodė, jog verslo indėlis į kibernetinį saugumą gali būti didesnis, negu manyta iki tol, todėl atnaujintoje kibernetinės gynybos politikoje skatinama apgalvoti, kur konkrečiai galėtų būti išnaudotos verslo paslaugos. ES  tiki, kad  verslas galėtų prisidėti prie bendradarbiavimo gerinimo, greitojo reagavimo pajėgų stiprinimo, technologijų vystymo. 

Galimybės Lietuvai ir verslui 

ES kibernetinės gynybos politikoje daug dėmesio  skiriama kibernetinio atsparumo didinimui – t.y. prevencijai bei dalijimuisi informacija. Prie kibernetinių grėsmių greitesnio aptikimo ir prevencinio reagavimo turėtų ženkliai prisidėti nacionalinių kibernetinio saugumo incidentų valdymo komandų bendradarbiavimas, dalijimasis informacija bei ES veikiančių saugumo operacijų centrų (SOC) infrastruktūros, kurią sudarytų nacionaliniai SOC, diegimas. 

Įvykus didelio masto kibernetinei atakai, greita reakcija ir bendradarbiavimas tampa dar svarbesni. Čia išryškėja Lietuvos kuruojamo kibernetinių greitojo reagavimo pajėgų ir tarpusavio pagalbos kibernetinio saugumo srityje projekto reikšmė, kuri pabrėžiama ir minėtoje kibernetinės gynybos politikoje. 

Viena iš naujausių iniciatyvų, susijusių su greito reagavimo pajėgomis – tai patikimų privačių tiekėjų sąrašo kūrimas. Čia verslo indėlis bus itin svarbus. Pagrindinė idėja – ES lygiu sukurti kibernetinį rezervą, kurį sudarytų ES valstybėse veikiančios ir kibernetinio saugumo paslaugas teikiančios įmonės. Pagal kol kas dar nenustatytus kriterijus, ES suburs valstybėse narėse veikiančias įmones, į kurias bus galima kreiptis krizės atveju. Kaip žinia, įvykus didelio masto kibernetinei atakai, vienas svarbiausių dalykų yra greita reakcija ir bendradarbiavimas – būtent dėl to rezervo veikla turės būti itin aiškiai reglamentuota. Kiekvienas dalyvis turėtų aiškiai suprasti savo pareigas bei atsakomybes krizės atveju,  kad įvykus atakai, reakcijos laikas būtų kiek įmanoma trumpesnis, o atsakas – efektyvesnis. 

Lietuvos verslas kibernetinių greitojo reagavimo pajėgų kontekste  yra matomas ir dabar. Cyber4DE projektą, įgyvendinamą Europos gynybos pramonės plėtros programos (EDIDP) lėšomis, koordinuoja Lietuva. Projekto metu yra kuriamas kibernetinio saugumo įrankių, kuriuos savo veikloje naudotų prieš tai minėtos greitosios kibernetinio reagavimo pajėgos, rinkinys. Už projekto valdymą atsakinga Lietuvos krašto apsaugos ministerija. Šio ES projekto, kuriame dalyvauja ne tik ministerijos, organizacijos, bet ir verslo bendrovės iš įvairių šalių, įgyvendinimą kuruoja Lietuva. Pramonės įmonių konsorciumui vadovauja Baltijos pažangių technologijų institutas (BPTI), o mūsų šalies bendrovė „NRD Cyber Security“ yra atsakinga už techninės projekto dalies koordinavimą. Be lietuvių, į konsorciumo sudėtį įeina tokios įmonės kaip „Leonardo SPA“ (Italija), „Airbus“ (Prancūzija) ir kitos – iš viso konsorciumą sudaro 10 partnerių iš 7 ES šalių. 

Technologijų plėtra ir švietimas 

Sparti su kibernetiniu saugumu susijusių technologijų plėtra taip pat yra nemenkas iššūkis. Kibernetinė erdvė pasižymi tuo, kad čia ne tik sparčiai atsiranda naujos grėsmės, bet ir nuolatos tobulėja technologijos. Kitas svarbus dalykas – kai kurios ES naudojamos ir kibernetinei gynybai skirtos techninės ir programinės įrangos dalys yra gaminamos ne Europos Sąjungoje, o tai lemia technologinę priklausomybę nuo kitų. Dėl to ES yra pasiryžusi dar daugiau investuoti į stiprią technologinę ir industrinę gynybos bazę (angl. Defence Technological and Industrial Base) ir pasisako už  kibernetinio saugumo tyrimų bei dvigubo naudojimo technologijų, pritaikomų tiek civilinėms, tiek ir karinėms reikmėms, plėtros rėmimą. 

2023 m. Europos komisija kartu su Europos gynybos agentūra ir valstybėmis narėmis planuoja paruošti kritinių kibernetinio saugumo technologijų žemėlapį, kuriame matysis strateginiai ES investicijų prioritetai ir kuriame bus pateikti siūlymai, kaip būtų geriausia panaudoti gynybos tyrimų ir plėtros programas bei finansavimo instrumentus. Be to, ES ir toliau skatins mokslinius tyrimus bei technologines inovacijas. 

Turint omenyje tai, kad privataus sektoriaus vaidmuo teikiant kibernetines paslaugas yra labai didelis, ES ragina plėsti neseniai sukurtą Europos kibernetinio saugumo sertifikavimo sistemą. Šiuo metu Europos kibernetinio saugumo sertifikatai yra išduodami informacinių ir ryšių technologijų produktams, paslaugoms ir procesams atlikus jų vertinimą pagal Europos kibernetinio saugumo sertifikavimo schemas, o tai leidžia priimti geriau pagrįstus sprendimus renkantis įvairius informacinių ir ryšių technologijų produktus ar paslaugas. 

Dar viena sritis, aktuali verslui, į kurią buvo atkreiptas dėmesys – švietimas. Šiuo metu itin trūksta kibernetinio saugumo įgūdžių turinčių specialistų. Ne mažiau svarbus ir įgautų įgūdžių palaikymas – tai apima ir įvairias kibernetinio saugumo pratybas, ir mokymų platformų kūrimą bei ES kibernetinių įgūdžių akademijos steigimą. Jos tikslas – po vienu stogu sutelkti su kibernetinių įgūdžių gerinimu susijusias iniciatyvas tam, kad būtų užtikrintas jų geresnis koordinavimas ir integracija. Privatus verslas, teikiantis paslaugas šioje srityje (pavyzdžiui, kuriantis mokymo platformas ar siūlantis kibernetinio saugumo kursus) yra skatinamas atkreipti dėmesį ir bendradarbiauti su ES taip sprendžiant vieną opiausių – švietimo –  problemą. 

Visų indėlis svarbus 

Besikeičianti geopolitinė situacija bei nuolat kylančios grėsmės kibernetinėje erdvėje verčia tiek tarptautines organizacijas, tiek valstybes, tiek ir įmones nuolatos galvoti apie savo kibernetinį saugumą. Akivaizdu, kad vien tik valstybės pastangų apsaugoti kibernetinę erdvę nepakanka. Išmokstamos pamokos iš šiuo metu šalia vykstančio karo, glaudus tarpsektorinis bendradarbiavimas, kibernetinių pajėgumų stiprinimas bei pažangių technologijų vystymas padeda įgauti reikalingų žinių ir geriau suprasti, ką ir nuo ko reikėtų saugoti, bei tinkamai pasiruošti ateityje vis labiau didėsiantiems iššūkiams.