Kibernetinio saugumo įstatymas, TIS2 direktyva, auditai ir milijoninės baudos rajono įstaigos vadovui dažnai skamba kaip tolimas sostinės reikalas. Vis dėlto būtent šie dokumentai lemia, ką konkreti mokykla, seniūnija ar įmonė privalo padaryti ir kas už tai atsakys asmeniškai.
Apie tai, kam reikalavimai privalomi, kalbėjo advokatų profesinės bendrijos „NEWTON LAW“ advokato padėjėja Akvilė Laurinaitytė, o apie tai, nuo ko pradėti įstaigai, neturinčiai nei pinigų, nei IT specialisto, – Vilniaus Gedimino technikos universiteto Informacinių technologijų ir sistemų centro vadovas dr. Justinas Rastenis.
Du dokumentai, vieni reikalavimai
Pirmiausia verta išsiaiškinti, kaip tarpusavyje susiję dažnai minimi Kibernetinio saugumo įstatymas ir TIS2 (angl. NIS2) direktyva.
„TIS2 (NIS2) direktyva yra Europos Sąjungos lygmeniu veikiantis teisės dokumentas, o Kibernetinio saugumo įstatymas – nacionalinės teisės dokumentas, tačiau abiejuose dokumentuose įtvirtinti tapatūs su kibernetinio saugumo užtikrinimu susiję reikalavimai“, – aiškino A. Laurinaitytė.
Kadangi pagrindinės direktyvos nuostatos perkeltos į nacionalinį įstatymą, vadovui pakanka vadovautis būtent juo, o ne ieškoti atsakymų direktyvos tekste.
Kam taisyklės privalomos ir per kiek laiko
Rajone kone kiekvienas vadovas klausia, ar jo įstaiga apskritai patenka į reguliavimo lauką. Teisininkės teigimu, čia veikia trys kriterijai: veiklos sektorius, darbuotojų skaičius arba metinių pajamų dydis.
Įstatyme išvardyti sektoriai apima energetiką, transportą, bankininkystę, sveikatos priežiūrą, geriamąjį vandenį, nuotekas, skaitmeninę infrastruktūrą, viešąjį administravimą, taip pat pašto paslaugas, atliekų tvarkymą, maisto gamybą ar mokslinius tyrimus. Vien veikti šiuose sektoriuose nepakanka – organizacija kibernetinio saugumo subjektu tampa tada, kai turi penkiasdešimt ar daugiau darbuotojų arba jos metinės pajamos siekia dešimt milijonų eurų ir daugiau.
„Apie įtraukimą į Kibernetinio saugumo informacinę sistemą Nacionalinis kibernetinio saugumo centras organizacijas informuoja individualiai raštu elektroniniu paštu“, – pridūrė A. Laurinaitytė.
Nuo to momento pradedami skaičiuoti terminai ir pasirinkimo, įgyvendinti reikalavimus ar ne, nebelieka. Pradėti rekomenduojama nuo kibernetinio saugumo audito, kuris parodo, kokios apsaugos priemonės jau įdiegtos ir kokios rizikos didžiausios. Techniniams reikalavimams įgyvendinti numatytas 24 mėnesių pereinamasis laikotarpis, o organizaciniams – dokumentacijai parengti, specialistams surasti – perpus mažiau, dvylika mėnesių. Vėliau, kaip pabrėžė ekspertė, procesus būtina reguliariai peržiūrėti ir nedelsiant taisyti pastebėtus neatitikimus.
Baudos ir asmeninė vadovo atsakomybė
Daugiausia nerimo įstaigose kelia klausimas, kas nutinka reikalavimų nesilaikant. Pažeidimų atveju gali būti skiriami įspėjimai, nurodymai pašalinti trūkumus, taip pat baudos, kurios įmonėms gali siekti iki 10 mln. eurų arba iki 2 proc. metinės apyvartos, o biudžetinei įstaigai – ne daugiau kaip 60 tūkst. eurų.
„Įstatyme numatyti tik maksimalūs baudų skyrimo dydžiai, tačiau kiekvienu konkrečiu atveju bus vertinamos įvykio aplinkybės“, – kalbėjo A. Laurinaitytė.
Bus atsižvelgiama, ar įmonė pati užkirto kelią žalai, pripažino pažeidimą ir bendradarbiavo tyrimo metu – tokiais atvejais baudos mažinamos.
Atskirai numatyta ir asmeninė vadovo atsakomybė: jis gali būti laikinai nušalintas nuo pareigų arba nubaustas nuo 250 iki 3 tūkst. eurų bauda, o pakartotinio pažeidimo atveju – iki 6 tūkst. eurų. Kadangi reikalavimai pradėti taikyti neseniai, realių pavyzdžių apie skirtas baudas kol kas nėra.
Kai įstaigoje nėra nė vieno IT specialisto
Praktikoje daugiausia išbandymų kyla būtent dėl kompetentingų žmonių paieškos. Pagal įstatymą organizacijoje turės būti paskirtas kibernetinio saugumo vadovas, saugos įgaliotinis ir sudarytas saugumo operacijų centras, o tokių specialistų mažos įstaigos savo gretose paprastai neturi.
Ekspertė rekomendavo rinktis išorės paslaugų teikėjus, tačiau atkreipė dėmesį ir į mažiau žinomą galimybę: organizacijos gali tarpusavyje dalytis specialistais, o tas pats kibernetinio saugumo vadovas gali dirbti keliose įmonėse. Rajone, kur kelios panašaus dydžio įstaigos priklauso tai pačiai savivaldybei, tai leidžia pasidalyti kaštus.
Reikalavimai gali pasiekti ir aplinkkeliu. Subjektais tapusios organizacijos privalo užtikrinti savo tiekimo grandinės saugumą, todėl pradeda tikrinti paslaugų teikėjus – būtent dėl to smulkus rajono verslas staiga sulaukia klausimyno iš savivaldybės ar didelės įmonės. Norėdami išsaugoti sutartis, saugumu turės pasirūpinti ir jie.
Ar politika realiai pasiekia rajonus?
Dr. J. Rastenio vertinimu, valstybės sprendimai regionus pasiekia, ir tai lemia pati įstatymų prigimtis.
„Valstybės mastu sukurti ar patikslinti įstatymai, politikos ar direktyvos turi būti įgyvendinti kiekvienos įstaigos ir paslaugų teikėjo“, – teigė jis.
Pokyčiai pasiekia net tuos gyventojus, kurie apie reikalavimus niekada nėra girdėję, nes bankų ir mobiliojo ryšio paslaugomis naudojasi visi. Ekspertas džiaugėsi operatorių sprendimu rodyti tikrą SMS žinutės siuntėjo numerį, o ne tekstinį pavadinimą, kurį sukčiai lengvai suklastodavo prisidengdami paštu ar kita žinoma įmone. Panašiai veikia ir bankų patikros, kai tikrinama, ar sutampa gavėjo vardas, pavardė bei sąskaitos numeris.
„Griežtai vertinama, kai prisijungiama iš naujos vietos ir vykdomas pavedimas į naujai nurodytą sąskaitą – tokie pinigų pervedimai laikinai stabdomi arba sulaikomi“, – aiškino jis.
Vis dėlto dauguma šių saugiklių atsirado tik pasikeitus įstatymams.
„Labiau norėčiau, kad tai pradėtų taikyti įmonės ir be įstatymo – kad jos rūpintųsi savo klientais“, – sakė dr. J. Rastenis.
Dalis politikos, jo teigimu, lieka popieriuje tada, kai neįvertinami įgyvendinimo kaštai arba nesukuriama reali priežiūra. Atotrūkį tarp sostinės ir regiono didina ir paprasta aritmetika – trūksta ir specialistų, ir finansavimo, o apie šį pokytį reikia galvoti dabar, o ne po penkerių metų.
„Pas mus tai neįvyks“
Paklaustas, kaip atrodo tipinė nedidelė rajono įstaiga, J. Rastenis įvardijo dažniausią klaidą – įsitikinimą, kad kibernetiniai incidentai nutinka kam nors kitam: „Dažniausia klaida – vertinama, kad tai neįvyks pas mus ir kad nereikia tuo domėtis.“
Toks požiūris nebeatitinka tikrovės, nes informacinės technologijos tapo tokia pat būtina infrastruktūra kaip elektros tiekimas, o nemažą dalį informacijos šiandien galima rasti tik skaitmeniniu pavidalu.
Be to, nė viena įstaiga neplanuoja darbo dienos taip, tarsi elektros gali ir nebūti, tačiau retai kuri turi atsakymą, kaip dirbs, jei rytoj neveiks kompiuteriai, elektroninis paštas ar dienynas.
Nuo ko pradėti, kai nėra nei pinigų, nei specialisto
Eksperto teigimu, saugumas ne visada matuojamas didelėmis išlaidomis – neretai jis slypi paprastuose veiksmuose, kuriuos galima įgyvendinti patiems.
Pradėti siūloma nuo pokalbio su darbuotojais, aiškinant, kad laiškas su gramatinėmis klaidomis, raginantis skubiai atlikti pavedimą, ar pranešimas apie laimėtą milijoną greičiausiai yra sukčių bandymas apgauti. Toks pokalbis nekainuoja nieko – pakanka kartą per ketvirtį surinkti kolektyvą ir kartu peržiūrėti kelis realius laiškus, atkeliavusius į įstaigos pašto dėžutę.
Antras patarimas – neskubėti. Jeigu laiške nurodytas 24 valandų terminas, verta ramiai palaukti ir per tą laiką pasitikrinti.
„Bandome susisiekti jums žinomais, o ne laiške rastais kontaktais ir išsiaiškinti, ar tikrai čia jums skirtas laiškas“, – patarė J. Rastenis.
Daug naudingos informacijos galima gauti nemokamai: Nacionalinis kibernetinio saugumo centras rengia mokymus gyventojams, o socialiniame tinkle „Facebook“ veikiantis Policijos virtualus patrulis nuolat pasakoja, kaip atpažinti sukčius. Tereikia šias žinias atsinaujinti ir pasidalyti jomis su kolektyvu.
Su nedidelėmis investicijomis galite pasiekti nemažą saugumo lygį, pavyzdžiui, naudojant antivirusinę programą – pašnekovas rekomenduoja įsigyti komercinį sprendimą, kuris, jo vertinimu, užtikrina 80–90 proc. reikalingo kompiuterio saugumo, o kainuoti gali vos 5–10 centų per dieną vienam kompiuteriui. Svarbiausia apsauga nuo duomenų praradimo – atsarginės kopijos, laikomos atskirai nuo įstaigos: debesijoje, paslaugų teikėjo duomenų centre arba išorinėje laikmenoje.
„Svarbu, kad prie kopijų nebūtų bendro priėjimo, kad nusikaltėliai negalėtų paprastai prisijungti – kad, jeigu jūsų kompiuterius užkrės, atsarginės kopijos išliktų“, – akcentavo ekspertas.
Kaip dažnai kopijas atnaujinti, kiekviena įstaiga turėtų nuspręsti pati, atsakydama į vieną klausimą: kiek duomenų galime prarasti, kad sugebėtume juos patys atkurti. Vienoms pakaks tai daryti kas šešis mėnesius, kitoms teks kasdien.
Ar mažos įstaigos tikrai neįdomios užpuolikams?
Įsitikinimas, kad maža įstaiga ar paprastas gyventojas nusikaltėliams neįdomus, yra klaidingas. Ekspertas pripažino, kad ir pats anksčiau taip manė.
„Šiuo metu pasikeitė viskas. Mes turime informacijos, dokumentų, nuotraukų, vaizdo įrašų, kurie mums yra reikalingi ir už kuriuos mes tikrai galėtume sumokėti išpirką“, – teigė dr. J. Rastenis.
Esminis pokytis – užpuolikai perėjo į kiekybę: iš daugybės nedidelių nusikaltimų surinkus po nedidelę sumą, bendra suma susidaro didelė. Į jų akiratį patenka net vaikai – ne dėl jų pačių, o dėl to, kad jie prieina prie tėvų informacijos.
Valstybė, pašnekovo teigimu, pasirūpins, kad paslaugų teikėjai laikytųsi įstatymų, tačiau už gyventoją niekas nestovės ir nežiūrės, ką jis daro.
„Reikia, kad patys gyventojai suprastų, jog nuo jų pačių priklauso jų saugumas, kad reikia patiems domėtis ir atsakingai elgtis“, – pabrėžė jis.
Specialistai ne vienus metus kartoja tą pačią mintį: didžiausias pavojus slypi žmonėse, nes net geriausios antivirusinės programos visko nepagauna arba gali būti tiesiog ignoruojamos.
Ką verta įsiminti
Abu pašnekovai baigiamąją mintį formuluoja panašiai – atsakomybės perkelti kam nors kitam nepavyks.
„Kibernetinis saugumas nebėra vien tik informacinių technologijų skyriaus darbuotojų rūpestis – tai sujungia visą organizaciją, o atsakomybę už kibernetinio atsparumo pagrindų diegimą organizacijos viduje ir nustatytų reikalavimų tinkamą įgyvendinimą neša būtent organizacijos vadovas“, – pabrėžė A. Laurinaitytė.
Dr. J. Rastenis ragina žvelgti plačiau nei į savo įstaigą ir pageidauja, kad kiekvienas skaitytojas ką nors padarytų ir dėl kitų – pavyzdžiui, specialistai galėtų atvykti į savo gyvenvietę ir papasakoti, kaip apsisaugoti nuo sukčių. Tai daryti reikia nuolat, nes žmonės keičiasi, o padedant nebūtina sulaukti padėkos.
„Ir dar reikia nepamiršti to, kad mokytis reikia visą gyvenimą, nes pasaulis keičiasi ir mums prie jo reikia prisitaikyti“, – apibendrino jis.
Karolina BALČIŪNAITĖ
Projektą iš dalies finansuoja Medijų rėmimo fondas
