Regionų įstaigos, vietos seniūnijos, mažos poliklinikos, bibliotekos ar bendruomenių centrai ilgą laiką gyveno su klaidingu saugumo jausmu, tikėdami, kad yra per mažai matomi ar pernelyg nereikšmingi, jog patrauktų profesionalių programišių dėmesį. Vis dėlto, realybė rodo priešingai: nusikaltėlių metodai iš esmės evoliucionavo, o organizacijos dydis nebėra skydas, apsaugantis nuo skaitmeninių atakų.
Kibernetinio saugumo ekspertai įspėja, kad būtent mažos vietos organizacijos šiandien atsiduria pažeidžiamiausių taikinių sąrašo viršuje, o jų patiriami nuostoliai peržengia finansinių praradimų ribas, sukrėsdami pačius glaudžiausius bendruomenės pamatus.
Mitas „esu per mažas“ ir agresyvėjančios atakos
Nors skaitmeninėje erdvėje dažniausiai girdime apie milžiniškas tarptautines korporacijas ar strateginius valstybės objektus sukrėtusias kibernetines audras, tikroji grėsmė šiandien yra kur kas arčiau mūsų namų. Šiuolaikinės kibernetinės atakos nebėra vykdomos tik rankiniu būdu prieš kruopščiai pasirinktus verslo gigantus. „NOD Baltic“ IT inžinierius Darius Jatautas sklaido šį pasenusį mitą: „Nors daugelis vis dar mano, kad kibernetiniai nusikaltėliai daugiausia taikosi į dideles korporacijas, realybė šiandien yra kitokia – vis dažniau nukenčia mažos įmonės, kurios vis dar mano esančios per mažos, kad sudomintų programišius. Tačiau automatizuoti įsilaužimo įrankiai šiandien leidžia greitai ir masiškai ieškoti pažeidžiamų sistemų, todėl organizacijos dydis tampa nebesvarbus. Jei sistema turi saugumo spragų – ji gali tapti taikiniu.“
Kartu programišių metodai tampa vis agresyvesni, nes vien duomenų užšifravimo nusikaltėliams nebeužtenka. Dabar duomenys pirmiausia pavagiami, o vėliau organizacija šantažuojama grasinant juos paviešinti. Taip pat pastebimai daugėja vadinamųjų DDoS atakų. Jos veikia kaip dirbtinis sistemos užkimšimas: įstaigos serveriai užverčiami tokiu milžinišku netikrų užklausų srautu, kad kompiuteriai tiesiog neatlaiko, „lūžta“ ir puslapiai ar programos tampa visiškai nepasiekiamos tikriesiems vartotojams.
Pasitenkinimas pasenusia įranga ir debesijos iliuzija
Lėšų trūkumas regionuose lemia pavojingą technologinį atsilikimą, todėl naudojamos senos „Windows“ versijos ar neatnaujinta tinklo įranga tampa lengvu taikiniu virusams bei fišingo atakoms. Ieškodamos išeities iš šios situacijos, įstaigos dažnai keliasi į debesų kompiuteriją, pavyzdžiui, „Microsoft 365“ ar „Google Workspace“ platformas. Vis dėlto čia vadovai linkę daryti kitą kritinę klaidą, klaidingai tikėdamiesi, kad paslaugų tiekėjas automatiškai prisiims visą atsakomybę už duomenų saugumą.
D. Jatautas sugriovė šią iliuziją pabrėždamas, kad nors šios platformos turi integruotus saugumo sprendimus, organizacijos pačios išlieka atsakingos už vartotojų paskyrų apsaugą, slaptažodžius, prieigų valdymą ir duomenų saugumą. Dažniausiai pasitaikančios klaidos debesijoje yra neįjungta dviejų veiksnių autentifikacija arba darbuotojams suteikiamos nepagrįstai per didelės prieigos teisės.
Žmogiškasis faktorius ir skaudžios pasekmės bendruomenei
Mažose įstaigose darbuotojai vieni kitais pasitiki labiau, todėl sukčiams tampa kur kas lengviau apsimesti pažįstamu kolega ar vadovu ir išvilioti pinigus bei prisijungimo duomenis per tikslinius fišingo laiškus ar netikras nuorodas. Tokio neatsargumo pasekmės lokaliu lygmeniu yra emociškai daug skaudesnės nei anonimiškoje korporacijoje.
IT inžinierius atskleidė, kaip skaudžiai tokie incidentai paveikia vietos žmones: „Mažose bendruomenėse, kur visi vieni kitus pažįsta, nutekėję medicininiai ar asmeniniai duomenys (pvz., sveikatos būklė, gydymo istorija) greitai tampa viešais gandais, o tai gali sukelti socialinę izoliaciją, šeimos konfliktus ar net diskriminaciją darbe bei kasdieniniame gyvenime. Žmonės jaučiasi pažeidžiami ir „nuogi“ savo kaimynų akivaizdoje, o pasitikėjimas vietos įstaiga krinta drastiškai, nes reputacija yra svarbi.“
Be to, tokios įstaigos kaip seniūnijos vis dažniau tampa patrauklia „tarpine stotele“ tiekimo grandinės atakose, kai programišiai jas puola ne dėl jų pačių duomenų, o siekdami per turimas autorizuotas prieigas ar duomenų mainus įsilaužti į centrines valstybines sistemas, pavyzdžiui, gauti prieigą prie migracijos, sveikatos ar registrų duomenų.
Saugumo higiena be biudžeto ir asmeniniai įrenginiai
Sumažinti kibernetines rizikas galima net ir neturint didelio IT biudžeto, kadangi būtinąjį saugumo minimumą sudaro prieinami ir paprasti sprendimai. Riziką reikšmingai sumažina reguliarūs operacinių sistemų atnaujinimai, veikianti antivirusinė apsauga, privalomas dviejų veiksnių autentifikacijos naudojimas, periodiškas atsarginių duomenų kopijų darymas bei nuolatinis darbuotojų švietimas.
Jei įstaiga neišgali nupirkti darbinių kompiuterių ir darbuotojai naudoja asmeninius įrenginius, saugumo spragas galima suvaldyti aiškiomis organizacinėmis taisyklėmis. Privaloma reikalauti, kad visi įrenginiai turėtų ekrano užraktus, darbuotojai nesijungtų prie darbo sistemų per viešus „Wi-Fi“ tinklus, naudotų tik atnaujintas programas ir turėtų griežtai atskirtas darbo paskyras nuo asmeninio turinio.
Taktinė „pirmoji pagalba“ įvykus įsilaužimui
Jei įstaiga neturi vidinio IT skyriaus, o vadovas ar darbuotojas pastebėjo galimą įsilaužimą, žalai minimizuoti būtina skubiai atlikti tris esminius taktinės pagalbos veiksmus.
Pirmiausia reikia kuo greičiau atjungti paveiktus įrenginius nuo tinklo, ištraukiant interneto kabelį arba išjungiant „Wi-Fi“ ryšį, kad kenkėjiškas kodas nespėtų išplisti į kitus kompiuterius.
Toliau svarbu nekeisti ir netrinti jokių duomenų sistemose, kad nebūtų sunaikinti skaitmeniniai įrodymai.
Galiausiai būtina nedelsiant kreiptis profesionalios pagalbos į kibernetinio saugumo specialistus.
„Taip pat labai svarbu iš anksto turėti incidentų valdymo planą ir reguliarias atsargines kopijas, kurios leistų atkurti veiklą bei sumažinti žalą“, – patarė IT inžinierius D. Jatautas.
Karolina BALČIŪNAITĖ
Projektą iš dalies finansuoja Medijų rėmimo fondas
