Praėjusių metų pradžioje ES priėmė sugriežtintą Tinklų ir informacinių sistemų saugumo direktyvą (TIS2, angl. NIS2 – Network and Information Security Directive), kuria siekiama užtikrinti valstybei svarbiuose sektoriuose veikiančių įmonių veiklos tęstinumą.
Atnaujintas reguliavimas išplečia sąrašą sektorių, kuriuose dirbančioms įmonėms taikomi griežtesni kibernetinio saugumo reikalavimai, o už jų nesilaikymą grės didelės finansinės baudos ir netgi asmeninė bendrovės vadovo atsakomybė.
„Šiuo metu rinkoje yra susidariusi paradoksali situacija. Su TIS2 susiję Lietuvos teisės aktai yra rengiami, tačiau greičiausiai bus patvirtinti rudenį, o ES numatytos sankcijos įsigalioja jau spalio 18 d. Reikalingo darbo apimtį blaiviai vertinančios organizacijos supranta neturinčios prabangos laukti teisės aktų paskelbimo, bet ne visada atsilaiko prieš pagundą rizikų vertinimus atlikti formaliai.
Tai užprogramuoja nepakankamą įsigilinimą į konkrečiam sektoriui kylančių pavojų identifikavimą, prastai atliktą infrastruktūros auditą ir netinkamai suformuotą suinteresuotų asmenų komandą, kas trukdys vėlesniuose pasiruošimo etapuose ir galimai netgi nubrauks padarytą darbą“, – teigia Aurelija Žėkienė, „Telia“ NIS2 programos vadovė.
Identifikavimą galima atlikti jau dabar
Nepaisant vis dar vykstančio NIS2 aktų perkėlimo į Lietuvos įstatymų bazę, organizacijoms išties nebūtina laukti šio proceso pabaigos. Įmonėms numatomos atsakomybės žinomos jau šiandien ir yra suskirstytos pagal kompanijos dydį, vykdomą veiklą bei veiklos sutrikdymo poveikį visuomenės gyvenimui.
Prie ypatingos svarbos subjektų priskiriamos bendrovės, veikiančios energijos, transporto, bankininkystės, finansų rinkų infrastruktūros, sveikatos priežiūros, geriamo vandens tiekimo, nuotekų valymo, skaitmeninės infrastruktūros, IRT paslaugų valdymo, viešojo administravimo ir kosmoso sektoriuose. Aukštesni kibernetinio saugumo standartai taip pat galios pašto ir kurjerių, skaitmeninių paslaugų, cheminių medžiagų gamybos ir platinimo, pramonės, atliekų tvarkymo bei mokslinių tyrimų įmonėms.
„Pernelyg nesiveliant į subtilybes, kritinės infrastruktūros identifikavimas prasideda nuo paslaugų, kurių nutrūkimas turėtų didžiausią neigiamą poveikį įmonės veiklai, įvardijimo. Po to lengviau seksis nustatyti paslaugų veikimui būtiną infrastruktūrą: sistemas, platformas, įrankius. Prieš tai naudinga būtų turėti viso organizacijoje naudojamo informacinio turto sąrašą. Šioje pasiruošimo stadijoje labai svarbu atlikti nuodugnų tyrimą, nes neįvertinus kokios nors NIS2 reguliuojamos organizacijos veiklos ar jos veikimui būtino komponento, kyla rizika blogai suformuoti tolesnį veiksmų planą ir neišvengti gresiančių sankcijų“, – aiškina A. Žėkienė.
Ypatingas dėmesys – ekspertų komandai
Veiklos rizikos vertinimus pagal ISO27001 standartą nuolat atliekančios Lietuvos technologijų milžinės „Teltonika“ atstovai taip pat rekomenduoja atsakingai pažiūrėti į toliau sekantį skaitmeninių išteklių kritiškumo analizės etapą. Jo sėkmė smarkiai priklauso nuo šiam darbui suburtos komandos kompetencijų įvairovės.
„Tikėtina, kad į pasiruošimą TIS2 reguliavimui įmonėse bus įtraukti tik IT skyriaus darbuotojai, vertinant tai, kaip eilinį technologinį galvosūkį. Tačiau siekiant didesnio visos organizacijos atsparumo kibernetinėms grėsmėms, be techninių ekspertų komandoje taip pat turi dalyvauti įvairių padalinių vadovai, teisininkai, už paslaugas atsakingi darbuotojai ir net vadybininkų grandies atstovai. Kadangi kibernetinių atakų spektras apima ir žmogiškąsias klaidas, vien tik IT skyriaus pasiruošimui neužteks. Svarbu įmonėse skatinti kibernetinės saugos kultūrą, suteikiant darbuotojams bazines ir specializuotas žinias kaip elgtis konkrečiose situacijose. Tokiu būdu visos įmonėje esančios suinteresuotos šalys turi reikalingą informaciją, geba identifikuoti problemines vietas, jas spręsti. Taip yra užtikrinamas kibernetinės saugos proceso vystymo tęstinumas “ – pataria „Teltonika“ IT infrastruktūros ir saugumo vadovas Artūras Golyšenko.
Suformuotai ekspertų komandai tenka užduotis atlikti poveikio verslui analizę (BIA) ir apibrėžti kritiškumo kriterijus. Sistemas pagal kritiškumą galima skirstyti į kritines esminių paslaugų teikimui (pavyzdžiui, gamybinių procesų valdymo įrankiai), kritines verslui (reikalingas finansinių operacijų atlikimui ar klientams teikiamų paslaugų valdymui) bei kitas pagal poreikį.
Svarbiausia nusistatyti prioritetus
Pasak A. Golyšenko, per tokį trumpą laiką organizacijoms nėra paprasta detaliai išanalizuoti visų turimų sistemų bei pasirūpinti jų atsparumu kibernetinėms atakoms. Dėl šios priežasties įmonėms svarbu susikoncentruoti į jautriausių savo kibernetinių išteklių apsaugą. Vis dėlto minėtą prioritetą reikėtų nusistatyti ne subjektyviai remiantis kurios nors iš suinteresuotų šalių nuomone, o naudojant aiškius kritiškumo kriterijus. Pastarieji dažniausiai susideda iš konfidencialumo, vientisumo ir pasiekiamumo.
„Pasidariusios visų naudojamų sistemų sąrašą, organizacijos turėtų jas susirašyti į lentelę ir sureitinguoti pagal kiekvieną kriterijų. Konfidencialumo grafoje didžiausią koeficientą turėtų gauti tie ištekliai, kuriuose saugoma informacija yra konfidenciali arba slapta, vientisumo skiltyje aukštesnis balas turėtų priklausyti toms sistemoms, kurių pakeitimai gali daryti įmonės veiklai arba iš esmės ją sutrikdyti, o pasiekiamumo dalyje aukščiausias reitingas turėtų būti rašomas toms sistemoms, kurios turi veikti nepertraukiamai, negali egzistuoti be tęstinumo sprendimų, įvykus sutrikimui“, – rekomenduoja „Telia“ Saugos komandos vadovė Odeta Baranauskienė.
Sudėjus visus koeficientus, išryškės didžiausio dėmesio reikalaujančios sistemos, kas leis tinkamai parinkti prioritetus, identifikuoti darbus, kuriuos reikia pasidaryti pirmiausiai ir atidžiausiai, pasiruošti nuo incidentų saugančias priemones ir veiksmų planą įvykus tyčiniam ar netyčiniam jų veiklos trikdymui. Vis dėlto direktyvos kūrėjai supranta, jog net ir visas įmanomas apsaugos priemones įsidiegusi įstaiga nėra visiškai apsaugota nuo kibernetinių incidentų, todėl net labiau už konkrečius instrumentus akcentuoja įmonių gebėjimus anksti pastebėti įsilaužimą ir pasirengti kuo greitesniam veiklos atstatymui.
„Atlikusios kibernetinės infrastruktūros inventorizaciją ir išsigryninusios prioritetus, įsivertinusios infrastruktūros atitiktį gerosioms praktikoms, įgyvendinusios reikiamas kontrolės priemones, įmonės turėtų pasitvirtinti tvarką, kaip bus valdomi kibernetiniai incidentai bei kaip po jų bus tęsiama veikla. Taip pat labai svarbu, kad viso pasiruošimo TIS2 direktyvai metu dalyvautų įstaigų vadovai, nes būtent jie privalės patvirtinti kibernetinio saugumo rizikų suvaldymo priemones bei nuo ateinančio spalio reguliariai dalyvauti su kibernetiniu saugumu susijusiuose mokymuose, kartu pasirūpinant, kad reikiamas žinias įgytų ir jų darbuotojai“, – tolesnį veiksmų planą sudėlioja O. Baranauskienė.