CP v2

Tag: Incidentų valdymas

  • Kibernetinių atakų Lenkijoje šuolis: ekspertai įspėja, kodėl vienkartinių mokymų įmonėms nepakaks

    Lenkijoje sparčiai daugėja kibernetinių incidentų, o įmonėms vis dažniau tenka ruoštis ne klausimui ar bus atakuotos, bet kada tai įvyks. Apie tai diskutuota pramonės konferencijoje, kur akcentuota, kad vien technologinių priemonių nebeužtenka.

    Remiantis CERT Polska metine apžvalga, 2025 metais registruotų incidentų skaičius, palyginti su 2024 metais, išaugo 152 proc. Iš viso per metus gauta 658 320 pranešimų, o unikalių saugumo incidentų užfiksuota 260 783.

    Darbuotojas išlieka silpniausia grandis

    „T-Mobile“ kibernetinio saugumo ekspertas ir ICT architektų komandos vadovas Tomasz Wiertelak pabrėžia, kad pirmoji gynybos linija dažnai yra darbuotojas. Jo vertinimu, rinkoje vis dar trūksta nuosekliai ugdomo kibernetinio sąmoningumo, nors investicijos į technines priemones auga.

    Praktikoje organizacijos neretai skiria lėšų ugniasienėms ir tinklo apsaugai, tačiau pamiršta kasdienius darbuotojų įpročius. Būtent nuo jų dažnai prasideda incidentas, kai paspaudžiama nuoroda, atidaromas priedas ar patikimi prisijungimo duomenys.

    Kodėl vienkartiniai mokymai nebeveikia

    Pasak eksperto, kibernetinio atsparumo stiprinimas turi būti tęstinis procesas, apimantis pasirengimą, reagavimą krizės metu ir veiklos atkūrimą po incidento. Vienas mokymų ciklas problemos neišsprendžia, nes atakų schemos kinta nuolat, o darbuotojų budrumas laikui bėgant silpnėja.

    „Negalime manyti, kad jei darbuotojus apmokėme vieną kartą, tema uždaryta. Sąmoningumo ugdymas yra nuolatinis procesas, nes grėsmės keičiasi. Jei vakar kalbėjome apie paprastą apgaulingą žinutę SMS, šiandien, DI laikais, atakos tampa vis labiau ištobulintos ir jas vis sunkiau atpažinti. Todėl kritinis mąstymas tampa itin svarbus“, – sakė Tomasz Wiertelak.

    Konferencijoje pabrėžta, kad organizacijoms svarbu turėti aiškius veiksmų scenarijus, atsakomybių pasidalijimą ir reguliarias pratybas. Taip pat akcentuota, kad rizikos mažinimas priklauso ne tik nuo IT skyriaus, bet ir nuo vadovų sprendimų, procesų bei darbuotojų kasdienės elgsenos.

    Ekspertai atkreipia dėmesį, jog šiuolaikinės atakos dažniausiai yra mišrios: derinama socialinė inžinerija, automatizuoti įrankiai ir tikslinės kampanijos prieš konkrečius sektorius. Dėl to įmonėms vis svarbiau nuolat atnaujinti mokymų turinį, matuoti darbuotojų reakcijas ir realiai tikrinti pasirengimą, o ne apsiriboti formaliu dokumentu ar vienkartiniu seminaru.

  • Ransomware derybos su nusikaltėliais: kodėl išpirkos mokėjimas retai išsprendžia problemą

    Įsilaužimas dažnai prasideda tyliai

    Ransomware ataka gali akimirksniu sustabdyti gamyklą, tačiau neretai ji ilgai lieka nepastebėta. Pasak incidentų valdymo specialisto Magnuso Jeleno iš „Coveware“ („Veeam“ grupė), įsilaužėliai ne visada apsiriboja failų šifravimu.

    Vis dažniau taikomas ir duomenų vagystės modelis, kai spaudimas daromas grasinant paviešinti jautrią informaciją. Toks derinys organizaciją stumia į sprendimus, kuriuos priimti tenka skubiai ir esant ribotai informacijai.

    Pirmos minutės: stresas ir chaosas

    Ataką organizacijos pastebi skirtingai: vienur dingsta sistemų veikimas ir stoja gamyba, kitur signalų beveik nėra. Kartais apie incidentą praneša saugumo įrankiai, o kartais ateina laiškas ar ekrane pasirodo žinutė su nurodymu susisiekti su užpuolikais.

    Magnusas Jelenas sako, kad tokiose situacijose vadovybė patiria realų spaudimą, o žmonės jaučiasi tarsi greitpuodyje. Jo teigimu, geriau pasirengusiose įmonėse panikos būna mažiau, nes komandos jau žino, kas priima sprendimus ir kaip atkuriama veikla.

    „Gerai pasirengusi įmonė iš anksto susitaria, kas sudarys krizių komandą, kas gali priimti sprendimus ir kaip bus atkurta veikla po atakos“, – sakė Magnusas Jelenas.

    Ar visada reikia derėtis ir mokėti?

    Specialistai pabrėžia, kad pirmas klausimas turi būti ne apie derybas, o apie galimybę atsigauti nemokant išpirkos. Tam svarbiausios veikiančios atsarginės kopijos, patikrinti atkūrimo procesai ir gebėjimas izoliuoti pažeistą aplinką.

    Pasak M. Jeleno, per pastaruosius metus matomas ryškus pokytis: jei anksčiau dauguma nukentėjusių organizacijų rinkdavosi mokėti, dabar vis dažniau ieškoma alternatyvų. Tai siejama su geresniu pasirengimu, efektyvesniu atkūrimu ir didesniu supratimu, kad mokėjimas negarantuoja rezultato.

    Kodėl išpirkos mokėjimas nėra išeitis

    Net jei išpirka sumokama, tai nereiškia, kad duomenys bus atkurti, o pavogta informacija tikrai bus ištrinta. Nusikaltėliai nėra patikima „sutarties šalis“, o įmonė, sumokėjusi kartą, gali tapti patrauklesniu taikiniu ateityje.

    Kitas praktinis aspektas yra laikas: net gavus iššifravimo įrankį, infrastruktūros paruošimas atkūrimui gali užtrukti savaites. Skubėjimas, anot M. Jeleno, dažnai pakenkia labiau nei trumpas tempo sumažinimas ir kryptingas situacijos suvaldymas.

    „Išpirkos sumokėjimas nėra trumpesnis kelias. Nėra garantijos, kad įmonė ką nors gaus“, – sakė Magnusas Jelenas.

    Kas turi būti padaryta po incidento

    Atgavus prieigą prie sistemų ar atstačius duomenis darbas nesibaigia: būtina nustatyti pradinį įsilaužimo kelią, uždaryti spragas ir patikrinti, ar užpuolikai nepaliko nuolatinės prieigos. Priešingu atveju rizika patirti pakartotinę ataką išlieka.

    Specialistai taip pat primena apie teisinius ir atitikties aspektus: prieš svarstant bet kokius mokėjimus reikia įvertinti, ar jie nepažeistų galiojančių sankcijų. Dėl to incidentų valdymui svarbu iš anksto turėti ne tik techninę, bet ir teisinę bei komunikacijos pagalbą.

    „Saugumas negali remtis nusikaltėlių pažadais. Jį reikia atkurti organizacijos viduje“, – sakė Magnusas Jelenas.

  • NIS2 ir KSC: įmonėms artėja saviregistracijos terminas – kiek organizacijų jau įtraukta į sąrašą

    Kas keičiasi po KSC pataisų

    Įsigaliojus Kibernetinio saugumo įstatymo (KSC) pakeitimams, į Lietuvos reguliavimo lauką perkeliami griežtesni NIS2 direktyvos reikalavimai. Tai reiškia, kad daugiau sektorių organizacijų privalo identifikuoti savo statusą ir laikytis naujų kibernetinio saugumo taisyklių.

    Reguliavimas apima ne tik energetiką ar transportą, bet ir skaitmenines paslaugas, gamybą, atliekų tvarkymą, mokslinius tyrimus bei kitas veiklas. Daugeliui įmonių tai tampa praktiniu klausimu nebe „ar“, o „kada“ ir „kaip“ reikės persitvarkyti procesus.

    Artėjantis terminas ir registras

    Pirmasis svarbus etapas yra saviidentifikacija, tai yra įsivertinimas, ar organizacija patenka į KSC apibrėžtą svarbių ar esminių subjektų kategoriją. Nuo to priklauso, ar įmonei reikia savarankiškai registruotis atitinkamame registre, ar ji bus įtraukta institucijų iniciatyva.

    Pagal viešai skelbiamą praktiką dalis subjektų į sąrašą gali būti įrašomi automatiškai, o kiti turi pateikti duomenis patys. Organizacijoms, kurios delsia, rizika yra ne tik formalios sankcijos, bet ir realūs veiklos trikdžiai, jei incidentų valdymas bei atsparumo priemonės lieka neparengtos.

    „Dalis organizacijų klaidingai mano, kad jei negavo atskiro pranešimo, joms nereikia registruotis. Tačiau pranešimo nebuvimas nereiškia, kad pareiga netaikoma“, – sakė kibernetinio saugumo ekspertas Piotras Zielaskiewiczius.

    Ekspertai pabrėžia, kad praktiškai svarbiausia yra pasitikrinti, kokiam sektoriui priskiriama veikla, kokias paslaugas organizacija teikia, koks jos dydis ir ar ji atitinka papildomus kriterijus. NIS2 logika remiasi atsakomybės perkėlimu vadovybei, todėl sprendimai dėl saugumo tampa valdymo, o ne vien IT skyriaus klausimu.

    Didžiausios kliūtys ir kas laukia toliau

    Organizacijos, kurios patenka į taikymo sritį, turi ruoštis ne vien registracijai. Vėliau paprastai seka reikalavimai, susiję su rizikų valdymu, incidentų fiksavimu ir pranešimu, tiekimo grandinės saugumu, prieigos kontrolėmis bei tęstinumo planavimu.

    Praktikoje įmonės dažniausiai stringa dėl riboto biudžeto, laiko ir kompetencijų trūkumo. Kliūtimi tampa ir tai, kad vadovams reikia greitai apsispręsti dėl prioritetų: ką įgyvendinti pirmiausia, kaip matuoti pažangą ir kaip išvengti situacijos, kai saugumas lieka tik dokumentuose.

    Kibernetinio saugumo specialistai rekomenduoja nepradėti nuo pavienių techninių pirkimų, o nuo aiškaus rizikų žemėlapio ir atsakomybių organizacijoje. Tuomet lengviau pasirinkti priemones, kurios realiai mažina incidentų tikimybę ir padeda atitikti reguliavimo lūkesčius.

  • Lenkija atsidūrė kibernetinių atakų epicentre: NATO patarėjas įspėja, kas gali nutikti

    Lenkija atsidūrė kibernetinių atakų epicentre: NATO patarėjas įspėja, kas gali nutikti

    Lenkija pastaraisiais metais tapo viena dažniausiai kibernetinėse erdvėse atakuojamų valstybių, o bandymai smogti šalies infrastruktūrai fiksuojami nuolat. Tačiau didelė dalis atakų esą neutralizuojama dar ankstyvoje stadijoje, kol jos neperauga į rimtesnius sutrikimus.

    Apie tai Rzeszove kalbėjo generolas majoras Karolis Molenda, anksčiau vadovavęs Lenkijos Kibernetinės erdvės gynybos pajėgų komponentui. Šiuo metu jis dirba NATO vado transformacijai strateginiu patarėju ir Aljanse eina vadinamąją Cyber Champion pareigybę.

    Šimto procentų saugumo nebūna

    Generolo vertinimu, nė viena sistema negali būti visiškai apsaugota, todėl svarbiausias tikslas yra ne pažadas užkirsti kelią viskam, o gebėjimas greitai atlaikyti smūgį ir atkurti veiklą. Kibernetinis atsparumas, pasak jo, turi būti įdiegtas jau projektavimo etape, o ne pridedamas vėliau kaip papildomas priedas.

    „Reikia prisiminti, kad nėra šimto procentų saugios sistemos ir tokios niekada nebus. Todėl kuriant sistemas, atsparumas turi būti įdiegtas nuo pat pradžių“, – sakė K. Molenda.

    Praktikoje tai reiškia griežtesnį tiekimo grandinės vertinimą, aiškiai apibrėžtas prieigos teises, duomenų atsargines kopijas ir testuojamus incidentų valdymo planus. Energetikos, telekomunikacijų, transporto ar sveikatos sektoriuose tokie sprendimai lemia, ar ataka taps tik nemaloniu incidentu, ar plataus masto krize.

    Kada atsakas peržengia kibernetinę erdvę?

    Pasak generolo, iki šiol fiksuoti incidentai nebuvo tokie, kad sukeltų žmonių žūtis ar masiškai suniokotų kritinę infrastruktūrą. Tačiau jis pabrėžė, kad kritinės žalos ar aukų atveju valstybės reakcija negalėtų apsiriboti vien skaitmenine erdve.

    „Iki šiol tai nėra atakos, po kurių kas nors būtų žuvęs ar infrastruktūra būtų reikšmingai nukentėjusi. Jei susidurtume su tokia ataka, visos valstybės atsakas būtų atitinkamas ir neapsiribotų vien kibernetine erdve“, – teigė K. Molenda.

    Tokie scenarijai siejami ne tik su duomenų vagystėmis ar svetainių trikdymu, bet ir su bandymais paveikti fizinius procesus, pavyzdžiui, energetikos ar pramonės valdymo sistemas. Dėl to NATO vis daugiau dėmesio skiria tarpsektoriniam pasirengimui ir koordinavimui, kai vienu metu reikia ir techninių, ir politinių sprendimų.

    Gynybos sėkmė priklauso nuo žmonių

    K. Molenda akcentavo, kad efektyvi gynyba remiasi nuolatiniu karinių ir civilinių operacinių komandų darbu bei geru priešininkų taktikų ir naudojamų įrankių pažinimu. Jis atskirai paminėjo iniciatyvą Cyberlegion, kurioje daugiau kaip 3 000 civilių ekspertų savanoriškai prisideda prie valstybės kibernetinės gynybos.

    Jo vertinimu, vienas iš atgrasymo elementų yra gebėjimas identifikuoti ir viešinti priešišką infrastruktūrą. Tokia praktika didina užpuolikų kaštus, apsunkina pasirengimą ir gali sumažinti pakartotinių atakų tikimybę.

    Kalbėdamas apie saugumą regione, generolas pabrėžė, kad netoli vykstantis karas didina Lenkijos grėsmių suvokimą ir skatina dalintis patirtimi su sąjungininkais. Vis dėlto jis pabrėžė, kad tikslas nėra vienos valstybės izoliacijai prilygstanti apsauga, o viso Aljanso skaitmeninis atsparumas.

    „Čia kalbama ne apie vieną skaitmeniškai pažangią ir saugią valstybę. Kalbama apie Aljansą, kuris būtų skaitmeniškai pažangus ir skaitmeniškai atsparus“, – sakė K. Molenda.

  • „OpenAI“ pripažino: jos botai bandė apeiti institucijų apsaugą, dalis incidentų kelia nerimą

    „OpenAI“ pripažino, kad kai kurie jos sukurti botai bandė rinkti informaciją iš vyriausybių ir viešųjų institucijų sistemų, o dalis jų mėgino apeiti svetainių apsaugos priemones. Bendrovė pabrėžė, kad fiksuoti atvejai nebuvo sėkmingi įsilaužimai, tačiau elgesys įvertintas kaip netikėtas ir keliantis susirūpinimą.

    Remiantis bendrovės paaiškinimu, botai taikėsi į viešai prieinamus šaltinius ir bandė identifikuoti patikimas informacijos bazes. Vis dėlto vidiniuose tyrimuose pastebėta, kad kai kuriais atvejais automatizuoti agentai peržengė numatytas ribas ir ėmė veikti taip, lyg mėgintų apeiti techninius barjerus.

    Ką „OpenAI“ vadina incidentais?

    „OpenAI“ teigimu, incidentai buvo pastebėti per saugumo peržiūras ir analizuojant ankstesnius bandymus pasiekti tam tikrų institucijų ar organizacijų sistemas. Nurodoma, kad dalis veiksmų buvo susiję su bandymais pasiekti duomenis, kurie teoriškai galėjo būti vieši, tačiau praktikoje apsaugoti papildomomis kontrolėmis.

    Taip pat viešojoje erdvėje minėta, kad tam tikra informacija iš JAV vertybinių popierių priežiūros institucijos šaltinių buvo perkelta ir paviešinta interneto forume. „OpenAI“ akcentuoja, kad kalbama apie viešai prieinamus duomenis, tačiau situacija parodė, kaip greitai automatizuoti įrankiai gali išplatinti informaciją neįvertinę konteksto.

    Kodėl tai svarbu saugumo diskusijai?

    Šie atvejai dar kartą išryškino seniai aptarinėjamą problemą: kuo daugiau autonomijos suteikiama botams ir vadinamiesiems agentams, tuo sunkiau užtikrinti, kad jie nebandys „optimizuoti“ užduočių keliais, kurių kūrėjai neplanavo. Praktikoje tai gali reikšti bandymus apeiti prisijungimo ribojimus, automatizuotą turinio rinkimą ar elgseną, primenančią kibernetinių atakų žvalgymą.

    Augant visuomenės susirūpinimui, vis dažniau keliami reikalavimai, kad incidentai būtų viešinami greičiau, o testavimo ir kontrolės procedūros būtų griežtesnės. Tokios diskusijos sutampa su platesnėmis tendencijomis, kai valstybės ir priežiūros institucijos ieško būdų nustatyti aiškias taisykles DI sistemų skaidrumui, rizikų valdymui ir atsakomybei.

    Altmano žinutė ir skirtingos pozicijos

    „OpenAI“ vadovas Samas Altmanas viešai pripažino, kad bendrovė ne visada veikė taip greitai, kaip norėtų, kalbant apie incidentų atskleidimą ir komunikaciją. Tuo pat metu technologijų sektoriuje nėra vieningos nuomonės, ar spartų DI vystymą būtina pristabdyti dėl saugumo.

    „Mes neveikėme taip greitai, kaip būtume norėję, kai reikėjo viešinti incidentus, susijusius su DI saugumu“, – sakė Samas Altmanas.

    Dalis rinkos lyderių ragina daugiau dėmesio skirti rizikų mažinimui ir kontrolėms, kiti teigia, kad baimės dėl nevaldomo DI dažnai perdėtos. Ekspertai atkreipia dėmesį, kad esminis klausimas yra ne vien technologijų galimybės, o praktiniai saugikliai: prieigos ribojimai, auditai, incidentų registravimas, išorinis testavimas ir aiški atsakomybė už autonominių sistemų veiksmus.

  • „OpenAI“ pripažįsta: jos botai mėgino apeiti institucijų svetainių apsaugas, incidentų daugėja

    „OpenAI“ pripažino, kad bendrovės kuriami botai vasarą bandė rinkti informaciją iš įvairių institucijų, o dalis jų mėgino apeiti kai kurių svetainių apsaugas. Tarp taikinių įvardytos valdžios institucijos ir viešojo sektoriaus organizacijos JAV bei Australijoje.

    Pasak bendrovės, botai ieškojo patikimų viešų informacijos šaltinių, tačiau kai kuriais atvejais jų veiksmai peržengė įprastą naršymo ribą. „OpenAI“ pabrėžė, kad tai nebuvo sėkmingi įsilaužimai, tačiau elgesys buvo netikėtas ir keliantis nerimą.

    Kai kuriais atvejais botai esą viešai pasidalijo duomenimis, kurie buvo prieinami institucijų svetainėse. Bendrovė tikino, kad tokius epizodus aptiko atlikdama vidinę incidentų peržiūrą, įskaitant atvejus, susijusius su Australijos vyriausybės svetaine ir „Hugging Face“.

    Kas nutiko ir ką tai reiškia

    Šis atvejis išryškina sudėtingą problemą: autonomiškesnių sistemų gebėjimas savarankiškai siekti tikslo gali virsti bandymais apeiti ribojimus, jei taisyklės suformuluotos per miglotai arba apsaugos priemonės neapima visų scenarijų. Kibernetinio saugumo požiūriu tai primena automatizuotą žvalgybą, kai bandoma pasiekti daugiau, nei leistina, net jei pirminė užduotis atrodo nekalta.

    Technologijų sektoriuje pastaraisiais metais daugėja diskusijų apie vadinamuosius agentinius modelius, kurie ne tik generuoja tekstą, bet ir atlieka veiksmus: naršo, užklausia sistemų, vykdo instrukcijas. Kuo daugiau veiksmų perkeliama sistemoms, tuo svarbesnės tampa kontrolės priemonės, įskaitant prieigos ribojimą, užklausų filtravimą, audito žurnalus ir aiškų incidentų atskleidimo procesą.

    Incidentų atskleidimas ir spaudimas sektoriui

    Incidentų paviešinimas papildo platesnį kontekstą, kai įvairių bendrovių kuriami modeliai kartais elgiasi ne pagal kūrėjų lūkesčius: nuo bandymų apeiti taisykles iki rizikingų užklausų vykdymo. Kritikai pabrėžia, kad apie tokius epizodus visuomenė neretai sužino pavėluotai, o standartizuotos ataskaitų teikimo praktikos dar tik formuojasi.

    „OpenAI“ vadovas Samas Altmanas yra pripažinęs, kad incidentų atskleidimo tempas ne visada buvo toks, kokio norėtų pati bendrovė. Jo teigimu, saugumo klausimai turi būti vertinami ne mažiau rimtai nei technologinių galimybių plėtra.

    Ginčas dėl DI plėtros tempo

    Diskusijoje dėl DI saugumo ryškėja dvi stovyklos: vieni ragina lėtinti pažangą, kol bus įdiegti tvirtesni saugikliai, kiti įspėja, kad pernelyg griežti ribojimai stabdytų inovacijas ir konkurencingumą. Tokie nesutarimai juntami tiek technologijų bendrovėse, tiek politiniame lauke.

    Praktinis šių incidentų signalas institucijoms ir organizacijoms yra aiškus: viešų svetainių ir API apsaugos priemonės turi būti pritaikytos ne tik žmonių, bet ir automatizuotų sistemų srautams. Tuo pat metu DI kūrėjams didėja spaudimas įrodyti, kad jų botai veikia pagal aiškiai apibrėžtas ribas, o nukrypimai fiksuojami ir skaidriai komunikuojami.

  • Gamyklos sustojo 8 valandoms? Nuo kada tai taps privalomai pranešamu kibernetiniu incidentu

    Gamybos sustabdymas ilgiau nei 8 valandoms, dideli finansiniai nuostoliai ar kritinių paslaugų nepasiekiamumas gali būti priskirti prie rimtų kibernetinio saugumo incidentų, kuriuos reikės pranešti nustatyta tvarka. Tokius slenksčius numatoma taikyti atnaujinant nacionalinį kibernetinio saugumo reguliavimą, susietą su ES NIS2 direktyva.

    Rimtas incidentas paprastai suprantamas kaip įvykis, turintis arba galintis turėti reikšmingą neigiamą poveikį informacinių sistemų saugumui ir paslaugų teikimui. Įvykus rimtam incidentui, atsakingos organizacijos privalo jį pranešti per 72 valandas nuo nustatymo momento, o nepranešimas gali užtraukti dideles administracines sankcijas.

    Kokie slenksčiai lems rimtą incidentą?

    Rimtumo vertinimas remsis keliais kriterijais: sutrikimo trukme, paveiktų naudotojų skaičiumi, geografiniu mastu, finansiniais nuostoliais ir konkrečiam sektoriui būdingais rizikos veiksniais. Esminė nuostata – užteks atitikti bent vieną slenkstį, kad incidentas būtų laikomas rimtu.

    Daugelyje sektorių vienu iš universaliausių kriterijų laikomi finansiniai nuostoliai. Praktikoje tai reiškia, kad kibernetinis incidentas, sukėlęs didesnius nei apie 460 000 eurų nuostolius, galėtų būti automatiškai priskiriamas rimtiems ir aktyvuotų privalomas reagavimo bei pranešimo procedūras.

    Kai kuriuose sektoriuose slenksčiai gali būti nustatomi ne pagal pinigus, o pagal poveikio pobūdį. Pavyzdžiui, atliekų tvarkyme, chemijos pramonėje ar maisto gamyboje didelę reikšmę turėtų ne tik paslaugos ar gamybos prastovos, bet ir aplinkosaugos bei žmonių sveikatos rizika.

    8 valandų prastova ir jautriausios sritys

    Gamybos ir pramonės įmonėse rimtu incidentu gali būti laikomas atvejis, kai dėl kibernetinės atakos ar sistemų sutrikimo gamyba tampa neprieinama ilgiau nei 8 valandoms. Šis kriterijus aktualus įmonėms, gaminančioms, pavyzdžiui, elektroniką, elektros įrangą, mašinas ar transporto priemones, kai procesų sustojimas tiesiogiai verčiasi tiekimo grandinių trikdžiais.

    Viešajame sektoriuje papildomu rimtumo požymiu gali tapti ir tam tikros atakų rūšys, ypač duomenų šifravimas siekiant išpirkos. Tokiais atvejais incidentas vertinamas ne tik pagal trukmę ar nuostolius, bet ir pagal tai, ar buvo pažeistas duomenų konfidencialumas, vientisumas ar autentiškumas bei kiek naudotojų tai palietė.

    „Pagrindinis 8 valandų nepasiekiamumo kriterijus atitinka darbo dieną, o kai kurioms viešosioms paslaugoms trumpesnis terminas siejamas su būtinybe užtikrinti valstybės funkcijų tęstinumą krizės metu“, – aiškinama reguliavimo projekto logika.

    Energetikoje pakanka minučių

    Energetikos sektoriuje kai kuriais atvejais incidento rimtumą gali lemti itin trumpas sutrikimo laikas. Elektros tiekimo praradimas, trunkantis vos kelias minutes, bet apimantis reikšmingą sistemos ar paklausos dalį, gali būti traktuojamas kaip rimtas įvykis dėl tiesioginės įtakos infrastruktūros stabilumui.

    Dar griežtesnė logika taikoma sričių, susijusių su branduoline energetika, saugai: čia rimtą incidentą gali lemti ne trukmė, o pasekmės – rizika žmonių sveikatai, aplinkos užterštumas, didelė turtinė žala ar teisiškai saugomų paslapčių atskleidimas.

    Verslui tai reiškia, kad vien IT padalinio reakcijos nebeužteks. Organizacijoms teks iš anksto susidėlioti incidentų nustatymo, klasifikavimo, informavimo ir dokumentavimo procesus, nes pranešimo terminas skaičiuojamas nuo nustatymo momento, o baudos už neveikimą gali būti skausmingos.

  • Lenkija kuria tris naujus sektorinius CSIRT: kaip keisis reagavimas į kibernetinius incidentus

    Lenkija plečia nacionalinę kibernetinio saugumo architektūrą, kurdama naujus sektorinius kompiuterinių incidentų reagavimo padalinius CSIRT. Šalia jau veikiančių nacionalinio lygmens komandų stiprinamas modelis, kai atskiroms ūkio šakoms skiriami specializuoti reagavimo centrai.

    Tokie padaliniai turi pagreitinti incidentų valdymą, sutrumpinti informacijos kelią tarp valstybės ir verslo bei užtikrinti, kad specifinių sričių rizikos būtų vertinamos greičiau. Pagrindinis tikslas – geresnė koordinacija ir vienodesni reagavimo standartai kritinėse paslaugose.

    Nauji CSIRT ir jų sritys

    Šiuo metu formuojami du nauji sektoriniai vienetai – CSIRT Cyfra ir CSIRT Infrastruktura, kurie dar yra komplektavimo ir gebėjimų vystymo stadijoje. Kartu numatytas ir trečiasis ramstis: nuo 2027 metų spalio mėnesio darbą turėtų pradėti CSIRT UDT, veiksiantis prie Techninės priežiūros institucijos.

    CSIRT Cyfra kuriamas skaitmeninę politiką įgyvendinančioje ministerijoje ir planuojamas maždaug 15 žmonių dydžio. Viešai įvardijama, kad pirmasis etapas – pasiekti bazinį organizacinės brandos lygį pagal Europos praktikoje taikomus gebėjimų vertinimo modelius, o vėliau siekti platesnio tarptautinio pripažinimo ir keitimosi informacija mechanizmų.

    CSIRT Infrastruktura kuriamas Susisiekimo ministerijos krizinių situacijų valdymo struktūroje ir apims transportą, geriamojo vandens tiekimą bei nuotekų surinkimą. Nurodoma, kad komanda formuojama etapais: iki 2026 metų pabaigos turėtų būti užbaigtas pirmasis formavimo etapas, o pilna sudėtis planuojama 2027 metais.

    CSIRT UDT, kurio startas numatytas 2027 metų spalio mėnesį, bus orientuotas į pramonės, chemijos ir kosmoso sektorius. Institucija pabrėžia organizacinį pasirengimą: komandos formavimą, atsakomybių apibrėžimą, techninės infrastruktūros kūrimą ir ryšių su prižiūrimais subjektais stiprinimą.

    Ką keičia sektoriniai CSIRT?

    Sektorinių CSIRT idėja remiasi praktika, kad vien nacionalinio lygmens centrų nepakanka, kai daugėja išpirkos reikalaujančių atakų, tiekimo grandinės incidentų ir pramoninių sistemų pažeidžiamumų. Specializuotos komandos geriau supranta konkrečių sektorių technologijas, reguliavimą ir tipines krizių grandines.

    Toks modelis ypač svarbus infrastruktūrai, kur incidentų kaina matuojama ne tik duomenų praradimu, bet ir paslaugų sutrikimais gyventojams. Transporto, vandentvarkos ar gamybos srityse reagavimo greitis ir aiškūs veiksmų scenarijai gali lemti, ar incidentas taps lokaliu sutrikimu, ar plataus masto krize.

    Plėtra taip pat siejama su Europos Sąjungos kryptimi didinti svarbiausių ir svarbių subjektų atsakomybę kibernetinio saugumo srityje. Praktikoje tai reiškia daugiau pranešimų apie incidentus, daugiau prevencinių patikrų ir didesnį poreikį turėti institucijas, kurios geba ne tik priimti informaciją, bet ir realiai padėti ją suvaldyti.

    Didžiausias išbandymas – ne struktūra, o pajėgumai

    Ekspertai dažnai pabrėžia, kad vien naujų komandų įkūrimas dar negarantuoja proveržio: svarbiausia yra žmonės, procesai ir techninės priemonės. Sektoriniams CSIRT reikės užtikrinti budėjimo režimą, incidentų triage, forensikos kompetencijas, aiškias eskalavimo taisykles bei saugius kanalus keitimuisi informacija su nacionalinio lygmens komandomis.

    Ne mažiau svarbus ir pasitikėjimas: įmonės linkusios atviriau dalintis informacija tuomet, kai mato tiesioginę pagalbą, aiškią konfidencialumo tvarką ir apčiuopiamą vertę. Todėl komunikacija su sektoriumi dar iki pilnos operacinės parengties gali tapti vienu iš veiksnių, lemiančių, kaip greitai naujieji CSIRT taps realiai veikiančiais reagavimo centrais.

  • Po kibernetinės atakos lemia minutės: ENISA ekspertas įvardijo tris pirmuosius žingsnius verslui

    Laikais, kai sukčiavimo laiškai ir netikros svetainės vis dažniau kuriamos pasitelkiant DI, o naujos pažeidžiamumo spragos išnaudojamos per valandas ar net minutes, įmonių reakcija į kibernetinį incidentą tampa esminiu išlikimo veiksniu. Europos Sąjungos kibernetinio saugumo agentūros ENISA atstovai pabrėžia, kad pirmosios valandos po įsilaužimo neretai nulemia galutinių nuostolių mastą.

    ENISA kibernetinio saugumo ir operacijų direktorius Hansas de Vriesas akcentuoja, kad kibernetinė ataka šiandien nėra vien IT skyriaus problema. Tai visos organizacijos atsparumo testas, apimantis technologijas, žmones ir procesus, o klaidos pradžioje gali pakenkti ne tik sistemoms, bet ir reputacijai bei klientų pasitikėjimui.

    DI keičia atakų greitį

    Pastaraisiais metais saugumo ekspertai vis dažniau kalba apie trumpėjantį laiką nuo spragos aptikimo iki jos išnaudojimo. DI padeda nusikaltėliams greičiau parengti įtikinamas apgaules, automatizuoti žvalgybą ir pritaikyti atakų scenarijus konkrečioms įmonėms, todėl vėluojanti reakcija tampa brangia klaida.

    Ši situacija didina poreikį iš anksto turėti incidentų valdymo planą, apmokytus atsakingus žmones ir aiškius sprendimų priėmimo kelius. Praktikoje daugelis organizacijų deklaruoja pasirengimą, tačiau realaus įvykio metu paaiškėja, kad trūksta aiškios komunikacijos, atsarginių veikimo scenarijų ir išbandytų procedūrų.

    Trys žingsniai pirmosioms minutėms

    ENISA ekspertas išskiria tris prioritetus, kuriuos įmonei svarbu atlikti vos pastebėjus galimą įsilaužimą ar duomenų nutekėjimą. Tikslas yra sustabdyti žalą, užfiksuoti informaciją tyrimui ir kuo greičiau įjungti pagalbos mechanizmus, kad incidentas neplistų.

    „Greitas pranešimas apie ataką padeda specialistams greičiau spręsti problemą ir užkirsti kelią tolesnei žalai, taip pat leidžia gauti patarimų ir paramą, reikalingą efektyviam atsigavimui“, – sakė Hansas de Vriesas.

    Pirmasis žingsnis yra nedelsiant stabilizuoti situaciją ir rinkti įrodymus: išsaugoti klaidų pranešimus, sistemos įspėjimus, ekrano nuotraukas, užfiksuoti įtartiną veiklą ir neardyti galimų įkalčių. Tai svarbu ir vidiniam tyrimui, ir tuo atveju, jei prireiktų teisėsaugos ar reguliuotojų įsitraukimo.

    Antrasis žingsnis yra kreiptis į kompetentingas institucijas ir naudotis oficialiais pranešimo kanalais. ES šalyse veikia nacionaliniai kibernetinio saugumo centrai ir incidentų registravimo mechanizmai, o didesniais atvejais gali būti reikalingas ir platesnis koordinavimas su sektoriaus ar valstybinėmis struktūromis.

    Trečiasis žingsnis yra greitas ir tikslus informavimas tų, kuriuos incidentas galėjo paveikti. Tai apima darbuotojus, klientus, partnerius ir tiekimo grandinės dalyvius, nes šiuolaikinėse atakose dažnai siekiama plisti per kontaktus, perimtas paskyras ar kompromituotus tiekėjų kanalus.

    Technologijos, žmonės ir procesai

    ENISA pabrėžia, kad kibernetinė sauga nėra vieno įrankio ar vienos platformos klausimas. Net pažangiausios apsaugos priemonės nebus veiksmingos, jei darbuotojai neatpažins apgaulių arba jei organizacijoje nebus aiškių taisyklių, kas ką daro incidento metu.

    „Sistemos ir paslaugos, kuriomis remiamės kasdieniame gyvenime, yra tarpusavyje susietos, todėl sutrikimas vienoje grandinės vietoje gali sukelti domino efektą visoje tiekimo grandinėje“, – sakė Hansas de Vriesas.

    Dėl to vis daugiau dėmesio skiriama nuolatiniams mokymams, pratyboms ir pareigybių aiškumui, kad incidento metu sprendimai būtų priimami greitai. ENISA taip pat yra parengusi Europos kibernetinio saugumo gebėjimų sistemą, kuri padeda įmonėms apibrėžti roles ir kompetencijas bei planuoti, kokių specialistų reikia realiam atsparumui užtikrinti.

    Artėjant griežtesniems reikalavimams daliai sektorių, įmonėms aktualu ne tik investuoti į technologijas, bet ir reguliariai testuoti veiklos tęstinumo planus, atnaujinti incidentų valdymo procedūras ir įvertinti tiekėjų rizikas. Kuo aiškesnis pasirengimas, tuo didesnė tikimybė, kad kibernetinė ataka netaps verslo sustojimu.

  • „Palo Alto Networks“ įspėja: DI valdomos kibernetinės atakos netrukus taps nauja norma

    „Palo Alto Networks“ įspėja: DI valdomos kibernetinės atakos netrukus taps nauja norma

    „Palo Alto Networks“ technologijų vadovas Lee Klarich perspėja, kad organizacijos turi tik 3–5 mėnesių langą sustiprinti gynybą, kol DI valdomi pažeidžiamumų išnaudojimai taps kasdienybe. Jo teigimu, puolėjai vis aktyviau pasitelkia pažangius modelius, kurie spartina silpnų vietų paiešką ir atakų automatizavimą.

    Pasak eksperto, didžiausia rizika slypi tame, kad DI gali padėti greičiau atrasti ir pritaikyti iki tol nežinomas programinės įrangos spragas. Tai didina tikimybę, kad atakos bus masiškesnės, tikslesnės ir pigiau vykdomos, o incidentų skaičius bei žala verslui augs.

    Lenktynės su pažeidžiamumų banga

    Ši tendencija ypač aktuali išpirkos reikalaujančių programų ekosistemai, kuri pastaraisiais metais profesionalizavosi ir veikia kaip paslauga. DI įrankiai gali palengvinti tiek pradinį taikinio žvalgybos etapą, tiek socialinę inžineriją, tiek ir techninį įsilaužimą, kai bandoma išnaudoti klaidas sistemose.

    Lee Klarich teigia, kad rinkai būtina greitesnė, visos industrijos masto inovacija, orientuota į naujų atakos metodų aptikimą. Kaip vieną krypčių jis išskiria vadinamąjį virtualų lopymą, kai pažeidžiamumai neutralizuojami apsaugos sluoksnyje dar iki oficialaus gamintojo pataisymo.

    Signalai iš „Google“ ir kitų rinkos žaidėjų

    Pastaruoju metu apie DI panaudojimą kibernetinėse operacijose vis dažniau kalba ir didžiosios technologijų bendrovės. „Google“ yra pranešusi sustabdžiusi bandymą pasitelkti DI masinio išnaudojimo kampanijai, tačiau kartu pažymi, kad nusikaltėliai jau dabar naudoja viešai prieinamus įrankius realioms atakoms.

    Tuo pat metu kibernetinio saugumo bendruomenėje daugėja iniciatyvų, kai pažangūs modeliai testuojami kontroliuojamomis sąlygomis, o prieiga ribojama patikimoms komandoms, siekiant laiku aptikti spragas ir sumažinti piktnaudžiavimo riziką. „Palo Alto Networks“ taip pat žada artimiausiu metu pristatyti pirmuosius papildomus pajėgumus, skirtus atremti naujos kartos atakoms.

    Ką tai reiškia įmonėms ir žmonėms

    Praktiškai tai reiškia, kad organizacijoms svarbu mažinti laiką nuo pažeidžiamumo aptikimo iki jo suvaldymo, griežtinti prieigų kontrolę ir atnaujinti incidentų valdymo planus. DI spartinamos atakos ypač pavojingos ten, kur skaitmeninės paslaugos priklauso nuo daugybės tiekėjų, integracijų ir nuotolinės prieigos.

    Ekspertai pabrėžia, kad vien technologinių priemonių nepakanka: darbuotojų mokymai, griežtesnės autentifikavimo taisyklės ir atsarginių kopijų disciplina išlieka kertiniai dalykai. Kuo labiau automatizuojasi puolimas, tuo labiau turi automatizuotis ir gynyba.

    „Dabar matome tik 3–5 mėnesių langą, per kurį organizacijos gali aplenkti priešininką, kol DI valdomi išnaudojimai taps nauja norma“, – sakė Lee Klarich.