CP v2

Tag: Incidentų valdymas

  • Gamyklos sustojo 8 valandoms? Nuo kada tai taps privalomai pranešamu kibernetiniu incidentu

    Gamybos sustabdymas ilgiau nei 8 valandoms, dideli finansiniai nuostoliai ar kritinių paslaugų nepasiekiamumas gali būti priskirti prie rimtų kibernetinio saugumo incidentų, kuriuos reikės pranešti nustatyta tvarka. Tokius slenksčius numatoma taikyti atnaujinant nacionalinį kibernetinio saugumo reguliavimą, susietą su ES NIS2 direktyva.

    Rimtas incidentas paprastai suprantamas kaip įvykis, turintis arba galintis turėti reikšmingą neigiamą poveikį informacinių sistemų saugumui ir paslaugų teikimui. Įvykus rimtam incidentui, atsakingos organizacijos privalo jį pranešti per 72 valandas nuo nustatymo momento, o nepranešimas gali užtraukti dideles administracines sankcijas.

    Kokie slenksčiai lems rimtą incidentą?

    Rimtumo vertinimas remsis keliais kriterijais: sutrikimo trukme, paveiktų naudotojų skaičiumi, geografiniu mastu, finansiniais nuostoliais ir konkrečiam sektoriui būdingais rizikos veiksniais. Esminė nuostata – užteks atitikti bent vieną slenkstį, kad incidentas būtų laikomas rimtu.

    Daugelyje sektorių vienu iš universaliausių kriterijų laikomi finansiniai nuostoliai. Praktikoje tai reiškia, kad kibernetinis incidentas, sukėlęs didesnius nei apie 460 000 eurų nuostolius, galėtų būti automatiškai priskiriamas rimtiems ir aktyvuotų privalomas reagavimo bei pranešimo procedūras.

    Kai kuriuose sektoriuose slenksčiai gali būti nustatomi ne pagal pinigus, o pagal poveikio pobūdį. Pavyzdžiui, atliekų tvarkyme, chemijos pramonėje ar maisto gamyboje didelę reikšmę turėtų ne tik paslaugos ar gamybos prastovos, bet ir aplinkosaugos bei žmonių sveikatos rizika.

    8 valandų prastova ir jautriausios sritys

    Gamybos ir pramonės įmonėse rimtu incidentu gali būti laikomas atvejis, kai dėl kibernetinės atakos ar sistemų sutrikimo gamyba tampa neprieinama ilgiau nei 8 valandoms. Šis kriterijus aktualus įmonėms, gaminančioms, pavyzdžiui, elektroniką, elektros įrangą, mašinas ar transporto priemones, kai procesų sustojimas tiesiogiai verčiasi tiekimo grandinių trikdžiais.

    Viešajame sektoriuje papildomu rimtumo požymiu gali tapti ir tam tikros atakų rūšys, ypač duomenų šifravimas siekiant išpirkos. Tokiais atvejais incidentas vertinamas ne tik pagal trukmę ar nuostolius, bet ir pagal tai, ar buvo pažeistas duomenų konfidencialumas, vientisumas ar autentiškumas bei kiek naudotojų tai palietė.

    „Pagrindinis 8 valandų nepasiekiamumo kriterijus atitinka darbo dieną, o kai kurioms viešosioms paslaugoms trumpesnis terminas siejamas su būtinybe užtikrinti valstybės funkcijų tęstinumą krizės metu“, – aiškinama reguliavimo projekto logika.

    Energetikoje pakanka minučių

    Energetikos sektoriuje kai kuriais atvejais incidento rimtumą gali lemti itin trumpas sutrikimo laikas. Elektros tiekimo praradimas, trunkantis vos kelias minutes, bet apimantis reikšmingą sistemos ar paklausos dalį, gali būti traktuojamas kaip rimtas įvykis dėl tiesioginės įtakos infrastruktūros stabilumui.

    Dar griežtesnė logika taikoma sričių, susijusių su branduoline energetika, saugai: čia rimtą incidentą gali lemti ne trukmė, o pasekmės – rizika žmonių sveikatai, aplinkos užterštumas, didelė turtinė žala ar teisiškai saugomų paslapčių atskleidimas.

    Verslui tai reiškia, kad vien IT padalinio reakcijos nebeužteks. Organizacijoms teks iš anksto susidėlioti incidentų nustatymo, klasifikavimo, informavimo ir dokumentavimo procesus, nes pranešimo terminas skaičiuojamas nuo nustatymo momento, o baudos už neveikimą gali būti skausmingos.

  • Lenkija kuria tris naujus sektorinius CSIRT: kaip keisis reagavimas į kibernetinius incidentus

    Lenkija plečia nacionalinę kibernetinio saugumo architektūrą, kurdama naujus sektorinius kompiuterinių incidentų reagavimo padalinius CSIRT. Šalia jau veikiančių nacionalinio lygmens komandų stiprinamas modelis, kai atskiroms ūkio šakoms skiriami specializuoti reagavimo centrai.

    Tokie padaliniai turi pagreitinti incidentų valdymą, sutrumpinti informacijos kelią tarp valstybės ir verslo bei užtikrinti, kad specifinių sričių rizikos būtų vertinamos greičiau. Pagrindinis tikslas – geresnė koordinacija ir vienodesni reagavimo standartai kritinėse paslaugose.

    Nauji CSIRT ir jų sritys

    Šiuo metu formuojami du nauji sektoriniai vienetai – CSIRT Cyfra ir CSIRT Infrastruktura, kurie dar yra komplektavimo ir gebėjimų vystymo stadijoje. Kartu numatytas ir trečiasis ramstis: nuo 2027 metų spalio mėnesio darbą turėtų pradėti CSIRT UDT, veiksiantis prie Techninės priežiūros institucijos.

    CSIRT Cyfra kuriamas skaitmeninę politiką įgyvendinančioje ministerijoje ir planuojamas maždaug 15 žmonių dydžio. Viešai įvardijama, kad pirmasis etapas – pasiekti bazinį organizacinės brandos lygį pagal Europos praktikoje taikomus gebėjimų vertinimo modelius, o vėliau siekti platesnio tarptautinio pripažinimo ir keitimosi informacija mechanizmų.

    CSIRT Infrastruktura kuriamas Susisiekimo ministerijos krizinių situacijų valdymo struktūroje ir apims transportą, geriamojo vandens tiekimą bei nuotekų surinkimą. Nurodoma, kad komanda formuojama etapais: iki 2026 metų pabaigos turėtų būti užbaigtas pirmasis formavimo etapas, o pilna sudėtis planuojama 2027 metais.

    CSIRT UDT, kurio startas numatytas 2027 metų spalio mėnesį, bus orientuotas į pramonės, chemijos ir kosmoso sektorius. Institucija pabrėžia organizacinį pasirengimą: komandos formavimą, atsakomybių apibrėžimą, techninės infrastruktūros kūrimą ir ryšių su prižiūrimais subjektais stiprinimą.

    Ką keičia sektoriniai CSIRT?

    Sektorinių CSIRT idėja remiasi praktika, kad vien nacionalinio lygmens centrų nepakanka, kai daugėja išpirkos reikalaujančių atakų, tiekimo grandinės incidentų ir pramoninių sistemų pažeidžiamumų. Specializuotos komandos geriau supranta konkrečių sektorių technologijas, reguliavimą ir tipines krizių grandines.

    Toks modelis ypač svarbus infrastruktūrai, kur incidentų kaina matuojama ne tik duomenų praradimu, bet ir paslaugų sutrikimais gyventojams. Transporto, vandentvarkos ar gamybos srityse reagavimo greitis ir aiškūs veiksmų scenarijai gali lemti, ar incidentas taps lokaliu sutrikimu, ar plataus masto krize.

    Plėtra taip pat siejama su Europos Sąjungos kryptimi didinti svarbiausių ir svarbių subjektų atsakomybę kibernetinio saugumo srityje. Praktikoje tai reiškia daugiau pranešimų apie incidentus, daugiau prevencinių patikrų ir didesnį poreikį turėti institucijas, kurios geba ne tik priimti informaciją, bet ir realiai padėti ją suvaldyti.

    Didžiausias išbandymas – ne struktūra, o pajėgumai

    Ekspertai dažnai pabrėžia, kad vien naujų komandų įkūrimas dar negarantuoja proveržio: svarbiausia yra žmonės, procesai ir techninės priemonės. Sektoriniams CSIRT reikės užtikrinti budėjimo režimą, incidentų triage, forensikos kompetencijas, aiškias eskalavimo taisykles bei saugius kanalus keitimuisi informacija su nacionalinio lygmens komandomis.

    Ne mažiau svarbus ir pasitikėjimas: įmonės linkusios atviriau dalintis informacija tuomet, kai mato tiesioginę pagalbą, aiškią konfidencialumo tvarką ir apčiuopiamą vertę. Todėl komunikacija su sektoriumi dar iki pilnos operacinės parengties gali tapti vienu iš veiksnių, lemiančių, kaip greitai naujieji CSIRT taps realiai veikiančiais reagavimo centrais.

  • Po kibernetinės atakos lemia minutės: ENISA ekspertas įvardijo tris pirmuosius žingsnius verslui

    Laikais, kai sukčiavimo laiškai ir netikros svetainės vis dažniau kuriamos pasitelkiant DI, o naujos pažeidžiamumo spragos išnaudojamos per valandas ar net minutes, įmonių reakcija į kibernetinį incidentą tampa esminiu išlikimo veiksniu. Europos Sąjungos kibernetinio saugumo agentūros ENISA atstovai pabrėžia, kad pirmosios valandos po įsilaužimo neretai nulemia galutinių nuostolių mastą.

    ENISA kibernetinio saugumo ir operacijų direktorius Hansas de Vriesas akcentuoja, kad kibernetinė ataka šiandien nėra vien IT skyriaus problema. Tai visos organizacijos atsparumo testas, apimantis technologijas, žmones ir procesus, o klaidos pradžioje gali pakenkti ne tik sistemoms, bet ir reputacijai bei klientų pasitikėjimui.

    DI keičia atakų greitį

    Pastaraisiais metais saugumo ekspertai vis dažniau kalba apie trumpėjantį laiką nuo spragos aptikimo iki jos išnaudojimo. DI padeda nusikaltėliams greičiau parengti įtikinamas apgaules, automatizuoti žvalgybą ir pritaikyti atakų scenarijus konkrečioms įmonėms, todėl vėluojanti reakcija tampa brangia klaida.

    Ši situacija didina poreikį iš anksto turėti incidentų valdymo planą, apmokytus atsakingus žmones ir aiškius sprendimų priėmimo kelius. Praktikoje daugelis organizacijų deklaruoja pasirengimą, tačiau realaus įvykio metu paaiškėja, kad trūksta aiškios komunikacijos, atsarginių veikimo scenarijų ir išbandytų procedūrų.

    Trys žingsniai pirmosioms minutėms

    ENISA ekspertas išskiria tris prioritetus, kuriuos įmonei svarbu atlikti vos pastebėjus galimą įsilaužimą ar duomenų nutekėjimą. Tikslas yra sustabdyti žalą, užfiksuoti informaciją tyrimui ir kuo greičiau įjungti pagalbos mechanizmus, kad incidentas neplistų.

    „Greitas pranešimas apie ataką padeda specialistams greičiau spręsti problemą ir užkirsti kelią tolesnei žalai, taip pat leidžia gauti patarimų ir paramą, reikalingą efektyviam atsigavimui“, – sakė Hansas de Vriesas.

    Pirmasis žingsnis yra nedelsiant stabilizuoti situaciją ir rinkti įrodymus: išsaugoti klaidų pranešimus, sistemos įspėjimus, ekrano nuotraukas, užfiksuoti įtartiną veiklą ir neardyti galimų įkalčių. Tai svarbu ir vidiniam tyrimui, ir tuo atveju, jei prireiktų teisėsaugos ar reguliuotojų įsitraukimo.

    Antrasis žingsnis yra kreiptis į kompetentingas institucijas ir naudotis oficialiais pranešimo kanalais. ES šalyse veikia nacionaliniai kibernetinio saugumo centrai ir incidentų registravimo mechanizmai, o didesniais atvejais gali būti reikalingas ir platesnis koordinavimas su sektoriaus ar valstybinėmis struktūromis.

    Trečiasis žingsnis yra greitas ir tikslus informavimas tų, kuriuos incidentas galėjo paveikti. Tai apima darbuotojus, klientus, partnerius ir tiekimo grandinės dalyvius, nes šiuolaikinėse atakose dažnai siekiama plisti per kontaktus, perimtas paskyras ar kompromituotus tiekėjų kanalus.

    Technologijos, žmonės ir procesai

    ENISA pabrėžia, kad kibernetinė sauga nėra vieno įrankio ar vienos platformos klausimas. Net pažangiausios apsaugos priemonės nebus veiksmingos, jei darbuotojai neatpažins apgaulių arba jei organizacijoje nebus aiškių taisyklių, kas ką daro incidento metu.

    „Sistemos ir paslaugos, kuriomis remiamės kasdieniame gyvenime, yra tarpusavyje susietos, todėl sutrikimas vienoje grandinės vietoje gali sukelti domino efektą visoje tiekimo grandinėje“, – sakė Hansas de Vriesas.

    Dėl to vis daugiau dėmesio skiriama nuolatiniams mokymams, pratyboms ir pareigybių aiškumui, kad incidento metu sprendimai būtų priimami greitai. ENISA taip pat yra parengusi Europos kibernetinio saugumo gebėjimų sistemą, kuri padeda įmonėms apibrėžti roles ir kompetencijas bei planuoti, kokių specialistų reikia realiam atsparumui užtikrinti.

    Artėjant griežtesniems reikalavimams daliai sektorių, įmonėms aktualu ne tik investuoti į technologijas, bet ir reguliariai testuoti veiklos tęstinumo planus, atnaujinti incidentų valdymo procedūras ir įvertinti tiekėjų rizikas. Kuo aiškesnis pasirengimas, tuo didesnė tikimybė, kad kibernetinė ataka netaps verslo sustojimu.

  • „Palo Alto Networks“ įspėja: DI valdomos kibernetinės atakos netrukus taps nauja norma

    „Palo Alto Networks“ įspėja: DI valdomos kibernetinės atakos netrukus taps nauja norma

    „Palo Alto Networks“ technologijų vadovas Lee Klarich perspėja, kad organizacijos turi tik 3–5 mėnesių langą sustiprinti gynybą, kol DI valdomi pažeidžiamumų išnaudojimai taps kasdienybe. Jo teigimu, puolėjai vis aktyviau pasitelkia pažangius modelius, kurie spartina silpnų vietų paiešką ir atakų automatizavimą.

    Pasak eksperto, didžiausia rizika slypi tame, kad DI gali padėti greičiau atrasti ir pritaikyti iki tol nežinomas programinės įrangos spragas. Tai didina tikimybę, kad atakos bus masiškesnės, tikslesnės ir pigiau vykdomos, o incidentų skaičius bei žala verslui augs.

    Lenktynės su pažeidžiamumų banga

    Ši tendencija ypač aktuali išpirkos reikalaujančių programų ekosistemai, kuri pastaraisiais metais profesionalizavosi ir veikia kaip paslauga. DI įrankiai gali palengvinti tiek pradinį taikinio žvalgybos etapą, tiek socialinę inžineriją, tiek ir techninį įsilaužimą, kai bandoma išnaudoti klaidas sistemose.

    Lee Klarich teigia, kad rinkai būtina greitesnė, visos industrijos masto inovacija, orientuota į naujų atakos metodų aptikimą. Kaip vieną krypčių jis išskiria vadinamąjį virtualų lopymą, kai pažeidžiamumai neutralizuojami apsaugos sluoksnyje dar iki oficialaus gamintojo pataisymo.

    Signalai iš „Google“ ir kitų rinkos žaidėjų

    Pastaruoju metu apie DI panaudojimą kibernetinėse operacijose vis dažniau kalba ir didžiosios technologijų bendrovės. „Google“ yra pranešusi sustabdžiusi bandymą pasitelkti DI masinio išnaudojimo kampanijai, tačiau kartu pažymi, kad nusikaltėliai jau dabar naudoja viešai prieinamus įrankius realioms atakoms.

    Tuo pat metu kibernetinio saugumo bendruomenėje daugėja iniciatyvų, kai pažangūs modeliai testuojami kontroliuojamomis sąlygomis, o prieiga ribojama patikimoms komandoms, siekiant laiku aptikti spragas ir sumažinti piktnaudžiavimo riziką. „Palo Alto Networks“ taip pat žada artimiausiu metu pristatyti pirmuosius papildomus pajėgumus, skirtus atremti naujos kartos atakoms.

    Ką tai reiškia įmonėms ir žmonėms

    Praktiškai tai reiškia, kad organizacijoms svarbu mažinti laiką nuo pažeidžiamumo aptikimo iki jo suvaldymo, griežtinti prieigų kontrolę ir atnaujinti incidentų valdymo planus. DI spartinamos atakos ypač pavojingos ten, kur skaitmeninės paslaugos priklauso nuo daugybės tiekėjų, integracijų ir nuotolinės prieigos.

    Ekspertai pabrėžia, kad vien technologinių priemonių nepakanka: darbuotojų mokymai, griežtesnės autentifikavimo taisyklės ir atsarginių kopijų disciplina išlieka kertiniai dalykai. Kuo labiau automatizuojasi puolimas, tuo labiau turi automatizuotis ir gynyba.

    „Dabar matome tik 3–5 mėnesių langą, per kurį organizacijos gali aplenkti priešininką, kol DI valdomi išnaudojimai taps nauja norma“, – sakė Lee Klarich.