Pastaraisiais metais kibernetiniai incidentai jau nebelaikomi tik didžiųjų tarptautinių korporacijų problema. Su išpirkos reikalaujančiomis programomis, duomenų vagystėmis ir sukčiavimo atakomis vis dažniau susiduria ir mažos Lietuvos įmonės, dirbančios labai įvairiose srityse, nuo buhalterinių paslaugų iki elektroninės prekybos.
Ši situacija skatina verslą peržiūrėti požiūrį į skaitmeninę riziką ir pradėti planuoti nuoseklesnes investicijas į kibernetinį saugumą. Vis daugiau vadovų sau klausimą formuluoja ne „ar verta investuoti“, o „nuo ko pradėti ir kiek tai turi kainuoti“.
Kodėl mažoms įmonėms kibernetinė rizika tampa tokia pat aktuali kaip ir didelėms
Kibernetiniai nusikaltėliai dažnai taikosi ne į didžiausias, o į pažeidžiamiausias organizacijas. Mažos įmonės tradiciškai turi silpnesnes apsaugos priemones, mažiau formalizuotus procesus ir ribotus IT resursus, todėl joms sudėtingiau aptikti ar greitai suvaldyti incidentą.
Prie to prisideda ir didėjantis duomenų kiekis. Net nedidelė įmonė šiandien kaupia klientų kontaktus, sutarčių kopijas, darbuotojų dokumentus, atsiskaitymų istoriją. Toks informacijos rinkinys yra patrauklus taikinys tiek organizuotoms grupėms, tiek individualiems sukčiams.
Dažniausi pavojai: nuo išpirkos reikalaujančių programų iki „žmogiškojo faktoriaus“
Viena dažniausių grėsmių, su kuria susiduria Lietuvos verslas, yra sukčiavimo el. paštu atakos. Nusikaltėliai bando išgauti prisijungimo duomenis, rašydami įtikinamus laiškus, imituojančius bankų, partnerių ar net įmonės vadovų žinutes. Kartais pakanka vieno neatsargaus paspaudimo, kad būtų pažeista visa vidinė sistema.
Kita grupė incidentų siejama su išpirkos reikalaujančiomis programomis, kurios užšifruoja duomenis ir neleidžia jais naudotis, kol nesumokama išpirkos. Mažos įmonės čia itin pažeidžiamos, nes dažnai neturi pilnų atsarginių kopijų ar aiškaus veiklos atkūrimo plano, todėl realiai rizikuoja kelias dienas ar net savaites negalėti dirbti.
Mažų įmonių sprendimai: nuo „nemokamų antivirusų“ iki kibernetinio draudimo
Dalis mažų įmonių saugumo priemones iki šiol suprato gana siaurai, apsiribodamos nemokama antivirusine programa ir atsitiktiniais slaptažodžių keitimais. Tačiau daugėjant incidentų, įmonės vis dažniau ima domėtis sudėtingesnėmis, bet vis dar įkandamomis priemonėmis: dviem žingsniais pagrįstu prisijungimu, centralizuotu darbo vietų valdymu, saugumo politikomis nuotoliniu darbui.
Pastebimai didėja ir susidomėjimas kibernetinio saugumo draudimu. Toks draudimas neapsaugo nuo atakų, tačiau gali padėti padengti dalį nuostolių, pavyzdžiui, dėl sustojusios veiklos ar incidento tyrimo kaštų. Daugeliui smulkių įmonių tai tampa papildomu argumentu bent minimaliai susitvarkyti saugumo procesus, nes draudėjai paprastai reikalauja tam tikro bazinio lygio.
Kiek realiai kainuoja „padorus“ kibernetinis saugumas mažai įmonei
Svarbus klausimas, su kuriuo susiduria mažos įmonės vadovai, yra biudžetas. Viena vertus, galima be saiko leisti pinigus sudėtingoms apsaugos sistemoms, kurių realiai nereikia. Kita vertus, per taupus požiūris gali brangiai kainuoti, kai tenka stabdyti veiklą ar atstatyti prarastus duomenis.
Praktikoje vis dažniau taikoma nuostata skirti kibernetiniam saugumui tam tikrą dalį IT biudžeto ir ją planuotai didinti. Tai leidžia etapais įdiegti svarbiausias priemones: pradiniu etapu pasirūpinti atsarginėmis kopijomis ir slaptažodžių valdymu, vėliau pereiti prie darbuotojų mokymų ir stebėsenos, dar vėliau įvertinti poreikį specializuotoms paslaugoms, pavyzdžiui, reagavimui į incidentus.
Praktinis minimalus rinkinys: ką gali padaryti net ir labai maža komanda
Nors kibernetinis saugumas skamba sudėtingai, dalį svarbiausių priemonių galima įgyvendinti ir be sudėtingų sistemų. Pirmiausia, verta susitvarkyti slaptažodžius: pereiti nuo vienodų ar lengvai atspėjamų kombinacijų prie unikalių, ilgesnių slaptažodžių ir slaptažodžių tvarkyklių naudojimo.
Antra, užtikrinti reguliarias atsargines kopijas, kurios nebūtų laikomos tik tame pačiame serveryje ar kompiuteryje. Net jei tai paprasta debesijos paslauga, jos sistemingas naudojimas gali išgelbėti nuo visiško duomenų praradimo. Trečia, susitarti įmonės viduje dėl kelių aiškių taisyklių: kaip elgtis gavus įtartiną laišką, kam pranešti apie incidentą, kas turi teisę keisti prieigos teises.
Darbuotojų mokymai: silpnoji grandis tampa stipresnė
Kibernetinio saugumo specialistai dažnai pabrėžia, kad technologijos vienos pačios problemos neišspręs, jei darbuotojai nesupras, kokios rizikos kyla kasdienį darbą atliekant el. paštu, bendradarbiavimo platformomis ar naudojantis nuotolinėmis prieigomis.
Mažoms įmonėms nebūtina organizuoti brangių ir ilgų mokymų. Dažnai efektyvūs būna trumpi, periodiškai kartojami praktiniai seminarai, kur aptariami realūs sukčiavimo pavyzdžiai, demonstruojama, kaip atpažinti netikrus pranešimus, ir aiškinamasi, kaip saugiai naudotis asmeniniais įrenginiais darbo reikalais.
Valdymo vaidmuo: kodėl atsakomybė negali būti palikta tik IT specialistui
Net jei įmonė turi IT tiekėją ar vidinį specialistą, sprendimai dėl kibernetinio saugumo neišvengiamai yra vadovybės atsakomybė. Būtent vadovai nustato prioritetus, skiria biudžetą ir priima sprendimus, kas svarbiau: naujos funkcijos klientams ar solidesnės apsaugos priemonės.
Praktikoje tai reiškia, kad kibernetinis saugumas turėtų būti aptariamas kartu su kitais strateginiais klausimais: plėtra į naujas rinkas, naujų paslaugų diegimu, pereinant prie nuotolinio darbo ar skaitmeninių pardavimo kanalų. Kiekvienas toks pokytis turi ir savo rizikas, ir papildomus saugumo reikalavimus.
Ką tai reiškia rinkai ir plačiau suprantamai ekonomikai
Mažų įmonių brandesnis požiūris į kibernetinį saugumą turi platesnį poveikį nei gali pasirodyti iš pirmo žvilgsnio. Kuo rečiau pasisekusios atakos sutrikdo paslaugas ar nutraukia tiekimą, tuo stabilesnės tampa tiek vietinės, tiek tarptautinės tiekimo grandinės, su kuriomis susiję Lietuvos verslai.
Be to, tai turi įtakos ir pasitikėjimui skaitmeniniais sprendimais. Jei verslo klientai žino, kad tiekėjai atsakingai tvarko duomenis ir investuoja į apsaugą, lengviau priimami sprendimai dėl elektroninių paslaugų naudojimo, nuotolinio darbo ar skaitmeninių sutarčių. Ilgainiui tai padeda spartinti ir bendrą šalies ekonomikos skaitmenizaciją.
Ko tikėtis artimiausiais metais
Galima tikėtis, kad kibernetinio saugumo reguliavimas ir reikalavimai Lietuvos verslui toliau griežtės, ypač tie, kurie susiję su kritine infrastruktūra, finansinėmis ir viešosiomis paslaugomis. Net ir mažos įmonės, dirbančios su tokių sektorių užsakovu, turės laikytis bent minimalių saugumo standartų.
Tuo pačiu rinka po truputį siūlo vis daugiau paslaugų specialiai mažoms ir augančioms įmonėms: nuo prenumerata pagrįstų saugumo paketų iki išorinių ekspertų pagalbos, kai incidentas jau įvyko. Verslui tai suteikia daugiau galimybių pasirinkti ne tik tarp „brangu“ ir „nieko“, bet ir tarp skirtingų apsaugos lygių, atitinkančių realius poreikius.
