Pastaraisiais metais kibernetinio saugumo peizažas Lietuvoje pasikeitė iš esmės. Geopolitinė įtampa Baltijos regione, griežtėjantys Europos Sąjungos teisės aktų reikalavimai, tokie kaip TIS 2 (angl. NIS 2) direktyva, bei vis labiau profesionalėjantys tarptautiniai programišių sindikatai privertė vietos organizacijas peržiūrėti savo skaitmeninės gynybos prioritetus. Ilgą laiką dominavusi praktika, kai visa atsakomybė už įmonės serverius, darbo vietas ir kartu skaitmeninį atsparumą tekdavo vienam IT administratoriui, šiandien tampa ne tik neefektyvi, bet ir kritiškai pavojinga organizacijos veiklos tęstinumui.
Tradicinis sistemų administratorius atlieka esminį vaidmenį užtikrindamas, kad verslo procesai vyktų sklandžiai: veiktų el. paštas, nebūtų trikdžių duomenų bazėse, o darbuotojai turėtų prieigą prie reikiamų įrankių. Visgi modernios kibernetinės atakos seniai peržengė elementarių virusų ar standartinių brukalų ribas. Kai atakos tampa koordinuotos, pasitelkiančios socialinę inžineriją bei nulinės dienos (angl. zero-day) pažeidžiamumus, vienam specialistui tenka per platus užduočių spektras. Būtent šioje ašinėje sankirtoje, kai vidiniai resursai išsenka, profesionalus saugumo operacijų centras tampa natūraliu bei neišvengiamu gynybos ekosistemos plėtros žingsniu.
IT palaikymo ir saugumo atskyrimo būtinybė
Daugelyje Lietuvos smulkaus bei vidutinio verslo įmonių, o neretai ir viešojo sektoriaus įstaigose, sistemų administratorius istoriškai buvo laikomas universaliu technologijų ekspertu. Nors šie darbuotojai pasižymi puikia vidinės infrastruktūros ekspertize, jų kasdienybė yra orientuota į prieinamumą ir funkcionalumą, o ne į giliąją grėsmių analizę. Bandymas IT specialistą paversti saugumo analitiku sukelia konfliktą tarp tiesioginių pareigų ir poreikio nuolat stebėti tinklo anomalijas.
Saugumo užtikrinimas reikalauja visai kitokio mąstymo modelio. Tai nebėra reagavimas į gedimą, kai paslauga nustoja veikti; tai aktyvi paslėptų įsilaužimo požymių paieška, elgsenos analizė bei sistemų atsparumo tikrinimas. Be to, kibernetiniai nusikaltėliai nesilaiko įprastų darbo valandų: didelė dalis išpirkos reikalaujančių programų (angl. ransomware) atakų Lietuvoje pradedamos penktadienio vakarais, švenčių dienomis ar naktimis, kai vidinis administratorius ilsisi. Tikėtis, kad vienas žmogus gebės nepertraukiamai, visą parą stebėti telemetrijos duomenis ir prireikus operatyviai lokalizuoti incidentą, yra strategiškai klaidinga prielaida.
SOC paslauga: visapusiškas matomumas be papildomos infrastruktūros naštos
Nuosavo saugumo skyriaus įkūrimas vidutinei Lietuvos bendrovei reikalauja neproporcingai didelių investicijų. Tam reikalinga ne tik pažangi programinė įranga, SIEM (saugumo informacijos ir įvykių valdymo) platformos, SOAR automatizacijos įrankiai, bet ir mažiausiai kelių pamainomis dirbančių aukštos kvalifikacijos analitikų komanda. Atsižvelgiant į IT specialistų trūkumą šalyje bei sparčiai augantį atlyginimų lygį, toks modelis tampa ekonomiškai nepakeliamas daugumai organizacijų.
Šią spragą efektyviai užpildo išorinė SOC paslauga. Ji suteikia prieigą prie centralizuotos infrastruktūros ir patyrusių ekspertų komandos be būtinybės prisiimti personalo valdymo bei technologijų amortizacijos naštos. Išorinis saugumo operacijų centras integruojasi į esamą organizacijos infrastruktūrą, renka žurnalinius įrašus (angl. logs) iš serverių, darbo stočių, tinklo mazgų bei debesijos paslaugų ir realiuoju laiku atlieka jų koreliacinę analizę. Tokiu būdu užtikrinamas nepertraukiamas „24/7/365“ stebėjimas, kuris leidžia aptikti net menkiausius neautorizuotos veiklos požymius ankstyviausiose atakos stadijose.
Vidinio specialisto ir išorinio centro sinergija
Svarbu pabrėžti, jog išorinis centras nepakeičia organizacijoje dirbančio specialisto. Priešingai – šis bendradarbiavimas išlaisvina vidinius resursus ir padeda pasiekti sinergiją. Kai sistemų administratoriui nebereikia kasdien peržiūrėti tūkstančių saugumo perspėjimų, kurių didžioji dalis tėra klaidingi suveikimai (angl. false positives), jis gali susitelkti į strateginius verslo procesų skaitmenizavimo ir infrastruktūros tobulinimo darbus.
Incidento atveju saugumo centras pateikia ne tiesiog abstraktų pranešimą, o detalią analizę kartu su aiškiu veiksmų planu: kokias sistemas būtina izoliuoti, kokius slaptažodžius anuliuoti bei kokias spragas pašalinti. Šioje grandinėje vidinis administratorius tampa pagrindiniu vykdytoju vietoje, nes jis geriausiai išmano verslo logiką ir gali pritaikyti rekomendacijas nesutrikdydamas pagrindinės įmonės veiklos.
Kaip pastebi kibernetinio saugumo architektas Vytautas: „didžiausia klaida, kurią daro vadovai – tai lūkestis, jog sistemų administratorius taps visaverčiu gynybos bastionu; šiuolaikinė ataka reikalauja komandinio darbo, specifinių grėsmių žvalgybos duomenų bei nuolatinio budėjimo, todėl profesionali išorinė partnerystė yra vienintelis racionalus kelias suderinti verslo plėtrą su griežta rizikos kontrole.“
Atitiktis teisės aktams ir verslo reputacija
Lietuvos organizacijoms vis labiau integruojantis į tarptautines tiekimo grandines, kibernetinis atsparumas tampa tiesioginiu konkurencinio pranašumo faktoriumi. Vakarų partneriai, vertindami tiekėjus, vis dažniau reikalauja formalių saugumo garantijų bei atitikties griežtiems standartams, tokiems kaip ISO 27001. Be to, sugriežtinta teisinė atsakomybė už asmens duomenų pažeidimus pagal BDAR ir TIS 2 direktyvos reikalavimai įpareigoja vadovus diegti proaktyvias technines priemones.
Incidento atveju organizacija privalo ne tik sustabdyti įsilaužimą, bet ir pateikti tikslius duomenis apie incidento mastą, nutekintą informaciją bei pritaikytas priemones priežiūros institucijoms, tokioms kaip Nacionalinis kibernetinio saugumo centras (NKSC). Saugumo operacijų centras užtikrina, kad visi skaitmeniniai įrodymai būtų fiksuojami teisiškai patikimu būdu, leidžiančiu atlikti išsamų teismo ekspertizės (angl. forensics) tyrimą ir sumažinti galimų teisinių bei finansinių sankcijų riziką.
Lietuvos verslo realybė rodo, kad IT palaikymo ir specializuoto saugumo suplakimas į vieną pareigybę nebėra tvarus modelis. Suteikdama centralizuotą stebėseną, gilią analitinę kompetenciją ir greitą reagavimą, išorinė SOC paslauga leidžia sukurti subalansuotą gynybos sistemą, kurioje vidinis administratorius ir išoriniai ekspertai dirba kaip vientisas mechanizmas, saugantis organizacijos skaitmeninį turtą.
