600 tūkst. nutekintų NT išrašų, 62 tūkst. nutekintų medikų duomenų. Kiek dar signalų reikia?
Dar nenutilo diskusijos apie Lietuvos Registrų centro incidentą, kurio metu buvo nutekinta daugiau kaip 600 tūkst. Nekilnojamojo turto registro ir Juridinių asmenų registro duomenų išrašų, o Lietuvą jau pasiekė žinia apie dar vieną reikšmingą duomenų saugumo pažeidimą.
Kaip skelbia žiniasklaida, iš Valstybinės akreditavimo sveikatos priežiūros veiklai tarnybos sistemos galimai buvo pasisavinta daugiau kaip 62 tūkst. įrašų apie Lietuvos medikus. Tarp jų galėjo būti ne tik profesinė informacija, bet ir jautrūs asmens duomenys – asmens kodai bei gyvenamosios vietos adresai.
Kibernetinio saugumo incidentai: pavienės klaidos ar sisteminė problema?
Po tokių incidentų pirmiausia ieškome techninio paaiškinimo: kas kaltas, kokia klaida buvo padaryta ir kokio saugumo elemento pritrūko. Tačiau šiandien verta kelti ir kitą klausimą – ar vis dar kalbame apie pavienius atvejus, ar jau matome sisteminės problemos požymius?
Kai panašūs incidentai kartojasi skirtingose organizacijose, skirtinguose sektoriuose ir skirtingomis aplinkybėmis, problema greičiausiai slypi ne viename netinkamai sukonfigūruotame sprendime ar pavienėje darbuotojo klaidoje. Tai gali būti ženklas, kad duomenų apsauga ir informacijos saugumas vis dar pernelyg dažnai suvokiami kaip formalus atitikties reikalavimų įgyvendinimas, o ne kaip nuolatinis rizikų valdymo procesas.
Dar didesnį susirūpinimą kelia tai, kad daugelis tokių incidentų paaiškėja tik po fakto – kai duomenys jau būna pasiekti, nukopijuoti ar paskleisti. Todėl pagrįstai kyla klausimas, ar organizacijos turi pakankamai priemonių laiku pastebėti neįprastą veiklą, įvertinti jos mastą ir užkirsti kelią galimai žalai.
Duomenų saugumo spragos pagalbinėse sistemose
Pagal viešai skelbiamą informaciją, šįkart buvo pasinaudota atvirojo kodo analitikos platformos „Apache Superset“ pažeidžiamumu. Kitaip tariant, taikiniu tapo ne pagrindinė sistema, o pagalbinė aplinka, skirta analizei ir ataskaitoms rengti.
Ši situacija dar kartą patvirtina, kad sukčiams nebūtina įsilaužti į pagrindinę sistemą, jeigu šalia jos veikia mažiau apsaugota analitikos platforma, ataskaitų modulis ar kita pagalbinė sistema, turinti prieigą prie tų pačių duomenų.
Galime palyginti su tokia hipotetine situacija: pagrindinis banko seifas apsaugotas storiausiomis durimis, modernia signalizacija ir apsaugos sistema, tačiau nepakankamai apsaugota patalpa, iš kurios galima matyti ir kopijuoti seifo turinį. Formaliu požiūriu seifas lieka nepažeistas, tačiau duomenys vis tiek tampa prieinami ir gali būti nutekinti.
Todėl organizacijos turi kritiškai vertinti ne tik pagrindinių sistemų saugumą, bet ir visą savo skaitmeninę ekosistemą.
Tiekimo grandinės saugumas ir trečiųjų šalių rizikos
Ne mažiau svarbus ir tiekimo grandinės saugumo aspektas. Šiandien beveik nė viena organizacija nekuria ir neprižiūri visų sistemų savarankiškai. Naudojamasi debesijos paslaugomis, išorinių tiekėjų produktais, integracijomis ir įvairiomis trečiųjų šalių platformomis. Tai didina veiklos efektyvumą, tačiau kartu didina ir rizikas.
Todėl svarbu kelti klausimą, ar tiekėjo saugumo brandos lygis vertinamas nuolat. Šioje situacijoje taip pat verta klausti, ar tiekėjas apskritai buvo tinkamai įvertintas pradiniame etape. Kas tikrina, ar partnerio taikomos saugumo priemonės išlieka veiksmingos po metų ar dvejų bendradarbiavimo?
Registrų centro atveju prieiga prie duomenų buvo gauta naudojantis teisėtomis prieigomis. Dabartiniu atveju galimai pasinaudota pažeidžiama posisteme. Nors techninis būdas skiriasi, esminis klausimas išlieka tas pats – kodėl tokio masto veikla nebuvo pastebėta anksčiau?
Kibernetinių grėsmių stebėsena: ar organizacijos mato, kas vyksta jų sistemose?
Jeigu per trumpą laiką galima gauti dešimtis ar net šimtus tūkstančių duomenų įrašų, kyla klausimas, ar organizacijos iš tiesų mato ir supranta, kas vyksta jų sistemose. Ar veikia mechanizmai, identifikuojantys neįprastą duomenų naudojimą? Ar saugumo kontrolės orientuotos į realias grėsmes, o ne tik į formalų atitikties reikalavimų įgyvendinimą?
Įprasta manyti, kad sistemos saugumą garantuoja patikimas partneris, sertifikatai, audito ataskaitos ar aiškiai apibrėžtos procedūros. Tačiau čia slypi pavojinga iliuzija – kad atsakomybę galima perduoti kartu su paslauga.
Net jei sistemas prižiūri išorinis partneris, organizacija išlieka pati atsakinga už duomenų apsaugą. Ji turi domėtis, kaip veikia naudojami sprendimai, kokios saugumo priemonės taikomos ir ar jos realiai veikia taip, kaip tikimasi.
Todėl pasitikėjimas neturėtų remtis vien sutartiniais įsipareigojimais. Jis turi būti grindžiamas skaidrumu, atskaitomybe ir veiksmingomis kontrolės priemonėmis.
Kibernetinio saugumo sprendimai valstybinėse įstaigose
Pastarieji incidentai turėtų būti vertinami ne kaip atskiri techniniai gedimai, o kaip signalas peržiūrėti požiūrį į duomenų saugumą apskritai. Klausimas šiandien nebėra, ar organizacija gali tapti kibernetinio incidento taikiniu. Klausimas – ar ji yra pasirengusi tokį incidentą laiku pastebėti, suvaldyti ir minimizuoti jo pasekmes.