Pastaraisiais metais kibernetinis saugumas tapo strategine problema vyriausybėms, įmonėms ir piliečiams. Masinis skaitmeninimas, debesų kompiuterija, nuotolinis darbas ir daiktų interneto iškilimas atvėrė daugybę galimybių, tačiau kartu išplėtė ir užpuolikų veiklos lauką. Šiandien kalbame ne tik apie erzinančius virusus, bet ir apie sudėtingas kibernetines atakas, išpirkos reikalaujančias programas ( kaip apsaugoti savo duomenis ), skaitmeninį šnipinėjimą ir net valstybės remiamas operacijas.
Esant tokiai situacijai, vien antivirusinės programinės įrangos įdiegimo ir geriausio tikėtis nebeužtenka. Būtina gerai apgalvota, dokumentuota kibernetinio saugumo strategija, suderinta su verslo tikslais ir nacionaline bei Europos politika. Ši strategija turi integruoti technologijas, procesus, valdymą, mokymus ir bendradarbiavimą – nuo Europos Sąjungos lygmens iki mažiausio internetinio verslo.
Kas tiksliai yra kibernetinio saugumo strategija?
Kibernetinio saugumo strategija iš esmės yra struktūrizuotas planas, apibrėžiantis, kaip organizacija, viešojo administravimo įstaiga ar net šalis apsaugo savo informacines sistemas, tinklus, duomenis ir skaitmeninį turtą nuo kibernetinių grėsmių. Tai ne tik teorinis dokumentas: tai sistema, kuria vadovaujamasi priimant investicinius sprendimus, nustatant prioritetus, atsakomybę ir kaip reaguoti, kai kas nors nutinka ne taip.
Operatyviniu požiūriu, patikima strategija apibrėžia, kaip bus valdomos rizikos , išsaugomas sistemų vientisumas ir prieinamumas , o neskelbtina informacija bus apsaugota nuo neteisėtos prieigos, nutekėjimo ar pakeitimų. Viešųjų įstaigų ar valstybių atveju ši strategija taip pat apima nacionalinio saugumo, gynybos, diplomatijos ir ypatingos svarbos infrastruktūros apsaugos sritis.
Ypač įmonėms kibernetinio saugumo strategija susieja kasdienes technologines operacijas su tokiais apčiuopiamais klausimais kaip verslo tęstinumas, prekės ženklo reputacija, reguliavimo sankcijos ir klientų bei partnerių pasitikėjimas . Be šios sistemos saugumo priemonės dažnai tėra pavieniai pataisymai ir improvizuoti atsakymai, kurie atsiranda per vėlai.
Kodėl kibernetinio saugumo strategija šiandien yra svarbi
Pastaraisiais metais masinis skaitmeninių sprendimų diegimas buvo dramatiškas. Perėjimas prie elektroninės prekybos, automatizavimo, debesijos ( debesų kompiuterijos suvereniteto ) ir nuotolinio darbo dar labiau paspartėjo pandemijos metu. Daugelis organizacijų staiga išplėtė savo tinklo infrastruktūrą, visur įdiegė „Wi-Fi“ ir prijungė visų rūšių įrenginius, dar nebaigusios savo saugumo apsaugos tokiu pat tempu.
Tuo pačiu metu žmonės integravo internetinį pasaulį į beveik viską : internetinę bankininkystę, apsipirkimą, socialinius tinklus, išmaniuosius įrenginius namuose, nuotolinį darbą mobiliaisiais telefonais ir asmeniniais nešiojamaisiais kompiuteriais... Visa tai padaugino užpuolikų patekimo taškų, kurie, logiška, pasinaudojo šia akimirka.
Šiame kontekste smarkiai išryškėjo tokios grėsmės kaip išpirkos reikalaujanti programinė įranga, tapatybės vagystė, sukčiavimas apsimetant ir masinės ar tikslinės sukčiavimo kampanijos . Kibernetiniai nusikaltėliai patobulino savo metodus, o daugelis organizacijų toliau rėmėsi pagrindinėmis arba pasenusiomis priemonėmis. Rezultatas: dažnesni ir rimtesni incidentai, turintys tiesioginės įtakos tiek finansams, tiek reputacijai.
Nors informuotumas pagerėjo ir vis daugiau organizacijų turi saugumo politikas ir kontrolės priemones, grėsmės keičiasi kasdien, o rizika niekada nesumažėja iki nulio . Visada bus žmogiškųjų klaidų, neteisingų konfigūracijų ar naujai atrastų pažeidžiamumų. Todėl aiški, peržiūrima ir vadovybės palaikoma strategija nebėra pasirinktina: tai yra sąlyga, leidžianti tęsti veiklą ramiai.
Be to, tiek Europos, tiek nacionaliniu lygmenimis kibernetinė erdvė pripažįstama kaip itin svarbi saugumo ir technologinio suvereniteto sritis . Nuo Briuselio iki nacionalinių vyriausybių priimamos konkrečios strategijos, direktyvos ir planai, siekiant užtikrinti saugią ir atsparią skaitmeninimą.
Europos Sąjungos kibernetinio saugumo vizija
Europos Komisija ir vyriausioji užsienio reikalų įgaliotinė pristatė ES kibernetinio saugumo strategiją , kuria sprendžiamos vis sudėtingesnės grėsmių situacijos. Pagrindinė idėja – Sąjunga turi rodyti pavyzdį saugios skaitmeninimo srityje, taikydama pasaulinio lygio reglamentus ir griežtus standartus esminėms paslaugoms ir ypatingos svarbos infrastruktūrai.
Šia Europos strategija siekiama išnaudoti visą ES potencialą stiprinti jos technologinį suverenitetą , suprantamą kaip gebėjimą spręsti dėl pagrindinių technologijų ir jas kontroliuoti pernelyg nepasikliaujant trečiosiomis šalimis, ir didinti visų prijungtų paslaugų ir produktų atsparumą. Šiuo tikslu strategijoje siūloma, kad keturios pagrindinės kibernetinės bendruomenės – vidaus rinka, saugumo pajėgos, diplomatija ir gynyba – veiktų daug koordinuočiau.
Vidinį bendradarbiavimą papildo sustiprintas tarptautinis bendradarbiavimas su partneriais, kurie pritaria demokratinėms vertybėms, teisinės valstybės principams ir pagarba žmogaus teisėms . Tikslas – sukurti atvirą, bet kartu saugią ir stabilią pasaulinę kibernetinę erdvę su aiškiomis taisyklėmis ir gebėjimu bendrai reaguoti į didelio masto išpuolius.
Praktiškai ES strategija daugiausia dėmesio skiria trims pagrindinėms sritims: atsparumui, technologiniam suverenitetui ir lyderystei; operaciniams pajėgumams užkirsti kelią, atgrasyti ir reaguoti; ir tarptautiniam bendradarbiavimui siekiant išlaikyti atvirą kibernetinę erdvę . Siekdama tai paremti, ES skyrė gerokai didesnes investicijas nei ankstesniais laikotarpiais, keturis kartus padidindama skaitmeninei pertvarkai ir kibernetiniam saugumui skirtas sumas.
Svarbus elementas yra pasiūlymas dėl bendro kibernetinio padalinio, gebančio koordinuoti reagavimą į didelio masto incidentus, pasitelkiant valstybių narių ir Europos institucijų išteklius bei patirtį. Idėja yra ta, kad rimto išpuolio atveju ES atsakas bus tikrai kolektyvinis, o ne nekoordinuotas individualių pastangų rinkinys.
Ispanijos nacionalinė kibernetinio saugumo strategija
Ispanijos 2021 m. nacionalinėje saugumo strategijoje kibernetinė erdvė pripažįstama viena pagrindinių grėsmių šalies saugumui. Nuo to laiko buvo parengtos kelios nacionalinės kibernetinio saugumo strategijos (2013 m., 2019 m. ir naujos nacionalinės kibernetinio saugumo strategijos rengimo procesas), kurios formuoja nacionalinės politikos kryptį šioje srityje.
2019 m. strategija buvo gairės, kaip nacionaliniu, Europos ir tarptautiniu lygmenimis sukurti patikimą kibernetinę erdvę , tačiau pastaraisiais metais grėsmių kraštovaizdis išsiplėtė kaip niekad: padaugėjo kibernetinių incidentų, valstybinių ir nevalstybinių subjektų išpuolių, ypatingas dėmesys skiriamas ypatingos svarbos ištekliams, pavyzdžiui, viešojo administravimo įstaigoms, esminei infrastruktūrai ir pagrindinių paslaugų teikėjams.
Prie to prisideda ir nauji technologiniai iššūkiai, tokie kaip spartėjanti dirbtinio intelekto ( kibernetinio saugumo dirbtinio intelekto generuojamame kode ), kuris gali būti ir gynybos priemonė, ir nauja atakų priemonė, plėtra, ir kvantinių skaičiavimų evoliucija , galinti išardyti dabartinius šifravimo algoritmus . Visa tai verčia atnaujinti nacionalinę strateginę programą, kad ji būtų suderinta su technologiniais ir reguliavimo pokyčiais.
Šiuo atžvilgiu naujoji nacionalinė strategija turi būti glaudžiai derinama su Europos gairėmis: 2020 m. Europos kibernetinio saugumo strategija, 2022 m. ES kibernetinės gynybos politika ir kitomis sektorių politikos kryptimis , pavyzdžiui, susijusiomis su 5G tinklais, sertifikavimu, povandeninių kabelių apsauga ar tokiomis iniciatyvomis kaip vadinamasis „kvantinis paktas“.
Svarbus ramstis yra Direktyva (ES) 2022/2555, žinoma kaip NIS2 , kuria reikalaujama, kad valstybės narės pasiektų aukštą ir bendrą kibernetinio saugumo lygį. NIS2 išsamiai aprašomi elementai, kurie turi būti įtraukti į nacionalines strategijas: politika prieš išpirkos reikalaujančias programas, aktyvios kibernetinės apsaugos skatinimas ir konkrečios priemonės suskaitmenintoms viešosioms paslaugoms apsaugoti . Ispanijoje jos perkėlimas į nacionalinę teisę įgyvendinamas įgyvendinant kibernetinio saugumo koordinavimo ir valdymo įstatymo projektą, kuriame numatytas Nacionalinio kibernetinio saugumo centro įsteigimas.
Be to, naujoji strategija bus derinama su kitais reglamentais, tokiais kaip 5G kibernetinio saugumo įstatymas , Nacionalinė 5G tinklų ir paslaugų saugumo sistema ir Europos teisės aktais dėl kibernetinio atsparumo ir kibernetinio solidarumo . Į ją taip pat bus įtrauktos tokių organizacijų kaip ENISA, Europos kibernetinio saugumo kompetencijos centras, ESBO ir Tarptautinė telekomunikacijų sąjunga (ITU) gairės ir bus skatinama mokslinių tyrimų ir plėtros veikla, kurioje naudojamos novatoriškos technologijos, kartu laikantis duomenų apsaugos reikalavimų.
Kaip kuriama nauja Nacionalinė kibernetinio saugumo strategija
Naujos Ispanijos nacionalinės kibernetinio saugumo strategijos (ENCS) kūrimo procedūra yra aiškiai apibrėžta. Už jos rengimą galiausiai atsakinga Nacionalinė saugumo taryba , o Nacionalinė kibernetinio saugumo taryba yra jos specializuotas organas. Ši taryba savo ruožtu įsteigia techninę darbo grupę , kuri rengia įvairias versijas.
Šioje grupėje gali dalyvauti visų atitinkamų ministerijų ir vyriausybinių agentūrų atstovai, jei Nacionalinė kibernetinio saugumo taryba patvirtina jų dalyvavimą. Autonominės bendruomenės ir autonominiai miestai taip pat dalyvauja per Nacionalinio saugumo reikalų sektorių konferenciją.
Procesas taip pat apima pilietinės visuomenės, privačiojo sektoriaus ir akademinės bendruomenės ekspertų nuomonės rinkimą , panaudojant jų mokslinę ir techninę patirtį. Vidaus saugumo departamentas koordinuoja šiuos etapus, renka atsiliepimus apie projektus ir užtikrina, kad galutinis tekstas atspindėtų kuo platesnį sutarimą.
Pagrindiniai etapai yra šie: Techninės grupės rengiamas projektas, konsultacijos su išorės ekspertais, projekto pateikimas sektoriaus konferencijai, siekiant surinkti autonominių bendruomenių pasiūlymus, ir galutinio teksto pristatymas Nacionalinei kibernetinio saugumo tarybai. Patvirtinus dokumentą, jis pateikiamas Nacionalinei saugumo tarybai oficialiam patvirtinimui.
Kalbant apie turinį, naujojoje strategijoje turi būti išanalizuotas dabartinis grėsmių nacionaliniam kibernetiniam saugumui kontekstas , nustatytos pagrindinės rizikos, nustatyti strateginiai tikslai ir reikalingi ištekliai bei apibrėžtos veiksmų kryptys šioms rizikoms sumažinti. Visa tai turi atitikti galiojančius Europos ir nacionalinius reglamentus bei politiką ir atsižvelgti į ankstesnes viešojo ir privačiojo sektorių bendradarbiavimo pastangas , pavyzdžiui, Nacionalinio kibernetinio saugumo forumo pastangas.
Nacionalinis kibernetinio saugumo planas ir pajėgumų stiprinimas
Kartu su strategine programa Ispanija pradėjo Nacionalinį kibernetinio saugumo planą, kurį koordinuoja Nacionalinio saugumo departamentas. Šiame plane numatyta beveik 150 iniciatyvų per trejų metų laikotarpį, o jo biudžetas viršija 1.000 mlrd. eurų . Tai taip pat yra atsako į ekonomines ir socialines karo Ukrainoje pasekmes dalis.
Viena iš svarbiausių priemonių – Nacionalinės kibernetinių incidentų ir grėsmių pranešimo ir stebėsenos platformos sukūrimas , kuri palengvins informacijos mainus realiuoju laiku tarp viešojo ir privačiojo sektorių. Tikslas – pagerinti ankstyvo aptikimo ir bendro reagavimo pajėgumus.
Kitas svarbus veiksmas – stiprinti Generalinės valstybės administracijos ir jos viešųjų įstaigų kibernetinio saugumo operacijų centrą , kuris veiks kaip centrinis stebėsenos ir reagavimo centras viešojoje administracijoje. Taip pat bus sukurta integruota nacionalinio lygmens kibernetinio saugumo rodiklių sistema ( atviresnis stebimumas ), skirta apsaugos lygiui ir grėsmių raidai matuoti.
Plane taip pat numatytas kibernetinio saugumo infrastruktūros stiprinimas autonominėse bendruomenėse ir miestuose, taip pat vietos subjektuose , ir reikšmingas kibernetinio saugumo skatinimas MVĮ, labai mažoms įmonėms ir savarankiškai dirbantiems asmenims , kurie dažnai yra labiausiai pažeidžiami. Be to, juo siekiama skatinti didesnį visuomenės informuotumą apie kibernetinį saugumą vykdant informuotumo didinimo kampanijas ir iniciatyvas.
Galiausiai, sukuriama Plano stebėsenos ir kontrolės sistema, skirta priemonių įgyvendinimo pažangai stebėti ir metinei vertinimo ataskaitai parengti. Tai leidžia koreguoti prioritetus ir užtikrinti, kad investicijos duotų konkrečių rezultatų.
Pagrindiniai įmonės kibernetinio saugumo strategijos komponentai
Verslo pasaulyje tvirta strategija paprastai grindžiama keliais esminiais ramsčiais. Trumpai tariant, galime kalbėti apie dešimt esminių komponentų , kurie turėtų būti praktiškai bet kurioje organizacijoje, atsižvelgiant į jos dydį ir sektorių.
Pirmasis žingsnis yra rizikos vertinimas . Tai apima kritinių išteklių (sistemų, duomenų, procesų) nustatymą, kurios grėsmės yra labiausiai tikėtinos (kenkėjiška programa, sukčiavimas apsimetant, išpirkos reikalaujanti programinė įranga, vidinės grėsmės) ir kokį poveikį gali sukelti kažkas negero. Tada įvertinamos tikimybės ir padariniai, kad būtų galima suskirstyti pastangas į prioritetus.
Antrasis komponentas yra saugumo politikos ir procedūros . Nepakanka vien turėti įrankius: reikia apibrėžti, kaip jie naudojami, kaip tvarkomi incidentai, kas ką daro ir kaip užtikrinamas atitikimas tokiems reglamentams kaip BDAR, HIPAA ar pramonės standartai. Šios politikos turi būti parašytos, atnaujintos ir apie jas turi būti pranešta visoje organizacijoje.
Trečia, turime technologijų ir apsaugos įrankius . Tai apima užkardas, įsilaužimų aptikimo ir prevencijos sistemas (IDS/IPS), duomenų šifravimą perdavimo ir saugojimo metu, prieigos kontrolės ir tapatybės valdymo sprendimus (su daugiafaktoriu autentifikavimu ir vaidmenimis pagrįsta prieiga), taip pat apsaugos nuo kenkėjiškų programų ir galinių taškų saugumo įrankius.
Kitas esminis ramstis yra saugumo suvokimas ir mokymai . Viena iš silpniausių vietų dažnai yra žmogiškasis faktorius, todėl labai svarbu reguliariai rengti mokymus, imituoti sukčiavimo atakas ir rengti kampanijas, kurios skatintų tikrą saugumo kultūrą, kurioje kiekvienas darbuotojas suprastų geriausios praktikos laikymosi vertę.
Taip pat labai svarbu turėti nuolatinio stebėjimo ir aptikimo mechanizmus . Tai apima žurnalų, tinklo srauto ir vartotojų veiklos rinkimą ir analizę naudojant tokius sprendimus kaip SIEM, kurie gali realiuoju laiku nustatyti anomalijas ir suaktyvinti įspėjimus, leidžiančius reaguoti, kol žala netapo didesnė.
Strategijoje taip pat turi būti numatytas incidentų reagavimo ir atkūrimo planas . Tai reiškia aiškią procedūrą, kurioje nurodoma, ką daryti aptikus ataką: kaip ją suvaldyti, kaip apie ją pranešti viduje ir trečiosioms šalims, kaip koordinuoti veiksmus su valdžios institucijomis ir kaip atkurti sistemas bei duomenis (įskaitant atsargines kopijas ir atkūrimo planus).
Reglamentavimo požiūriu, įmonė turi integruoti teisinius ir atitikties aspektus . Tai reiškia, kad reikia užtikrinti, jog saugumo priemonės atitiktų duomenų apsaugos įstatymus, pramonės reikalavimus ir sutartis su klientais bei tiekėjais, o tai patvirtintų reguliarūs auditai ir politikos peržiūros.
Kitas svarbus komponentas yra reguliarus testavimas ir atnaujinimai . Organizacijos privalo atlikti pažeidžiamumų vertinimus, įsiskverbimo testavimą, pataisų valdymą ir reguliarias strategijos peržiūras, kad prisitaikytų prie kylančių grėsmių ir technologijų.
Bendradarbiavimas ir dalijimasis informacija su kitomis įmonėmis, asociacijomis ir specializuotomis bendruomenėmis padeda numatyti kylančias rizikas, dalijantis geriausia praktika ir grėsmių žvalgybos duomenimis. Galiausiai, visa tai turi būti įtvirtinta aiškioje valdymo sistemoje, kurią remia vadovybė , kur vyresnioji vadovybė kibernetinį saugumą laiko strateginiu prioritetu ir apibrėžia vaidmenis bei atsakomybę visais lygmenimis.
Kaip žingsnis po žingsnio parengti kibernetinio saugumo strategiją
Kibernetinio saugumo strategijos kūrimo procesas nelabai skiriasi nuo kito strateginio verslo planavimo . Paprastai jis suskirstytas į keturis pagrindinius etapus: identifikavimą ir vertinimą, atsakomųjų priemonių pasirinkimą, veiksmų plano apibrėžimą ir galiausiai įgyvendinimą.
Identifikavimo ir vertinimo etape nustatomi saugumo tikslai ir uždaviniai, sėkmės rodikliai, išvardijamas saugotinas turtas (pvz., finansinės sistemos, klientų duomenys arba intelektinė nuosavybė), nustatomi žinomi pažeidžiamumai ir galimos grėsmės, o joms priskiriama tikimybė ir poveikis klasifikavimui.
Toliau seka atsakomųjų priemonių parinkimo etapas . Tai apima rinkoje esančių programinės įrangos sprendimų, jų diegimo ir priežiūros išlaidų bei tinkamumo organizacijai analizę. Dažnai pasitelkiami specializuoti trečiųjų šalių tiekėjai. Tuo pačiu metu peržiūrima ir koreguojama vidaus politika ir procedūros, siekiant sustiprinti rizikos mažinimą ir prevenciją.
Trečiasis etapas apima strategijos ir veiksmų plano parengimą . Tai reiškia, kad reikia apibrėžti įgyvendinimo planą, kuris paveiktų kelias sritis: žmogiškuosius išteklius (personalą, mokymo planus ir informavimo kampanijas), technologinę ir fizinę infrastruktūrą (pvz., prieigos prie svarbiausių zonų kontrolę) ir pasikartojančią veiklą, būtiną strategijai dinamizuoti ir atnaujinti.
Galiausiai, strategijos įgyvendinimas vertinamas kaip pokyčių valdymo projektas: detalus planavimas, terminai, biudžetai, technologijų diegimas, infrastruktūros pritaikymas, mokymo programų paleidimas ir kt. Svarbu tai, kad tai nėra vienkartinis projektas: strategiją reikia dažnai peržiūrėti, ypač kai diegiami nauji procesai, sistemos ar daiktų interneto įrenginiai, kurie plečia atakų paviršių.
Didelės įmonės ir MVĮ: kibernetinio saugumo strategijos skirtumai
Pagrindiniai bet kurios organizacijos tikslai yra tie patys: užkirsti kelią žalai, atsirandančiai dėl incidentų, kurie pažeidžia sistemas ir duomenis . Pagrindinis skirtumas tarp didelių ir mažų įmonių yra mastas, tiek išteklių, tiek rizikos požiūriu. Tai daro didelę įtaką kibernetinio saugumo strategijos kūrimui ir įgyvendinimui.
Kalbant apie turimus išteklius , didelės įmonės paprastai turi atskiras IT ir kibernetinio saugumo komandas, didelius biudžetus ir galimybę investuoti į saugumo operacijų centrus (SOC), grėsmių žvalgybą ir visą parą veikiančią stebėseną. Kita vertus, MVĮ dažnai pasikliauja maža IT komanda, kuri atlieka viską, arba dalį savo saugumo užduočių perduoda tiekėjams, o tai riboja jų pažangias aptikimo galimybes.
Kalbant apie grėsmių tipus , didelės organizacijos yra patrauklesni taikiniai sudėtingoms atakoms, tokioms kaip APT, tiekimo grandinės incidentai ar valstybės remiami veiksmai, galintys sukelti didelius duomenų nutekėjimus ar sabotažo atvejus. Mažesnės įmonės dažniau kenčia nuo „didelės apimties“ atakų, tokių kaip sukčiavimas apsimetant, išpirkos reikalaujančios programinės įrangos ar socialinės inžinerijos, būtent todėl, kad užpuolikai žino, jog daugeliui trūksta patikimos apsaugos.
Incidento poveikis taip pat patiriamas skirtingai. Didelė įmonė gali patirti didelių nuostolių, baudų pagal reguliavimo institucijų reikalavimus ir reputacijos žalą, tačiau paprastai ji turi finansinių ir veiklos išteklių atsigauti. MVĮ atveju rimtas išpuolis gali smarkiai pakenkti jos gyvybingumui, lemti ilgalaikį laikiną uždarymą arba net nuolatinį uždarymą, jei finansinis smūgis yra per didelis ir nėra pakankamai draudimo ar rezervų.
Kalbant apie saugumo infrastruktūrą , didelės organizacijos paprastai turi sudėtingas IT architektūras su keliomis vietovėmis, hibridines debesijos aplinkas ir tarptautines operacijas, o tai plečia jų atakų paviršių. Todėl jos investuoja į pažangias priemones, tokias kaip EDR, IDS, SIEM ir centralizuotos valdymo platformos. Kita vertus, MVĮ paprastai turi paprastesnę infrastruktūrą, tačiau kartais trūksta pagrindinių funkcijų, tokių kaip stiprus šifravimas, patikimos atsarginės kopijos ar saugios debesijos paslaugų konfigūracijos.
Kalbant apie darbuotojų informuotumą , didelės įmonės paprastai įgyvendina reguliarias mokymo programas, sukčiavimo apsimetant atakomis simuliacijas ir vidines kampanijas, kad saugumas būtų svarbiausias visais organizacijos lygmenimis. Daugelis MVĮ, turinčių mažiau išteklių, skiria mažiau laiko mokymams, o jų komandos yra labiau pažeidžiamos pagrindinių sukčiavimo atvejų, net jei vienas pažeistas prisijungimo dokumentas gali sukelti rimtą incidentą.
Atitiktis reglamentams taip pat turi skirtingą svorį. Didelėms įmonėms paprastai taikoma daugybė reglamentų (PCI-DSS, HIPAA, SOX, BDAR ir kt.) ir jos turi atskiras teisininkų ir atitikties komandas. MVĮ gali turėti mažiau oficialių reikalavimų, tačiau tai neatleidžia jų nuo duomenų apsaugos įstatymų ar kitų konkrečiai pramonei skirtų reglamentų laikymosi, ir jos dažnai nuvertina šį aspektą, prisiimdamos nereikalingą teisinę ir finansinę riziką.
Kalbant apie kibernetinio saugumo įrankius , didelės korporacijos gali diegti įmonės lygio paketus, dažnai atlikti įsiskverbimo testus ir vykdyti raudonosios komandos pratybas. Daugelis mažų įmonių turi pasikliauti pigesniais sprendimais arba „viskas viename“ paketais, nors efektyviai derinant tokius elementus kaip VPN, užkardos, kenkėjiškų programų naikinimo priemonės ir slaptažodžių tvarkyklės, galima pasiekti tinkamą saugumo lygį už nedidelę kainą.
Galiausiai, pastebimi skirtumai reaguojant į incidentus ir juos atkuriant . Didelės įmonės paprastai turi oficialias incidentų reagavimo komandas, kibernetinio draudimo sistemą ir išsamius verslo tęstinumo planus. Tačiau daugelyje MVĮ reagavimas yra labiau reaktyvus ir improvizuotas, todėl po atakos pailgėja prastova, prarandami duomenys ir sunkiau atkurti įprastą veiklą.
Praktinės gairės, kaip sukurti savo verslo strategiją
Be Europos ar nacionalinės sistemos, kiekviena įmonė turi pritaikyti šias idėjas prie savo konkrečios realybės. Pirmas žingsnis – suprasti organizacijos grėsmių aplinką : sektorių, dydį, vietą, debesijos ar daiktų interneto naudojimą, tvarkomų duomenų tipą, patirtų atakų ar panašių incidentų toje pačioje srityje istoriją ir turimus grėsmių žvalgybos šaltinius.
Toliau labai svarbu įvertinti dabartinį kibernetinio saugumo brandą . Tai apima IT infrastruktūros (serverių, programų, įrenginių, tinklų, debesijos paslaugų) inventorizaciją, duomenų klasifikavimą pagal jų jautrumą (finansinį, sveikatos, asmeninį ir kt.) ir analizę, kurios saugumo kontrolės priemonės jau įdiegtos, o kurių trūksta, kad būtų pasiektas tinkamas apsaugos lygis, remiantis pripažintais standartais.
Siekiant išvengti pradžios nuo nulio, labai naudinga pasinaudoti esamomis sistemomis ir standartais . Jei organizacijai taikomi konkretūs reglamentai, HIPAA, PCI DSS, BDAR ar kitų privatumo įstatymų reikalavimai veiksmingai vadovauja daliai proceso. Be to, galima taikyti tokius standartus kaip ISO 27001 ar SOC 2 , arba tokias sistemas kaip NIST kibernetinio saugumo sistema ar CIS kontrolės priemonės, užtikrinant struktūrizuotą geriausią praktiką, suderintą su įvairiais reglamentais.
Pagrindinis principas – prevencijos ir aptikimo pusiausvyros užtikrinimas . Nors daugelis strategijų istoriškai buvo orientuotos į grėsmių aptikimą, siekiant laiku reaguoti, realybė tokia, kad tuo metu, kai duodamas perspėjimas, užpuolikas jau yra viduje. Šiuolaikinė strategija teikia pirmenybę labiausiai tikėtinų atakų vektorių prevencijai, šias priemones papildydama patikimomis aptikimo ir reagavimo į tas grėsmes, kurios neišvengiamai praslysta pro tinklą.
Kitas svarbus elementas yra kibernetinio saugumo architektūros, pagrįstos nuliniu pasitikėjimu ir gylima apsauga, projektavimas . Nulinio pasitikėjimo modelis daro prielaidą, kad prieigos užklausos nėra automatiškai suteikiamos, nuolat tikrinant tapatybes, kontekstus ir leidimus. Gylima apsauga sujungia kelis saugumo sluoksnius, kad, jei vienas barjeras sugenda, kitas gali aptikti arba sustabdyti užpuoliką.
Galiausiai, patartina konsoliduoti savo saugumo infrastruktūrą, kai tik įmanoma. Per daug tarpusavyje nesusijusių įrankių sukelia saugumo komandų nuovargį, akląsias zonas ir dubliavimą. Sprendimų integravimas į vieningesnę platformą pagerina matomumą, automatizuoja reagavimą, sumažina bendras eksploatavimo išlaidas ir leidžia geriau panaudoti turimus žmogiškuosius išteklius.
Kibernetinis atsparumas: šiuolaikinės strategijos kertinis akmuo
Šiandieninėje aplinkoje prioritetas nebėra tik atakų prevencija, bet ir gebėjimo tęsti veiklą užtikrinimas net ir sėkmingam išpuoliui pasibaigus . Tai vadinama kibernetiniu atsparumu: gebėjimu atsispirti, sugerti, prisitaikyti ir atsigauti po incidentų kibernetinėje erdvėje, kuo labiau sumažinant poveikį verslui ar pagrindinėms paslaugoms.
Aiškus pavyzdys yra el. paštas – vienas iš pageidaujamų kanalų užpuolikams diegti išpirkos reikalaujančias programas, sukčiavimą tiksliniu būdu, duomenų vagystę ar prisijungimo duomenų vagystę. Organizacijoms reikalingos tiek patikimos perimetro apsaugos, tiek pažangūs grėsmių filtrai , taip pat sprendimai, kurie garantuotų paslaugų tęstinumą ir greitą duomenų atkūrimą, jei kas nors nutiktų. Realūs el. pašto pažeidimo atvejai rodo visapusiškų priemonių svarbą.
Šiame kontekste specializuoti teikėjai siūlo debesijos paslaugas, kurios apjungia saugumą, tęstinumą, archyvavimą ir mokymą . Tarp vertingiausių funkcijų yra: pažangi apsauga nuo grėsmių (kenkėjiškų programų aptikimas, sukčiavimas sukčiavimu, duomenų nutekėjimas), el. pašto tęstinumas, kad vartotojai galėtų tęsti darbą incidentų metu, archyvavimas ne vietoje, siekiant užtikrinti lengvai prieinamas kopijas ir supaprastinti atitiktį reikalavimams bei elektroninį duomenų atskleidimą, ir informavimo programos, suteikiančios vartotojams galimybę veikti kaip „žmogiškai ugniasienei“.
Šis požiūris sustiprina mintį, kad veiksminga kibernetinio saugumo strategija turi apimti ne tik atskiras priemones, bet ir visą ciklą: prevenciją, aptikimą, reagavimą ir atkūrimą . Galutinis tikslas – kad organizacijos pagrindinė veikla nesugriūtų dėl incidento, o galėtų tęsti veiklą, prisitaikyti ir mokytis iš to, kas įvyko, kad taptų stipresnė.
Nuolat kintantis grėsmių kraštovaizdis, reguliavimo spaudimas ir didėjanti skaitmeninė priklausomybė daro išsamią kibernetinio saugumo strategiją – suderintą su Europos ir nacionaline politika, pritaikytą prie organizacijos dydžio ir vykdomą aukščiausios vadovybės – itin svarbiu išlikimo ir konkurencingumo veiksniu. Tie, kurie rimtai žiūri į šį iššūkį, derina tvirtas technologijas su geriausia praktika ir mokymais bei naudojasi pripažintomis sistemomis ir viešojo bei privačiojo sektorių partnerystėmis, bus daug geriau pasirengę atremti ateinančių metų kibernetinio saugumo iššūkius.
