Kibernetinis saugumas – tema, kuri per pastarąjį dešimtmetį iš IT specialistų kabinetų persikėlė į kiekvieno lietuvio dienotvarkę. Kadaise apie virusus ir hakerius kalbėdavome kaip apie kažką tolimo, filmuose matomo, o dabar kiekvienas, kuris turi telefoną ar banko sąskaitą internetu, tampa potencialiu taikiniu. Lietuva, būdama nedidelė, bet stipriai skaitmenizuota valstybė, patenka į kibernetinių išpuolių žemėlapį gan dažnai – tiek dėl geopolitinės padėties, tiek dėl to, kad mūsų valstybinės institucijos ir bankai aktyviai perėjo į skaitmeninę erdvę.
Kas iš tikrųjų yra kibernetinis saugumas
Paprastai tariant, kibernetinis saugumas – tai visuma priemonių, kurios apsaugo kompiuterius, tinklus, programas ir duomenis nuo neteisėto prieigos, sugadinimo ar vagystės. Skamba sausai, bet realybėje tai apima labai plačią sritį: nuo antivirusinės programos jūsų nešiojamame kompiuteryje iki sudėtingų valstybinių sistemų, saugančių elektros tinklą ar geležinkelio infrastruktūrą.
Svarbu suprasti, kad kibernetinis saugumas nėra vienkartinis veiksmas – nusipirkai programą ir užmiršai. Tai nuolatinis procesas, kuris keičiasi kartu su technologijomis. Kas buvo saugu prieš penkis metus, šiandien gali būti pilna skylių. Grėsmės evoliucionuoja greičiau, nei dauguma žmonių spėja prisitaikyti, todėl ši sritis reikalauja tam tikro nuolatinio dėmesio, panašiai kaip sveikatos priežiūra.
Dažniausios grėsmės, su kuriomis susiduria lietuviai
Jei paklaustumėte Lietuvos Nacionalinio kibernetinio saugumo centro (NKSC) atstovų, kokios grėsmės aktualiausios, tikriausiai pirmoje vietoje būtų sukčiavimo laiškai, žinomi kaip phishing. Tai laiškai ar SMS žinutės, imituojančios bankus, kurjerių tarnybas ar valstybines institucijas, kviečiančios paspausti nuorodą ir „patvirtinti“ duomenis. Deja, žmonės vis dar pasiduoda – daugiausia dėl skubos jausmo, kurį sukuria tokie pranešimai („jūsų sąskaita bus blokuota per 24 valandas“).
Antra dažna grėsmė – išpirkos reikalaujančios programos (ransomware). Šios programos užšifruoja visus failus kompiuteryje ir reikalauja sumokėti kriptovaliuta, kad būtų atrakinti duomenys. Nukenčia ne tik pavieniai vartotojai, bet ir įmonės, ligoninės, savivaldybės. Lietuvoje tokie atvejai fiksuojami reguliariai, kai kada net didelėse organizacijose.
Trečia – DDoS atakos, kai svetainė ar sistema užverčiama tokiu srautu, kad sugriūva. Tai dažnai naudojama politiniais tikslais, siekiant sutrikdyti valstybinių institucijų darbą, ir Lietuvai, dėl kaimynystės su Rusija ir Baltarusija, tai nėra svetima problema.
Neverta pamiršti ir socialinės inžinerijos – manipuliavimo žmonėmis, kad jie savo noru atidengtų slaptažodžius ar kitą konfidencialią informaciją. Kartais tai atrodo taip primityviai, kad net keista, kaip veikia, bet žmogiškasis faktorius visada bus silpniausia grandinė.
Lietuvos kibernetinio saugumo architektūra
Lietuvoje kibernetinį saugumą koordinuoja keletas institucijų. Pagrindinis žaidėjas – Nacionalinis kibernetinio saugumo centras (NKSC), veikiantis prie Krašto apsaugos ministerijos. Jis stebi grėsmes, teikia rekomendacijas, o kritinių incidentų atveju gali padėti valstybinėms institucijoms ir svarbiausiems infrastruktūros objektams.
Be to, veikia CERT-LT – kompiuterinių incidentų tyrimo padalinys, kuris reaguoja į konkrečius incidentus, praneštus iš įmonių ar privačių asmenų. Jei jūsų svetainė nulaužta arba pastebėjote įtartiną veiklą, būtent CERT-LT yra ta vieta, kur galima kreiptis pagalbos.
Lietuva taip pat aktyviai dalyvauja NATO ir Europos Sąjungos kibernetinio saugumo iniciatyvose. Vilniuje veikia NATO energetikos saugumo centras, o šalis kelis kartus buvo minima kaip vieta, kur vyko dideli tarptautiniai kibernetinio saugumo pratybos, pavyzdžiui, „Locked Shields“, kuriose Lietuvos komanda dažnai užima aukštas vietas.
2021 metais priimtas Kibernetinio saugumo įstatymo atnaujinimas išplėtė reikalavimus verslui – vis daugiau įmonių, ypač tų, kurios valdo kritinę infrastruktūrą (energetika, telekomunikacijos, finansai), privalo laikytis konkrečių saugumo standartų ir teikti ataskaitas apie incidentus.
Kodėl mažos ir vidutinės įmonės dažnai tampa lengviausiu taikiniu
Didelės korporacijos turi biudžetus, IT skyrius ir dedikuotus saugumo specialistus. Mažos įmonės dažnai neturi nė vieno iš šių dalykų, tačiau turi tą pačią prieigą prie klientų duomenų, banko sąskaitų ir sutarčių. Nusikaltėliai tai puikiai žino – jiems paprasčiau atakuoti dešimt mažų įmonių nei vieną korporaciją su tvirta apsauga.
Lietuvoje daugelis mažų verslų vis dar naudoja pasenusią programinę įrangą, nekeičia standartinių slaptažodžių, neturi dubliuojamų atsarginių kopijų. Tokia situacija primena namą su neužrakintomis durimis – vagis gali net neieškoti sudėtingo įsilaužimo būdo, tiesiog pasinaudos akivaizdžia spraga.
Geros žinios tai, kad daugelis efektyvių apsaugos priemonių nereikalauja didelių investicijų. Reguliarūs programinės įrangos atnaujinimai, dviejų faktorių autentifikacija, darbuotojų mokymai atpažinti sukčiavimo laiškus – visa tai kainuoja daug mažiau nei atkurti duomenis po išpirkos atakos ar prarasti klientų pasitikėjimą.
Asmeninė higiena internete – kas veikia realiai
Kalbant apie eilinį vartotoją, kibernetinis saugumas dažnai redukuojamas iki kelių paprastų, bet efektyvių įpročių. Pirma – slaptažodžiai. Ilgai kartotas patarimas, bet vis dar aktualus: nenaudokite to pačio slaptažodžio keliose vietose. Jei nulaužiama viena svetainė, kurioje registravotės, ir naudojate tą pačią kombinaciją banke, problemos gali eskaluotis akimirksniu.
Slaptažodžių tvarkyklės (pavyzdžiui, Bitwarden ar 1Password) šiuo klausimu tikrai padeda – jums nereikia atsiminti dešimčių sudėtingų kombinacijų, viską saugo užšifruota programa.
Antra – dviejų faktorių autentifikacija (2FA). Tai papildomas kodas, siunčiamas SMS ar generuojamas per programėlę, kuris reikalingas prisijungiant. Net jei slaptažodis pavagiamas, be antrojo faktoriaus prisijungti nebus lengva. Bankai Lietuvoje šį reikalavimą jau įgyvendino, bet daugelis kitų paslaugų (paštas, socialiniai tinklai) tai leidžia įjungti savo noru – ir tikrai verta tai padaryti.
Trečia – atsargumas su nuorodomis ir prisegtukais. Jei laiškas skuba, grasina ar žada per gerą pasiūlymą, tikėtina, kad tai sukčiavimas. Verta pasitikrinti siuntėjo adresą, o esant abejonių, tiesiog neatidaryti nuorodos, o pačiam nueiti į oficialią svetainę.
Ketvirta – atsarginės kopijos. Tai skamba nuobodžiai, kol vieną dieną kompiuteris užšifruojamas ransomware programos ir supranti, kad neturi kur atgauti šeimos nuotraukų ar dokumentų. Reguliarus svarbių failų kopijavimas į išorinį diską ar debesų saugyklą gali išgelbėti nuo tikros nervų iškrovos.
Kai kibernetinis saugumas tampa geopolitikos dalimi
Verta pastebėti, kad Lietuvoje kibernetinis saugumas retai kada yra tik techninis klausimas. Dėl geografinės padėties ir istorinių aplinkybių, Lietuva reguliariai patenka į hibridinių atakų sferą. Rusijos ir Baltarusijos sukeltos DDoS bangos, dezinformacijos kampanijos socialiniuose tinkluose, bandymai destabilizuoti valstybines institucijas – visa tai jau tapo įprastu foniniu triukšmu, kurį reikia stebėti nuolat.
2022 metais, po plataisiaskalio karo pradžios Ukrainoje, Lietuva fiksavo ženklų kibernetinių atakų padažnėjimą. Įdomu tai, kad daugelis šių atakų nebuvo labai sofistikuotos – dažnai tai buvo DDoS bangos ar bandymai pasinaudoti pasenusiomis sistemomis. Tačiau jų dažnis ir intensyvumas privertė institucijas rimtai investuoti į atsparumą.
Šis kontekstas svarbus, nes rodo, kad kibernetinis saugumas Lietuvai nėra tik abstrakti IT tema – tai nacionalinio saugumo klausimas, glaudžiai susijęs su gynybos politika. Todėl ir NKSC veikia prie Krašto apsaugos ministerijos, o ne, sakykime, prie kokios ekonomikos institucijos.
Ateities iššūkiai – dirbtinis intelektas ir kvantiniai kompiuteriai
Vienas įdomiausių pokyčių pastaruoju metu – dirbtinio intelekto įtraukimas tiek į atakas, tiek į apsaugą. Sukčiai naudoja DI generuotus balso klonavimo įrankius, kad apsimestų giminaičiu ar viršininku telefonu ir prašytų skubaus pinigų pervedimo. Tokie atvejai jau fiksuojami ir Lietuvoje – žmonės gauna skambučius, kuriuose balsas skamba beveik identiškai artimam žmogui.
Kita vertus, DI taip pat naudojamas apsaugai – anomalijų aptikimui tinkluose, greitesniam grėsmių identifikavimui, automatiniam reagavimui į incidentus. Tai lenktynės, kuriose abi pusės naudoja tą pačią technologiją skirtingiems tikslams.
Ilgesniu laikotarpiu iššūkis bus kvantiniai kompiuteriai, kurie teoriškai galėtų sulaužyti dabartinius šifravimo algoritmus. Tai kol kas gana teorinė grėsmė, bet pasaulinės technologijų kompanijos ir valstybės jau ruošiasi „post-kvantinei“ kriptografijai – Lietuva šiuo klausimu seka bendras Europos Sąjungos gaires, nesant reikalo išradinėti dviračio.
Vietoj išvadų: kaip nepasiduoti paranojai, bet ir nesnausti
Skaitant apie visas šias grėsmes, lengva pasiduoti nerimui ir pradėti įtarti kiekvieną laišką ar skambutį. Bet tikslas nėra gyventi baimėje – tikslas yra sukurti sveikus įpročius, kurie tampa antrąja natūra, panašiai kaip užsidėti saugos juostą automobilyje. Nereikia žinoti visų techninių smulkmenų apie kriptografijos algoritmus, kad būtum saugus – užtenka kelių paprastų taisyklių, kurias verta pasikartoti sau bent kartą į metus.
Pirma – jei kažkas skuba ir grasina, tai raudona lemputė. Bankai, valstybinės institucijos niekada nereikalaus akimirksniu paspausti nuorodos ar perduoti kodus telefonu. Antra – naudokite skirtingus slaptažodžius ir įjunkite dviejų faktorių autentifikaciją visur, kur tik galima. Trečia – atsarginės kopijos yra pigiausia investicija į ramybę, kurią galite padaryti šiandien vakare, jei jau nesate padarę. Ketvirta – sekite naujienas iš NKSC ar CERT-LT, nes jie reguliariai skelbia įspėjimus apie aktualias grėsmes, dažnai konkrečiai pritaikytus Lietuvos kontekstui.
Galiausiai, verta suprasti, kad kibernetinis saugumas – kolektyvinis reikalas. Jūsų nulaužtas paštas gali tapti tramplinu atakai prieš draugus ar kolegas. Todėl rūpinimasis savo skaitmenine higiena nėra tik asmeninis interesas – tai savotiška pilietinė pareiga skaitmeniniame amžiuje, kur mes visi esame vienas kitam potencialūs vartai arba užtvaros.
