4 darbai, kuriuos atlieka kibernetinio saugumo vadovas

Lengva kibernetinio saugumo vadovą įsivaizduoti kaip žmogų, įsmeigusį akis į ekranus ir kodą. Realybė yra kitokia - daug laiko skiriama konsultacijoms, aiškumo užtikrinimui, o ne techniniams darbams. Tai panašu į namo architekto darbą: jis projektuoja namą, kalba su jo gyventojais, aiškina sprendimus, tačiau pats nemūrija sienų.

1. Darbuotojų paruošimas grėsmėms - pratybos, phishing testai

Silpniausia saugumo grandis dažniausiai yra ne technologijos, o žmonės. Todėl kibernetinio saugumo vadovas veda pratybas darbuotojams, pagal poreikį atlieka phishing testus. Toks pasiruošimas leidžia atpažinti grėsmę dar prieš jai tampant incidentu - labiau apsimoka skirti laiko paruošti darbuotojus galimoms grėsmėms, nei tvarkytis su incidento padariniais

Phishing'as - sukčiavimo forma, kada pasitelkiant netikras (bet panašias į tikras) interneto svetaines ar elektroninio pašto laiškus piktavaliai siekia išgauti prisijungimo duomenis (kodus, slaptažodžius) prie bankų, informacinių sistemų ar įrankių.

Pavyzdys: piktavaliams apsimetus maisto gamybos įmonės direktoriumi, siunčiančiu laišką apie "atnaujintą sistemą, prie kurios reikėtų prisijungti iš naujo" ir taip išgavus prisijungimo duomenis prie šaldymo įrangos valdymo programos, piktavaliai galėtų ją išjungti ir sunaikinti turimą produkciją.

Operacijų vadovas Martinas Eimutis ir kibernetinio saugumo vadovas Algirdas Kubilius susitikimo metu

2. Saugumo politikų ir tvarkų priežiūra

Paruošti kibernetinio saugumo dokumentai - rizikų vertinimas, jų valdymo planas, veiklos tęstinumo planas negali būti vienąkart parašomi ir padedami į stalčių. Kodėl? Nes organizacija nuolatos kinta - prisijungia nauji darbuotojai, įvedamos naujos sistemos, pradedami naudoti nauji įrankiai, o kartu kinta ir galimos kibernetinio saugumo grėsmės.

Kibernetinio saugumo vadovas nuolat tikrina, ar organizacijos veikla, grėsmės nesikeičia, o joms pasikeitus - atnaujina. Pavyzdžiui, pradėjus naudoti naują sistemą duomenų apie klientus laikymui, tačiau neįjungus prisijungimo dviem būdais (pvz., slaptažodžiu ir telefono kodu), piktavaliai galėtų greitai duomenis pasiekti. To išvengti padėtų atlikta rizikų analizė (pastebint naują sistemą) ir jos suvaldymas (dviejų faktorių autentifikacijos įjungimas), atliekami kibernetinio saugumo vadovo.

3. Kibernetinio saugumo vadovas ir bendradarbiavimas su NKSC bei pasirengimas incidentams

Saugumo vadovas palaiko ryšį su Nacionaliniu kibernetinio saugumo centru (NKSC): seka gaunamas rekomendacijas, o gavęs iš NKSC pranešimą apie aptiktą organizacijos pažeidžiamumą, koordinuoja, kad spraga būtų laiku užtaisyta.

Įvykus incidentui, saugumo vadovas praneša apie jį NKSC per 24 valandas, pateikia detalią ataskaitą per 72 valandas, o galutinę - per mėnesį nuo registracijos. Tokie terminai reiškia, kad pasirengimas - kontaktai, vaidmenys ir veiksmų planas incidento atveju - turi būti paruoštas iš anksto, o ne incidento dieną. Be šio pasirengimo praleisti terminai virsta baudomis, o sumaištis - ilgesnėmis prastovomis.

Kibernetinio saugumo incidentas - įvykis, kada bandoma pažeisti arba pažeidžiamas organizacijos sistemų ar duomenų prieinamumas, vientisumas ar konfidencialumas. Tai gali būti įsilaužimas į sistemas, duomenų nutekėjimas ar sutrikdytas sistemos veikimas.

Tai taip pat yra puikus pavyzdys, kodėl saugumo vadovu negali būti IT administratorius - jam būtų patogiau pasiruošti galimam incidentui minimaliai, neapsunkinant savo įprasto darbo, tačiau to kaina geriausiu atveju būtų sumaištis incidento metu, blogiausiu - nesuvaldytas incidentas ir nuostoliai organizacijai.

4. Konsultacijos ir komunikacija su organizacija

Kibernetinio saugumo vadovas, kaip ir namo architektas, praleidžia daug laiko kalbėdamasis su namo gyventojais (darbuotojais). Vieniems reikia paaiškinti, kodėl durys užsirakina automatiškai, kitiems - kodėl negalima palikti rakto po kilimėliu. Su statybininkais (IT administratoriais) kalbama viena kalba, su namo savininku (organizacijos vadovu) - visai kita. Klausimų gali kilti kiekvieno skyriaus darbuotojui - tiek buhalteriams, tiek ūkvedžiams, tiek pirkimų specialistams, nes kone visos specialybės darbui naudoja kompiuterius ar kitas skaitmenines priemones.

Kibernetinis saugumas apima visą organizaciją, kiekvieną jos darbuotoją ir jo kasdienę veiklą, o ne tik IT padalinį.

Verta paminėti, kad saugumo vadovas, kaip architektas, yra tiesiogiai atskaitingas organizacijos vadovui (namo savininkui), o ne IT skyriui (statybininkams). Pagal Kibernetinio saugumo įstatymą jam net draudžiama užsiimti technine sistemų priežiūra - jo pozicija yra strateginė, o ne techninė.

Atsakome į organizacijos darbuotojų klausimus - nes saugumas kyla iš aiškumo ir supratimo, o ne baimės

Procesas, o ne projektas

Šie darbai vyksta nuolat, todėl saugumo vadovo darbas nėra užduotis su pabaigos data. Būtent dėl to daugeliui organizacijų patogu turėti išorinį saugumo vadovą, kuris yra nuolatos prieinamas, tačiau perdėtai neeikvoja išteklių.

---

Jei jūsų organizacijai reikalingas saugos įgaliotinis ar kibernetinio saugumo vadovas, bet atskiro etato kurti neapsimoka, išorinės CISO paslaugos suteikia visą reikalingą patirtį ir padeda atitikti TIS2 (NIS2) reikalavimus.

Pasikalbėkime