Piemērs tam, cik viegli cilvēki internetā uzķeras uz kibernoziedznieku “āķa”, ir veiktais eksperiments Lietuvā, kur mācību “Cyber Shield 2022” laikā tika nosūtītas 56 000 vēstuļu, kas atdarināja kiberkrāpnieku ziņojumus. Lietuvas valsts aizsardzības ministrija pēcāk ziņoja, ka kaitīgas darbības veikuši vairāk nekā 7100 cilvēku jeb adresātu, kas nozīmē, ka, ja IT drošības pasākumi nedarbotos, katrs astotais valsts uzņēmumu darbinieks iekristu hakeru sūtītajā “ēsmā”. Ko no tā varam mācīties Latvijā?
Kā apliecina IT drošības incidentu novēršanas institūcijas “CERT” dati un starptautiskās drošības firmas “ESET” telemetrijas dati, šogad Latvijā ievērojami pieaug kiberuzbrukumu skaits. Tendences liecina, ka nākamgad kiberuzbrucēju aktivitāte Baltijas reģionā visticamāk turpinās pieaugt, un tam par iemeslu būs komplekss kopums – Covid-19 un attālinātais darbs, ilgstošais karš Ukrainā, kas palielina dažādu pušu ieinteresētību mūsu reģionā, kā arī IT sistēmas, kas caurvij arvien vairāk procesu un jomu un tādēļ ir kļuvušas sasniedzamas kibernoziedzniekiem. Ne velti Lietuvas Republikas Valsts kontrole nesen veica auditu “Kiberdrošības nodrošināšana” un pēc tā valdība plānoja vairāk līdzekļu novirzīt visas valsts kiberdrošībai. Laba sagatavotība ir priekšnoteikums kiberuzbrukuma veiksmīgai novēršanai, tāpēc šobrīd vietā ir uzdot jautājumu – vai esam gatavi vēl lielākam kiberuzbrukumu skaitam Latvijā?
Kāda ir Latvijas uzņēmēju pārliecība par sava uzņēmuma kibernoturību?
“ESET” 2022. gada mazo un vidējo uzņēmumu (MVU) digitālās drošības ziņojuma ietvaros aptaujāja vairāk nekā 1200 kiberdrošības lēmumu pieņēmēji MVU Eiropā un Ziemeļamerikā. Pārsteidzoši, ka vairāk nekā divas trešdaļas MVU norāda, ka pēdējo 12 mēnešu laikā ir piedzīvojuši datu drošības incidentu, kas izmaksājis vidēji gandrīz 220 000 eiro. Tāpēc nav pārsteigums, ka MVU vispārējā pārliecība par kibernoturību nākamajā gadā joprojām ir zema, un tikai 48% respondentu apgalvo, ka ir vidēji vai ļoti pārliecināti par savu kibernoturību. Vērts piebilst, ka respondentu pārliecība Skandināvijas valstīs (32%) bija ievērojami zemāka nekā pārējā Eiropā un Ziemeļamerikā (49%).
Runājot par Latvijas uzņēmējiem, es dalītu tos trīs grupās:
- tie, kuri apzinās riskus un ievieš risinājumus,
- tie, kuri neizpēta riskus līdz galam un ievieš risinājumus “ķeksīša pēc”,
- tie, kuri domā, ka “ar mani jau nekas tāds nenotiks”.
Tā kā par kiberuzbrukumiem publiskajā telpā runā arvien biežāk un paši uzņēmumi pieredz kiberapdraudējumus, informētība par IT drošības lomu pieaug, kas savukārt veicina par to domāt stratēģiskāk no menedžmenta puses. Taču vienlaikus jāatzīst, ka, ja lielajos uzņēmumos par drošību tiek domāts vadības līmenī, tad MVU bieži vien nav kapacitātes un finanšu resursu. Vienlaikus var novērot pozitīvu tendenci, ka arvien vairāk MVU apzinās, ka, ja paša spēkiem IT drošības jomu “nepacelt”, tad pastāv iespēja meklēt ārpakalpojumu sniedzējus, kas palīdzēs ieviest drošības pasākumus uzņēmumā bez liela iekšējā IT vai vadības resursa nepieciešamības.
Kādi parasti ir hakeru mērķi?
Kibernoziegumi pēc to mērķa pārsvarā dalās divos virzienos – datu zādzība, kas var ietvert sevī kontu vai iekārtu piekļuves datu iegūšanu vai jebkuras citas datu kopas zādzību, un sabotāža, kuras mērķis ir padarīt sistēmu vai iekārtu nelietojamu. Starptautiskā organizācija “Mitre Attack” norāda, ka kopumā var tikt izmantoti aptuveni 193 dažādi kiberuzbrukumi. Visas šīs metodes joprojām tiek kombinētas savā starpā, tādējādi radot jaunus uzbrukumu modeļus.
Finanšu ieguvumu motivēti kiberuzbrucēji vairāk lūkosies lielo uzņēmumu virzienā, savukārt, ja kiberuzbrukuma konteksts būs politisks, lielākoties saistīts ar karu Ukrainā, tad mērķis būs valsts iestādes un kritiski nozīmīga infrastruktūra. Te lieti atcerēties, ka viens no “iedarbīgākajiem” kiberuzbrukumiem Ukrainā bija pasaulē pirmā ļaunprogrammatūra, kas uzbruka elektroenerģijas infrastruktūrai, lai elektrība būtu nepieejama lielam iedzīvotāju skaitam. Savukārt iedzīvotājus parasti skar datu zādzības, kurās cenšas ar viltu iegūt dažādu personīgu informāciju, piemēram, e-pasta vai internetbankas ieejas vārdu un paroli. Jāatceras arī tas, ka jebkuram no mums ir “iespēja” par nejaušu upuri kiberuzbrukumu masu kampaņās un arī “kibernoziedzinieku treniņos”.
Kādi varētu būt svarīgākie kiberdrošības izaicinājumi Latvijā 2023. gadā?
Galvenais izaicinājums būs uzbrukumu apjoma palielināšanās, kas sasniegs lietotājus, kuri vieglāk uzķersies. Un kiberuzbrucēji “nesaudzēs” nedz iedzīvotājus, kuri aktīvi lieto dažādas viedierīces, publiskos tīklus un mājas internetu, nedz darbiniekus uzņēmumos un valsts iestādēs. Jau iepriekš pieminētajā MVU aptaujā, kā galvenos faktorus, kas būtiski palielina kiberuzbrukumu risku, mazie un vidējie uzņēmumi norāda darbinieku nepietiekamo kiberinformētību (43%), valsts sponsorētus kiberuzbrukumus (37%), ievainojamības partneru un/vai piegādātāju darbības procesos (34%), nepārtrauktu hibrīddarbu (32%).
Uzbrukumu veidi pēdējās desmitgades laikā ir praktiski nemainīgi – tie, ko var novērst ar iekārtu vai programmatūras palīdzību (piemēram, ļaunprogrammatūra, mērķēti uzbrukumi, DdoS jeb trieciens datora tīklam ar tādu pieprasījumu skaitu, kas ievērojami palēnina vai pilnīgi pārtrauc to darbu), tie, kur tiek apmānīts cilvēks (piemēram, e-pasti, telefona zvani, pikšķerēšana, kad mēģina izvilināt piemēram, kredītkartes numurus, lietotāju vārdus, paroles), kā arī uzbrukumi, izmantojot programmatūru ievainojamības.
Līdz ar ko svarīgākais ir izglītoties ikvienam, lai neiekristu kādās viltus lamatās, kā arī uzņēmumiem un valsts iestādēm izglītot savus darbiniekus un pašiem IT speciālistiem sekot līdzi programmatūru attīstībai un draudu vektoru apzināšanai. Visiem kopīgs uzdevums ir arī sekot līdzi aktualitātēm pasaulē un Baltijā. Vēl nesen kibernoziedznieki veikli izmantoja savā labā pandēmiju un kara apstākļus, sūtot vēstules ar aicinājumu steidzami ziedot.
Kādi jauni aizsardzības veidi būs nepieciešami?
Manuprāt arvien vairāk attīstīsies drošība kā pakalpojums, jo cilvēka slinkums, nezināšana un nevēlēšanās iedziļināties ir lielākās ļaunprāšu priekšrocības. Turklāt, lai ieinteresētu cilvēkus un tie veiktu krāpnieku izvēlētās darbības, tiek izmantotas gan sociālās, gan psiholoģiskās zināšanas. Šī ir joma, kurā tiek ieguldīti lieli līdzekļi un tehnoloģijas.
Uzņēmumos nereti tiek ievērots princips – jo mazāk izvēles iespējas “parastajam lietotājam” tiek dotas, jo mazāk nepareizas izvēles lietotājs var izdarīt. Tomēr privātajā jomā parasti ir novērojams, ka, ja ģimenē nav kāds IT speciālists, kurš ir uzņēmies “ģimenes IT drošības” virsvadību, tad vairums privātpersonu iekārtu ir bieži pakļautas riskam vien pat neatjauninot programmatūras, kas tiek lietotas datoros un mobilajās iekārtās. Svarīgi ir izmantot jau esošos risinājumus un atjaunināt programmatūras, kā arī e-pastus izlasīt vismaz divreiz pirms apsvērt spiest uz jebkādām saitēm vai vērt vaļā jebkurus pielikumus. Ja ierīcēs tiek izmantota pretvīrusu programmatūra, piemēram, “ESET”, kas atklāj surogātpastu, ļaunprātīgu saturu vai ielaušanos pārlūkprogrammā, tad, pat noklikšķinot uz bīstamas saites, tiks aktivizēta aizsardzība, kas neļaus to atvērt. Liela mēroga uzbrukuma gadījumā šāda programmatūra surogātpastu uzreiz atpazīs, un tas pat nesasniegs adresātu.
Kopumā – kiberdrošības izaicinājumi tikai pieaugs. Domāju, ka pasaule būs interesantāka, un es nerunāju par cilvēku līdzāspastāvēšanu ar mākslīgo intelektu un tādām vienībām kā Alexa, Google Assistant vai Siri. Gaidāmi daudzi jauni izaicinājumi, un vissvarīgākais ir būs nodrošināt, ka tehnoloģijas mazāk vēršas pret mums, tāpēc progress un drošība būs svarīgi arī turpmāk.