Šių metų balandžio 17 d. baigėsi terminas, iki kurio į Kibernetinio saugumo subjektų registrą įtrauktos Lietuvos įmonės privalėjo įgyvendinti Kibernetinio saugumo įstatymo, perkeliančio ES TIS2 (NIS2) direktyvą, organizacinius reikalavimus. Kitas, techninis, etapas turi būti baigtas iki 2027 m. balandžio.

Reguliavimo apimtis platesnė, nei daugelis įsivaizduoja. Į registrą patenka ne tik didžiausios organizacijos, bet ir įmonės iš finansų, energetikos, sveikatos priežiūros bei kitų sektorių, priklausomai nuo jų veiklos masto. Dalis jų apie savo naują statusą sužino tik gavusios oficialų pranešimą, kai jau tenka skubiai vytis terminus. Verslo bendruomenėje diskusijos dažnai apsiriboja pačiu faktu, kad įstatymas priimtas, tačiau gerokai mažiau dėmesio skiriama praktiniam klausimui – ką konkrečiai reikia padaryti, kad atitiktis būtų ne tik formali, bet ir realiai sumažintų riziką.

„Matome, kad įmonės vis dar dažnai sutelkia dėmesį į popierinę atitiktį – politikų ir procedūrų aprašus, nes juos lengviausia patikrinti ir įvertinti. Tačiau realus saugumas prasideda ten, kur baigiasi dokumentai. Svarbiausias klausimas yra ne tai, ar turime saugumo politiką, o ar mūsų sistemos iš tikrųjų atlaikytų realų bandymą į jas įsilaužti“, – sako Gabrielius Vinciūnas, ilgametės kibernetinio saugumo įmonės „Baltic Amadeus“ informacijos saugumo vadovas.

Rizika ateina ne tik iš vidaus

Valstybinės duomenų apsaugos inspekcijos (VDAI) duomenimis, 2025 m. Lietuvoje dėl kibernetinių incidentų buvo paveikti 57 proc. visų nukentėjusių duomenų subjektų, nors patys kibernetiniai incidentai sudarė mažiau nei trečdalį visų registruotų pažeidimų. Tai rodo neproporcingai didelį jų poveikį, palyginti su kitomis pažeidimų priežastimis.

Tiekimo grandinės rizika ypač aktuali sektoriuose, kuriuose organizacijos glaudžiai susijusios tarpusavyje. Finansų sektoriuje bankai, mokėjimų paslaugų teikėjai ir IT partneriai dažnai naudojasi ta pačia infrastruktūra arba dalijasi duomenų srautais – vienos grandies pažeidžiamumas gali tapti įėjimo tašku į visą ekosistemą, net jei pagrindinė organizacija savo saugumu rūpinasi itin atsakingai.

Ši rizika neapsiriboja vien tiesioginiais IT tiekėjais. Ji apima ir debesijos paslaugų teikėjus, mokėjimų platformas, analitikos ar personalo valdymo sistemas bei kitas integracijas, kurių kiekviena tampa papildomu ryšiu, priklausomu nuo partnerio saugumo brandos.

Trys būdai, kuriais įmonės vertina kibernetinį saugumą: nuo skenavimo iki įsilaužimų testavimo

Praktikoje Lietuvos įmonės kibernetinį saugumą dažniausiai vertina keliais tarpusavyje papildančiais metodais.

Pažeidžiamumų skenavimas – automatizuotas, reguliariai, pavyzdžiui, kas savaitę ar kas mėnesį, atliekamas patikrinimas, ieškantis jau žinomų, katalogizuotų spragų. Jis yra greitas ir santykinai nebrangus, tačiau neparodo, kaip realus užpuolikas galėtų sujungti kelias nedideles spragas į vieną atakos grandinę.

Įsilaužimų testavimas – išsamesnis vertinimas, atliekamas kartą ar du per metus arba po reikšmingų infrastruktūros pokyčių. Jo metu specialistai bando pasiekti sistemas taip, kaip tai darytų tikras užpuolikas. Rezultatas – ne tik pažeidžiamumų sąrašas, bet ir aiškesnis supratimas, kurios spragos realiai kelia didžiausią grėsmę bei kokia tvarka jas verta šalinti.

Nuolatinė stebėsena ir incidentų valdymas – realiuoju laiku veikiančios sistemos, leidžiančios pastebėti neįprastą aktyvumą ir greitai į jį reaguoti. Tai ypač svarbu organizacijoms, kurioms kiekviena delsimo minutė gali turėti didelę finansinę ar reputacinę kainą, pavyzdžiui, finansų, mokėjimų ar sveikatos priežiūros sektoriuose.

„Verizon“ ataskaita rodo, kad tik apie 54 proc. organizacijų visiškai pašalina net jau identifikuotus, iš išorės matomus pažeidžiamumus. Kitaip tariant, vien nustatyti problemą nepakanka. Realią vertę sukuria tik nuoseklus jos pašalinimas ir pakartotinis patikrinimas.

Įsilaužimų testavimas ir NIS2 reikalavimai: nuo formalios atitikties prie realaus saugumo

Kibernetinio saugumo įstatymo techniniai reikalavimai apima pažeidžiamumų valdymą, nuolatinę stebėseną, reagavimą į incidentus ir tiekimo grandinės saugumo užtikrinimą, todėl vien formaliai parengtos saugumo politikos šiandien nebeužtenka. Organizacijos turi gebėti įrodyti, kad jų taikomos priemonės veikia praktikoje.

Vienas iš būdų tai padaryti – reguliarus ir dokumentuotas įsilaužimų testavimas, padedantis nustatyti realias sistemų spragas ir įvertinti jų keliamą riziką. Tai ypač svarbu todėl, kad saugumo aplinka nuolat keičiasi: atsiranda naujų sistemų, integracijų, darbuotojų, tiekėjų ir paslaugų, todėl prieš metus atliktas vertinimas nebūtinai atspindi šiandienos situaciją.

Be to, saugumo incidento kaina gali būti gerokai didesnė už prevencinių priemonių kainą – IBM duomenų pažeidimų kaštų ataskaitoje vidutinė vieno incidento kaina organizacijai siekia apie 4,45 mln. JAV dolerių, įskaičiuojant prastovas, klientų praradimą ir teisines pasekmes.

„Anksčiau auditoriaus klausimas dažnai būdavo paprastas: ar turite saugumo politiką įgyvendinančias tvarkas? Dabar vien turėti dokumentus nebeužtenka – reikia parodyti, kad jie veikia praktikoje. Dar svarbiau suprasti, kad saugumo negalima patikrinti vieną kartą ir tuo apsiriboti. Keičiantis infrastruktūrai, integracijoms ir tiekėjams, keičiasi ir organizacijos rizikos profilis, todėl saugumo vertinimas turi būti nuolatinio proceso dalis“, – sako sėkmingai kibernetinio saugumo srityje veikiančios įmonės „Baltic Amadeus“ ekspertas.

Nuo ko pradėti ir ką tai reiškia skirtingo dydžio organizacijoms

Įmonėms, kurios iki šiol neturėjo aiškios saugumo vertinimo praktikos, pirmiausia verta atlikti rizikos vertinimą – nustatyti, kurios sistemos ir duomenys verslui yra kritiškiausi, o tuomet suplanuoti reguliarų pažeidžiamumų skenavimą, numatyti, kada reikės išsamesnio įsilaužimų testavimo, ir aiškiai paskirstyti atsakomybes už nustatytų pažeidžiamumų šalinimą. Šie metodai neturėtų būti supriešinami: automatizuotas skenavimas padeda palaikyti nuolatinę saugumo higieną, o įsilaužimų testavimas leidžia giliau įvertinti, kaip atskiros spragos galėtų būti išnaudotos realiame scenarijuje.

Didelėms, reguliuojamoms organizacijoms, kaip bankams, telekomunikacijų ar energetikos įmonėms, reguliarus saugumo testavimas jau seniai yra įprasta praktika, todėl naujieji reikalavimai joms dažniausiai reiškia procesų formalizavimą ir papildomą jų dokumentavimą. Vidutinio dydžio įmonėms situacija kitokia: daugelis jų pirmą kartą patenka į reguliuojamų subjektų sąrašą ir turi ne tik atlikti pirmuosius testavimus, bet ir nuo nulio sukurti vidinius saugumo procesus.

Būtent šiame etape svarbu neapsiriboti formaliu reikalavimų įgyvendinimu. Paviršutiniškas patikrinimas gali parodyti dalį problemų, tačiau ne visada leidžia suprasti, kurios rizikos iš tiesų yra svarbiausios ir kaip jos galėtų būti išnaudotos.

Kodėl kibernetinio saugumo patikros taps įprasta verslo praktika

Nors techninių reikalavimų įgyvendinimo terminas – 2027 m. balandis – dar gali atrodyti tolima data, pasirengimas tokio masto pokyčiams užtrunka ilgiau, nei daugelis organizacijų tikisi. Reikia ne tik atlikti pirminį testavimą, bet ir ištaisyti nustatytas spragas, pakartotinai patikrinti jų pašalinimą, atnaujinti vidinius procesus bei įsitikinti, kad saugumo priemonės veikia realiomis sąlygomis. Todėl įsilaužimų testavimas palaipsniui tampa ne vien atitikties reikalavimo dalimi, o įprastu verslo rizikos valdymo įrankiu.

Įmonės, kurios saugumo vertinimą pradeda planuoti iš anksto, gali sklandžiau pasiruošti reguliavimo reikalavimams ir išvengti situacijos, kai kritines spragas tenka šalinti skubiai, jau artėjant nustatytiems terminams ar po incidento. Reguliarus testavimas taip pat leidžia saugumo išlaidas planuoti nuosekliau, o nustatytas rizikas vertinti ne tik techniniu, bet ir verslo prioritetų požiūriu.

„Vienas svarbiausių gero įsilaužimų testavimo rezultatų yra ne pats rastų spragų skaičius, o aiškus atsakymas, ką organizacija turi daryti toliau. Verslui svarbu suprasti, kurios rizikos yra kritinės, ką būtina ištaisyti nedelsiant, o ką galima spręsti planuojant kitus infrastruktūros ar sistemų pokyčius. Toks prioritetų nustatymas leidžia saugumo komandai kalbėti ta pačia kalba kaip ir verslas ir priimti sprendimus remiantis realia rizika, o ne vien techninių pažeidžiamumų sąrašu“, – apibendrina Gabrielius Vinciūnas, „Baltic Amadeus“ informacijos saugumo vadovas.