Britanijos policijos duomenis saugantys tiekėjai buvo atakuoti ne kartą – auditas atskleidė pavojingą spragą

Sekite TechNaujienos Google

Jungtinės Karalystės policijos IT tiekėjai nuo 2021 metų ne kartą patyrė kibernetinių įsilaužimų, nors jų sistemose gali būti saugoma jautri teisėsaugos informacija. Nauja oficiali kontrolės institucijos ataskaita parodė ne tik pačių atakų faktą, bet ir sudėtingą problemą: už išorės rangovams perduotus duomenis institucijos ne visada gali tinkamai atsiskaityti ir stebėti, kas su jais vyksta.

Spalio 26–27 dienų šaltinyje pateikiamos šios incidento detalės. Apie spalio 27 dieną paskelbtas išvadas pranešė „The Record“, remdamasis His Majesty’s Inspectorate of Constabulary and Fire & Rescue Services auditu. Dokumente pažymėta, kad ne visi tiekėjų saugumo įsipareigojimai buvo nuolat tikrinami, o kai kurios organizacijos net negalėjo paaiškinti, ar sutartyse numatytas greitas pranešimas apie incidentą.

Britanijos policijai ši rizika ypač jautri, nes išorės partneriai gali tvarkyti informaciją apie nukentėjusiuosius, liudytojus, tyrimus ir teisėsaugos operacijas. Oficialūs tikrintojai neskelbia, kurie konkrečiai tiekėjai patyrė atakas, kiek buvo incidentų ir ar per kiekvieną jų tikrai pavogti duomenys. Tokios detalės neatskleistos dėl saugumo priežasčių.

Tiekėjų priežiūra dažnai suprantama kaip vienkartinis patikrinimas prieš pasirašant sutartį. Tačiau kibernetinės grėsmės ir tiekėjo infrastruktūra keičiasi visą bendradarbiavimo laikotarpį. Štai kodėl Britanijos auditoriai akcentuoja nuolatinio saugumo užtikrinimo stoką. Jei institucija negali matyti saugumo įvykių žurnalų ar negali pareikalauti nepriklausomo audito, ji gali vėluoti pastebėti įsilaužimą. Tai ypač svarbu, kai duomenyse yra informacijos apie policijos tyrimus, liudytojus arba pareigūnų asmens duomenis.

Naujausi straipsniai

5 min. skaitymo • prieš 5 minutės

„Opera“ pristatė būdą naudoti DI tiesiai naršyklėje be debesijos – duomenys gali likti kompiuteryje

4 min. skaitymo • prieš 25 minutės

Didelis bankas perspėja: neduokite savo prisijungimo duomenų DI agentams – galite prarasti paskyros kontrolę

4 min. skaitymo • prieš 45 minutės

Japonijos interneto milžinė ragino klientus išjungti kompiuterius: užpuolikai pareikalavo 50 mln. dolerių

Visi naujausi straipsniai →

Viešojo sektoriaus paslaugos dažnai yra sudėtingas daugelio organizacijų tinklas. Viena sistema priima naudotojų užklausas, kita saugo dokumentus, trečia perduoda pranešimus, o ketvirta aptarnauja darbuotojų paskyras. Organizacijų vadovai gali nematyti visos grandinės, jei sistemų priežiūra išskaidyta per kelias sutartis. Tokia padėtis apsunkina reagavimą, kai įvykių šaltinis neaiškus. Todėl svarbus tikslus paslaugų, duomenų srautų ir atsakingų tiekėjų žemėlapis. Vien pareiškimas, kad paslauga įsigyta iš „patikimos“ įmonės, nėra nuolatinės saugumo kontrolės pakaitalas.

Lietuvoje vykdant didelius IT pirkimus verta iš anksto apibrėžti, kas gali subrangovams perduoti asmens duomenis, ar leidžiama juos saugoti už ES ribų, kaip pranešama apie incidentą ir kaip užtikrinamas grąžinimas arba ištrynimas pasibaigus sutarčiai. Jei viešoji įstaiga turi kelis skirtingus tiekėjus, šie klausimai tampa dar svarbesni. Britanijos ataskaita nėra įrodymas, kad Lietuvoje egzistuoja toks pats spragų mastas. Tai konkretus kontrolinis sąrašas, leidžiantis patikrinti, ar mūsų įstaigos pasirengusios panašiems iššūkiams.

Kas įvyko ir kokie tikrieji pavojai

Ataskaitoje nurodyta, kad vien pirmus tris 2026 metų mėnesius policijos sektoriuje registruoti 252 kibernetiniai incidentai ir 796 beveik įvykę incidentai. Šie skaičiai nėra automatiškai prilyginami duomenų vagystėms: į juos gali patekti kenkėjiškos programos, nesėkmingi bandymai gauti prieigą ir atsitiktinis informacijos atskleidimas.

Patikrinimas atskleidė, kad didžiausia problema kartais būna ne šifravimo technologija, o atsakomybės pasiskirstymas. Organizacija gali turėti visą parą veikiančią stebėseną savo tinkle, tačiau jos saugumo komanda nebūtinai mato išorės tiekėjo žurnalus. Tuomet incidentas pastebimas vėliau, o jo mastą nustatyti sunkiau.

Viešojo sektoriaus organizacijoms svarbu neapsiriboti standartine fraze sutartyje, kad tiekėjas laikosi saugumo teisės aktų. Reikia aiškių terminų pranešti apie incidentus, tvarkos, kaip tikrinamos subrangovų prieigos, ir teisės išsaugoti tyrimui būtinus žurnalus. Be to, turi būti numatyta, kas nutiks, jei rangovas bankrutuos, praras licenciją arba staiga negalės teikti paslaugos. Jei šie klausimai neišspręsti, net ir stiprūs vidiniai apsaugos mechanizmai gali neveikti, kai sutrinka išorės infrastruktūra. Britanijos ataskaita aktuali ir platesnei Europos diskusijai apie kritinių paslaugų tiekėjų atsakomybę. Skaitmeninis paslaugos pirkimas nereiškia, kad institucija atsisako atsakomybės už perduotus žmonių duomenis.

Ką verta žinoti Lietuvoje

Lietuvos policijai, savivaldybėms ir kitoms valstybės institucijoms tai aktualu dėl didėjančios priklausomybės nuo debesijos, IT priežiūros ir programinės įrangos subrangovų. Perkant paslaugas svarbu ne tik jų kaina, bet ir teisė tikrinti tiekėjo saugumą, audituoti prieigas, reikalauti incidentų pranešimų bei laiku ištrinti perduotus duomenis.

Skaitmeninė tiekimo grandinė tampa tokia pat svarbi kaip pačios įstaigos infrastruktūra. Tai nesuteikia pagrindo teigti, kad Lietuvos policijos duomenys buvo pasiekti šioje konkrečioje istorijoje. Tačiau Britanijos pavyzdys praktiškai parodo, kokias klausimų spragas verta ištaisyti dar prieš kitą didelės vertės viešojo sektoriaus IT konkursą. Plačiau susijusiu klausimu rašėme anksčiau.