Lietuvoje 40 organizacijų išbandė gynybą nuo DI išnaudojančių įsilaužėlių: dalyvavo 200 specialistų

Sekite TechNaujienos Google

Dirbtinis intelektas vis dažniau įtraukiamas į Lietuvos įstaigų darbą, tačiau kartu atsiranda naujų būdų suklysti diegiant sistemas. Nacionalinis kibernetinio saugumo centras (NKSC) paskelbė spalio pabaigoje surengęs pratybas „Kibernetinis skydas OpEx“, kuriose beveik 200 specialistų iš 40 Lietuvos organizacijų tikrino, kaip reaguotų į incidentus, susijusius su nesaugiai įdiegtomis DI priemonėmis.

NKSC apie pratybas pranešė lapkričio 3 dieną. Jose dalyvavo ne tik IT ir kibernetinio saugumo specialistai, bet ir teisės, duomenų apsaugos bei komunikacijos darbuotojai. Ketvirtadalis organizacijų buvo iš sveikatos priežiūros sektoriaus – srities, kurioje tvarkoma ypač jautri informacija ir net trumpalaikis sistemų neveikimas gali turėti didesnių pasekmių.

Koks incidentas buvo imituojamas

Pratybų scenarijuose piktavaliai išnaudojo netinkamai įdiegtus dirbtinio intelekto sprendimus, įgijo neleistiną prieigą prie įrenginių, pavogė bei užšifravo duomenis. Dalyviai turėjo nustatyti, kas vyksta, priimti sprendimus dėl reagavimo ir informuoti atsakingas institucijas. Tai buvo mokomasis scenarijus, todėl jo nereikėtų pateikti kaip realaus duomenų nutekėjimo iš visų 40 organizacijų.

NKSC direktorius Antanas Aleknavičius pranešime akcentavo, kad organizacijos dažnai diegia DI sprendimus greičiau, nei spėja pasirengti juos saugiai naudoti. Problema kyla ne vien dėl pačios DI technologijos: neteisingi prieigos leidimai, prasti nustatymai ir darbuotojų įpročiai gali atverti kelią incidentui per jau naudojamas sistemas.

Naujausi straipsniai

3 min. skaitymo • prieš 2 val

Lietuvoje apie 46 tūkst. žmonių baigė pasirengimo krizei mokymus: ką būtina žinoti šeimoms?

3 min. skaitymo • prieš 2 val

JAV kariuomenė Lenkijoje išbandė FD-1 dronus perėmėjus: ieško pigesnės apsaugos nuo atakų

3 min. skaitymo • prieš 2 val

Lietuvoje beveik kas ketvirtas DI naudotojas atskleidė asmeninius duomenis: kokias klaidas darome?

Visi naujausi straipsniai →

Svarbi pratybų dalis – gebėjimas veikti ne vien techniškai. Kai incidentas susijęs su duomenimis, organizacijai reikia įvertinti, ar privaloma informuoti priežiūros institucijas ir paveiktus asmenis. Komunikacijos specialistai turi pateikti aiškią žinutę darbuotojams bei visuomenei, o teisininkai – nustatyti pareigas pagal galiojančias taisykles. Vien techninis serverio atjungimas šių užduočių neišsprendžia.

Ką iš to gali išmokti Lietuvos įmonės

NKSC primena, kad kibernetinio saugumo subjektams taikomos rizikos valdymo, darbuotojų mokymų ir pasirengimo incidentams pareigos. Net mažesnėms įmonėms naudinga iš anksto aprašyti, kas priima sprendimus įvykus atakai, kur laikomos atsarginės kopijos ir kaip komunikuojama neveikiant pagrindiniams kanalams. Tokie planai turi būti išbandyti, o ne vien saugomi dokumentų aplanke.

Pratybose ypač aktualus DI sprendimų inventorizavimas: įmonė turėtų žinoti, kokius įrankius naudoja jos darbuotojai, kokius duomenis jie gauna ir kokiomis teisėmis gali jungtis prie kitų sistemų. Kuo daugiau sistemų sujungta, tuo svarbiau riboti nereikalingas prieigas. Vartotojams aktualų klausimą iliustruoja ir VPN spragų išnaudojimo rizika.

Kibernetinių incidentų pasekmės gali pasiekti ir ne IT sektorių. Neseniai aprašėme pažeidžiamas pramonines šaldymo sistemas bei ataką prieš banko išorinį tiekėją. Šie atvejai nėra tiesiogiai susiję su NKSC pratybomis, tačiau rodo, kodėl skirtingų skyrių bendradarbiavimas tampa būtinybe.

NKSC „Kibernetinis skydas OpEx“ yra nemokamos pratybos, skirtos organizacijoms, kurios turi ruoštis rimtiems incidentams. Viešai skelbiami duomenys neleidžia teigti, kad visos 40 įstaigų pratybas išlaikė ar kad jos jau visiškai pasiruošusios. Vertė slypi pačiame rizikų atradimo ir veiksmų patikrinimo procese prieš įvykstant tikrai atakai.

Šaltinis: pirminis institucijos pranešimas.