SOC stebėsena - ko negali padaryti kibernetinio saugumo vadovas
- 07-28
- 5 min. skaitymo
Politika patvirtinta. Keturiasdešimt puslapių, parašas, data, registracijos numeris - viskas suvesta į KSIS per penkias darbo dienas, kaip ir reikalaujama. Rizikos vertinimas atliktas, tvarkos parašytos, darbuotojai išklausė kibernetinės higienos mokymus.
Penktadienį, 19:40, buhalterės paskyra prisijungia prie dokumentų sistemos. Prisijungimas sėkmingas - slaptažodis teisingas. Per kitą valandą iš tos paskyros atsisiunčiama keli šimtai failų. Pati buhalterė tuo metu sodyboje ravi braškes ir apie tai nieko nežino. Politikoje tiksliai parašyta, ką tokiu atveju daryti.
Bet dokumentas nežiūri į ekraną. Kibernetinio saugumo stebėsena - tai nuolatinis sistemų, paskyrų ir tinklo įvykių sekimas, kurio tikslas pastebėti neįprastą elgesį anksčiau, nei jis virsta incidentu. Ją paprastai vykdo saugumo operacijų centras (angl. - Security Operations Center), arba SOC ir atsako į klausimą, kurio neišsprendžia jokia tvarka: ar įmonės sistemose yra naudotojų, neturinčių ten būti?
Ką kibernetinio saugumo vadovas daro - ir ko jam neleidžia įstatymas
Kibernetinio saugumo įstatymas (KSĮ) reikalauja, kad kibernetinio saugumo subjektu tapusi įmonė paskirtų kibernetinio saugumo vadovą, tiesiogiai atskaitingą įmonės vadovui (15 str.). Jo darbas - rizikos vertinimas, tvarkos, tiekėjų reikalavimai, terminai, mokymai, atitiktis. Apie tai rašėme atskirai: tai labiau architekto nei mūrininko darbas.
IT administratorius CISO SOC stebėsena
Pagal Kibernetinio saugumo reikalavimų aprašą kibernetinio saugumo vadovas negali vykdyti funkcijų, susijusių su tinklų ar informacinių sistemų administravimu ir įrangos priežiūra. Tai ne trūkumas, o sąmoningas sprendimas, nes darbuotojui būtų sudėtinga objektyviai prižiūrėti savo paties darbą. Bet iš to seka labai konkretus dalykas: žmogus, atsakingas už įmonės saugumą, pagal įstatymą neprižiūri sistemų veiklos.
Vadinasi, net ir puikiai dirbantis kibernetinio saugumo vadovas - vidinis ar perkamas kaip paslauga - jums penktadienio vakarą nepasakys, kad kažkas jungiasi prie buhalterės paskyros. Ne todėl, kad blogai atlieka savo darbą. Todėl, kad tai ne jo pareigybė ir ne jo darbo laikas.
Įmonės vadovui iš to seka dar viena išvada, nes NKSC aiškina, kad bauda už kibernetinio saugumo reikalavimų nevykdymą skiriama ne kibernetinio saugumo vadovui ar IT administratoriui, o įmonės vadovui. Tad klausimas „ar kas nors stebi mūsų sistemas?" galiausiai yra ne IT skyriaus, o vadovo klausimas.
24 valandos pradedamos skaičiuoti nuo sužinojimo apie incidentą
KSĮ 18 straipsnis nustato aiškius terminus. Apie didelį kibernetinį incidentą NKSC reikia pranešti nedelsiant, bet ne vėliau kaip per 24 valandas nuo sužinojimo apie jį momento. Per 72 valandas - pirminis poveikio vertinimas. Per mėnesį - galutinė ataskaita, kurioje turi būti nurodyta pagrindinė priežastis, dėl kurios incidentas galėjo įvykti.
Atkreipkite dėmesį į formuluotę - laikas pradedamas skaičiuoti ne nuo įsilaužimo, o nuo to momento, kai kas nors apie jį sužino. Atsakomybė remiasi viena prielaida: kad jūsų įmonėje apskritai yra kam sužinoti apie įvykusį incidentą.
Kaip tai atrodo praktikoje, matyti Valstybinės duomenų apsaugos inspekcijos duomenyse, paskelbtuose Lietuvos kibernetinio saugumo būklės apžvalgoje. 2025 m. 29 proc. asmens duomenų saugumo pažeidimų įvyko dėl kibernetinių incidentų, o 6 proc. visų pranešimų priežastys taip ir liko nenustatytos. VDAI išvada tiesmuka: įvykus incidentui, organizacijos „neįstengia tinkamai atlikti kibernetinio incidento tyrimo ir nustatyti priežasčių".
Priežasties nenustatysi be įvykių žurnalų (angl. logs) - o jie turi būti ne tik įjungti, bet ir išlikę, ir kažkas turi mokėti juos perskaityti.
22 sekundės vietoje aštuonių valandų
Kiek laiko turite? Mažiau, nei atrodo.
Piktavaliai seniai dirba pasidaliję: vieni tik pralaužia duris į įmonių sistemas, o prieigą perduoda kitiems, kurie šifruoja duomenis ir reikalauja išpirkos. „Mandiant" „M-Trends 2026" ataskaitos duomenimis, 2022 m. nuo įsilaužimo iki tokio perdavimo praeidavo daugiau nei 8 valandos, o 2025 m. - tik 22 sekundės. Viskas, ko reikės antrajai komandai, paruošiama iš anksto, dar pirminio užkrėtimo metu.
Kiti tos pačios ataskaitos skaičiai, paremti daugiau nei 500 000 tyrimų valandų: nuo įsilaužimo iki aptikimo vidutiniškai praeina 14 dienų (Latvijos valstybiniai miškai tai pastebėjo tuomet, kai piktavaliai pradėjo šifruoti įmonės sistemų duomenis), o šnipinėjimo atvejais - 122 dienos. Tik 52 proc. atvejų organizacijos pačios pirmos pastebi piktavališką veiklą. Beveik pusė sužino iš šalies - iš partnerio, iš kliento, iš NKSC arba iš išpirkos rašto.
Praktinė „Mandiant" rekomendacija gynėjams po šių skaičių skamba taip: net ir nereikšmingai atrodantį įspėjimą traktuokite kaip signalą, kad netrukus ateis rimtas įsilaužimas. Rytojaus rytas nebėra tinkamas reagavimo laikas.
Rytojaus rytas nebėra tinkamas reagavimo laikas.
„Ar tai ne tik didelių įmonių rūpestis?"
Bendra statistika Lietuvoje 2025 m.: užregistruoti 2 888 kibernetiniai incidentai - ketvirtadaliu mažiau nei 2024 m., o didelių incidentų - vos 19.
Tik viena eilutė toje pačioje apžvalgoje krypsta priešinga linkme. Lietuvos juridinių asmenų informacinėse sistemose incidentų per metus beveik padvigubėjo - nuo 155 iki 280. Daugiau nei pusė visų incidentų susiję su socialine inžinerija, o naudotojų paskyrų užvaldymas lieka pagrindiniu įsilaužimo būdu - būtent tai, kas vyksta penktadienio 19:40 scenoje. Verta paminėti ir liepą įsigaliojusius Kibernetinio saugumo įstatymo pakeitimus, pagal kuriuos dar daugiau įmonių gali būti įtrauktos į kibernetinio saugumo subjektų registrą.
Kita teisinė detalė, apie kurią kalbama retai - pagal KSĮ 16 straipsnį NKSC savo technines stebėsenos priemones diegia ir valdo esminių subjektų sistemose. Svarbiems subjektams jos gali būti įdiegtos tik jų pačių prašymu ir tik tam, kad būtų suvaldytas incidentas. Paprastai tariant: jei esate svarbus subjektas, kasdienė stebėsena yra jūsų, o ne valstybės institucijų darbas.
Kaip SOC stebėsena prisijungia prie to, ką jau turite
Jei kibernetinio saugumo vadovą jau turite - savo darbuotoją ar perkamą paslaugą - jums nereikia nieko griauti. Reikia uždaryti vieną kilpą, ir tam pakanka trijų dalykų.
Pirma, stebintys žmonės turi žinoti, kas jūsų įmonei svarbu. Rizikos vertinimas, kurį parengė kibernetinio saugumo vadovas, nėra dokumentas archyvui - tai sąrašas, ką sekti pirmiausia. Be jo SOC stebėsena tampa triukšmu: šimtai įspėjimų be svarbos eiliškumo.
Antra, turi būti sutartas kelias, kaip pastebėjimas pasiekia žmogų penktadienio vakarą. Ne bendras el. pašto adresas, o vardai ir telefono numeriai, ir aiškiai pasakyta, kas turi teisę atjungti paskyrą nelaukdamas ryto.
Trečia, pastebėjimas turi grįžti atgal į popierių. Tas pats faktas virsta 24 valandų pranešimu NKSC, mėnesio ataskaitos priežastimi ir kito ketvirčio rizikos vertinimo pakeitimu. Tai jau kibernetinio saugumo vadovo darbas - ir jam reikia žaliavos, kurios be stebėsenos jis paprasčiausiai neturi.
Trys klausimai, kuriuos verta užduoti šią savaitę
Jei šįvakar 19:40 kas nors prisijungtų prie mūsų sistemų iš neįprastos vietos - kada mes apie tai sužinotume? Blogas atsakymas: „turbūt pirmadienį". Dar blogesnis: „kai kas nors paskambintų ir pasakytų".
Kas mūsų įmonėje paskirtas kibernetinio saugumo vadovu ir ar tas pats žmogus administruoja mūsų sistemas? Jei taip - tai neatitinka reikalavimų, kad ir kaip gerai šis darbuotojas dirbtų.
Ar galėtume per mėnesį pateikti NKSC galutinę ataskaitą su pagrindine incidento priežastimi? Tai reiškia įvykių žurnalus, kurie dar egzistuoja ir yra pasiekiami. Blogas atsakymas: „žurnalai saugomi 30 dienų".
Jei bent į vieną klausimą atsakymo nėra - tai ne priekaištas, o tiesiog dabartinės situacijos žemėlapis.
Grįžkime prie penktadienio vakaro
Dokumentai savo darbą padaro: jie pasako, kokios įmonės turimos rizikos, kaip jas sumažinti, ką daryti įvykus incidentui. Bet tarp „parašyta, ką daryti" (dokumentų) ir „kažkas pastebėjo" (stebėsenos) yra tarpas, kurio joks dokumentas neužpildo - ir kuo greičiau dirba piktavaliai, tuo šis tarpas darosi brangesnis.
Šiuo tikslu ir teikiame SOC paslaugą, skirtą kibernetinio saugumo stebėsenai užtikrinti. Jei nežinote, kas ir kaip jūsų įmonėje atsakytų į pirmąjį iš trijų klausimų - pasikalbėkime.
