Pastarieji keli mėnesiai mums priminė, kad atsparumas krizių situacijose nėra abstrakti sąvoka. Rugpjūčio audra ir pastarojo meto kibernetinio saugumo incidentai Baltijos valstybėse tapo tikru išbandymu tiek valstybės institucijoms, tiek verslui, tiek gyventojams, keldami svarbius klausimus: kas atsakingas už pasirengimą krizėms ir kiek esame pasirengę, kai kasdienis gyvenimas staiga sutrinka?
Atsakymas nėra vienareikšmis. Atsparumas yra bendra atsakomybė, kurios pagrindą sudaro institucijos, verslas ir gyventojai, veikiantys kaip viena tarpusavyje susijusi sistema. Tačiau tai, kaip ši atsakomybė pasiskirsto, labai priklauso nuo grėsmės pobūdžio.
Šių metų rugpjūčio audra smarkiai nusiaubė visą regioną. Tai buvo stipriausia regiono audra nuo 2005 metų, dėl kurios milijonai žmonių kelias dienas liko be elektros ir mobiliojo ryšio, tačiau finansų sektorius šį laikotarpį atlaikė gerai. Klientai galėjo atlikti mokėjimus ir naudotis mokėjimo kortelėmis be pertrūkių, nors kai kurie prekybininkai susidūrė su elektros tiekimo sutrikimų sukeltais iššūkiais. Šiuo laikotarpiu banko „Citadele“ duomenų centrai, mokėjimo sistemos ir kita kritinė IT infrastruktūra nenukentėjo, o klientų aptarnavimas tęsėsi be reikšmingų apribojimų. Be to, Latvijoje sukurtas kritinių bankomatų tinklas, kuriam krizių metu teikiama prioritetinė parama – tai svarbi sektoriaus pasirengimo dalis, užtikrinanti nepertraukiamą prieigą prie būtiniausių finansinių paslaugų.
Ar atsparumas kibernetinėms grėsmėms prasideda dar prieš įvykstant incidentui?
Kartu šie metai atskleidė ir realų skirtumą tarp fizinių ir skaitmeninių grėsmių. Per audrą žmonės paprastai žino, ką daryti: įkrauti telefonus, pasiruošti vandens atsargų, turėti grynųjų pinigų ir sekti atsakingų institucijų nurodymais. Šių metų duomenų saugumo incidentai valstybės įmonėje „Latvijas valsts meži“ (LVM) ir Kelių eismo saugumo direkcijoje (CSDD) Latvijoje, taip pat Lietuvos valstybės įmonėje Registrų centras, kur buvo atskleista apie 600 000 nekilnojamojo turto ir juridinių asmenų registro įrašų, parodė, kokia skirtinga logika juos seka.
Kol bet kuris iš šių atvejų tapo viešai žinomas, žmogus jau nebegalėjo nieko pakeisti – visi sprendimai buvo priimti gerokai anksčiau, nei informacija pasiekė žiniasklaidą. Todėl kibernetinio saugumo srityje daug didesnė atsakomybės dalis tenka institucijoms ir organizacijoms, kurioms patikėti visuomenės duomenys.
Pavyzdžiui, bankai nuolat testuoja savo sistemas, stiprina saugumo kontrolės priemones, naudoja pažangias technologijas, įskaitant dirbtiniu intelektu paremtus įrankius, ir reguliariai moko darbuotojus atpažinti kylančias grėsmes bei į jas reaguoti. Tikslas – ne tik reaguoti į incidentus, bet ir užkirsti jiems kelią dar prieš tai, kai jie įvyksta. Šis prevencinis požiūris peržengia atskirų institucijų ribas. Bankai glaudžiai bendradarbiauja su technologijų tiekėjais, kritinių paslaugų partneriais ir valstybės institucijomis, siekdami stiprinti platesnės finansų ekosistemos atsparumą.
Atsparumas atsiranda tada, kai pasirengimas sutampa visais lygmenimis
Krizės metu tampa akivaizdu, kiek stiprus yra atsparumo ekosistemos pamatas. Jis atsiranda iš daugelio tarpusavyje susijusių dalyvių – valstybės, institucijų ir namų ūkių – gebėjimo veikti koordinuotai ir nuolat prisitaikyti prie naujų rizikų.
Valstybės lygmeniu Latvija buvo viena pirmųjų ES valstybių narių, kuri Tinklų ir informacinių sistemų saugumo direktyvos (NIS2) reikalavimus perkėlė į Nacionalinį kibernetinio saugumo įstatymą. Tačiau pastarieji incidentai parodė, kad reguliavimas popieriuje automatiškai nereiškia saugumo praktikoje. Pagrindinė pamoka – vykdymo užtikrinimas: jau galiojančių reikalavimų testavimas ir laikymasis. Verta paklausti ir to, kiek istorinių duomenų institucijoms iš tiesų būtina saugoti.
Institucijų lygmeniu tikras pasirengimas prasideda ten, kur baigiasi dokumentai ir prasideda reguliarios pratybos. Finansų sektorius veikia griežtoje reguliavimo sistemoje, apimančioje ES skaitmeninio veiklos atsparumo aktą (DORA), nacionalinius kibernetinio saugumo reikalavimus ir Lietuvos banko nustatytus priežiūros standartus.
Šiais metais bankas „Citadele“ kartu su CIREN ekspertais peržiūrėjo ir sustiprino savo veiklos tęstinumo planus, juos testuojant įvairiais krizių ir streso scenarijais. Organizacija įveikia krizę todėl, kad jos žmonės gerai veikia esant spaudimui, o žmonės taip elgiasi tik tada, kai pasitiki aplink priimamais sprendimais. Toks pasitikėjimas kyla iš aiškios komunikacijos, nuoseklios logikos ir vadovų, kurie prisimena, kad krizės metu žmonės informaciją suvokia greičiau ir jaučiasi labiau pažeidžiami nei įprastai. Išvada paprasta: atsparumas yra gebėjimas, kurį reikia nuolat ugdyti ir reguliariai treniruoti.
Tačiau namų ūkių lygmeniu vaizdas yra nevienalytiškesnis. Pasiruošti audrai dažnai užtenka kelių praktinių žingsnių: turėti išorinių baterijų, vandens ir maisto atsargų, radiją bei nedidelę grynųjų pinigų sumą būtiniausiems pirkiniams. Tuo tarpu pasirengimas kibernetinėms grėsmėms reikalauja nuolatinio budrumo, o ne visi turi tam laiko ar žinių.
Panašų netolygumą galima pastebėti ir namų ūkių finansuose. Vieni žmonės sistemingai kaupia santaupas ir ruošiasi netikėtumams, o kiti neturi jokių finansinių atsargų. Neapibrėžtumo laikotarpiu svarbu rasti pusiausvyrą tarp atsargumo ir kasdienių poreikių, nes tiek nepakankamos santaupos, tiek atidėliojami svarbūs finansiniai sprendimai gali susilpninti namų ūkio gebėjimą atlaikyti kitą sukrėtimą.
Kur susitinka asmeninė ir institucinė atsakomybė
Pasirengimas krizėms veikia tik tada, kai atspari yra visa sistema, nes kritinės infrastruktūros yra glaudžiai tarpusavyje susijusios. Sutrikus elektros tiekimui, laikui bėgant gali sutrikti ir mobilusis ryšys. Neturėdami ryšio, žmonės negali pasiekti skaitmeninių paslaugų, kad ir kaip gerai veiktų bankų sistemos. Tai atskleidžia paprastą tiesą: visuomenės atsparumas yra tik toks stiprus, kiek yra jo silpniausia grandis.
Tokiais momentais itin svarbus vaidmuo tenka ir lyderystei. Tikroji lyderystė krizės metu pasireiškia gebėjimu prisiimti atsakomybę, priimti sprendimus esant neapibrėžtumui ir užtikrinti, kad kiekvienas suprastų savo vaidmenį tada, kai tai svarbiausia.
Institucijoms tenka atsakomybė užtikrinti kritinių paslaugų veikimą, stiprinti savo sistemas ir teikti visuomenei aiškią informaciją. Gyventojams tenka kitokia, tačiau ne mažiau reali atsakomybė: suprasti, kaip reaguoti, ir reguliariai užduoti sau paprastą klausimą – kiek esu pasirengęs pirmosioms 72 valandoms po krizės? Ar turiu vandens ir maisto, šiek tiek grynųjų pinigų, alternatyvų ryšio būdą, planą dienai be elektros ar ryšio?
Kartais atsparumas prasideda nuo vieno žmogaus gebėjimo priimti sprendimą ir veikti savarankiškai, dar prieš atvykstant pagalbai. Tačiau rizikoms tampant per sudėtingoms, kad su jomis susitvarkytų vienas žmogus, institucijoms tenka prisiimti didesnę šios naštos dalį. Jos taip pat privalo toliau įrodinėti tai, ką šis regionas jau yra parodęs: sunkus išbandymas gali padaryti visuomenę stipresnę nei anksčiau.