Kibernetinis saugumas
Auditas, NIS2 techninė atitiktis ir darbuotojų mokymai. Kibernetinę brandą auginame nuosekliai — nuo žmonių įpročių iki technologijų.
Saugumas aktualus ne tik didelėms įmonėms
Smulkaus ir vidutinio verslo įmonės tampa kibernetinių atakų taikiniu dažniau nei didelės korporacijos. Priežastis paprasta: mažesnės įmonės turi mažiau apsaugos, bet pakankamai vertingų duomenų.
Duomenų nutekėjimas, išpirkos programinė įranga (ransomware), sukčiavimo laiškai (phishing) — tai ne tik techninės problemos. Tai verslo tęstinumo, reputacijos ir teisinės atsakomybės klausimai: Kibernetinio saugumo įstatymas, perkėlęs NIS2 direktyvą į Lietuvos teisę, numato konkrečias pareigas ir atsakomybę vadovams.
Mūsų požiūris: pirmiausia suprantame, kur spragos — tada sprendžiame. Be audito saugumo darbai pradedami neturint aiškaus pagrindo.
Kibernetinio saugumo paslaugos sudėtis
IT saugumo auditas
Išsamus infrastruktūros saugumo vertinimas: prieigų valdymas, tinklo segmentacija, atsarginių kopijų politika, įrenginių apsauga. Gausite ataskaitą su prioritetų sąrašu — praktinį dokumentą su konkrečiais veiksmais.
Prieigų valdymas (IAM)
Kas, kada ir prie ko turi prieigą — viena dažniausių spragų. Diegiame mažiausių privilegijų principą, kelių faktorių autentifikaciją (MFA) ir centralizuotą paskyrų valdymą.
Tinklo segmentacija ir VPN
Tinklo padalijimas į segmentus riboja atakos plitimą. Saugi nuotolinė prieiga darbuotojams — be kompromisų saugumui.
Atsarginių kopijų strategija
Taisyklė 3-2-1: trys kopijos, dvi skirtingos laikmenos, viena kitoje vietoje. Projektuojame kopijų sistemas su reguliariu atkūrimo testavimu — plačiau žinyno straipsnyje.
NIS2 techninių reikalavimų įgyvendinimas
GAP analizė parodo, ko trūksta iki atitikties, tada įgyvendiname technines priemones: prieigų valdymą, incidentų stebėseną, atsarginių kopijų politiką.
Saugumo vadovas (vCISO)
IT saugumo vadovo funkcija be etato kaštų: periodiniai vertinimai, rizikų valdymo konsultacijos, saugumo sprendimų priežiūra ir atstovavimas priežiūros institucijoms.
Darbuotojų mokymai ir IT higiena: brandos kėlimas
Didžioji dalis sėkmingų atakų prasideda nuo žmogaus veiksmo: atidaryto sukčių laiško, pakartotinai naudoto slaptažodžio, paskubomis patvirtintos prieigos. Todėl įmonės kibernetinė branda pirmiausia auginama per žmones — ir tik tada per įrangą.
Ką tai reiškia praktiškai:
- Darbuotojų mokymai — kaip atpažinti sukčiavimo laiškus, saugiai valdyti slaptažodžius, saugiai dirbti nuotoliniu būdu. Mokome paprastai, be gąsdinimo ir be žargono.
- Elementarios IT higienos standartas — atnaujinimai laiku, MFA, aiškios prieigų ribos, tikrinamos atsarginės kopijos. Įpročiai, kurie sustabdo didžiąją dalį atakų.
- Pamatuojama pažanga — brandos lygis vertinamas prieš pradedant ir peržiūrimas reguliariai, todėl matote, kas pasikeitė, o ne tik „atlikta mokymų“.
Nuo ko pradėti savarankiškai, aprašėme žinyne: elementari IT higiena — nuo ko prasideda įmonės kibernetinė branda.
NIS2: svarbiausia informacija
NIS2 — tai ES direktyva (ES) 2022/2555, nustatanti kibernetinio saugumo reikalavimus gerokai platesniam įmonių ratui nei ankstesnė NIS direktyva. Lietuvoje ji perkelta per naują Kibernetinio saugumo įstatymo redakciją, o priežiūrą vykdo Nacionalinis kibernetinio saugumo centras (NKSC).
Reikalavimai apima rizikų valdymą, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, prieigų valdymą ir šifravimą. Visą atitikties kelią — nuo teisinių ir organizacinių iki techninių reikalavimų, vienose rankose — perima atskira paslauga: NIS2 atitikties vadovas. Ar direktyva taikoma jūsų įmonei ir nuo ko pradėti, paprastai paaiškinome straipsnyje NIS2 Lietuvoje paprastai.
Saulės elektrinių valdymo sistemos NIS2 (TIS2) reikalavimai apima ir elektros energijos gamintojus (įskaitant saulės elektrines). Saulės elektrinių valdymo sistemų auditams turime atskirą specializuotą svetainę — sauleselektrinesauditas.lt.
Klausimai apie kibernetinį saugumą
NIS2 taikoma tam tikrų sektorių ir dydžio įmonėms. Pirmas žingsnis — nustatyti, ar patenkate į taikymo sritį: šį vertinimą atliekame audito metu ir paaiškiname, kokie reikalavimai galioja būtent jūsų situacijai. Bendrą taikymo logiką rasite straipsnyje NIS2 Lietuvoje paprastai.
Trukmė priklauso nuo infrastruktūros dydžio ir sudėtingumo — ją sutariame prieš pradedant, kartu su apimtimi. Po audito gausite išsamią ataskaitą su nustatytomis rizikomis, jų kritikumo vertinimu ir prioritetų sąrašu.
Pagrindinis veiklos regionas — Klaipėda ir apskritis, tačiau kibernetinio saugumo konsultacijas, auditus ir mokymus atliekame ir nuotoliniu būdu visoje Lietuvoje — ši sritis dažniausiai nereikalauja fizinio buvimo vietoje.
Pradėkite nuo pokalbio
Aptarsime jūsų saugumo situaciją ir pasakysime, ką matome — be įsipareigojimų ir be gąsdinimo.