Starp prasībām un realitāti

Doties uz digiTuvi jaunumiem

Jānis Delviņš
LVRTC Kiberdrošības biznesa virziena vadītājs

Pēdējos gados kiberdrošība arvien biežāk tiek skatīta caur normatīvās atbilstības prizmu, izceļot tieši normatīvajos aktos noteikto prasību izpildi – politikas, dokumentāciju, ziņošanas termiņus. Nacionālās kiberdrošības likums, NIS2 direktīva un Ministru kabineta noteikumi par minimālajām kiberdrošības prasībām ir skaidri iezīmējuši, ka kiberdrošība vairs nav tikai IT atbalsta jautājums, bet organizācijas vadības pārraudzīta un uzraugāma funkcija. 

Vienlaikus šī normatīvā brieduma ēnā arvien biežāk kļūst redzama cita problēma – atbilstība dokumentos ne vienmēr nozīmē gatavību praksē.

Regulējums nosaka gan pārvaldības struktūru (atbildīgie, politikas, risku vadība), gan praktiskos pienākumus – incidentu identificēšanu, ziņošanu un darbinieku kiberhigiēnas nodrošināšanu.

Taču praksē nereti atklājas plaisa starp šo formālo prasību izpildi un organizāciju faktisko spēju incidentus savlaicīgi atklāt, analizēt un novērst. Tieši posms starp “incidenta rašanos” un “pienākumu par to ziņot” bieži ir vismazāk strukturēts un visgrūtāk pārvaldāms.

Kad ar rīkiem nepietiek

Daudzās organizācijās kiberdrošība joprojām balstās uz atsevišķiem tehniskiem risinājumiem – antivīrusu, ugunsmūriem, žurnālu uzkrāšanu u.c. risinājumiem. Kiberdrošības draudiem pieaugot, ar antivīrusa līmeņa aizsardzību vien nepietiek – tie nodrošina aizsardzību konkrētā līmenī, piemēram, lietotāja gala iekārtā, bet nesniedz pilnu priekšstatu par to, kas kopumā notiek organizācijas IT vidē. Savukārt, padziļināta kiberincidentu noteikšana un novēršanas risinājums jeb XDR jau ir būtisks solis uz priekšu: tas apvieno datus no dažādiem avotiem – galaiekārtām, tīkliem, lietotājiem un sistēmām, analizē uzvedības modeļus un ļauj ātrāk pamanīt un apturēt uzbrukumus.

Jāņem vērā, ka daļa incidentu neizpaužas kā viens skaidri saskatāms notikums, bet gan kā virkne nelielu pazīmju dažādās sistēmās un ilgākā laika periodā. Šādās situācijās izšķiroša kļūst spēja šos notikumus savienot kopsakarībās un analizēt plašāk. Šeit nozīmīga loma ir drošības informācijas un notikumu pārvaldībai jeb SIEM – tā nodrošina centralizētu datu uzkrāšanu, korelāciju un ilgtermiņa analīzes iespējas. Tieši šie dati un pieraksti veido pamatu gan incidentu izmeklēšanai, gan atbilstībai normatīvajām prasībām.

Izmantojot XDR un SIEM paliek neatbildēts būtisks jautājums – kurš, kad un kā no šiem datiem izdara secinājumus un rīkojas?

SOC kā trūkstošais posms

Te iezīmējas drošības operāciju centra (SOC) nozīme – nevis kā vēl viena tehnoloģija infrastruktūrā, bet kā nepārtraukts uzraudzības, analīzes un lēmumu pieņemšanas process.

SOC apvieno:

• XDR sniegto redzamību un automātisku reakciju
• SIEM uzkrātos datus un analīzes iespējas
• kiberdrošības analītiķu kompetenci, kas šos datus pārvērš rīcībā.

Tieši šī kombinācija ļauj ne tikai pamanīt incidentus, bet arī tos saprast un savlaicīgi pārvaldīt.

Kā to ieviest praksē

Balstoties uz vairāk nekā desmit gadu pieredzi kritiskās infrastruktūras aizsardzībā, LVRTC ir izstrādājis drošības operāciju centra pakalpojumu (SOCaaS), kas ļauj šo pieeju ieviest arī organizācijās bez savas 24/7 SOC komandas.

SOCaaS pieeja palīdz:

• nodrošināt nepārtrauktu (24/7) uzraudzību un incidentu pārvaldību
• savlaicīgi pamanīt un ātrāk apturēt uzbrukumus
• izmantot XDR un SIEM datus pilnvērtīgi, ne atsevišķi
• nodrošināt atbilstību normatīvajām prasībām bez papildu sloga komandai
• izmantot pieredzējušu kiberdrošības analītiķu kompetenci

Daļa no SOC pakalpojuma tiek attīstīta projekta “Vienotā kiberdrošības infrastruktūra” ietvaros, ar mērķi stiprināt VESPC klientu kibernoturību un nodrošināt vienotu kiberdrošības uzraudzību. Projektu līdzfinansē Eiropas Reģionālās attīstības fonds.
Projekta ID: 1.4.1.4/1/24/I/001