Dirbtinis intelektas gali mažinti techninių žinių poreikį rengiant kibernetines atakas. Lapkričio 1 dieną „The Washington Post“ aprašė specialistų susirūpinimą tuo, kad DI įrankiai leidžia greičiau ieškoti programinės įrangos spragų ir automatizuoti dalį kenkėjiškų veiksmų. Tai svarbi žinia ir Lietuvos mažosioms įmonėms: internetinės parduotuvės, WordPress svetainės, el. paštas ir klientų duomenų bazės yra vertingi veiklos ištekliai, kurių praradimas gali kainuoti daugiau nei pati IT įranga.
Kaip DI keičia grėsmių aplinką?
Anksčiau kai kuriems sudėtingesniems atakų scenarijams reikėjo daugiau programavimo ir sistemų analizės žinių. DI įrankiai gali padėti paaiškinti kodą, automatizuoti informacijos analizę ir pagreitinti spragų paiešką. Jie taip pat naudingi gynybai – pavyzdžiui, analizuojant įvykių žurnalus ar ieškant konfigūracijos klaidų. Todėl pati technologija nėra savaime nusikalstama: riziką lemia jos panaudojimas.
„The Washington Post“ straipsnyje aprašomi saugumo ekspertų vertinimai ir konkretūs incidentai. Tačiau ne visos pastaruoju metu aptariamos atakos turi patvirtintą DI vaidmenį. Redakciniu požiūriu svarbu nepateikti prielaidų apie atakos priemones kaip patikrintų faktų.
Kur pažeidžiamiausias smulkusis verslas?
Dažnas mažos įmonės silpnumas – pasenusios svetainės temos, papildiniai ir per daug administratoriaus teisių turinčios paskyros. Kitas rizikos taškas yra el. paštas: užvaldžius savininko ar buhalterio paskyrą galima bandyti pakeisti mokėjimo rekvizitus ir apgauti klientus. Taip pat didelę žalą gali sukelti netvarkingos atsarginės kopijos ir nepatikrintas jų atkūrimo procesas.
WordPress ar kitos TVS sistemos naudojimas savaime nėra nesaugus. Riziką didina neatnaujinama programinė įranga, silpni slaptažodžiai, neaiškios prieigos teisės ir neprižiūrimos integracijos. Tinkama priežiūra leidžia reikšmingai sumažinti dažnų incidentų tikimybę.
Kokios priemonės duoda daugiausia praktinės naudos?
Pirmoji priemonė – kelių veiksnių autentifikavimas el. paštui, talpinimui, domenų registratoriui, finansų ir svetainės administravimo paskyroms. Antroji – aiškus atnaujinimų procesas. Trečioji – atsarginių kopijų saugojimas atskiroje aplinkoje ir periodinis bandymas atkurti svetainę. Ketvirtoji – mažiausių būtinų prieigos teisių principas.
Jei įmonėje dirba keli žmonės, verta aprašyti, kaip tikrinami neįprasti mokėjimo prašymai ir kam pranešti įtarus įsilaužimą. Net paprasta dvigubo patvirtinimo taisyklė prieš keičiant sąskaitos numerį gali apsaugoti nuo brangios apgavystės.
Kaip apskaičiuoti saugumo investicijų prasmę?
Saugumą sunku vertinti vien pagal tai, kiek atakų įmonė patyrė vakar. Geriau sudaryti kritinių sistemų sąrašą ir įvertinti galimos prastovos, duomenų atkūrimo, prarastų užsakymų ir reputacijos žalos mastą. Pavyzdžiui, jei elektroninė parduotuvė negali priimti užsakymų dvi dienas, nuostolis gali apimti ne tik pardavimus, bet ir papildomą klientų aptarnavimą bei reklamos biudžetą.
Kibernetinio saugumo biudžetas turi būti proporcingas rizikai. Ne kiekvienam smulkiam verslui reikia sudėtingo sprendimo, tačiau kiekvienam naudinga bazinė paskyrų apsauga, atsarginės kopijos ir incidentų veiksmų planas.
Mini auditas, kurį galima atlikti per vieną darbo dieną
Įmonė gali pradėti nuo penkių svarbiausių sistemų sąrašo: el. paštas, domeno registratorius, svetainės valdymas, buhalterinė sistema ir klientų duomenų bazė. Prie kiekvienos reikia patikrinti, kas turi administratoriaus teises, ar įjungtas papildomas prisijungimo patvirtinimas ir kur saugomos atsarginės kopijos. Net jei techninį darbą atlieka išorinis IT specialistas, savininkas turi žinoti, kaip būtų atkurtas priėjimas dingus pagrindinei paskyrai.
Antras žingsnis – patikrinti tiekėjų ir darbuotojų paskyras. Pasibaigus bendradarbiavimui, prieiga turėtų būti laiku panaikinta, o dalijami slaptažodžiai – pakeisti. Daug mažų svetainių turi senų administratoriaus paskyrų, kurios nebenaudojamos, bet tebėra galimas įėjimo taškas. Toks patikrinimas dažnai kainuoja daugiau dėmesio nei pinigų, bet gali užkirsti kelią nereikalingai rizikai.
Trečias žingsnis – suvaidinti incidentą. Kas atsitiktų, jei šį vakarą internetinė parduotuvė būtų neprieinama, o savininko el. paštas – užrakintas? Kas susisiektų su hostingo įmone, kas informuotų klientus, kas patikrintų mokėjimus? Jeigu atsakymų nėra, verta juos užrašyti. Tokie organizaciniai veiksmai neužtikrina absoliutaus saugumo, tačiau leidžia greičiau reaguoti ir mažinti prastovos nuostolius.
Kibernetinės rizikos vertinimas nebūtinai reiškia, kad reikia iš karto pirkti brangiausią apsaugos paketą. Pirmiausia naudinga sutvarkyti nemokamas ar mažai kainuojančias bazines priemones: unikalius slaptažodžius, kelių veiksnių prisijungimą, naujausius atnaujinimus ir atsarginių kopijų tikrinimą. Tada galima pasitelkti IT specialistą išoriniam auditui, jeigu įmonė tvarko jautrius klientų duomenis ar yra labai priklausoma nuo vienos sistemos veikimo. Ne mažiau svarbu periodiškai mokyti darbuotojus atpažinti įtartinus laiškus ir mokėjimų prašymus. DI technologijų plėtra nekeičia esminio saugumo principo: net ir pažangi programinė apsauga neveiks gerai, jeigu organizacijoje nebus aiškios atsakomybės ir reagavimo procedūros.
Ką verta padaryti dabar:
- Įjunkite kelių veiksnių autentifikavimą kritinėms paskyroms.
- Atnaujinkite papildinius ir išbandykite atsarginės kopijos atkūrimą.
- Įveskite papildomą mokėjimo rekvizitų keitimo patvirtinimą.
Šaltinis: The Washington Post. Iliustracinė nuotrauka: Taylor Vick / Unsplash.