Kibernetinis saugumas viešosioms ir valstybės institucijoms

Viešojo sektoriaus organizacijos valdo didelius kiekius jautrios informacijos, teikia gyventojams ir verslui svarbias elektronines paslaugas bei administruoja sistemas, nuo kurių priklauso kasdienė institucijų veikla.

Valstybės ir savivaldybių institucijos, viešosios įstaigos, švietimo, sveikatos priežiūros ir kitos viešojo sektoriaus organizacijos tampa vis labiau priklausomos nuo skaitmeninių paslaugų, debesijos, nuotolinės prieigos ir tarpusavyje integruotų informacinių sistemų.

Kartu didėja ir kibernetinių incidentų poveikis.

AVEDUS projektuoja, diegia ir prižiūri viešojo sektoriaus organizacijoms skirtus kibernetinio saugumo sprendimus, padedančius apsaugoti tinklus, vartotojų identitetus, duomenis ir kritines informacines sistemas bei užtikrinti organizacijos pasirengimą kibernetiniams incidentams.

Viešojo sektoriaus kibernetinis saugumas

Viešojo sektoriaus organizacijų infrastruktūra dažnai yra sudėtinga ir nevienalytė.

Joje gali veikti:

• vidinės informacinės sistemos;

• viešai prieinamos elektroninės paslaugos;

• darbuotojų darbo vietos;

• duomenų bazės;

• tinklo infrastruktūra;

• debesijos paslaugos;

• savitarnos portalai;

• mobiliosios aplikacijos;

• trečiųjų šalių sistemos;

• kritinės ar specializuotos informacinės sistemos.

Tokioje aplinkoje vienos saugumo technologijos nepakanka.

Reikalinga daugiasluoksnė apsauga, apimanti tinklą, vartotojus, įrenginius, aplikacijas, duomenis ir nuolatinę saugumo stebėseną.

Kritinių informacinių sistemų apsauga

Viešojo sektoriaus organizacijos dažnai administruoja sistemas, kurių veiklos sutrikimas gali tiesiogiai paveikti gyventojams ar kitoms institucijoms teikiamas paslaugas.

Todėl svarbu nustatyti:

Kurios sistemos yra kritinės?

Nuo kokios infrastruktūros jos priklauso?

Kas turi prieigą prie jų?

Kokios būtų jų veiklos sutrikimo pasekmės?

Kaip greitai jas reikia atkurti?

Pagal sistemos kritiškumą turi būti parenkamos tinkamos techninės ir organizacinės saugumo priemonės.

Tinklo saugumas

Viešojo sektoriaus tinklo infrastruktūra turi būti apsaugota nuo išorinių ir vidinių kibernetinių grėsmių.

Tinklo saugumo priemonės gali apimti:

• naujos kartos ugniasienes;

• tinklo segmentavimą;

• IDS/IPS;

• saugų nuotolinį prisijungimą;

• VPN ir ZTNA;

• tinklo prieigos kontrolę;

• DNS saugumą;

• DDoS apsaugą;

• centralizuotą tinklo įrangos valdymą.

Segmentavimas padeda atskirti vartotojų, serverių, administravimo, svečių ir kitus tinklo segmentus bei apriboti galimą atakos plitimą.

Identiteto ir prieigos valdymas

Vartotojo tapatybė yra vienas svarbiausių šiuolaikinės kibernetinio saugumo architektūros elementų.

Kompromituota darbuotojo ar administratoriaus paskyra gali suteikti užpuolikui prieigą prie vidinių sistemų ir jautrios informacijos.

Todėl svarbu taikyti:

• daugiafaktorę autentifikaciją (MFA);

• centralizuotą identiteto valdymą;

• Single Sign-On;

• privilegijuotų paskyrų valdymą;

• Least Privilege principą;

• periodinę prieigos teisių peržiūrą;

• trečiųjų šalių prieigos kontrolę.

Prieigos teisės turi būti suteikiamos pagal realų vartotojo poreikį ir laiku panaikinamos, kai jų nebereikia.

Privilegijuotų paskyrų apsauga

Administratorių paskyros turi plačiausias teises infrastruktūroje, todėl jų apsaugai turi būti skiriamas ypatingas dėmesys.

Priklausomai nuo infrastruktūros gali būti naudojamas PAM (Privileged Access Management), leidžiantis centralizuotai valdyti privilegijuotas prieigas.

Tai gali padėti:

• apsaugoti administratoriaus prisijungimo duomenis;

• riboti administravimo laiką;

• suteikti teises tik tada, kai jų reikia;

• registruoti administravimo sesijas;

• kontroliuoti išorinių rangovų prieigą;

• sumažinti nuolatinių administratoriaus teisių naudojimą.

Galinių įrenginių apsauga

Darbuotojų kompiuteriai yra vienas dažniausių pradinių kibernetinės atakos taškų.

Phishing ataka, kenkėjiškas failas ar pažeidžiama programinė įranga gali suteikti užpuolikui pradinę prieigą prie organizacijos infrastruktūros.

Todėl galinių įrenginių apsauga gali apimti:

• EDR;

• XDR;

• antivirusinę apsaugą;

• aplikacijų kontrolę;

• pažeidžiamumų valdymą;

• įrenginių kontrolę;

• saugumo politikų valdymą.

EDR/XDR leidžia ne tik blokuoti žinomą kenkėjišką programinę įrangą, bet ir aptikti įtartiną elgseną bei sudėtingesnius atakos scenarijus.

Elektroninio pašto apsauga

Elektroninis paštas išlieka vienu pagrindinių kibernetinių atakų kanalų.

Phishing, kenkėjiškos nuorodos, suklastoti siuntėjai ir užkrėsti priedai gali būti naudojami vartotojų prisijungimo duomenims pavogti arba kenkėjiškai programinei įrangai įdiegti.

Todėl elektroninio pašto apsauga gali apimti:

• šlamšto ir phishing filtravimą;

• kenkėjiškų failų analizę;

• URL tikrinimą;

• siuntėjo autentiškumo kontrolę;

• pažangią grėsmių analizę;

• integraciją su SIEM ir SOC/MDR.

Techninės priemonės turėtų būti derinamos su darbuotojų kibernetinio saugumo mokymais.

Viešų interneto paslaugų apsauga

Viešojo sektoriaus organizacijos dažnai teikia gyventojams ir verslui elektronines paslaugas per interneto portalus ir savitarnos sistemas.

Tokios sistemos yra tiesiogiai pasiekiamos iš interneto ir gali tapti kibernetinių atakų taikiniu.

Jų apsauga gali apimti:

• WAF;

• API Security;

• DDoS apsaugą;

• Bot Management;

• pažeidžiamumų vertinimą;

• įsilaužimų testavimą;

• MFA administravimo prieigai;

• nuolatinį saugumo stebėjimą.

DDoS apsauga

Viešosios elektroninės paslaugos turi būti pasiekiamos net ir kibernetinės atakos metu.

DDoS atakos gali būti naudojamos siekiant sutrikdyti interneto svetainių, savitarnos portalų ar kitų elektroninių paslaugų veikimą.

Priklausomai nuo infrastruktūros gali būti naudojama:

• tinklo lygmens DDoS apsauga;

• debesijos srauto valymas;

• aplikacijų lygmens apsauga;

• WAF;

• Bot Management.

Kritinėms paslaugoms DDoS apsauga turi būti vertinama kaip bendros veiklos tęstinumo architektūros dalis.

Duomenų apsauga

Viešajame sektoriuje saugoma daug jautrios informacijos – gyventojų duomenys, administracinė informacija, dokumentai ir kitų institucijų perduodami duomenys.

Todėl svarbu užtikrinti jų:

Konfidencialumą

Vientisumą

Prieinamumą

Duomenų apsauga gali apimti:

• prieigos kontrolę;

• MFA;

• duomenų šifravimą;

• DLP;

• duomenų klasifikavimą;

• atsargines kopijas;

• saugumo įvykių stebėjimą;

• privilegijuotų paskyrų kontrolę.

Pažeidžiamumų valdymas

Viešojo sektoriaus infrastruktūra nuolat keičiasi, o naudojamoje programinėje įrangoje reguliariai aptinkama naujų saugumo spragų.

Todėl svarbu periodiškai:

• skenuoti IT infrastruktūrą;

• identifikuoti pažeidžiamumus;

• įvertinti jų realią riziką;

• prioritetizuoti šalinimą;

• diegti atnaujinimus;

• patikrinti, ar kritinės spragos išspręstos.

Pažeidžiamumų valdymas turi būti nuolatinis procesas, o ne vienkartinis patikrinimas.

Įsilaužimų testavimas

Automatinis pažeidžiamumų skenavimas ne visada parodo realų infrastruktūros atsparumą.

Įsilaužimų testavimo metu kontroliuojamomis sąlygomis tikrinama, ar nustatytomis saugumo spragomis galima praktiškai pasinaudoti.

Testavimas gali apimti:

• išorinę infrastruktūrą;

• vidinį tinklą;

• interneto aplikacijas;

• API;

• belaidį tinklą;

• kitus sutartus infrastruktūros komponentus.

Tai leidžia nustatyti realius atakos kelius ir prioritetizuoti svarbiausias rizikas.

SIEM ir saugumo analitika

Skirtingos viešojo sektoriaus sistemos generuoja didelį kiekį saugumo įvykių.

SIEM leidžia centralizuotai rinkti ir analizuoti informaciją iš:

• ugniasienių;

• serverių;

• EDR/XDR;

• Active Directory;

• VPN;

• aplikacijų;

• debesijos paslaugų;

• kitų saugumo šaltinių.

Koreliuojant skirtingus įvykius galima greičiau aptikti vartotojų paskyrų kompromitavimą, privilegijų eskalavimą, neįprastą tinklo veiklą ir kitus atakos scenarijus.

SOC/MDR

Saugumo technologijos generuoja įspėjimus, tačiau juos reikia nuolat analizuoti.

SOC/MDR gali padėti užtikrinti:

• nuolatinę saugumo įvykių stebėseną;

• grėsmių analizę;

• incidentų identifikavimą;

• įspėjimų prioritetizavimą;

• grėsmių paiešką;

• reagavimo proceso inicijavimą.

Tai padeda sutrumpinti laiką tarp kibernetinės atakos pradžios ir jos aptikimo.

Reagavimas į incidentus

Kibernetinis incidentas viešajame sektoriuje gali sutrikdyti svarbių paslaugų teikimą ir paveikti didelį vartotojų skaičių.

Todėl reagavimo procesas turi būti parengtas iš anksto.

Svarbu nustatyti:

Kas atsakingas už incidento valdymą?

Kaip vertinamas incidento kritiškumas?

Kokias sistemas galima izoliuoti?

Kaip išsaugomi tyrimui reikalingi duomenys?

Kaip atkuriamos paslaugos?

Kaip komunikuojama incidento metu?

Reguliariai testuojamas incidentų valdymo planas padeda sumažinti klaidų tikimybę realios atakos metu.

Atsarginės kopijos ir veiklos tęstinumas

Kibernetinis atsparumas reiškia ne tik gebėjimą sustabdyti ataką, bet ir galimybę greitai atkurti veiklą.

Atsarginių kopijų strategija gali apimti:

• kelias duomenų kopijas;

• atskiras saugojimo vietas;

• nekintamas kopijas;

• offline ar izoliuotas kopijas;

• kopijų šifravimą;

• MFA administravimo prieigai;

• periodinius atkūrimo testus.

Svarbu iš anksto nustatyti, kurios sistemos turi būti atkurtos pirmiausia ir per kokį laiką.

Ransomware atsparumas

Ransomware gali paveikti ne tik darbuotojų kompiuterius, bet ir serverius, autentifikavimo infrastruktūrą, failų saugyklas bei atsargines kopijas.

Todėl apsauga turi būti daugiasluoksnė:

MFA → EDR/XDR → Segmentavimas → PAM → Pažeidžiamumų valdymas → SIEM/SOC → Izoliuotos atsarginės kopijos → Incidentų valdymas.

Tikslas – neleisti vieno įrenginio kompromitavimui išplisti į visą organizaciją.

Debesijos saugumas

Viešojo sektoriaus organizacijos vis dažniau naudoja debesijos ir SaaS paslaugas.

Debesijos aplinkoje svarbu užtikrinti:

• saugų identiteto valdymą;

• MFA;

• tinkamas prieigos teises;

• saugias konfigūracijas;

• duomenų apsaugą;

• saugumo įvykių rinkimą;

• atsargines kopijas;

• incidentų stebėseną.

Debesijos paslaugos turi būti integruotos į bendrą organizacijos kibernetinio saugumo architektūrą.

Zero Trust viešajame sektoriuje

Tradicinis modelis, kai vartotojas laikomas patikimu vien todėl, kad yra vidiniame organizacijos tinkle, nebeatitinka šiuolaikinės infrastruktūros.

Zero Trust principai leidžia prieigą vertinti pagal:

vartotojo tapatybę;

naudojamą įrenginį;

įrenginio saugumo būklę;

prašomą sistemą;

vartotojo teises;

prisijungimo riziką.

Tai padeda sumažinti kompromituotos paskyros ar įrenginio poveikį.

Trečiųjų šalių prieigos ir tiekimo grandinės saugumas

Viešojo sektoriaus organizacijos dažnai naudojasi išorinių IT tiekėjų, sistemų integratorių, programinės įrangos gamintojų ir priežiūros partnerių paslaugomis.

Todėl svarbu kontroliuoti:

• kas turi prieigą prie infrastruktūros;

• kokios teisės suteiktos;

• ar naudojama MFA;

• kiek laiko galioja prieiga;

• kokios sistemos pasiekiamos;

• kaip registruojami administravimo veiksmai;

• kada prieiga turi būti panaikinta.

Trečiųjų šalių prieiga neturėtų tapti silpniausia organizacijos saugumo grandimi.

Kodėl AVEDUS?

Kompleksinis požiūris

Viešojo sektoriaus infrastruktūrą vertiname kaip vientisą tinklo, vartotojų, serverių, aplikacijų, duomenų ir saugumo stebėjimo ekosistemą.

Nuo prevencijos iki reagavimo

Galime apjungti tinklo saugumą, EDR/XDR, identiteto apsaugą, SIEM, SOC/MDR, pažeidžiamumų vertinimą ir reagavimą į incidentus.

NIS2 kontekstas

Techninius saugumo sprendimus galime projektuoti kaip platesnio organizacijos kibernetinio atsparumo ir NIS2 pasirengimo dalį.

Zero Trust ir prieigos kontrolė

Padedame įgyvendinti MFA, ZTNA, PAM, NAC ir kitus modernios prieigos kontrolės principus.

Nuo vertinimo iki priežiūros

AVEDUS gali įvertinti esamą infrastruktūrą, suprojektuoti tikslinę saugumo architektūrą, įdiegti reikalingus sprendimus ir užtikrinti jų tolesnę priežiūrą.

NIS2 ir viešasis sektorius

Viešojo administravimo ir kitoms viešojo sektoriaus organizacijoms gali būti aktualūs sustiprinti kibernetinio saugumo ir rizikų valdymo reikalavimai.

Svarbios sritys apima:

• kibernetinių rizikų valdymą;

• incidentų valdymą;

• veiklos tęstinumą;

• tiekimo grandinės saugumą;

• pažeidžiamumų valdymą;

• prieigos kontrolę;

• MFA;

• saugumo stebėjimą;

• darbuotojų kibernetinio saugumo kompetencijas.

Todėl NIS2 pasirengimas neturėtų būti vertinamas tik kaip dokumentacijos projektas.

Svarbiausia – realiai veikiančios techninės ir organizacinės saugumo priemonės.

Kibernetinio saugumo architektūra viešajam sektoriui

Efektyvus saugumas nėra atskirų produktų rinkinys. Jį sudaro tarpusavyje susiję apsaugos sluoksniai:

Identitetas ir MFA → Tinklo segmentavimas → Endpoint ir serverių apsauga → Aplikacijų apsauga → Duomenų apsauga → SIEM/SOC → Incidentų valdymas → Atsarginės kopijos ir atkūrimas.

Tokia architektūra padeda ne tik mažinti kibernetinių incidentų tikimybę, bet ir užtikrinti, kad organizacija būtų pasirengusi veikti jiems įvykus.