Šiuolaikinis verslas kaip niekada priklauso nuo skaitmeninių sistemų, nepertraukiamo interneto ryšio ir elektros tiekimo. Kuo daugiau procesų perkeliama į debesiją ar automatizuojama, tuo aktualesnis tampa klausimas – kas nutiktų, jei kritiniai ištekliai staiga taptų neprieinami?
Ryšio sutrikimas, kibernetinė ataka ar infrastruktūros gedimas gali sustabdyti įmonės veiklą per kelias minutes. Todėl ekspertai ragina verslą jau šiandien turėti aiškų planą „Dienai X“ – akimirkai, kai kritinės sistemos staiga nustoja veikti.
Nacionalinis kibernetinio saugumo centras (NKSC) prie Krašto apsaugos ministerijos atkreipia dėmesį, kad pastaruoju metu sparčiai daugėja registruojamų programinės įrangos pažeidžiamumų, o tobulėjantys dirbtinio intelekto sprendimai leidžia juos vis greičiau surasti ir automatizuotai išnaudoti.
NKSC pataria nuolat stebėti infrastruktūrą, valdyti pažeidžiamas vietas ir užtikrinti greitą reagavimą. Tarp praktinių rekomendacijų – žinoti ir nuolat atnaujinti naudojamų sistemų bei internetu pasiekiamų išteklių sąrašą, laiku diegti saugumo atnaujinimus, atsisakyti nebepalaikomos programinės įrangos, vertinti tiekimo grandinės rizikas, naudoti stiprią autentifikaciją ir daugiaveiksnį autentifikavimą (MFA), atlikti įsilaužimų testavimą.
Atsparus verslas prasideda nuo plano
„Diena X“ nebūtinai reiškia karinį scenarijų ar sudėtingą kibernetinę ataką. Verslo veiklą gali sutrikdyti elektros tiekimo problema, nutrūkęs interneto ryšys, debesijos paslaugos sutrikimas, kompromituota paskyra, tiekėjo problema ar kritinės sistemos gedimas.
Anot IT sprendimų bendrovės „Heximus“ IT vystymo vadovo Tado Burbos, tokiu atveju svarbu tiksliai žinoti ne tik, ką reikia apsaugoti, bet ir ką daryti, kai apsauga nesuveikia. Veiklos tęstinumo planas neturėtų būti dokumentas, kurį įmonė prisimena tik įvykus incidentui.
„Pirmiausia reikia nustatyti pagrindines rizikas ir tai, kas įmonei yra kritiškai svarbu. Tuomet reikėtų numatyti alternatyvias sistemų lokacijas, atsarginius ryšio kanalus ir tai, kaip sistemos būtų atkuriamos sutrikus pagrindinei infrastruktūrai. Taip pat svarbu suprasti, kokiomis sąlygomis verslas galėtų tęsti veiklą, o kokiomis – jau nebe“, – sako T. Burba.
Pasak jo, panaši logika galioja ir ryšiui. Norint greitai atkurti veiklą, įmonei nepakanka remtis vienu interneto tiekėju ar vienu infrastruktūros tašku. Atsarginiai ryšio sprendimai, skirtingos lokacijos ir infrastruktūros dubliavimas gali padėti išlaikyti veiklą, kai įprasti kanalai nebeveikia.
Atsarginė kopija dar nereiškia, kad verslas pasirengęs
Viena dažniausių klaidų – manyti, kad atsparumui pakanka turėti atsargines duomenų kopijas. Tačiau turėti kopiją ir būti įsitikinusiam, kad iš jos galima atkurti veiklą, yra du skirtingi dalykai.
NKSC rekomenduoja atsargines kopijas ne tik reguliariai kurti, bet ir tikrinti. Verslui tai reiškia dar vieną praktinį klausimą: kiek laiko užtruktų atkurti kritines sistemas, jei pagrindinė IT aplinka taptų neprieinama?
Šį klausimą verta susieti ir su RTO (Recovery Time Objective) – atkūrimo laiko tikslu. Jei įmonė nėra nusistačiusi, per kiek laiko turi būti atkurtos skirtingos sistemos, krizės metu prioritetai gali būti nustatomi per vėlai arba neteisingai.
„Greitai atsistatančios įmonės iš anksto turi automatizuotą ir reguliariai testuojamą sistemų atkūrimo procesą bei aiškiai apibrėžtus atkūrimo laiko tikslus. Nepasiruošusios organizacijos krizės metu susiduria su „priklausomybių chaosu“ – viena neveikianti sistema blokuoja kitą, o atkūrimas vykdomas klaidinga tvarka“, – teigia NOD Baltic vyresnysis kibernetinio saugumo inžinierius ir ESET ekspertas Ramūnas Liubertas.
Krizėje svarbios ne tik technologijos
Ekspertas pabrėžia, kad veiklos tęstinumas nėra vien IT skyriaus užduotis. Krizės metu svarbu ne tik technologijos, bet ir žmonės, sprendimų priėmimas bei procesai.
„Iš tiesų atspari įmonė yra ta, kurios gebėjimas išgyventi krizę remiasi ne tik technologijomis, bet ir žmonių, procesų bei sprendimų priėmimo sinergija. Vien atsarginių technologinių priemonių nepakanka – be aiškių procedūrų ir pasiruošusių darbuotojų net moderniausios sistemos krizės metu gali tapti nenaudingos. Galiausiai, stipri organizacija sugeba ne tik atlaikyti smūgį, bet ir išnaudoti sukrėtimus kaip galimybę transformuotis bei sustiprėti“, – sako R. Liubertas.
Dar viena dažnai pamirštama rizika – priklausomybė nuo kitų organizacijų. Įmonė gali turėti atsarginę savo sistemą, tačiau jos veikla vis tiek gali sustoti, jei kritinė paslauga priklauso nuo vieno tiekėjo, jo subrangovo, konkretaus duomenų centro ar ryšio mazgo.
Tai reiškia, kad įmonėms verta įvertinti ne tik savo sistemas, bet ir visą kritinių priklausomybių grandinę: nuo interneto ir debesijos iki mokėjimų, tiekėjų, darbuotojų bei komunikacijos kanalų.
„Išankstinis pasiruošimas darbui neįprastomis sąlygomis yra vienas svarbiausių veiksnių. Krizės metu nebebus laiko kurti naujų veiklos modelių. Alternatyvūs komunikacijos kanalai, nuotolinės prieigos, funkcijų dubliavimas ir reguliarios scenarijų simuliacijos leidžia komandai veikti nepanikuojant“, – pridėjo ekspertas.
Pasirengimas veiklos sutrikimams
Ekspertas T. Burba pabrėžia, kad daugumai verslo įmonių didžiausias praktinis iššūkis – ne pati sutrikimo priežastis, o jo padariniai: elektros dingimas, ryšio nutrūkimas ar duomenų prieinamumo praradimas. Jo teigimu, verslui verta iš anksto pasirūpinti keliais dalykais:
● Duomenų atsarginėmis kopijomis debesijoje – kad sutrikus vietinei IT infrastruktūrai ar elektros tiekimui, duomenys liktų pasiekiami iš kito, geografiškai nutolusio duomenų centro.
● Nepertraukiamo maitinimo šaltiniais (UPS) – bent trumpam laikui, kol įsijungia generatorius arba kol darbuotojai saugiai išjungia sistemas.
● Nuotolinio darbo infrastruktūra – biurui tapus neprieinamam, darbuotojai galėtų saugiai prisijungti prie įmonės sistemų iš bet kurios vietos su interneto ryšiu.
● Aiškiu veiklos tęstinumo planu – iš anksto apibrėžta, kas atsakingas už kokį veiksmą sutrikimo atveju ir kaip informacija perduodama, jei įprasti ryšio kanalai neveikia.
● Alternatyviu interneto ryšiu – pavyzdžiui, mobiliojo ryšio ar palydovinio interneto sprendimu kaip atsarginiu kanalu, jei pagrindinis ryšys sutriktų.
„Popieriuje lengva užfiksuoti, kad turėsime geografiškai atskirą atsarginę infrastruktūrą ir viskas bus suplanuota, tačiau paskaičiavus realią kainą dažnai imamasi taupyti ir dalies sprendimų atsisakoma. Tokiu atveju veiklos tęstinumo planas gali likti tik popieriuje, o realybėje neveikti taip, kaip buvo numatyta“, – teigia T. Burba.
„Diena X“ parodo, kiek įmonė yra pasiruošusi veikti neįprastomis sąlygomis. Iš anksto įvertintos kritinės sistemos, aiškios atsakomybės ir išbandyti veiklos tęstinumo sprendimai padeda sutrikimo atveju greičiau atkurti svarbiausius procesus ir išlaikyti įmonės veiklą.
About the Author
