Darbs no mājām. Kiberdrošība šodien iegūst jaunu nozīmi

Pavasarī piedzīvotais elpceļu vīrusa Covid-19 uzliesmojums Latvijā un pasaulē daudziem darba devējiem ir licis pārskatīt savus ierastos paradumus un kārtību, kāda tiek nodrošināta darba izpilde uzņēmumos. Rezultātā sabiedrībā un profesionālajā vidē arvien vairāk tiek aktualizētas attālinātā darba iespējas. Šī jaunā - attālinātā - darba kārtība no vienas puses ir komforts un labsajūta darbiniekiem, bet no otras puses sagādā rūpes uzņēmumu vadītājiem par dažādiem iespējamiem riskiem, kas saistīti ar uzņēmuma rīcībā esošās informācijas drošību kiberuzbrukuma gadījumā.

“Nevajadzētu uzskatīt, ka kiberuzbrukumi tagad notiks daudz biežāk, nekā tas bija agrāk. Arī iepriekš tie bija pietiekami bieža un intensīva parādība. Tomēr jāsaprot, ka daudzas darba vietas pārceļ darba vidi uz mājām, un no uzbrucēju viedokļa tā ir interesanta iespēja, ko pārbaudīt. Ja agrāk darbinieks 8 stundas dienā pavadīja puslīdz drošā tīklā, ko nodrošināja darba devējs, tad tagad daudz vairāk laika tiek pavadīts, strādājot privātajā tīklā, kur drošības līmeņi var būt krietni zemāki,” par galveno izaicinājumu kiberdrošības sakarā šodien stāsta CERT.LV eksperts Andrejs Konstantinovs.

Arī kiberdrošības eksperts Gints Mālkalnietis uzsver, ka pareizi un droši sagatavota attālinātā darba procedūra, kurā ir atrunātas ne tikai iesaistīto pušu atbildība un rīcība, bet arī sagatavots drošs pieslēgums, ir fundamentāli svarīgi. Jo īpaši – valsts institūcijām, ja to darbiniekiem tiek dota attālināta piekļuve organizācijas resursiem, t.sk. Latvijas iedzīvotāju datiem. 

“Valsts institūcijām jau ar likumu ir noteiktas minimālās prasības, kas jāievēro, sagatavojot IT infrastruktūru un nodrošinot attālināto piekļuvi institūciju rīcībā esošajiem datiem. CERT.LV kopš marta pastiprināti strādā ar valsts institūcijām tieši šajā jautājumā, jo skaidrs, ka tas ir liels izaicinājums un institūciju, kā arī to darbinieku, gatavības pārbaude. Turklāt jāsaprot, ka šādas izmaiņas ieviest ātri visbiežāk nav iespējams, un process var aizņemt pat vairākus gadus, līdz darbinieki spēj pilnvērtīgi un droši strādāt no mājām. Tās ir arī zināmas investīcijas,” apgalvo Gints Mālkalnietis.

Konstantinovs savukārt norāda uz lietām, kurām primāri ir jāpievērš uzmanība gan no darbinieku, gan institūciju vai uzņēmumu vadītāju perspektīvas.

“Pirmkārt, ir mājasdarbi, kas obligāti jāpaveic jau darbinieka līmenī. Gan klātienes, gan attālinātajā darbā vienmēr ir jārūpējas, lai tiktu izmantotas atjaunotas operētājsistēmas un atjaunoti interneta pārlūki. Joprojām pārsteidzoši liela daļa cilvēku strādā ar Windows 7 un Windows 8 operētājsistēmām, kurām ražotājs vairs nenodrošina drošības atjauninājumus. Rezultātā – ierīces, kas strādā ar novecojušām sistēmām, ir vairāk pakļautas drošības riskiem. Tāpat papildu šim kritērijam, darba datorus nepieciešams aprīkot ar drošām parolēm un drošu interneta pieslēgumu,” skaidro Konstantinovs.

Uzņēmumiem un institūcijām ir iespēja izmantot VPN pieslēgumu, kas ir kā tunelis, kas savieno darba datoru ar organizācijas tīklu. Šādā gadījumā pieslēgums ir drošs neatkarīgi no vietas, kur darbinieks ir pieslēdzies, jo datu plūsma ir šifrēta.

“Svarīgs aspekts ir pieslēgšanās iespējas pašam datoram, kur šis process ir jāpadara pietiekami drošs, lai iekārtai un tajā izvietotajai informācijai nevar piekļūt personas, uz kurām tas neattiecas. Profesionālajā vidē papildu drošām autorizācijas parolēm, pieslēdzoties lietotāja kontam datorā, tiek izmantotas arī fiziskās atslēgas. Tās ir ierīces, kas var būt zibatmiņas vai ID kartes formātā un kas pieslēgšanās laikā ir jāievieto USB portā vai kartes lasītājā. Rezultātā fiziskajai ierīcei var piekļūt tikai vienlaicīgi izmantojot fizisko atslēgu un lietotāja paroli,” stāsta Konstantinovs.

No kiberdrošības viedokļa tas nodrošina, ka potenciālais uzbrucējs attālināti nevarēs iekļūt datorā un nozagt tajā uzglabāto informāciju. Šī sistēma ir droša praktiski pret visu veidu uzbrukumiem, pat gadījumos, ja no datora tiek apmeklēta kāda nedroša mājaslapa, kurā kāds ļaunprātis izvietojis pikšķerēšanas programmatūru.

“Neviena ļaunatūra, kurā ar viltu tiek pieprasīta cilvēka datu ievade, nespēj attālināti nolasīt fiziskās atslēgas, kas tiek aizsargātas ar kriptogrāfiskiem algoritmiem. Rezultātā, ja cilvēks ir ievadījis, piemēram, e-pastu un paroli pikšķerēšanas mājaslapā, bet viņam ir bijusi aktivizēta fiziskā atslēga, viņš nezaudēs kontroli par savu e-pastu un nepakļaus riskam datoru, no kura šī darbība ir veikta,” papildina Konstantinovs.

Gints Mālkalnietis norāda, ka šīs sistēmas ir īpaši noderīgas uzņēmumiem un institūcijām, kuru rīcībā ir liels datu apjoms un liels darbinieku skaits, piemēram, telekomunikāciju uzņēmumiem, valsts iestādēm, kredītbirojiem, finanšu iestādēm u.c. Tomēr eksperts uzsver, ka pats svarīgākais aspekts, kas ir visas drošības ķēdes sākumpunktā, ir pašu cilvēku kritiski izvērtēta un atbildīga rīcība. Ir stingri jānodala interneta un darba datora izmantošana darba nolūkos no privātajiem nolūkiem, kā arī jāseko līdzi savai rīcībai.

Efektīvi kiberdrošības pasākumi ne vien aizsargās pašu lietotāju privātajā un darba vidē, bet arī novērsīs plašāku apdraudējumu izplatību. CERT.LV nupat – 14. septembrī – aizsākusi izglītojošo kampaņu “Kiberdrošība darbavietā”. Kampaņas pamatvēstījums ir vienkāršs: aktualizēt drošus interneta lietošanas pamatprincipus ikviena cilvēka darbavietā, veicināt sabiedrības izpratni par kiberdrošību un iespējamiem riskiem, kā arī parūpēties par kritiskās domāšanas un uzticības saišu proporcionālu līdzsvaru internetā.

Lai nesaskartos ar “parolīzes” sekām, nekļūtu par “spaidoni” un neciestu no “muļķerēšanas”, kampaņas organizētāji aicina kritiski izvērtēt visu internetā sastopamo informāciju!

Vairāk par kampaņu un tās laikā plānotajām aktivitātēm tīmekļvietnē – www.parolize.lv. Šajā vietnē atradīsiet arī droša interneta skolu jeb digitālo rokasgrāmatu, kur interaktīvā veidā katrs lietotājs var iepazīties ar kiberdrošības pamatlietām, aizpildot testus un pārbaudot savas zināšanas praksē.

CERT.LV - Informācijas tehnoloģiju drošības incidentu novēršanas institūcija Latvijā, dibināta 2006.gadā, ir „Latvijas Universitātes Matemātikas un informātikas institūta” (LU MII) struktūrvienība, kas darbojas Latvijas Republikas Aizsardzības ministrijas pakļautībā IT drošības likuma ietvaros. CERT.LV misija ir veicināt informācijas tehnoloģiju drošību Latvijā.

Kopš 2018.gada CERT.LV ir atbildīga par projekta „Latvijas kiberdrošības spēju uzlabošana” (INEA/CEF/ICT/A2017/1528784) īstenošanu Latvijā. Projekts tiek līdzfinansēts no Eiropas Savienības Eiropas infrastruktūras savienošanas instrumenta.