Autor: Kadri Tamm, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit • 20. aprill 2022

Küberrünnakud: halvimat on võimalik ennetada

Käsikäes digitaliseerimisega tuleks igal ettevõttel läbi mõelda, mis juhtub, kui ettevõtet tabab küberintsident. Üks haavatavamaid gruppe on keskmise suurusega ettevõtted, kelle digitaliseerimise strateegia ei ole piisavalt läbi mõeldud.

SK ID Solution juhatuse esimees ning Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu (ITL) infoturbe nõukoja juht Kalev Pihl.

Foto: Kalev Lilleorg

SK ID Solution juhatuse esimees ning Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu (ITL) infoturbe nõukoja juht Kalev Pihl räägib, et väikeettevõte võtab kasutusse pigem standardse toote, mida keegi turul teenusena pakub ja ka hooldab. Nii ei defineeri väikeettevõte ise oma turvariske, vaid saab regulaarseid teenuseuuendusi, millega riskid maandatakse. Päris suurtel ettevõtetel on omaette meeskond, kes küberturbe riskidega tegeleb. Vahepeale jäävad aga keskmise suurusega ettevõtted, kes võtavad kasutusse tarkvaralisi erilahendusi, kuid kellel ressurssi küberturbega tegelemiseks napib.

Ka Cybernetica küberturvalisuse osakonna juht Sander Valvas tõdeb, et keskmise suurusega ettevõtted sõltuvad infotehnoloogilistest lahendustest selgelt rohkem kui väikesed. „Näeme, et nende ettevõtete IT-meeskonnad on sageli alarahastatud või ülekoormatud ning süsteemselt teemaga tegelemiseks jääb aega väheseks.“

Cybernetica küberturvalisuse osakonna juht Sander Valvas.

Pihla sõnutsi tekivad turvaaugud kõige sagedamini siis, kui süsteemile tehakse ühekordne arendus või kohandus ning unustatakse see sinna sellisena mitmeks aastaks: „Kui miljonilist tootmisseadet täiendatakse uue võlliga, siis hoolitsetakse, et see võll saaks hooldatud ning mingi aja pärast välja vahetatud. Sama mõttelaad peaks toimima IT-arenduste juures: kui teen mingi muganduse, siis see aegub mingi aja jooksul ja selleks, et äritegevus seisma ei jääks, tuleks seda mugandust regulaarselt uuendada. Arendused ei ole praktiliselt kunagi ühekordsed – igal tootel on oma elutsükkel ning iga asi vajab hoolt.“

Tihti tehakse Valvase sõnul süsteemiuuendus mitme osapoole poolt: serverid, andmebaasid, rakendus ise, selle installeerimine ja haldamine võivad olla eri teenusepakkujate käes. „Kõiki neid tuleb aga vaadata komplekssena koos. See tähendab, et tarkvaraarenduse juurde on vaja planeerida ettevõtte sisemist ressurssi enam, sageli aga jääb ettevõtte poolset projektijuhtimist ja kontrolli väheks. Samuti ei mõelda turvatestimiste peale ja pannakse süsteem lihtsalt püsti.“

Küberturvalisuse hea tava

Igasuguse teenuse turul eksisteerib erineva kogemuse ja profiiliga tegijaid ning tellijal ongi tihtilugu keeruline aru saada, kes mõtleb küberturbega seotud teemad läbi ja kes mitte. „Tegelikult peaks tellija ise nõudma, et süsteem oleks ehitatud turvaliselt ja läbimõeldult. Probleem on selles, et tellija ei oska seda küsida – nad lihtsalt ei tea, mida nõuda,“ räägib Valvas.

Pihla sõnul oleks turule vaja tasakaalustatud dialoogi: „Klient peaks tähelepanu pöörama elementaarsetele turvanõuetele ja need arendajaga läbi rääkima. Teistpidi peaks arendaja olema valmis võtma vastutuse selle eest, mida ta ehitab,“ selgitab Pihl.

Üks võimalus veenduda teenusepakkuja võimekuses on tutvuda ettevõtte senise portfelliga – millega nad on tegelenud, milliseid süsteeme ehitanud ja kuidas need töötanud on. Samuti saab kasutada kolmandat osapoolt, kes aitab hinnata tehtud töö turvalisust ja juhtida tähelepanu vajalikele turvalisusnõuetele. ITL-il on valmimas ka küberturvalisuse hea tava, mis peaks defineerima, mida arenduse mõttes turvaline tarkvara tähendab ja mis peaks kliendil aitama teemast paremini aru saada.

„Tänaseni on mõlemad osapooled pigem töötanud selle põhimõtte alusel, et lahendame ühe probleemi ära ja läheme edasi. See ei tööta enam tänases päevas,“ tõdeb Pihl. Tema sõnul võimaldaks küberturvalisuse hea tava tellijale selgitada küberturvalisusega seotud nüansse, millega peab arvestama ja tegelema, teisalt lepinguliselt kokku leppida, mille eest klient maksab – kui ettevõte tellib tarkvaraarenduse, võtab arendaja lepingulise kohustuse jälgida seal kirjas olevaid punkte. „Arendaja peab olema teadlik infoturbe riskidest, oma toodet selles osas testima ning tegema alati pingutuse, et toode oleks võimalikult ohutu.“ Nii on küberturvalisuse hea tava justkui kvaliteedimärk: klient saab olla kindel, et arenduses on elementaarsed turvariskid maandatud.

Toomas Vaks, Swedbank Groupi küberriskide juht

Näeme, et digitaliseerimise juures on selle riskid jäänud vaeslapse ossa – ettevõtete investeeringud küberturvalisusesse ja teadmised riskidest on pigem madalad. Sageli ei ole ettevõte ise võimeline süsteemide turvalisust hindama ja seeläbi tekib väga suur ettevõtlusrisk. Laoarvestuse andmete kadumine lunavararünde tõttu, tundliku äriinfo lekkimine või e-posti manipuleerinud petturite ohvriks langemine on vaid mõned näited. Olulise aspektina on nii ettevõtete digitaalne sõltuvus kui rünnete arv ajas kasvanud. Ründed on läinud ka palju keerukamaks ja tekitavad rohkem kahju. Tänases maailmas on arenenud maades pea 80% kogu majandusest ühel või teisel moel infotehnoloogiast sõltuv, olgu selleks tööstusautomaatika, targa põllumajanduse või logistika toimimine. Nii peaks iga ettevõte läbi mõtlema küberturvalisusega seotud riskid ning kaardistama, kui kiiresti on ettevõte võimeline taastama oma tegevuse, kui intsidendi tõttu lakkab töötamast infosüsteem ja andmed hävinevad või muutuvad kõlbmatuks. Kõige tüüpilisemad turvaaugud on vananenud tarkvara ja hooldamata IT-süsteemide kasutamine, andmete puudulik varundamine ja ebapädev teenusepakkuja.

Teadlik teemaga tegelemine

Tarkvara arendatakse sadade erinevate tegijate poolt tehtud komponentidest. Arendaja paneb tarkvaraarendusse oma parima teadmise, kuid ei saa vastutada selle eest, et süsteem püsib aastaid turvaline – kui tekib turvaviga ühte komponenti, muutub tarkvara haavatavaks. Selle vältimiseks tuleb tarkvara regulaarselt hooldada, testida ja uuendada.

„Kui ettevõttel endal ressurssi napib, soovitame sõlmida kas tarkvara arendaja või mõne välise partneriga süsteemi hooldamise ja testimise leping – nii on ettevõtte infosüsteemid kaitstud ning välditakse suuremaid probleeme,“ sõnab Valvas.