Küberturvalisus ja avaliku sektori tehnoloogiariskid

Miks see avaliku väärtuse jaoks oluline on

Kui ründaja krüpteerib haigla süsteemid, ei näe kliinikud ravimiajalugu, kiirabiautod suunatakse mujale ja operatsioonid tühistatakse. Kui veeettevõtte juhtimissüsteemid on ohustatud, ei ole kaalul avalik väärtus serveri seisak, vaid joogivee ohutus. Kui toetusameti andmebaas satub rikkumise alla, on kõige enam eksponeeritud sageli inimesed, kes on kõige vähem võimelised tagajärgi absorbeerima: hilinenud makse, varastatud identiteet, perekond, kes ei suuda tõestada, kes ta on riigile, kes talle toetust võlgneb. Arvutiturve, mida nimetatakse üldlevinud kujul küberturvalisuseks, on praktika arvutisüsteemide, võrkude ja andmete kaitsmiseks loata juurdepääsu, häirimise või kahjustamise eest. Avalikes institutsioonides asub see praktika otse riigi ja kodaniku vahelisel teel, keda ta teenindab.

Seetõttu raamib see teema küberriski avaliku väärtuse küsimusena, mitte ainult tehnilisena. Legitiimsus ja toetus sõltuvad kodanike uskumusest, et institutsioone, mis hoiavad nende andmeid ja käitavad nende olulisi teenuseid, saab usaldada mõlema ohutuna hoidmisel (vt Teema 1.2 — Strateegiline kolmnurk: legitiimsus, väärtus ja suutlikkus). Üks hästi avalikustatud rikkumine võib sellele usaldusele püsivat kahju teha, samamoodi nagu valesti käsitletud hädaolukord, sest kodanikud hindavad institutsioone selle põhjal, kuidas nad rünnaku all käituvad, sama palju kui selle põhjal, kuidas nad päevast päeva toimivad (vt Teema 3.12 — Kriisi-, hädaolukorra- ja vastupidavuse juhtimine, mis käsitleb küberintsidente ühe kategooriana vastupidavuse laiemas distsipliinis). Küberturvalisus on lahutamatu ka andmejuhtimisest: institutsioon ei saa kaitsta seda, mida ta ei tea endal olevat, ja koostalitlusvõime ning avatus, mis loovad andmetest avalikku väärtust, laiendavad ka pinda, mida ründaja saab ära kasutada (vt Teema 5.4 — Andmed, koostalitlusvõime ja avaandmed avalikus sektoris).

Ressursseerimisprobleem on terav ja avaliku ning sotsiaalsektori jaoks spetsiifiline. Suurtel riiklikel asutustel on üha enam pühendatud turvameeskonnad ja ettevõtte eelarved; väikelinna veeamet, piirkondlik haiglausaldus ja kohalik mittetulundusühing, kes käitab perevägivalla varjupaika, tavaliselt neid ei oma, kuigi nad hoiavad andmeid, mille tundlikkus võrdub või ületab ükskõik millise panga oma. Ründajad teavad seda. Alaressursseeritud avalikud organid ei ole selle teema erandjuhtum; nad on selle keskme lähedal, sest tänane mediaan avalik institutsioon, mis selle riskiga silmitsi seisab, ei ole riiklik ministeerium, vaid väike kohalik omavalitsus, piirkondlik kommunaalettevõte või heategevusorganisatsioon käputäie infotehnoloogia töötajatega ja ilma turbespetsialistita üldse.

Lõpuks on see elav ja halvenev probleem, mitte hüpoteetiline. Lunavara kampaaniad sihivad üha enam kohalikke omavalitsusi, haiglaid, koole ja sotsiaalsektori organisatsioone just seetõttu, et nad ühendavad tundlikke andmeid, olulisi teenuseid, madalat seisakutaluvust ja suhteliselt nõrku kaitsemeetmeid – kombinatsioon, mis teeb nad tõenäolisemalt maksma ja vähem tõenäolisemalt rünnakut esmalt ennetanud. Küberturvalisuse käsitlemine spetsialisti lisana, mitte juhtimistaseme avaliku väärtuse kohustusena, on selle organisatsiooniklassi jaoks peaaegu kutse.

Põhimõisted

Kriitiline taristu on süsteemide ja varade kogum – energia, vesi, transport, tervishoid, rahandus, side –, mis on nii olulised, et nende töövõimetus või hävitamine avaldaks nõrgestavat mõju turvalisusele, majandusele või avalikule usaldusele. Kriitilise taristu kaitse on distsipliin nende süsteemide kaitsmiseks nii füüsiliste kui digitaalsete ohtude vastu; see loeb siin, sest paljud kõige tagajärgedega avaliku sektori küberintsidendid ei ole rünnakud abstraktsetele andmetele, vaid rünnakud tegevustehnoloogiale, mis hoiab füüsilist taristut töös, erinevalt infotehnoloogiast, mis hoiab kirjeid ja töötleb tehinguid.

Ohutegija on iga isik, rühm või riik, kes võib püüda süsteemi kompromiteerida; avalikus sektoris ulatuvad nad rahaliselt motiveeritud kuritegelikest rühmitustest riigi toetatud osalejateni, kes taotlevad spionaaži või häirimist, ja sama institutsioon võib seista silmitsi mõlemaga samal ajal väga erinevate eesmärkidega. Lunavara on pahatahtlik tarkvara, mis krüpteerib organisatsiooni andmed või süsteemid ja nõuab nende vabastamise eest maksmist; sellest on saanud avalike organite domineeriv oht just seetõttu, et olulised teenused ei talu pikaajalist seisakut, mis suurendab survet maksta. Andmepüük (phishing) on sotsiaalse manipuleerimise vorm, milles ründajad petavad töötajaid paljastama volitusi või installima pahavara, tavaliselt petliku e-kirja kaudu, ja see jääb kõige levinumaks viisiks, kuidas ründaja esmalt tugipunkti saab, sest see sihib inimesi, mitte tehnoloogiat.

Andmerikkumine on loata juurdepääs teabele, selle avalikustamine või kadumine, olgu see välise rünnaku, siseringi liikme või lihtsa inimliku vea kaudu, näiteks valesti seadistatud andmebaas, mis on internetile lahti jäetud. Tarneahela rünnak kompromiteerib organisatsiooni kaudselt, sihtides vähem turvalist tarnijat, tarkvaratarnijat või hallatud teenuse pakkujat, keda sihtorganisatsioon usaldab; need on avaliku sektori jaoks eriti ohtlikud, sest nii paljud avalikud organid jagavad sama käputäit tarkvaratarnijaid, mis tähendab, et üks tarnija kompromiteerimine võib laiali levida sadadesse institutsioonidesse samaaegselt.

Küberhügieen on rutiinsete praktikate kogum – tarkvara kiire paikamine, tugeva autentimise jõustamine, juurdepääsu piiramine selle üle, kes mida pääseb, andmete varundamine ja nende varukoopiate taastamise testimine –, mis ennetavad suurema osa edukatest rünnakutest ilma eksootiliste tööriistadeta. Enamik rikkumisi kasutab ära teadaolevaid paikamata haavatavusi või nõrku volitusi, mitte uudseid tehnikaid, nii et lõhe organisatsiooni tegeliku küberhügieeni ja selle väljendatud poliitika vahel on tavaliselt parem riski ennustaja kui ohtude keerukus, mille ta oma riskiregistris nimetab.

Nullusalduse arhitektuur (zero trust) on turbekavandi põhimõte, mis väidab, et ühtegi kasutajat ega seadet ei tohiks vaikimisi usaldada, isegi organisatsiooni enda võrgus, ja et iga juurdepääsutaotlus tuleb kontrollida olenemata sellest, kust see pärineb. See on muutunud avaliku sektori juhendis mõjukaks, sest see sobib sellega, kuidas kaasaegne valitsustöö tegelikult toimub – töötajad, töövõtjad ja kodanikud pääsevad teenustele juurde paljudelt seadmetelt ja asukohtadest –, paremini kui vanem mudel, mis usaldas kõike, mis oli juba perimeetri sees.

Arvutiturbe intsidentide haldus, tavaliselt nimetatud intsidendile reageerimiseks, on organiseeritud protsess turvaintsidendi tuvastamiseks, ohjeldamiseks, kõrvaldamiseks ja sellest taastumiseks, millele järgneb ülevaatus selle kohta, mis lasi sel juhtuda. Avalikustamiskohustus on õiguslik või regulatiivne kohustus teavitada mõjutatud isikuid, regulaatoreid või avalikkust, kui isikuandmed või olulised teenused on kompromiteeritud, kindla aja jooksul ja kindla standardi alusel, loogikaga, et kodanikel ja järelevalveorganitel on õigus teada, kui nende andmed või olulised teenused on ohtu seatud, ja et õigeaegne avalikustamine võimaldab inimestel end kaitsta.

Parimad tavad

1. Käsitlege küberturvalisust juhtorgani vastutusena, mitte delegeeritud tehnilise funktsioonina. Nõukogud, volikogud ja juhtkonnad peaksid saama regulaarseid, lihtsas keeles ülevaateid küberriski kohta ja kinnitama selle eelarve otse, selle asemel et jätta see läbi rääkida laiema infotehnoloogia eelarvereana sees, kus see on kõige lihtsam kärpida.
2. Inventeerige, mida te hoiate ja mis sellest sõltub, enne kui otsustate, kuidas seda kaitsta. Organisatsioon ei saa kaitsta andmeid ega süsteeme, mida ta pole kaardistanud; ajakohane vara- ja andmeinventuur, mis on ristviidatud mujal käsitletud koostalitlusvõime ja andmejuhtimise tööga (vt Teema 5.4 — Andmed, koostalitlusvõime ja avaandmed avalikus sektoris), on iga muu selle loendi tava eeltingimus.
3. Rakendage põhitõdesid kõikjal enne millegi keerukama kulutamist. Paikamise haldus, mitmefaktoriline autentimine, testitud varukoopiad ja vähima õiguse juurdepääsukontroll peatavad valdava enamiku päris rünnakutest; avalik organ, kellel need puuduvad, ei tohiks prioriseerida ohuteabe tellimusi ega eritellimusel jälgimistööriistu.
4. Võtke kasutusele tunnustatud raamistik, mitte ärge leiutage eritellimusel raamistikku. Raamistikud, nagu National Institute of Standards and Technology küberturvalisuse raamistik, annavad jagatud sõnavara ja struktuuri – tuvasta, kaitse, avasta, reageeri, taastu –, mille väike organisatsioon saab vastu võtta lihtsustatud kujul ja suur täielikult, põhitaksonoomiat uuesti leiutamata.
5. Koondage ressursse väikeste organisatsioonide vahel, mitte ei osta iga organisatsioon üksi. Jagatud turvaoperatsioonide teenus, piirkondlik küberintsidentidele reageerimise kogum või sektoriülene hankeraamistik võib anda rühmale väikestele kohalikele omavalitsustele või mittetulundusühingutele kaitse, mida ükski neist ei saaks endale üksi lubada – kõige otsesem vastus alaressursseerimise probleemile, mille ümber see teema keskendub.
6. Kirjutage intsidendile reageerimise plaan enne intsidenti ja harjutage seda. Plaan, mis on esmakordselt koostatud elava rünnaku ajal, on halvasti koostatud plaan, paanikas, inimeste poolt, kes pole kunagi testinud, kas see tegelikult töötab; vähemalt iga-aastaselt harjutatud plaan muudab kaootilise esimese tunni harjutatud teadaolevate sammude jadaks (vt Teema 3.12 — Kriisi-, hädaolukorra- ja vastupidavuse juhtimine laiema distsipliini kohta, millele see tugineb).
7. Otsustage avalikustamise ja maksmise poliitika ette, mitte intsidendi ajal. See, kas organisatsioon kaalub lunaraha maksmist, kellel on volitus see otsus teha ning kuidas ja millal mõjutatud inimestele teatatakse, peaks olema nõukogu kinnitatud poliitika, mitte improviseeritud otsus, mis tehakse elava väljapressimisnõude surve all.
8. Segmenteerige võrgud, nii et üks kompromiteerimine ei saaks muutuda igaks kompromiteerimiseks. Füüsilist taristut kontrolliva tegevustehnoloogia hoidmine eraldi üldisest kontori infotehnoloogiast ja kõrge tundlikkusega süsteemide eraldamine madalama tundlikkusega süsteemidest piirab, kui kaugele sissetungija, kes pääseb sisse ühe nõrga punkti kaudu, saab liikuda.
9. Haldage kolmanda osapoole ja tarneahela riski sama rangelt kui sisemist riski. Nõudke turvagarantiisid, auditeerimisõiguse klausleid ja intsidendist teavitamise kohustusi tarkvaratarnijatega ja hallatud teenuse pakkujatega sõlmitud lepingutes, kuna kasvav osa suurtest avaliku sektori intsidentidest pärineb usaldatud tarnijast, mitte otsesest rünnakust.
10. Investeerige inimestesse, mitte ainult tööriistadesse. Regulaarne, realistlik koolitus – sealhulgas simuleeritud andmepüügiharjutused – vähendab mõõdetavalt edukaid sotsiaalse manipuleerimise rünnakuid ning ühe-kahe oskusliku turbetöötaja hoidmine väikeses organisatsioonis on tavaliselt väärt rohkem kui samaväärne kulutus täiendavatele tarkvaralitsentsidele.
11. Aruandke intsidentidest ausalt ja kasutage möödapääsemisi tasuta õppetundidena. Kultuur, mis karistab töötajaid kahtlustatud rikkumisest teatamise eest, garanteerib, et järgmisest teatatakse hilja või üldse mitte; organisatsioonid, mis paranevad kõige kiiremini, on need, mis käsitlevad iga möödapääsemist tõendina, millest õppida, mitte põhjusena süü määramiseks.
12. Ehitage küberstabiilsus hangetesse ja toetuste tingimustesse, mitte ainult sisepoliitikasse. Rahastajad ja tellivad organid võivad nõuda turvapraktika baastaset organisatsioonidelt, mida nad rahastavad või kellega nad lepingu sõlmivad, laiendades hea praktika ulatust väiksematele tarnepartneritele, kellel muidu ei oleks välist survet selleks investeerida (vt Teema 3.7 — Riigihanked ja tellimine).

Küsimused arutamiseks oma meeskonnaga

Kas me teame, milliseid andmeid ja süsteeme me tegelikult hoiame ning millised neist teeksid kellelegi haiget, kui need kompromiteeritaks? Paljud organisatsioonid avastavad oma andmevaldamise tegeliku ulatuse alles rikkumise uurimise ajal, mis on halvim võimalik aeg seda teada saada. Käige läbi oma peamised teenused ja küsige iga kohta, milliseid isiklikke või operatiivselt tundlikke andmeid see puudutab ja mis juhtuks tõelise inimesega, kui need andmed varastataks, muudetaks või muudetaks kättesaamatuks. Kui aus vastus on „me ei ole kindlad", on see ebakindlus ise leid ja selle sulgemine on teie päevakorra esimene punkt. See küsimus loeb kõige enam organisatsioonide jaoks, mis on kasvanud omandamise, ühinemise või kuhjunud pärandsüsteemide kaudu, kus institutsionaalne mälu sellest, mis eksisteerib, on hõrenenud.

Kui lunavara meid homme tabaks, kas me saaksime varukoopiast taastada ilma maksmata? Varukoopia väärtus ei ole selles, et see on olemas, vaid selles, et seda on testitud tegelikult taastamiseks, piisavalt kiiresti, piisavalt hiljutisest versioonist, et sel oleks tähtsust. Küsige, millal varukoopiaid viimati testiti tegeliku taastamisharjutusega, mitte ainult lõpetamislogiga, ja kui kaua täielik taastamine võtaks selle vastu, kui kaua teie organisatsioon seisakut taluda saab. Kui need numbrid ei ühti, on teil ressursseerimisotsus teha nüüd, mitte intsidendi ajal. See on ka hetk arutada, kas varukoopiad ise on isoleeritud võrgust, millele ründaja, kes jõuab teie põhisüsteemideni, samuti ligi pääseks.

Kellel on volitus otsustada, kas me maksame lunaraha, ja kas me oleme seda kunagi arutanud enne, kui meilt seda küsiti? See on üks kõrgeima panusega otsuseid, millega juhtkond silmitsi võib seista, sageli tundide jooksul nõutav ja puuduliku teabega selle kohta, mis ründajal tegelikult on. Protsessi, volitavate isikute ja põhimõtete otsustamine ette – isegi kui lõplik valik sõltub siiski intsidendi eripäradest – hoiab ära väljapressimissurve all improviseeritud otsuse. Arutage, mida teie jurisdiktsiooni seadus ja teie rahastajate tingimused ütlevad lunaraha maksmise kohta ja keda peaksite teavitama.

Kas meie väikseimad partnerid ja tarnijad on meile suurem risk kui me ise endale? Hästi kaitstud keskne organisatsioon võib siiski olla kompromiteeritud halvasti kaitstud tarnija, töövõtja või tarnepartneri kaudu, kellel on seaduslik juurdepääs selle süsteemidele või andmetele. Kaardistage kolmandad osapooled, kes pääsevad teie süsteemidele ligi või hoiavad teie andmeid, ja olge aus selle suhtes, kui palju kindlust teil nende turvapraktika üle tegelikult on, võrreldes sellega, kui palju kindlust te eeldate. Otsustage, millist minimaalset standardit te neilt edaspidi nõuate ja kuidas te seda kontrollite, selle asemel et lihtsalt kirjalikku garantiid küsida.

Kas me teaksime, et meid on rikutud, ja kui kiiresti? Mõned kõige kahjulikumad intsidendid ei ole need, mis juhtuvad kiiresti, vaid need, mis jäävad kuudeks avastamata, mille jooksul ründaja on vaikselt uurinud, õigusi laiendanud ja andmeid välja viinud. Arutage, kuidas te tegelikult tavatut tegevust täna avastaksite, kes seda jälgib ja kas see jälgimine töötab väljaspool tööaega, kuna paljusid rünnakuid käivitatakse tahtlikult öösel või pühade nädalavahetusel, kui reageerimine on kõige aeglasem. Kui avastamine sõltub täielikult kodanikust või partnerorganisatsioonist, kes ütleb teile, et midagi on valesti, on see kriitiline lünk.

Kas meie nõukogu või juhtorgan mõistab seda riski piisavalt hästi selle juhtimiseks, või oleme selle otsustusvõime vaikselt infotehnoloogia meeskonnale allhankinud? Küberriski otsused hõlmavad tõelisi kompromisse kulu, teenuse järjepidevuse ja kodanike kaitse vahel, mis on õigustatult juhtorgani asi, mitte delegeeritud tehniline küsimus, mis noogutatakse läbi. Arutage, kuidas küberriskist praegu teie nõukogule või volikogule aru antakse, kas see on keeles, millega mittespetsialist saab tegelikult tegutseda, ja kas selle eelarve otsustatakse sama rangusega nagu mis tahes muu suur risk. Kui teie juhtorgan ei suudaks praegu oma sõnadega selgitada teie organisatsiooni kolme peamist küberriski, on see lünk, mis tuleb esimesena sulgeda.

Praktikas: avaliku väärtuse näide

Keskmise suurusega piirkondlik ühistranspordiamet – väljamõeldud, mustri, mitte ühegi tegeliku organisatsiooni aruande illustratsioon – käitas vananevaid ajakava- ja maksesüsteeme, mida oli kümme aastat paikatud tükikaupa, mitte moderniseeritud. Selle infotehnoloogia meeskond oli kolm inimest, kes vastutasid kõige eest abilaua piletitest võrgu turvalisuseni, ning küberturvalisusel polnud kunagi oma rida eelarves; see elas üldise „süsteemide hoolduse" eraldise sees, mis polnud aastaid reaalselt kasvanud.

Ründaja sai juurdepääsu andmepüügikirja kaudu, mis saadeti rahandustöötajale, kasutades võltsitud arvet tarnijalt, keda amet tegelikult kasutas. Kord sees, veetis ründaja kuus nädalat vaikselt võrgus liikudes enne lunavara kasutuselevõttu, mis krüpteeris ajakavasüsteemi, piletimaksete platvormi ja ameti varukoopiad, mis polnud kunagi põhivõrgust isoleeritud. Bussid sõitsid esimese päeva juhtide marsruudi mälu peal, kuid sõidupileteid ei saanud elektrooniliselt koguda, reaalaja infoekraanid läksid pimedaks ja ameti rahandussüsteemid olid palgaarvestuseks kasutamatud.

Juhtkond seisis lunaraha otsuse ees ilma eelnevalt kokku lepitud poliitikata: keegi polnud ette otsustanud, kellel on volitus maksmist kinnitada, mis oli õiguslik seis või mida nad reisijatele ütleksid. Varukoopiast taastamine polnud võimalus, sest varukoopiad krüpteeriti koos kõige muuga. Pärast üheksat päeva häireid, osalist teenuse taastamist ja makset, mida ameti nõukogu hiljem kirjeldas tol hetkel saadaoleva vähim halva valikuna, tellis amet sõltumatu ülevaatuse.

Ülevaate leiud olid sisutud ja praktilised ja täielikult kooskõlas mustriga, mida see teema kirjeldab: rahandussüsteemides puudus mitmefaktoriline autentimine, kontorisüsteemide ja maksetaristu vahel puudus võrgu segmenteerimine, varukoopia taastamist ei olnud testitud üle kahe aasta ja nõukogu tasandil polnud küberriski nähtavust enne intsidenti üldse. Ameti vastus oli sama sisutu ja praktiline – etapiviisiline plaan põhitõdede parandamiseks, jagatud turvajälgimise kokkulepe kahe naabertranspordiametiga, et jagada spetsialisti kaetuse kulu, mida ükski neist üksi endale lubada ei saanud, ja püsiv nõukogu päevakorra punkt küberriski kohta. Ükski neist polnud kallis suure infotehnoloogia programmi standarditega mõõdetuna; kõik oli aastaid vahele jäetud, sest see polnud kunagi kellegi selgelt määratud ülesanne olnud seda nõuda.

Neli sektoriläätse

Kohalik omavalitsus

Kohalikud omavalitsused asuvad ebamugaval ristumiskohal: nad hoiavad väga tundlikke andmeid – sotsiaalhoolduse kirjed, eluaseme- ja toetusteave, valijate registrid – ja käitavad teenuseid, ilma milleta kodanikud ei saa kergesti hakkama, kuid neil on tavaliselt valitsuse tasanditest väikseimad turbeeelarved ja vähim spetsialistidest töötajaid. Suur riiklik ministeerium saab ehitada sisemise turvaoperatsioonide keskuse; väike piirkondlik volikogu tavaliselt ei saa, mis teeb jagatud teenused, piirkondliku koondamise ja riiklikud tugiprogrammid praktiliseks teeks piisava kaitseni, mitte valikuliseks lisaks. Kohalikud valitud ametnikud on ka sageli vähim varustatud, mis tahes valitsuse tasandil, tehnilise riski ülevaate üle küsitlemiseks, mis teeb lihtsas keeles aruandluse valitud liikmetele selle tasandi eraldi juhtimisväljakutseks.

Riigivalitsus

Riigivalitsustel on üldiselt ressursid pühendunud küberturvalisuse asutuste ja riiklike raamistike ehitamiseks – organid nagu Ühendkuningriigi National Cyber Security Center või Ameerika Ühendriikide Cybersecurity and Infrastructure Security Agency on olemas standardite seadmiseks, reageerimise koordineerimiseks ja vähem ressursseeritud avalike organite toetamiseks oma jurisdiktsioonis. Eristav riigitasandi väljakutse on vähem põhihügieeni kohta ja rohkem riigi toetatud ning väga võimekate ohutegijate, riikliku kriitilise taristu vastastikuse sõltuvuse sektorite ja erasektori operaatorite vahel ning omistamise ja reageerimise diplomaatiliste ja õiguslike mõõtmete kohta, mis harva kohalikul või organisatsioonilisel tasandil esinevad.

Sotsiaalsektor ja mittetulundussektor

Mittetulundusühingud ja valitsusvälised organisatsioonid hoiavad sageli mõnda kõige tundlikumat andmeid mis tahes sektorist – terviseandmed, vägivalla või tagakiusamise ellujääjate kirjed, pagulaste ja varjupaigataotlejate juhtumikorraldus –, töötades samal ajal selle raamatu mis tahes organisatsioonitüübi kõige õhemate turbeeelarvetega, kuna rahastajad eraldavad harva raha turvalisuseks ja toetuste tingimused nõuavad seda harva. Paljud sotsiaalsektori organisatsioonid sõltuvad ka vabatahtlikest ja kõrgest töötajate voolavusest, mis teeb järjepideva turvakoolituse ja juurdepääsukontrolli raskemini säilitatavaks kui stabiilses, professionaalselt komplekteeritud organisatsioonis; turvaintsident võib olla väikesele heategevusorganisatsioonile eksistentsiaalne viisil, mis see harva valitsusosakonnale on, kuna mainekahju ja annetajate usalduse kadu võivad organisatsiooni täielikult lõpetada (vt Teema 3.8 — Sotsiaalsektori ja mittetulundussektori juhtimine).

Mitmepoolne ja rahvusvaheline

Mitmepoolsed ja rahvusvahelised organid tegutsevad jurisdiktsioonide vahel, kus on erinevad avalikustamisseadused, erinevad kriitilise taristu määratlused ja erinevad riiklikud küberpädevuse tasemed, mis teeb koordineerimise ise eraldi probleemiks: rahvusvahelise organi enda süsteemid võivad olla hästi kaitstud, samal ajal kui selle riiklikud liikmesasutused erinevad tohutult, ning organ nagu Majanduskoostöö ja Arengu Organisatsioon või Euroopa Liidu Küberturvalisuse Amet täidab sama palju standardite seadmise ja suutlikkuse ehitamise kui operatiivset rolli. Mitmepoolne lääts on ka see, kus piiriülene intsidendile reageerimine ja teabe jagamise korraldused loevad kõige enam, kuna rünnak, mis algab ühe riigi taristus, võib tundide jooksul levida teise taristusse, kiiremini kui enamik rahvusvahelisi koordineerimismehhanisme on ehitatud liikuma.

Levinud ebaõnnestumisviisid

Turvateater ilma operatiivse sisuta. Organisatsioon võtab omaks muljetavaldava poliitikadokumendi, vastavussertifikaadi või ühe kalli tööriista ja käsitleb ruutu märgitud, samal ajal kui põhihügieen – paikamine, mitmefaktoriline autentimine, testitud varukoopiad – jääb ebajärjekindlaks. See maksab päris raha turvalisuse välimuse, mitte turvalisuse enda eest ja see avastatakse sageli teatrina alles pärast seda, kui intsident paljastab lõhe poliitika ja praktika vahel.

Omanikuta risk. Küberturvalisust eeldatakse olevat kellegi teise töö – infotehnoloogia meeskonna, tarnija, regulaatori –, ja juhtorgani tasandil pole ühtegi vastutavat omanikku. See toodab riski, mida arutatakse kõikjal ja otsustatakse mitte kusagil, ja see on täpselt muster, mis jätab organisatsioonid võimetuks vastama põhiküsimustele oma eksponeerituse kohta, kui neilt seda küsitakse.

Alainvesteerimine, mida õigustab varasema intsidendi puudumine. Kuna hästi juhitud turbeprogramm ei tooda edu korral nähtavat sündmust, on seda lihtne kitsal eelarveringil kärpida millegi kasuks, millel on nähtav väljund, ja seni rikkumise puudumist peetakse piisava kaitse tõendiks, mitte tõendiks, mida pole veel testitud. See kordab sama eelarveloogikat, mis õõnestab vastupidavuse investeeringut laiemalt (vt Teema 3.12 — Kriisi-, hädaolukorra- ja vastupidavuse juhtimine).

Pärandsüsteemid, mida hoitakse töös üle toetatava eluea. Avalikud organid käitavad sageli tarkvara või riistvara kaua pärast seda, kui tarnija on lõpetanud sellele turvapaikade väljastamise, sest asendamine on kallis, häiriv või poliitiliselt ebapopulaarne, ja süsteem „töötab endiselt". Paikamata, toetamata süsteem ei ole pärandi ebamugavus; see on avatud uks, millest ründajal maksab tasuta sisse kõndida.

Süüd otsiv intsidendikultuur. Kui töötajaid, kes teatavad kahtlustatud rikkumisest või veast, distsiplineeritakse, mitte ei toetata, teatatakse tulevastest intsidentidest hilja, vähendatuna või üldse mitte, ning organisatsioon kaotab varajase hoiatussignaali, mida õigeaegne aruandlus pakub. See ebaõnnestumisviis võimendab iga teist sellel loendil, kuna ükski ülaltoodud paranduste ei tööta, kui organisatsioon ei näe oma probleeme ausalt.

Küpsusmudel

Kontrollnimekiri

• Nimetatud isik või komitee juhtorgani tasandil omab küberriski ja annab sellest regulaarselt aru, lihtsas keeles.
• Ajakohane inventuur on olemas selle kohta, milliseid andmeid ja süsteeme organisatsioon hoiab ning millised neist on teenuse jaoks kõige tundlikumad või kriitilisemad.
• Mitmefaktoriline autentimine on jõustatud kõigis süsteemides, mis hoiavad tundlikke andmeid või juhivad kriitilisi teenuseid.
• Varukoopiaid tehakse regulaarselt, hoitakse põhivõrgust isoleeritult ja taastamist on testitud viimase kaheteistkümne kuu jooksul.
• Tarkvara ja süsteeme paikatakse määratletud ajakava järgi ning igal süsteemil, mida enam paikada ei saa, on dokumenteeritud plaan selle asendamiseks või isoleerimiseks.
• Kirjalik intsidendile reageerimise plaan on olemas, nimetab, kellel on volitus teha võtmeotsuseid, ja seda on viimase aasta jooksul harjutatud realistliku õppusega.
• Nõukogu kinnitatud poliitika on olemas lunaraha maksmise ning selle kohta, kuidas ja millal mõjutatud inimesi, regulaatoreid ja avalikkust teavitatakse.
• Lepingud tarkvaratarnijate ja hallatud teenuse pakkujatega sisaldavad turvagarantiisid ja intsidendist teavitamise kohustusi.
• Töötajad saavad regulaarset, realistlikku turbekoolitust, sealhulgas simuleeritud andmepüügiharjutusi.
• Kahtlustatud intsidendist või möödapääsemisest teatamist käsitletakse väärtusliku teabena, mitte süü põhjusena.
• Jagatud või koondatud turvakorraldusi on uuritud sarnase suuruse ja eelarvega partnerorganisatsioonidega.
• Küberrisk ilmneb selgesõnaliselt organisatsiooni laiemas kriisi- ja vastupidavusplaneerimises, mitte eraldi, ühendamata plaanina.

Põhiallikad

See teema tugineb National Institute of Standards and Technology küberturvalisuse raamistikule kui juhtivale struktureeritud raamistikule küberturvalisuse praktika korraldamiseks; Euroopa Liidu Küberturvalisuse Ameti avaldatud missioonile ja juhendile ühtse küberturvalisuse taseme saavutamiseks üle Euroopa Liidu; Majanduskoostöö ja Arengu Organisatsiooni digitaalse turvalisuse poliitikatööle, mis raamib digitaalset turvalisust majandus- ja sotsiaalse riskijuhtimise küsimusena, mitte puhtalt tehnilisena; ning riiklike küberturvalisuse asutuste, nagu Ühendkuningriigi National Cyber Security Center ja Ameerika Ühendriikide Cybersecurity and Infrastructure Security Agency, avaldatud operatiivjuhendile, mis mõlemad pakuvad tasuta juhendit, mis on spetsiaalselt suunatud alaressursseeritud avalikele organitele.

Viited

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about