Usalama wa Mtandao na Hatari za Teknolojia katika Sekta ya Umma

Kwa nini hili ni muhimu katika thamani ya umma

Mifumo ya hospitali inaposimbwa fiche na mshambuliaji, madaktari hawawezi kuona historia za dawa, magari ya wagonjwa yanaelekezwa kwingine, na upasuaji unafutwa. Mifumo ya udhibiti ya shirika la maji inapovunjwa, thamani ya umma iliyo hatarini si kukatika kwa seva bali usalama wa maji ya kunywa. Hifadhidata ya wakala wa faida inapovunjwa, watu walio wazi zaidi mara nyingi ni wale wasioweza kabisa kufyonza matokeo: malipo yaliyochelewa, utambulisho ulioibwa, familia isiyoweza kuthibitisha ni nani kwa dola linalodaiwa kuisaidia. Usalama wa kompyuta, unaoitwa kwa kawaida usalama wa mtandao, ni mazoezi ya kulinda mifumo ya kompyuta, mitandao, na data dhidi ya ufikiaji usioidhinishwa, usumbufu, au uharibifu. Katika taasisi za umma, mazoezi hayo yanakaa moja kwa moja kwenye njia kati ya dola na mwananchi linayemhudumia.

Hii ndiyo sababu mada inaandaa hatari ya mtandao kama swali la thamani ya umma, si la kiufundi tu. Uhalali na uungwaji mkono vinategemea wananchi kuamini kwamba taasisi zinazoshikilia data zao na kuendesha huduma zao muhimu zinaweza kuaminiwa kuweka vyote salama (tazama Mada 1.2 — Pembetatu ya Kimkakati: Uhalali, Thamani na Uwezo). Uvunjaji mmoja uliotangazwa vizuri unaweza kufanya uharibifu wa kudumu kwa imani hiyo, kwa njia ileile na dharura iliyosimamiwa vibaya, kwa sababu wananchi wanahukumu taasisi kwa jinsi zinavyotenda chini ya shambulio kama kwa jinsi zinavyofanya kazi kila siku (tazama Mada 3.12 — Usimamizi wa Migogoro, Dharura na Ustahimilivu, inayochukulia matukio ya mtandao kama kategoria moja ndani ya nidhamu pana ya ustahimilivu). Usalama wa mtandao pia hauwezi kutenganishwa na utawala wa data: taasisi haiwezi kulinda ambacho haijui inakishikilia, na ushirikiano wa mifumo na uwazi vinavyounda thamani ya umma kutoka data pia vinapanua uso ambao mshambuliaji anaweza kuutumia (tazama Mada 5.4 — Data za Sekta ya Umma, Ushirikiano wa Mifumo na Data Huria).

Tatizo la rasilimali ni kali na mahususi kwa sekta za umma na za kijamii. Mawakala makubwa ya kitaifa yanazidi kuwa na timu maalum za usalama na bajeti za kibiashara; bodi ya maji inayohudumia mji mdogo, hazina ya hospitali ya kikanda, na shirika lisilo la faida la mtaa linaloendesha makazi ya unyanyasaji wa majumbani kwa kawaida hazina, ingawa zinashikilia data ambazo unyeti wake unalingana au kuzidi wa benki yoyote. Washambuliaji wanajua hili. Vyombo vya umma vyenye rasilimali pungufu si kesi ya pembezoni katika mada hii; vipo karibu na kiini chake, kwa sababu chombo cha wastani cha umma kinachokabili hatari hii leo si wizara ya kitaifa bali mamlaka ndogo ya mtaa, shirika la kikanda la huduma, au shirika la hisani lenye wafanyakazi wachache wa teknolojia ya habari na hakuna mtaalamu wa usalama kabisa.

Hatimaye, hili ni tatizo hai na linalozidi kuwa baya, si la kidhahania. Kampeni za programu hasidi ya kudai fidia (ransomware) zinazidi kulenga serikali za mitaa, hospitali, shule, na mashirika ya sekta ya kijamii hasa kwa sababu yanachanganya data nyeti, huduma muhimu, uvumilivu mdogo wa kukatika, na ulinzi dhaifu kwa kulinganisha — mchanganyiko unaoyafanya kuwa na uwezekano mkubwa wa kulipa na uwezekano mdogo wa kuwa yamezuia shambulio hapo kwanza. Kuchukulia usalama wa mtandao kama nyongeza ya kitaalamu badala ya ahadi ya thamani ya umma ya ngazi ya utawala ni, kwa aina hii ya shirika, karibu mwaliko.

Dhana kuu

Miundombinu muhimu ni seti ya mifumo na mali — nishati, maji, usafiri, huduma ya afya, fedha, mawasiliano — muhimu sana kiasi kwamba kutokuwa na uwezo au uharibifu wake kungekuwa na athari ya kulemaza kwa usalama, uchumi, au imani ya umma. Ulinzi wa miundombinu muhimu ni nidhamu ya kulinda mifumo hii dhidi ya vitisho vya kimwili na vya kidijitali vilevile; ni muhimu hapa kwa sababu matukio mengi ya mtandao yenye matokeo makubwa zaidi ya sekta ya umma si mashambulio dhidi ya data za kidhahania bali dhidi ya teknolojia ya uendeshaji inayoweka miundombinu ya kimwili ikifanya kazi, tofauti na teknolojia ya habari inayoweka rekodi na kuchakata miamala.

Mhusika wa kitisho (threat actor) ni mtu binafsi, kikundi, au dola lolote linaloweza kujaribu kuvunja mfumo; katika sekta ya umma hawa wanaenea kutoka makundi ya wahalifu wanaoendeshwa na fedha hadi wahusika wanaofadhiliwa na dola wanaofuata ujasusi au usumbufu, na taasisi ileile inaweza kukabili wote wawili kwa wakati mmoja wakiwa na malengo tofauti sana. Programu hasidi ya kudai fidia (ransomware) ni programu hasidi inayosimba fiche data au mifumo ya shirika na kudai malipo ili kuziachilia; imekuwa kitisho kikuu kwa vyombo vya umma hasa kwa sababu huduma muhimu haziwezi kuvumilia kukatika kwa muda mrefu, jambo linaloongeza shinikizo la kulipa. Phishing ni aina ya uhandisi wa kijamii ambapo washambuliaji huwadanganya wafanyakazi kufichua stakabadhi au kusakinisha programu hasidi, kwa kawaida kupitia barua pepe ya udanganyifu, na inabaki njia ya kawaida zaidi ambayo mshambuliaji kwanza hupata nafasi ya kuingilia, kwa sababu inalenga watu badala ya teknolojia.

Uvunjaji wa data ni ufikiaji, ufichuzi, au upotevu usioidhinishwa wa taarifa, iwe kupitia shambulio la nje, mtu wa ndani, au kosa rahisi la binadamu kama hifadhidata iliyosanidiwa vibaya iliyoachwa wazi kwa mtandao. Shambulio la mnyororo wa ugavi linavunja shirika kwa njia isiyo ya moja kwa moja, kwa kulenga msambazaji dhaifu zaidi wa usalama, muuzaji wa programu, au mtoa huduma anayesimamiwa ambaye shirika lengwa linamwamini; haya ni hatari hasa kwa sekta ya umma kwa sababu vyombo vingi vya umma vinashiriki wauzaji wachache walewale wa programu, jambo linalomaanisha uvunjaji mmoja wa muuzaji unaweza kuteleza kwa mamia ya taasisi kwa wakati mmoja.

Usafi wa mtandao (cyber hygiene) ni seti ya mazoezi ya kawaida — kuweka viraka kwa programu haraka, kutekeleza uthibitisho imara, kupunguza nani anaweza kufikia nini, kuhifadhi nakala za data na kujaribu kurejesha nakala hizo — yanayozuia wingi mkubwa wa mashambulio yanayofanikiwa bila kuhitaji zana za ajabu. Uvunjaji mwingi unatumia udhaifu unaojulikana usiorekebishwa au stakabadhi dhaifu badala ya mbinu mpya, kwa hivyo pengo kati ya usafi halisi wa mtandao wa shirika na sera yake iliyotajwa mara nyingi ni kitabiri bora cha hatari yake kuliko ustadi wa vitisho inavyovitaja katika rejista yake ya hatari.

Usanifu wa imani-sifuri (zero trust) ni kanuni ya usanifu wa usalama inayoshikilia kwamba hakuna mtumiaji wala kifaa kinachopaswa kuaminiwa kwa chaguo-msingi, hata ndani ya mtandao wa shirika lenyewe, na kwamba kila ombi la ufikiaji lazima lithibitishwe bila kujali linatoka wapi. Imekuwa na ushawishi katika mwongozo wa sekta ya umma kwa sababu inalingana na jinsi kazi ya kisasa ya serikali inavyofanyika kweli — wafanyakazi, wakandarasi, na wananchi wakifikia huduma kutoka vifaa na maeneo mengi — vizuri zaidi kuliko mfano wa zamani uliokuwa ukiamini chochote kilichokuwa ndani ya mpaka tayari.

Usimamizi wa matukio ya usalama wa kompyuta, unaoitwa kwa kawaida jibu la tukio, ni mchakato ulioandaliwa wa kugundua, kudhibiti, kuondoa, na kufufuka kutoka tukio la usalama, ukifuatiwa na mapitio ya kilichoruhusu litokee. Wajibu wa ufichuzi ni wajibu wa kisheria au wa udhibiti wa kuarifu watu walioathirika, wadhibiti, au umma data za kibinafsi au huduma muhimu zinapovunjwa, ndani ya muda uliobainishwa na kwa kiwango kilichobainishwa, kwa mantiki kwamba wananchi na vyombo vya usimamizi wana haki ya kujua data zao au huduma zao muhimu zinapowekwa hatarini, na kwamba ufichuzi wa wakati unaruhusu watu kujilinda.

Mazoea bora

1. Chukulia usalama wa mtandao kama wajibu wa chombo cha utawala, si kazi ya kiufundi iliyokabidhiwa. Bodi, mabaraza, na timu za watendaji zinapaswa kupokea muhtasari wa mara kwa mara, wa lugha rahisi kuhusu hatari ya mtandao na kuidhinisha bajeti yake moja kwa moja, badala ya kuiacha ijadiliwe ndani ya kipengele pana cha teknolojia ya habari ambapo ni kitu rahisi zaidi kukata.
2. Orodhesha unachoshikilia na kinachokitegemea kabla ya kuamua jinsi ya kukilinda. Shirika haliwezi kulinda data au mifumo ambayo halijaichora ramani; orodha ya sasa ya mali na data, iliyolinganishwa na kazi ya utawala wa data na ushirikiano wa mifumo iliyofunikwa mahali pengine (tazama Mada 5.4 — Data za Sekta ya Umma, Ushirikiano wa Mifumo na Data Huria), ndiyo sharti la kila mazoea mengine kwenye orodha hii.
3. Tumia misingi kila mahali kabla ya kutumia fedha kwenye chochote cha hali ya juu. Usimamizi wa viraka, uthibitisho wa vipengele vingi, nakala zilizojaribiwa, na udhibiti wa ufikiaji wa haki za chini kabisa vinazuia wingi mkubwa wa mashambulio halisi; chombo cha umma kisicho na haya mahali pake hakipaswi kuweka kipaumbele usajili wa akili ya vitisho au zana maalum za ufuatiliaji.
4. Pitisha fremu inayotambuliwa badala ya kuvumbua ya kipekee. Fremu kama Cybersecurity Framework ya National Institute of Standards and Technology zinatoa msamiati wa pamoja na muundo — tambua, linda, gundua, jibu, fufua — ambao shirika dogo linaweza kupitisha kwa umbo lililorahisishwa na kubwa kwa umbo kamili, bila kuvumbua upya uainishaji wa msingi.
5. Unganisha rasilimali kuvuka mashirika madogo badala ya kila moja kununua peke yake. Huduma ya pamoja ya shughuli za usalama, bwawa la kikanda la jibu la matukio ya mtandao, au fremu ya ununuzi ya sekta nzima inaweza kuwapa kikundi cha mamlaka ndogo za mitaa au mashirika yasiyo ya faida ulinzi ambao hakuna kati yao ungeweza kumudu kibinafsi — jibu la moja kwa moja zaidi kwa tatizo la rasilimali pungufu ambalo mada hii inalizingatia.
6. Andika mpango wa jibu la tukio kabla ya tukio, na ufanyie mazoezi. Mpango ulioandikwa kwa mara ya kwanza wakati wa shambulio hai ni mpango ulioandikwa vibaya, kwa hofu, na watu ambao hawajawahi kujaribu kama unafanya kazi kweli; mpango unaofanyiwa mazoezi angalau kila mwaka unageuza saa ya kwanza ya machafuko kuwa mfuatano uliofanyiwa mazoezi wa hatua zinazojulikana (tazama Mada 3.12 — Usimamizi wa Migogoro, Dharura na Ustahimilivu kwa nidhamu pana ambayo hii inaichota).
7. Amua sera ya ufichuzi na malipo mapema, si wakati wa tukio. Kama shirika litazingatia kulipa fidia, nani ana mamlaka ya kufanya uamuzi huo, na jinsi na lini walioathirika wataambiwa vinapaswa kuwa sera iliyoidhinishwa na bodi, si uamuzi wa papo hapo unaofanywa chini ya shinikizo la madai hai ya kutishia.
8. Gawanya mitandao ili uvunjaji mmoja usiweze kuwa kila uvunjaji. Kuweka teknolojia ya uendeshaji inayodhibiti miundombinu ya kimwili tofauti na teknolojia ya habari ya ofisi ya jumla, na kutenganisha mifumo yenye unyeti wa juu na ile ya unyeti wa chini, kunapunguza umbali ambao mvamizi anayeingia kupitia sehemu moja dhaifu anaweza kusafiri.
9. Simamia hatari ya wahusika wa tatu na mnyororo wa ugavi kwa ukali ule ule kama hatari ya ndani. Hitaji hakikisho za usalama, vifungu vya haki ya kukagua, na wajibu wa kuarifu matukio katika mikataba na wauzaji wa programu na watoa huduma wanaosimamiwa, kwa kuwa sehemu inayokua ya matukio makuu ya sekta ya umma yanatokana na msambazaji anayeaminika badala ya shambulio la moja kwa moja.
10. Wekeza kwa watu, si zana tu. Mafunzo ya mara kwa mara, ya kiuhalisia — ikijumuisha mazoezi ya phishing ya kuiga — hupunguza kwa kupimika mashambulio yanayofanikiwa ya uhandisi wa kijamii, na kubakiza hata mfanyakazi mmoja au wawili wenye ujuzi wa usalama katika shirika dogo kwa kawaida kunastahili zaidi kuliko matumizi sawa kwa leseni za ziada za programu.
11. Ripoti matukio kwa uaminifu na utumie karibu-ajali kama masomo ya bure. Utamaduni unaowaadhibu wafanyakazi kwa kuripoti uvunjaji unaoshukiwa unahakikisha unaofuata utaripotiwa kuchelewa au kutoripotiwa kabisa; mashirika yanayoboreka kwa kasi zaidi ndiyo yanayochukulia kila karibu-ajali kama ushahidi wa kujifunza kutoka kwake badala ya sababu ya kugawa lawama.
12. Jenga ustahimilivu wa mtandao katika ununuzi na masharti ya ruzuku, si sera ya ndani tu. Wafadhili na vyombo vya uagizaji wa huduma vinaweza kuhitaji kiwango cha chini cha mazoezi ya usalama kutoka mashirika wanayoyafadhili au kuyakandarasia, wakipanua ufikiaji wa mazoezi mazuri kwa washirika wadogo wa utoaji ambao vinginevyo hawangekuwa na shinikizo la nje la kuwekeza ndani yake (tazama Mada 3.7 — Ununuzi wa Umma na Uagizaji wa Huduma).

Maswali ya kujadili na timu yako

Je, tunajua ni data na mifumo gani tunayoishikilia kweli, na ni ipi kati yake ingemuumiza mtu ikivunjwa? Mashirika mengi hugundua kiwango halisi cha mali zao za data wakati wa uchunguzi wa uvunjaji tu, ambao ni wakati mbaya zaidi iwezekanavyo kujifunza hilo. Pitieni huduma zenu kuu na muulize, kwa kila moja, ni data gani ya kibinafsi au nyeti kiutendaji inayoigusa na nini kingetokea kwa mtu halisi data hiyo ikiibwa, kubadilishwa, au kufanywa isipatikane. Ikiwa jibu la uaminifu ni "hatuna uhakika," kutokuwa na uhakika huko ndiko matokeo, na kuifunga ndio kipengele cha kwanza cha ajenda yenu. Swali hili ni muhimu zaidi kwa mashirika yaliyokua kwa kununua, kuunganishwa, au mifumo ya urithi iliyokusanywa, ambapo kumbukumbu ya kitaasisi ya kilichopo imepungua.

Tukipigwa na ransomware kesho, je, tungeweza kurejesha kutoka nakala bila kulipa? Thamani ya nakala si kwamba ipo bali kwamba imejaribiwa kurejesha kweli, kwa haraka vya kutosha, kutoka toleo la hivi karibuni vya kutosha kujalisha. Uliza nakala zilijaribiwa lini mara ya mwisho kwa zoezi halisi la kurejesha, si kumbukumbu ya kukamilika tu, na urejeshaji kamili ungechukua muda gani dhidi ya muda gani shirika lenu linaweza kuvumilia kukatika. Ikiwa namba hizo hazilingani, mna uamuzi wa rasilimali wa kufanya sasa, si wakati wa tukio. Huu pia ni wakati wa kujadili kama nakala zenyewe zimetengwa kutoka mtandao ambao mshambuliaji anayefikia mifumo yenu mikuu angeweza kuufikia vilevile.

Nani ana mamlaka ya kuamua kama tutalipa fidia, na je, tumewahi kujadili hilo kabla ya kuombwa? Huu ni mojawapo ya maamuzi yenye hatari kubwa zaidi ambayo timu ya watendaji inaweza kukabili, mara nyingi yakihitajika ndani ya saa na taarifa pungufu kuhusu kile mshambuliaji anacho kweli. Kuamua mchakato, watu wanaoidhinisha, na kanuni mapema — hata kama wito wa mwisho bado unategemea maalum ya tukio — kunazuia uamuzi wa papo hapo unaofanywa chini ya shinikizo la kutishia. Jadilini sheria ya mamlaka yenu na masharti ya wafadhili wenu yanasema nini kuhusu malipo ya fidia, na nani mngehitaji kumwarifu.

Je, washirika na wasambazaji wetu wadogo zaidi ni hatari kubwa zaidi kwetu kuliko sisi wenyewe? Shirika kuu lililolindwa vizuri bado linaweza kuvunjwa kupitia msambazaji, mkandarasi, au mshirika wa utoaji aliyelindwa vibaya mwenye ufikiaji halali wa mifumo au data zake. Chora ramani ya wahusika wa tatu wanaoweza kufikia mifumo yenu au kushikilia data zenu, na muwe waaminifu kuhusu hakikisho kiasi gani mnalo kweli juu ya mazoezi yao ya usalama dhidi ya kiasi gani mnadhani mnalo. Amueni ni kiwango gani cha chini mtakachohitaji kutoka kwao kuanzia sasa, na jinsi mtakavyokithibitisha badala ya kuuliza hakikisho la maandishi tu.

Je, tungejua kama tumevunjwa, na kwa haraka kiasi gani? Baadhi ya matukio yenye madhara zaidi si yale yanayotokea haraka bali yale yasiyogunduliwa kwa miezi, ambapo mshambuliaji amechunguza kimya kimya, kupandisha mamlaka, na kutoa data nje. Jadilini jinsi mngegundua shughuli isiyo ya kawaida leo kwa vitendo, nani anaangalia, na kama ufuatiliaji huo unaendeshwa nje ya saa za ofisi, kwa kuwa mashambulio mengi yanazinduliwa kwa makusudi usiku au wikendi ya sikukuu wakati jibu ni la polepole zaidi. Ikiwa ugunduzi unategemea kabisa mwananchi au shirika mshirika kuwaambia kitu si sahihi, hilo ni pengo muhimu.

Je, bodi au chombo chetu cha uongozi kinaelewa hatari hii vya kutosha kuitawala, au tumekabidhi kimya kimya hukumu hiyo kwa timu ya teknolojia ya habari? Maamuzi ya hatari ya mtandao yanahusisha maridhiano ya kweli kati ya gharama, mwendelezo wa huduma, na ulinzi wa wananchi ambayo kwa haki ni biashara ya chombo cha uongozi, si jambo la kiufundi lililokabidhiwa la kupitisha kwa kichwa. Jadilini jinsi hatari ya mtandao inavyoripotiwa sasa kwa bodi au baraza lenu, kama iko katika lugha ambayo asiye mtaalamu anaweza kutendea kazi, na kama bajeti yake inaamuliwa kwa ukali ule ule kama hatari nyingine yoyote kuu. Ikiwa chombo chenu cha uongozi hakingeweza kwa sasa kueleza hatari tatu kuu za mtandao za shirika kwa maneno yake, hilo ndilo pengo la kufunga kwanza.

Kwa vitendo: mfano wa thamani ya umma

Mamlaka ya usafiri ya kanda ya ukubwa wa kati — ya kubuni, kielelezo cha mfumo badala ya ripoti ya shirika lolote halisi — iliendesha mifumo ya zamani ya ratiba na malipo ambayo ilikuwa imewekwa viraka kidogo kidogo kwa muongo badala ya kuboreshwa. Timu yake ya teknolojia ya habari ilikuwa watu watatu, wanaowajibika kwa kila kitu kutoka tiketi za dawati la msaada hadi usalama wa mtandao, na usalama wa mtandao haukuwahi kuwa na mstari wake wa bajeti; uliishi ndani ya mgao wa jumla wa "matengenezo ya mifumo" ambao haukukua kwa thamani halisi kwa miaka.

Mshambuliaji alipata ufikiaji kupitia barua pepe ya phishing iliyotumwa kwa afisa wa fedha, ikitumia ankara ya uongo kutoka kwa msambazaji ambaye mamlaka ilimtumia kweli. Mara ndani, mshambuliaji alitumia wiki sita akisogea kimya kimya kupitia mtandao kabla ya kutumia ransomware iliyosimba fiche mfumo wa ratiba, jukwaa la malipo ya nauli, na nakala za mamlaka, ambazo hazikuwahi kutengwa kutoka mtandao mkuu. Mabasi yaliendelea kukimbia siku ya kwanza kwa kumbukumbu za madereva za njia zao, lakini nauli haziwezi kukusanywa kielektroniki, skrini za taarifa za wakati halisi zilizima, na mifumo ya fedha ya mamlaka ilikuwa haiwezi kutumika kwa malipo ya mishahara.

Timu ya watendaji ilikabili uamuzi wa fidia bila sera iliyokubaliwa mapema: hakuna aliyekuwa ameamua mapema nani alikuwa na mamlaka ya kuidhinisha malipo, msimamo wa kisheria ulikuwa nini, au wangewaambia nini wasafiri. Kurejesha kutoka nakala haikuwa chaguo, kwa sababu nakala zilisimbwa fiche pamoja na kila kitu kingine. Baada ya siku tisa za usumbufu, kurejesha huduma kwa sehemu, na malipo ambayo bodi ya mamlaka baadaye iliyaelezea kama chaguo baya kidogo zaidi lililopatikana wakati huo, mamlaka iliagiza mapitio huru.

Matokeo ya mapitio hayakuwa ya kuvutia na yalilingana kabisa na mfumo ambao mada hii inaueleza: hakuna uthibitisho wa vipengele vingi kwenye mifumo ya fedha, hakuna mgawanyo wa mtandao kati ya mifumo ya ofisi na miundombinu ya malipo, hakuna kurejesha nakala kulikojaribiwa kwa zaidi ya miaka miwili, na hakuna mwonekano wa ngazi ya bodi wa hatari ya mtandao kabisa kabla ya tukio. Jibu la mamlaka lilikuwa vilevile lisilovutia — mpango wa awamu wa kurekebisha misingi, mpangilio wa pamoja wa ufuatiliaji wa usalama na mamlaka mbili jirani za usafiri kugawanya gharama ya ulinzi wa kitaalamu ambao hakuna kati yao ingeweza kumudu peke yake, na kipengele cha kudumu cha ajenda ya bodi kuhusu hatari ya mtandao. Hakuna kati ya hayo lilikuwa ghali kwa viwango vya programu kuu ya teknolojia ya habari; yote yalikuwa yameruka kwa miaka kwa sababu hayakuwahi kuwa kazi ya mtu yeyote iliyopewa wazi ya kusisitiza.

Mitazamo minne ya sekta

Serikali za mitaa

Mamlaka za mitaa ziko katika makutano yasiyostarehesha: zinashikilia data nyeti sana — rekodi za utunzaji wa kijamii, taarifa za makazi na faida, rejista za wapiga kura — na kuendesha huduma ambazo wananchi hawawezi kuishi bila kwa urahisi, lakini kwa kawaida zina bajeti ndogo zaidi za usalama na wafanyakazi wachache zaidi wa kitaalamu wa ngazi yoyote ya serikali. Wizara kubwa ya kitaifa inaweza kujenga kituo cha ndani cha shughuli za usalama; baraza dogo la wilaya kwa kawaida haliwezi, jambo linalofanya huduma za pamoja, kuunganisha kikanda, na programu za msaada za kitaifa kuwa njia ya kivitendo ya ulinzi wa kutosha badala ya nyongeza ya hiari. Maafisa waliochaguliwa wa mtaa pia mara nyingi ndio walio na vifaa duni zaidi, kati ya ngazi yoyote ya serikali, vya kuhoji muhtasari wa hatari ya kiufundi, jambo linalofanya uripoti wa lugha rahisi kwa wajumbe waliochaguliwa kuwa changamoto tofauti ya utawala katika ngazi hii.

Serikali ya kitaifa

Serikali za kitaifa kwa ujumla zina rasilimali za kujenga mawakala maalum ya usalama wa mtandao na fremu za kitaifa — vyombo kama National Cyber Security Center (Uingereza) au Cybersecurity and Infrastructure Security Agency ya Marekani vipo kuweka viwango, kuratibu jibu, na kusaidia vyombo vya umma vyenye rasilimali pungufu ndani ya mamlaka yake. Changamoto ya kipekee ya ngazi ya kitaifa ni chini kuhusu usafi wa msingi na zaidi kuhusu wahusika wa kitisho wanaofadhiliwa na dola na wenye uwezo mkubwa, utegemezi wa pande zote wa miundombinu muhimu ya kitaifa kuvuka sekta na waendeshaji binafsi, na vipimo vya kidiplomasia na kisheria vya kuhusisha na kujibu, ambavyo mara chache vinaonekana katika ngazi ya mtaa au ya shirika.

Sekta ya kijamii na mashirika yasiyo ya faida

Mashirika yasiyo ya faida na NGO mara nyingi hushikilia baadhi ya data nyeti zaidi ya sekta yoyote — rekodi za afya, rekodi za walionusurika unyanyasaji au mateso, kazi za kesi za wakimbizi na hifadhi — huku yakifanya kazi kwa bajeti nyembamba zaidi za usalama za aina yoyote ya shirika katika kitabu hiki, kwa sababu wafadhili mara chache hutenga fedha kwa usalama na masharti ya ruzuku mara chache huhitaji. Mashirika mengi ya sekta ya kijamii pia yanategemea wafanyakazi wa kujitolea na mauzo ya juu ya wafanyakazi, jambo linalofanya mafunzo thabiti ya usalama na udhibiti wa ufikiaji kuwa magumu zaidi kudumisha kuliko katika shirika imara, lenye wafanyakazi wa kitaalamu; tukio la usalama linaweza kuwa la kuwepo au kutokuwepo kwa shirika dogo la hisani kwa njia ambayo mara chache huwa kwa idara ya serikali, kwa sababu uharibifu wa sifa na kupotea kwa imani ya wafadhili kunaweza kumaliza shirika kabisa (tazama Mada 3.8 — Usimamizi wa Sekta ya Kijamii na Mashirika Yasiyo ya Faida).

Ya pande nyingi na ya kimataifa

Vyombo vya pande nyingi na vya kimataifa vinafanya kazi kuvuka mamlaka zenye sheria tofauti za ufichuzi, fasili tofauti za miundombinu muhimu, na viwango tofauti vya uwezo wa mtandao wa kitaifa, jambo linalofanya uratibu wenyewe kuwa tatizo tofauti: mifumo ya chombo cha kimataifa yenyewe inaweza kulindwa vizuri huku mawakala wanachama wake wa kitaifa wakitofautiana sana, na chombo kama Shirika la Ushirikiano wa Kiuchumi na Maendeleo au Wakala wa Umoja wa Ulaya wa Usalama wa Mtandao kinacheza nafasi ya kuweka viwango na kujenga uwezo kama ya kiutendaji. Mtazamo wa pande nyingi pia ndipo jibu la matukio ya kuvuka mipaka na mipangilio ya kushiriki taarifa ni muhimu zaidi, kwa kuwa shambulio linaloanzia katika miundombinu ya nchi moja linaweza kuteleza hadi ya nyingine ndani ya saa, kwa kasi zaidi kuliko mifumo mingi ya uratibu wa kimataifa ilivyojengwa kusonga.

Njia za kawaida za kushindwa

Maigizo ya usalama bila maudhui ya kiutendaji. Shirika linapitisha hati ya sera ya kuvutia, cheti cha kufuata sheria, au zana moja ghali, na kuchukulia sanduku limetiwa alama, huku usafi wa msingi — viraka, uthibitisho wa vipengele vingi, nakala zilizojaribiwa — ukibaki bila uthabiti. Hii inagharimu fedha halisi kwa mwonekano wa usalama badala ya usalama wenyewe, na mara nyingi hugunduliwa kuwa maigizo tu tukio linapofichua pengo kati ya sera na mazoezi.

Hatari isiyo na mmiliki. Usalama wa mtandao unadhaniwa kuwa kazi ya mtu mwingine — ya timu ya teknolojia ya habari, ya muuzaji, ya mdhibiti — na hakuna mmiliki mmoja anayewajibika katika ngazi ya chombo cha uongozi. Hili linazalisha hatari inayojadiliwa kila mahali na kuamuliwa mahali pasipo, na ndiyo hasa mfumo unaoacha mashirika yakishindwa kujibu maswali ya msingi kuhusu mfiduo wao wenyewe yanapoulizwa.

Uwekezaji pungufu unaohalalishwa kwa kukosekana kwa tukio la awali. Kwa sababu programu ya usalama iliyoendeshwa vizuri haizalishi tukio linaloonekana inapofanikiwa, ni rahisi kuinyima fedha katika duru ngumu ya bajeti kwa manufaa ya kitu chenye pato linaloonekana, na kukosekana kwa uvunjaji hadi sasa kunachukuliwa kimakosa kama ushahidi wa ulinzi wa kutosha badala ya ushahidi ambao haujajaribiwa bado. Hii inaakisi mantiki ileile ya kibajeti inayodhoofisha uwekezaji wa ustahimilivu kwa upana zaidi (tazama Mada 3.12 — Usimamizi wa Migogoro, Dharura na Ustahimilivu).

Mifumo ya urithi inayoendelea kuendeshwa zaidi ya maisha yake yanayoweza kuungwa mkono. Vyombo vya umma mara kwa mara huendesha programu au vifaa muda mrefu baada ya muuzaji kuacha kutoa viraka vya usalama kwake, kwa sababu kubadilisha ni ghali, kusumbua, au kutopendwa kisiasa, na mfumo "bado unafanya kazi." Mfumo usio na viraka, usioungwa mkono si usumbufu wa urithi; ni mlango wazi usiogharimu chochote kwa mshambuliaji kuupitia.

Utamaduni wa tukio wa lawama kwanza. Wafanyakazi wanaoripoti uvunjaji unaoshukiwa au kosa wanapoadhibiwa badala ya kuungwa mkono, matukio ya baadaye huripotiwa kuchelewa, kupunguzwa, au kutoripotiwa kabisa, na shirika linapoteza ishara ya onyo la mapema ambayo uripoti wa wakati hutoa. Kushindwa huku kunaongeza kila njia nyingine ya kushindwa kwenye orodha hii, kwa sababu hakuna marekebisho yaliyo hapo juu yanayofanya kazi ikiwa shirika haliwezi kuona matatizo yake yenyewe kwa uaminifu.

Kielelezo cha ukomavu

Orodha ya ukaguzi

• Mtu aliyetajwa au kamati katika ngazi ya chombo cha uongozi anamiliki hatari ya mtandao na anaripoti juu yake mara kwa mara, kwa lugha rahisi.
• Orodha ya sasa ya data na mifumo ambayo shirika linashikilia ipo, pamoja na ipi ni nyeti zaidi au muhimu zaidi kwa huduma.
• Uthibitisho wa vipengele vingi unatekelezwa kwenye mifumo yote inayoshikilia data nyeti au kudhibiti huduma muhimu.
• Nakala zinachukuliwa mara kwa mara, zinahifadhiwa zimetengwa na mtandao mkuu, na urejeshaji umejaribiwa ndani ya miezi kumi na miwili iliyopita.
• Programu na mifumo inawekwa viraka kwa ratiba iliyofafanuliwa, na mfumo wowote usioweza kuwekwa viraka tena una mpango ulioandikwa wa kuubadilisha au kuutenga.
• Mpango ulioandikwa wa jibu la tukio upo, unataja nani ana mamlaka ya kufanya maamuzi muhimu, na umefanyiwa mazoezi kupitia zoezi la kweli katika mwaka uliopita.
• Sera iliyoidhinishwa na bodi ipo kuhusu malipo ya fidia na kuhusu jinsi na lini walioathirika, wadhibiti, na umma wataarifiwa.
• Mikataba na wauzaji wa programu na watoa huduma wanaosimamiwa inajumuisha hakikisho za usalama na wajibu wa kuarifu matukio.
• Wafanyakazi wanapokea mafunzo ya mara kwa mara, ya kiuhalisia ya usalama, ikijumuisha mazoezi ya phishing ya kuiga.
• Kuripoti tukio linaloshukiwa au karibu-ajali kunachukuliwa kama taarifa ya thamani, si sababu ya lawama.
• Mipangilio ya usalama ya pamoja au iliyounganishwa imechunguzwa na mashirika rika ya ukubwa na bajeti zinazofanana.
• Hatari ya mtandao inaonekana waziwazi katika upangaji mpana wa migogoro na ustahimilivu wa shirika, si kama mpango tofauti usioungana.

Vyanzo muhimu

Mada hii inategemea Cybersecurity Framework ya National Institute of Standards and Technology kama fremu inayoongoza iliyoundwa ya kupanga mazoezi ya usalama wa mtandao; ujumbe uliochapishwa wa Wakala wa Umoja wa Ulaya wa Usalama wa Mtandao na mwongozo wake juu ya kufikia kiwango cha pamoja cha usalama wa mtandao kuvuka Umoja wa Ulaya; kazi ya sera ya usalama wa kidijitali ya Shirika la Ushirikiano wa Kiuchumi na Maendeleo, inayoandaa usalama wa kidijitali kama suala la usimamizi wa hatari la kiuchumi na kijamii badala ya la kiufundi tu; na mwongozo wa kiutendaji uliochapishwa na mawakala wa kitaifa ya usalama wa mtandao kama National Cyber Security Center ya Uingereza na Cybersecurity and Infrastructure Security Agency ya Marekani, yote mawili yakitoa mwongozo wa bure unaolenga hasa vyombo vya umma vyenye rasilimali pungufu.

Marejeo

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about