Latvijā kiberdrošības uzlabošanu kavē vadītāju neieinteresētība un kiberdrošības speciālistu trūkums, intervijā aģentūrai LETA sacīja "Cert.lv" informācijas sistēmu drošības analītiķe un starptautiskās sadarbības vadītāja Dana Ludviga.

Komentējot faktorus, kas kavē kiberdrošības uzlabošanu Latvijā, Ludviga norādīja, ka tie ir vadītāju neieinteresētība un kiberdrošības speciālistu trūkums. Šiem aspektiem bieži vien ir izšķiroša nozīme. Ja organizācijā ir prasmīgs un zinošs darbinieks, viņš var darīt daudz, taču bez vadības atbalsta un atbilstošas sistēmas nespēj nodrošināt visu informācijas tehnoloģiju (IT) infrastruktūrai nepieciešamo neatkarīgi no savas kvalifikācijas.

Tāpēc būtiska ir laba sadarbība, un Ludviga aicināja vadītājus neformālā gaisotnē, piemēram, pusdienojot, ar saviem IT darbiniekiem atklāti pārrunāt pašreizējo situāciju un nepieciešamos uzlabojumus.

Sabiedriskā aptauja Kā jaunā maksa par sūtījumiem no ārpus ES ietekmēs jūsu pirkumus? Balsot

Iespējams, finansējuma trūkuma dēļ visas problēmas un vajadzības uzreiz nav iespējams atrisināt, taču svarīgi apzināties būtiskākos jautājumus un noteikt prioritātes, uzsvēra Ludviga.

Viņa atzīmēja, ka šādas atklātas sarunas labāk rīkot tagad, nevis reāla kiberdrošības incidenta laikā, kā tas bieži vien notiek. Tāpat svarīgi ieguldīt ne tikai IT speciālistu, bet arī visu pārējo darbinieku zināšanās, lai viņi saprastu, kā rīkoties incidenta gadījumā, nebaidītos par to ziņot un negaidītu, ka problēma atrisināsies pati no sevis.

Ludviga minēja, ka kiberdrošība nav projekts, kuru iespējams pabeigt un pēc tam uz vairākiem gadiem nolikt malā, uzskatot, ka viss nepieciešamais ir paveikts. Šāda pieeja joprojām ir raksturīga daļai institūciju vadītāju.

Prasmīgu kiberdrošības ekspertu trūkums ir ļoti būtiska problēma ne tikai Latvijā, bet visā pasaulē, sacīja Ludviga. Turklāt publiskajam sektoram dažkārt ir grūti konkurēt ar lielajiem uzņēmumiem atalgojuma ziņā. Tomēr viena no iespējām ir ieguldīt jau esošo speciālistu zināšanu un prasmju pilnveidē. Tā vietā, lai gaidītu, kad izaugs jauns speciālists, iespējams sūtīt esošos darbiniekus uz apmācībām un kursiem, nostiprinot tieši konkrētajai organizācijai nepieciešamās prasmes, jo katras organizācijas vajadzības var atšķirties, norādīja Ludviga.

Viņa atzīmēja, ka pirms diviem gadiem, kad "Cert.lv" rīkoja kiberdrošības sanāksmes tieši organizāciju vadītājiem, daudzi uz tām neieradās vai labākajā gadījumā nosūtīja pārstāvi, kurš uzklausīja informāciju un nodeva to tālāk. Patlaban situācija ir mainījusies. Ludviga pieļāva, ka to varētu būt veicinājis gan CSDD incidents, gan pieaugošā sabiedrības interese un kiberuzbrukumu intensitāte.

Ludviga uzsvēra, ka patlaban vadītāji sanāksmes apmeklē, uzklausa informāciju un uzdod jautājumus. Lai gan atsevišķi uzņēmumi kiberdrošībai vienmēr ir pievērsuši lielu uzmanību, iepriekš lielākajai daļai attieksme ir bijusi noraidoša, uzskatot, ka ir citas svarīgākas prioritātes. Patlaban pretimnākšana ir ievērojami lielāka, vērtēja Ludviga.

Runājot par nepieciešamību pilnveidot normatīvo regulējumu, Ludviga sacīja, ka šajā jomā ir paveikts darbs. Nacionālais kiberdrošības likums un citi normatīvie akti skaidri nosaka atbildības sadalījumu, tāpēc patlaban svarīgākais ir sākt ievērot pieņemtās prasības, nevis pret tām cīnīties. Īpaši tas attiecas uz Ministru kabineta noteikumu par minimālo kiberdrošības prasību ievērošanu. PHP ievainojamību gadījums spilgti parādīja, ka laiks, kurā ir iespējams ieviest nepieciešamos atjauninājumus, kļūst arvien īsāks, tādēļ šo prasību ievērošana ir īpaši būtiska, sacīja Ludviga.

Komentējot valsts iestāžu gatavību dažādiem kiberuzbrukumiem, Ludviga norādīja, ka situācija dažādās iestādēs atšķiras, taču kopumā tā nav slikta. "Cert.lv" vienmēr ir atvērts sadarbībai un bez maksas piedāvā dažādus drošības risinājumus visiem Nacionālā kiberdrošības likuma subjektiem. Institūcija nevienam nenorāda, kā rīkoties, bet var izcelt gan labo, gan mazāk veiksmīgo praksi un ieteikt risinājumus problēmām, kuras organizācijas, iespējams, pašas vēl nav apzinājušās. "Cert.lv" rīcībā ir plašāka informācija par kiberdraudiem un to veidiem, tāpēc institūcija var palīdzēt papildināt IT infrastruktūru ar nepieciešamajiem drošības risinājumiem, skaidroja Ludviga.

Viņa piebilda, ka lielākās problēmas parasti ir organizācijās, kurām ir daudz dažādu atbildības jomu un ārpakalpojumu sniedzēju, tādēļ galu galā nav skaidrs, kurš par ko atbild. Šajā ziņā būtiska ir kiberdrošības pārvaldnieka amata izveide, jo šāds speciālists var palīdzēt sakārtot atbildības sadalījumu un pārraudzīt kiberdrošības jautājumus.

Savukārt iedzīvotāju prasmes kiberdrošības jomā, pēc Ludvigas vērtējuma, uzlabojas, jo to pilnveidē tiek ieguldīts daudz līdzekļu un par šiem jautājumiem plaši informēta sabiedrība. Tomēr arī kiberuzbrucēji izglītojas un attīstās, turklāt nedaudz ātrāk.

Ludviga uzsvēra, ka liela daļa kiberuzbrukumu joprojām balstās sociālajā inženierijā. Tāpēc nozīmīgas ir ne tikai tehniskās zināšanas, bet arī cilvēku pašsajūta un spēja kritiski izvērtēt saņemto informāciju. Pārslodze un nogurums var vājināt cilvēka aizsargreakciju, ko uzbrucēji var izmantot savā labā.