Kaspars Iesalnieks: Konfigurācijas, datu aizsardzības un autentifikācijas trūkumi – lielākie kiberdrošības izaicinājumi pašvaldībās  (4)

Arvien vairāk pakalpojumu ikdienā saņemam attālināti: sniedzam pieteikumus valsts iestādēm, apmaksājam rēķinus, piesakāmies konsultācijām. Izmantot digitālās vides priekšrocības ir ātri un ērti, bet cik droši? Nepietiekami nodrošinoties pret potenciālajiem kiberuzbrukumiem, valsts iestādes riskē piedzīvot nepatīkamus brīžus, kas var apdraudēt ne tikai pašu reputāciju, bet arī sabiedrības drošību. Ko nepietiekama kiberdrošība nozīmē lietotājiem? Pašvaldības iedzīvotājiem – iespējamu personas datu noplūdi un dezinformāciju; mājaslapas uzturētājiem – organizācijas iekšējo dokumentu apdraudējumu, reputācijas un finanšu riskus. Diemžēl neatkarīgi no pašvaldību lieluma vai pieejamā finansējuma neviena no testēto pašvaldību mājaslapām nav uzskatāma par drošu. Kiberkara gadījumā uzbrucējam pietiktu vien ar dažām minūtēm, lai vājākās mājaslapas padarītu nepieejamas lietotājiem vai pilnībā pārņemtu.

Kiberdrošība ir atkarīga no vairākiem vienlīdz svarīgiem aspektiem – no platformas, uz kuras bāzes uzbūvēta mājaslapa, izmantotās tīmekļa ietvaru un operētājsistēmas versijas, iestatījumiem un informācijas tehnoloģiju speciālistiem, kas pārvalda šo sistēmu. Apkopojot novērtējuma rezultātus, jāsecina, ka lielākoties jeb 23% gadījumu Latvijas pašvaldību tīmekļu vietnēs nepilnības saistās ar neatbilstošu lapu konfigurāciju. Pārbaužu laikā atklāts, ka nereti pietiktu pat ar viena datora jaudu, lai pārsniegtu informācijas pieprasījumu apjomu, ko mājaslapa spēj apstrādāt. Tas nozīmē, ka uzbrucējs viegli var padarīt pašvaldības resursu nepieejamu vai likt reālam lietotājam stundām ilgi gaidīt atbildi no sistēmas. Citas biežāk sastopamās ievainojamības saistītas ar nepietiekamu datu aizsardzību un nepilnībām autentifikācijas procesā. Šīs trīs galvenās problēmas un to daudzveidīgās nianses šobrīd rada lielākos riskus pašvaldību kiberdrošībai. Kas tad īsti ir pašvaldību mājaslapu vājās vietas?

Konfigurācija ir visu mājaslapas funkcionālo un fizisko komponentu kopums jeb, vienkārši runājot, iestatījumi. Ja mājaslapai rodas problēmas ar konfigurācijas pārvaldību, kiberuzbrucējs var patvaļīgi mainīt mājaslapas saturu, viegli padarīt to nepieejamu un pat pilnībā pārņemt. Lai mazinātu šādu risku varbūtību, ir svarīgi sekot visiem pieejamiem atjauninājumiem, kas pilnībā neizslēdz, bet būtiski sarežģī kiberuzbrukumu. Vēl labāk – ieviest proaktīvus drošības risinājumus: viena no pirmajām lietām, ko darīs jebkurš kiberuzbrucējs – pārbaudīs jūsu vietnes ievainojamību. Neļaujiet viņam sevī saskatīt vieglu mērķi.

Datu aizsardzībā liela nozīme ir kriptogrāfijai jeb pareizai informācijas šifrēšanai, lai aizsargātu to pret nevēlamu nolasīšanu. Neievērojot korektas šifrēšanas nosacījumus vai to neizmantojot vispār, datu noplūdes gadījumā visa uzglabātā informācija, piemēram, lietotāju personas dati vai organizācijas iekšējie dokumenti, kļūs pieejami uzbrucējam. Piemēram, ja pašvaldības mājaslapā ievadāt savu personas informāciju, vārdu, uzvārdu, telefona numuru vai adresi, datu noplūdes gadījumā šī informācija būs lasāma uzbrucējam, kas tālāk jau var tikt izmantota ļaunprātīgos nolūkos.

Savukārt trešā vājākā vieta ir autentifikācija jeb process, kura laikā tiek veikta lietotāja identitātes pārbaude datorsistēmā. Neievērojot labo praksi autentifikācijas pārvaldībā, mājaslapas uzturētājs riskē ar lietotāju datu drošību. Uzbrucējs var izmantot ievainojamības, lai pieslēgtos lietotājiem ar dažādām pieejas tiesībām, zagtu datus, mainītu informāciju un potenciāli pārņemtu mājaslapas pārvaldību.

Grūti precīzi novērtēt, kādas sekas var izraisīt veiksmīgs kiberuzbrukums katrai pašvaldībai, jo mājaslapu funkcionalitāte atšķiras. Tomēr var teikt, ka veiksmīga kiberuzbrukuma gadījumā tiktu ietekmēta gan organizāciju darbība un reputācija, gan varētu rasties tieši vai netieši finanšu zaudējumi. Svarīgi apzināties, ka drošībai, īpaši digitālajā vidē, nav mērķa vai galapunkta, kas ir jāsasniedz. Tas ir process, kas regulāri jāpilnveido, domājot soli uz priekšu, lai mazinātu iespējamā uzbrukuma sekas, tāpēc rūpējieties par "iztikas minimumu" – gudru atbildīgo darbinieku, kas seko līdzi IT resursiem un vada pastāvošos riskus, datu rezerves kopiju izveidei, antivīrusa programmas uzstādīšanai un pastāvīgai programmu versiju atjaunināšanai, lai sarežģītu kiberuzbrucēja dzīvi un nodrošinātos pret riskiem sev un sabiedrībai.

Latvijas pašvaldību mājaslapu izvērtējuma gaitā konstatējām 227 dažādas nepilnības – tātad vidēji 15 ievainojamības katrā testētajā pašvaldības mājaslapā. Tas ir liels skaitlis, un atliek vien secināt, ka kiberdrošības jautājumiem jāpievēršas nopietnāk ne tikai pašvaldību, bet arī valsts līmenī.