Šiuolaikinis verslas vis labiau priklauso nuo skaitmeninių sistemų, nuolatinio interneto ryšio ir elektros tiekimo. Didėjant debesijos ir automatizuotų procesų naudojimui, kyla klausimas, kas nutiktų, jei šie kritiniai ištekliai staiga taptų neprieinami.
Ryšio sutrikimai, kibernetinės atakos ar infrastruktūros gedimai gali akimirksniu sustabdyti įmonės veiklą. Ekspertai ragina verslą jau dabar turėti aiškų planą „Dienai X“ – scenarijui, kai kritinės sistemos nustoja veikti.
Nacionalinis kibernetinio saugumo centras (NKSC) prie Krašto apsaugos ministerijos pastebi spartų registruojamų programinės įrangos pažeidžiamumų augimą. Tobulėjantys dirbtinio intelekto sprendimai leidžia šiuos pažeidžiamumus greičiau aptikti ir automatizuotai išnaudoti.
NKSC rekomenduoja nuolat stebėti infrastruktūrą, valdyti pažeidžiamas vietas ir užtikrinti greitą reagavimą. Tarp praktinių patarimų: žinoti ir nuolat atnaujinti naudojamų sistemų bei internetu pasiekiamų išteklių sąrašą, laiku diegti saugumo atnaujinimus, atsisakyti nebepalaikomos programinės įrangos, vertinti tiekimo grandinės rizikas, naudoti stiprią autentifikaciją ir daugiaveiksnį autentifikavimą (MFA), atlikti įsilaužimų testavimą.
Atsparus verslas prasideda nuo plano
„Diena X“ gali reikšti ne tik karinį scenarijų ar sudėtingą kibernetinę ataką. Verslo veiklą gali sutrikdyti elektros tiekimo problemos, nutrūkęs interneto ryšys, debesijos paslaugų sutrikimai, kompromituotos paskyros, tiekėjo problemos ar kritinės sistemos gedimai.
Anot IT sprendimų bendrovės „Heximus“ IT vystymo vadovo Tado Burbos, svarbu ne tik žinoti, ką reikia apsaugoti, bet ir ką daryti, kai apsauga nesuveikia. Veiklos tęstinumo planas neturėtų būti dokumentas, prisimenamas tik po incidento.
„Pirmiausia reikia nustatyti pagrindines rizikas ir tai, kas įmonei yra kritiškai svarbu. Tuomet reikėtų numatyti alternatyvias sistemų lokacijas, atsarginius ryšio kanalus ir tai, kaip sistemos būtų atkuriamos sutrikus pagrindinei infrastruktūrai. Svarbu suprasti, kokiomis sąlygomis verslas galėtų tęsti veiklą, o kokiomis – jau nebe“, – sako T. Burba.
Anot jo, panaši logika galioja ir ryšiui. Greitam veiklai atkurti nepakanka remtis vienu interneto tiekėju ar infrastruktūros tašku. Atsarginiai ryšio sprendimai, skirtingos lokacijos ir infrastruktūros dubliavimas gali padėti išlaikyti veiklą, kai įprasti kanalai neveikia.
Atsarginė kopija dar nereiškia, kad verslas pasirengęs
Dažna klaida – manyti, kad atsparumui pakanka turėti atsargines duomenų kopijas. Tačiau turėti kopiją ir būti įsitikinusiam, kad iš jos galima atkurti veiklą, yra du skirtingi dalymai.
NKSC rekomenduoja atsargines kopijas ne tik reguliariai kurti, bet ir tikrinti. Verslui tai reiškia praktinį klausimą: kiek laiko užtruktų atkurti kritines sistemas, jei pagrindinė IT aplinka taptų neprieinama?
Šį klausimą verta susieti su RTO (Recovery Time Objective) – atkūrimo laiko tikslu. Jei įmonė nėra nusistačiusi, per kiek laiko turi būti atkurtos skirtingos sistemos, krizės metu prioritetai gali būti nustatomi per vėlai arba neteisingai.
„Greitai atsistatančios įmonės iš anksto turi automatizuotą ir reguliariai testuojamą sistemų atkūrimo procesą bei aiškiai apibrėžtus atkūrimo laiko tikslus. Nepasiruošusios organizacijos krizės metu susiduria su „priklausomybių chaosu“ – viena neveikianti sistema blokuoja kitą, o atkūrimas vykdomas klaidinga tvarka“, – teigia NOD Baltic vyresnysis kibernetinio saugumo inžinierius ir ESET ekspertas Ramūnas Liubertas.
Krizėje svarbios ne tik technologijos
Ekspertas pabrėžia, kad veiklos tęstinumas nėra vien IT skyriaus užduotis. Krizės metu svarbūs ne tik technologiniai sprendimai, bet ir žmonės, sprendimų priėmimas bei procesai.
„Atspari įmonė yra ta, kurios gebėjimas išgyventi krizę remiasi ne tik technologijomis, bet ir žmonių, procesų bei sprendimų priėmimo sinergija. Vien atsarginių technologinių priemonių nepakanka – be aiškių procedūrų ir pasiruošusių darbuotojų net moderniausios sistemos gali tapti nenaudingos. Stipri organizacija sugeba ne tik atlaikyti smūgį, bet ir išnaudoti sukrėtimus kaip galimybę transformuotis bei sustiprėti“, – sako R. Liubertas.
Dažnai pamirštama rizika – priklausomybė nuo kitų organizacijų. Įmonė gali turėti atsarginę savo sistemą, tačiau jos veikla vis tiek gali sustoti, jei kritinė paslauga priklauso nuo vieno tiekėjo, jo subrangovo, konkretaus duomenų centro ar ryšio mazgo.
Todėl įmonėms verta įvertinti ne tik savo sistemas, bet ir visą kritinių priklausomybių grandinę: nuo interneto ir debesijos paslaugų iki mokėjimų, tiekėjų, darbuotojų ir komunikacijos kanalų.
„Išankstinis pasiruošimas darbui neįprastomis sąlygomis yra vienas svarbiausių veiksnių. Krizės metu nebebus laiko kurti naujų veiklos modelių. Alternatyvūs komunikacijos kanalai, nuotolinės prieigos, funkcijų dubliavimas ir reguliarios scenarijų simuliacijos leidžia komandai veikti nepanikuojant“, – pridėjo ekspertas.
Pasirengimas veiklos sutrikimams
Ekspertas T. Burba pabrėžia, kad didžiausias praktinis iššūkis daugumai verslo įmonių – ne pati sutrikimo priežastis, o jo padariniai: elektros dingimas, ryšio nutrūkimas ar duomenų prieinamumo praradimas. Jis pataria verslui iš anksto pasirūpinti keliais dalykais:
- Duomenų atsargines kopijas debesijoje – kad sutrikus vietinei IT infrastruktūrai ar elektros tiekimui, duomenys liktų pasiekiami iš kito, geografiškai nutolusio duomenų centro.
- Nepertraukiamo maitinimo šaltiniais (UPS) – bent trumpam laikui, kol įsijungia generatorius arba kol darbuotojai saugiai išjungia sistemas.
- Nuotolinio darbo infrastruktūra – biurui tapus neprieinamam, darbuotojai galėtų saugiai prisijungti prie įmonės sistemų iš bet kurios vietos su interneto ryšiu.
- Aiškiu veiklos tęstinumo planu – iš anksto apibrėžta, kas atsakingas už kokį veiksmą sutrikimo atveju ir kaip informacija perduodama, jei įprasti ryšio kanalai neveikia.
- Alternatyviu interneto ryšiu – pavyzdžiui, mobiliojo ryšio ar palydovinio interneto sprendimu kaip atsarginiu kanalu, jei pagrindinis ryšys sutriktų.
„Popieriuje lengva užfiksuoti, kad turėsime geografiškai atskirą atsarginę infrastruktūrą ir viskas bus suplanuota, tačiau paskaičiavus realią kainą dažnai imamasi taupyti ir dalies sprendimų atsisakoma. Tokiu atveju veiklos tęstinumo planas gali likti tik popieriuje, o realybėje neveikti taip, kaip buvo numatyta“, – teigia T. Burba.
„Diena X“ parodo, kiek įmonė yra pasiruošusi veikti neįprastomis sąlygomis. Iš anksto įvertintos kritinės sistemos, aiškios atsakomybės ir išbandyti veiklos tęstinumo sprendimai padeda sutrikimo atveju greičiau atkurti svarbiausius procesus ir išlaikyti įmonės veiklą.
