Küberrünnakud: halvimat on võimalik ennetada

SK ID Solution juhatuse esimees ning Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu (ITL) infoturbe nõukoja juht Kalev Pihl räägib, et väikeettevõte võtab kasutusse pigem standardse toote, mida keegi turul teenusena pakub ja ka hooldab. Nii ei defineeri väikeettevõte ise oma turvariske, vaid saab regulaarseid teenuseuuendusi, millega riskid maandatakse. Päris suurtel ettevõtetel on omaette meeskond, kes küberturbe riskidega tegeleb. Vahepeale jäävad aga keskmise suurusega ettevõtted, kes võtavad kasutusse tarkvaralisi erilahendusi, kuid kellel ressurssi küberturbega tegelemiseks napib.

Ka Cybernetica küberturvalisuse osakonna juht Sander Valvas tõdeb, et keskmise suurusega ettevõtted sõltuvad infotehnoloogilistest lahendustest selgelt rohkem kui väikesed. „Näeme, et nende ettevõtete IT-meeskonnad on sageli alarahastatud või ülekoormatud ning süsteemselt teemaga tegelemiseks jääb aega väheseks.“

Pihla sõnutsi tekivad turvaaugud kõige sagedamini siis, kui süsteemile tehakse ühekordne arendus või kohandus ning unustatakse see sinna sellisena mitmeks aastaks: „Kui miljonilist tootmisseadet täiendatakse uue võlliga, siis hoolitsetakse, et see võll saaks hooldatud ning mingi aja pärast välja vahetatud. Sama mõttelaad peaks toimima IT-arenduste juures: kui teen mingi muganduse, siis see aegub mingi aja jooksul ja selleks, et äritegevus seisma ei jääks, tuleks seda mugandust regulaarselt uuendada. Arendused ei ole praktiliselt kunagi ühekordsed – igal tootel on oma elutsükkel ning iga asi vajab hoolt.“

Tihti tehakse Valvase sõnul süsteemiuuendus mitme osapoole poolt: serverid, andmebaasid, rakendus ise, selle installeerimine ja haldamine võivad olla eri teenusepakkujate käes. „Kõiki neid tuleb aga vaadata komplekssena koos. See tähendab, et tarkvaraarenduse juurde on vaja planeerida ettevõtte sisemist ressurssi enam, sageli aga jääb ettevõtte poolset projektijuhtimist ja kontrolli väheks. Samuti ei mõelda turvatestimiste peale ja pannakse süsteem lihtsalt püsti.“

Igasuguse teenuse turul eksisteerib erineva kogemuse ja profiiliga tegijaid ning tellijal ongi tihtilugu keeruline aru saada, kes mõtleb küberturbega seotud teemad läbi ja kes mitte. „Tegelikult peaks tellija ise nõudma, et süsteem oleks ehitatud turvaliselt ja läbimõeldult. Probleem on selles, et tellija ei oska seda küsida – nad lihtsalt ei tea, mida nõuda,“ räägib Valvas.

Pihla sõnul oleks turule vaja tasakaalustatud dialoogi: „Klient peaks tähelepanu pöörama elementaarsetele turvanõuetele ja need arendajaga läbi rääkima. Teistpidi peaks arendaja olema valmis võtma vastutuse selle eest, mida ta ehitab,“ selgitab Pihl.

Üks võimalus veenduda teenusepakkuja võimekuses on tutvuda ettevõtte senise portfelliga – millega nad on tegelenud, milliseid süsteeme ehitanud ja kuidas need töötanud on. Samuti saab kasutada kolmandat osapoolt, kes aitab hinnata tehtud töö turvalisust ja juhtida tähelepanu vajalikele turvalisusnõuetele. ITL-il on valmimas ka küberturvalisuse hea tava, mis peaks defineerima, mida arenduse mõttes turvaline tarkvara tähendab ja mis peaks kliendil aitama teemast paremini aru saada.

„Tänaseni on mõlemad osapooled pigem töötanud selle põhimõtte alusel, et lahendame ühe probleemi ära ja läheme edasi. See ei tööta enam tänases päevas,“ tõdeb Pihl. Tema sõnul võimaldaks küberturvalisuse hea tava tellijale selgitada küberturvalisusega seotud nüansse, millega peab arvestama ja tegelema, teisalt lepinguliselt kokku leppida, mille eest klient maksab – kui ettevõte tellib tarkvaraarenduse, võtab arendaja lepingulise kohustuse jälgida seal kirjas olevaid punkte. „Arendaja peab olema teadlik infoturbe riskidest, oma toodet selles osas testima ning tegema alati pingutuse, et toode oleks võimalikult ohutu.“ Nii on küberturvalisuse hea tava justkui kvaliteedimärk: klient saab olla kindel, et arenduses on elementaarsed turvariskid maandatud.

Tarkvara arendatakse sadade erinevate tegijate poolt tehtud komponentidest. Arendaja paneb tarkvaraarendusse oma parima teadmise, kuid ei saa vastutada selle eest, et süsteem püsib aastaid turvaline – kui tekib turvaviga ühte komponenti, muutub tarkvara haavatavaks. Selle vältimiseks tuleb tarkvara regulaarselt hooldada, testida ja uuendada.

„Kui ettevõttel endal ressurssi napib, soovitame sõlmida kas tarkvara arendaja või mõne välise partneriga süsteemi hooldamise ja testimise leping – nii on ettevõtte infosüsteemid kaitstud ning välditakse suuremaid probleeme,“ sõnab Valvas.