Kibernetinis saugumas Lietuvoje: dalis organizacijų deda varneles, kiti – iš tiesų auga

Vis sulaukiame žinių apie kibernetinio saugumo incidentus, kurie virsta kibernetinėmis ar net komunikacinėmis krizėmis. Tačiau bendra Lietuvoje veikiančių organizacijų kibernetinio saugumo branda kyla. Tam nemažai įtakos turėjo ir pagal ES NIS2 (liet. TIS2) direktyvą 2024 m. pabaigoje atnaujintas Lietuvos Respublikos kibernetinio saugumo įstatymas. Jis ne tik įpareigojo dalį organizacijų pasirūpinti tiek organizacinėmis, tiek techninėmis kibernetinio atsparumo stiprinimo priemonėmis, bet ir kelti aukštesnius lūkesčius savo paslaugų tiekėjams. Vienas iš daugiausiai diskusijų tebekeliančių įpareigojimų – kibernetinių incidentų valdymas, kurį dažnai organizacijose atlieka Saugumo Operacijų Centras (SOC).

Baziniai reikalavimai – tik pagrindas

„NRD Cyber Security“ kibernetinio saugumo konsultantas Augustinas Daukšas pabrėžia, kad dėl SOC poreikio ir apimties organizacijoms klausimų kyla tikrai daug:

„Iš organizacijų, kurios tapo kibernetinio saugumo subjektais, girdime, kad bene aktualiausias klausimas yra apie realaus SOC reikalingumą. T. y., kai organizacija ne tik kaupia ir retkarčiais peržiūri žurnalinius įrašus, bet ir turi realią L1, L2, L3 analitikų komandą, kuri reaguoja į kibernetinio saugumo incidentus, pažeidžiamus ir grėsmes, juos tiria ir užkardo. Panašu, kad su šia veikla susiję įstatymo pradiniai keliami techniniai reikalavimai yra ganėtinai baziniai dėl galimybės juos atitikti iškart. Todėl, tik juos įgyvendinus, nereikėtų tikėtis efektyviai funkcionuojančios ir pagal geriausias praktikas kasdienius procesus vykdančios SOC komandos. Dabartinis kibernetinio saugumo įstatymas nustato kibernetinių grėsmių ir incidentų stebėjimą vykdyti pagal „atitikties varneles“ ir todėl įprastų ir veiksmingų SOC procesų poreikis nėra aiškiai įvardintas. Dabar šis įstatymas įpareigoja kaupti žurnalinius įrašus ir juos peržiūrėti vieną kart per mėnesį. Visgi kokybiško SOC veikla yra apie pastovią ir proaktyvią, o ne reaktyvią saugumo įvykių ir grėsmių stebėseną. Taigi, iš kibernetinio saugumo subjektų girdime, kad nėra aišku kokio lygio stebėjimo tikimąsi.“

Deividas Stumbras, Nacionalinio kibernetinio saugumo centro (NKSC) IT departamento direktorius pabrėžia, kad NKSC iš organizacijų tikisi sąmoningų sprendimų:
„Įstatymas sąmoningai nustato tik minimalius saugumo reikalavimus: žurnalinių įrašų kaupimą 90 dienų, mėnesinį jų peržiūrėjimą, pažeidžiamumų skenavimą, incidentų pranešimą per 24 ar 72 valandas ir kitus. SIEM ir incidentų valdymo sistema, aptikimo ir analizės sprendimai yra laikomi privalomais visais atvejais, o grėsmių stebėjimas tinklo lygmenyje – rekomenduojamas. Tačiau tai ir yra tik minimalūs reikalavimai, o tikrąjį poreikį kibernetinio atsparumo didinimo pastangoms organizacija turi įsivertinti pati pagal savo valdomas rizikas. Mūsų, kaip reguliuojančios institucijos, lūkestis yra efektyvus SOC, kuris nesiremia tik minimalių techninių kontrolių įgyvendinimu, tačiau padeda organizacijai proaktyviai matyti kibernetinio saugumo grėsmes, geba klasifikuoti incidentus bei žino kada ir kam pranešti.“

Svarbu brandus požiūris į kibernetinį saugumą

D. Stumbras teigia, kad nors per pastaruosius metus kibernetinių incidentų valdymas tapo tikrai „karšta tema“, Lietuvoje reguliacija vis dar išlieka būtinas variklis:

„Dalis organizacijų, priskirtų kibernetinio saugumo subjektams, atnaujintą kibernetinio saugumo įstatymą iš tiesų priima kaip tikrą postūmį, bet taip pat yra nemaža dalis kuri tiesiog „deda varneles“. Kokio dydžio turi būti SOC komanda, kokios technologijos turi būti naudojamos grėsmių stebėsenai ir incidentų valdymui, koks turi būti susitarimas dėl vidinių/išorinių paslaugų lygio ar kiek skirtingų rolių turi apimti SOC procesai ir veikla – visą tai turi įsivertinti ir nuspręsti pats kibernetinio saugumo subjektas.“

Edgaras Baranauskas, „Energy Cells“ informacijos saugos vadovas antrina, kad ne būtinybė atitikti įstatymą, bet būtent organizacijos, ypač jos vadovų požiūris bei situacijos įvertinimas, turėtų būti kertiniai veiksniai:
„Dėmesys ir investicijos į kibernetinį saugumą pirmiausia turėtų būti grindžiami organizacijos rizikomis ir kibernetinio saugumo brandos lygiu. Neverta laukti, ką pasakys įstatymas ar reguliatorius. Reguliavimas yra svarbi paskata, tačiau svarbiausi išlieka organizacijos valdysenos ir rizikų valdymo principai. Mano patirtis energetikos sektoriuje rodo, kad organizacijoms, kurios nuosekliai investavo į kibernetinį saugumą ir buvo pasiekusios aukštesnę brandą, pasirengimas naujam reguliavimui nepareikalavo pradėti nuo nulio. Kai organizacija turi pakankamą įdirbį, atitikti tiek šiandieninius, tiek būsimus reikalavimus tampa gerokai paprasčiau.“

E. Baranauskas tikina, kad jeigu valstybė organizaciją pripažino svarbiu subjektu, reikia prisiimti tą atsakomybę ir nuoširdžiai stiprinti kibernetinį atsparumą:

„Atnaujinto kibernetinio įstatymo didžiulis privalumas – aktualinama trečiųjų šalių (tiekimo grandinės) svarba organizacijos kibernetiniam atsparumui. Tad turime sniego gniūžtės efektą, kai branda kyla ne tik reguliuojamose organizacijose, bet didėja ir tiekėjų kibernetiniam saugumui skiriamas dėmesys. Taigi, įstatymas paliečia ir tas organizacijas, kurios nėra kibernetinio saugumo subjektai.”

Išorės SOC paslaugos gali padėti, tačiau - būtini namų darbai

Jeigu organizacija nusprendžia pirkti saugumo įvykių stebėjimo ir valdymo paslaugas iš išorės tiekėjų, ji turi nuspręsti, kokio lygio paslaugos tai bus, kokios vertės tiksliai tikėsis iš tiekėjo, kokias technologijas naudos ir kokie bus kiti kokybiniai parametrai.

A. Daukšas teigia, kad nors SOC paslaugų konceptas Lietuvos rinkoje tikrai nėra naujiena, visgi iki šiol tai dažniausiai buvo aukštesnį kibernetinės saugos brandos lygį pasiekusių organizacijų pasirinkimas:

„Per pastaruosius metus Lietuvoje tikrai padaugėjo SOC paslaugas perkančių organizacijų ir absoliuti dauguma jų tai darė pirmą kartą. Ženkliai išaugo ir SOC paslaugas Lietuvoje siūlančių tiekėjų skaičius – prieš kelis metus jas siūlė tik keli pagrindiniai rinkos žaidėjai, o šiuo metu rinkoje šias paslaugas siūlančiųjų – jau daugiau nei dešimt. Tačiau didėjanti pasiūla nebūtinai reiškia, kad visur bus vienodas SOC paslaugų standartas. Pastaraisiais metais atsirado daug interpretacijų ką galima vadinti „SOC paslaugomis“. Tad jeigu jūsų organizacija perka SOC paslaugas pirmą kartą, patariame rinktis atidžiai ir pasikalbėti su organizacijomis, kurios su SOC operacijomis „gyvena“ jau ne vienerius metus. Praėjus keleriems metams jau turėsite patirties bei geriau suprasite SOC paslaugų atnešamą vertę ir technologinius bei procesinius niuansus, tad bus kur kas lengviau matuoti ir interpretuoti kokybinius parametrus pakartotiniam pirkimui ar paslaugų pratęsimui.

Deividas Stumbras antrina, kad rinkoje tikrai daug saugumo įvykių stebėjimą siūlančių tiekėjų:

„Organizacijos turėtų tikrai gerai suprasti ką siūlo tiekėjas ir ką tiksliai gaus – ar tai bus tik bazinis stebėjimas ar pilnavertė saugumo komanda su visomis esminėmis grėsmių stebėsenos, incidento valdymo rolėmis ir pilnaverte pagalba atsitikus incidentui. Kol kas tiekėjams reikalavimų taikyti neplanuojama, paliekama rinkos savireguliacijai, bet ateityje gali būti sprendžiama dėl tam tikros kartelės SOC brandai nustatymo remiantis SIM3 ar kitu standartu.“

E. Baranauskas dalijasi, kad SOC paslaugų pirkimas yra tikrai nelengva užduotis:

„Skiriasi tiek tiekėjų siūlomi įrankiai, paslaugos komplektacija bei pažadai apie vertę, kurią organizacijai sukurs jų siūlomos SOC paslaugos. Be abejo, kainodara yra irgi labai įvairi. Jeigu organizacija neturi patirties ar kompetencijų vertinti tiekėjus ir jų siūlomas paslaugas – labai rekomenduočiau pasikalbėti su brandžiomis organizacijomis, kurios turi vidinius SOC, ar naudojasi paslaugomis iš išorės bent keletą metų. Taip pat, pakalbinti ir svarstomo tiekėjo esamus klientus. Tokiu atveju, bus lengviau susidaryti bendrą įspūdį tiek apie kokias paslaugas gausite, tiek su kokiu partneriu dirbsite.“

Publikuota 2026 09 02 „Verslo žinios“: https://www.vz.lt/technologijos/2026/09/02/kibernetinis-saugumas-lietuvoje-dalis-organizaciju-deda-varneles-kiti-is-tiesu-auga-589468