Miljonikaotused ja varjatud ohud. Küberriske selgitab juhtidele suunatud konverents

Masinatööstusettevõte Hekotek kaotas mullu küberpetturitele üle miljoni, kunstnike liit tänavu 700 000 eurot. Lunavararünnete alla on langenud hulk perearstikeskuseid, hiljuti tehti Merit Tarkvara proovikontode abil ulatuslik õngitsuskampaania ning moedisainer Reet Ausi nime ja visuaali kasutasid küberkurjategijad täielikult toimiva e-poe loomiseks.

Kõigil neil juhtumitel on olnud mõju rünnatud organisatsiooni toimimisele ning halval juhul võib sarnases olukorras kerkida küsimus äri lõpetamisest. Kuigi enamik juhte usub, et nendeni küberründed ei ulatu või nad saavad sellega hakkama, näitab praktika sageli muud.

1. oktoobril toimuv esmakordne Äritehnoloogia küberturbe konverents annab juhtidele ja otsustajatele selge ülevaate, millised küberriskid Eesti organisatsioone ohustavad (sh need, millest avalikult palju ei räägita), kuidas riske hinnata ning milliseid otsuseid teha enne, kui “väike” probleem muutub kulukaks kriisiks.

Konverents jätkub praktiliste kogemuslugudega. Kuigi nii mõnigi suure mõjuga küberrünnak on jõudnud avalikkuse ette, peljatakse tihti neist rääkida. Teisalt on iga sellise loo päevavalgele jõudmine õpetlik kõigile. Küberturbe konverentsil jagab oma õppetunde Eesti Loto infoturbejuht Sigrid Ojavee. Muide, mida kõrgem on organisatsiooni digitaliseerituse tase, seda suurem võib olla risk (ning realiseerumisel seda valusam ka hoop).

Lõunapausi järel selgitab ASi Cybernetica juhatuse liige ja infoturbeinstituudi direktor Dan Bogdanov, kuidas mõjutab küberturvalisust tehisaru levik. Hiljuti on Cybernetica koostöös justiits- ja digiministeeriumiga uurinud tehisintellekti ohtude mõju Eesti riigile ja asutustele, samuti analüüsinud üleilmsete tehisaruplatvormide usaldusväärsust. Kuuleme, millised tehisintellekti ohud on realiseerunud, millised võivad osutuda probleemiks tehisaru suuremal kasutamisel, kuidas ettevõtted-asutused saavad neid ohte vähendada ja nende mõju minimeerida.

Edasi avab 28 ettevõttest koosneva Hansa Grupi tegevjuht Rait Randrüüt, miks lähtuda ettevõtte küberkaitse tõstmisel ELi küberreeglitest (NIS2). Nimelt tegelesid nad mullu süvendatult oma ettevõtete küberturbetaseme tõstmisega. Tänasele tegevjuhile oli see esimene aasta grupi IT-juhi rollis. Seejuures lähtus Hansa Grupp Euroopa Liidu küberregulatsioonist, kuigi polnud selleks kohustatud isik. Miks tasub NIS2 küberreegleid ka laiemalt aluseks võtta?

Seejärel annab küberkaitse idufirma Phishbite kaasasutaja Urmo Keskel nõu, mida meil oleks õppida küberkurjategijatelt. Tema sõnul on maailma edukaimad petturid sageli äriliselt väga head “ettevõtjad”, tegutsedes operatiivselt, süsteemselt ja strateegiliselt. Küberkurjategijate taga on hästi juhitud organisatsioonid, kus testitakse, mõõdetakse, optimeeritakse ja koolitatakse. Seal on inimesed, kelle roll on päriselt kasvatada “ärimahtu“, optimeerida tulemusi ja suurendada kasumlikkust.

Seega nii mõndagi asja teevad nad paremini kui legaalsed ettevõtted. Mõnikord teevad petturid isegi parema toote kui on ettevõtetel, mida nad ründavad või kopeerivad. Urmo Keskeli töö on jälgida professionaalseid petuskeeme, rahvusvahelisi õngitsuskampaaniaid ja organiseeritud küberkuritegevust. Niisiis, mida peaksime küberkurjategijailt aga ise õppima?

Pooletunnise suhtluspausi järel jätkub päev vestlusringiga infoturbejuhist kui sisseostetud teenusest. Infoturbejuht ehk CISO vastutab organisatsiooni infoturvalisuse juhtimise eest, rakendades kaitsemeetmeid ja kontrollides nende toimimist. Selles rollis on vaja häid teadmisi IT-st ning kogemust protsesside ja inimeste juhtimisel. Alati pole oma infoturbejuht aga mõistlik lahendus, kuivõrd CISO kompetentsi hoidmisele kulub märkimisväärne ressurss.

Eestis pakuvad mitmed ettevõtted infoturbejuhte teenusena, boonuseks laialdased kogemused ning erialasertifikaadid. Ühe eksperdi asemel saab organisatsioon nii osaajaga enda käsutusse terve meeskonna, mis katab infoturbe erinevad tahud. Räägimegi, mida arvestada infoturbejuhi kui teenuse puhul, millised on võimalused, volitused ja riskid.

Edasi võtame teemaks, mida katab ja milles aitab küberturbekindlustus. Mõjuga küberintsidentide hulk kasvas mullu Eestis enam kui poole võrra, ületades 10 000 piiri. Oskuslikult valitud kindlustus võib aga hüvitada küberintsidendiga kaasnevate teenuste kulud, organisatsioonile endale tekkinud kahju ja nõuded kolmandatelt osapooltelt.

Konverentsipäeva lõpetab riigi infosüsteemi ameti (RIA) intsidentide käsitlemise osakonna CERT-EE juht Taavi Kupper. Alates 2015. aastast on nad jälginud Eesti küberruumis toimuvat ööpäev läbi. Muuhulgas tuvastab CERT-EE küberintsidente, aitab uurida nende juurpõhjuseid ning nõustab lahendamist. Kellel, millal ja mis küsimustes tasub CERT-EE poole pöörduda?

See pole aga kõik, sest paari ettekande teemad ja esinejad on veel kooskõlastamisel ning lisatakse programmi esimesel võimalusel. Niisiis jälgige konverentsi kodulehte ja sotsiaalmeediat.

NB! Erihinnaga saavad osaleda organisatsioonid, kust registreerub korraga kolm või rohkem inimest. Puudutab ju küberturvalisus nii juhatuse liikmeid, finantsjuhte, tootmisjuhte, arendusjuhte, IT- ja infoturbejuhtidest rääkimata. Viige oma ettevõte või asutus küberturbes korraga uuele tasemele, osaledes kogu juhtkonnaga!