Latvija ir norūdījusies kiberfrontē. Saruna ar Eiropas Komisijas kiberdrošības ekspertu

28. aprīlī Rīgā norisinājās Baltijas drošības konference, kurā Kristians D’Kunja iepazīstināja ar Eiropas Savienības (ES) kiberkrīžu pārvalsības stratēģijām, aktuālajiem kiberdraudiem, kā arī nākotnes izaicinājumiem.

"Visas valstis, kas atbalsta Ukrainu ir pakļautas kiberuzbrukumu riskam. Labā ziņa ir tā, ka šādi uzbrukumi ES valstīm un ASV ir limitēti. Iemesli tam var būt dažādi, piemēram, Krievija mēģina izvairīties no to darbību atklāšanas, izmantojot ļoti kvalitatīvas metodes. Tāpat iemesls tam var būt tāds, ka valstis pret šādiem uzbrukumiem kļuvušas noturīgākas. Taču ienaidnieks ir aktīvs un nepārtraukti maina savus uzbrukuma veidus," savā prezentācijā uzsvēra D’Kunja.

Kā Covid-19 pandēmija un Krievijas uzsāktais karš Ukrainā ietekmēja kiberdrošību ES? Vai sastapāmies ar kaut ko pilnībā jaunu, iepriekš nepieredzētu?

Covid-19 pandēmijas laikā mēs digitalizējām mūsu dzīves ļoti ātri – ātrāk nekā bijām gaidījuši. Piemēram, pirms 2020. gada "’Zoom’’ video zvans bija visai reta parādība. Bet te pēkšņi mēs visu savu laiku pavadījām, veroties datora ekrānā un izmantojot dažādus rīkus, lai paliktu saskarsmē viens ar otru, jo fiziski satikties nebija iespējams. Tāpat bija jāiemācās lietot jaunas tehnoloģijas, piemēram, kontaktpersonu izsekošanas lietotnes un Covid-19 sertifikāti, kas kļuva par mūsu ikdienas sastāvdaļu.

Tas viss kiberdrošības izpratnē paplašina iespējamo uzbrukumu lauku. Proti, jo vairāk tehnoloģiju tiek savienotas, jo vairāk iespēju tas sniedz sliktajiem cilvēkiem iejaukties, nozagt tavus datus un traucēt tam, ko mēģini darīt.

Domāju, ka pandēmijas laikā nonācām pie sapratnes, ka mums nepieciešams vispārēji stiprināt kiberdrošības standartus. Un pandēmijas sākums bija laiks, kad pieņēmām mūsu priekšlikumu reformēt ES kiberdrošības jeb NIS2 direktīvu. Mums bija sava stratēģija, un mēs ieguldījām milzu līdzekļus no ES budžeta mazo un vidējo uzņēmumu kiberdrošības standartu stiprināšanā.

Kas attiecas uz nākamo krīzi – Krievijas invāziju [Ukrainā], mēs piedzīvojām kiberuzbrukumu aktivitātes palielināšanos, kurai bija nepārprotama politiskā un ģeopolitiskā motivācija. Mēs bažījāmies, ka pastāv kiberkara risks, taču situācija nav tik dramatiska, vienlaikus saglabājoties draudīga. Tā nav dramatiski tādā ziņā, ka mēs ES neredzam kiberuzbrukumus elektrotīkliem, bet tajā pašā laikā notiek dažādas aktivitātes ar mērķi sēt paniku, mazināt iedzīvotāju uzticēšanos valsts pārvaldei un tās drošības institūcijām.

Krievijas "’rokasgrāmata’’ paredz traucēt un iejaukties šajā virzienā, kur kiberaktivitātes ir tikai viens no veidiem.

Savas prezentācijas laikā runājāt par biežāk sastopamajiem kiberdraudiem, tostarp pieminējāt izspiedējprogrammatūras, pakalpojumattieces uzbrukumus (DDoS), spiegošanu un citus. Cik sagatavota ES ir, lai spētu sekmīgi cīnīties pret šādiem draudiem?

Runājot par DDoS*, jums Latvijā ir lieliska datoru avārijas reaģēšanas komanda, kas paveikusi milzīgu darbu, lai aizsargātu sistēmas un vietnes pret šiem uzbrukumiem, kā arī cita veida ļaunprātīgām darbībām.

2010. gadā piedalījos pirmajā ES iekšējās drošības stratēģijas izstrādē, kur pēdējā sadaļa bija par kiberdrošību, kas toreiz bija pilnīgs jaunums. Viens no izvirzītajiem mērķiem bija, ka katrai dalībvalstij jābūt savam CERT. Tagad redzam, ka ne tikai katrai valstij it savs CERT, bet arī šīs institūcijas darbojas efektīvā tīklā, tās dalās ar informāciju un strādā kopā.

Vēl viens aspekts ir izspiedējprogrammatūras** (ransomware – angļu val.), kas ir liels drauds. Daudzi uzņēmumi un organizācijas šādiem uzbrukumiem nav gatavas. Tāpat lielākā daļa nevēlas atzīt, ka tiem uzbrukts, jo tādējādi tiktu atzīta viņu ievainojamība. Līdz ar to domāju, ka ir ļoti daudz zemūdens akmeņu saistībā ar šādiem kiberuzbrukumiem, kā dēļ mēs daudz ko par tiem nezinām.

Mums ir norādes, ka vairumā gadījumā izspiedējprogrammatūru uzbrukumos visdrīzāk tiek samaksātas [informācijas] izpirkuma maksas. Tā ir milzīga problēma, pie kuras mēs šobrīd strādājam, tostarp kopā ar citiem partneriem, it īpaši ASV.

Pievēršoties spiegošanai*** (espionage – angļu val.) – valstis to piekopj. Informācija ir tā, kas visvairāk interesē vismodernākos kiberdraudu dalībniekus. Līdz ar to viens no populārākajiem uzbrukumiem ir pikšķerēšana (phishing – angļu val.), attiecībā pret kuru mums jāveicina lielāka izpratne. Cilvēkiem ir jāiemācās pamanīt pikšķerēšanas mēģinājumus un nevērt vaļā nekādas saites, kurām nav pilnīga uzticība. Un katram uzņēmumam būtu jāuzņemas atbildība par darbinieku izglītošanu.

Jāpiebilst, ka galvenās problēma ir tā – šādi uzbrukumi kļūst arvien sarežģītāki. Proti, labākos pikšķerēšanas mēģinājumus ir gandrīz neiespējami atpazīt, jo tie izskatās ļoti īsti.

* No visiem populārākajiem kiberuzbrukumiem aptuveni 70% ir DDoS. Galvenie mērķi ir vietējā un nacionālā līmeņa pārvaldes, arī veselības aprūpe. Tie ir politiski motivēti, proti, uzbrūk valstīm, kas atbalsta Ukrainu. DDoS uzbrukumu pamata uzdevums ir radīt lielu troksni jeb pievērst sev uzmanību.

** Ik mēnesi ES saņem ap 50 ziņojumu par izspiedējprogrammatūru uzbrukumiem. Tā kā lielākajai daļai organizāciju nav plāna, kā šādā situācijā rīkoties, līdz pat 60% no tiem, kas nonāk šādā situācijā, uzbrucējam samaksā izpirkuma maksu, lai atgūtu bloķētos datus. Šādu kiberuzbrukumu galvenais mērķis ir finansiāls ieguvums, bet tie var būt arī politiski.

*** Eiropas Savienības Tīklu un informācijas drošības aģentūras (ENISA) dati rāda, ka lielākā daļa no kiberspiegošanas gadījumiem netiek pamanīti. Savukārt no tiem, kurus redzam, 63% saistīti ar pikšķerēšanu. Šī ir pieaugoša bīstamība kiberdrošības sakarā

Bet kāda ir kopējā situācija? Vai ES ir gatava uzveikt šos kiberdraudus vai arī vēl ir nepieciešami lieli kiberdrošības uzlabojumi?

Domāju, ka Latvija un citas valstis, kas bijušas Krievijas kiberagresijas frontes līnijās, pērnajā gadā parādīja, ka ir gatavas. Nav bijuši ievērojami draudi. Jā, ir bijuši mēģinājumi, bet neviens no tiem nav izdevies.

Manuprāt, ES izaicinājums ir panākt, ka [dalīb]valstis sadarbojas, jo var būt pārrobežu draudi, kuru novēršanai nepieciešams strādāt kopā, un ievainojamības, kurās varam dalīties.

Ir jāsaprot, ka šeit vienmēr būs noziedznieki. Un tiesībaizsardzības iestādes ar Eiropola starpniecību dara daudz, lai apturētu izspiedējprogrammatūru grupas. Šī infrastruktūra tiek likvidēta, bet joprojām lielākie grupējumi turpina savu darbību, jo tos atklāt ir ļoti grūti.

Manā skatījumā būtiskākais ir saistīts ar ģeopolitisko situāciju un to, ka autoritārajām valstīm ir jāprotas kibertelpā. Ja tās neuzņemas atbildību par to, kas notiek viņu teritorijās, savstarpēji sastrādāties būs ļoti grūti. Mēs būsim pastāvīgā bruņošanās sacensību spēlē, lai aizsargātos pret uzbrukumiem, kas nemitīgi mainās.

Nedomāju, ka pienāks brīdis, kad ES dalībvalstīs pilnībā izskaudīsim kiberdraudus. Bet ir virzieni, kuros mums kopīgi jāstrādā, lai uzlabotu mūsu kiberdrošību.

Kāda ir situācija ES dalībvalstīs – vai ir konsenss par to, ka kiberdrošība ir jāstiprina un kopīgi? Vai arī ir valstis, kurām šajā jautājumā nepieciešama lielāka izpratne?

Domāju, ka tās saprot un kiberdrošība ir liela politiskā prioritāte. Ne velti varam dzirdēt valstu ministrus runājam par kiberdrošību patiešām informētā veidā, ko vēl pirms dažiem gadiem nevarējām novērot. Līdz ar to domāju, ka visi apzinās – tas ir svarīgi.

Tajā pašā laikā tas, kas ES ir jāpatur prātā, ir cieņa pret dalībvalstu drošību un tas, ka kiberdrošība bieži vien ir viņu pašu atbildība. Taču sadarbība ir nepieciešama, lai atrastu kopīgās [drošības] intereses un nonāktu pie vienprātības.

Par kopējo izpratni arī liecina jaunā NIS2 direktīva, kuru nevarētu pieņemt, ja konsensa nebūtu. Taču tas joprojām ir ilgtermiņa projekts, pie kura ES jāturpina kopīgi strādāt.

Kādā virzienā Latvijai būtu jāstrādā, lai stiprinātu savas kiberdrošības spējas?

Es tikai apbrīnoju to, ko šeit darāt, un mans uzdevums nav sniegt padomus.

Interesanti ir tas, ka Ukrainai pērnajā gadā bija nepieciešams visa veida atbalsts, tostarp kiberdrošības ziņā. Taču patiesībā Ukraina ir izstrādājusi dažas no vismodernākajām aizsardzības sistēmām – tā bija spiesta tādas izstrādāt, jo nepārtraukti bijusi pakļauta Kremļa un tā atbalstītāju uzbrukumiem.

Domāju, ka līdzīgi varam raudzīties arī uz citām valstīm šajā Eiropas daļā, kurām arī bija jāstiprina sava noturība. (..) Un ES mēs visi viens no otra mācāmies.

Savā prezentācijā minējāt vairākus nākotnes draudus kiberdrošībā. Kas mums jādara šodien, lai mēs tiem būtu gatavi rīt?

Princips ir tāds pats, pie kura jāstrādā jau ar esošajiem draudiem. Tu nevari digitalizēt un vēl mūsdienīgākā veidā savienot lietas ar internetu, vienlaikus nepaaugstinot kiberdrošības standartus. Piemēram, attiecībā uz mākslīgo intelektu* nevar pateikt, ka pie vainas ir manis izstrādātais mākslīgā intelekta rīks nevis es pats. Ir jāuzņemas atbildība. Šajā ziņā ES ir priekšlikums par mākslīgā intelekta aktu, kuru drīzumā iecerēts pieņemt. Tas ietvers dažādus kiberdrošības produktus, kuru darbības riska dēļ tiem būs jāatbilst konkrētiem standartiem.

Savukārt, runājot par kvantu datoriem**, tā ir nemitīga sacensība pagūt attīstīt komunikācijas sistēmas, kas spēj tiem turēties pretim, pirms kāds cits pagūst iznīcināt vai uzlauzt visus šifrēšanas rīkus, kurus gadu gaitā esam radījuši.

Tas ir stāsts par izpratnes veicināšanu, produktu drošības standartiem, kiberhigiēnu un citu iesaistīto pušu kopumu. Viennozīmīgas atbildes uz šo jautājumu man nav.

* Mākslīgais intelekts ir liela bīstamība, jo var palīdzēt radīt dziļos viltojumus un pikšķerēšanas ziņas, uzprogrammēt ļaunprogrammatūras, kā arī spiegot.

** Kavntu datori, kas palēnām kļūst pieejamāki, paredz iespējamību, ka var tikt uzlauzti spēcīgāki kiberdrošības šifrēšanas standarti. Patiesībā jau 2020. gadā Ķīnas zinātnieki nāca klajā ar paziņojumu, ka ar kvantu datoru ir iespējams atšifrēt algoritmu, ar kādu mūsdienās darbojas internets.

Pieminējāt izpratnes veicināšanu – cik liela nozīme, jūsuprāt, ir sabiedrības izglītošanai kiberdrošības jautājumos? Vai par to būtu jārunā vairāk?

Jā, protams. Tādēļ arī šobrīd ļoti lielu uzsvaru liekam uz prasmēm un būvējam platformu, lai apvienotu visus resursus, kā arī mēģinātu kiberdrošībai piesaistīt vairāk cilvēku, it īpaši sievietes.

Kas to, lai zina, cik spēcīgi mēs būtu kiberdrošības nozarē, ja tā būtu plašāk pārstāvēta?! Līdz ar to ir skaidrs, ka tas viss sākas skolā. Mēs darām daudz, lai kiberdrošība tiktu iekļauta mācību programmās – notiek diskusijas, kur dalāmies informācijā, kā to vislabāk izdarīt.

Tajā pašā laikā jāsaprot, ka bieži vien neaizsargātākie nav jaunieši, bet gan vecākā paaudze, kas neprot tai pieejamās tehnoloģijas lietot drošā veidā.

Paturpinot par iedzīvotājiem, vai ir kaut kas tāds, ko katrs individuālā līmenī var darīt, lai palīdzētu stiprināt kopējo kiberdrošību?

Es neuzliktu slogu uz parastajiem cilvēkiem. Domāju, ka kiberdrošības slogs ir jāuzņemas produktu un pakalpojumu ražotājiem, kuriem ir jāatbild par to, ko tie laiž tirgū un ar ko pelna naudu. Tāpat slogam būtu jābūt uz likumdevēju pleciem, kuri ievieš atbilstošus aizsargmehānismus.

Savukārt individuālā līmenī tas ir stāsts par kiberhigiēnu. Piemēram, ja izej no mājām, neaizslēdzot durvis, un kāds tevi ir apzadzis, tu pēc tam nomaini slēdzeni. Tas pats attiecas uz kiberdrošību.

Ir jādomā par informāciju, kuru ievietojat digitālajā vidē un ar kuru dalāties, tostarp video vai foto, kurus pārsūtat draugiem, proti, vai tā nav dezinformācija. Jādomā par saitēm, uz kurām klikšķinām. Jāizmanto vairāku faktoru autentifikācija, kuru hakeriem ir ļoti grūti uzlauzt. Jāizmanto paroļu pārvaldnieks, lai neizmantotu pārāk vienkāršas paroles. Ir daudz šādu ikdienišķu lietu, ko katrs var darīt.

Rezumējot, vai ES ir ieņēmusi pareizo virzienu, lai spētu tikt galā gan ar esošajiem, gan nākotnes kiberdraudiem?

Jā, tā ir. Domāju, ka ES būtībā ir ekonomisks projekts, un tas nozīmē, ka vēlamies būt konkurētspējīgi, vēlamies radīt spēcīgu digitālo ekonomiku ar labākajiem uzņēmumiem pasaulē. Tas, savukārt, nozīmē, ka kiberdrošība mums ir jāiekļauj visā, ko darām.

Manuprāt, grūtākais vienmēr ir savstarpējā sadarbība. Taču redzam, kā ES virzās uz priekšu, turpina ik mēnesi kopīgi pieņemt jaunas sankciju paketes pret Krieviju kopš tās invāzijas Ukrainā. Tas apliecina, ka ES patiešām smagi strādāt, lai viss tiktu izdarīts kopīgi, jo mēs zinām, ka kopā mēs esam spēcīgāki. Tas pats attiecas uz kiberdrošību.