Aktuāls

Kad pienāks beigas Francijas ērai WRC pasaules čempionātā?

Auto, Moto

21.gadsimts ir digitālo tehnoloģiju straujākās attīstības laiks to pastāvēšanas vēsturē. E-grāmatas, e-biļetes, e-pakalpojumi, e-veselības, e-paraksti un eID, digitālās valūtas, Google Glass, 3D printeri, robotika, visdažādāko mobīlo ierīču ekspansija, lietu internetizācija („internet of things”), lielie dati („big data”), „mākoņošana” un virtualizācija, sociālie mediji un, galu galā, mākslīgā intelekta visdažādākie projekti.

Arī Latvijā mēs vai nu jau varam novērot daudz no nosauktā, vai arī esam informēti, ka „process ir sācies”. Kibertelpa ir mums visapkārt katru dienu. Skolas, medicīnas iestādes, sabiedriskais transports, kafejnīcas – visapkārt mums ir neskaitāms daudzums bezvadu un bezmaksas globālā interneta piekļuves punktu un citu lietotāju ar visdažādākajiem „gadžetiem”. Varbūt pie mums vēl gluži nav daudz mājsaimniecību, kuras ar mobīlā telefona aplikāciju palīdzību pieslēdz vai atslēdz signalizāciju, vai, piemēram, pārliecināties vai mājās ledusskapī esošajam pienam nav beidzies derīguma termiņš, bet to, ka, piemēram, Latvijas e-pārvalde un e-vide attīstās straujiem soļiem, šķiet, pamana ikviens valsts iedzīvotājs, ne tikai modernie un mobīlie sociālo mediju pastāvīgie apmeklētāji, tehnoloģiju izstāžu apmeklētāji vai inovatīvākajās nozarēs strādājošie.

Tomēr ir viens būtisks jautājums, kas mūsdienās „spēlē pirmo vijoli” jebkuru politisko un ekonomisko jautājumu kontekstā. Un šis svarīgākais jautājums ir kiberdrošība. Nav noslēpums, ka, pat neskatoties uz stratēģiski svarīgo Latvijas pievienošanos Eurozonai, kas ir kā pamats cerībām pret ārvalstu investīciju sekmīgāku piesaistīšanu, tomēr gan ārvalstu tirdzniecības kameras, gan diplomātiskās pārstāvniecības savās pirmajās jaunā gada misijās uz Latviju (vai virtuālajās darba grupu konferencēs) kā vienu no svarīgākajiem jautājumiem apskata tieši Latvijas attīstību kiberdrošības jomā. Jo Eurozona pati par sevi nenozīmē garantētu ārvalstu investīciju pieplūdi, ja nav pilnīgas pārliecības, ka pati uzņēmējdarbības vide, kura mūsdienās gandrīz visa atrodās digitālajā pasaulē, nav drošībā. Tēlaini salīdzinot, ir tāda pasaka par vienošanos starp ganu puiku un velnu par to, ja velns piebērs cepuri pilnu ar zeltu, tad iegūs ganu puikas dvēseli. Velns skraidīja pa visu pasauli, meklēja zeltu, bēra un bēra, bet nepiebēra, jo cepure bija caura. Būtu naivi cerēt, ka ārvalstu investori nezin šo pasaku.

Kādēļ tieši kiberdrošība ir investoriem tik svarīgs jautājums, lai noteiktu vienas vai otras valsts vai viena vai otra reģiona augstāku investīciju atdeves koeficientu? Autors, protams, varētu te minēt to, ka kibernoziedzības kopējais politekonomiskais kaitējums naudiskā izteiksmē globāli pārsniedz 14 triljonus ASV dolāru, kas ir stipri vairāk par visiem zināmo un plaši diskutēto marihuānas, heroīna, cilvēktirdzniecības un citu būtisku noziedzības un „melno tirgu” mērogiem. Vai arī sākt plaši sākt citēt ASV, Lielbritānijas, Vācijas, Austrālijas, Kanādas u.c. attīstīto valstu nacionālās attīstības stratēģiskos dokumentus, kuros  šis jautājums ir atrunāts konkrētās definīcijās, tomēr tās definīcijas ir augsta līmeņa kopsavilkumi, kurus vajag skatīt detalizētāk, lai saprastu apdraudējuma mērogus un nopietnību. Var arī pieminēt to, ka Latvija pirms dažām dienām ir pieņēmusi savu pirmo kiberdrošības stratēģiju laika posmam 2014.-2018. Tad nu autors centīsies komentēt nozares problemātiku ikvienam iespējami saprotamākā veidā, lai ir skaidri apdraudējumi un risinājumi ir gan privātpersonai, gan mazajiem komersantiem, gan lielajam biznesam un, protams, valsts sektoram.  Šis pagarais raksts ir privāts, informatīvs, subjektīvs kiberdrošības nozarē strādājoša speciālista viedoklis.

Kas ir kibernoziedznieki, to iedalījums un „profesionālās” spējas

Ar vārdu „kibernoziedznieks” parasti apzīmē noteikta profila speciālistu, kas piedalās organizētā digitālo noziegumu veikšanas grupā. Principā, var pārfrāzēt, ka nelegālas biznesa organizācijas, ar mērķi nelikumīgu darbību rezultātā digitālajā vidē gūt peļņu, dalībnieki ir kibernoziedznieki.  Nereti plašāka sabiedrība jauc terminoloģiju, jo uzskata, ka kibernoziedznieki ir tie paši hakeri. Hakeri (specializējas sistēmu uzlaušanā), ir tikai viens no kibernoziedznieku paveidiem, līdzās krāpniekiem („fraudsters” – veido krāpnieciskus paņēmienus, izmanto spama un „pfishing” metodes), kasieriem („cashiers” jeb banku, kredītkaršu kontu sagādnieki), līderiem (pietuvinātie pie reālās kriminālās pasaules, projektu, uzņēmumu vadītāji), „naudas mūļiem” („money mules”), programmētājiem (rada ļaundabīgus kodus), IT ekspertiem un citiem. Visi šie speciālisti darbojās pēc vislabākajiem uzņēmējdarbības organizātoriskajiem principiem – ar strikti noteiktiem biznesa procesiem, ar definētiem mērķiem, stratēģijām, dalībnieku lomu, atbildību, darbības plānu sadalījimiem. Autors vēlētos arī uzsvērt to, ka hakeri jeb eksperti sistēmu ievainojamību atklāšanā, iedalās vismaz divās dažādās grupās – „labie” jeb „whitehat” hakeri, kas nereti palīdz nevalstiskām organizācijām novērst dažādas IT ievainojamības vai arī apmāca IT speciālistus kā novērtēt savu sistēmu ievainojamības pret ļaunajiem jeb „blackhat” hakeriem, tāpēc nebūtu pareizi ikreiz lietot divdomīgo apzīmējumu „hakeris” pret kibernoziedzniekiem.

Kibernoziedznieku profesionālo prasmju saraksts ir garš un iespaidīgs. Miljoniem viltotas un ļaundabīgas mājas lapas, neskaitāmi viltotie profili visdažādākajos sociālajos medijos, miljardiem spama ziņojumu dienā, neskaitāmas ļaundabīgo kodu saturošās aplikācijas mobīlajiem telefoniem, sociālās inžinierijas asprātīgākie triki, uzlauzts un / vai salauzts digitālajā pasaulē ir pilnīgi viss – sākot no ASV Pentagona līdz Anglijas Skotlendjardam, vadošajām ziņu aģentūrām BBC, CNN u.c., un pat Vatikānam. Ļaundarības tiek realizētas neskatoties uz dažādu globālo organizāciju, valstu, izlūkdienestu, datoru incidentu reaģēšanas vienību, aizsardzības ministriju pūlēm. Fonā ir mūsdienu tehnoloģiju bezspēcība, piemēram, agrāk uzticāmie standarta antivīrusi mūsdienās ir tikai kā rotaslieta, jo patiesībā spēj noķert vien mazāk par 50% no visiem jaunajiem apdraudējumiem. Ikvienu ražotāja programmatūrā atstāto ievainojamību vai ikvienu kļūdaino, neapdomīgo katras ierīces konfigurācijas problēmu pirmie atklāj tieši kibernoziedznieki, kas zibenīgi raksta un izplata ļaundabīgo kodu tieši šai ievainojamībai. Un beigās iegūst kontroli pār datoru, mobīlo telefonu, planšetdatoru, interneta rūteri, aplikāciju serveri, web serveri un citām vietnēm vai ierīcēm.

Kādi ir kibernoziegumi, to iedalījums un „pieejamība”

Kibernoziegumi ir tik popuāri, jo tos var veikt no milzīgiem attālumiem, neizmantojot milzīgus resursus un bez lielām investīcijām, tai pat laikā saglabājot absolūtu anonimitāti. Kibernoziedznieku darbība ir atkarīga no noteiktā mērķa, konteksta un pasūtītāja. Pārsvarā finansiāli motivētiem kibernoziedzniekiem ir divi galvenie mērķi – dati un lietotāja identitāte, lai, attiecīgi, ar iegūto identitāti varētu piekļūt pie datiem. Jā, var būt arī konkurentu uzbrukums pakalpojumu pieejamībai vai reputācijai, tomēr galvenā 21.gadsimta valūta ir dati.

Kibernoziedzības kontekstā darbojās „melnais tirgus”, kurā ir iespējams iegādāties kibernoziedznieku „darba augļus” – piemēram, ļaundabīgos kodus specifisku sistēmu uzlaušanai, datu bāzes ar epasta adresēm, telefonu numuriem, kredītkaršu informāciju ar garantēto balansu, sociālo mediju kontus, var pasūtīt konkrētu lietotāju kontu uzlaušanu, var pasūtīt pakalpojumu liegšanas uzbrukumus (DDoS jeb Distributed Denial of Service), var pasūtīt reputācijas uzbrukumus, var pasūtīt fizisku datu nesēju zādzības utt. Interesanti ir tas, ka kibernoziedznieki atgriež naudu, ja uzbrukums nav izdevies, kā arī izmanto mārketinga zināšanas piedāvājot speciālos piedāvājumus, piemēram, pērkot uzbrukumu divām IP adresēm, uzbrukums trešajai pienāksies bez maksas.

Pastāv arī dažādu valstu neoficiāli algotie un politiski motivētie kibernoziedznieki, kas nodarbojās ar industriālo spiegošanu vai kiberterorismu („cyber-warfare” un „cyberterrorism”).  Spilgts piemērs bija Igaunijas, Gruzijas senākie piemēri, vai nesenais Lietuvas incidents ar delfi.lt (teo.lt), kad Lietuva kļuva par ES prezidējošo valsti, un uzreiz valstis, kas nebija apmierinātas ar ES starptautiskajiem lēmumiem, uzbruka Lietuvas telekomunikāciju operātoriem un valsts un privātajām interneta vietnēm. Te var pieminēt arī tādu fenomenu kā haktīvisms („hacktivism”) – kad sabiedrības locekļiem, kas nav apmierināti ar kādas globālas vai lokālas institūcijas lēmumu (piem. Cilvēktiesību, ģeopolitikas vai kādu citu jautājumu kontekstā), „piespēlē” noteiktas datorprogrammiņas, ar kuru palīdzību, tās aktizējot, sabiedrība vienojas kopīgā uzbrukumā noteiktām interneta vietnēm. Tādi piemēri ir bijuši un notiek ļoti plaši gan „Wikileaks”, gan „Anonymous”, gan dažādu kara draudu vai reģionu nemieru jautājumos.

Vēl, protams, pastāv arī kibernoziedznieku kategorija kā „nelojāls darbinieks” (piem. darbinieks aizgāja pie konkurentiem ar visu datu bāzi, vai, piem., IT sistēmu administrātors nopludināja saraksti medijiem utt.), kā arī „garlaikotais pusaudzis”, kas ir apskatījies sociālajos medijos pieejamās pamācības (Youtube, Vimeo u.c.) kā uzlauzt rūterus vai paroles, to parasti veiksmīgi īsteno, jo mūsdienu jaunatne ir visai izglītota digitālo tehnoloģiju jautājumos.

Lai vai kā, visi šie kibernoziedznieku tipi un viņu bizness ir nopietns apdraudējums ne tikai valsts attīstībai, ārvalstu investīciju piesaistei un citiem valstiski svarīgiem jautājumiem, bet arī ikviena mazā, vidējā vai lielā uzņēmēja stratēģisko mērķu sasniegšanai, attīstībai, izdzīvošanai konkurence sapstākļos, un arī ikvieni Latvijā dzīvojošās privātpersonai.

Kāpēc privātpersona ir interesanta kibernoziedzniekiem?

Izvirzīšu pieņēmumu, ka kā privātpersonas mēs internetā mēdzam lasīt ziņas, apmainīties ar viedokļiem un sazināties ar draugiem, radiniekiem, ģimenes locekļiem, veikt maksājumus, izmantos sociālos medijus, skatīties televīzijas un sporta pārraides, klausīties radio, lejuplādēt filmas, augšupielādēt fotogrāfijas, sūtīt un saņemt epastus, piekļūt darba resursiem, spēlēt spēles vai vienkārši sērfot internetā tapat vien, sekojot ieteikumam vai meklējot kaut kādu atbildi uz interesējošo jautājumu. Kā arī, protams, daudzviet šajos minētajos piemēros mēs izmantojam autentificēšanos. Otrs pieņēmums būs tas, ko dzirdēsim no katra trešā aptaujātā, ka nekādu vērtīgu datu uz mūsu datora nav, un mēs pat uzskatam, ka no mums nav zagt tādiem kibernoziedzniekiem. Kāpēc kibernoziedznieks varētu interesēties par mums?

Un tā, ja pieņemam, ka mums tomēr ir kaut kā sanācis nejauši uzklikšķināt uz kāda no tūkstošiem dažādo reklāmas baneru (slēpto un atklāto) ļaundabīgās interneta adreses saites vai arī kāds no radiem, draugiem pašam nezinot sociālajos tīklos vai epastā ir atsūtījis saiti uz ļaundabīgo saiti, un mūsu dators tomēr ir nonācis kibernoziedznieka kontrolē. Bez standarta webkameras un mikrafona kontroles, ar ko tas var ierakstīt audio un video, kiberļaundara rokās vispirms nonāk visi mūsu konti, kuros autentificējamies – sociālie mediji, epasts, darba attālinātās piekļuves, Skype, eBay, Paypal un citi līdzīgie saziņas un pakalpojumu līdzekļi. Tajos hakeris, izmantojot „uzticības faktoru” var jums pat nemanot izplatīt līdzīgas ļaundabīgas interneta saitnes, kurām sakarā ar to pašu „uzticības faktoru” uzklikšķinās un „priecāsies” jūsu radi, draugi, kolēģi, kas ir jūsu epasta adrešu grāmatā vai sociālajos tīklos. Tad vēl ar laiku šis robotdators, ko attālināti kontrolē ļaundaris, var ievākt jūsu kredītkaršu datus vai pat kodu kartes (ja nav nomainīta pret kodu kalkulatoru) visus numurus, sniedzot iespēju piekļūt internetbankai. Tad vēl kibernoziedznieks var izmantot datoru kā glabātuvi un uz jūsu datora slepeni izvietot noteikta veida informāciju, piemēram, bērnu pornogrāfiju, autortiesību aizsargātos darbus, ļaundabīgo kodu failus vai viltoto mobīlo aplikāciju vai antivīrusu programmas. Tad vēl jūsu dators var sākt kalpot kibernoziedzniekam par web-serveri, no kura lejuplādē noglabāto informāciju. Ja spēlējāt spēles vai pirkāt legālās programmas, kibernoziedzniekam „melnajā tirgū” būs papildus ienākumi arī no tādām kibernoziedzniekam automātiski pamanāmām lietām. Kaitējuma pamanīšana noteikti nebūs acumirklīga, dažkārt „uzlauztais” lietotājs kaitējumu pamana pat pēc pāris mēnešiem vai nepamana vispār. Tiesībsargājošām iestādēm tādos gadījumos būs gandrīz neiespējami atklāt vainīgos. Vienīgais risinājums, ko šeit var ieteikt – apmeklēt NetSafe mājas lapu un citus attiecīgos izglītojošos resursus internetā un mācīties, mācīties un, vēlreiz, mācīties, atrast veidus kā balansēt starp drošību, privātumu un nepieciešamību lietot globālā tīmekļa resurus, lai varētu labāk sevi un savus tuvākos aizsargāt. Kibernoziedznieki attiecībā pret privātajiem lieto vieglākā ceļa principu – ja pamana, ka uz datora ir vairākas drošības programamtūras (maksas vai bezmaksas), tad nemaz netērē laiku, dodas meklēt citus, jo interneta lietotāju skaits privātpersonu lokā ir milzīgs.

Kāpēc uzņēmēji ir interesanti kibernoziedzniekiem?

Papildus augstākminētajiem piemēriem, kuri attiecās pret privātpersonu (jo uzņēmēji ir tieši tādas pašas privārpersonas kā pārējie), ir vairāki būtiski papildus apdraudējuma faktori, kurus nereti uzņēmēji kļūdaini neiekļauj uzņēmuma stratēģisko mērķu sasniegšanai apzināmo būtiskāko risku sarakstā. Pirmkārt, uzņēmēji jau kā privātpersonas ir apdraudēti vairāk, jo kibernoziedznieku „ķēriens” būs lielāks. Otrkārt – uzņēmēji ir mērķētu uzbrukumu apdraudēti. Iemesli var būt visdažādākie – vietēja vai starptautiska mēroga konkurence un komerciālā spiegošana (piem. ir tik ērti iegūt konkurentu cenu piedāvājuma ciparus īsi pirms tendera iesniegšanas vai labākā darbinieka atalgojumu, lai zin cik nepieciešams, lai to pārpirktu), atlaisto vai neapmierināto darbinieku atriebība vai pērkamība, politiskā aktivitāte kaut kāda viedokļa paušanā vai dalība konkrētā politiskā partijā, iekšējas nesaskaņas akcionāru vai īpašnieku starpā, vai, galu galā, atrodoties nozares lielāko uzņēmumu publiski pieejamā sarakstā agrāk vai vēlāk pastāv risks būt kibernoziedznieku pamanītam utt. Te gan vēl jāpiemin, ka uz uzņēmēju summējas visi augstāk aprakstītie riski pret katru individuālo privātpersonu, kas ir uzņēmēja darba ņēmējs. Kā arī, uzņēmēja liels risks ir paša IT speciālisti, kuriem ir tāda kā „dieva loma” jebkurā laikā piekļūt visai digitālajai informācijai. Papildus vēl ir arī sodi no valsts par personas datu incidentiem. Rezultāti šiem apdraudējumiem būs tieši tādi paši kā citu uzņēmējdarbības risku piepildīšanās gadījumā – zaudēta tirgus daļa, iedragāta reputācija, tiesvedība, attīstības un konkurences mērķu nesasniegšana, personāla zaudēšana. Kopsavilkums, protams, vienkāršs – zaudēta un neiegūta peļņa un palielināti izdevumi. Risinājums un autora ieteikums ikvienam uzņēmējam, neatkarīgi no uzņēmuma lieluma un uzņēmējdarbības specifikas – ir nepieciešams vismaz apzināt visus iespējamos apdraudējumus, kas ir saistīti ar digitālo tehnoloģiju izmantošanu. Datu un informācijas sistēmu integritāte, pieejamība un konfidencialitāte ir 21.gadsimta „veiksmes atslēga” sekmīgai attīstībai, konkurentspējas uzlabošanai, jaunu tirgu iekarošanai, investoru piesaistei un sekmīgas ilgtermiņa sadarbības veidošanai ar jebkuras valsts un nozares uzņēmumu globālajā „brīvajā tirgū”. Ir skaidrs, ka mazais un vidējais komersants, nekad neinvestēs kiberdrošībā tikpat daudz, cik investē finanšu nozares uzņēmumi, kuriem katra kritisko IT sistēmu dīkstāves minūte izmaksā ārkārtīgi daudz. Taču nevienam uzņēmējam nepatīk nepatīkami pārsteigumi, bet, ņemot vērā augstāk aprakstīto 21.gadsimta realitāti, tādu pārsteigumu iespējamība kļūst arvien lielāka. Turklāt ES ietvaros tiek skatītas pat ļoti drastiskas jaunās regulas, kur pat ir paredzēti daudz ievērojamāki sodi par katru reģistrēto incidentu, nemaz nerunājot par sankcijām pret nereģistrētajiem incidentiem, tāpēc sakārtot jautājumus un izveidot konkrētu iekšējo politiku, kas skar darbinieku, datu, IT sistēmu drošības riskus, nekad nav lieks pasākums. Un te mēs nonākam pie valsts lomas šajā visā.

Kāpēc Latvija ir interesanta kibernoziedzniekiem?

Bez augstāk aprakstītajiem riskiem, kas attiecas pret privātpersonām un uzņēmējiem, Latvija šobrīd ir paaugstinātā riska zonā jeb ļoti interesanta kibernoziedzniekiem. Pirmkārt, Latvija tikko ir iestājusies Eurozonā, kam, bez ekonomikas augstākas stabilitātes līmeņa iegūšanas, teorētiski, vajadzētu radīt arī ārvalstu investoru lielāku interesi, kā arī jaunu biznesu ienākšanu. Otrkārt – visa pasaule ir informēta, ka Latvija drīz būs ES prezidentūras valsts, tātad valstis vai valstu apvienības, kuras paredz ekonomiskas domstarpības ar ES kaut kādos konkrētajos jautājumos, jau, iespējams, gatavo šādus tādus „mājasdarbus” kibertelpā. Treškārt – Latvija ģeogrāfiski atrodās ļoti tuvu valstij, kurā pakalpojumu liegšanas uzbrukumi ir ikdiena. Tur savstarpēji uzbrūk tūroperātori, lielveikalu tīkli, bankas, apdrošinātāji utt. Un nav noslēpums, ka arvien lielāka nauda Latvijā „ieplūst” tieši no Krievijas.

Nelielam kopsavilkumam un diskusijai

Latvija, protams, cenšās, iespēju robežās, turēties līdzās tehnoloģiju attīstībai un censties cīnīties ar apdraudējumiem, kas ir augstāk aprakstīti. Latvijā, protams, ir kvalitatīvs CERT’s un NetSafe projekts (datoru drošības reaģēšanas vienība, Aizsardzības ministrijas pakļautībā), Latvijā ir tikko radīta arī pirmā kiberzemessardze, ir izveidota Latvijas pirmā kiberdrošības stratēģija 2014.-2018.gadam, nozares uzraugošie ļoti aktīvi pārņem pasaules labākās prakses (piem. FKTK pār bankām un apdrošinātājiem, SAB pār valsts kritisko infrastruktūru utt.), tomēr, lai cik tas izklausītos nepieklājīgi uz daudzu nozaru fona, kuru izmisīgie saucieni pēc papildus līdzekļiem netiek ilgus gadus sadzirdēti (medicīnas nozares, izglītības, policistu, glābēju uc.), IT drošības investīcijas valstī ir nepietiekošas. Tieši investīcijas preventīvajos līdzekļos draudu novēršanā, nevis reaktīvajās draudu apmēru noteikšanā un izmeklēšanā. Un ikvienam valsts iedzīvotājam un uzņēmējam ir jāsaprot, ka tieši investīcijas kiberdrošībā dos iespēju piesaistīt ārvalstu investorus, nevis vienkārša iestāšanās Eurozonā. Autoram negribētos būt „pasaules gala pareģotāja lomā”, tomēr viens, liela mēroga, mērķēts kiberuzbrukums valsts kritiskajai infrastruktūrai, bankām, telekomunikāciju operātoriem un mūsu potenciāls, ko, kā politiķi apgalvo, mēs ieguvām ar iestāšanos Eurozonā, būs iztērēts pretī neiegūstot neko citu kā vien starptautisku atpazīstamību par nespēju savlaicīgi sagatavoties pret 21.gadsimta lielāko apdraudējumu. Ja jau mūsu politiķi tik bieži „zīmē paralēles” ar Igaunijas „veiksmes stāstu”, tad derētu atcerēties, ka Igaunijas pirmā kiberdrošības stratēģija tapa jau 2008.gadā, kurai sekoja valsts investīcijas stratēģijas īstenošanai, kam sekoja Igaunijas spējas pārliecināt NATO izveidot tieši Igaunijā NATO Kiberdrošības Ekselences centru (NATO CCD COE), kam sekoja Igaunijas iestāšanās Eurozonā, kam sekoja Latvijas Bankas un politiķu minētie Igaunijas „veiksmes stāsti” ārvalstu investoru piesaistīšanā.

Raksta autors: Andris Soroka, DSS.LV

Izsaki savu viedokli