Lietuvos kibernetinio saugumo lygis gerėja, tačiau organizacijų branda vis dar atsilieka nuo grėsmių

Kauno technologijos universiteto (KTU) Kibernetinio saugumo kompetencijų centro vadovas Šarūnas Grigaliūnas

Pastaraisiais metais Lietuva reikšmingai sustiprino kibernetinio saugumo sistemą, tačiau grėsmės keičiasi dar greičiau. Dirbtinis intelektas, tiekimo grandinių atakos ir pasirengimas postkvantinei kriptografijai jau šiandien verčia iš naujo įvertinti, ar esame pasiruošę rytojaus kibernetinėms krizėms.

Nors Lietuvos kibernetinio saugumo situacija šiandien yra geresnė nei prieš kelerius metus, ji dar nėra pakankamai brandi, kad atitiktų grėsmių lygį, kuriame Lietuva jau gyvena. Turime stipresnį Nacionalinio kibernetinio saugumo centro (NKSC) vaidmenį, atnaujintą Kibernetinio saugumo įstatymą, įgyvendinamą TIS2 (NIS2) reguliavimą, augantį organizacijų sąmoningumą ir geresnes nacionalines technines priemones.

Tačiau pagrindinė problema yra ne vien technologijų trūkumas. Didžiausia spraga – nevienoda organizacijų branda, nepakankama incidentų pranešimo kultūra, tiekimo grandinių pažeidžiamumas, per lėtas perėjimas nuo formalaus atitikties užtikrinimo prie realaus organizacijų atsparumo ir dar tik besiformuojantis pasirengimas dirbtinio intelekto (DI) bei postkvantinės kriptografijos keliamoms rizikoms.

2025 m. Lietuvoje buvo užregistruoti 2 888 kibernetiniai incidentai – 25 proc. mažiau nei 2024 m. Tačiau oficialioje Nacionalinėje kibernetinio saugumo būklės ataskaitoje pabrėžiama, kad registruoti skaičiai neatspindi visos situacijos. Dalis incidentų gali likti nepranešti dėl dar nesusiformavusios pranešimo kultūros.

Mažesnis užregistruotų incidentų skaičius nebūtinai reiškia, kad rizika mažėja. Tai gali rodyti ir veiksmingesnę prevenciją, ir tai, kad dalis organizacijų vis dar vengia pranešti apie incidentus arba nežino, kaip tai padaryti.

Kur Lietuva pažeidžiamiausia?

Didžiausios grėsmės Lietuvai artimiausius 3–5 metus, mano vertinimu, bus penkios. Pirmoji – priešiškų valstybių remiamos kibernetinio šnipinėjimo, trikdymo ir įtakos operacijos. Antroji – socialinė inžinerija, kuri dėl DI tampa vis įtikinamesnė. Trečioji – tiekimo grandinių kompromitavimas, kai atakuojamas ne pats kritinės infrastruktūros subjektas, o jo paslaugų teikėjas, programinės įrangos komponentas ar sistemų integratorius.

Ketvirtoji – išpirkos reikalaujančios programos (angl. ransomware) ir duomenų nutekinimas, kai žala daroma ne tik užšifruojant sistemas, bet ir grasinant paviešinti duomenis. Penktoji – strateginis kriptografinis atsilikimas, susijęs su perėjimu prie postkvantinės kriptografijos.

Socialinė inžinerija Lietuvoje jau dabar yra viena didžiausių kibernetinių grėsmių. NKSC duomenimis, 2025 m. socialinės inžinerijos principais grįsti incidentai sudarė 54 proc. visų registruotų incidentų.

Tai reiškia, kad kibernetiniai nusikaltėliai vis dažniau taikosi ne į pačias sistemas, o į žmonių pasitikėjimą, dėmesingumą, emocijas ir prieigos teises. Todėl kibernetinis saugumas nebegali būti suprantamas vien kaip ugniasienės, antivirusinės programos ar techninės kontrolės priemonės. Tai organizacinės kultūros, vadovų atsakomybės, darbuotojų įpročių ir nuolatinio mokymosi klausimas.

Labiausiai pažeidžiamos sritys Lietuvoje yra tos, kuriose saugumo poreikis didelis, tačiau ištekliai riboti. Tai savivaldybių ir viešojo sektoriaus informacinės sistemos, sveikatos priežiūros įstaigos, švietimo ir mokslo organizacijos, smulkesni tiekėjai, aptarnaujantys kritinės infrastruktūros subjektus, taip pat pramonės ir operacinių technologijų aplinkos.

Šiose srityse dažnai trūksta ne tik technologinių sprendimų, bet ir nuoseklios rizikos valdymo praktikos, aiškios atsakomybės, kvalifikuotų specialistų, reguliarių incidentų valdymo pratybų bei sistemingo pažeidžiamumų šalinimo.

Kur šiandien didžiausios spragos?

Dabartinėje Lietuvos kibernetinio saugumo politikoje matau keturis pagrindinius trūkumus. Pirma, per daug organizacijų saugumą vis dar suvokia kaip atitikties reikalavimų, o ne realaus veiklos atsparumo klausimą.

Antra, valstybė ir verslas vis dar nepakankamai dalijasi informacija apie incidentus, beveik įvykusius incidentus ir tiekimo grandinių rizikas. Trečia, kritinės infrastruktūros subjektai ne visada reguliariai testuoja, kaip jie veiktų sutrikus sistemoms, tapatybės paslaugoms, debesijos paslaugų teikėjo veiklai ar ryšio kanalams. Ketvirta, DI saugumo valdymas kol kas juda lėčiau nei DI diegimas organizacijose.

DI srityje Lietuva dar nėra pakankamai pasirengusi. Problema yra ne tai, kad organizacijos nenaudoja DI. Priešingai – DI naudojamas labai sparčiai. Problema ta, kad DI diegimas dažnai vyksta greičiau nei jo saugumo, teisėtumo ir atsakomybės valdymas. Europos DI akto įgyvendinimas jau prasidėjo etapais, todėl viešasis sektorius ir verslas jau dabar turi turėti DI naudojimo politiką, DI rizikų registrą, duomenų valdymo taisykles, modelių vertinimo procesus ir aiškų atsakomybės paskirstymą.

DI kelia kelias naujas rizikas. Pirma, jis leidžia nusikaltėliams kurti įtikinamesnius sukčiavimo laiškus, balsinius skambučius, netikrus vaizdo ir garso įrašus. Antra, DI gali būti naudojamas greitesnei pažeidžiamumų paieškai ir automatizuotoms atakoms. Trečia, pats DI tampa nauju atakos paviršiumi – gali būti kompromituojami modeliai, duomenų rinkiniai, programavimo pagalbininkai, „prompt“ instrukcijos ar programinės įrangos priklausomybės. Europos Sąjungos tinklų ir informacijos apsaugos agentūros (ENISA) 2025 m. grėsmių ataskaitoje taip pat atkreipiamas dėmesys į naujas DI išnaudojančias grėsmes – nuo suklastotų DI įrankių iki užnuodytų mašininio mokymosi modelių ir programinės įrangos paketų. Todėl DI saugumas turi būti traktuojamas kaip kibernetinio saugumo dalis, o ne kaip atskira technologinė mada.

Ką būtina padaryti jau dabar?

Kritinės infrastruktūros atsparumui sustiprinti siūlyčiau kelis konkrečius veiksmus. Pirma, kiekvienas kritinės ar svarbios infrastruktūros subjektas turėtų turėti nuolat atnaujinamą turto, sistemų, priklausomybių ir tiekėjų žemėlapį.

Antra, būtina reguliariai testuoti atsargines kopijas, veiklos tęstinumo planus ir incidentų valdymo procedūras.

Trečia, būtina taikyti privilegijuotų prieigų valdymą, daugiafaktorinę autentifikaciją ir užtikrinti griežtą tapatybių apsaugą.

Ketvirta, pramonės ir operacinių technologijų sistemose reikėtų stiprinti segmentaciją, stebėseną ir atskirtį nuo biuro IT sistemų.

Penkta, būtina parengti sektorinius reagavimo scenarijus, kaip veikti vienu metu sutrikus paslaugų teikėjo veiklai, ryšio kanalams ir tapatybės valdymo sistemai. Šiandien nepakanka turėti planą – jis turi būti išbandytas.

Kas toliau? Trys prioritetai Lietuvai

Jeigu reikėtų įvardyti 3 svarbiausius artimiausių metų prioritetus, išskirčiau šiuos. Pirmas – nacionalinė kritinės infrastruktūros kibernetinio atsparumo programa, kurioje būtų ne tik nustatyti reikalavimai, bet ir numatytas finansavimas, pratybos, matuojami rodikliai bei sektoriniai reagavimo planai.

Antras – nacionalinė DI saugumo ir valdysenos programa, apimanti DI naudojimo taisykles viešajame sektoriuje, DI rizikų registrą, modelių tiekimo grandinės saugumą ir DI reguliavimo smėliadėžę.

Trečias – kriptografinio atsparumo ir perėjimo prie postkvantinės kriptografijos planas, pirmiausia apimantis kritinę infrastruktūrą, valstybės informacines sistemas ir ilgalaikę konfidencialią informaciją. Nacionalinis standartų ir technologijos institutas (NIST) jau 2024 m. paskelbė pirmuosius postkvantinės kriptografijos standartus ir ragina administratorius kuo greičiau pradėti perėjimą, nes visiška integracija užtruks. Europos Sąjunga 2025 m. taip pat paskelbė koordinuotą perėjimo prie postkvantinės kriptografijos kelrodį.

Visa tai veda prie vienos esminės išvados – kibernetinis saugumas nėra vien IT skyriaus problema. Tai nacionalinio atsparumo klausimas. Turime pereiti nuo logikos „ar turime saugumo dokumentus“ prie logikos „ar valstybė, ligoninė, savivaldybė, energetikos įmonė ar finansų įstaiga gali tęsti veiklą vykstant kibernetinei krizei“. Artimiausiais metais laimės ne ta valstybė, kuri turės daugiausia taisyklių, o ta, kuri gebės greičiausiai aptikti grėsmę, pasidalyti informacija, izoliuoti incidentą, atkurti paslaugas ir pasimokyti dar prieš kitą ataką.

KTU Kibernetinio saugumo kompetencijų centro požiūriu, tam būtina glaudžiau jungti mokslą, technologinius eksperimentus, valstybės poreikius ir verslo praktiką.

Reikia daugiau ne teorinių strategijų, o praktinių testavimo aplinkų, pratybų, kibernetinės gynybos simuliacijų, DI saugumo vertinimų, kritinės infrastruktūros scenarijų ir pasirengimo postkvantiniam saugumui. Tai kryptis, kurioje Lietuva gali ne tik vytis kitus, bet ir kurti savo kompetenciją regione.