Supainiotas 0 su 1: IT klaidos kaina – chaosas pasaulyje

Gydytojo klaidos kaina – gali būti matuojama gyvybe. IT profesionalo –  chaosu pasaulyje. Kas tuo netikėjo, galėjo tai pamatyti ar net pajusti penktadienį. Dėl IT sistemos sutrikimo kilo masinė panika.

Pasaulyje strigo oro uostų, bankų, geležinkelio, žiniasklaidos įmonių, parlamentų balsavimo, ligoninių sistemos. (Lietuvoje, tiesa, šįkart praslydome gana lengvai, nes, matyt, nedaug turėjome tos programinės įrangos vartotojų). 

Kas atsitiko?

Koją pakišo automatizavimas. Taip mėgstamas, nes leidžia taupyti laiką ir pinigus. Automatiškai padaryti reikiamus atnaujinimus be žmogaus įsikišimo. Tiesiog suteikiant prieigą trečiosioms šalims prie sistemos. O įrangos tiekėjai savo ruožtu reguliariai automatiškai įdiegia reikiamus atnaujinimus, kad sistema veiktų tinkamai. 

Bet yra vienas vienas bet. Viskas, kas leidžia itin lengvai išspręsti problemą – atveria lengvą kelią ir mega problemoms. Pakanka supainioti nuliuką su vienetu. Ir jis viesulu įsuks pasaulinį chaosą. 

Neapsaugoti nuo klaidų

O nuo klaidų neapsaugotas niekas. Juk net ir linksniuojamos šio kibernetinio incidento kontekste bendrovės „Microsoft“, „CrowdStrike“ yra mega bendrovės. Pastaroji yra pasaulinė kibernetinio saugumo ir grėsmių žvalgybos bendrovė. Specializuojasi reikiamos įrangos diegime. Giriasi, kad dirba su daugiau nei puse Fortune TOP1000 bendrovių. Jos vertė iki krizės dar ketvirtadienį, kaip skelbia „Guardian“, buvo 83 mlrd. dolerių.

Laimei, tai nebuvo tyčinė ataka. Tad ką pamatėme penktadienį – pasaulinę kibernetinės atakos simuliaciją. Nuostoliai tikriausiai bus skaičiuojami milijardais. 

Sistema, pagal savo esmę turinti apsaugoti gyvybiškai svarbias sveikatos apsaugos, bankų, oro linijų ir kitų bendrovių funkcijas – pati jas nulaužė. „Microsoft“ duomenimis, buvo paveikta 8,5 mln. milijonų kompiuterių.

Strateginiai objektai nenaudoja auto update iš trečiųjų šalių

Tiesa, tiek Lietuvoje, tiek pasaulyje strateginiai objektai nenukentėjo. Vandens, elektros tiekimas, gynybos sistemos ir pan. turi savo izoliuotas sistemas. Rūpinasi savo saugumu ir lengvai neprileidžia prie jų trečiųjų šalių. Daug investuoja į tai, kad bet kas negalėtų jų sistemose paleisti programinio kodo. 

Bankai, oro bendrovės, privatūs verslai – jiems itin svarbu efektyvumas ir mažesni kaštai. Automatizacija čia įprastas dalykas, atnaujinimas ir prieigos atiduodami trečiosioms šalims. O nutikus incidentui – visada galima kaltę suversti tos paslaugos tiekėjui ir nusimesti atsakomybę. 

Klaida identifikuota. Panika atslūgsta. Kodėl apie tai vis tiek reikia kalbėti?

Kiek reikia masiniam chaosui sukurti

Šis atvejis puikiai parodė kiek nedaug reikia norint paralyžiuoti ekonomiką ir ištisas įmones. Supainioti vienetą su nuliu. 

Kibernetinio saugumo kontekste tai svarbu bet kuriai įmonei, kuri turi savo el.parduotuvę ar svetainę. Daugelis platformų turi vadinamąjį Auto Update Mode, kai trečiųjų šalių įdiegti modulių atnaujinimai automatiškai įdiegiami ir paleidžiami. Tokiu būdu, išvengiame programavimo kaštų ir laiku gauname atnaujinimus. Patogu. 

Bet ir čia – reikia būti budriems. Patekę į blogų kėslų turinčiųjų rankas, automatiškai gauna ir prieigą prie tūkstančių kompiuterių: virusui platinti, duomenims išgauti, veiklai sutrikdyti. 

Tad šiuolaikiniame pasaulyje pakanka tik motyvo, pinigų ir norėdamas gali sukelti pasaulinio dydžio chaosą, paralyžiuojantį visą ekonomiką. Yra apie ką pamąstyti kibernetinio saugumo kontekste visoms įmonėms ir organizacijoms, kiek būtume pasirengę IT sistemų sutrikimui.