Nacionalinės SOC/CSIRT modulinės sistemos sukūrimas Įgyvendinama

2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148 (TIS 2 direktyva), yra svarbus teisinis dokumentas, kuris padėjo pagrindą Saugumo operacijų centrų (SOC), Kompiuterinių incidentų tyrimo tarnybų (CERT) ir Reagavimo į kompiuterinius saugumo incidentus tarnybų (CSIRT) kūrimui ir stiprinimui Europos Sąjungoje. Ši direktyva įpareigoja valstybes nares paskirti nacionalinę CSIRT ir sukurti jų tinklą, siekiant veiksmingai valdyti kibernetinio saugumo incidentus ir didinti atsparumą kibernetinėms grėsmėms. Projektas skirtas šios direktyvos įgyvendinimui. Taip pat projektu planuojama prisidėti prie Nacionalinės kibernetinio saugumo plėtros programos 10.5 uždavinio "„Stiprinti kibernetinį saugumą ir gynybą“. Pagrindiniai SOC, CERT ar CSIRT tikslai – prevenciniai ir atsako į įvykusius incidentus. Nors SOC veiklos tikslai ir taikymo sritis yra platesnė nei CSIRT ar CERT, įprastai pati organizacija, atsižvelgdama į veiklos tikslus, bei optimizuodama turimus resursus, priima sprendimą dėl SOC, CERT ar CSIRT kūrimo poreikio ir funkcijų tarp jų pasiskirstymo, pasirinkdama decentralizuotą, centralizuotą, paskirstytą ar hibridinį modelį. Pagrindinis siekiamas pokytis – trumpesni incidentų valdymo bei jų tyrimo laikai. Saugumo ir incidentų valdymo srities veiklos ir funkcijų struktūrizavimo per SOC, CSIRT ir CERT efektyvumas pasireiškia gebėjimu struktūrizuoti informaciją, kaupti ir sisteminti specifines kibernetinio saugumo žinias, atitinkamai tobulinti procesus ir technologijas, nuolatine stebėsena, koncentracija į saugumo klausimus, sklandesnėmis informacijos mainų procedūromis su kitomis institucijomis ir organizacijomis bei sukaupta kompetencija. Reagavimas į įvairius incidentus bei informacijos apsaugos mechanizmai taip pat dažnai skiriasi priklausomai nuo sektoriaus. Lietuvoje šiuo metu veikia akademinio sektoriaus specifikai pritaikyta kibernetinio saugumo incidentų tyrimų tarnyba LITNET-CERT, nacionalinė NKSC-CERT, privačiame sektoriuje veikiančios BITE-SOC, TEO-CERT, NRD-CSIRT, IGNITIS-CERT, Vilniaus miesto savivaldybės SOC bei IT infrastruktūros tiekėjų įsteigti SOC – Blue Bridge, Santa Monica Networks ir kt. Labiausiai jautrios ir labiausiai pažeidžiamos sritys – finansinis, energetinis sektoriai, sveikatos apsaugos sistema, švietimas, telekomunikacijos, todėl SOC, CSIRT, CERT kūrimasis labiausiai ir yra aktualus būtent šiose srityse, kad mažos ir didelės organizacijos, veikiančios šiuose sektoriuose, galėtų dalintis, kaip viena ar kita organizacija yra atakuojama, gerąja grėsmių valdymo būdų praktika. Projekto aplinką formuoja tokie veiksniai: 1. CSIRT/SOC kiekis ir įvairovė. Lietuvoje nebus įsteigto vieno ir vienintelio nacionalinio CSIRT/SOC, kuris bendrautų tiesiogiai su esminiais ir svarbiais subjektais. Jau yra įsteigta visa eilė privačių ir viešojo sektoriaus SOC. 2. Natūraliai formuojasi tam tikra CSIRT/SOC hierarchinė struktūra. TIS2 direktyva įpareigoja valstybes nares paskirti ar įsteigti vieną arba daugiau CSIRT. Taip pat vieną iš CSIRT paskirti koordinatoriumi. Todėl Lietuvoje formuojasi tokia hierarchinė struktūra: a. NKSC kaip koordinuojantis CSIRT, kuris bendrauja tiek su SOC, tiek su esminiais ir svarbiais subjektais, b. Esminių ar svarbių subjektų įsteigti vidiniai SOC arba juos atstovaujantys paslaugą teikiantys SOC. c. Esminiai ir svarbūs subjektai. 3. NKSC patirtis vykdant nacionalinio CSIRT veiklą ir tiesiogiai bendraujant su kibernetinio saugumo subjektais rodo, kad toks modelis nėra efektyvus, rezultatyvus. Pagrindinė to priežastis – NKSC darbuotojai turi per mažai žinių apie KSS informacines sistemas, vykdomą veiklą, infrastruktūrą, kad galėtų suteikti kokybišką paslaugą. Todėl kyla poreikis KSS turėti arba vidines SOC kompetencijas arba pirkti SOC paslaugą iš išorės. 4. Kooperacija ir efektyvumas. Siekiant efektyviai vykdyti TIS2 direktyvoje nurodytas funkcijas, tik didžiausi KSS gali įsteigti vidinius SOC, kurių žmogiškieji ištekliai galėtų specializuotis kibernetinio saugumo veiklų teikimui ir turėti pakankamą apkrovą. Tuo tarpu vidutiniai ir mažesni KSS turėtų (ir jau tai atlieka) kooperuotis steigiant bendrus SOC arba perkant paslaugas iš SOC paslaugas teikiančių įmonių. Tarptautinėms grupėms priklausantys privatūs subjektai gauna ar gaus SOC paslaugas iš centrinių padalinių. Minėti veiksniai sąlygoja tendencijas, kad įgyvendinant TIS2 direktyvą didės KSS įsteigtų vidinių SOC, bei SOC paslaugas teikiančių įmonių. Tačiau šis pokytis vyksta labai lėtai. Tam trukdo informacijos apie SOC steigimą ir veiklas trūkumas, procedūrų neapibrėžtumas, reikalingų IT įrankių kaina. Įgyvendinant šį projektą bus siekiami šie kiekybiniai rezultatai: a. Sukurta Nacionalinė SOC/CSIRT modulinė sistema. b. Įsteigti 6 saugumo operacijų centrai (SOC), turintys nustatytą vidutinį brandos lygį . c. Įdiegtos techninės tinklų stebėjimo priemonės 40 organizacijų, leisiančios vykdyti informacijos mainus. Kokybiniai rezultatai: a. Paskatintas naujų SOC steigimas, sumažėjęs krūvis NKSC resursams. b. Užtikrintas aukštesnis kibernetinio saugumo lygis projekto apimtyje įsteigtų SOC prižiūrimų organizacijų tinkluose ir sistemose. Įgyvendinant projektą nebus pažeistos horizontaliųjų principų ir chartijos nuostatos.