RIA: mitmed riigiasutused viivitavad küberturvalisuse parandamisega
Läinud aasta märtsis teatas Microsoft, et tema meiliserverite tarkvaras olid turvaaugud, mille kaudu sai ligi e-kirjadele ja salasõnadele. Selleks ajaks olid pahalased, sealhulgas Hiina häkkerid neid auke juba kasutanud aga laiemale avalikkusele – nii klientidele kui kurjategijatele tuli suurfirma teade uudisena. Aukude lappimiseks pakkus Microsoft uuendust. RIA peadirektori asetäitja Gert Auväärti sõnul teeb amet sellistel puhkudel kõik, et info saaks võimalikult kiiresti nii riigiasutused kui elutähtsa teenuse osutajad. Selleks kasutatakse eraldi ohuteateid kui meililiste, oma enda kodulehte, sotsiaalmeediakanaleid kui kapressiteated, rääkis ta. Pärast Microsofti teadet algas võidujooks. Kurjategijad ehitasid kiiresti robotid, mis hakkasid mööda internetti ringi käima ja väljakuulutatud turvaauke otsima. Veebiserverite kasutajad omakorda pidid võimalikult kiiresti uuendused paigaldama ja augud ära lappima. Nädal hiljem selgitas RIA välja, et kaks kolmandikku serveritest olid endiselt auklikud. Ning õige pea selgus, et kurjategijad saidki pihta nii omavalitsustele ja ettevõtetele kui haridus- ja meditsiinivaldkonna postkastidele. "Eks ta on mõneti arusaadav, et igal asutusel ja ettevõttel on oma peamine tegevusvaldkond ja infoturve on selle otsas justkui nagu tüütu lisa, mida samuti on vaja täita. See ei ole nende jaoks põhifunktsioon. Aga kui eirata infoturbest tulenevat nõuet, siis ühel hetkel võib seiskuda selle sama asutuse või ettevõtte põhifunktsiooni täitmine," rääkis Auväärt. Augusti lõpus teatas virtuaalse koostööplatvormi Confluense´i tootja Atlassian, et nendegi süsteemis on kriitiline viga. Sisuliselt lubas see võõra inimese ligi mõne ettevõtte või asutuse siseveebi. "See tähendas, et tal avanes võimalus seal andmeid vaadata, aga ka neid lisada, muuta, kustutada ja kopeerida. Ja soovi korral sinna pahatahtlik kood sisestada, mille abil siis kaevandada krüptot või tekitada mingeid tagauksi, kust uusi rünnakuid läbi viia," selgitas RIA peadirektori asetäitja. Taas kordus tuttav muster. Kõigil oli võimalik kiiresti süsteemiuuendused teha kuid vähemalt kolme riigiasutuse puhul jõudsid kurjategijad ette ning pääsesid meie riigi siseveebidesse kolama. Auväärti sõnul on see siiski edulugu, sest pahalased avastati kiiresti ja olulist kahju väidetavalt ei sündinud. Auväärt viitab usalduslikule suhtele ning ei räägi, kes täpselt turvaküsimustes hooletu on. Aga jaanuari lõpus saadeti pea kõigile riigiasutustele ning omavalitsustele kiri, kus paluti konkreetset meiliaadressi, kuhu turvanõrkustest kirjutada. Kui sinna meilile teavitus tuleb, peab reageerima kohe. "Ei ole seda luksust, et sa paned reede õhtul arvuti kinni kas asutuse infoturbe või IT-juhina ja ütled, et ma tegelen sellega edasi esmaspäeval. Selle sama nädalavahetuse jooksul võivadki need andmed sealt jooksma minna või siis midagi muudetakse või kustutatakse," ütles Auväärt. RIA aastaraamatu lõpuosast leiab tõdemuse et anti-patcherid (vrd: antivaxer) teevad tõenäoliselt muret ka sel aastal. RIA sõnul on need turvajuhid või administraatorid, kes ei uuenda oma asutuse tarkvara ka juhul, kui tarkvara on haavatav ja tootjal on aukude lappimiseks paigad olemas. "Selliseid leidub kahjuks nii meie riigiasutuste kui elutähtsate ja oluliste teenuste osutajate palgal," tõdeb RIA oma aastaraamatus. Auväärt ütleb, et vajadusel teeb RIA ka järelevalvet, kuid lahendus peitub siiski mõtteviisis. "Meil on plaan seda järelevalve võimekust kasvatada, üritame menetluste arvu suurendada. Aga eeldada, et me sellega saaks suure kvaliteedihüppe, on naiivne. Iga asutuse juht ikkagi ise vastutab oma infosüsteemide eest ja meie ülesanne on seda debatti nendega jätkata."
