Padedant vadinamiems etiškiems įsilaužėliams nustatyta ir pašalinta pavojinga kibernetinio saugumo spraga Lietuvos organizacijų plačiai naudojamoje dokumentų ir procesų valdymo sistemoje „Avilys“.

Kaip pirmadienį pranešė Krašto apsaugos ministerija, šią sistemos klaidą testavimo metu aptiko bendrovės „Transcendent Group“ specialistai ir pranešė Nacionaliniam kibernetinio saugumo centrui (NKSC).

„Nuo pandemijos pradžios daugelis įmonių taiko mišrų darbo organizavimo modelį ir leidžia savo darbuotojams prie „Avilio“ ar kitų panašių sistemų jungtis ne tik iš nuolatinių darbo vietų, bet ir iš namų. Dažnu atveju, namuose darbuotojai neturi tokių stiprių apsaugos sistemų, kokias galima užtikrinti nuolatinėje darbo vietoje ir tai automatiškai padidina įsilaužimų riziką. Todėl svarbu nuolat testuoti sistemas ir užtikrinti jų kibernetinį saugumą“, – sako NKSC direktorius Rytis Rainys.

Esame viena iš keturių Europos Sąjungos šalių, kuri pirmoji įteisino tokių „gerųjų“ įsilaužėlių veiklą.

Anot vadovo, testuojant sistemas padeda vadinamieji „etiški įsilaužėliai“.

„Esame viena iš keturių Europos Sąjungos šalių, kuri pirmoji įteisino tokių „gerųjų“ įsilaužėlių veiklą“, – sakė R. Rainys.

Per praėjusius metus NKSC iš viso sulaukė 81 pranešimo apie etiškų įsilaužėlių aptiktas kibernetinio saugumo spragas. Tai yra dvigubai daugiau, lyginant su ankstesniais metais, kai tokių pranešimų buvo gauta 40.

Anot R. Rainio, daugiausiai sulaukta pranešimų apie interneto svetainių ir žiniatinklio sistemų spragas.

„Testuodamas pastebėjau, jog dokumentų valdymo sistemoje esantys duomenys yra laisvai pasiekiami net ir oficialių prisijungimų prie „Avilio“ duomenų neturintiems asmenims. Tačiau didžiausią riziką kėlė ne pati prisijungimo galimybė, o tai, kad nelegaliai prisijungęs asmuo galėjo ne tik susipažinti su ten esančiais dokumentais, bet ir perimti administratoriaus paskyrą bei keisti ar net trinti „Avilyje“ esančius dokumentus. Kitaip sakant, įsilaužėlis turėjo galimybę tapti nematomu organizacijos vadovu, kuris netgi galėjo pakeisti įprastinę organizacijos veiklą“, – pasakojo spragą suradęs „Transcedent Group“ vyresnysis IT saugumo konsultantas Jokūbas Arsoba.

Trūkumus pašalinus ir įdiegus reikiamus sistemos atnaujinimus, tai sustiprino „Avilio“ kibernetinį saugumą.

Atsakingas spragų atskleidimas Lietuvoje buvo įteisintas pernai vasarą.