Kibernetinis saugumas įmonei dirbtinio intelekto amžiuje: septynios sritys

Įmonė šiandien turi svetainę, pašto domeną, dešimtis debesijos paskyrų, tinklo įrenginį, atsarginių kopijų užduotį ir vis ilgesnį sąrašą programinės įrangos, kurios pati nerašė. Užpuolikai, vis dažniau automatizuotais įrankiais, bando viską iš eilės.

Šis gidas pereina per septynias sritis, kurias prižiūri Northwestern Tideline: kiekvienoje – kas sugenda (viešas atvejis arba gamintojo teiginys su šaltiniu ir data), priemonė, kuri tai uždaro, ir patikra, kurią per maždaug dešimt minučių atliksite patys savo valdymo skydeliuose arba viešame DNS.

Septynios sritys vienoje lentelėje

1. Svetainė, PHP ir TVS

Kas sugenda. 2026 m. spalio 22 d. Nacionalinis kibernetinio saugumo centras (NKSC) paskelbė DUK apie dvi kritines PHP spragas CVE-2026-109618 ir CVE-2026-109619, pagal CVSS v4.0 skalę įvertintas 9,2 balo iš 10.

DUK rašoma, kad PHP naudoja apie 80 proc. Lietuvos svetainių, kad riziką visiškai panaikina tik saugumo atnaujinimas, o nebepalaikomą PHP versiją reikia izoliuoti nuo interneto ir įsivertinti galimybes pereiti prie palaikomos.

Pagal php.net (skaityta 2026-10-24) PHP 8.1 palaikymas baigėsi 2025-12-31, 8.2 saugumo pataisas gauna iki 2026-12-31, 8.3 – iki 2027-12-31, 8.4 – iki 2028-12-31, 8.5 – iki 2029-12-31.

Priemonė. Įvardytas asmuo per sutartą laiką atnaujina TVS branduolį, įskiepius ir PHP šaką, po kiekvieno pakeitimo svetainė patikrinama. Perkėlimo tvarka – PHP versijų palaikymo gide, įskiepių peržiūra – gide apie „WordPress“ įskiepių spragas.

Dešimt minučių. Prieglobos skydelyje perskaitykite PHP versiją: 8.1 ar senesnė – šaka nebepalaikoma jau šiandien, 8.2 – nuo 2027-01-01. TVS skydelyje suskaičiuokite laukiančius atnaujinimus ir abu skaičius užsirašykite su data.

Ką 2026-10-24 matėme Lietuvos įmonių svetainėse (iš 124 svetainių, rodžiusių PHP versiją, 46 veikė nebepalaikoma šaka), aprašyta svetainių saugumo apžvalgoje; tai mūsų sąrašų imtis, ne Lietuvos įmonės apskritai.

2. El. pašto domenas

Kas sugenda. Suklastota sąskaita „iš jūsų adreso“ su kitais banko rekvizitais – įprasčiausias būdas, kaip iš įmonės išeina pinigai. DMARC yra DNS įrašas, nurodantis gaunantiems serveriams, ką daryti su laiškais, nepraėjusiais SPF ir DKIM patikrų.

„Google Workspace“ dokumentacijoje nurodyti trys veiksmai: atmesti (reject), karantinas (quarantine) arba pristatyti; SPF ir DKIM įjungiami pirmiau, DMARC – po 48 valandų. Mūsų 2026-10-24 stebėjime iš 890 domenų 682 (76,6 %) neturėjo vykdomos DMARC politikos – su ta pačia išlyga dėl imties.

Priemonė. SPF, DKIM ir DMARC politika p=quarantine arba p=reject, o ataskaitas kas nors skaito. Žingsniai – gide, kaip įmonei nustatyti DMARC p=reject.

Dešimt minučių. Bet kuriuo viešu DNS įrankiu pažiūrėkite TXT įrašą adresu _dmarc.jūsųdomenas.lt. Jei įrašo nėra arba jame p=none, jūsų domenas gavėjams dar nesako stabdyti suklastotų laiškų. Tai vieša informacija apie jūsų pačių domeną.

3. Paskyros: „Microsoft 365“ ir „Google“

Kas sugenda. 2026 m. birželio 26 d. Valstybinė duomenų apsaugos inspekcija (VDAI) paskelbė skyrusi 450 tūkst. eurų baudą medicinos bendrovei už du asmens duomenų saugumo pažeidimus (du patikrinimai, sujungti į vieną; bauda skirta teisių perėmėjai). Vienas iš jų – išpirkos reikalaujanti ataka, užšifravusi keturių sistemų pacientų ir darbuotojų duomenis.

Pranešime nurodyta, kad abiem atvejais jungiantis per išorinį tinklą (internetu) nebuvo taikomas kelių veiksnių autentifikavimas, o prieiga nebuvo apribota tik įgaliotiems asmenims; išpirkos atakos atveju tai pasakyta apie privilegijuotus naudotojus.

„Sophos“ 2026 m. liepos pranešime spaudai apie apžvalgą „The State of Ransomware 2026“ nurodyta, kad 79 % išpirkos atakų prasidėjo nuo užvaldytos paskyros, o 97 % tokių atvejų daugiaveiksnis tapatumo nustatymas jau buvo įdiegtas – tik ne visur.

Priemonė. Daugiaveiksnis tapatumo nustatymas (MFA) kiekvienoje paskyroje, įskaitant administratorių ir bendras pašto dėžutes, o senieji protokolai išjungti.

„Microsoft“ numatytieji saugumo nustatymai (security defaults) tai daro be papildomo mokesčio: visi naudotojai registruoja MFA, administratoriai jį naudoja kaskart, o senasis autentifikavimas (IMAP, SMTP, POP3) blokuojamas, nes MFA nepalaiko ir leidžia jį apeiti.

„Microsoft“ teigia, kad MFA ir senojo autentifikavimo blokavimas sustabdo daugiau kaip 99,9 % įprastų atakų prieš tapatybes.

Dešimt minučių. „Microsoft Entra“ administravimo centre atidarykite Entra ID → Overview → Properties → Manage security defaults ir perskaitykite, ar jie įjungti; jei naudojate Conditional Access, MFA ataskaitoje suskaičiuokite naudotojus be užregistruoto metodo. „Google Workspace“ atitikmuo – privalomas dviejų žingsnių patvirtinimas (2-step verification).

Surašykite kiekvieną išimtį ir paklauskite, kodėl ji yra.

4. VPN ir tinklo įrenginiai

Kas sugenda. Kraštiniai įrenginiai stovi internete, o jų spragos išnaudojamos masiškai. CISA žinomų išnaudojamų spragų kataloge (KEV) 2026-10-23 buvo 1 756 įrašai; naujausias „Fortinet“ įrašas CVE-2025-61624 (kelio perėjimo spraga keliuose produktuose) pridėtas 2026-10-16. Įrašas kataloge reiškia, kad išnaudojimas pastebėtas, ne vien kad spraga egzistuoja.

Priemonė. Palaikomo leidimo programinė įranga, administratoriaus slaptažodžiai pakeisti iš numatytųjų ir keičiami pasikeitus darbuotojams, MFA VPN prisijungimams, valdymo sąsaja nepasiekiama iš interneto. Išnaudojamos spragos sekamos pagal jūsų įrenginio modelį, o ne naujienose.

Dešimt minučių. Įrenginyje perskaitykite programinės įrangos versiją ir įdiegimo datą, tada palyginkite su gamintojo saugumo pranešimais. Jei valdymo sąsaja atsako viešu adresu, tai pirmas sąrašo punktas.

5. Atsarginės kopijos

Kas sugenda. 2026 m. spalio 8 d. „BleepingComputer“ pranešė apie išpirkos programos ataką prieš Japonijos debesijos tiekėją „IDC Frontier“: bendrovės žodžiais, ji paveikė 495 jos paslauga besinaudojančias įmones ir savivaldybes. Tiekėjo kopijos yra tiekėjo atkūrimo planas, ne jūsų.

Priemonė. Kopija, kurios išpirkos programa jūsų tinkle nepasiekia (atjungta arba nekeičiama), atkūrimo bandymas pagal grafiką ir įrašas, kiek jis užtruko ir ko trūko. Kopija verta tiek, kiek iš jos pavyksta atkurti.

Dešimt minučių. Raskite paskutinio atkūrimo, kurį kas nors iš tikrųjų atliko, datą – ne užduoties, pranešusios „sėkminga“. Jei datos niekas negali įvardyti, tai ir yra išvada. Šią savaitę atkurkite vieną tikrą aplanką ir pamatuokite laiką.

6. NIS2 ir KSIS įrodymai

Kas sugenda. Ne įsilaužimas, o tuštuma: niekas nežino, ar įmonė yra kibernetinio saugumo subjektas, todėl terminai niekam nepriklauso.

NKSC KSRA DUK nurodyta, kad nuo įtraukimo į registrą organizaciniai reikalavimai įgyvendinami per 12 mėnesių, techniniai – per 24 mėnesius, o nepriklausomas auditas atliekamas ne vėliau kaip po 3 metų; tame pačiame DUK organizacinių reikalavimų įgyvendinimo data įvardyta 2026 m. balandžio 17 d.

Kibernetinio saugumo įstatymo 18 straipsnio 4 dalis (redakcija, galiojanti nuo 2026-07-04) reikalauja apie didelį kibernetinį incidentą pateikti ankstyvąjį perspėjimą ne vėliau kaip per 24 valandas, o pranešimą – ne vėliau kaip per 72 valandas nuo sužinojimo momento. KSIS formą, NKSC žodžiais, pildyti gali tik įmonės vadovas.

Priemonė. Taikymo išvada su šaltiniais, nuolat atnaujinamas dokumentų paketas ir incidentų planas, kurį kas nors gali vykdyti antrą valandą nakties. Eiga – gide, ar NIS2 ir KSIS taikomi jūsų įmonei.

Dešimt minučių. Raštu atsakykite: ar esame registre, kada įtraukti, kas saugo politikos dokumentus. Jei pirmas atsakymas – „nežinome“, dešimt minučių skiriama tam, kad paprašytumėte vadovo pasitikrinti, nes prisijungti gali tik jis.

7. Spragos programinėje įrangoje, kuri jau veikia

Kas sugenda. Naujos spragos skelbiamos kasdien, o pataisa padeda tik tada, kai kas nors ją susieja su tuo, kas veikia pas jus. 2026 m. spalio 21 d. Node.js projektas išleido pataisas dešimčiai spragų (CVE), keturios iš jų – aukšto pavojingumo, versijose 26.12.1, 24.22.1 ir 22.23.4, ir priminė, kad gyvavimo pabaigą pasiekusios versijos visada yra paveiktos.

Viena jų, CVE-2026-111497, yra rašymas už buferio ribų Node.js komplektuojamame „Brotli“ dekoderyje: pateikęs išskleidžiamus „Brotli“ duomenis užpuolikas gali sugadinti proceso atmintį iki strigties, atminties atskleidimo ar nuotolinio kodo vykdymo.

Dauguma savininkų nežino, ar įmonėje apskritai kas nors veikia su Node.js – paaiškinimas įraše apie Node.js „Brotli“ spragą.

Priemonė. Rašytinis sąrašas, kas kur veikia (TVS, PHP, Node.js, serveriai, paštas, kraštiniai įrenginiai) su versijomis, ir kasdienis pirminių šaltinių (CVE.org, NVD, CISA KEV, gamintojų pranešimai) lyginimas su tuo sąrašu. Antraštės yra ženklas pasižiūrėti, ne išvada; ar jūsų versija paveikta, sprendžia pats įrašas.

Dešimt minučių. Sudarykite sąrašą: vienas lapas, eilutė vienai sistemai, versija ir asmuo, kuris ją atnaujina. Dauguma įmonių per dešimt minučių jo nebaigia, ir tai jau rezultatas: ko nėra sąraše, to niekas nestebi.

Ribos

Aprašyti atvejai – pavyzdžiai, apie kuriuos paskelbta viešai, ne statistika apie įmones apskritai. Patikros parodo jūsų pačių sistemų būklę ir nieko apie svetimas. Neturime sertifikato, kuris leistų ką nors pavadinti „atitinkančiu reikalavimus“, ir nieko netikriname be rašytinio leidimo.

Jei norite septynias patikras atlikti kartu ir surašyti įrodymus, Northwestern Tideline saugumo patikra prasideda nuo jūsų svetainės adreso ir el. pašto; žmogus atsako per vieną darbo dieną.