Sutartis gali žlugti dar prieš pasirašant: kodėl kibernetinis saugumas tampa iššūkiu mažoms įmonėms?

Įsivaizduokite: po ilgų derybų su nauju klientu jau ruošiatės pasirašyti sutartį, tačiau vietoj parašo gaunate klausimyną. Kur saugomi jūsų duomenys? Kas turi prieigą prie sistemų? Ką darytumėte įvykus kibernetiniam incidentui? Klausimai iš pirmo žvilgsnio paprasti, tačiau ne kiekviena įmonė turi į juos atsakymus. O kol jų nėra, gali tekti palaukti ir pačiai sutarčiai.

Tokios situacijos tampa vis aktualesnės ir mažoms įmonėms. Didelės organizacijos, susiduriančios su griežtesniais kibernetinio saugumo reikalavimais, ima atidžiau vertinti savo tiekėjus. Šie savo ruožtu dažnai neturi nei atskiro saugumo specialisto, nei laiko gilintis į sudėtingus teisės aktus.

Tech-Park Kaunas bendruomenėje veikianti „TrustGuru“ su tokiais iššūkiais susiduria kasdien. Įmonės operacijų vadovė Rimantė Šimkutė sako, kad verslams vis dar tenka priminti vieną dalyką: kibernetinis saugumas nėra tik IT skyriaus rūpestis. Kartais nuo jo priklauso, ar apskritai pavyks pradėti bendradarbiavimą.

Kai saugumo spragos kainuoja verslo galimybę

Rimantė prisimena atvejį, kai vienas „TrustGuru“ klientas, rinkdamasis naują tiekėją, paprašė įvertinti jo kibernetinio saugumo rizikas. Komanda patikrino naudojamas sistemas, prieigas, galimus pažeidžiamumus. Kilus klausimų, tiekėjo paprašyta pateikti ir pažeidžiamumų skenavimo rezultatus.

„Paaiškėjo, kad tiekėjas naudoja kinišką įrangą su žinomais pažeidžiamumais ir nėra linkęs jos atnaujinti. Klientas to tiekėjo nesirinko“, – pasakoja Rimantė. Anot jos, tokie atvejai keičia įmonių požiūrį į partnerystes. Renkantis tiekėją jau nebeužtenka palyginti kainas ar paslaugų kokybę. Svarbu suprasti ir tai, kokią riziką jo naudojamos sistemos gali kelti pačiam užsakovui.

Tačiau „TrustGuru“ mato ir kitą šios situacijos pusę. Pas juos kreipiasi įmonės, kurioms potencialūs klientai jau yra iškėlę aiškią sąlygą – kol nebus įrodyta atitiktis saugumo reikalavimams, sutartis nebus pasirašyta.

„Todėl mažai įmonei patarčiau vieną dalyką: šitie klausimai ateis. Geriau atsakymus turėti anksčiau, nei sutartis pradės laukti“, – sako Rimantė.

Idėja gimė dar tada, kai verslai bandė susigaudyti BDAR reikalavimuose

„TrustGuru“ istorija prasidėjo 2018 metais, kai įsigaliojo Bendrasis duomenų apsaugos reglamentas (BDAR). Tuo metu technologijų įmonė „Adroiti“ ir teisininkų komanda „Linden“ iš skirtingų pusių matė tą pačią problemą: mažoms įmonėms suprasti ir įgyvendinti naujus reikalavimus buvo sudėtinga, o profesionali pagalba – sunkiai prieinama. Abi komandos suvienijo jėgas ir sukūrė paslaugą, kuri duomenų apsaugos reikalavimus padėtų įgyvendinti ir nedideliems verslams.

Nuo to laiko keitėsi ir pati „TrustGuru“. Prie duomenų apsaugos prisidėjo kibernetinio saugumo konsultacijos, 2023 metais startavo skaitmeninė platforma, o 2024-aisiais komanda pradėjo dirbti su naujais Europos kibernetinio saugumo reikalavimais.

„Tada viskas labai paspartėjo. Didelės organizacijos ėmė klausinėti savo tiekėjų, o tie tiekėjai dažniausiai yra mažos įmonės, kurios neturi nei atskiro žmogaus, nei laiko, nei žinių“, – prisimena Rimantė.

Paaiškėjo, kad vien parengti dokumentus nepakanka. Reikia ir žmogaus, kuris padėtų susigaudyti, nuo ko pradėti, ką būtina padaryti dabar, o ką galima atidėti. Taip 2025 metais „TrustGuru“ pradėjo teikti išorinio kibernetinio saugumo vadovo paslaugas.

Rimantė pastebi, kad apie šį darbą vis dar sklando nemažai mitų. Vienas dažniausių – kad saugumo specialistas ateina tik tam, kad įvestų daugiau taisyklių, programų ir draudimų. Iš tiesų nemaža jo darbo dalis net nėra techninė. Tai pagalba planuojant biudžetą, renkantis tiekėjus, derantis dėl sutarčių ar sprendžiant, kas įmonėje už ką atsakingas.

„Gero kibernetinio saugumo vadovo tikslas yra ne kuo daugiau apsaugų, o kad vadovai suprastų, ką, kaip ir kodėl daro, ir kad veikla nesustotų, net jei kas nors nutiktų“, – aiškina ji.

Kartais klientai skambina net pasitarti, ar verta darbuotojus siųsti į tam tikrus mokymus, ar kaip kalbėtis su IT tiekėju, kai trūksta techninių žinių.

Sukurti sudėtingą sistemą pasirodė lengviau nei padaryti ją paprastą

Šiandien „TrustGuru“ vysto ir savo skaitmeninę platformą, kurioje įmonės gali tvarkyti su saugumo reikalavimais susijusius procesus, dokumentus bei atsakomybes. Dalis darbo automatizuojama, pasitelkiamas ir dirbtinis intelektas.

Tačiau paklausta, kas kuriant produktą buvo sunkiausia, Rimantė atsako kiek netikėtai – ne technologijos. „Sunkiausia buvo įstatymo reikalavimus paversti klausimais, į kuriuos galėtų atsakyti žmogus be teisinių žinių, ir kad atsakymas vis tiek būtų teisingas.“

Pradžioje platforma buvo kuriama mažoms įmonėms, kurioms reikėjo paprasto savitarnos įrankio. Ilgainiui ja pradėjo naudotis ir kibernetinio saugumo vadovai, turintys visai kitokių poreikių.

Komandoje šį skirtumą jie lygina su dviračiu ir motociklu. Vienam naudotojui reikia dviračio – aiškaus, paprasto būdo pasiekti tikslą. Kitam reikia motociklo – daugiau galimybių, lankstumo ir sudėtingesnių funkcijų. Suderinti abu poreikius nėra paprasta, juolab kad nuolat atsiranda naujų teisės aktų ir reikalavimų. „Tokia platforma niekada nebūna baigta“, – sako Rimantė.

Vis dėlto paklausta, kuo komanda šiandien labiausiai didžiuojasi, ji pirmiausia kalba ne apie technologijas. „Labiausiai džiaugiuosi tuo, kad komanda tapo bendruomene, o ne tik kolegomis.“

Kibernetinio saugumo srityje informacija keičiasi kasdien, todėl specialistai nuolat dalijasi naujienomis apie incidentus, aptiktas spragas ir reguliavimo pokyčius. Taip jie padeda ne tik vieni kitiems, bet ir savo klientams.

Žiniomis „TrustGuru“ dalijasi ir už įmonės ribų – rengia nemokamus praktinius seminarus, rašo straipsnius, bendrauja su studentais ir padeda jauniems specialistams. Vien į rugsėjo seminarą užsiregistravo daugiau nei 100 dalyvių. Šiemet komanda taip pat pateko tarp 15 stipriausių „Kickstart Lab“ komandų ir laimėjo piniginį prizą.

Tikslas – kad kibernetinis saugumas nebebūtų prabanga

Artimiausi „TrustGuru“ planai neapsiriboja dabartiniais kibernetinio saugumo reikalavimais. Komanda nori, kad platformoje įmonės galėtų pasirengti ir kitiems Europos Sąjungos reglamentams, tarp jų – Dirbtinio intelekto aktui bei Kibernetinio atsparumo aktui. Idėja paprasta: užuot ieškojusios naujo įrankio kiekvienam naujam reikalavimui, įmonės galėtų viską valdyti vienoje vietoje.

Planuojama, kad vis daugiau darbo atliks ir dirbtinis intelektas. Jis ne tik atsakys į klausimus, bet ir pats primins, kokių veiksmų įmonei reikia imtis. Sudėtingesniais atvejais už platformos ir toliau liks ekspertų komanda.

Tačiau Rimantei svarbiausias ne naujų funkcijų skaičius. „Kibernetinis saugumas yra higiena, bazė, kuri privalo būti, o ne „būtų gerai turėti“”. Būtent tokį požiūrį „TrustGuru“ ir siekia įtvirtinti – kad mažos įmonės į saugumą nebežiūrėtų kaip į brangų formalumą, kurį galima atidėti iki pirmojo rimto kliento klausimyno.

Nes kartais tas klausimynas ateina tada, kai sutartis jau guli ant stalo.

Daugiau apie „TrustGuru“ sprendimus: www.trustguru.ai arba LinkedIn.