Um öryggi, veik­leika og vin­marga smala­drengi á vaktinni

Nýjar reglur um öryggi tölvukerfa eru komnar til sögunnar. Gervigreindin hefur margfaldað fjölda þekktra veikleika í hugbúnaði. Á sama tíma verður sífellt flóknara að fást við rekstrarumhverfi í upplýsingatækni. Verkefnið snýst ekki lengur um að koma auga á og laga veikleika heldur að komast yfir að laga þá. Í nýjum veruleika þarf að vakta fólkið sem vaktar mikilvægustu innviðina.

Viðmælendur okkar eru þeir Emil Björn Héðinsson, teymisleiðtogi rekstrarvaktar APRÓ, og Þröstur Jónasson, kallaður Spörri, gagnasérfræðingur hjá sama fyrirtæki. Umfjöllunarefnið er Vöktun & viðbragð, vöktunarþjónusta APRÓ, sem tryggir að faglegir innviðir fyrirtækja séu undir stöðugu eftirliti sérfræðinga og að brugðist sé hratt við rekstraratvikum.

Þolinmóðir smaladrengir

Emil og Spörri eru með áratugareynslu í faginu og segja sjálfir að þolinmæði sé einn mikilvægasti þátturinn í starfinu. Þeir hafa báðir bakgrunn í smalamennsku sem skýrir þessa miklu yfirvegun að vissu leyti. Spörri er úr Bárðardal og hefur að eigin sögn aldrei séð ástæðu til að hlaupa nema á eftir kindum. Emil er hestamaður og eltir líka fé en lætur hestinn helst sjá um hlaupin.

,,Það mikilvægasta í smölun er að vita hvar eigi að standa fyrir, hvert safnið er að fara og sjá fyrir hvað gerist næst, hver hleypur undan. Þetta er ágætis undirstaða fyrir það sem við erum að gera í dag. Þolinmæði, fyrirhyggja og að vita hvenær það á að flýta sér," segir Spörri.

DORA mætt, styttist í NIS-2

DORA tók gildi hér á landi 1. janúar síðastliðinn, en þetta er evrópskt regluverk um öryggi og rekstur tölvukerfa á fjármálamarkaði. Íslenskir bankar, tryggingarfélög og lífeyrissjóðir þurfa nú að sýna fram á hvernig þeir og birgjar þeirra bregðast við bilunum og árásum.

NIS-2-netöryggisreglurnar eru hins vegar enn ókomnar í íslenskt lagaumhverfi og þær munu hafa áhrif á miklu fleiri fyrirtæki og stofnanir en flesta grunar. Þær ná ekki bara til orkuveitna og fjarskipta heldur einnig til matvælaframleiðslu, flutninga, framleiðsluiðnaðar og opinberra stofnana. Fyrirtæki þurfa ekki endilega að vera stór til að falla undir skilgreiningar NIS-2 og verða þar með að innleiða reglurnar.

Varasamt að tefja innleiðingu

Emil segir varasamt að bíða of lengi með að innleiða NIS-2.

,,Töfin er hættulegust þeim fyrirtækjum sem halda að þau þurfi ekki að aðhafast neitt eða að þau muni hafa svigrúm til að grípa til ráðstafana seinna meir. Kröfurnar koma nefnilega ekki einvörðungu frá eftirlitsaðilum, heldur ekki síður frá viðskiptavinum. Bankar og lífeyrissjóðir óttast til dæmis að tölvuþrjótar noti þjónustuaðila til að komast inn í kerfin þeirra. Þess vegna eru þessi fyrirtæki þegar byrjuð að spyrja birgja: Hvernig eru kerfin ykkar vöktuð, hver ber ábyrgðina og hvað gerist ef eitthvað kemur upp um miðja nótt?

Um leið og þú þjónustar fyrirtæki sem fellur undir þessari reglugerðir ertu í raun kominn inn í umgjörð þeirra, hvort sem þér líkar betur eða verr. Og þá dugar ekki að segjast vera með þetta á hreinu. Þú þarft að geta sýnt fram á það," segir Emil.

Þekktum veikleikum fjölgar

Á tæknihliðinni hefur önnur breyting orðið samhliða. Gervigreind er í vaxandi mæli notuð til að leita að veikleikum í hugbúnaði, bæði af þeim sem verja kerfin og þeim sem sækja að þeim. Afleiðingin er sú að þekktum veikleikum fjölgar hraðar en nokkru sinni fyrr.

,,Þetta snýst ekki lengur um að vita af veikleikanum. Þörfin á uppfærslum er einfaldlega orðin miklu meiri en flestir ráða við. Þar liggur stærsti vandinn núna. Þetta er sjaldnast spurning um kunnáttu eða vilja. Það veit enginn betur en upplýsingatæknideildin sjálf hvað þarf að gera. Hún kemst bara ekki yfir verkefnin sín hjálparlaust," segir Spörri.

Hver vaktar þau sem vakta innviðina?

Þróun síðustu missera hefur víða verið sú að fyrirtæki taka reksturinn í meira mæli til sín aftur eftir nokkur ár þar sem var mikið um útvistun. Emil segir APRÓ nálgast vöktun út frá þeim veruleika.

,,Við erum ekki að skipta út tæknifólki. Það er ekki okkar aðferðafræði. Við vinnum þvert á móti með tæknifólkinu. Stundum felst hlutverk okkar til dæmis í því að vakta þau sem eiga að vera að vakta, hvort sem það er innanhússteymi eða annar þjónustuaðili. Það hljómar undarlega þar til fyrsta málið kemur upp sem enginn hafði gert sér grein fyrir að gæti komið upp. Við erum reglulega að grípa mál sem öðrum hefur yfirsést."

Sérfræðingar manna Vöktun & viðbragð

Emil leggur áherslu á að Vöktun & viðbragð-þjónusta APRÓ sé mönnuð sérfræðingum með djúpa þekkingu á innviðum, ekki vaktfólki sem horfir á skjái. Tæknin nemi frávikin en það þurfi dómgreind sérfræðings til að meta við hverju þarf að bregðast strax við.

Vöktun APRÓ nær yfir staðbundin umhverfi, skýjaþjónustur og blandaðar lausnir. Emil segir umfangið oft koma fólki á óvart.

,,Þessi verkefni ganga alls ekki bara út á gagnagrunna og uppitíma þeirra. Þetta snýst um ferla, sjálfvirkar keyrslur, ETL-flæði, vefþjónustur, afköst og tengingar og ekki síst sjálfvirkar prófanir á endurheimt afrita, sem er beinlínis krafa hjá þeim sem falla undir ákveðin regluverk.”

Úttektir í upphafi

Stór hluti verkefna APRÓ í vöktun hefst á úttekt á gagnagrunnaumhverfinu og skýrslu um raunstöðu. Úr slíkri úttekt spretta yfirleitt umbótaverkefni og oftar en ekki samtal um nútímavæðingu kerfa sem hefur verið frestað árum saman.

,,Það er ótrúlega algengt að staðan á tækniinnviðum sé einhvers konar ágiskun. Fólk heldur að það viti hvað er í gangi og hvað er í notkun. Fyrsta skrefið er einfaldlega að komast að því hvað er þarna í alvörunni. Þá fyrst er hægt að forgangsraða uppfærslum af einhverju viti í staðinn fyrir að byrja á því sem er skiptir kannski minna máli," segir Spörri.

Baklandið og vinurinn í símanum

Emil leggur áherslu á að sérfræðingar APRÓ skili ekki bara skýrslum og hverfi svo á braut.

,,Við viljum byggja upp samband og traust. Þetta eru persónuleg tengsl. Ef áhugi er fyrir því að skilja eftir þekkingu hjá viðskiptavininum og gera hans fólk sjálfbært í verkefninu þá gerum við það. Markmiðið er að auka gæði þjónustu hjá viðskiptavinum, ekki að gera þá háða okkur."

Þar skiptir baklandið máli, bæði sérfræðingahópur APRÓ og samstarf við önnur þjónustufyrirtæki í upplýsingatækni. ,,Margir halda að við séum í samkeppni við þessi fyrirtæki en í rauninni erum við miklu oftar að vinna með þeim. Þar hefur myndast vinátta sem er ómetanleg í þessu starfi. Að geta hringt í vin þegar eitthvað óvænt kemur upp er meira virði en flest verkfæri sem við höfum aðgang að," bætir Spörri við.

Vanmetið utanumhald

Að sögn Spörra vanmetur fólk oftast utanumhaldið ,,Að manna sólarhringsvakt er ekki bara launakostnaður. Það er vaktaskipulag, þjálfun, afleysingar í sumarfríum, skjölun á ferlum og sú áhætta sem fylgir því að þekkingin sé bundin við einn eða tvo einstaklinga. Við erum búin að byggja þetta upp hjá okkur innanhúss og sömuleiðis fyrir marga viðskiptavini. Það er einfaldlega hagkvæmara en að hver og einn byggi sína eigin vakt."

,,Þú ert að skipta út ófyrirsjáanlegum útköllum og yfirvinnu fyrir fasta mánaðargreiðslu. Og stærsta hagræðingin kemur af því að laga rót vandamála í staðinn fyrir að slökkva sama eldinn aftur og aftur,” segir Emil að lokum.

Vöktun & viðbragð snýst um hugarró

Með Vöktun & viðbragð frá APRÓ fá viðskiptavinir með öðrum orðum ekki bara tæknilegt eftirlit, heldur reynslumikla smala á vaktina sem sjá fyrir hættur, fyrirbyggja rekstrartruflanir og tryggja að allir hlutaðeigandi geti sofið rótt.

,,Vöktun & viðbragð snýst á endanum um hugarró. Að breyta óvissu og óvæntum útköllum í fyrirsjáanlegan, öruggan rekstur með sérfræðinga APRÓ sem öflugt bakland,” klykkir Spörri út með.

Umfjöllunin birtist í Fréttablaðinu 29. september 2026