Vilniaus miesto kvietimas legaliai tikrinti savivaldybės skaitmeninių sistemų saugumą šiemet virto vienu ryškiausių kibernetinio saugumo įvykių Lietuvoje. „Bug Bounty“ programa sulaukė tokio aktyvumo, kad numatytas prizinis fondas buvo išnaudotas vos per savaitę, todėl naujų paraiškų priėmimas sustabdytas, o organizatoriai pereina prie gautų pranešimų vertinimo.

Tai jau ketvirtas kartas, kai sostinė atveria dalį savo informacinių sistemų etiškiems įsilaužėliams, tačiau šių metų rezultatai gerokai pranoko ankstesnius. Į programą užsiregistravo apie 70 dalyvių, o daugiau nei 30 jų aktyviai ieškojo pažeidžiamumų ir pateikė bent po vieną pranešimą. Iš viso gauta apie 250 pranešimų apie galimas saugumo spragas, nors dalis jų gali būti pasikartojantys.

Kodėl tai svarbu Lietuvos rinkai?

Lietuvoje viešosios paslaugos vis sparčiau keliasi į skaitmeninę erdvę: gyventojai internetu registruojasi pas gydytojus, moka už komunalines paslaugas, naudojasi miesto mobilumo ir atliekų tvarkymo sistemomis. Todėl kibernetinis saugumas Vilniuje, Kaune ir kituose miestuose tampa ne tik IT specialistų, bet ir kiekvieno vartotojo kasdienybės klausimu.

Vilniaus pavyzdys rodo, kad Lietuva seka pasauline tendencija – vis daugiau institucijų renkasi ne uždarą saugumo testavimą, o bendradarbiavimą su etiško įsilaužimo bendruomene. Tokios „Bug Bounty“ programos jau seniai naudojamos tarptautinėse technologijų bendrovėse, o jų pritaikymas viešajame sektoriuje stiprina pasitikėjimą skaitmeninėmis paslaugomis.

Programos veikimo principas ir privalumai

„Bug Bounty“ modelio esmė paprasta: organizacija aiškiai apibrėžia, kokias sistemas galima testuoti, o saugumo tyrėjai legaliai ieško spragų ir už pagrįstus radinius gali gauti piniginį atlygį. Tai leidžia aptikti realias rizikas anksčiau, nei jomis pasinaudoja kibernetiniai nusikaltėliai.

Pagrindiniai tokio modelio privalumai – platesnis testavimo mastas, skirtingos tyrėjų kompetencijos, greitesnis pažeidžiamumų aptikimas ir efektyvesnis biudžeto panaudojimas. Lietuvos verslui tai taip pat aktualu: bankai, e. prekybos platformos, sveikatos priežiūros įstaigos ir savivaldybės gali gauti praktinės naudos iš kontroliuojamo saugumo testavimo.

Kokios sistemos buvo atvertos testavimui?

Šiemet saugumo tyrėjams savo sistemas leido tikrinti Vilniaus miesto savivaldybė ir septynios pavaldžios įstaigos: „ID Vilnius“, „Active Vilnius“, Vilniaus miesto klinikinė ligoninė, Šeškinės poliklinika, Naujosios Vilnios poliklinika, „Vilniaus vandenys“ ir „Vilniaus atliekų sistemos administratorius“.

Tai ypač svarbu lietuviams, nes šios sistemos susijusios su kasdienėmis miesto paslaugomis – nuo sveikatos priežiūros iki vandens tiekimo ir atliekų administravimo. Kuo daugiau spragų aptinkama ir ištaisoma kontroliuojamomis sąlygomis, tuo saugesnė tampa visa skaitmeninė infrastruktūra.

Rezultatai lenkia ankstesnius metus

Šių metų aktyvumas išsiskiria iš ankstesnės statistikos. 2023 metais konkurse buvo pateikti 35 pranešimai, 2024 metais – 46, o 2025 metais – 131. Dabartinis maždaug 250 pranešimų skaičius rodo beveik dvigubą augimą ir didėjantį Lietuvos kibernetinio saugumo bendruomenės brandumą.

Toliau visus pranešimus analizuos konkurso komisija. Ji nustatys, kurie radiniai pagrįsti, kurie dubliuojasi, ir kam priklausys piniginiai prizai. Jei apie tą pačią spragą informavo keli dalyviai, atlygis pagal taisykles atiteks pirmajam pranešėjui.

Ką tai reiškia vartotojams ir verslui?

Vilniaus „Bug Bounty“ sėkmė siunčia aiškią žinutę Lietuvos rinkai: kibernetinis saugumas turi būti nuolatinis procesas, o ne vienkartinis auditas. Viešasis sektorius, startuoliai ir didesnės įmonės gali šį modelį taikyti savo sistemoms, ypač jei jos tvarko asmens duomenis, mokėjimus ar kritines paslaugas.

Lietuvos vartotojams tai reiškia saugesnes skaitmenines paslaugas, mažesnę duomenų nutekėjimo riziką ir didesnį pasitikėjimą technologijomis. O Vilnius dar kartą parodo, kad gali būti ne tik inovacijų, bet ir atsakingo skaitmeninio saugumo lyderis regione.