Kā organizācija pēc kiberincidenta var kļūt noturīgāka nekā pirms tā?

Uzņēmums ir pārdzīvojis nopietnu kiberincidentu. Sistēmas atjaunotas, izmeklēšana noslēgusies, vadība saņēmusi pārskatu un drošības komanda sagatavojusi priekšlikumus. Daļa ieteikumu jau ir ieviesta: pastiprināta autentifikācija, pārskatītas piekļuves tiesības, ieviesti jauni uzraudzības noteikumi un mainīta incidentu eskalācijas kārtība. Pēc vairākiem mēnešiem uzņēmums savā gada pārskatā norāda, ka incidenta pieredze ļāvusi būtiski paaugstināt kiberdrošības noturību. Kā to pārbaudīt? Varētu sākt ar ieviesto pasākumu sarakstu, tomēr tas nepateiktu, kā organizācija uzvestos līdzīgā incidentā. Jauna drošības kontrole var būt uzstādīta, bet neatklāt vajadzīgo uzbrukuma darbību. Jauns incidenta reaģēšanas dokuments var būt apstiprināts, bet dežurējošais darbinieks nezināt, kā to izmantot. Arī veiksmīgi novērsta sākotnējā ievainojamība ne vienmēr nozīmē, ka izlabota sistēmiskā nepilnība, kas ļāva incidentam kļūt nopietnam.

Man interesētu precīzāks jautājums: kāds pierādījums ļauj apgalvot, ka pēc veiktajām izmaiņām organizācija spēj to pašu apdraudējuma veidu atklāt agrāk, ierobežot efektīvāk vai pārciest ar mazāku darbības traucējumu? Turklāt salīdzinājumam jābūt pietiekami korektam, lai rezultātu nevarētu izskaidrot tikai ar vieglāku testa scenāriju, labāk sagatavotu komandu vai izmaiņām testēšanas vidē. NIST SP 800-61 Rev. 3, kas publicēts 2025. gada aprīlī, incidentu reaģēšanu sasaista ar kiberdrošības risku pārvaldību visā organizācijā. Savukārt ENISA 2026. gada kiberdrošības mācību metodoloģija neapstājas pie pēcanalīzes ziņojuma sagatavošanas: tā paredz turpmāko darbību izpildes uzraudzību un efektivitātes pārbaudi. S01S02 Šie principi rada labu pamatu daudz prasīgākai incidentu pēcanalīzei.

Pēc incidenta organizācijai parasti ir vairāk informācijas nekā pirms tā. Var būt noskaidrots uzbrucēja sākotnējais piekļuves ceļš, nepietiekami aizsargātas identitātes, trūkstoši notikumu žurnāli vai kavēta eskalācija. Dažkārt atklājas arī nepilnības, kurām ar sākotnējo kompromitēšanu bijusi tikai netieša saistība: atjaunošanas procedūra nav pārbaudīta, ārējā piegādātāja atbildība nav skaidra vai organizācijas vadība pārāk ilgi nav saņēmusi ticamu informāciju. Šīs zināšanas var būt vērtīgas, taču tās vēl nav jauna organizācijas spēja. Lai zināšanas dotu praktisku rezultātu, nepieciešams mainīt sistēmu konfigurāciju, darba procesu, kompetenci vai lēmumu pieņemšanas kārtību. Pēc tam jāiegūst pierādījumi, ka izmaiņas darbojas apstākļos, kuros iepriekš konstatēta nepilnība.

Viena no tipiskajām kļūdām ir koncentrēšanās uz uzbrukuma redzamāko pazīmi. Ja uzbrucējs izmantojis kompromitētu lietotāja kontu, organizācija var nomainīt paroli un ieviest papildu autentifikācijas prasības. Tas var būt vajadzīgs, bet pēcanalīzei būtu jānoskaidro arī tas, kāpēc piekļuve bija iespējama, kādas privilēģijas kontam bija piešķirtas, kāpēc aizdomīgās darbības netika savlaicīgi pamanītas un vai līdzīgi konti pastāv citviet infrastruktūrā. Nevajadzētu arī pieņemt, ka katru konstatēto problēmu iespējams atrisināt ar jaunu produktu. Dažkārt izšķiroša ir piekļuves tiesību pārvaldība, komandas sasniedzamība, tehniskās telemetrijas pārklājums vai pareiza informācijas nodošana starp iesaistītajiem cilvēkiem.

Incidenta vērtība mācīšanās procesā ir atkarīga no tā, vai izmeklēšanas rezultāti tiek pārvērsti izmaiņās, kuru darbību var pierādīt.

Noturība nav viena tehniska īpašība. Organizācija var labi novērst daļu uzbrukumu, bet slikti atklāt tos, kas tomēr izdodas. Tā var ātri identificēt incidentu, bet nespēt ierobežot tā izplatību bez būtiska pakalpojumu pārtraukuma. Citā gadījumā tehniskās aizsardzības kontroles var darboties korekti, bet krīzes laikā izrādās, ka nav pietiekamas vadības koordinācijas vai ārējo piegādātāju pieejamības. Tāpēc pēc incidenta veiktās izmaiņas jāvērtē attiecībā pret konkrētu spēju. Var pārbaudīt, vai tiek ierobežota uzbrukuma iespējamība, vai agrāk atklātas aizdomīgas darbības, vai efektīvāk darbojas incidenta ierobežošana un vai kritiskie pakalpojumi spēj turpināt darbu traucējuma laikā. Atjaunošanas spēju detalizēts novērtējums ir atsevišķs uzdevums; to nevajadzētu sajaukt ar visu organizācijas noturības dimensiju novērtējumu.

Izšķiroša ir arī apdraudējuma robeža. Ja organizācija pēc pikšķerēšanas incidenta pierāda, ka uzlabojusies kontu kompromitēšanas atklāšana, tas vēl nepierāda labāku aizsardzību pret programmatūras piegādes ķēdes uzbrukumu vai rūpnieciskās vadības sistēmas atteici. NIST CSF 2.0 izmanto funkcijas Govern, Identify, Protect, Detect, Respond un Recover, lai strukturētu kiberdrošības risku pārvaldību. Šāds sadalījums palīdz noteikt, kurai organizācijas spējai incidenta laikā bijusi nozīme un kurā jomā paredzēts uzlabojums. Tomēr šo funkciju esamība pati par sevi nedod skaitlisku noturības pieauguma mērījumu. S03

Labs pēcanalīzes process sākas ar pierādījumos balstītu notikumu hronoloģiju. Nepieciešams noteikt, kas notika, kad organizācijai par to kļuva zināms, kādu informāciju saņēma iesaistītie cilvēki un kādas darbības tika veiktas. Jānošķir uzbrucēja izraisītie notikumi, organizācijas pieņemtie lēmumi un traucējumi, kas radās no pašas reaģēšanas. Šāds nošķīrums nav tikai tehniska precizitāte. Ja kritisks pakalpojums pārtrūka sistēmas izolācijas rezultātā, tas nenozīmē, ka izolācija bija nepareiza. Iespējams, tā bija vienīgā pamatotā iespēja nepieļaut lielāku kaitējumu. Pēcanalīzei jānoskaidro, kādas alternatīvas bija pieejamas, kāpēc konkrētais lēmums tika pieņemts un vai turpmāk iespējams samazināt tā operacionālās sekas.

Līdzīgi ir ar cilvēku kļūdām. Ja darbinieks nav ziņojis par aizdomīgu situāciju, jānoskaidro, vai viņš vispār varēja atpazīt attiecīgo risku, vai ziņošanas kanāls bija pieejams un kā iepriekšējās apmācībās tika pārbaudīta attiecīgā prasme. Vienkāršs secinājums, ka nepieciešams vēl viens seminārs, bez šādas analīzes var neatrisināt konstatēto problēmu. Praktiskai cēloņu analīzei es izmantotu četras kategorijas: sākotnējais apdraudējuma mehānisms, drošības kontroles nepilnība, organizatoriskie apstākļi un faktori, kas palielināja incidenta sekas. Vienam incidentam var būt vairāki savstarpēji saistīti cēloņi. Tie jāapstiprina ar atbilstošiem pierādījumiem, nevis jāpieņem tikai tāpēc, ka kāds skaidrojums šķiet ticams.

Pēcanalīzes mērķim jābūt uzticamai izpratnei par notikušo un apstākļiem, kas to padarīja iespējamu. Ja process tiek izmantots galvenokārt vainīgā atrašanai, dalībniekiem var rasties motivācija slēpt kļūdas vai nepilnīgu informāciju. Tas savukārt pasliktina pašu analīzi.

Pēcanalīzes dokumentos bieži sastopami ieteikumi ar formulējumiem “uzlabot uzraudzību”, “pastiprināt piekļuves kontroli” vai “pilnveidot incidentu pārvaldības procesu”. Šādi formulējumi var būt pieņemami kā problēmas virziena apraksts, bet tie nav pietiekami konkrēti darba uzdevumi. Piemēram, ja incidenta laikā nav konstatēta neatļauta privileģēta konta izmantošana, uzlabojuma uzdevumam jānosaka, kādi notikumi iepriekš nebija redzami, kāda telemetrija nepieciešama, kā tiks apstrādātas attiecīgās pazīmes un ar kādu testu pārbaudīs atklāšanas spēju. Šeit es atšķirtu trīs pierādījumu līmeņus. Pirmais apliecina, ka izmaiņa ir ieviesta. Otrais pierāda, ka tā darbojas noteiktos testēšanas apstākļos. Trešais palīdz novērtēt, vai šī darbība uzlabojusi attiecīgo operacionālo spēju, nevis tikai radījusi vēl vienu tehnisku signālu vai procedūru.

Izmaiņas izvēle jābalsta incidenta cēloņu analīzē. Nav pietiekami atrast kontroli, kuru viegli ieviest un demonstrēt. Tai jārisina pierādīta vai pamatoti identificēta nepilnība. ENISA 2026. gada mācību metodoloģijas pēcanalīzes ciklā ir paredzēta arī turpmāko darbību izpildes kontrole un ieviesto pasākumu efektivitātes pārbaude, piemēram, atkārtoti izspēlējot uzlabotu scenāriju. S02 Tas ir nozīmīgi, jo novērsta nepilnība un aizvērts uzdevums nav viens un tas pats.

Lai pierādītu noturības izmaiņu, organizācijai vajadzīgs salīdzinājums. Vienkāršākajā gadījumā tas var būt pirms incidenta novērots kontroles trūkums un pēc uzlabojuma veikts tā paša scenārija tests. Sarežģītākās situācijās nepieciešami vairāki testi, ilgāks novērojumu periods vai neatkarīga izvērtēšana. Piedāvāju izmantot sešu lauku novērtējuma ierakstu. Tā ir autora veidota metode, nevis oficiāla NIST vai ENISA klasifikācija.

Piemēram, pieņemsim, ka incidenta laikā kompromitēta konta aizdomīga darbība palika nepamanīta, jo attiecīgie identitātes notikumi netika saņemti uzraudzības sistēmā. Organizācija pēc incidenta ievieš nepieciešamo žurnālu savākšanu un izveido atklāšanas noteikumu. Pirmajā testā tiek pierādīts, ka kontrolēts notikums nonāk pareizajā datu avotā. Nākamajā testā pārbauda, vai atklāšanas noteikums ģenerē atbilstošu signālu un vai analītiķis spēj to pareizi klasificēt. Pēc tam var izvērtēt, vai process darbojas arī tad, ja notikums netiek iepriekš paziņots konkrētajam analītiķim.

Ja visi testi izdodas, organizācijai ir pierādījumi par uzlabojumu noteiktajā atklāšanas scenārijā. Taču nav pamata apgalvot, ka visi kontu kompromitēšanas veidi tagad tiks atklāti. Šāds plašāks secinājums prasītu ievērojami plašāku pārbaudes kopu.

Pirms/pēc salīdzinājumi šķiet vienkārši tikai līdz brīdim, kad sākam salīdzināt reālas situācijas. Incidenta laikā aizsardzības komanda varēja būt pārslogota, telemetrija — daļēji nepieejama un uzbrucēja darbības — nezināmas. Atkārtotā mācībā dalībnieki savukārt var zināt, kuru sistēmu pārbaudīs un kurš uzbrukuma paņēmiens tiks izmantots. Šādos apstākļos labāks rezultāts daļēji var būt izskaidrojams ar testa paredzamību, nevis ar uzlabotu organizācijas spēju. Tāpēc nepieciešams dokumentēt testa tvērumu, priekšnosacījumus, datu avotus, dalībnieku iepriekšējās zināšanas un atšķirības starp salīdzināmajiem scenārijiem.

Īpaši uzmanīgi es vērtētu apgalvojumus, ka incidents organizāciju padarījis “divreiz noturīgāku” vai samazinājis risku par noteiktu procentu. Bez skaidra mērījuma modeļa, salīdzināmiem datiem un nenoteiktības analīzes šādi skaitļi var radīt precizitātes iespaidu, kuru pierādījumi neatbalsta. Arī sekmīgs atkārtots tests vēl nav garantija ilgtermiņa noturībai. Mainās darbinieki, sistēmu konfigurācijas, izmantotie piegādātāji un paši apdraudējumi. Kontrole, kura darbojās testēšanas dienā, var zaudēt efektivitāti pēc vēlākas arhitektūras izmaiņas vai datu plūsmas pārbūves.

Tāpēc vajadzīgi pārskatīšanas nosacījumi: būtiskas sistēmu izmaiņas, jauns līdzīga veida incidents, piegādātāja maiņa, būtiskas izmaiņas apdraudējumā vai kārtējā mācībā konstatēta kontroles atteice. Kontroļu efektivitātes periodiska pārbaude jāpielāgo riska līmenim un izmaksām.

Mērījumu izvēlē pirmais jautājums ir, kādu spēju mēs vēlamies novērtēt. Atklāšanas spējas pārbaudē var būt noderīgs laiks no pārbaudāmā notikuma līdz analītiķa apstiprinātai detekcijai. Eskalācijas pārbaudē var vērtēt laiku līdz kompetenta lēmuma pieņēmēja sasniegšanai. Atkopšanās mācībā nozīmīgi var būt kritiska biznesa procesa atsākšanas nosacījumi un faktiskais rezultāts. Taču katram no šiem rādītājiem jābūt noteiktam tvērumam. Vidējais incidenta atklāšanas laiks var kļūt īsāks tāpēc, ka novērotajā periodā bijuši vienkāršāki incidenti. Lielāks ģenerēto trauksmju skaits ne vienmēr nozīmē labāku draudu atklāšanu. Savukārt mazāks reģistrēto incidentu skaits var būt gan uzlabotas aizsardzības, gan nepietiekamas redzamības sekas.

Es neieteiktu vienu universālu “noturības indeksu”, ja tā aprēķinā vienā skaitlī sajaukti atšķirīgi rādītāji bez pamatotas normalizācijas un svaru izvēles. Vadībai noderīgāks var būt neliels, skaidri definētu rezultātu kopums ar norādi uz konkrēto risku, pārbaudes datumu, tvērumu un atlikušajiem ierobežojumiem. Laba vadības atskaite var saturēt arī negatīvu rezultātu. Ja izmaiņa ieviesta, bet atkārtotā pārbaudē nav devusi gaidīto uzlabojumu, organizācija iegūst būtisku informāciju. Šāds rezultāts nav jāpasniedz kā sasniegta noturības paaugstināšana.

Drošības komanda var kvalitatīvi novērtēt savu tehnisko darbu, taču atsevišķos gadījumos vajadzīga arī neatkarīga pārbaude. Tā ir īpaši vērtīga, ja jāizvērtē būtiska arhitektūras izmaiņa, nopietna kontroles atteice vai iepriekšējā incidentā pieļauti kļūdaini pieņēmumi. Neatkarīga pārbaude nenozīmē, ka katram uzdevumam jāpasūta ārējs audits. Mazākām izmaiņām var būt pietiekami ar citas komandas speciālista veiktu rezultāta pārbaudi. Sarežģītākos gadījumos var būt nepieciešams ārējs tehniskais novērtējums vai mācības ar atšķirīgu scenārija sagatavotāju un izpildītāju.

Vadības pienākums ir nodrošināt, lai pēc incidenta konstatētās problēmas nezaudētu prioritāti, tiklīdz pakalpojumi atgriezušies normālā režīmā. Ja izmaiņa prasa vairākus mēnešus un būtisku finansējumu, tai vajadzīgs konkrēts īpašnieks, starpposmu rezultāti un skaidrs atlikušo risku apraksts. Savukārt atbildības un riska formālas pieņemšanas procedūras ir atsevišķs temats. ANCVEIRS.LV rakstā “Security Evidence & Accountability: Who Actually Accepts the Risk?” jau analizēts, kā dokumentēt drošības lēmumus un pierādīt novēršanas rezultātus. Šajā rakstā svarīgākais ir cits: vai izmaiņas pēc incidenta ir mainījušas organizācijas faktisko uzvedību pārbaudāmā situācijā.

NIS2 direktīvas 21. panta 2. daļā starp kiberdrošības risku pārvaldības pasākumiem minēta incidentu apstrāde, darbības nepārtrauktība un politikas un procedūras, lai novērtētu kiberdrošības risku pārvaldības pasākumu efektivitāti. Savukārt 20. pants paredz attiecīgo subjektu vadības struktūru pienākumus risku pārvaldības pasākumu apstiprināšanā un īstenošanas uzraudzībā. Piemērošana jāvērtē atbilstoši subjekta statusam un konkrētajiem Latvijas normatīvajiem aktiem. S04 Šīs prasības pašas par sevi nenosaka vienu universālu pēcanalīzes rezultātu datu modeli vai obligātu pieauguma procentu. Taču tās dod pamatu prasīt, lai organizācija spētu parādīt, kā tā vērtē ieviesto pasākumu efektivitāti un kā vadība uzrauga būtiskās nepilnības.

ENISA 2026. gada kiberdrošības mācību metodoloģija šim procesam piedāvā praktiskāku struktūru. Pēcanalīzes rezultāti jāizmanto turpmāko darbību plānošanā, jāseko līdzi to izpildei un pēc tam jāpārbauda, vai izmaiņas sasniegušas paredzēto rezultātu. Metodoloģija ir piemērojama mācību organizēšanai un izvērtēšanai; tā nav pierādījums, ka jebkurš reāls incidents pēc identiskas procedūras automātiski radīs izmērāmu noturības pieaugumu. S02 2026. gada Cyber Europe mācībās ENISA simulēja plaša mēroga incidentus savstarpēji saistītās Eiropas transporta sistēmās. Publiskajā paziņojumā norādīts, ka mācībām sekos izvērtēšana un pēcanalīzes ziņojumi ar uzlabojumu priekšlikumiem. No šāda paziņojuma vien nevar secināt, kuri konkrētie uzlabojumi jau īstenoti vai cik lielā mērā tie vēlāk pārbaudīti. S05

Pēc incidenta tapušajā uzlabojumu sarakstā bieži sajauc trīs atšķirīgas lietas: uzdevums ir piešķirts, kontrole ir ieviesta un kontrole ir pierādījusi savu efektivitāti. Es tās atdalītu. Piemēram, prasība samazināt privileģētu piekļuvi nav izpildīta tikai tāpēc, ka atjaunota piekļuves politika; jāspēj parādīt, kuri konti zaudējuši nevajadzīgas tiesības un kas notiek, mēģinot izmantot veco piekļuves ceļu. Uzlabojumu atkārtotā pārbaudē izmantotu to pašu sākotnējās kļūmes mehānismu, bet mainītu vienu apstākli: citu dežūru, citu piegādātāju vai daļēji nepieejamu identitātes sistēmu. Šādi var pārbaudīt, vai kontrole ir noturīga, nevis vienkārši pielāgota vienam iepriekš zināmam scenārijam. Ja rezultāts nav reproducējams, ziņojumā jāpaliek neizpildītam kvalitātes kritērijam. Mērķis nav sodīt komandu par nepilnīgu progresu; mērķis ir nepadarīt nepilnīgu progresu par nepatiesu drošības apliecinājumu.

Izvērtējot pēcanalīzes rezultātus, es nenošķirtu tikai izdarīto un neizdarīto, bet arī pierādāmo un vēl nepārbaudīto. Publisks mācību paziņojums apliecina mācību norisi vai organizatoru deklarēto mērķi; tas nepierāda, ka atsevišķas organizācijas labojumi ir ieviesti vai ka noturība ir augusi izmērāmā apjomā. Lai apgalvotu uzlabojumu, vajadzīgi salīdzināmi mērījumi, atbildīgie un atkārtotas pārbaudes rezultāti.

Pēc kiberincidenta organizācijai ir iespēja novērst nepilnības, par kurām agrāk varēja tikai izteikt pieņēmumus. Taču iespēja nav rezultāts. Lai pamatoti apgalvotu, ka organizācija kļuvusi noturīgāka, nepieciešams identificēt konkrēto iepriekšējo nespēju, ieviest ar to saistītu izmaiņu un pārbaudīt tās darbību pietiekami salīdzināmos apstākļos. Es prasītu trīs lietas: skaidru pierādījumu par to, kas incidenta laikā neizdevās, dokumentētu izmaiņu, kura šo nepilnību risina, un atkārtotas pārbaudes rezultātu ar norādītām tā robežām. Ja šie pierādījumi ir pieejami, var runāt par konkrētas aizsardzības vai reaģēšanas spējas uzlabošanos. Plašāks apgalvojums par visas organizācijas noturības pieaugumu prasīs plašāku novērtējumu.

Turklāt pēcincidenta mācīšanās nav pilnībā pabeigts process. Izmaiņas jāuztur, jāpārbauda pēc būtiskām arhitektūras pārmaiņām un jāpielāgo jauniem apdraudējumiem. Pretējā gadījumā sākotnējais uzlabojums var pakāpeniski zaudēt nozīmi. Uzņēmuma vadības ziņojumā es daudz labprātāk redzētu vienu konkrētu, atkārtoti pārbaudītu uzlabojumu nekā desmit vispārīgus apgalvojumus par stiprinātu kiberdrošības kultūru.