Kad kiberuzbrukums pārvēršas par valsts mēroga krīzi: kā pārraut ķēdes reakciju

Kiberuzbrukumam nav jāsākas valsts pārvaldes informācijas sistēmā, lai tā sekas sasniegtu valsts pārvaldi. Pietiek ar traucējumu pakalpojumā, no kura ir atkarīgas vairākas citas organizācijas. Tas var būt sakaru operators, identitātes pakalpojumu sniedzējs, mākoņinfrastruktūra, maksājumu apstrādes uzņēmums vai koplietots tehniskais pakalpojums. Sākotnējais incidents var būt ierobežots, bet tā ietekme izplatās pa savstarpējām atkarībām, kuru pilns apjoms kļūst redzams tikai tad, kad kaut kas pārstāj darboties. Manuprāt, viena no neērtākajām problēmām kritiskās infrastruktūras aizsardzībā ir tā, ka organizācija var diezgan labi zināt savas sistēmas, bet ievērojami sliktāk pārzināt apstākļus, no kuriem atkarīga tās spēja turpināt pakalpojumu sniegšanu. Iekšējā infrastruktūra ir dokumentēta, atbildīgās personas ir zināmas, rezerves kopijas tiek veidotas. Taču atbilde uz jautājumu, kas notiks, ja vienlaikus nebūs pieejama ārējā autentifikācija, daļa telekomunikāciju un maksājumu apstrāde, mēdz būt daudz mazāk pārliecinoša.

Šis risks Eiropā nav tikai teorētisku scenāriju jautājums. ENISA 2026. gada draudu pārskatā norāda uz uzbrukumiem digitālajām atkarībām, piegādes ķēdēm un trešo pušu pakalpojumiem kā mehānismiem, kas var palielināt incidentu ietekmes mērogu. Savukārt ES Padomes 2025. gada Cyber Blueprint sniedz vadlīnijas koordinētai reakcijai uz plaša mēroga kiberincidentiem un kiberkrīzēm, kad nepieciešama sadarbība starp dalībvalstīm un ES līmeņa dalībniekiem. S01S02 Tomēr plaša ietekme pati par sevi vēl neapliecina, ka ir iestājusies juridiski noteikta valsts vai Eiropas līmeņa kiberkrīze. Vispirms jānoskaidro traucējuma apmērs, savstarpējās atkarības, ietekme uz sabiedrībai būtiskiem pakalpojumiem un pieejamās reaģēšanas spējas. Tieši šo pāreju — no viena incidenta līdz vairāku nozaru darbības traucējumiem — ir vērts analizēt atsevišķi.

Par kiberincidenta smagumu bieži spriež pēc tieši skarto sistēmu skaita, kompromitēto datu apjoma vai sākotnējās dīkstāves. Tie ir nozīmīgi rādītāji, taču tie neatklāj visu ietekmi. Organizācija, kuras sistēmās nav notikusi neatļauta piekļuve, var zaudēt spēju sniegt pakalpojumu, jo ir pārtrūcis kāds ārējs priekšnosacījums. Šādam traucējumam var nebūt neviena kompromitēta servera pašā organizācijā, bet sekas tās klientiem un sabiedrībai var būt tikpat reālas. Apskatīsim identitātes pārvaldības pakalpojumu. Ja vairākas iestādes izmanto kopīgu autentifikācijas mehānismu, tā nepieejamība var vienlaikus apgrūtināt piekļuvi dažādiem portāliem. Paši portāli var turpināt darboties, datubāzes var būt pieejamas, un infrastruktūras uzraudzības panelī lielākā daļa indikatoru var būt zaļi. Lietotājam pakalpojums tomēr nav izmantojams. Turklāt autentifikācijas kļūda var ietekmēt ne tikai ārējos lietotājus, bet arī administratīvus procesus, ja organizācija uz šo pašu mehānismu balsta darbinieku vai operatoru piekļuvi.

Citā situācijā traucējums var rasties telekomunikāciju pakalpojumā. Tas var apgrūtināt attālinātu sistēmu administrēšanu, rezervju pārslēgšanu un savlaicīgu saziņu ar incidentu vadības komandu. Pat ja skartajai organizācijai ir alternatīvs datu centrs, tas nepalīdzēs paredzētajā veidā, ja pārslēgšanas procedūra, piekļuves kanāls vai nepieciešamā autorizācija ir atkarīga no tā paša bojātā posma. ENISA 2026. gada pārskata secinājums par digitālo atkarību izmantošanu ir būtisks tieši šā iemesla dēļ: modernu uzbrukumu ietekme nav obligāti ierobežota ar uzbrucēja sākotnēji sasniegto sistēmu. Vienlaikus ENISA apkopotie incidenti nav uzskatāmi par pilnīgu visu Eiropas incidentu uzskaiti, un no tiem nevar automātiski izrēķināt konkrētas Latvijas sistēmas atteices varbūtību. S01

Lai saprastu ķēdes reakciju, jānošķir trīs atšķirīgi mehānismi. Pirmais ir tehniska atkarība. Viena sistēma izmanto otras sistēmas pakalpojumu, infrastruktūru vai datus. Piemēram, lietojumprogramma paļaujas uz ārēju DNS pakalpojumu, identitātes nodrošinātāju vai API. Ja attiecīgais komponents nav pieejams un nav efektīvas alternatīvas, pārtrūkst arī atkarīgā funkcija. Otrais ir operacionāla atkarība. Tehniskās sistēmas var būt darba kārtībā, bet pakalpojumu nevar pilnvērtīgi sniegt nepieciešamo cilvēku, pilnvaru, procesu vai piegādātāja palīdzības trūkuma dēļ. Piemēram, rezerves infrastruktūra ir sagatavota, bet pārslēgšanas veikšanai nepieciešams ārējā operatora speciālists, kurš tajā pašā laikā apkalpo vairākus citus incidenta skartos klientus.

Trešais ir funkcionāla atkarība starp pakalpojumiem. Vienas nozares darbība rada priekšnosacījumus citas nozares pakalpojumam. Sakaru pieejamība var būt nepieciešama maksājumu autorizācijai; maksājumu darbība — pakalpojumu iegādei; savlaicīga datu apmaiņa — publiska pakalpojuma izpildei. Šeit īpaši jāuzmanās no pārspīlēšanas: konkrēta maksājumu vai sakaru traucējuma sekas ir atkarīgas no attiecīgās sistēmas arhitektūras un alternatīvajiem darbības režīmiem. Nav pamatoti pieņemt, ka viena operatora atteice automātiski apturēs visu valsti. No šiem mehānismiem izriet vēl viena svarīga atšķirība. Vienlaicīga vairāku sistēmu atteice ne vienmēr nozīmē, ka traucējums izplatījies secīgi no vienas uz otru. Vairākas sistēmas var būt atkarīgas no viena kopīga pakalpojuma un pārstāt darboties vienlaikus. Tā ir kopīga atteices punkta problēma, un tai var būt nepieciešams cits risinājums nekā secīgi izplatītai tehniskai kļūmei.

Pieņemsim, ka ārējam digitālās infrastruktūras pakalpojumu sniedzējam rodas nopietns kiberincidents. Drošības apsvērumu dēļ operators uz laiku ierobežo daļu pakalpojumu un administratīvo funkciju. Vairākas organizācijas, kas izmanto šo infrastruktūru, zaudē piekļuvi noteiktiem resursiem. Sākotnēji situācija var izskatīties pēc tehniskas nepieejamības, nevis pēc plašākas krīzes. Vienai pašvaldībai vairs nav pieejama konkrēta lietvedības funkcija. Citai organizācijai nav iespējams izmantot ierasto identitātes pakalpojumu. Pakalpojumu centrs nevar apstrādāt daļu pieprasījumu, jo nepieciešamā datu apmaiņa neizdodas. Tajā pašā laikā infrastruktūras operatora atbalsta dienests saņem pieprasījumus no daudziem klientiem, tāpēc atjaunošanas koordinācija kļūst sarežģītāka.

Nevienā no šīm organizācijām uzbrucējam obligāti nav jāiegūst piekļuve. Tās var ciest no traucējuma, ko radījusi atkarība no kopīga pakalpojuma. Ja alternatīvie procesi ir iepriekš pārbaudīti, ietekme var palikt ierobežota. Ja tie pastāv tikai dokumentos, iestādes var atklāt, ka ārkārtas režīmā nepieciešamie cilvēki, piekļuves tiesības un datu kopijas nav pieejamas paredzētajā veidā. Šis ir autora veidots hipotētisks scenārijs, nevis dokumentēta Latvijas incidenta rekonstrukcija. Tā mērķis nav prognozēt konkrētas sistēmas atteici, bet pārbaudīt atkarību analīzes loģiku.

Šādā scenārijā izšķiroša var izrādīties spēja atbildēt uz jautājumu, kurš pakalpojums sabiedrībai ir jāatjauno vispirms, nevis kuram serverim ir augstākā tehniskā prioritāte. Tās nav obligāti vienas un tās pašas lietas.

Pirmais iemesls ir atšķirība starp sistēmu inventarizāciju un pakalpojuma darbības priekšnosacījumu analīzi. Aktīvu reģistrā var atrast serveri, datubāzi, tīkla ierīci vai licences īpašnieku. Taču pakalpojuma nepārtrauktības novērtēšanai nepieciešama arī informācija par datu plūsmām, ārējiem operatoriem, piekļuves mehānismiem, cilvēku pieejamību un tām funkcijām, kuras nepieciešamas pēc incidenta. Otrs iemesls ir organizatoriskās robežas. Iestādes IT nodaļa var pārzināt lietojumprogrammu, iepirkumu nodaļa — līgumu, biznesa procesa īpašnieks — pakalpojuma svarīgumu, bet ārējais operators — faktisko tehnisko topoloģiju. Ja šie zināšanu fragmenti netiek savienoti vienā pārbaudāmā modelī, pastāv risks, ka katrs atsevišķi uzskata atkarību par pārvaldītu, kaut gan kopējo ainu nepārvalda neviens.

Trešais iemesls ir nepietiekami pārbaudīta rezervēšana. Divi līgumi ar dažādiem pakalpojumu sniedzējiem ne vienmēr nozīmē divus neatkarīgus pakalpojuma nodrošināšanas ceļus. Tie var izmantot vienu un to pašu datu centru, fizisko sakaru maršrutu, autentifikācijas pakalpojumu vai augšupējo infrastruktūras piegādātāju. Atšķirīgi piegādātāju nosaukumi vēl nepierāda neatkarību. Šeit es prasītu pierādījumus, nevis tikai arhitektūras shēmu. Ja uzņēmums vai iestāde apgalvo, ka tai ir neatkarīgs rezerves risinājums, būtiskie jautājumi ir par faktiskajiem kopīgajiem komponentiem, pārslēgšanās nosacījumiem un pēdējā testa rezultātiem. Īpaši interesanti būtu noskaidrot, vai pārslēgšanās pārbaude veikta apstākļos, kad primārais ārējais pakalpojums patiešām nav pieejams, nevis tikai simulēta viena servera atteice.

NIST SP 800-34 Rev. 1 paredz sasaistīt kritiskos organizācijas procesus ar to atbalstošajiem informācijas resursiem un noteikt atjaunošanas prioritātes, izmantojot darbības ietekmes analīzi. Tā ir praktiska metodoloģiska bāze, lai gan dokuments izstrādāts ASV federālo informācijas sistēmu kontekstā un pats par sevi nav Latvijas organizācijām saistošs regulējums. S05

Lai atkarību analīze nekļūtu par vēl vienu dokumentu, piedāvāju izmantot pakalpojumu atkarību un izplatīšanās pārbaudes matricu. Tā ir autora piedāvāta novērtēšanas metode, kas izmanto darbības ietekmes analīzes, atkarību kartēšanas un darbības nepārtrauktības principus. Tā nav oficiāls ENISA vai NIST sertifikācijas instruments. Analīzi sāktu ar vienu sabiedrībai vai uzņēmumam nozīmīgu pakalpojumu. Piemēram, pašvaldības sociālā pakalpojuma pieprasījuma apstrādi. Tad uzskaitītu ne tikai attiecīgo IT sistēmu, bet arī visus priekšnosacījumus, bez kuriem šo pakalpojumu nevar nodrošināt pieņemamā kvalitātē un laikā.

Šo matricu var izmantot, lai izveidotu orientētu atkarību grafu. Katrs mezgls apzīmē konkrētu pakalpojumu, resursu vai nepieciešamu operacionālo spēju. Saite no A uz B nozīmē, ka A darbība ir atkarīga no B. Katrai saitei papildus pieraksta atkarības veidu, pieļaujamo traucējuma ilgumu, iespējamās alternatīvas un pierādījumu ticamību. Svarīgi, lai grafikā būtu atšķirami apstiprināti savienojumi no pieņēmumiem. Ja nav zināms, vai divi telekomunikāciju operatori izmanto kopīgu fizisko maršrutu, to nedrīkst atzīmēt ne kā pierādītu neatkarību, ne kā pierādītu kopīgu atteices punktu. Šādai saitei piešķir statusu nav pārbaudīts un nosaka atbildīgo informācijas iegūšanai.

Izplatīšanās pārbaude

Kad atkarību grafiks sagatavots, izvēlas vienu ticamu traucējuma scenāriju un pārbauda, kuri pakalpojumi varētu tikt ietekmēti tieši, kuri — netieši un kuri spētu turpināt darbu alternatīvā režīmā. Pārbaudei nepieciešams definēt traucējuma ilgumu un apstākļus, jo īslaicīgs savienojuma zudums un vairāku dienu ārēja pakalpojuma nepieejamība var radīt būtiski atšķirīgas sekas. Es neieteiktu rezultātu pārvērst vienā šķietami precīzā riska skaitlī, ja nav pietiekamu empīrisku datu par atteiču varbūtību, atkarību stiprumu un atjaunošanas ilgumu. Sākotnēji daudz noderīgāk ir iegūt pārbaudāmu sarakstu ar pakalpojumiem, kuriem nav pierādītas alternatīvas, nezināmiem atkarību posmiem un kopīgiem atteices punktiem.

Šāda metode pati par sevi nenodrošina valsts mēroga noturības novērtējumu. Tam nepieciešami dati no vairākiem operatoriem un iestādēm, kopīgas pieņēmumu definīcijas, juridiski atļauta informācijas apmaiņa un savstarpēji salīdzināmi pierādījumi. Taču vienas organizācijas līmenī tā ļauj sākt darbu arī bez sarežģītas simulācijas platformas.

Ķēdes reakcijas pārtraukšana sākas pirms incidenta. Organizācijai jāzina, kur tā var saglabāt pakalpojumu, kur nepieciešama kontrolēta degradācija un kur darbība ir jāaptur, lai nepieļautu lielāku kaitējumu. Dažos procesos īslaicīga nepieejamība būs pieņemamāka par nekorektu datu apstrādi; citos svarīgāka būs nepārtraukta minimāla pakalpojuma nodrošināšana. Vienota recepte visām nozarēm šeit nebūtu profesionāla. Pirmā aizsardzības iespēja ir samazināt nepamatotas kopīgās atkarības. Tas var nozīmēt neatkarīgu rezerves sakaru kanālu, alternatīvu administrēšanas pieeju, lokāli pieejamus kritiskos datus vai iespēju īslaicīgi strādāt bez ārēja pakalpojuma. Tomēr katrai alternatīvai jāizvērtē pašas radītie riski. Piemēram, ārkārtas autentifikācijas mehānisms nedrīkst kļūt par pastāvīgu nekontrolētas privileģētas piekļuves ceļu.

Otrā iespēja ir iepriekš noteikta pakalpojumu degradācijas kārtība. Krīzes laikā organizācijai nav obligāti jāatjauno visas funkcijas uzreiz. Dažkārt svarīgāk ir nodrošināt šaurāku, bet drošu un paredzamu pakalpojumu. Tam nepieciešami iepriekš noteikti minimālā pakalpojuma kritēriji, lēmumu pilnvaras un skaidra komunikācija ar lietotājiem. Trešā iespēja ir sadarbības pārbaude starp organizācijām. Atsevišķas iestādes iekšējās mācības nevar pilnībā pārbaudīt situāciju, kurā viena ārēja pakalpojuma atteice vienlaikus skar vairākus operatorus. Šādām pārbaudēm jāietver piegādātāji, pakalpojumu īpašnieki un, atbilstoši kompetencei un scenārijam, arī krīžu koordinācijā iesaistītās institūcijas.

ENISA 2026. gada Cyber Europe mācībās tika simulēti plaša mēroga incidenti Eiropas savstarpēji saistītajās dzelzceļa un jūras transporta sistēmās. Mācību mērķis bija pārbaudīt koordināciju un informācijas apmaiņu tehniskajā, operacionālajā un politiskajā līmenī. Tas apliecina, ka starpnozaru un pārrobežu koordinācija tiek praktiski trenēta. No mācību norises vien nevar secināt, ka visi dalībnieki būtu sasnieguši noteiktu operacionālās gatavības līmeni vai ka mācību scenārijs precīzi atspoguļotu reāla incidenta iznākumu. S03

Eiropas tiesiskais regulējums jau paredz ņemt vērā vairāk nekā tikai atsevišķas organizācijas tehnisko drošību. NIS2 direktīvas 21. panta otrajā daļā kiberdrošības risku pārvaldības pasākumi ietver incidentu apstrādi, darbības nepārtrauktību, rezerves kopiju pārvaldību, atkopšanu, krīžu pārvaldību un piegādes ķēdes drošību. Tās ir dažādas, savstarpēji saistītas prasību jomas. Tās nedrīkst reducēt uz vienu tehnisko kontroles sarakstu. Konkrētie pienākumi organizācijai jānosaka, ņemot vērā direktīvas piemērošanas tvērumu, Latvijas transponējošo regulējumu un attiecīgā subjekta statusu. S04

Savukārt Direktīvas (ES) 2022/2557 par kritisko vienību noturību 12. pants paredz risku novērtējumos ņemt vērā arī starpnozaru un pārrobežu atkarības. Īpaši nozīmīgs ir pienākums vērtēt gan to, cik lielā mērā citas nozares ir atkarīgas no konkrētās kritiskās vienības sniegtā pakalpojuma, gan paša pakalpojuma atkarību no citu nozaru būtiskajiem pakalpojumiem. Tas ir daudz precīzāks uzdevums par vispārīgu piegādātāju saraksta sastādīšanu. S06 Eiropas Savienības Padome 2025. gada 6. jūnijā pieņēma atjaunoto Cyber Blueprint — ieteikumu par koordinētu reakciju uz plaša mēroga kiberdrošības incidentiem un krīzēm. Tas skaidro iesaistīto dalībnieku un mehānismu lomas, ieskaitot tehniskā, operacionālā un politiskā līmeņa koordināciju. Šis ietvars nav jāuztver kā aizstājējs katras dalībvalsts kompetenču sadalījumam vai kā automātiska procedūra, kas iestājas pēc jebkura nozīmīga incidenta. S02

NIS2 6. panta 7. punktā plaša mēroga kiberdrošības incidents definēts kā incidents, kura radīto traucējumu līmenis pārsniedz dalībvalsts reaģēšanas spējas vai kurš būtiski ietekmē vismaz divas dalībvalstis. Tādēļ termins valsts mēroga krīze šā raksta virsrakstā raksturo iespējamo sabiedrisko un operacionālo ietekmi; tas pats par sevi nenosaka juridisku incidenta klasifikāciju. S04

Es sāktu ar vienkāršu pārbaudi: izvēlētos vienu kritisku pakalpojumu un vienu ārēju atkarību, kuras zudums varētu to nopietni ietekmēt. Tad prasītu pierādīt, kā organizācija turpinās darbu, ja šī atkarība nav pieejama ilgāk par plānoto atjaunošanas laiku. Pirmais pierādījums būtu aktuāls atkarību modelis, kurā redzama pakalpojuma faktiskā darbības ķēde. Otrais — pārbaudīts alternatīvs darbības režīms. Trešais — dokumentēta atbildība par lēmumiem, kas var ietekmēt citu organizāciju pakalpojumus. Ceturtais — mācību vai testa rezultāts, kurā skaidri redzams, kas neizdevās, kādas izmaiņas veiktas un vai tās pēc tam atkārtoti pārbaudītas.

Ja organizācija apgalvo, ka pakalpojums izturēs ārēja operatora atteici, bet nekad nav pārbaudījusi šo scenāriju, tas vēl nav pierādīts noturības rezultāts. Ja piegādātāja līgums paredz pieejamības mērķi, bet neapraksta faktisko atjaunošanas secību, komunikācijas kārtību vai kritisko klientu prioritizāciju plašas atteices gadījumā, paliek būtiski operacionāli jautājumi. Un, ja rezerves risinājums iepriekš pārbaudīts tikai izolētā laboratorijas vidē, nav pamata automātiski pieņemt, ka tas darbosies identiski starporganizāciju krīzē. Šādas pārbaudes var papildināt ar scenāriju mācībām, kontrolētiem tehniskajiem testiem un piegādātāju koordinācijas vingrinājumiem. ENISA 2026. gadā publicētā kiberdrošības mācību metodoloģija piedāvā strukturētu pieeju mācību plānošanai, īstenošanai un izvērtēšanai. S07 Tomēr arī veiksmīgi izpildīta mācība nenovērš visus nezināmos riskus. Tās vērtība ir pierādījumos par konkrētām spējām un nepilnībām noteiktos pārbaudes apstākļos.

Atkarību saraksts kļūst par pārvaldības instrumentu tikai tad, kad tajā ir iespējams identificēt gan tehniskos mezglus, gan lēmumu pieņēmējus. Pārbaudē es sāktu ar vienu sabiedrībai būtisku funkciju, uzskaitītu tās obligātos priekšnosacījumus un pie katra ierakstītu novērojamo atteices pazīmi, nevis vienkārši pakalpojuma sniedzēja nosaukumu. Ja funkcijas pieejamība ir atkarīga no identitātes pakalpojuma, jāpārbauda arī administratoru ārkārtas piekļuve un alternatīvās saziņas kanāli. Citādi rezervju plāns var izrādīties atkarīgs no tieši tā paša traucētā mehānisma.

Otrajā solī katrai atkarībai nepieciešams nosaukt pierādījumu: līguma nosacījumu, konfigurācijas fragmentu, testēšanas protokolu vai reāla pārslēgšanās testa rezultātu. Ja pierādījuma nav, kartē jāpaliek atzīmei «nepārbaudīts», nevis optimistiskam apgalvojumam par redundanci. Visbeidzot jāizspēlē lēmumu konflikts: divas iestādes vienlaikus pieprasa vienu ierobežotu atjaunošanas resursu. Kurš nosaka secību, kādā tiek atjaunoti pakalpojumi, un kur pieņemtais lēmums tiek dokumentēts? Šāds tests atšķir tehnisku atkarību inventāru no faktiskas starpnozaru krīzes gatavības.

Valsts digitālā noturība nav tikai katras iestādes individuālās kiberdrošības spēju summa. Sabiedrībai būtiskie pakalpojumi ir savstarpēji saistīti, un to darbības nepārtrauktību var ietekmēt infrastruktūra, kuru attiecīgā iestāde pati nepārvalda. Tāpēc atkarību analīzei jāiet tālāk par sistēmu inventarizāciju, piegādātāju sarakstiem un līgumos noteiktajiem pieejamības rādītājiem. Pārbaudāms rezultāts būtu spēja izskaidrot, kuras ārējās atkarības ir kritiskas, kas notiks to atteices gadījumā, kuras alternatīvas tiešām darbojas un kurš pieņem lēmumus, ja jāsamazina pakalpojuma funkcionalitāte. Valsts līmenī šim darbam nepieciešama savietojama metodoloģija un sadarbība starp pakalpojumu īpašniekiem, infrastruktūras operatoriem un kompetentajām institūcijām, vienlaikus aizsargājot sensitīvu informāciju par kritisko infrastruktūru.

Man nepietiktu ar apgalvojumu, ka organizācijai ir darbības nepārtrauktības plāns. Es gribētu redzēt, kā šis plāns darbojas brīdī, kad atsaka pakalpojums, no kura vienlaikus ir atkarīgi arī citi.