Kiberkrīzes vadība pirmajās 24 stundās: lēmumi, kas nosaka iznākumu

Pulksten 7.40 uzņēmuma vadība saņem ziņu, ka vairākās informācijas sistēmās konstatēta aizdomīga darbība. Drošības speciālisti pieļauj, ka kompromitēts privileģēts lietotāja konts, tomēr vēl nezina, cik tālu uzbrucējs ir ticis. Viena komanda piedāvā nekavējoties izolēt skarto vidi. Cita brīdina, ka izolācija var apturēt klientiem nozīmīgu pakalpojumu. Juristi vēlas saprast, vai incidents ir ziņojams, savukārt komunikācijas nodaļa jau saņem jautājumus no klientiem. Šāds scenārijs ir hipotētisks, taču tajā redzama problēma, kuru tehniskais incidenta reaģēšanas plāns viens pats nevar atrisināt. Dažu minūšu laikā organizācijai var nākties izvēlēties starp vairākiem nepilnīgiem risinājumiem. Neviens no tiem negarantē, ka būs iespējams izvairīties no zaudējumiem. Taču lēmumu novilcināšana arī ir izvēle, un reizēm tā rada papildu risku.

Jautājums nav tikai par to, vai drošības komanda prot konstatēt uzbrukumu. Organizācijai jāzina, kurš drīkst pieņemt lēmumu par sistēmas apturēšanu, kurš novērtē darbības nepārtrauktības sekas, kas nosaka ārējās komunikācijas robežas un kā tiek fiksēts, uz kādas informācijas pamata konkrētais lēmums pieņemts. Šeit es nošķirtu divus atšķirīgus gatavības līmeņus. Tehniskā gatavība nozīmē spēju identificēt, ierobežot un izmeklēt incidentu. Vadības gatavība nozīmē spēju savlaicīgi noteikt pieļaujamo risku, piešķirt pilnvaras, koordinēt darbības un uzturēt organizācijas atbildību par pieņemtajiem lēmumiem. Abas spējas ir nepieciešamas, bet viena automātiski neizriet no otras.

NIST 2025. gada incidentu reaģēšanas vadlīniju SP 800-61 trešā redakcija incidentu pārvaldību skata plašākā kiberdrošības risku pārvaldības ietvarā. Tas ir būtiski, jo lēmumu pieņemšana, komunikācija, darbības nepārtrauktība un vadības atbildība nav izolēti tehniskā incidenta papildinājumi. Tiem jābūt iestrādātiem organizācijas pārvaldībā vēl pirms pirmā nopietnā brīdinājuma. S01

Nopietna kiberincidenta sākumā dažādi organizācijas dalībnieki parasti redz tikai daļu situācijas. SOC analītiķis zina, kādas anomālijas konstatētas. Sistēmas administrators pārzina attiecīgās infrastruktūras darbību. Biznesa procesa īpašnieks saprot, kuri klientu pakalpojumi var tikt apturēti. Jurists vērtē iespējamos tiesiskos pienākumus, bet vadībai jāpieņem lēmums par kopējo rīcību. Šīs zināšanas nav savstarpēji aizvietojamas. Ja izpilddirektors bez pietiekama tehniskā pamata nosaka, kā tieši jāveic sistēmas izolācija, viņš var radīt papildu risku. Ja drošības komanda pati pieņem lēmumu apturēt pakalpojumu ar būtiskām finansiālām vai sabiedriskām sekām, neievērojot organizācijas noteiktās pilnvaras, var rasties cita veida problēmas.

Vajadzīga iepriekš noteikta lēmumu pieņemšanas kārtība, kur tehniskās kompetences robežas saskan ar organizācijas atbildības struktūru. Šī kārtība nedrīkst būt tik sarežģīta, ka neatliekamai aizsardzības darbībai jāgaida vairāku vadības līmeņu sanāksme. CISA publiskajā incidentu reaģēšanas playbook uzsver standartizētas darbības, koordināciju, dokumentēšanu un atbildību visā incidenta gaitā. Tas sākotnēji izstrādāts ASV federālajām civilajām iestādēm, tādēļ nav Latvijas organizācijām saistoša procedūra, bet tā procesa disciplīna ir izmantojama kā salīdzināšanas piemērs. S02

Manuprāt, vadības vājākais punkts bieži nav konkrēta nepareiza lēmuma izvēle. Lielāks risks var rasties tad, ja organizācijā vispār nav vienošanās, kurš attiecīgo lēmumu drīkst pieņemt un kādos apstākļos tas jāpieņem nekavējoties.

Ne katrs kiberincidents prasa uzņēmuma vadības iesaisti. Daudzas drošības problēmas iespējams atrisināt standarta incidentu pārvaldības procesā. Savukārt sarežģīts incidents var kļūt par organizācijas krīzi vēl pirms ir noskaidrots tā tehniskais cēlonis. Praktiskai eskalācijai es izmantotu vairākus novērojamus kritērijus: iespējama kritiska pakalpojuma nepieejamība, būtisku datu integritātes vai konfidencialitātes apdraudējums, privileģētas piekļuves kompromitēšana, incidenta izplatīšanās risks, nozīmīgas sekas klientiem vai nepieciešamība pieņemt lēmumu ārpus tehniskās komandas pilnvarām. Šie kritēriji jāpielāgo konkrētajai organizācijai. Piemēram, viena un tā pati sistēmas nepieejamība nelielā biroja palīgprogrammā un slimnīcas kritiskā klīniskā procesā var prasīt būtiski atšķirīgu reakciju. Tehniska incidenta klasifikācija nevar aizstāt ietekmes novērtējumu.

Svarīgi ir arī nesajaukt iekšējo krīzes eskalāciju ar juridisku incidenta klasifikāciju. Uzņēmums var aktivizēt savu krīzes vadības komandu piesardzības dēļ, pirms tam ir pietiekami pierādījumi, lai incidentu atzītu par nozīmīgu konkrēta tiesību akta izpratnē. Tāpat nopietns iekšējs incidents ne vienmēr automātiski atbilst visiem normatīvajiem ziņošanas kritērijiem.

Nav universāla laika grafika, kas derētu visiem incidentiem. Ransomware izplatīšanās, datu eksfiltrācija, mākoņpakalpojuma kompromitēšana un rūpnieciskās vadības sistēmas traucējums rada dažādas prioritātes. Tāpēc turpmāk minētie intervāli ir autora piedāvāts organizācijas vadības darba modelis, nevis normatīvi noteikti reaģēšanas termiņi.

Pirmais posms: pirmā stunda

Sākumā jānoskaidro, vai informācija ir pietiekami ticama, lai aktivizētu attiecīgo reaģēšanas līmeni. Jānosauc incidenta vadītājs, jāatver vienots notikumu un lēmumu žurnāls un jāizveido drošs saziņas kanāls, kas nav atkarīgs no iespējami kompromitētās infrastruktūras. Neatliekamās tehniskās darbības nedrīkst aizkavēt formālu sanāksmju dēļ, ja tās ietilpst iepriekš apstiprinātās pilnvarās. Vienlaikus jānosaka, kuras darbības prasa papildu apstiprinājumu, jo var būtiski ietekmēt kritiskus procesus vai pierādījumu saglabāšanu. Sākotnējā situācijas novērtējumā jānodala apstiprinātie fakti, ticamas aizdomas un vēl nepārbaudīta informācija. Ja zināms tikai tas, ka konkrētam kontam bijusi anomāla aktivitāte, šo faktu nedrīkst automātiski pārvērst apgalvojumā par pilnīgu infrastruktūras kompromitēšanu.

Otrais posms: aptuveni 1–4 stundas

Šajā laikā vadībai nepieciešams pietiekams priekšstats par iespējamo ietekmi, lai pieņemtu lēmumus par pakalpojumu ierobežošanu, alternatīvajiem darbības režīmiem, papildu resursu iesaisti un ārējo komunikāciju. Tehniskajai komandai jāsniedz ne tikai problēmas apraksts, bet arī salīdzināmi rīcības varianti. Piemēram: izolēt skarto vidi uzreiz, izolēt noteiktus tās komponentus vai saglabāt ierobežotu darbību ar papildu uzraudzību. Katram variantam jānorāda sagaidāmais drošības ieguvums, iespējamā ietekme uz pakalpojumu un būtiskākie nezināmie apstākļi. Vadībai nevajadzētu saņemt vienu kategorisku rekomendāciju bez paskaidrojuma par tās pieņēmumiem. Arī tehniskās komandas nenoteiktība ir informācija, kas nepieciešama lēmuma pieņemšanai.

Trešais posms: aptuveni 4–12 stundas

Ja incidents turpinās, pieaug koordinācijas nozīme. Nepieciešams noteikt stabilu situācijas pārskatu ritmu, pārbaudīt iepriekš pieņemto lēmumu sekas un nepieciešamības gadījumā mainīt rīcību. Šajā posmā var rasties jautājumi par neatkarīgu ekspertu piesaisti, apdrošināšanas līguma nosacījumiem, piegādātāju atbildību, personas datu aizsardzību, regulatoru informēšanu un klientiem nodarīto ietekmi. Katrai organizācijai jānosaka piemērojamie pienākumi, nevis jāpieņem, ka vieni un tie paši termiņi darbojas visiem uzņēmumiem. Lēmumu žurnāls kļūst īpaši svarīgs. Ja vēlāk izrādīsies, ka kāds sākotnējais pieņēmums bijis kļūdains, jābūt iespējai saprast, kāpēc tas toreiz šķita ticams un kas tika darīts, kad parādījās jauna informācija.

Ceturtais posms: aptuveni 12–24 stundas

Diennakts beigās organizācijai vēl var nebūt pilnīgas izpratnes par incidenta cēloni, kompromitēšanas ilgumu vai visiem skartajiem datiem. Tas nav automātisks pierādījums sliktai incidenta pārvaldībai. Svarīgi, vai pieejamie fakti tiek sistemātiski apkopoti, risks ierobežots un nākamajam periodam noteiktas skaidras prioritātes. Jāpārskata, vai darbojas pieņemtie ierobežošanas pasākumi, vai kritiskajiem procesiem ir pietiekams personāls un cik ilgi iespējams uzturēt ārkārtas režīmu. Vadībai jāsaņem situācijas pārskats, kurā nepārprotami norādīts, kas zināms, kas nav zināms, kas mainījies un kuri lēmumi būs nepieciešami turpmāk.

Šāds pārskats ir noderīgāks par tehnisku notikumu sarakstu, kurā nav izskaidrota ietekme uz organizācijas darbību.

Ja incidenta laikā kompromitēta sistēma turpina sazināties ar citām organizācijas daļām, izolācijas kavēšanās var palielināt risku. Taču tūlītēja apturēšana ne vienmēr ir drošākā izvēle, īpaši sistēmās, kuru nepieejamība var apdraudēt cilvēku drošību vai kritisku procesu nepārtrauktību. Pilnvaru sadalījumam tādēļ jābūt balstītam ne tikai uz amatiem, bet arī uz iepriekš definētām darbību klasēm un to iespējamām sekām. Piemēram, organizācija var iepriekš atļaut drošības komandai nekavējoties izolēt standarta darba staciju, ja ir izpildīti konkrēti kompromitēšanas kritēriji. Savukārt ražošanas vadības sistēmas vai kritiska klientu pakalpojuma apturēšanai var būt nepieciešama saskaņošana ar procesa īpašnieku vai īpaši noteiktu incidenta vadītāju. Šādi izņēmumi jāizstrādā kopā ar attiecīgās nozares speciālistiem, jo kļūdaina apturēšana pati var radīt būtisku kaitējumu.

Katram lēmumam jābūt zināmam arī aizvietotājam. Sistēma, kuras izolācijai atļauju drīkst dot tikai viena persona, kura nav sasniedzama ārpus darba laika, nav pietiekami sagatavota nopietnam incidentam.

Organizācijas vadībai incidenta laikā bieži jāpieņem lēmumi, pirms ir zināmi visi fakti. Bīstami ir divi pretēji paradumi: rīkoties tā, it kā sākotnējā hipotēze jau būtu pierādīta, vai atlikt nepieciešamu lēmumu līdz pilnīgai skaidrībai, kuru īsā laikā nav iespējams iegūt. Es piedāvātu katram kritiskajam lēmumam fiksēt četrus elementus: kas ir droši zināms, kas tiek pieņemts, kādas būs iespējamās sekas un kas liks lēmumu pārskatīt. Pieņemsim, ka drošības komanda iesaka nekavējoties atslēgt attālinātas piekļuves pakalpojumu. Pamats ir konstatēta aizdomīga privileģēta konta izmantošana. Pieņēmums — uzbrucējs varētu saglabāt šo piekļuves ceļu. Iespējamās sekas — vairāki ārējie darbinieki zaudēs attālināto piekļuvi. Pārskatīšanas nosacījums — alternatīva droša piekļuves kanāla sagatavošana un kompromitēšanas apmēra noskaidrošana.

Šādi pierakstīts lēmums ļauj organizācijai turpināt rīkoties, neizliekoties, ka nenoteiktības nav. Tas arī palīdz vēlāk novērtēt, vai lēmums bija samērīgs ar tobrīd pieejamo informāciju. Atsevišķi jānošķir atgriezeniskas darbības no darbībām ar ilgstošām vai neatgriezeniskām sekām. Sistēmas īslaicīga izolācija un pierādījumu saturošu resursu neatgriezeniska dzēšana nav vienādas izvēles. Tehnisko darbību secība jānosaka izmeklēšanas, drošības un darbības nepārtrauktības prasību kontekstā.

Kiberincidenta vadības plānā nepieciešama atsevišķa juridiskās klasifikācijas un ziņošanas funkcija. Incidenta tehniskais smagums, uzņēmuma iekšējais krīzes līmenis un normatīvajos aktos noteiktie ziņošanas pienākumi var būt saistīti, taču tie nav identiski. Latvijas Nacionālās kiberdrošības likuma 34. pants paredz konkrētus pienākumus likuma subjektiem. Tostarp likumā noteikta nekavējoša rīcība un kompetentās kiberincidentu novēršanas institūcijas informēšana atbilstoši piemērojamajām prasībām. Nozīmīga kiberincidenta gadījumā paredzēts agrīnais brīdinājums ne vēlāk kā 24 stundu laikā un sākotnējais ziņojums ne vēlāk kā 72 stundu laikā; uzticamības pakalpojumu sniedzējiem attiecībā uz sākotnējo ziņojumu paredzēts īpašs 24 stundu termiņš. S03

Direktīvas (ES) 2022/2555 jeb NIS2 23. pants paredz līdzīgu pakāpeniskas ziņošanas sistēmu attiecībā uz nozīmīgiem incidentiem. Būtiski, ka pirmajā ziņojumā nav jābūt pilnīgai izmeklēšanas atskaitei. Sistēma paredz sākotnēju informēšanu un turpmāku informācijas precizēšanu. S04 Nevajadzētu šo regulējumu pārvērst vienkāršotā formulā, ka jebkurš uzņēmums jebkuru incidentu drīkst ziņot tikai pēc 24 stundām. Tas būtu nepareizi. Pienākumi ir atkarīgi no subjekta statusa, incidenta kvalifikācijas, piemērojamā normatīvā režīma un citām tiesiskajām prasībām. Papildus var būt piemērojamas personas datu aizsardzības, finanšu sektora vai citas nozaru prasības.

Praktiski tas nozīmē, ka jau incidenta sākumā jāieceļ persona, kura pārbauda piemērojamos ziņošanas pienākumus, reģistrē brīdi, kad organizācijai kļuva zināma attiecīgā kvalificējamā informācija, un nodrošina nepieciešamo saziņu. Juridiskā pārbaude nedrīkst aizstāt vai nepamatoti aizkavēt neatliekamās tehniskās aizsardzības darbības.

Pirmajās stundās organizācijai var nākties sazināties ar darbiniekiem, piegādātājiem, klientiem, regulatoriem un sabiedrību. Katrai auditorijai nepieciešama atšķirīga informācija, tomēr visiem paziņojumiem jābalstās vienā pārbaudāmā situācijas ainā. Slikta komunikācija var izpausties kā pāragrs apgalvojums, ka incidents pilnībā atrisināts, lai gan vēl nav pārbaudīts kompromitēšanas apmērs. Tikpat problemātisks var būt apgalvojums, ka dati nav skarti, ja organizācija patiesībā vēl nav spējusi noskaidrot iespējamo piekļuvi tiem. Taču arī klusēšana nav universāli droša stratēģija. Ja incidenta dēļ klientiem nepieciešams mainīt piekļuves datus, izmantot alternatīvu pakalpojumu vai ievērot citus aizsardzības pasākumus, informācijas kavēšana var radīt papildu kaitējumu. Jāņem vērā arī normatīvajos aktos noteiktā informēšanas kārtība.

Es izmantotu komunikācijas principu, kur katrs būtiskais apgalvojums tiek klasificēts kā apstiprināts fakts, izmeklēšanā esošs jautājums vai organizācijas pieņemts aizsardzības pasākums. Par incidenta cēloni un vainīgo nevajadzētu spekulēt. Ja sākotnējais paziņojums vēlāk ir jāprecizē, korekcijai jābūt skaidri identificējamai. Komunikācijas vadītājam nav obligāti jāzina visas digitālās izmeklēšanas detaļas. Viņam jābūt pieejamam pārbaudītam faktu kopumam un skaidrībai par to, kuras informācijas atklāšana var ietekmēt izmeklēšanu, drošību vai konfidencialitāti.

Piedāvāju izmantot nelielu matricu, kurā katram potenciāli kritiskajam lēmumam iepriekš noteikta lēmuma pieņēmēja loma, konsultējamās personas un nepieciešamais pierādījums. Matrica ir autora veidots praktisks modelis, nevis obligāts NIST vai CISA formāts. Konkrētai organizācijai tā jāpielāgo savai juridiskajai struktūrai, pakalpojumiem un pilnvarām.

Matrica ir vērtīga tikai tad, ja lomas ir sasaistītas ar konkrētām personām, aizvietotājiem un sasniedzamības kārtību. Ja tajā ir norādīts vienīgi amata nosaukums, bet nav zināms, kā attiecīgo lēmuma pieņēmēju sasniegt ārpus darba laika, kritiskā situācijā dokuments var izrādīties nepietiekams.

Lēmumu žurnāls

Papildus matrica jāpapildina ar incidenta lēmumu žurnālu, kur katram ierakstam ir vismaz šādi lauki:

• Lēmuma identifikators un pieņemšanas laiks.
• Lēmuma pieņēmējs un pilnvarojuma pamats.
• Apstiprinātie fakti lēmuma pieņemšanas brīdī.
• Nepārbaudītie pieņēmumi.
• Izvērtētie rīcības varianti un būtiskie riski.
• Pieņemtais lēmums un tā izpildītājs.
• Nākamais pārskatīšanas nosacījums vai laiks.
• Saite uz attiecīgajiem pierādījumiem.

Šāds žurnāls nav jāpārvērš birokrātiskā šķērslī. Neatliekama darbība jādokumentē tik operatīvi, cik to ļauj apstākļi. Mērķis ir saglabāt lēmuma izsekojamību un nodrošināt, ka turpmākie lēmumi netiek pieņemti, balstoties uz novecojušu situācijas ainu.

Pārbaudei nav obligāti jāsākas ar sarežģītu tehnisku uzbrukuma simulāciju. Vadības tabletop mācībā var izmantot vienu pietiekami ticamu scenāriju: kompromitēts privileģēts konts, neskaidrs datu piekļuves apmērs un risks kritiska pakalpojuma darbībai. Dalībniekiem pakāpeniski sniedz jaunu informāciju un novēro, kā tā maina lēmumus. Vienam vadības pārstāvim ir jāizvēlas starp pakalpojuma pieejamību un iespējamu tālāku kompromitēšanu. Juridiskajai komandai jānosaka, kāda papildu informācija nepieciešama incidenta klasifikācijai. Komunikācijas atbildīgajam jāsagatavo paziņojums, neapgalvojot to, kas nav pierādīts.

Mācības rezultātu es vērtētu pēc konkrētiem pierādījumiem: vai lēmuma pieņēmējs bija identificēts, cik ātri viņš saņēma nepieciešamo informāciju, vai bija zināmi alternatīvie rīcības varianti, vai lēmums tika dokumentēts un vai nākamā situācijas pārskatīšana notika pēc noteiktas kārtības. Nav pamata izdomāt universālu robežu, piemēram, ka katrai organizācijai jebkurš kritiskais lēmums jāpieņem piecpadsmit minūtēs. Pieļaujamais lēmuma laiks ir atkarīgs no riska, pakalpojuma un nepieciešamās darbības. Tomēr, ja organizācija nespēj izskaidrot, kā nosaka pieļaujamo kavēšanos, tā nevar pārliecinoši apgalvot, ka lēmumu pieņemšanas process ir pārbaudīts.

NIST SP 800-61 Rev. 3 uzsver incidentu reaģēšanas iekļaušanu organizācijas kopējā kiberdrošības risku pārvaldībā. No tā izriet praktiska nepieciešamība pārbaudīt ne tikai atsevišķas tehniskas darbības, bet arī pārvaldības, komunikācijas un atkopšanas spējas. S01

Nopietnā incidentā lēmumu nedrīkst vērtēt tā, it kā sākumā būtu bijusi pieejama visa vēlāk atklātā informācija. Tādēļ katru būtisku darbību sasaistītu ar konkrētā brīža pierādījumiem, iespējamo kaitējumu, atbildīgo amatpersonu un laiku, kad lēmums obligāti jāpārskata. Ar ierakstu «komanda nolēma izolēt sistēmu» nepietiek. Nepieciešams redzēt, ko izolācija aizsargāja, kurus pakalpojumus tā varēja pārtraukt un kurš drīkstēja apstiprināt alternatīvu. Pārbaudes mācībās speciāli ieviestu divas izmaiņas: sākotnējās aizdomas par datu noplūdi vēlāk neapstiprinās, bet kritiskā pakalpojuma traucējums kļūst plašāks, nekā komanda sākumā prognozēja. Šajā brīdī jāredz, vai vadība spēj mainīt lēmumu bez vainīgā meklēšanas un vai ziņošanas pienākumi tiek vērtēti pēc piemērojamajiem kritērijiem, nevis pēc iekšējās vēlmes incidentu pasludināt par mazu. Labas krīzes vadības pazīme ir atgriezeniska, izsekojama lēmumu pieņemšana ar skaidru atbildību.

Organizācijas iekšējās pilnvaras es uzskatu par atsevišķu incidentu gatavības pārbaudes objektu: ārēja rokasgrāmata var aprakstīt reakcijas posmus, bet tā nepiešķir konkrētas Latvijas organizācijas amatpersonai tiesības apturēt pakalpojumu, publiskot informāciju vai uzņemties atlikušos riskus. Tāpēc praktiskā pārbaudē jāizskata gan eskalācijas shēma, gan faktiskie deleģējumi un lēmumu pieraksti.

Pirmās 24 stundas pēc nopietna kiberincidenta ne vienmēr nosaka tā galīgo iznākumu. Dažus uzbrukumus atklāj novēloti, citi turpinās vairākas dienas, bet reālās sekas var kļūt zināmas tikai pēc ilgākas izmeklēšanas. Tomēr šajā periodā pieņemtie lēmumi var būtiski ietekmēt incidenta turpmāko izplatību, pierādījumu saglabāšanu, pakalpojumu nepārtrauktību un organizācijas spēju izpildīt savus pienākumus. Es pārbaudītu trīs konkrētas lietas. Vai atbildīgajām personām ir iepriekš noteiktas pilnvaras? Vai tās saņem skaidri nošķirtus faktus, pieņēmumus un rīcības variantus? Vai pēc katra būtiska lēmuma iespējams pierādīt, kas tika nolemts, kāpēc un vai pieņēmumi vēlāk tika pārskatīti?

Tehniskā komanda var profesionāli izmeklēt incidentu, bet nevar viena pati uzņemties visus organizācijas darbības, juridiskos un reputācijas riskus. Šie lēmumi pieder pārvaldībai, kurai jābūt gatavai tos pieņemt savlaicīgi un ar pietiekamu informāciju. Ja uzņēmuma vadītājs kiberincidenta laikā pirmo reizi uzzina, kurš drīkst apturēt kritisku sistēmu, būtiska daļa no incidenta pārvaldības darba nav izdarīta iepriekš.