Locked Shields pieredze: ko organizācijas var mācīties no starptautiskām kiberaizsardzības mācībām?

2026. gada aprīlī noslēdzās kārtējās starptautiskās kiberaizsardzības mācības Locked Shields. NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE) publiskotā informācija liecina, ka tajās piedalījās vairāk nekā 4000 cilvēku no 41 valsts. Dalībnieki strādāja 16 starptautiskās komandās, bet augstāko vērtējumu ieguva Latvijas un Singapūras apvienotā komanda. Mācību ietvaros tika aizsargātas simulētas kritiskās infrastruktūras un citas sistēmas, vienlaikus risinot juridiskus, komunikācijas un stratēģiskas koordinācijas jautājumus. S01 Šādi rezultāti pamatoti piesaista uzmanību. Taču, raugoties no uzņēmuma vai civilas institūcijas kiberdrošības perspektīvas, mani mazāk interesē vieta sacensību tabulā nekā jautājums, kā organizēta komandu sadarbība. Ja vienlaikus rodas vairāki tehniski incidenti, pasliktinās pakalpojumu pieejamība, vadībai nepieciešams situācijas novērtējums un komunikācijas komandai jāgatavo publisks paziņojums, organizācija saskaras ar problēmām, kuras nevar atrisināt tikai ar tehniski kompetentiem speciālistiem.

Tas nenozīmē, ka uzņēmuma incidentu reaģēšanas process būtu jāveido pēc militāras operācijas parauga. Locked Shields ir īpaši konstruēta starptautiska mācību vide ar izdomātu konfliktu, noteiktiem uzdevumiem, organizatoru kontrolētiem apstākļiem un vērtēšanas sistēmu. Reālā uzņēmumā ir citas atbildības robežas, finansējums, personāla pieejamība un juridiskie pienākumi. Tieši tādēļ mācību pieredze jāvērtē kritiski, nevis jāpasniedz kā universāls gatavības modelis. Vērtīgākais, manuprāt, ir iespēja ieraudzīt sadarbības problēmas, kuras atsevišķas tehniskās apmācības parasti neatklāj. Kā tiek noteiktas prioritātes starp vienlaicīgiem incidentiem? Kā tehniskie secinājumi nonāk līdz cilvēkiem, kuri pieņem vadības lēmumus? Kā juristi izvērtē darbību tiesiskās robežas, un kā komunikācijas komanda izvairās no apgalvojumiem, kuriem vēl nav pierādījumu? Šos jautājumus iespējams pārbaudīt arī daudz mazākā organizācijā.

Locked Shields ir NATO CCDCOE organizētas ikgadējas starptautiskas kiberaizsardzības mācības, kas norisinās kopš 2010. gada. To pamatā ir simulēta plaša mēroga kiberkonflikta vide, kurā aizsardzības komandas risina tehniskus, operacionālus un stratēģiskus uzdevumus. Mācībās iekļauti arī juridiskie jautājumi un stratēģiskā komunikācija. S02 2026. gada scenārijā starptautiskās komandas darbojās kā ātrās reaģēšanas vienības, kas palīdz izdomātajai valstij Berylia aizsargāt tās sistēmas ilgstoša uzbrukuma apstākļos. Organizatori mācību laikā paredzēja aptuveni 8000 kiberuzbrukumu pret simulētu infrastruktūru, kurā bija elektroapgādes, 5G, satelītsakaru un citas sistēmas. Šajā gadā scenārijs tika papildināts arī ar vēlēšanu sistēmas aizsardzības uzdevumiem. S03

Šis mērogs ir nozīmīgs, taču uzbrukumu skaitu nevajadzētu interpretēt kā tiešu norādi uz reāla uzbrukuma varbūtību vai konkrētas infrastruktūras drošības līmeni. Mācību organizatori kontrolē uzdevumu struktūru, intensitāti un vērtēšanas noteikumus. Dalībnieku uzdevums ir darboties šajā vidē, nevis reproducēt visu iespējamo reālās pasaules uzbrukumu kopumu. No organizācijas vadības skatpunkta interesanta ir mācību daudzdisciplinārā struktūra. Aizsardzības rezultātu var ietekmēt ne tikai spēja konstatēt ļaunprātīgu darbību, bet arī prioritāšu noteikšana, informācijas nodošana citām komandām, lēmumu kvalitāte un sadarbība ar cilvēkiem, kuri nepiedalās tehniskajā izmeklēšanā.

Šī pieeja būtiski atšķiras no situācijas, kurā drošības mācības sastāv tikai no ievainojamību atrašanas vai atsevišķu uzbrukumu atklāšanas uzdevumiem. Šādas tehniskās pārbaudes ir nepieciešamas, tomēr tās nevar pilnībā novērtēt organizācijas spēju pieņemt savstarpēji saskaņotus lēmumus laikā, kad vairāki procesi vienlaikus ir apdraudēti.

CCDCOE 2026. gada 24. aprīļa paziņojumā apstiprināja, ka augstāko vērtējumu ieguva Latvijas un Singapūras apvienotā komanda. Nākamās augstāk novērtētās komandas bija Vācijas, Austrijas, Luksemburgas un Šveices apvienotā komanda, kā arī Francijas un Zviedrijas komanda. Paziņojumā uzsvērta starptautiskā sadarbība, zināšanu apmaiņa un kopīgas izpratnes veidošana par kiberaizsardzības noturību. S01 Latvijas un Singapūras rezultāts ir konkrēts, pārbaudāms sasniegums attiecīgajā mācību izpildē. Taču no tā nedrīkst secināt, ka Latvijai objektīvi ir pasaulē labākā kiberaizsardzība, ka tās publiskā infrastruktūra ir drošāka par citu valstu infrastruktūru vai ka reālā kiberkrīzē iznākums būtu identisks. Mācību vērtējums raksturo sniegumu noteiktajā scenārijā un saskaņā ar tā vērtēšanas kārtību.

Jau pirms galvenajām mācībām CCDCOE 2026. gada martā rīkoja Partners’ Run, kurā piedalījās uzņēmumi, universitātes un citas organizācijas. Tika pārbaudīta ne tikai tehniskā aizsardzība, bet arī juridiskā analīze, stratēģiska lēmumu pieņemšana un komunikācija. Organizatori norādīja, ka dalībnieku pieredze palīdz pilnveidot galveno mācību vidi. S04 Savukārt 2026. gada jūnijā notikušajā Locked Shields digitālās izmeklēšanas darbnīcā tika analizēti vingrinājumu uzdevumi, to risināšanas metodes un pierādījumu interpretācija. Publiski aprakstītās tēmas aptvēra personīgās ierīces, uzņēmumu tīklus, mākoņvidi, industriālās vadības sistēmas un kritisko infrastruktūru. S05

Šie materiāli apliecina mācību tehnisko un organizatorisko daudzveidību. Tie tomēr nesniedz pilnīgu, neatkarīgi auditētu visu komandu kļūdu, lēmumu un ilgtermiņa kompetenču izmaiņu pārskatu. Publiski pieejamie rezultāti jāizmanto tikai tādu secinājumu pamatošanai, kurus tie faktiski atbalsta.

Organizācijā var strādāt pieredzējuši drošības analītiķi, tīkla administratori, digitālās izmeklēšanas speciālisti un sistēmu arhitekti. Taču šo cilvēku individuālā kompetence negarantē, ka viņi spēs vienlaikus koordinēt vairākus konfliktējošus uzdevumus. Viena komanda var censties saglabāt pierādījumus, cita — pēc iespējas ātrāk atjaunot pieejamību, bet trešā — ierobežot iespējamu tālāku kompromitēšanu. Šādas prioritātes ne vienmēr ir savietojamas bez papildu lēmuma. Piemēram, sistēmas tūlītēja pārstartēšana var palīdzēt atjaunot pakalpojumu, bet vienlaikus apgrūtināt noteikta veida digitālo pierādījumu iegūšanu. Savukārt ilgstoša sistēmas izolācija var samazināt uzbrukuma izplatīšanās risku, bet radīt ievērojamu ietekmi uz klientiem. Pareizā izvēle atkarīga no konkrētajiem apstākļiem, nevis viena universāla noteikuma.

Šeit parādās koordinācijas kvalitāte. Organizācijai vajadzīgs cilvēks vai funkcija, kas uztur kopējo situācijas ainu, saprot lēmumu savstarpējās sekas un spēj nodot nepieciešamo informāciju pareizajam pilnvaru līmenim. Ja katra komanda strādā tikai savā tehniskajā uzdevumā, pastāv risks, ka kopējais pakalpojuma vai uzņēmuma stāvoklis paliks nepietiekami pārvaldīts. Locked Shields formāts šādas koordinācijas problēmas iekļauj kopējā mācību vidē. Uzņēmumam nav nepieciešams atdarināt starptautisku komandu struktūru, taču tas var pārbaudīt līdzīgu principu: vai tehniskā, biznesa un atbalsta funkcijas spēj strādāt ar vienotu, pietiekami ticamu situācijas aprakstu.

Viens no iemesliem, kāpēc šādas mācības ir interesantas arī ārpus militārās vides, ir nepieciešamība iesaistīt atšķirīgas kompetences. Digitālās izmeklēšanas speciālists var noteikt, kādi pierādījumi ir pieejami un kā tos interpretēt. Sistēmas īpašnieks spēj novērtēt tehniskās darbības sekas. Juridiskais speciālists izvērtē tiesiskos ierobežojumus, ziņošanas pienākumus un iespējamo ietekmi uz līgumsaistībām. Vadība pieņem lēmumus par organizācijas pieļaujamo risku un darbības prioritātēm. Šis sadalījums nenozīmē, ka visiem speciālistiem nepārtraukti jāiesaistās katrā incidentā. Daudzas situācijas atrisināmas operacionālajā līmenī. Tomēr smagākam incidentam nepieciešami skaidri eskalācijas nosacījumi un iepriekš noteikta kārtība, kā tehniskā informācija tiek pārvērsta vadībai saprotamā lēmuma priekšlikumā.

Īpaši svarīgi ir neizmantot juridisko funkciju tikai kā gala pārbaudi pēc tam, kad visi būtiskie lēmumi jau pieņemti. Dažos incidentos juridiskā analīze nepieciešama jau sākumā, piemēram, nosakot pierādījumu apstrādes robežas, personas datu aizsardzības pienākumus, ārējo informēšanu vai atļautās tehniskās darbības. Tas pats attiecas uz komunikāciju: precīzs paziņojums nevar rasties bez uzticamas informācijas no incidenta izmeklēšanas. Uzņēmumam praktiskais risinājums var būt neliela starpfunkcionāla krīzes vadības grupa, kurai ir zināmi dalībnieki, aizvietotāji, piekļuves kanāli un pilnvaras. Šāda grupa jāiesaista atbilstoši incidenta nopietnībai, un tās darbība jāpārbauda mācībās. Pretējā gadījumā pat labi izstrādāta organizatoriskā shēma var izrādīties nepietiekama.

Kiberincidenta laikā komunikācijas komandai bieži jāstrādā ar informāciju, kura vēl mainās. Klienti vēlas zināt, vai pakalpojums būs pieejams. Darbiniekiem nepieciešamas instrukcijas. Partneri prasa situācijas novērtējumu, bet sabiedrībā var parādīties nepārbaudīti pieņēmumi par uzbrukuma cēloņiem vai ietekmi. Šādos apstākļos organizācija var radīt papildu risku, ja pārāk agri paziņo, ka incidents novērsts vai dati nav skarti. Tikpat kaitīga var būt novēlota informēšana, ja klientiem nepieciešams veikt konkrētas aizsardzības darbības. Komunikācijai jābalstās apstiprinātos faktos un skaidrā nenoteiktības formulējumā.

Locked Shields mācībās stratēģiskā komunikācija un juridiskie jautājumi ir iekļauti līdzās tehniskajai aizsardzībai. Tas ļauj dalībniekiem sastapties ar situācijām, kurās publisks paziņojums, tehniska darbība un politisks vai vadības lēmums nav savstarpēji neatkarīgi. S02S03 Civilā uzņēmumā mācību uzdevums var būt pavisam konkrēts: sagatavot klientiem paredzētu paziņojumu, kad konstatēta pakalpojuma nepieejamība, bet vēl nav apstiprināts incidenta cēlonis vai datu kompromitēšana. Pēc tam pārbaudīt, vai komunikācijas komanda ir pareizi nošķīrusi zināmo no nezināmā un vai paziņojums saskan ar incidenta vadības komandas apstiprināto informāciju.

Tas ir sarežģītāks uzdevums par iepriekš uzrakstītas paziņojuma veidnes aizpildīšanu. Veidne var palīdzēt, bet tā nevar patstāvīgi noteikt, kuri apgalvojumi konkrētajā brīdī ir pierādīti.

Locked Shields vērtēšanas sistēma ir noderīga mācību dalībnieku snieguma salīdzināšanai konkrētajā vidē. Taču jānošķir mācību uzdevumu izpilde no reālās infrastruktūras noturības novērtējuma. CCDCOE pētnieciskajā publikācijā par pieejamības vērtēšanas sistēmas izstrādi Locked Shields mācībām skaidrots, kā automatizēta pieejamības pārbaude var kalpot par vienu no mācību vērtēšanas elementiem. Publikācijā arī aprakstīti vērtēšanas sistēmas izstrādes sarežģījumi un ierobežojumi. S06 Tas ir svarīgs metodoloģisks atgādinājums. Pat ja mācību vidē iespējams objektīvi izmērīt konkrēta pakalpojuma pieejamību, šis rādītājs vēl neaptver visu incidenta pārvaldības kvalitāti. Tas ne vienmēr paskaidro, vai izvēlētais risinājums bijis optimāls, vai juridiskā analīze bijusi pietiekama un vai līdzīga komanda spētu darboties ar nepazīstamu infrastruktūru citos apstākļos.

Tāpēc es atšķirtu trīs secinājumu līmeņus. Pirmais ir dokumentēts mācību rezultāts: piemēram, komandas vieta vērtējumā vai konkrēta uzdevuma izpilde. Otrais ir organizatoru vai dalībnieku interpretācija par mācībās iegūto pieredzi. Trešais būtu neatkarīgi pārbaudīts secinājums par ilgtermiņa spēju izmaiņām reālā organizācijā. Publiskais paziņojums par mācību uzvarētājiem pats par sevi pierāda pirmo, bet ne automātiski trešo. Tikpat svarīgi ir izvairīties no pretējas kļūdas — nenoniecināt mācības tikai tāpēc, ka tās nevar pilnībā atdarināt īstu krīzi. Reālistiska, kontrolēta vide ir vērtīga tieši tādēļ, ka tā ļauj pārbaudīt sarežģītas situācijas, nepakļaujot reālos pakalpojumus nepamatotam riskam. Lai iegūtā pieredze būtu noderīga, nepieciešams pareizi definēt pārbaudes mērķi un secinājumu robežas.

No Locked Shields nevajadzētu aizņemties tikai uzbrukumu skaitu, konkurences elementu vai scenārija dramatiskumu. Civilai organizācijai daudz svarīgāk ir izvēlēties pārbaudāmu sadarbības problēmu, kurai ir nozīme tās ikdienas darbībā. Piemēram, nelielam uzņēmumam var būt viena IT komanda, ārpakalpojuma drošības uzraudzība, grāmatvedība un vadītājs, kurš pieņem būtiskos darbības lēmumus. Mācībās iespējams simulēt situāciju, kurā drošības pakalpojumu sniedzējs ziņo par aizdomīgu administratīvu piekļuvi, bet nepieciešamā sistēmas izolācija apdraud klientu pasūtījumu apstrādi. Vadībai jāizvēlas rīcība, juristam vai ārējam konsultantam jāpārbauda informēšanas pienākumi, savukārt klientu komunikācijai nepieciešams pārbaudīts situācijas apraksts.

Lielākā organizācijā šādu scenāriju var papildināt ar atsevišķām tehniskās izmeklēšanas, darbības nepārtrauktības, piegādātāju koordinācijas un komunikācijas komandām. Taču dalībnieku skaits nav galvenais kvalitātes kritērijs. Svarīgāk ir nodrošināt, lai pārbaudāmie lēmumi atbilstu organizācijas faktiskajām atkarībām un riskiem. Šajā ziņā noder ENISA 2026. gada kiberdrošības mācību metodoloģija. Tā sniedz strukturētu pieeju mācību mērķu noteikšanai, scenārija izstrādei, dalībnieku iesaistei, izpildei un rezultātu izvērtēšanai. Metodoloģiju papildina atbalsta rīki un veidnes, kurus iespējams pielāgot organizācijas vajadzībām. S07

Tomēr nevajadzētu pieņemt, ka vienas mācības rezultātā organizācija automātiski kļūs gatava visiem sarežģītiem incidentiem. Pārbaudes rezultāts attiecas uz konkrētu scenāriju, iesaistītajām lomām, pieejamo informāciju un noteiktajiem vērtēšanas kritērijiem.

Piedāvāju izmantot piecu pārbaudes dimensiju modeli. Tas ir autora analītisks priekšlikums, kas balstīts uz mācību organizēšanas principiem, nevis oficiāla Locked Shields vērtēšanas sistēmas kopija.

Mācību scenāriju var veidot ap vienu kritisku pakalpojumu. Pirmajā posmā dalībnieki saņem ziņu par aizdomīgu piekļuvi. Pēc tam tiek konstatēta daļēja pakalpojuma nepieejamība un parādās neskaidra informācija par iespējamu datu apdraudējumu. Nākamajā posmā klienti pieprasa skaidrojumu, ārējais piegādātājs ziņo par savām problēmām, un vadībai jāizlemj, vai aktivizēt alternatīvu darbības režīmu. Šo scenāriju iespējams izspēlēt kā diskusiju pie galda, neiejaucoties reālās informācijas sistēmās. Organizācijām ar lielāku gatavību daļu uzdevumu var papildināt ar kontrolētu tehnisko pārbaudi izolētā vidē. Nepieciešamās drošības robežas, atļaujas un apturēšanas procedūras jānosaka iepriekš.

Svarīgi, lai scenārija vadītājs nenovērtētu tikai pareizās atbildes. Viņam jāfiksē arī situācijas, kurās lēmuma pieņemšana kavējas nepietiekamu pilnvaru, neskaidras informācijas vai koordinācijas problēmu dēļ. Tieši šādas nepilnības var būt nozīmīgākais mācību rezultāts.

Uzņēmuma mācībām ne vienmēr nepieciešama sacensību punktu sistēma. Piemēram, ja vadības pārbaudes mērķis ir noskaidrot, vai pareizais lēmuma pieņēmējs saņem informāciju par kritisku incidentu, daudz noderīgāk ir reģistrēt faktisko informācijas nodošanas procesu un tā nepilnības. Abstrakts kopējais vērtējums, piemēram, “82 no 100”, bez skaidras metodoloģijas var radīt nepamatotas precizitātes iespaidu. Es katram mācību mērķim iepriekš noteiktu novērojamu rezultātu. Ja tiek vērtēta juridiskā koordinācija, jāpārbauda, vai komanda pareizi identificē iespējamos ziņošanas pienākumus un nepieciešamo papildu informāciju. Ja tiek vērtēta tehniskās un biznesa komandas sadarbība, jānoskaidro, vai kritiskās sistēmas ierobežošanas lēmumā ir ņemtas vērā būtiskās sekas. Ja tiek vērtēta komunikācija, jāanalizē, vai paziņojumā nav nepierādītu apgalvojumu.

Pēc mācībām jābūt pieejamam strukturētam izvērtējumam, kur katrs konstatētais trūkums sasaistīts ar konkrētu novērojumu, atbildīgo personu un uzlabojuma pārbaudes veidu. ENISA metodoloģija paredz arī turpmāko darbību uzraudzību un to efektivitātes izvērtēšanu, lai mācību rezultāti nepazustu dokumentu arhīvā. S07 Reāla vērtība rodas tad, ja organizācija pēc laika pārbauda, vai būtiskās nepilnības ir novērstas. Viena sekmīga mācība bez turpmākas darbības var apliecināt konkrētās dienas sniegumu, bet tai ir ierobežota nozīme kā ilgtermiņa gatavības pierādījumam.

Starptautisko mācību sarežģītību nevajadzētu mēģināt atdarināt, pārceļot organizācijā militāru scenāriju. Izmantojama ir lomu un lēmumu mijiedarbība: tehniskā komanda izmeklē, pakalpojuma īpašnieks vērtē ietekmi, juridiskā funkcija analizē ziņošanas pienākumus, bet vadība pieņem ierobežotu resursu sadales lēmumu. Pārbaudē atklājas, vai šīs funkcijas saprot cita citas informācijas vajadzības un prot izšķirt pretrunīgas prioritātes. Praktiskai pārnesei izvēlētos vienu būtisku uzņēmuma pakalpojumu un izveidotu nelielu scenāriju ar diviem neatkarīgiem šķēršļiem. Pirmkārt, drošības aizsardzības darbība pati samazina pakalpojuma pieejamību. Otrkārt, publiski izplatās neapstiprināta ziņa par datu noplūdi. Vērtētu nevis komandas sniegumu pēc abstrakta punktu skaita, bet lēmumu hronoloģiju, precizitāti, savstarpējo koordināciju un pierādījumus par izmaiņām pēc mācībām. Rezultāti šādā formā būtu izmantojami arī tad, ja uzņēmums nekad nepiedalīsies Locked Shields.

Locked Shields pieredze ir vērtīga kā sarežģītas, kontrolētas mācību vides piemērs, tomēr simulācijas rezultātu nevar automātiski pielīdzināt dalīborganizācijas reālās infrastruktūras drošības līmenim. Atsevišķu pēcmācību darbnīcu saturs un galveno mācību organizatoru paziņojumi ir dažādi pierādījumu avoti; ja tie apraksta atšķirīgus notikumus, tiem nevar piešķirt vienu kopīgu pārbaudes statusu.

Locked Shields 2026 piedāvā konkrētu piemēru, kā vienā mācību vidē iespējams apvienot tehnisko aizsardzību, digitālo izmeklēšanu, juridiskos jautājumus, komunikāciju un stratēģisku lēmumu pieņemšanu. Latvijas un Singapūras komandas sasniegtais augstākais vērtējums ir ievērojams mācību rezultāts, taču tas nav pamats bez papildu pierādījumiem spriest par valstu salīdzinošo infrastruktūras drošību vai gatavību reālai krīzei. Uzņēmumiem un civilajām institūcijām svarīgākais pārņemamais princips ir spēja trenēt dažādas organizācijas funkcijas vienā kontrolētā scenārijā. Tehniskā komanda var pareizi identificēt incidentu, bet organizācijas kopējais rezultāts būs atkarīgs arī no pilnvarām, informācijas apmaiņas, juridiskās izvērtēšanas un darbības nepārtrauktības lēmumiem.

Manuprāt, pirms uzņēmums plāno sarežģītas kiberkrīzes mācības, tam būtu lietderīgi pārbaudīt vienu vienkāršāku jautājumu: vai tā drošības, IT, vadības un komunikācijas funkcijas spēj vienoties par kopīgu situācijas novērtējumu, ja informācija ir nepilnīga un laiks ierobežots? Ja šāda sadarbība nav pārbaudīta, nav pamata pieņemt, ka tā automātiski izdosies nopietna incidenta laikā.