Darbības nepārtrauktības plāns NIS2 kontekstā: kā sasaistīt BCP, risku analīzi un krīzes mācības

NIS2 prasību kontekstā izstrādāts darbības nepārtrauktības plāns nedrīkst būt atsevišķa IT nodaļas uzturēta procedūra. Tam jābalstās uz darbības ietekmes un risku analīzi, jānosaka procesu atjaunošanas prioritātes un tas regulāri jāpārbauda mācībās. Plāna efektivitāti apliecina nevis deklarācijas, bet organizācijas spēja pieņemt lēmumus, ieviest alternatīvu darbības režīmu, sasniegt minimālo darbības līmeni un droši atgriezties normālā režīmā.

Darbības nepārtrauktība ir vadības lēmums

Darbības nepārtrauktības plāna izstrādi nesāk ar procedūras veidni vai informācijas sistēmu sarakstu. Vispirms jānosaka pakalpojumi, produkti un procesi, kuru pārtraukums var apdraudēt saistību izpildi, drošību, atbilstību prasībām vai uzņēmuma finansiālo stabilitāti. Plāna tvērumam jāizriet no darbības ietekmes analīzes. Jānoskaidro, kā traucējuma sekas pieaug laika gaitā, kurā brīdī tās pārsniedz vadības apstiprināto pieļaujamo līmeni un kādā secībā jāatjauno operacionālās spējas.

Pieļaujamo dīkstāves ilgumu un pieņemamo zaudējumu līmeni nedrīkst vienpersoniski noteikt IT nodaļa. Šos parametrus apstiprina vadība, izmantojot procesu īpašnieku, finanšu, atbilstības, drošības un tehnoloģiju funkciju sniegto informāciju. Procesa īpašnieks nosaka nepārtrauktības prasības, savukārt plāna īpašnieks koordinē risinājuma sagatavošanu un uzturēšanu. Ja šīs lomas nav sasaistītas vienotā lēmumu pieņemšanas mehānismā, IT aizsargā infrastruktūru, operacionālās struktūrvienības atbild par pakalpojumu vai produktu nodrošināšanu, bet valde nesaņem vienotu priekšstatu par atjaunošanas prioritātēm un pieļaujamajiem pārtraukumiem.

Ražotnē plānošanas vai vadības sistēmas atjaunošana pati par sevi vēl nenozīmē piegāžu atsākšanu. Ražošana var palikt apturēta tehnoloģisko datu nepieejamības, pilnvarotu operatoru trūkuma, elektroapgādes pārtraukuma, piegādātāja nodrošināto sakaru nepieejamības vai neapstiprinātas alternatīvā darba procedūras dēļ. Operacionālā noturība rodas tikai tad, ja plāns aptver visu procesa atkarību ķēdi, nevis tikai IT nodaļas kontrolētos resursus.

Jānošķir arī darbības nepārtrauktība, IT resursu atjaunošana, reaģēšana uz incidentiem un krīzes vadība. Pirmais virziens attiecas uz procesu uzturēšanu vai atsākšanu, otrais — uz tehnoloģiju un datu atjaunošanu, trešais — uz notikuma seku ierobežošanu un incidenta pārvaldību, bet ceturtais — uz lēmumu pieņemšanu būtiska traucējuma apstākļos. Šiem mehānismiem jāizmanto kopīgi scenāriji, eskalācijas sliekšņi un atbildības principi, taču tie nav savstarpēji aizstājami.

Tikai šādi definētu darbības modeli var salāgot ar NIS2 un piemērojamo valsts normatīvo aktu prasībām risku pārvaldības, darbības nepārtrauktības, incidentu pārvaldības un vadības atbildības jomā, ņemot vērā organizācijas statusu un attiecīgo prasību tvērumu. Plašāks konteksts ir izklāstīts materiālā NIS2 ražošanas uzņēmumiem: uz ko tā attiecas, kādus pienākumus ievieš un kā sagatavot organizāciju, neaprobežojoties tikai ar IT.

Riskam jāpārtop scenārijā

Risku reģistrs var vadīt darbības nepārtrauktības plānošanu tikai tad, ja tajā ir redzama saikne starp apdraudējumu, ievainojamību, resursu, procesu un ietekmi uz uzņēmējdarbību. Kiberdraudu saraksts vien nepaskaidro, kā uzturēt darbību. Tādēļ scenāriji jāveido ap traucējuma sekām, piemēram, vadības sistēmas nepieejamību, datu zudumu, sakaru pārtraukumu, personāla trūkumu vai piegādātāja pakalpojuma nepieejamību. Atšķirīgi cēloņi var radīt vienādu operacionālo situāciju un prasīt to pašu nepārtrauktības stratēģiju.

Darbības ietekmes analīzei un risku analīzei ir atšķirīgas, taču savstarpēji papildinošas funkcijas. Pirmā nosaka pārtraukuma nozīmīgumu, zaudējumu pieauguma tempu un brīdi, kad tiek pārsniegts vadības apstiprinātais pieļaujamais līmenis. Otrā palīdz identificēt iespējamos notikuma avotus, ievainojamības un esošo kontroles pasākumu efektivitāti. Izvēlētajai metodei un novērtēšanas skalai jāļauj salīdzināt scenārijus un apzināti akceptēt atlikušo risku atbilstoši organizācijas riska apetītei.

Scenāriju skaitu ieteicams ierobežot līdz atšķirīgām sekām, kas prasa citus lēmumus, resursus vai atjaunošanas secību. Katra tehniskā varianta atsevišķa analizēšana parasti nepadara plānu lietderīgāku, bet apgrūtina tā uzturēšanu un izmantošanu laika spiediena apstākļos.

Katram scenārijam jānosaka pieļaujamais pārtraukuma ilgums, minimālais darbības līmenis, nepieciešamie resursi, atjaunošanas secība un persona, kura pilnvarota aktivizēt plānu. Parametri jābalsta uz faktiskajiem dīkstāves un atjaunošanas laikiem, kas iegūti incidentos, avārijās un mācībās, kā arī uz līgumiskajām prasībām par pieejamību, izpildes termiņiem un traucējumu paziņošanu. Tas ļauj mērīt laiku līdz lēmuma pieņemšanai, minimālā darbības līmeņa sasniegšanai un pilnīgai atjaunošanai.

Analīzē jāņem vērā procesu faktiskā atkarība no lietotnēm, datiem, infrastruktūras, atrašanās vietām, komunālajiem pakalpojumiem, kritiskajām kompetencēm, IT piegādātājiem, integratoriem un apakšuzņēmējiem. Ja stratēģija paredz trešās puses atbalstu, jāpārbauda tās faktiskā pieejamība, reaģēšanas laiki, eskalācijas kanāli un alternatīvie risinājumi, neaprobežojoties ar līguma formulējumiem. Šis jautājums plašāk aplūkots materiālā NIS2 un piegādes ķēdes drošība: kā novērtēt IT piegādātājus, integratorus un apakšuzņēmējus.

Plānam jāvada organizācija cauri traucējumam

Praktiski izmantojams darbības nepārtrauktības plāns neapraksta visus iespējamos notikumus, bet vada atbildīgās personas cauri secīgiem lēmumiem. Tajā jānorāda, kas novērtē situāciju, kas izsludina nepārtrauktības režīmu, kuri procesi jāuztur minimālajā līmenī, kādā secībā jāatjauno darbības spējas, kā īstenot krīzes komunikāciju un pēc kādiem kritērijiem izbeigt ārkārtas režīmu.

Detalizācijas līmenis ir pietiekams, ja plāns samazina interpretācijas nepieciešamību laika spiediena apstākļos, bet neaizstāj tehniskās un procesu instrukcijas. Lielākā organizācijā praktisks risinājums ir centrālais plāns, kurā noteikti vadības, eskalācijas un kopīgas rīcības principi, papildinot to ar atsevišķu procesu plāniem.

Plāna aktivizēšanas procedūrai vajadzīgi izmērāmi nosacījumi. Formulējums „nopietnas avārijas gadījumā” pārceļ strīdu par vārda „nopietna” nozīmi uz sliktāko iespējamo brīdi. Kritērijs var būt pieļaujamā pārtraukuma ilguma pārsniegšana, datu uzticamības zudums, nespēja strādāt droši, galveno personu nepieejamība vai prognozēta darbības samazināšanās zem procesa īpašnieka apstiprinātā minimālā līmeņa. Katra novirze jāsasaista ar konkrētu rīcību, lēmuma pieņemšanai pilnvarotu personu, eskalācijas termiņu un nepieciešamo ierakstu. Līdzīgu loģiku citā operacionālajā līmenī izskaidro materiāls Reaģēšanas plāns kontroles plānā — kā aprakstīt rīcību, ja process pārsniedz noteiktās robežas.

Lomas jāpiešķir funkcijām, nevis tikai konkrētām personām. Atbildības matricā jāiekļauj aizvietošana, pilnvaru apjoms, pieejamība, kā arī pamata un rezerves saziņas kanāls. Personu kontaktinformācijas sarakstu var uzturēt kā kontrolētu pielikumu, lai personāla izmaiņu dēļ nebūtu jāpārstrādā viss plāns.

Valdei jāpieņem lēmumi, kas pārsniedz apstiprināto operacionālo pilnvaru robežas, tostarp par būtiska darbības riska akceptēšanu, ārkārtas līdzekļu izmantošanu vai stratēģiski nozīmīgu komunikāciju. Savukārt lēmumam pāriet uz iepriekš apstiprinātu alternatīvo režīmu jābūt pieņemamam iespējami tuvu attiecīgajam procesam.

Ja pasūtījumu sistēma nav pieejama, dežurējošā persona var apstiprināt nepieejamību un prognozēto pārtraukuma ilgumu, procesa īpašnieks — aktivizēt alternatīvo uzskaiti, bet nepārtrauktības koordinators — eskalēt notikumu pēc noteiktā sliekšņa sasniegšanas. Plānā jānosaka šāda risinājuma ierobežojumi: caurlaidspēja, maksimālais izmantošanas ilgums, datu aizsardzības un integritātes principi, nepieciešamās manuālās saskaņošanas un kārtība, kādā ieraksti vēlāk ievadāmi sistēmā.

Atgriezties normālā darbības režīmā drīkst tikai pēc risinājuma stabilitātes, datu pilnīguma un manuāli veikto operāciju saskaņošanas apstiprināšanas. Izveidotajiem ierakstiem jāļauj novērtēt laiku līdz lēmuma pieņemšanai, minimālā līmeņa sasniegšanai un pilnīgai atjaunošanai.

Lielākās izmaksas rodas plānu saskares punktos

Zaudējumu apmēru nenosaka tikai avārijas cēlonis. Pārtraukumu pagarina arī apstiprinājuma gaidīšana, neskaidra notikuma klasifikācija, atšķirīgas atjaunošanas prioritātes un nepietiekama izpratne par procesu, sistēmu un piegādātāju savstarpējām atkarībām. Incidentu pārvaldības plāns galvenokārt paredzēts notikuma atklāšanai, novērtēšanai, ierobežošanai un pārvaldībai. Savukārt darbības nepārtrauktības plāna uzdevums ir uzturēt darbību apstiprinātajā līmenī. Abos mehānismos jābūt kopīgiem informācijas un lēmumu nodošanas punktiem: kas konstatē nepārtrauktības apdraudējumu, kas aktivizē alternatīvo režīmu un kas apstiprina atgriešanos normālā darbībā.

Tehniskās atjaunošanas prioritātei jāizriet no procesa prioritātes, tomēr tā nevar būt vienkāršs procesa secības atspoguļojums. Sistēmas, kas atbalsta vissvarīgāko procesu, darbībai var būt nepieciešama agrāka identitātes pārvaldības, tīkla, datubāzu vai integrācijas pakalpojumu atjaunošana. Vienlaikus jānodrošina datu integritāte, pareiza palaišanas secība un drošības mehānismi. Uzņēmējdarbības un tehnisko prioritāšu saskaņotību pārbauda, salīdzinot procesam nepieciešamo pieejamību ar faktiskajiem rezerves kopiju atjaunošanas pārbaužu rezultātiem, pieļaujamo datu zudumu un infrastruktūras atkarībām.

Operacionālā struktūrvienība var prasīt atsākt pasūtījumu pieņemšanu pirms norēķinu sistēmas darbības atjaunošanas, savukārt IT komanda var plānot vispirms atjaunot norēķinus, jo tajos atrodas centrālais darījumu partneru reģistrs. Ja šāda atkarība nav iepriekš saskaņota, lēmums jāpieņem spiediena apstākļos, bet manuālais risinājums var radīt datus, kurus vēlāk nav iespējams droši saskaņot. Šāds gadījums jāvērtē, izmantojot faktiskos atklāšanas, eskalācijas, lēmumu pieņemšanas un atjaunošanas laikus, kā arī pārbaužu rezultātus, kas apliecina datu pilnīgumu un integritāti.

Līdzīga nepilnība rodas piegādātāja atbildības robežās. Līgumā norādīta pakalpojuma pieejamība neaizstāj konkrētu personu vai funkciju eskalācijas kārtību, saskaņotus atjaunošanas parametrus, piekļuvi informācijai par traucējuma norisi un pienākumu piedalīties mācībās. Kritisko procesu prasības jāsalīdzina ar līguma nosacījumiem un pakalpojuma sniedzēja faktiskajām spējām. Tikai tad var pamatoti izlemt, vai uzturēt rezerves risinājumu, akceptēt dīkstāvi, izmantot savus resursus vai ārēju pakalpojumu.

Budžetam jānovērš spēju trūkumi, nevis jāfinansē dokumentu skaits. Izdevumi var būt saistīti ar papildu redundanci, lēmumu pieņemšanas ceļa saīsināšanu, biežākām atjaunošanas pārbaudēm, līguma nosacījumu maiņu vai alternatīva procesa izpildes veida nodrošināšanu. Šādu izmaksu strukturēšana plašāk aplūkota materiālā Cik maksā NIS2 un uKSC ieviešana — kā plānot audita, dokumentācijas, apmācību un drošības pasākumu budžetu bez dārgām kļūdām.

Mācībās jāpārbauda lēmumi

Darbības nepārtrauktības mācības nedrīkst aprobežoties ar procedūras nolasīšanu vai dalībnieku klātbūtnes apstiprināšanu. Tajās jāpārbauda skaidri formulēta hipotēze, piemēram: vai organizācija spēj bez pamatsistēmas aktivizēt alternatīvo procesu, saglabāt kontroli pār ievadītajiem datiem un pēc pakalpojuma atjaunošanas tos droši saskaņot.

Mācību programmu ieteicams attīstīt pakāpeniski: sākot ar lomu pārskatīšanu un scenārija izspēli pie galda, turpinot ar izvēlētas procedūras vai atjaunošanas pārbaudi un beidzot ar tehniski operacionālām mācībām, kurās sadarbojas biznesa funkcijas, IT, vadība un piegādātāji. Tvērums jāpaplašina atbilstoši riskam, procesa nozīmīgumam un organizācijas gatavībai.

Scenārijam jārada nepieciešamība pieņemt lēmumus apstākļos, kas līdzinās reālam traucējumam. Var izmantot nepilnīgu informāciju, laika spiedienu, prioritāšu konfliktu un kādas būtiskas atkarības nepieejamību, piemēram, apstiprinātāja, piegādātāja pakalpojuma vai aktuāla kontaktpersonu saraksta trūkumu. Tomēr mācības nedrīkst būt dalībniekiem izliktas lamatas. Jāvērtē sistēma — atbildības sadalījums, informācijas kvalitāte, procedūru izpildāmība un eskalācijas spēja —, nevis atsevišķu darbinieku sniegums.

Vadības līdzdalība nepieciešama gadījumos, kad scenārijs prasa akceptēt risku, mainīt prioritātes vai aktivizēt dārgu alternatīvo risinājumu. Piegādātājs jāiesaista tad, ja procesa nepārtrauktība ir atkarīga no tā reakcijas.

Mācību scenāriju var sākt ar pasūtījumu apstrādes sistēmas nepieejamību. Pēc tam mācību vadītājs sniedz informāciju par nepilnīgu datu kopiju un pakalpojuma sniedzēja aizkavētu atbildi. Komandai jāizlemj, vai sākt manuālu apkalpošanu, kurus pasūtījumus pieņemt un kā marķēt ierakstus, lai pēc pakalpojuma atjaunošanas izvairītos no dublēšanās un datu integritātes zuduma.

Mācību laikā jāmēra traucējuma atklāšanas, eskalācijas, nepārtrauktības režīma aktivizēšanas, minimālā darbības līmeņa sasniegšanas un atjaunošanas laiks. Vienlaikus jāvērtē informācijas aprites un ierakstu kvalitāte, novecojušas kontaktinformācijas izmantošanas gadījumi, neefektīva eskalācija un plāna soļi, kurus nebija iespējams izpildīt. Sasniegtie laiki jāsalīdzina ar apstiprinātajiem nepārtrauktības mērķiem.

Mācību biežumam un formai jāizriet no riska, procesu izmaiņām, iepriekšējo pārbaužu rezultātiem un atkarību nozīmīguma, nevis tikai no gada grafika. Iepriekš izziņotas mācības labāk palīdz mācīties un saskaņot lomas. Neizziņotas mācības ļauj novērtēt faktisko gatavību, tomēr prasa kontrolēt operacionālo risku. Produkcijas vides izmantošana ir pamatota tikai tad, ja mācību tvērums, drošības pasākumi un iespēja tās pārtraukt ir apzināti apstiprināti; pārējos gadījumos piemērotāka ir testa vide.

Katras mācības jānoslēdz ar konstatējumiem un pasākumiem, kuriem noteikts atbildīgais, izpildes termiņš, efektivitātes kritērijs un lēmums par atkārtotu pārbaudi. Termiņā pabeigto pasākumu īpatsvars ir noderīgs rādītājs, taču statuss „izpildīts” pats par sevi neapliecina uzlabojumu. Izšķirošs ir atkārtotās pārbaudes rezultāts. Scenāriju, protokolu, korektīvo darbību un rādītāju sistematizēšanai var izmantot pieeju, kas aprakstīta materiālā Kā izveidot kvalitātes veidņu bibliotēku: FMEA, Control Plan, 8D, audits, CAPA un KPI.

Noslēdziet ciklu ar pierādījumiem un vadības pārskatu

Procedūru kopums vēl neapliecina spēju nodrošināt darbības nepārtrauktību. Uzticamai pierādījumu ķēdei jāsasaista apstiprinātie risku un nepārtrauktības analīzes pieņēmumi, procesu īpašnieku lēmumi, pārbaužu ieraksti, mācību rezultāti, konstatētās neatbilstības, korektīvās darbības un to efektivitātes novērtējums. Darbības nepārtrauktības plāna versiju reģistrā jānorāda ne tikai izmaiņu datums un autors, bet arī notikums, lēmums vai analīzes rezultāts, kas pamatoja izmaiņas.

Plāna pārskatīšanas biežums jāpielāgo procesu kritiskumam un risku mainīgumam. Ar periodisku termiņu vien nepietiek. Pārskatīšana jāveic arī pēc incidenta, mācībām un būtiskām izmaiņām procesā, tehnoloģijā, atrašanās vietā, piegādātājā, organizatoriskajā struktūrā vai riska profilā. Mācību rezultātu pieņemšanas kritēriji jānosaka pirms mācību sākuma, lai vērtējums neaprobežotos ar subjektīvu secinājumu, ka organizācija „tika galā”.

Ikmēneša uzraudzība var parādīt, ka mācību programma izpildīta saskaņā ar grafiku, tomēr viens process nav sasniedzis noteikto atjaunošanas laiku un kritiskam piegādātāja pakalpojumam joprojām nav alternatīva risinājuma. Šādu rezultātu nedrīkst paslēpt tehniskā protokolā. Valdei jāsaņem informācija par procesiem, kuri nesasniedz nepieciešamo spēju līmeni, neakceptētām neatbilstībām, apzināti pieņemtiem riskiem un vajadzīgajiem ieguldījumiem vai organizatoriskajiem lēmumiem. Vadības pārskatam jānoslēdzas ar dokumentētiem lēmumiem, nevis tikai ar informācijas pieņemšanu zināšanai.

Iekšējā auditā jāpārbauda deklarāciju atbilstība faktiskajai praksei: vai par kritisku atzītais process patiešām piedalās mācībās, vai tehniskie atjaunošanas mērķi atbilst operacionālajām vajadzībām un vai pēc pārbaudēm noteiktās darbības ir pabeigtas un to efektivitāte apstiprināta. Auditoram vai uzraudzības iestādei jāspēj uzrādīt secīgu ierakstu kopumu, kas demonstrē ceļu no identificēta riska caur lēmumu un pārbaudi līdz apstiprinātam uzlabojumam. Noderīgi palīgrādītāji ir apstiprinātās mācību programmas izpildes pakāpe, korektīvo darbību savlaicīgums un neakceptēto neatbilstību skaits starp prasīto un pierādīto nepārtrauktības spēju.

Noslēguma pasākumu sarakstu var iekļaut plašākā grafikā, kas aprakstīts materiālā NIS2 ieviešana pēc iekļaušanas KSC sarakstā — rīcības plāns līdz 2027. gada 3. aprīlim. Tomēr termiņi, pienākumu tvērums un piemērotie pasākumi katrā gadījumā jāpārbauda atbilstoši aktuālajam tiesiskajam regulējumam, organizācijas statusam valsts kiberdrošības sistēmā un tās faktiskajam riska profilam.