Incidentu ziņošanas procedūra 24 un 72 stundu termiņiem nedrīkst sākties ar veidlapu un beigties ar IT nodaļas atbildību. Tās efektivitāti nosaka tas, kad organizācija uzskata, ka ir uzzinājusi par incidentu, kas novērtē tā ietekmi, kas pieņem lēmumu un vai ziņojumu iespējams sagatavot un iesniegt arī tad, ja informācija ir nepilnīga, galvenās personas nav pieejamas vai pamatsistēmas nedarbojas. Tādēļ gatavība jāveido kā starpfunkcionāls process un pēc tam jāpārbauda mācībās ar ierobežotu lēmumu pieņemšanas laiku.
Kāpēc termiņš sākas agrāk, nekā pieņem vadība
Termiņa sākumu nevajadzētu saistīt tikai ar pilnīgu tehnisko apstiprinājumu vai lietas nodošanu personai, kura pilnvarota iesniegt ziņojumu. Organizācijai jānošķir notikums — novērota anomālija vai brīdinājums — no drošības incidenta, kas ietekmē resursu un pakalpojumu konfidencialitāti, integritāti, pieejamību vai autentiskumu. Nākamais līmenis ir incidents, kas atbilst normatīvajiem ziņošanas kritērijiem. Tātad ne katrs trauksmes signāls iedarbina 24 un 72 stundu ziņošanas procesu, tomēr katrs signāls jāklasificē saskaņā ar iepriekš noteiktiem principiem.
Lielākais kavējuma risks rodas tad, ja procedūrā nav definēts brīdis, kad organizācija uzskatāma par informētu par incidentu. Pirmo informāciju var saņemt tehniskais dienests, līnijas operators, administrators, pakalpojuma sniedzējs vai klientu apkalpošanas nodaļa. Ja termiņu sāk skaitīt tikai pēc valdes locekļa vai drošības koordinatora informēšanas, veidojas mākslīga plaisa starp traucējuma faktisko konstatēšanu un formālo reakciju. Tādēļ procedūrā jānosaka iekšējie un ārējie ziņojumu avoti, eskalācijas kritēriji un loma, kura izlemj, vai traucējums ir pārsniedzis parastas kļūmes robežu.
Ja ražošanas sistēmas uzturētājs informē tehnisko dienestu par pieejamības zudumu un aizdomām par ārēju iedarbību, cēlonis, pilnais apjoms un paredzamais darbības atjaunošanas laiks vēl var nebūt zināms. Tas nav pamats gaidīt galīgo tehnisko ziņojumu. Eskalācijai pietiek ar informāciju par signāla konstatēšanas laiku, skartajiem pakalpojumiem un atrašanās vietām, novēroto ietekmi, iespējamām sekām un veiktajiem ierobežošanas pasākumiem. Pamatojoties uz šiem datiem, pilnvarotā persona veic sākotnējo novērtējumu un dokumentē lēmumu par ziņošanas procesa sākšanu vai nesākšanu.
24 un 72 stundu posmi jāuztver kā zināšanu papildināšana par vienu un to pašu incidentu: vispirms, pamatojoties uz pieejamajām pazīmēm, tiek nosūtīts agrīnais brīdinājums, bet pēc tam novērtējums tiek papildināts ar precīzākiem secinājumiem. Tie nav divi savstarpēji nesaistīti administratīvi pienākumi. Konkrētie termiņi, klasifikācijas sliekšņi un iesniegšanas kanāli katrā gadījumā jāpārbauda atbilstoši aktuālajiem valsts normatīvajiem aktiem, ar kuriem ieviesta NIS2, un kompetentās iestādes prasībām, nevis procedūra jābalsta tikai uz direktīvu. Pieņemto risinājumu efektivitāti var pārbaudīt, izmantojot NIS2 auditu ražošanas uzņēmumā — kā novērtēt organizācijas gatavību jaunajiem pienākumiem.
Kur organizācija zaudē pirmās stundas
Pirmās stundas bieži tiek zaudētas nevis tehniskajā analīzē, bet gan gaidīšanā. Ziņojums paliek pieteikumu sistēmā, ārpus darba laika nedarbojas saziņas ķēde, pakalpojuma sniedzējs gatavo atzinumu, struktūrvienības diskutē par ietekmes apmēru, bet lēmuma pieņēmējs nav sasniedzams. Kavējumu palielina manuāla datu apkopošana no vairākiem avotiem. Problēmas visbiežāk rodas IT, operacionālo tehnoloģiju, ražošanas, kvalitātes, juridiskās funkcijas, komunikācijas, datu aizsardzības, iepirkumu un vadības saskares punktos, jo katras funkcijas rīcībā ir tikai daļa no kopējās informācijas.
| Šaurā vieta | Sekas | Riska īpašnieks | Preventīvā darbība |
|---|---|---|---|
| Ziņojums bez automātiskas eskalācijas | Novēlota klasifikācijas sākšana | Incidentu pārvaldības procesa īpašnieks | Prioritāšu sliekšņi un noteikto lomu automātiska informēšana |
| Nav saziņas iespējas ārpus darba laika | Gaidīšana līdz nākamajai darbdienai | Valde un operatīvā vadība | Dežūras, aizvietošana un periodiskas sasniedzamības pārbaudes |
| Pakalpojuma sniedzēja atbildes gaidīšana | Lēmums kļūst atkarīgs no ārēja ziņojuma | Iepirkumu funkcija un līguma īpašnieks | Līgumā noteikti informēšanas termiņi, datu apjoms un ekspertu pieejamība |
| Domstarpības par ietekmi vai nav lēmuma pieņēmēja | Nav formāla lēmuma | Pilnvarots vadības pārstāvis | Klasifikācijas matrica, pilnvarojumi un aizvietošana |
| Manuāla informācijas apkopošana | Pretrunīgs incidenta kopskats | Incidenta koordinators | Vienots laika, pakalpojumu, atrašanās vietu, seku un darbību reģistrs |
Ražošanas uzņēmumā piekļuves zudums plānošanas sistēmai kopā ar atsevišķu iekārtu nestabilu darbību uzreiz nesniedz pilnīgu priekšstatu. Tas var nozīmēt savstarpēji atkarīgu sistēmu kļūmi, operacionālo tehnoloģiju darbības traucējumu vai plašāka mēroga incidentu. Organizācijai vienlaikus jāaizsargā operācijas un ražošanas nepārtrauktība, jānosaka skartie aktīvi un atrašanās vietas, kā arī jāveic eskalācija. Tehnisko seku ierobežošana nedrīkst gaidīt formālu lēmumu, taču arī lēmumu par ziņošanu nedrīkst atlikt līdz cēloņa noteikšanai vai pilnīgai traucējuma novēršanai.
Šaurās vietas vislabāk atklāj scenārija mācības, kurās ietverts arī nakts variants un galvenās personas nepieejamība. Jāmēra laiks no pirmā signāla līdz eskalācijai, klasifikācijai, saziņai ar lēmuma pieņēmēju un minimālā datu kopuma savākšanai. Jāpārbauda arī līgumi ar informācijas un komunikācijas tehnoloģiju pakalpojumu sniedzējiem. Pakalpojuma sniedzējs var palīdzēt sagatavot informāciju, taču ziņošana organizācijas vārdā prasa skaidru pamatu, atbilstošu pilnvarojumu un rīcību saskaņā ar spēkā esošo procedūru. Sistēmas uzturēšana pati par sevi nepārceļ atbildību.
Gatavības novērtējumam jāaptver visa organizācija, nevis tikai IT nodaļa: lomas, informācijas plūsmas, piegādātāji, operacionālās tehnoloģijas un krīzes vadība. Šo mehānismu darbības pierādījumiem jābūt saskaņotiem ar materiālā NIS2 un KSC dokumentācija pirms pārbaudes: kādas politikas, reģistri un pierādījumi patiešām nepieciešami aprakstīto tvērumu.
Procedūra no pirmā signāla līdz ziņojuma iesniegšanai
Procedūrai jānodrošina virzība no pirmā signāla līdz dokumentētai ziņojuma iesniegšanai, nepadarot lēmumu atkarīgu no tehniskās analīzes pabeigšanas. Procesā ietilpst signāla saņemšana, laika un avota reģistrēšana, sākotnējā klasifikācija, pierādījumu saglabāšana un ietekmes uz pakalpojumu novērtēšana. Pēc tam tiek sākta eskalācija, pieņemts lēmums, sagatavots paziņojums, tas nosūtīts pa atbilstošo kanālu un saglabāts nosūtīšanas apliecinājums. Katram posmam nepieciešams atbildīgais, aizvietotājs, iekšējais izpildes termiņš un noteikts ieraksts. Iekšējiem termiņiem jāatstāj laiks apstiprināšanai un nosūtīšanas problēmu risināšanai, nevis jāsakrīt ar normatīvā termiņa robežu.
Pirmajā posmā līdz 24 stundām nepieciešams minimālais apstiprinātās informācijas kopums: subjekta identifikācija, konstatēšanas laiks, skartais pakalpojums, novērotās sekas, zināmais apjoms un veiktās darbības. Nepārbaudīta informācija jāatzīmē kā sākotnēja, norādot tās avotu un pārbaudes veidu. Zināšanu trūkums par cēloni, pilno apjomu vai notikuma beigu laiku nedrīkst veicināt šķietamas pilnības radīšanu vai automātiski apturēt paziņojuma sagatavošanu. Procedūrā jānosaka, kas apstiprina ziņojumu, kas rīkojas aizvietošanas kārtībā un kā tiek aktualizēta jau iesniegtā informācija.
Ja ražotne zaudē piekļuvi pasūtījumu izpildes vadības sistēmai, koordinators reģistrē trauksmes signālu, tā konstatēšanas laiku un lietotāju sniegto informāciju, bet tehniskā komanda vienlaikus saglabā notikumu žurnālus un ierobežo sekas. Pakalpojuma īpašnieks novērtē ietekmi uz ražošanu, loģistiku un klientiem, savukārt lēmuma pieņēmējs, pamatojoties uz pieejamajiem datiem, nosaka ziņošanas pienākumu. Ja incidents turpinās, reģistrācijas sistēma nav pieejama vai notikuma avots ir pakalpojuma sniedzējs, jāizmanto iepriekš sagatavots rezerves kanāls, negaidot galīgo ziņojumu. Grupā ar vairākiem uzņēmumiem atsevišķi jānosaka skartie pakalpojumi, attiecīgais tiesību subjekts un pilnvarojums rīkoties katra subjekta vārdā.
Līdz 72 stundu posmam organizācija papildina incidenta rakstura un smaguma novērtējumu, tā ietekmi, pieejamos kompromitēšanas indikatorus un seku ierobežošanas pasākumus — tādā apjomā, kādu nosaka attiecīgajā brīdī spēkā esošie normatīvie akti un veidlapas. Ja vēlāk iegūtā informācija maina notikuma apjomu, cēloni vai klasifikāciju, iepriekš iesniegtā informācija kontrolēti jālabo, saglabājot izmaiņu izsekojamību, nevis vienkārši jāaizstāj. Pirms procedūras ieviešanas jāpārbauda konkrētajai subjektu kategorijai kompetentā iestāde vai reaģēšanas vienība, ziņošanas kanāls, termiņu aprēķināšanas noteikumi, kā arī informācijas aktualizēšanas un turpmākās ziņošanas prasības. Subjektu tvērums plašāk aplūkots materiālā NIS2 ražošanas uzņēmumiem: uz ko prasības attiecas, kādus pienākumus tās ievieš un kā sagatavot organizāciju, neaprobežojoties tikai ar IT.
Informācijas aprites pamatā jābūt vienotam incidenta reģistram, kurā ietverta laika līnija, secīgas secinājumu versijas, datu avoti, lēmumi un to pamatojums, paziņojumu saturs un nosūtīšanas apliecinājumi. E-pastu un saziņas lietotnes var izmantot brīdinājumiem, taču tajās nevajadzētu veidot paralēlas notikuma apraksta versijas. Procesa gatavība jāmēra pēc laika no signāla saņemšanas līdz reģistrēšanai, eskalācijai, lēmumam un nosūtīšanai, pēc ierakstu īpatsvara ar norādītu avotu un pēc iespējas atjaunot informāciju par to, kas un uz kāda pamata mainījis incidenta novērtējumu.
Lomas, aizvietošana un lēmuma slieksnis
Ziņošanas procesā skaidri jānodala darbības, atbildība un pilnvaras. Persona, kura konstatē notikumu, to reģistrē un sāk eskalāciju. Incidenta koordinators uztur laika līniju un informācijas apriti, bet tehniskais eksperts novērtē notikuma raksturu un saglabā datus. Pakalpojuma vai procesa īpašnieks nosaka operacionālo ietekmi, persona ar juridisko kompetenci izvērtē informēšanas pienākumu, apstiprinātājs pieņem lēmumu par ziņošanu, savukārt pilnvarots darbinieks iesniedz ziņojumu un saglabā tā apliecinājumu. Viena persona var pildīt vairākas lomas, ja tas nepadara neskaidras lēmumu pieņemšanas pilnvaras un nerada vienu kritisku atkarības punktu.
Atbildības matrica ir praktiski izmantojama tikai tad, ja papildus amata nosaukumam tajā norādīts uzdevuma tvērums, paredzētais reakcijas laiks, lēmumu pieņemšanas pilnvaras, aizvietotājs un sagaidāmais izpildes pierādījums. Tajā arī jānosaka, kas drīkst lemt nepilnīgas informācijas apstākļos un kā risināms konflikts starp ražošanas nepārtrauktību, drošību un informēšanas pienākumu. Vadība apstiprina reaģēšanas modeli, eskalācijas sliekšņus un pieejamos resursus. Tā nedrīkst visu lēmumu risku pārcelt uz sistēmu administratoru vai kvalitātes vadības pārstāvi, kuriem parasti nav pilnvaru lemt par uzņēmējdarbības un juridiskajām sekām.
Nav obligāti, lai katru ziņojumu apstiprinātu valdes loceklis, ja iekšējā pilnvaru sistēma paredz atbilstošu pilnvarojumu, kas atbilst konkrētajam subjektam un ziņošanas kanālam piemērojamajām prasībām. Aizvietošanai nepieciešama vārdā norādīta nākamā persona, diennakts kontaktinformācija un noteikums par lietas pārņemšanu, ja noteiktajā laikā nav izdevies nodibināt saziņu. Aizvietotājam jābūt faktiskai piekļuvei reģistram, veidlapai, pastkastei, nepieciešamajiem elektroniskajiem parakstiem un rezerves kanālam. Ieraksts procedūrā bez piešķirtām piekļuves tiesībām nenodrošina darbības nepārtrauktību.
Ja incidents notiek naktī, koordinatoram nevajadzētu bez noteikta termiņa gaidīt apstiprinātāju. Pēc iekšējā saziņas termiņa beigām jāsazinās ar aizvietotāju un pēc tam ar personu, kura pilnvarota pieņemt ārkārtas lēmumu. Iekšējie termiņi jānosaka ievērojami īsāki par ārējiem termiņiem, atstājot rezervi datu pārbaudei, juridiskajai klasifikācijai, apstiprināšanai, tehnisku problēmu risināšanai un nosūtīšanas dokumentēšanai. Mācību laikā jāmēra laiks no incidenta konstatēšanas līdz eskalācijai, lēmumam un ziņojuma iesniegšanai.
Šim modelim nepieciešams finansējums dežūrām, piekļuvēm, apmācībām un rīkiem, tādēļ tas jāiekļauj materiālā Cik maksā NIS2 un uKSC ieviešana — kā izveidot audita, dokumentācijas, apmācību un drošības pasākumu budžetu bez dārgām kļūdām aprakstītajā plānošanā. Viena lēmuma pieņēmēja vai viena piekļuves tiesību turētāja saglabāšana ir tikai šķietams ietaupījums: incidenta laikā organizatoriska nepieejamība kļūst par formāla kavējuma cēloni.
Mācības, kas atklāj faktisko gatavību
Gatavību ziņot par incidentu apliecina nevis procedūras pārzināšana, bet spēja to izpildīt laika spiediena un nepilnīgas informācijas apstākļos. Mācību scenārijam jābūt balstītam uz pakāpenisku informācijas atklāšanu. Sākotnējais signāls var būt neviennozīmīgs, daļa sistēmu un dokumentācijas var nebūt pieejama, pakalpojuma sniedzējs var atbildēt novēloti, bet operacionālā ietekme — pieaugt līdz ar katru jaunu paziņojumu. Šāda pieeja parāda, vai organizācija spēj sākt eskalāciju, negaidot pilnīgu tehnisko analīzi.
Mācības jāīsteno reālistiskā laika skalā, reģistrējot signāla saņemšanas un fiksēšanas brīdi, tā nodošanu koordinatoram, komandas sasaukšanu, sākotnējo klasifikāciju, teksta sagatavošanu, apstiprināšanu un nosūtīšanas mēģinājumu. Pārbaude nedrīkst izraisīt faktisku ziņojuma iesniegšanu, ja vien iepriekš nav saskaņota droša testa vide un datu marķēšanas kārtība. Ārējo pušu iesaiste jāapstiprina atsevišķi. Pakalpojuma sniedzēju ir lietderīgi iesaistīt tad, ja tā informācija, piekļuve vai darbība ir nepieciešama incidenta klasifikācijai. Valdei būtu jāpiedalās vismaz scenārijā, kur nepieciešams biznesa lēmums, riska akceptēšana vai aizvietošanas mehānisma aktivizēšana.
Scenārijs var sākties ar ziņojumu par ražošanas sistēmas darbības palēnināšanos. Pēc tam mācību vadītājs atklāj, ka nav pieejams notikumu reģistrs un apstiprinātājs, dati par skarto procesu skaitu ir pretrunīgi, bet pakalpojuma sniedzējs neatbild. Novērotāji komandai nepalīdz, bet reģistrē faktiskos laikus un pierādījumus. Viņi novērtē laiku, kurā signāls sasniedz koordinatoru, aizvietotāju pieejamību, neskaidro atbildības jomu skaitu, laika līnijas pilnīgumu, neatbilstības starp avotiem un iespēju izmantot rezerves kanālu. Tāpat tiek fiksētas lomas bez aizvietotājiem, trūkstošas piekļuves tiesības un novecojusi kontaktinformācija.
Novērtējumu nedrīkst ierobežot ar pārbaudi, vai izmēģinājuma ziņojums sagatavots līdz iekšējam termiņam. Jāpārbauda, vai dalībnieki:
- nošķīra apstiprinātus faktus no pieņēmumiem,
- norādīja informācijas avotus,
- dokumentēja klasifikācijas pamatojumu,
- atzīmēja datus, kuri vēlāk jāpapildina,
- aktivizēja aizvietošanu saskaņā ar noteikto kārtību,
- spēja izmantot rezerves ziņošanas kanālu.
Būtisks rezultāts ir arī komandas rīcība nenoteiktības apstākļos. Tai nevajadzētu nedz automātiski klasificēt katru traucējumu kā ziņojamu incidentu, nedz apturēt eskalāciju līdz pilnīgas tehniskās analīzes pabeigšanai.
Mācībām jānoslēdzas ar korektīvo darbību plānu, nevis tikai protokolu. Katrai nepilnībai nepieciešams atbildīgais, novēršanas termiņš, izmērāms efektivitātes kritērijs un norāde uz elementu, kas jāpārbauda atkārtoti. Jāuzrauga noteiktajā termiņā pabeigto un sekmīgi pārbaudīto darbību īpatsvars. Turpmāko mācību biežumu un scenārija maiņu nosaka, ņemot vērā risku, iepriekšējās pārbaudes rezultātus un organizatoriskās izmaiņas. Papildu pārbaude īpaši pamatota pēc jaunu lomu, piegādātāju, sistēmu vai ziņošanas kanālu ieviešanas, kā arī būtisku trūkumu konstatēšanas. Šiem secinājumiem jābūt saskaņotiem ar materiālā NIS2 ieviešana pēc iekļaušanas KSC sarakstā — rīcības plāns līdz 2027. gada 3. aprīlim aprakstīto grafiku.
Minimālais vadības gatavības standarts
Valde var uzskatīt incidentu ziņošanas procesu par darbspējīgu tikai pēc pilnīga organizatoriskā modeļa apstiprināšanas. Tas ietver procedūru, eskalācijas kritērijus, aktuālu kontaktpersonu sarakstu, noteiktas lomas un aizvietošanu, piekļuvi pamata un rezerves ziņošanas kanāliem, paziņojumu paraugus, vienotu incidentu reģistru, pierādījumu saglabāšanas un glabāšanas noteikumus, kā arī īstenotas mācības. Jebkura šā elementa trūkums jāvērtē kā operacionāls risks, nevis redakcionāla nepilnība dokumentācijā.
Gatavību apliecina nevis apstiprināto dokumentu skaits, bet konsekventa rīcības izsekojamība — no notikuma konstatēšanas un klasifikācijas līdz lēmumam, ziņojuma sagatavošanai un iesniegšanai. Ierakstiem jāatspoguļo laiki, informācijas avoti, lēmuma pieņēmēji, klasifikācijas pamatojums un kompetentajai pusei iesniegtais saturs. Organizācijai arī jāspēj pierādīt, ka tā var rīkoties galveno personu prombūtnes, pamatsistēmu atteices un ierobežotas datu pieejamības apstākļos.
Pēc mācībām nepieciešama vadības pārskatīšana, kurā secinājumi pirms audita vai pārbaudes tiek pārvērsti konkrētos lēmumos. Procesa īpašnieks savu pilnvaru robežās var uzlabot instrukciju, reģistru vai kontaktpersonu sarakstu. Savukārt valdei jālemj par trūkumiem, kuriem nepieciešama atlikušā riska akceptēšana, izmaiņu finansēšana, papildu resursi vai atbildības pārdale. Katrai darbībai jānosaka atbildīgais, termiņš un efektivitātes atkārtotas pārbaudes datums.
Incidentu ziņošana jāiekļauj plašākā ieviešanas plānā, katru reizi pārbaudot termiņu un prasību aktualitāti. Novērtējot procesa briedumu, lietderīgi ņemt vērā arī materiālu NIS2 un LVS EN ISO 27001: ko nodrošina sertifikāts un kā joprojām trūkst atbilstībai KSC prasībām. Organizācija ir gatava tikai tad, ja tā spēj ierobežotā laikā un ar nepilnīgu informāciju pieņemt pareizu lēmumu, to izpildīt un pierādīt.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
