Pranešimas apie NIS2 incidentus per 24 ir 72 valandas: procedūra, atsakomybės ir parengties pratybos

Pranešimo apie incidentus per 24 ir 72 valandas procedūra neturėtų prasidėti nuo formos pildymo ar apsiriboti IT skyriaus atsakomybe. Jos veiksmingumą lemia tai, kada organizacija laikoma sužinojusia apie incidentą, kas vertina jo poveikį, kas priima sprendimą ir ar pranešimą įmanoma parengti bei pateikti turint neišsamius duomenis, nesant pagrindinių darbuotojų arba neveikiant svarbiausioms sistemoms. Todėl parengtis turi būti kuriama kaip kelių padalinių procesas, o vėliau patikrinta laiko spaudimo sąlygomis vykdomose pratybose.

Kodėl terminas pradedamas skaičiuoti anksčiau, nei tikisi vadovybė

Termino pradžios nereikėtų sieti tik su visišku techniniu patvirtinimu ar su informacijos perdavimu asmeniui, įgaliotam pateikti pranešimą. Organizacija turi atskirti įvykį, suprantamą kaip pastebėta anomalija ar įspėjimas, nuo saugumo incidento, darančio poveikį išteklių ir paslaugų konfidencialumui, vientisumui, prieinamumui arba autentiškumui. Kitas lygmuo – incidentas, atitinkantis teisės aktuose nustatytus pranešimo kriterijus. Taigi ne kiekvienas pavojaus signalas aktyvuoja 24 ir 72 valandų režimą, tačiau kiekvienas signalas turi būti įvertintas pagal iš anksto nustatytas taisykles.

Didžiausia vėlavimo rizika kyla tuomet, kai procedūroje neapibrėžta, kada organizacija laikoma sužinojusia apie incidentą. Pirmąją informaciją gali gauti techninės priežiūros komanda, linijos operatorius, administratorius, paslaugų teikėjas ar klientų aptarnavimo skyrius. Jei terminas pradedamas skaičiuoti tik informavus valdybos narį ar saugumo koordinatorių, tarp faktinio sutrikimo nustatymo ir formalios reakcijos susidaro dirbtinė spraga. Todėl procedūroje turi būti nurodyti vidinių ir išorinių pranešimų šaltiniai, eskalavimo kriterijai ir vaidmuo, atsakingas už sprendimą, ar sutrikimas peržengė įprasto gedimo ribą.

Jeigu gamybinę sistemą prižiūrintis tiekėjas informuoja techninės priežiūros komandą apie paslaugos nepasiekiamumą ir įtariamą išorinį poveikį, priežastis, visa apimtis ir numatomas veiklos atkūrimo laikas gali būti dar nežinomi. Tai nėra pagrindas laukti galutinės techninės ataskaitos. Eskalavimui pakanka informacijos apie signalo nustatymo laiką, paveiktas paslaugas ir vietas, pastebėtą poveikį, galimas pasekmes bei taikomas poveikio mažinimo priemones. Remdamasis šiais duomenimis, įgaliotas asmuo atlieka pirminį vertinimą ir dokumentuoja sprendimą aktyvuoti arba neaktyvuoti pranešimo teikimo proceso.

24 ir 72 valandų etapus reikia vertinti kaip nuoseklų žinių apie tą patį incidentą papildymą: pirmiausia pagal turimus požymius pateikiamas ankstyvasis perspėjimas, o vėliau vertinimas papildomas tikslesniais duomenimis. Tai nėra dvi tarpusavyje nesusijusios administracinės pareigos. Konkrečius terminus, kvalifikavimo ribas ir pranešimo kanalus kiekvienu atveju būtina patikrinti pagal galiojančius nacionalinius NIS2 įgyvendinančius teisės aktus ir kompetentingos institucijos reikalavimus, o ne grįsti procedūrą vien direktyva. Pasirinktų sprendimų veiksmingumą galima patikrinti atliekant NIS2 auditą gamybos įmonėje – kaip įvertinti organizacijos pasirengimą naujiems įpareigojimams.

Kur organizacija praranda pirmąsias valandas

Pirmosios valandos dažnai prarandamos ne techninei analizei, o laukimui. Pranešimas lieka pagalbos tarnybos sistemoje, ne darbo metu neveikia kontaktų grandinė, tiekėjas rengia išvadą, padaliniai nesutaria dėl poveikio masto, o sprendimą priimti įgaliotas asmuo yra nepasiekiamas. Vėlavimą dar labiau didina rankinis duomenų rinkimas iš kelių šaltinių. Problema pirmiausia kyla IT, operacinių technologijų, gamybos, kokybės, teisės, komunikacijos, duomenų apsaugos, pirkimų ir vadovybės sąsajose, nes kiekviena iš šių sričių turi tik dalį reikalingos informacijos.

Gamybos įmonėje prarasta prieiga prie planavimo sistemos ir kartu pasireiškiantis dalies įrenginių nestabilumas iš karto nesuteikia išsamaus vaizdo. Tai gali būti tarpusavyje susijusių sistemų gedimas, operacinių technologijų sutrikimas arba platesnio masto incidentas. Organizacija turi lygiagrečiai užtikrinti operacijų ir gamybos tęstinumą, nustatyti paveiktus išteklius bei vietas ir vykdyti eskalavimą. Techninio poveikio mažinimo negalima atidėti iki formalaus sprendimo, tačiau ir sprendimo dėl pranešimo nereikėtų nukelti iki priežasties nustatymo ar visiško sutrikimo pašalinimo.

Silpnąsias vietas geriausiai atskleidžia scenarijumi pagrįstos pratybos, apimančios naktinį variantą ir pagrindinio asmens nepasiekiamumą. Reikia matuoti laiką nuo pirmojo signalo iki eskalavimo, kvalifikavimo, susisiekimo su sprendimų priėmėju ir minimalaus duomenų rinkinio surinkimo. Taip pat būtina patikrinti sutarčių su informacinių ir ryšių technologijų paslaugų teikėjais sąlygas. Tiekėjas gali padėti parengti informaciją, tačiau norint pateikti pranešimą organizacijos vardu reikia aiškaus pagrindo, tinkamų įgaliojimų ir suderinamumo su galiojančia procedūra. Vien sistemos priežiūra atsakomybės tiekėjui neperduoda.

Parengties vertinimas turėtų apimti visą organizaciją, o ne tik IT skyrių: vaidmenis, informacijos srautus, tiekėjus, operacines technologijas ir krizių valdymą. Šių mechanizmų veikimo įrodymai turi atitikti medžiagoje NIS2 ir KSC dokumentai prieš patikrinimą: kokių politikų, registrų ir įrodymų iš tikrųjų reikia aprašytą apimtį.

Procedūra nuo signalo gavimo iki pranešimo pateikimo

Procedūra turi nuosekliai vesti nuo pirmojo signalo iki dokumentais patvirtinto pranešimo išsiuntimo, nesiejant sprendimo su techninės analizės užbaigimu. Procesas apima signalo priėmimą, laiko ir šaltinio užregistravimą, pirminį kvalifikavimą, įrodymų apsaugojimą ir poveikio paslaugai įvertinimą. Tada aktyvuojamas eskalavimas, priimamas sprendimas, parengiamas pranešimas, jis išsiunčiamas nustatytu kanalu ir išsaugomas pateikimo patvirtinimas. Kiekvienam etapui reikia paskirti savininką, pavaduojantį asmenį, vidinį terminą ir privalomą įrašą. Vidiniai terminai turi palikti pakankamai laiko patvirtinimui ir galimiems siuntimo sutrikimams pašalinti, todėl jie negali sutapti su teisės aktuose nustatyta galutine riba.

Pirmajame, iki 24 valandų trunkančiame etape reikia minimalaus patvirtintos informacijos rinkinio: subjekto identifikavimo duomenų, aptikimo laiko, paveiktos paslaugos, pastebėtų pasekmių, žinomo masto ir jau atliktų veiksmų. Nepatvirtinta informacija turi būti aiškiai pažymėta kaip preliminari, nurodant jos šaltinį ir tikrinimo būdą. Nežinoma priežastis, visa apimtis ar incidento pabaigos laikas neturėtų skatinti kurti tariamai išsamaus vaizdo ar automatiškai stabdyti pranešimo. Procedūroje turi būti nustatyta, kas tvirtina pranešimą, kas jį pavaduoja ir kaip atnaujinama anksčiau pateikta informacija.

Kai gamykla praranda prieigą prie užsakymų vykdymą valdančios sistemos, koordinatorius registruoja pavojaus signalą, aptikimo laiką ir naudotojų pateiktą informaciją, o techninė komanda lygiagrečiai apsaugo įvykių žurnalus ir mažina poveikį. Paslaugos savininkas vertina poveikį gamybai, logistikai ir klientams, o sprendimų priėmėjas, remdamasis turimais duomenimis, nustato, ar atsirado pareiga pateikti pranešimą. Jei incidentas tęsiasi, registravimo sistema nepasiekiama arba incidento šaltinis yra tiekėjas, reikia naudoti parengtą atsarginį kanalą, nelaukiant galutinės ataskaitos. Kelių bendrovių grupėje būtina atskirai nustatyti paveiktas paslaugas, kiekvieno subjekto statusą ir įgaliojimus veikti konkrečių subjektų vardu.

Iki 72 valandų etapo organizacija papildo incidento pobūdžio ir sunkumo, jo poveikio, turimų saugumo pažeidimo indikatorių bei poveikio mažinimo veiksmų vertinimą tiek, kiek to reikalauja tuo metu galiojantys teisės aktai ir formos. Jei vėlesnės išvados pakeičia įvykio mastą, priežastį ar kvalifikavimą, ankstesnė informacija turi būti koreguojama kontroliuojamu būdu, išsaugant pakeitimų atsekamumą. Todėl prieš įgyvendinant procedūrą būtina patikrinti konkrečiai subjekto kategorijai kompetentingą instituciją ar reagavimo grupę, pranešimo kanalą, terminų skaičiavimo taisykles ir reikalavimus dėl atnaujinimų bei tolesnių ataskaitų. Subjektų taikymo sritis išsamiau aptarta medžiagoje NIS2 gamybos įmonėms: kam taikoma, kokius įpareigojimus nustato ir kaip parengti organizaciją neapsiribojant vien IT.

Informacijos valdymo pagrindas turėtų būti vienas incidento registras, kuriame pateikiama laiko juosta, nuoseklios išvadų versijos, duomenų šaltiniai, sprendimai ir jų pagrindimas, pranešimų turinys bei išsiuntimo patvirtinimai. Elektroninis paštas ir žinučių platformos gali būti naudojami pavojaus signalams perduoti, tačiau juose neturėtų atsirasti lygiagrečių incidento aprašymo versijų. Proceso parengtį reikia vertinti pagal laiką nuo signalo iki registravimo, eskalavimo, sprendimo ir išsiuntimo, įrašų su nurodytu informacijos šaltiniu dalį bei galimybę atsekti, kas ir kokiu pagrindu pakeitė incidento vertinimą.

Vaidmenys, pavadavimas ir sprendimo riba

Pranešimo teikimo procese būtina aiškiai atskirti veiksmus, atsakomybes ir įgaliojimus. Įvykį aptikęs asmuo jį registruoja ir inicijuoja eskalavimą. Incidento koordinatorius tvarko laiko juostą ir informacijos srautus, o techninis ekspertas vertina įvykio pobūdį bei apsaugo duomenis. Paslaugos ar proceso savininkas nustato operacinį poveikį, teisinę kompetenciją turintis asmuo vertina informavimo pareigą, tvirtinantis asmuo priima sprendimą dėl pranešimo, o įgaliotas darbuotojas jį išsiunčia ir išsaugo pateikimo įrodymą. Vienas asmuo gali atlikti kelis vaidmenis, jei tai nepadaro sprendimo įgaliojimų neaiškių ir nesukuria vieno priklausomybės taško.

Atsakomybių matrica yra praktiškai naudinga tik tada, kai joje, be pareigų pavadinimo, nurodomi užduoties apimtis, reikalaujamas reakcijos laikas, sprendimų priėmimo įgaliojimai, pavaduojantis asmuo ir laukiamas įrodymas. Joje taip pat turėtų būti nustatyta, kas gali priimti sprendimą turint neišsamius duomenis ir kaip sprendžiama galima gamybos tęstinumo, saugumo bei informavimo pareigos kolizija. Vadovybė tvirtina reagavimo modelį, eskalavimo ribas ir skiriamus išteklius. Visa sprendimų rizika negali būti perduota sistemų administratoriui ar kokybės vadybos atstovui, kurie paprastai neturi įgaliojimų vertinti verslo ir teisinių pasekmių.

Ne kiekvieną pranešimą turi tvirtinti valdybos narys, jei vidiniame kompetencijų modelyje numatytas tinkamas įgaliojimas, atitinkantis konkrečiam subjektui ir pranešimo kanalui taikomus reikalavimus. Pavadavimo tvarkoje reikia konkrečiai įvardyti kitą asmenį, pateikti visą parą galiojančius kontaktinius duomenis ir nustatyti, kada po nesėkmingų bandymų susisiekti jis perima incidento valdymą. Pavaduojantis asmuo turi turėti realią prieigą prie registro, formos, pašto dėžutės, reikiamų elektroninių parašų ir atsarginio kanalo. Vien nuostata procedūroje, nesuteikus būtinų teisių, veiklos tęstinumo neužtikrina.

Jei incidentas įvyksta naktį, koordinatorius neturėtų neribotą laiką laukti tvirtinančio asmens. Pasibaigus vidiniam susisiekimo terminui, jis kreipiasi į pavaduojantį asmenį, o vėliau – į asmenį, įgaliotą priimti sprendimą ekstremalioje situacijoje. Vidiniai terminai turi būti gerokai trumpesni už išorinius, paliekant laiko duomenims patikrinti, teisiškai kvalifikuoti, sprendimui patvirtinti, techniniams sunkumams pašalinti ir pranešimo išsiuntimui dokumentuoti. Laiką nuo aptikimo iki eskalavimo, sprendimo ir pranešimo pateikimo reikia matuoti per pratybas.

Šiam modeliui reikalingas budėjimo, prieigos teisių, mokymų ir priemonių finansavimas, todėl jis turi būti įtrauktas į planavimą, aprašytą medžiagoje Kiek kainuoja NIS2 ir uKSC įgyvendinimas – kaip sudaryti auditų, dokumentų, mokymų ir saugumo priemonių biudžetą išvengiant brangiai kainuojančių klaidų. Vieno sprendimų priėmėjo ar vienintelio prieigos teises turinčio asmens palikimas yra tik tariamas taupymas: incidento metu organizacinis nepasiekiamumas tampa formalaus vėlavimo priežastimi.

Pratybos, atskleidžiančios tikrąją parengtį

Pasirengimą pranešti apie incidentą patvirtina ne procedūros išmanymas, o gebėjimas ją įvykdyti esant laiko spaudimui ir neišsamiai informacijai. Pratybų scenarijuje informacija turėtų būti atskleidžiama palaipsniui. Pradinis signalas gali būti neaiškus, dalis sistemų ir dokumentų – nepasiekiami, tiekėjas gali atsakyti pavėluotai, o operacinis poveikis – didėti sulig kiekvienu nauju pranešimu. Tokia struktūra parodo, ar organizacija geba pradėti eskalavimą nelaukdama išsamios techninės analizės.

Pratybos turi vykti pagal realistišką laiko juostą, registruojant signalo gavimo ir užfiksavimo, perdavimo koordinatoriui, komandos sušaukimo, pirminio kvalifikavimo, teksto parengimo, jo patvirtinimo ir bandomojo išsiuntimo momentus. Bandymo metu faktinis pranešimas neturėtų būti siunčiamas, nebent iš anksto suderinta saugi bandomoji aplinka ir duomenų žymėjimo būdas. Išorės subjektų dalyvavimas turi būti suderintas atskirai. Tiekėją verta įtraukti, kai jo informacija, prieiga ar veiksmai yra būtini incidentui kvalifikuoti. Vadovybė turėtų dalyvauti bent tame scenarijuje, kuriame reikia verslo sprendimo, rizikos priėmimo arba pavadavimo mechanizmo aktyvavimo.

Pavyzdinis scenarijus gali prasidėti nuo pranešimo apie sulėtėjusią gamybos sistemą. Vėliau pratybų vadovas atskleidžia, kad nėra prieigos prie įvykių registro, tvirtinantis asmuo nepasiekiamas, duomenys apie paveiktų procesų skaičių prieštaringi, o tiekėjas neatsako. Stebėtojai komandai nepadeda, bet fiksuoja faktinį laiką ir įrodymus. Jie vertina, per kiek laiko signalas pasiekė koordinatorių, ar pasiekiami pavaduojantys asmenys, kiek atsakomybių liko neaiškios, ar išsami laiko juosta, kokie yra informacijos šaltinių neatitikimai ir ar galima naudoti atsarginį kanalą. Taip pat registruojami vaidmenys be pavaduojančių asmenų, trūkstami įgaliojimai ir pasenę kontaktiniai duomenys.

Vertinimas negali apsiriboti išvada, ar bandomasis pranešimas buvo parengtas iki vidinio termino. Reikia patikrinti, ar dalyviai:

• atskyrė patvirtintus faktus nuo prielaidų,
• nurodė informacijos šaltinius,
• dokumentavo kvalifikavimo pagrindą,
• pažymėjo duomenis, kuriuos reikės papildyti vėliau,
• aktyvavo pavadavimą pagal nustatytas taisykles,
• gebėjo pasinaudoti atsarginiu pranešimo kanalu.

Svarbus rezultatas yra ir komandos veikimas neapibrėžtumo sąlygomis. Komanda neturėtų nei automatiškai laikyti kiekvieno sutrikimo incidentu, apie kurį privaloma pranešti, nei stabdyti eskalavimo iki išsamios techninės analizės pabaigos.

Pratybos turi baigtis korekcinių veiksmų planu, o ne vien protokolu. Kiekvienai spragai reikia paskirti atsakingą asmenį, pašalinimo terminą, pamatuojamą veiksmingumo kriterijų ir nurodyti elementą, kuris bus tikrinamas pakartotinai. Būtina stebėti, kokia veiksmų dalis buvo laiku užbaigta ir kurios priemonės veiksmingai patikrintos per organizacijos nustatytą terminą. Tolesnių pratybų dažnumas ir scenarijų keitimas nustatomi atsižvelgiant į riziką, ankstesnio bandymo rezultatus ir organizacinius pokyčius. Papildomas bandymas ypač pagrįstas atsiradus naujiems vaidmenims, tiekėjams, sistemoms, pranešimo kanalams arba reikšmingiems trūkumams. Šios išvados turi būti suderintos su grafiku, aprašytu medžiagoje NIS2 įgyvendinimas po įtraukimo į KSC sąrašą – veiksmų planas iki 2027 m. balandžio 3 d..

Minimalus vadybinės parengties standartas

Vadovybė gali laikyti incidentų pranešimo procesą veikiančiu tik patvirtinusi visą jo organizacinę sistemą. Ji apima procedūrą, eskalavimo kriterijus, aktualų kontaktų sąrašą, paskirtus vaidmenis ir pavaduojančius asmenis, prieigą prie pagrindinio ir atsarginio pranešimo kanalų, pranešimų šablonus, bendrą incidento registrą, įrodymų apsaugos ir saugojimo taisykles bei atliktas pratybas. Bet kurio iš šių elementų nebuvimas turi būti vertinamas kaip operacinė rizika, o ne redakcinis dokumentų trūkumas.

Parengtį patvirtina ne patvirtintų dokumentų skaičius, bet nuoseklus veiksmų atsekamumas – nuo įvykio aptikimo, kvalifikavimo ir sprendimo iki pranešimo parengimo bei išsiuntimo. Įrašuose turi būti nurodyti laikai, informacijos šaltiniai, sprendimus priėmę asmenys, kvalifikavimo pagrindas ir kompetentingam subjektui perduotas turinys. Organizacija taip pat turi įrodyti, kad geba veikti nesant pagrindinių asmenų, neveikiant svarbiausioms sistemoms ir esant ribotai prieigai prie duomenų.

Po pratybų reikalinga vadovybinė peržiūra, kuri iki audito ar patikrinimo metu nustatytas išvadas paverstų konkrečiais sprendimais. Proceso savininkas pagal savo įgaliojimus gali pataisyti instrukciją, registrą ar kontaktų sąrašą. Vadovybė turi priimti sprendimus dėl trūkumų, kuriems pašalinti būtinas likutinės rizikos priėmimas, pokyčių finansavimas, papildomi ištekliai ar atsakomybių pakeitimas. Kiekvienam veiksmui turi būti paskirtas savininkas, terminas ir pakartotinio veiksmingumo tikrinimo data.

Pranešimas apie incidentus turi būti integruotas į platesnį įgyvendinimo planą, kiekvieną kartą patikrinant terminų ir reikalavimų aktualumą. Vertinant brandą taip pat verta atsižvelgti į temą NIS2 ir LST EN ISO 27001: ką suteikia sertifikatas ir ko vis dar trūksta siekiant atitikties KSC. Organizacija yra pasirengusi tik tada, kai per ribotą laiką ir turėdama neišsamią informaciją geba priimti tinkamą sprendimą, jį įgyvendinti ir pateikti tai patvirtinančius įrodymus.