IKT darbības nepārtrauktības plāns pēc NKDL un MK noteikumiem 397

Kur šis pienākums noteikts

Nacionālās kiberdrošības likuma (NKDL) 28. panta pirmā daļa uzliek subjektam divus pienākumus vienlaikus: izstrādāt kiberrisku pārvaldības un IKT darbības nepārtrauktības plānu un nodrošināt darbiniekiem regulāru apmācību, lai plānā iekļautos pasākumus var efektīvi īstenot. Otrā daļa deleģē Ministru kabinetam noteikt plāna saturu, kā arī izpildes uzraudzības un kontroles kārtību.

Subjektam ir pienākums izstrādāt kiberrisku pārvaldības un informācijas un komunikācijas tehnoloģiju darbības nepārtrauktības plānu un nodrošināt darbiniekiem regulāru apmācību efektīvai plānā iekļauto pasākumu īstenošanai.

NKDL 28. panta pirmā daļa

Detalizētās prasības ir MK noteikumu Nr. 397 “Minimālās kiberdrošības prasības” 39.–45. punktā. Plāns ir viena no četrām obligātās kiberdrošības pārvaldības dokumentācijas daļām (21.3. apakšpunkts) līdzās kiberdrošības politikai, IKT resursu un informācijas sistēmu katalogam un kiberincidentu žurnālam. Kā šīs četras daļas saslēgt kopā, skaidrots ceļvedī par kiberdrošības dokumentāciju.

Noteikumi ļauj plānu sadalīt. 39. punkts paredz, ka subjekts var izstrādāt vairākus plānus atbilstoši darbības specifikai, piemēram, atsevišķi valsts informācijas sistēmai un subjekta datu centram. Tādā gadījumā par plānu uzskata šo plānu kopumu. Praksē tas nozīmē, ka uzraugam jāspēj redzēt visu kopumu un to, ka neviena sistēma no kataloga nav palikusi ārpus tā.

Cik bieži plāns jāpārskata

Pārskatīšanas biežums ir atkarīgs no subjekta statusa un no tā, vai subjektam ir vismaz viena A klases (paaugstinātas drošības) informācijas sistēma. Drošības klasi katrai sistēmai nosaka pēc MK noteikumu Nr. 397 5. pielikuma metodikas (32.–33. punkts), tāpēc pirms termiņa noteikšanas pārliecinieties, ka katalogā klases ir piešķirtas.

Plāna pārskatīšanas un aktualizēšanas biežums (MK noteikumu Nr. 397 40. punkts)

Subjekts	Biežums	Norma
IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs	vismaz reizi gadā	MK 397 40.1.
Būtisko pakalpojumu sniedzējs ar vismaz vienu A klases informācijas sistēmu	vismaz reizi gadā	MK 397 40.1.
Būtisko pakalpojumu sniedzējs bez A klases informācijas sistēmas	vismaz reizi divos gados	MK 397 40.2.
Svarīgo pakalpojumu sniedzējs	vismaz reizi trijos gados	MK 397 40.3.

IKT kritiskās infrastruktūras īpašniekiem ir vēl viens, atsevišķs dokuments. Tas ir darbības nepārtrauktības plāns valsts apdraudējuma gadījumam, kuru izstrādā pēc MK noteikumu Nr. 397 9. pielikuma un pirms apstiprināšanas saskaņo ar Satversmes aizsardzības biroju (SAB) (111.1. apakšpunkts). Pēc apstiprināšanas tas mēneša laikā jānosūta SAB (112. punkts), bet pašvērtējums par tā aktualizēšanu jāiesniedz vismaz reizi četros gados (114. punkts). Šo plānu nejauciet ar 39. punkta plānu, jo tiem ir atšķirīgs mērķis un adresāts.

Četras obligātās plāna daļas

MK noteikumu Nr. 397 41. punkts nosaka plāna minimālo saturu. Uzraugs vērtēs, vai katra daļa ir un vai tās ir savstarpēji saistītas: identificētais risks ir novērtēts, tam ir pasākums ar atbildīgo un termiņu, bet kritiskajām sistēmām ir izmērāmi atjaunošanas mērķi.

Plāna saturs pēc MK noteikumu Nr. 397 41. punkta un praktiskais pierādījums

Daļa	Ko prasa noteikumi	Ko parasti uzrāda pārbaudē
41.1. Riska novērtēšanas metodika	Analizējamo kiberrisku uzskaitījums un metodoloģija to nozīmīguma vērtēšanai (piemēram, pieņemamās vērtības, matrica, pārskatīšanas periodiskums)	Apstiprināta metodika ar skalām un riska pieņemšanas slieksni
41.2. Riska novērtējums	Identificēto risku uzskaitījums un analīze, tostarp piegādes ķēžu riski, katra riska nozīmīgums attiecībā uz tīkliem, sistēmām un IKT resursiem, salīdzinājums ar iepriekšējo periodu	Risku reģistrs ar datumu, sasaiste ar katalogu, izmaiņu kolonna pret iepriekšējo versiju
41.3. Risku pārvaldības pasākumu plāns	Konkrēti pasākumi katram riskam, atbildīgie par īstenošanu un kontroli, termiņi vai periodiskums	Pasākumu saraksts ar īpašnieku, termiņu un izpildes statusu
41.4. Darbības nepārtrauktības rīcības plāns	Nepārtrauktības raksturlielumi (piemēram, RPO, RTO, MTD), to uzraudzības metodika, rīcība pārsniegšanas gadījumā, tostarp darbības atjaunošana nozīmīga kiberincidenta vai krīzes gadījumā	RPO, RTO un MTD tabula pa sistēmām, atjaunošanas scenāriji, mācību protokoli

Plānojot pasākumus, 42. punkts prasa vēl trīs lietas. Jāapzina sistēmu un IKT resursu nozīmīgums un vērtība, tostarp iespējamo zaudējumu apmērs. A un B klases sistēmām jāparedz rezerves IKT resursi nozīmīga kiberincidenta vai krīzes gadījumam. A klases sistēmām iespēju robežās jānodrošina no interneta piekļuves pakalpojuma sniedzēja neatkarīgas (autonomas) IP adreses vai adrešu apgabali.

Riska novērtējums, kas iztur pārbaudi

Visbiežākā vājā vieta ir 41.2. apakšpunkta prasība salīdzināt novērtējumu ar iepriekšējo periodu. Ja reģistrs katru reizi tiek veidots no jauna, salīdzinājumu nav iespējams parādīt. Glabājiet iepriekšējās versijas un katram riskam pievienojiet lauku “izmaiņas kopš iepriekšējā novērtējuma”: pieaudzis, samazinājies, jauns vai slēgts, ar īsu iemeslu.

Piegādes ķēdes riski noteikumos ir minēti tieši. Novērtējumā jāiekļauj ārpakalpojumu sniedzēji, mākoņpakalpojumi, programmatūras ražotāji un apakšuzņēmēji, no kuriem atkarīgas kataloga sistēmas. Tas sasaucas ar MK noteikumu Nr. 397 4. nodaļu par ārpakalpojumiem, kas, piemēram, 87.3.2. apakšpunktā prasa līgumā paredzēt piegādātāja pienākumu nekavējoties ziņot subjektam par kiberincidentu.

Metodikai nav jābūt sarežģītai, taču tai jābūt atkārtojamai. Pietiek ar ietekmes un varbūtības skalu, skaidri definētu pieņemamā riska līmeni un noteikumu, kurš drīkst pieņemt atlikušo risku. Ja to dara vadītājs, fiksējiet lēmumu rakstiski: NKDL 25. panta pirmā daļa nosaka, ka par kiberdrošības pārvaldību atbild subjekta vadītājs.

RPO, RTO un MTD: kā noteikt un uzraudzīt

Atjaunošanas punkta mērķis (RPO) atbild uz jautājumu, cik daudz datu drīkst zaudēt. Atjaunošanas laika mērķis (RTO) ir laiks, kurā sistēmai jābūt atkal darbā. Maksimāli pieļaujamais dīkstāves laiks (MTD) ir robeža, pēc kuras pakalpojuma pārtraukums kļūst nepieņemams pašai organizācijai vai tās klientiem. Loģiski RTO jābūt īsākam par MTD, bet rezerves kopiju biežumam jāatbilst RPO.

Piemērs. Svarīgo pakalpojumu sniedzējs, pārtikas ražotājs, kataloga B klases ražošanas plānošanas sistēmai nosaka MTD 48 stundas (pēc tam apstājas piegādes tirdzniecības tīkliem), RTO 24 stundas un RPO 4 stundas. Plānā tam jāatbilst rezerves kopēšanas grafikam, alternatīvai darbības kārtībai (piemēram, manuāla pasūtījumu apstrāde) un atbildīgajam par lēmumu pārslēgties uz rezerves resursiem. Uzraudzības metodika var būt vienkārša: pēc katrām atjaunošanas mācībām salīdzina faktisko laiku ar RTO un reģistrē novirzi.

Rezerves kopijas šeit ir tikai viens no līdzekļiem, un tām MK noteikumos Nr. 397 ir sava apakšnodaļa. Plāna kontekstā būtiskākais ir 74.2. apakšpunkts: rezerves kopiju nolasīšanas pārbaude A klases sistēmai jāveic ne retāk kā reizi sešos mēnešos, B klases sistēmai – ne retāk kā reizi gadā. Šo pārbaužu rezultāti ir labākais pierādījums, ka plānā ierakstītais RPO ir sasniedzams.

Lomas: vadītājs, pārvaldnieks un atbildīgie

Noteikumi atbildību sadala skaidri. Kiberdrošības pārvaldnieks nodrošina plāna izpildes uzraudzību un kontroli (43. punkts). Subjekta vadītājs nodrošina, ka pārvaldniekam un citām par nepārtrauktības pasākumiem atbildīgajām personām ir nepieciešamās zināšanas un pilnvaras nekavējoties rīkoties kiberapdraudējuma, kiberincidenta vai kiberuzbrukuma seku novēršanā (44. punkts).

Pilnvaras ir praktisks jautājums. Ja nozīmīga kiberincidenta laikā sistēmu atslēgt no tīkla vai pāriet uz rezerves vietni drīkst tikai valde, bet valde nav sasniedzama naktī, plāns neatbilst 44. punktam. Ierakstiet plānā, kurš un kādā apjomā drīkst pieņemt lēmumu bez papildu saskaņošanas, un kā šis lēmums vēlāk tiek dokumentēts.

IKT kritiskajai infrastruktūrai ir papildu nosacījumi. Ja pārvaldnieks pats ir atbildīgs arī par plāna izstrādi, izpildes uzraudzību un kontroli nodrošina vadītājs (43. punkta otrais teikums). Īpašnieks nosaka atbildīgo personu par plāna izstrādi, pārskatīšanu un pasākumu īstenošanu un piecu darbdienu laikā informē SAB (45. punkts). Turklāt pārvaldnieks nedrīkst vienlaikus atbildēt par žurnālfailu pārvaldību vai rezerves kopijām (20. punkts). Pārvaldnieka kvalifikācijas un pienākumi aprakstīti ceļvedī par kiberdrošības pārvaldnieku.

Apmācība un mācības: kā pierādīt, ka plāns strādā

Likums prasa regulāru darbinieku apmācību plāna īstenošanai (NKDL 28. panta pirmā daļa). MK noteikumu Nr. 397 76.2. apakšpunkts to konkretizē: IKT personāla apmācības kiberrisku pārvaldības un IKT darbības nepārtrauktības pasākumu īstenošanai jārīko vismaz reizi kalendāra gadā. Pārvaldnieks var rīkot papildu apmācības, ja parādās jauns risks, ievainojamība vai kiberapdraudējums.

Noteikumi neparedz konkrētu mācību formātu. Tas ir praktisks ieteikums, nevis normas teksts: plāns, kas nekad nav izmēģināts, parasti salūzt pirmajā īstajā kiberincidentā. Nacionālā kiberdrošības centra (NKC) kiberincidentu ziņošanas vadlīnijās kā nozīmīga kiberincidenta piemērs minēts gadījums, kad darbības nepārtrauktības plāns nav ticis notestēts un atbildīgie darbinieki nav zinājuši procedūras darbības atjaunošanai.

• Galda mācības. 60–90 minūšu scenārijs ar vadību, IT un komunikāciju: piemēram, izspiedējvīruss nošifrējis A klases sistēmu piektdienas vakarā. Pārbauda lēmumu tiesības, saziņas kanālus un ziņošanas termiņus.
• Tehniskā atjaunošana. Sistēmas atjaunošana izolētā vidē no rezerves kopijas ar faktiskā laika mērīšanu pret RTO un RPO.
• Pārslēgšanās uz rezerves resursiem. A un B klases sistēmām, kurām 42.2. apakšpunkts prasa rezerves IKT resursus, pārbaudiet, ka pārslēgšanās tiešām notiek un kurš to iedarbina.
• Piegādātāja iesaiste. Vismaz reizi pārbaudiet, vai kritiskais ārpakalpojuma sniedzējs reaģē līgumā noteiktajā laikā.

Mācību rezultātus dokumentējiet ar datumu, dalībniekiem, konstatētajām nepilnībām un pasākumiem, kas iekļauti 41.3. apakšpunkta pasākumu plānā. Kiberincidentu tipoloģijā (MK noteikumu Nr. 397 7. pielikums) ir atsevišķs kods 99 “Pārbaude (mācības)”, tāpēc mācību ierakstus kiberincidentu žurnālā var skaidri nošķirt no īstiem notikumiem. Kā rīkoties, kad notikums ir īsts, un kad ziņot CERT.LV, skaidrots ceļvedī par kiberincidentu ziņošanu.

Ja vēlaties neatkarīgi pārbaudīt, vai organizācija spēj atjaunoties pēc šifrēšanas uzbrukuma, OffSeq izspiedējvīrusu gatavības novērtējums aptver arī atjaunošanas scenāriju izmēģināšanu.

Plāns pašvērtējumā un uzraudzībā

Pašvērtējuma ziņojuma veidlapa (MK noteikumu Nr. 397 16. pielikums) iet cauri noteikumiem pa punktiem, tostarp 3.5. apakšnodaļai un katram tās punktam no 39. līdz 45. Tāpēc atbilde “ir” par plānu nozīmē, ka var uzrādīt metodiku, novērtējumu, pasākumu plānu un nepārtrauktības rīcības plānu ar pārskatīšanas datumu, kas atbilst 40. punkta termiņam. Ziņojuma iesniegšanas kārtība aprakstīta ceļvedī par pašvērtējuma ziņojumu, bet sagatavotību var ātri novērtēt ar gatavības pašpārbaudi.

NKDL 42. panta pirmā daļa ļauj uzraugam veikt datu un dokumentu pārbaudes, tostarp attiecībā uz risku vadību. IKT kritiskās infrastruktūras īpašnieks plānu SAB iesniedz pats: pēc apstiprināšanas vai aktualizēšanas ne vēlāk kā mēneša laikā (26.1. apakšpunkts).

Kas jādara: secība pirmajam vai nākamajam plānam

1. Pārliecinieties, ka IKT resursu un informācijas sistēmu katalogs ir pilns un katrai sistēmai ir drošības klase A, B vai C.
2. Nosakiet savu pārskatīšanas termiņu pēc 40. punkta un ierakstiet nākamo datumu plāna titullapā.
3. Apstipriniet riska novērtēšanas metodiku ar skalām un pieņemamā riska slieksni.
4. Veiciet riska novērtējumu, tostarp piegādes ķēdēm, un salīdziniet to ar iepriekšējo versiju.
5. Katram nozīmīgam riskam piešķiriet pasākumu, atbildīgo un termiņu.
6. A un B klases sistēmām nosakiet RPO, RTO un MTD, rezerves IKT resursus un rīcību, ja mērķi tiek pārsniegti.
7. Dokumentējiet lēmumu tiesības un pilnvaras krīzes situācijai (44. punkts).
8. Vismaz reizi kalendāra gadā rīkojiet IKT personāla apmācību un plāna mācības, rezultātus iekļaujiet pasākumu plānā.
9. Glabājiet plāna kopiju atsevišķi no oriģināla, lai tā būtu pieejama arī tad, ja galvenā vide nav pieejama (25. punkts).

Pēdējais punkts bieži tiek aizmirsts. Ja plāns glabājas tikai tajā pašā dokumentu vadības sistēmā, kuru kiberuzbrukums padarījis nepieejamu, tas nepalīdzēs. MK noteikumu Nr. 397 25. punkts prasa dokumentu kopijas glabāt atsevišķi no oriģināliem tieši šim gadījumam.