Kiberdrošības pārvaldības dokumentācija: saraksts un paraugi

Obligātais dokumentu kopums

MK noteikumu Nr. 397 21. punkts nosaka, ka subjekta kiberdrošības pārvaldības dokumentu kopumu veido četras daļas: kiberdrošības politika, IKT resursu un informācijas sistēmu katalogs, kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns un kiberincidentu žurnāls. Katru daļu var veidot kā vienu dokumentu vai kā vairāku tematiski saistītu dokumentu kopu (22. punkts).

Visam kopumam ir četri vispārīgi noteikumi:

• Dokumenti pieejami tikai personām, kurām tie vajadzīgi darba pienākumu vai ārpakalpojuma izpildei (23. punkts).
• Kopumu veido un uztur arī elektroniskā formātā (24. punkts).
• Dokumentu kopijas glabā atsevišķi no oriģināliem, lai tās būtu pieejamas, ja oriģināli nav pieejami (25. punkts).
• IKT kritiskā infrastruktūra politiku un plānu mēneša laikā pēc apstiprināšanas vai aktualizēšanas iesniedz SAB. Katalogu un žurnālu tā iesniedz kopā ar pašvērtējuma ziņojumu (26. punkts).

Četri obligātie dokumenti: pārskats

Dokuments	MK 397	Ieteicamais īpašnieks	Pārskatīšana
Kiberdrošības politika	28.–29. p.	Vadītājs apstiprina, pārvaldnieks uztur	Vismaz reizi 3 gados
IKT resursu un informācijas sistēmu katalogs	30.–38. p.	IT vadītājs, pārvaldnieks kontrolē	Mēneša laikā pēc izmaiņām
Kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns	39.–45. p.	Vadītājs apstiprina, pārvaldnieks kontrolē izpildi	Reizi gadā, divos vai trijos gados
Kiberincidentu žurnāls	46.–48. p.	Pārvaldnieks	Ieraksts 24 stundu laikā

1. Kiberdrošības politika

Subjekts politiku izstrādā, uztur un vismaz reizi trijos gados pārskata (28. punkts). Saturu nosaka 29. punkts. No tā izriet šāda parauga struktūra:

1. Subjekta apraksts. Darbības joma, pakalpojumi un procesi, kurus var ietekmēt kiberapdraudējums (29.1.).
2. Mērķi un principi. Kiberdrošības pārvaldības mērķi, principi un vispārīgās pamatnostādnes (29.2.).
3. Pārvaldības struktūra. Vadītāja, pārvaldnieka un struktūrvienību funkcijas, sadarbība ar citām institūcijām, piemēram, NKC, SAB un CERT.LV (29.3.).
4. Galvenie apdraudējumi. Nozīmīgākie kiberapdraudējumu veidi jūsu IKT resursiem (29.4.).
5. Saistošās prasības. NKDL, MK noteikumi Nr. 397 un citi normatīvie akti, standarti un sertifikācijas shēmas (29.5.).
6. Dokumenta pārvaldība. Versija, apstiprinātājs, apstiprināšanas datums, nākamās pārskatīšanas datums.

Politika ir īss, stratēģisks dokuments. Detalizētas procedūras labāk turēt atsevišķi. NKC paraugos politika sadalīta divās daļās: “Kiberdrošības pārvaldības politika” un “Kiberdrošības procedūru politika”. Pašvērtējuma ziņojumā politikas kopija jāpievieno 3. sadaļai.

2. IKT resursu un informācijas sistēmu katalogs

Subjekts apzina un uzskaita visus savus IKT resursus un informācijas sistēmas, kas pakļauti kiberriskiem (30. punkts), un aktualizē katalogu mēneša laikā pēc izmaiņām (31. punkts). Katrai sistēmai un informācijas resursu kategorijai nosaka konfidencialitātes, integritātes un pieejamības klasi pēc 5. pielikuma (32. punkts). Pašvērtējuma ziņojuma jautājums 0405 parāda, ko uzraugs sagaida katalogā:

• informācijas resursu saraksts;
• informācijas sistēmu saraksts ar trim drošības klasēm un kopējo klasi;
• tīkla shēma;
• aparatūras saraksts;
• datu nesēju saraksts;
• programmatūras saraksts;
• ziņas par fizisko infrastruktūru;
• ziņas par personām, kuras tiesīgas piekļūt IKT resursiem.

Praktiski katrai sistēmai pievienojiet īpašnieku, uzturētāju, izvietojuma vietu, pēdējā ielaušanās testa datumu A klases sistēmām un saiti uz rezerves kopiju kārtību. NKC skaidrojumā par ārpakalpojumiem (21. un 22. jautājums) norādītas divas lietas. Mākoņpakalpojumam īpašnieks var būt struktūrvienība vai funkcija, ne konkrēta persona. Ārpakalpojumu sniedzēju sarakstu katalogā iekļaut drīkst, bet noteikumi to neprasa.

3. Kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns

Plāna obligātais saturs ir 41. punktā, plānošanas principi – 42. punktā. Plānu pārskata ne retāk kā reizi gadā, ja esat kritiskā infrastruktūra vai būtisko pakalpojumu sniedzējs ar A klases sistēmu. Pārējiem būtisko pakalpojumu sniedzējiem termiņš ir reizi divos gados, svarīgo pakalpojumu sniedzējiem – reizi trijos gados (40. punkts). Var būt vairāki plāni, piemēram, atsevišķi datu centram, bet tad par plānu uzskata to kopumu (39. punkts).

1. Risku novērtēšanas metodika. Analizējamo risku saraksts, nozīmīguma vērtēšanas metode, pieņemamais riska līmenis, matrica un pārskatīšanas biežums (41.1.).
2. Risku novērtējums. Identificētie riski, tostarp piegādes ķēdes riski, katra nozīmīgums attiecībā uz tīkliem un sistēmām. Ja ir bijis iepriekšējais novērtējums, iekļauj salīdzinājumu ar to (41.2.).
3. Pasākumu plāns. Katram riskam konkrēts pasākums, atbildīgais par īstenošanu un kontroli, termiņš vai periodiskums (41.3.).
4. Nepārtrauktības rīcības plāns. RPO, RTO un MTD katrai sistēmai, to uzraudzības metodika, rīcība pārsniegšanas gadījumā un atjaunošana pēc nozīmīga incidenta vai krīzes (41.4.).
5. Rezerves resursi. A un B klases sistēmām – rezerves IKT resursi nepārtrauktībai, A klasei pēc iespējas autonomas IP adreses (42.2. un 42.3.).

Riska reģistru ērti uzturēt tabulā. NKC publicējis tā piemēru. Plāna saturu sīkāk skaidro ceļvedis par kiberrisku un darbības nepārtrauktības plānu. Arī šī plāna kopija jāpievieno pašvērtējuma ziņojumam.

4. Kiberincidentu žurnāls un pārvaldības kārtība

Žurnāls nav tikai tabula. 46. punkts prasa pārvaldības procesus: lomas un atbildību incidenta pazīmju gadījumā, procedūras identificēšanai, ietekmes novērtēšanai, risināšanai, pirmcēloņu analīzei un pierādījumu saglabāšanai, kā arī komunikācijas plānus. Tāpēc praksē dokuments ir divdaļīgs – “kārtība” un “žurnāls”, tāpat kā NKC paraugā.

Kiberincidentu žurnāla obligātie lauki (48. punkts)

Lauks	Piezīme
Konstatēšanas datums un laiks; incidenta laiks	Incidenta laiks, ja zināms
Incidenta veida kods	Pēc 7. pielikuma: 01 neatbilstošs saturs … 08 krāpniecība, 09 ievainojamība, 10 cits, 99 pārbaude (mācības)
Vispārīgs apraksts	Kas notika, kuras sistēmas skartas
Cēloņi un kompromitēšanas indikatori	Ja zināmi
Ietekmes novērtējums	Pakalpojumi, dati, lietotāji
Vai nozīmīgs	Pēc 118. punkta kritērijiem
Paziņošanas atzīmes	Agrīnais brīdinājums, sākotnējais, progresa, starpposma, galaziņojums
Risināšanas statuss	Piemēram, “neiesākts”, “procesā”, “atrisināts”

Nenozīmīgus incidentus, piemēram, vienu nesekmīgu pikšķerēšanas mēģinājumu, NKC skaidrojumā nav jāziņo CERT.LV, bet tie jāreģistrē žurnālā. Ziņošanas termiņi un veidlapas aprakstīti ceļvedī par incidentu ziņošanu.

Iekšējie noteikumi, ko prasa citas apakšnodaļas

Papildus četriem dokumentiem noteikumi vairākās vietās prasa noteikt kārtību “iekšējos normatīvajos aktos” vai “iekšējos dokumentos”. Tos var iekļaut procedūru politikā vai veidot atsevišķi.

Papildu iekšējie dokumenti

Dokuments	Pamats	Minimālais saturs
Informācijas sistēmas lietošanas noteikumi	53. p.	Pieejami lietotājiem pirms darba un visu lietošanas laiku
Piekļuves tiesību pārvaldības kārtība	49.–52. p.	Lietotāju grupas, tiesību līmeņi, autentifikācija, MFA pēc klases
Žurnālfailu pārvaldības kārtība	64. p.	Analīze, pārbaužu regularitāte, atbildīgie, aizsardzība
Rezerves kopiju pārvaldības kārtība	73. p.	Veidošana, glabāšana, dzēšana, atjaunošanas pārbaude, atbildīgie
Šifrēšanas un atslēgu pārvaldības noteikumi	85. p.	Minimālais noturības līmenis, atslēgu dzīves cikls
Apmācību uzskaite	80. p.	Instruktāžas, zināšanu un efektivitātes novērtējums
Ārpakalpojumu prasības līgumiem	87.–92. p.	Līguma klauzulas, risku novērtējums, izbeigšanas stratēģija

Personāla drošībai NKDL 26.¹ pants prasa individuālu lēmumu, ja sodītu personu paredzēts nodarbināt IKT amatā ar privileģētu piekļuvi. Šo lēmumu un Sodu reģistra pārbaudes kārtību arī ieteicams dokumentēt. Sīkāk – ceļvedī par personāla drošību.

NKC paraugi: ko tie dod un kā tos lietot

Nacionālais kiberdrošības centrs sadaļā “Ieteikumi kiberdrošības pārvaldības dokumentācijai” publicējis sešus paraugus:

• IKT resursu katalogs un pārvaldības kārtība;
• kiberdrošības pārvaldības politika;
• kiberdrošības procedūru politika;
• kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns;
• kiberincidentu pārvaldības kārtība un kiberincidentu žurnāls;
• riska reģistra piemērs.

NKC uzsver, ka paraugiem ir rekomendējošs raksturs. Tie ietaupa laiku, bet neaizstāj jūsu faktu ievākšanu. Izmantojiet paraugu kā struktūru, aizpildiet to ar saviem pakalpojumiem, sistēmām un riskiem un izdzēsiet nodaļas, kas uz jums neattiecas, pamatojot kāpēc. Politika, kas burtiski kopē paraugu, pašvērtējumā izskatās tieši tā.

Piemērs: svarīgo pakalpojumu sniedzējs ar vienu B klases sistēmu

Pārtikas ražotājam ir ERP sistēma ar ražošanas plānošanu, e-pasts mākonī un biroja tīkls. Pēc 5. pielikuma ERP ir B klases sistēma, jo tās integritātes pārkāpums var būtiski apgrūtināt uzņēmuma darbību. Pārējās sistēmas ir C klases.

• Politika: viens dokuments ar 29. punkta piecām daļām, ko apstiprina valdes loceklis.
• Katalogs: tabula ar visām sistēmām, aparatūru, programmatūru, tīkla shēmu un klasēm.
• Plāns: risku reģistrs, kurā ir arī ERP piegādātāja risks, pasākumu plāns un ERP RPO un RTO. Pārskata reizi trijos gados, jo uzņēmums ir svarīgo pakalpojumu sniedzējs.
• Žurnāls un kārtība: viena procedūra ar lomām, saziņu ar CERT.LV un žurnāla tabulu.
• Iekšējie noteikumi: lietošanas noteikumi, žurnālfailu glabāšana 12 mēnešus ERP un 6 mēnešus pārējām sistēmām, rezerves kopiju kārtība ar ERP atjaunošanas testu reizi gadā.

Ja uzņēmumam nav A klases sistēmu, pašvērtējuma ziņojums jāiesniedz reizi trijos gados. Tomēr dokumenti jāuztur aktuāli visu laiku, jo uzraugs tos var pieprasīt jebkurā brīdī.

Kā dokumentus uzturēt dzīvus

• Vienā kalendārā ierakstiet visus termiņus: politika reizi 3 gados, plāns pēc 40. punkta, apmācību saturs reizi gadā (78. punkts), katalogs pēc izmaiņām.
• Saistiet dokumentus ar izmaiņu procesu: jauna sistēma nozīmē kataloga ierakstu, klasi un risku plāna papildinājumu.
• Versijas un apstiprinājumus glabājiet elektroniski ar atsevišķu kopiju, kā prasa 24. un 25. punkts.
• Piekļuvi dokumentiem ierobežojiet pēc “nepieciešamība zināt”. Tīkla shēmas un riska novērtējumi ir uzbrukuma virsmas karte.
• Pirms pašvērtējuma ziņojuma pārbaudiet, vai trīs pievienojamie dokumenti ir apstiprināti un aktuāli.

Ja dokumenti jāizstrādā no nulles vai jāpārveido no vecā IT drošības likuma laika, OffSeq izstrādā politikas un procedūras, kas pielāgotas jūsu riskiem un MK noteikumu Nr. 397 prasībām. Kā dokumenti iekļaujas visā prasību kopumā, skaidro ceļvedis par MK noteikumiem Nr. 397, bet pienākumu karte sākumlapā ir sadaļā pienākumi.