Kiberdraudi ir kļuvuši par ikdienas realitāti uzņēmumiem neatkarīgi no to nozares, darbības veida vai lieluma. Mākslīgā intelekta attīstība un sociālās inženierijas metodes jeb cilvēku psiholoģiskas manipulācijas paņēmieni maina uzbrukumu raksturu, sarežģītību un izplatības ātrumu. Turklāt uzņēmumi nereti pat neapzinās, ka ir kļuvuši par kiberuzbrukuma upuri vai ka to sistēmās jau ir noticis kiberdrošības incidents.

Šis pārskats palīdzēs saprast, kas ir kiberdrošības incidents un kā rīkoties tā gadījumā neatkarīgi no tā, vai uz Jūsu uzņēmumu attiecas Nacionālā kiberdrošības likuma (NKDL) prasības.

Kas ir kiberdrošības incidents?

Kiberdrošības incidents ir notikums, kas apdraud apstrādātus datus vai tādu pakalpojumu pieejamību, integritāti vai konfidencialitāti, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību. Biežākie incidentu veidi:

  • Sistēmas kompromitēšana ar ļaunprogrammatūru (t.sk. izspiedējvīrusu / ransomware), piemēram, uzbrucējs šifrē uzņēmuma datus un pieprasa izpirkuma maksu par to atšifrēšanu;
  • Pikšķerēšanas (phishing) uzbrukumi un krāpnieciskas darbības, piemēram, darbinieks saņem viltus e-pastu ar aicinājumu apstiprināt personas datus, tādējādi nododot tos uzbrucējam;
  • Datu zādzība vai noplūde, piemēram, uzņēmuma klientu dati tiek iegūti un publicēti internetā bez autorizācijas;
  • Pakalpojumu darbības traucēšana (t. sk. pakalpojumatteices uzbrukumi), piemēram, uzbrukums tīmekļvietnei, kas padara to nepieejamu lietotājiem uz vairākām stundām;
  • Piegādes ķēdes uzbrukumi, piemēram, uzbrucējs kompromitē IT pakalpojumu sniedzēja sistēmu un caur to iegūst piekļuvi tā klientu datiem un infrastruktūrai.

Kā rīkoties kiberincidenta gadījumā?

Ātra un koordinēta rīcība incidenta pirmajās stundās ir izšķiroša, jo tā nosaka, cik plašas būs sekas. Ieteicamie pirmie soļi pēc kiberincidenta konstatēšanas:

  1. Nekavējoties iesaistīt uzņēmuma vadību (ja nav jau izdarīts).
  2. Apturēt incidenta izplatību, izolēt skartās sistēmas.
  3. Veikt risku analīzi, novērtēt kaitējuma apjomu, skartās sistēmas un datus, un šīs darbības un to rezultātus dokumentēt.
  4. Sagatavot krīzes vadības plānu, kas ietver turpmāk veicamās darbības.
  5. Ziņot par incidentu uzraugošajām iestādēm likumā noteiktajos termiņos (ja nepieciešams).
  6. Iesaistīt nepieciešamo atbalstu – informācijas tehnoloģiju (IT) pakalpojumu sniedzēji, kiberdrošības speciālisti, juristi vai citas personas, kas palīdzēs nodrošināt krīzes vadību un turpmākas atbilstības nodrošināšanu.

Kiberdrošības incidentu pārvaldības plāns

Lai šos soļus varētu ātri un efektīvi izpildīt, uzņēmumā ir jau jābūt ieviestam kiberdrošības incidentu pārvaldības plānam. Tādējādi uzņēmums un attiecīgie darbinieki jau iepriekš zina, kur meklēt informāciju un kam ziņot, lai incidenta brīdī nebūtu jātērē laiks neskaidrību risināšanai.

Tāpēc strukturēts un uzņēmumā pareizi ieviests incidentu pārvaldības plāns ļauj būtiski samazināt nodarīto kaitējumu un tādējādi radušos zaudējumus, tostarp piemērojamos sodus, un vienlaikus stiprina uzņēmuma uzticamību klientu un partneru acīs.

Ziņošanas pienākumi

Ir situācijas, kad par kiberdrošības incidentu ir jāziņo uzraugošajām iestādēm. Uzņēmumi nereti izvairās ziņot par kiberdrošības incidentiem, baidoties no reputācijas kaitējuma vai sodiem. Tomēr neziņošana bieži rada lielākus riskus nekā pats incidents, savukārt, savlaicīga ziņošana tiek vērtēta kā atbildīga rīcība un var mazināt negatīvās sekas.

Incidenta gadījumā ir jāizvērtē ziņošanas pienākumi vairākās jomās:

  1. NKDL subjektiem jāziņo CERT.LV šādos termiņos:
  • Agrīnais brīdinājums ir 24 stundu laikā no incidenta atklāšanas;
  • Sākotnējais ziņojums ir 72 stundu laikā no incidenta atklāšanas;
  • Gala ziņojums ir ne vēlāk kā viena mēneša laikā.
  1. Ja incidents skar personas datu apstrādi un rada risku fizisku personu tiesībām un brīvībām, var rasties pienākums par to paziņot Datu valsts inspekcijai (DVI). Šāds paziņojums ir jāsniedz 72 stundu laikā no brīža, kad uzņēmums ir uzzinājis par personas datu aizsardzības pārkāpumu.
  2. Ja incidents var radīt augstu risku fizisku personu tiesībām un brīvībām, jāinformē arī skartās personas.

Pat ja ziņošana nav obligāta, uzņēmumam ir jādokumentē visi incidenti, tostarp veiktās darbības un pieņemtie lēmumi, lai nepieciešamības gadījumā varētu pierādīt atbilstību normatīvo aktu prasībām un izmantot gūto pieredzi uzņēmuma kiberdrošības uzlabošanai.

Norādām, ka Nacionālais Kiberdrošības centrs ir publicējis kiberincidentu ziņošanas vadlīnijas, kas ir pieejamas tīmekļvietnē https://www.cyber.gov.lv/ 

Kāpēc rūpēties par kiberdrošību uzņēmumā, pat ja uz Jūsu uzņēmumu neattiecas NKDL prasības?

Ir uzņēmumi, kas uzskata, ka kiberdrošības prasības ir svarīgas tikai NKDL subjektiem un tāpēc tie, uz kuriem likums neattiecas, par kiberdrošību var domāt mazāk.

Patiesībā sekas, kas rodas, ja uzņēmumā netiek nodrošināta kiberdrošība, var skart ikvienu uzņēmumu. Tās var izpausties kā:

  • Darbības traucējumi – uzbrukums vai tā sekas (datu zaudēšana, klientu, darbinieku un uzņēmuma datu vai sistēmu kompromitēšana u.c.) var apturēt uzņēmuma darbību uz dienām vai nedēļām.
  • Reputācijas kaitējums – publiski zināms incidents var neatgriezeniski ietekmēt klientu uzticēšanos. Ir situācijas, kad Vispārīgā datu aizsardzības regula pieprasa informēt datu subjektus par incidentiem, kas skar to personas datus.
  • Piegādes ķēdes ietekme – pat ja uzņēmums nav NKDL subjekts, tā klienti vai partneri var būt NKDL subjekti, un ar šiem klientiem vai partneriem noslēgtie līgumi var paredzēt atbildību jūsu uzņēmumam par konkrētu kiberdrošības prasību neievērošanu.
  • Zaudējumi, kurus rada kiberdrošības incidents uzņēmumam – piemēram, incidenta novēršanas un darbības atjaunošanas izmaksas; kompensācijas, kuru izmaksu var pieprasīt fiziskās personas vai klienti un partneri, kuru dati ir skarti incidentā, ja incidents rada kaitējumu.
  • Administratīvie sodi – uzraugošās iestādes var piemērot dažādus praktiskus ierobežojumus. Piemēram, līdz konstatētās neatbilstības novēršanai personas datu aizsardzības pārkāpuma gadījumā aizliegt noteiktu rīcību ar personas datiem vai kiberdrošības incidenta gadījumā  apturēt informācijas sistēmas, resursa vai elektroniskā pakalpojuma darbību vai IKT produkta tirdzniecību vai pakalpojuma sniegšanu.

Tāpat uzraugošās iestādes var piemērot naudas sodus:

– personas datu aizsardzības pārkāpuma gadījumā līdz 20 milj. EUR vai 4% no apgrozījuma pēdējā finanšu gadā un

– NKDL subjektiem par kiberdrošības prasību neizpildi līdz 10 milj. EUR vai 2% no apgrozījuma pēdējā finanšu gadā.

Šie ir augstākie iespējamie administratīvie naudas sodi un to patiesais apmērs būs atkarīgs no dažādiem apstākļiem, piemēram, uzņēmuma lieluma, pārkāpuma būtības un kaitējuma, ko radījis pārkāpums.

  • Kriminālatbildība – piemēram, saskaņā ar Krimināllikuma 245. pantu (informācijas sistēmas drošības noteikumu pārkāpšana, ja tas radījis būtisku kaitējumu). Atbildība var tikt piemērota gan atbildīgajam darbiniekam vai valdei, gan noteiktos gadījumos uzņēmumam kā piespiedu ietekmēšanas līdzekļi, kas ietver cita starpā var ietvert naudas sodu.
  • Valdes locekļu atbildība – NKDL nosaka, ka subjektu vadītāji ir atbildīgi par kiberdrošības pārvaldību, kas papildus uzsver iespējamo valdes atbildību par uzņēmumam nodarīto kaitējumu tā nepienācīgas pārvaldības dēļ. 

Lai samazinātu atbildības riskus, ir būtiski gan uzņēmuma dokumentos, gan praktiski uzņēmumā ieviest dažādus atbilstības procesus. Tāpat var apsvērt iegādāties kiberrisku apdrošināšanu, kuru piedāvājums apdrošināšanas tirgū turpina pieaugt.

Kā mēs varam palīdzēt?

Lai uzņēmumā ieviestu atbilstošus kiberdrošības standartus un pareizi rīkotos kiberincidentu gadījumā, bieži vien ir nepieciešama mijiedarbība starp speciālistiem, kas orientējas kiberdrošības tehniskajos un juridiskajos aspektos. Tāpēc Sorainen var sniegt:

  • Atbalstu kiberdrošības prasību ieviešanā:
    • Procesu dokumentēšana, lai nepieciešamības gadījumā pierādītu atbilstību un pēc iespējas mazinātu atbildības riskus, tostarp potenciāla kriminālprocesa kontekstā.
    • Atbalsts darbinieku apmācībās.
    • Uz NKDL subjektiem attiecināmo prasību izpilde, tostarp dokumentācijas sagatavošana un paziņošanas prasību izpilde.
  • Atbalstu kiberincidentu gadījumā:
    • Risku analīze un rekomendācijas kaitējuma novērtēšanai.
    • Krīzes vadības plāna sagatavošana kopā ar Jūsu komandu.
    • Trešo pušu, IT partneru, kiberdrošības speciālistu, komunikācijas ekspertu, koordinēšana.
    • Ziņošanas nepieciešamības izvērtēšana un ziņošana uzraudzības iestādēm un skartajām personām – CERT.LV, Nacionālais kiberdrošības centrs, DVI un datu subjekti u.c.
  • Atbalstu saistībā ar kiberrisku apdrošināšanu – novērtējums, kādus riskus apdrošināšana nosegs apdrošināšana, cita veida atbalsts apdrošināšanas iegādē, un, iestājoties apdrošināšanas gadījumam, atbalsts apdrošinātāja atlīdzības izmaksas pieprasīšanā.
  • Juridiskā palīdzība uzraugošajās iestādēs, tostarp palīdzība kriminālprocesa ietvaros.