Kibernetinis incidentas Lietuvoje: 24 valandos perspėti, mėnuo užbaigti

Lietuvos esminis ar svarbus kibernetinio saugumo subjektas apie didelį incidentą Nacionalinį kibernetinio saugumo centrą (NKSC) perspėja nedelsdamas, bet ne vėliau kaip per 24 valandas nuo sužinojimo; išsamesnį pranešimą pateikia per 72 valandas, o galutinę ataskaitą – per mėnesį nuo išsamesnio pranešimo pateikimo, kaip nurodyta Krašto apsaugos ministerijos TIS 2 gairėse. Pirmųjų terminų pradžia yra sužinojimas apie didelį incidentą, todėl tyrimo pabaigos laukti negalima.

TIS 2 direktyvos 23 straipsnis numato ankstyvąjį perspėjimą, po jo – pradinį sunkumo ir poveikio vertinimą, o galiausiai – išsamią ataskaitą. Jei ataskaitos terminu incidentas vis dar tęsiasi, pateikiama pažangos ataskaita; galutinė teikiama per mėnesį nuo incidento suvaldymo. Ši eiga taikoma dideliam incidentui; mažesnio incidento pranešimo seka skiriasi.

Kada incidentas laikomas dideliu?

Pirmiausia nustatykite, ar įvykis kelia pavojų per tinklų ir informacines sistemas teikiamų paslaugų arba tvarkomų duomenų prieinamumui, autentiškumui, vientisumui ar konfidencialumui. Tuomet vertinkite padarinius: ar paslaugos smarkiai sutriko arba gali sutrikti, ar organizacija patyrė arba gali patirti didelių finansinių nuostolių, ar kitiems asmenims padaryta arba gali būti padaryta didelė turtinė ar neturtinė žala. Vertinamas ir tikėtinas poveikis, tad neaiški galutinė žalos suma savaime nesustabdo klasifikavimo.

Užrašykite, kokia paslauga paveikta, kur ji teikiama, kiek gavėjų gali būti paveikta ir ar sutrikimas plinta. Pavyzdžiui, įvykis, kuris sustabdė paslaugą, vertinamas pagal realų ir galimą poveikį, net jei techninė priežastis dar nežinoma. Automatiškai sustabdyta grėsmė be poveikio gali būti vos neįvykęs incidentas, o poveikį turintis įvykis, nepasiekęs didelio incidento ribos, gali būti nedidelis incidentas, apie kurį kibernetinio saugumo subjektas taip pat praneša NKSC.

Laiko juosta: kas ką parengia?

Pranešimo pareiga tenka organizacijai. Darbui patogu iš karto atskirti incidento koordinavimą, techninį tyrimą ir pranešimo pateikimą: koordinatorius prižiūri terminus bei sprendimus, techninis atsakingasis renka faktus ir riboja poveikį, o pranešimą teikiantis asmuo perduoda patvirtintą informaciją NKSC. Tai praktinis vaidmenų paskirstymas, kurį reikia suderinti su organizacijos incidentų valdymo planu.

1. Sužinojus apie įvykį: užrašomas sužinojimo laikas, paveikta paslauga ir pirminiai požymiai. Koordinatorius inicijuoja poveikio vertinimą, o techninė komanda pradeda stabdyti žalą ir saugoti tyrimui reikalingus įrašus.
2. Ankstyvasis perspėjimas: perduodama tai, kas jau patikimai žinoma apie įvykį ir jo poveikį. Jei galima įvertinti, pažymima, ar įtariami neteisėti arba piktavališki veiksmai ir ar galimas tarpvalstybinis poveikis. Nežinomus dalykus įvardykite kaip tikslinamus.
3. Išsamesnis pranešimas: atnaujinamas perspėjimas, pateikiamas pradinis incidento sunkumo ir poveikio vertinimas bei turimi įsilaužimo požymiai. Koordinatorius atskiria patvirtintus faktus nuo tyrimo prielaidų, kad vėlesni pakeitimai būtų suprantami.
4. Galutinė ataskaita: aprašomas nustatytas poveikis, tikėtina grėsmė arba pagrindinė priežastis, taikytos ir dar taikomos poveikio mažinimo priemonės. Jei incidentas tebėvyksta, vietoj tariamai užbaigto tyrimo pateikiama pažanga.

Visą laiką verta išsaugoti pranešimų pateikimo momentus ir gautus patvirtinimus. Jie leidžia susieti organizacijos žinojimo, pranešimo ir suvaldymo laiką, ypač kai techniniai faktai paaiškėja vėliau.

Kokius duomenis surinkti kiekvienam etapui?

Ankstyvajam perspėjimui nereikia baigto tyrimo, tačiau reikia aiškaus įvykio aprašymo ir kontakto, per kurį NKSC galėtų tikslinti padėtį. Išsamesniam pranešimui jau būtinas pradinis poveikio vertinimas. Viena nuolat pildoma chronologija padeda išlaikyti ryšį tarp pirminio signalo, vėlesnių išvadų ir atliktų veiksmų.

• Laikas ir paslaugos: kada įvykis pastebėtas ir kada apie jį sužinota, kurios sistemos bei paslaugos paveiktos, kada prasidėjo ir kaip keitėsi sutrikimas.
• Poveikis: paslaugų veikimo būklė, galimai paveikti gavėjai, žinomi nuostoliai ar kita žala, poveikis kitoms organizacijoms arba už Lietuvos ribų.
• Techniniai požymiai: susiję sistemų žurnalų įrašai, neįprasti prisijungimai, aptikti įsilaužimo požymiai ir laikas, kada šie duomenys surinkti.
• Atsakas: izoliavimo, paslaugų atkūrimo ir stebėsenos veiksmai, jų atlikimo laikas, atsakingi asmenys ir dar tikrinamos aplinkybės.

Šis sąrašas skirtas tyrimui organizuoti, o ne pirmajam pranešimui atidėti. Kai nauji įrodymai pakeičia ankstesnį vertinimą, užrašykite, kas paaiškėjo ir kada; tuomet atnaujintame pranešime bus matoma, kodėl pasikeitė poveikio apimtis ar tikėtina priežastis.

Kur teikti pranešimą NKSC?

Kibernetinio saugumo subjektų pranešimai teikiami automatizuotai per API sąsają į Nacionalinę incidentų valdymo sistemą (NIVS), kaip paaiškinta NKSC NIVS DUK. Galutinę ataskaitą galima pateikti papildant ankstesnį pranešimą sistemoje. Jei dėl paties incidento automatizuotas teikimas neįmanomas, numatyti atsarginiai būdai – sistemos forma, el. paštas arba telefonas.

NKSC pranešimo puslapis atskiria kibernetinio saugumo subjektus nuo gyventojų ir verslo, kuriems šis statusas netaikomas. Organizacijai reikia rinktis jos statusui skirtą kelią. Pateikus informaciją, incidento chronologijoje išsaugomas pranešimo laikas ir registracijos patvirtinimas, kad vėlesnė ataskaita būtų siejama su tuo pačiu įvykiu.

Kas užbaigia ataskaitą?

Galutinėje ataskaitoje turi būti galima atsekti incidento eigą ir jo suvaldymą: patvirtintą poveikį paslaugoms bei kitiems asmenims, tikėtiną grėsmės rūšį arba pagrindinę priežastį, atliktas ir tebevykdomas poveikio mažinimo priemones, taip pat tarpvalstybinį poveikį, jei jis buvo. Jei priežastis dar tikslinama, ją taip ir įvardykite, atskirdami surinktus įrodymus nuo tikėtinos išvados.

Pranešimo užbaigimas ir paslaugos atkūrimas yra susiję, bet skirtingi darbai. Atkūrus paslaugą dar gali reikėti nustatyti pirminę priežastį ir užfiksuoti priemones, skirtas pasikartojimui mažinti. Jei iki galutinės ataskaitos termino incidentas nesuvaldytas, pažangos ataskaitoje pateikiama esama būklė, o po suvaldymo – galutinis tyrimo rezultatas.

Kada papildomai vertinti BDAR pranešimą?

Jei įvykis palietė asmens duomenis, už privatumą atsakingas asmuo atskirai įvertina, ar įvyko asmens duomenų saugumo pažeidimas ir kokį pavojų jis kelia žmonių teisėms bei laisvėms. Valstybinės duomenų apsaugos inspekcijos paaiškinimas nurodo, kad apie pažeidimą, galintį kelti tokį pavojų, duomenų valdytojas inspekcijai praneša nedelsdamas, bet ne vėliau kaip per 72 valandas nuo sužinojimo apie asmens duomenų pažeidimą.

Šio termino pradžia gali skirtis nuo momento, kai organizacija sužinojo apie didelį kibernetinį incidentą. Todėl toje pačioje chronologijoje atskirai užrašykite, kada paaiškėjo asmens duomenų pažeidimas, kokie duomenys galėjo būti paveikti ir kuo pagrįstas pavojaus vertinimas. Jei pavojus žmonėms didelis, duomenų apsaugos vertinimas turi apimti ir jų informavimo klausimą.

Taip pat skaitykite:

• Kalifornija pareikalavo „OpenAI“ atsakymų dėl DI kibernetinių incidentų
• DI keičia Lietuvos IT rinką: per 8 mėnesius darbuotojų sumažėjo 681
• Keturių ar penkių dienų savaitė: 40 valandų skirtumo neišsprendžia