Kiberincidents Latvijā: kam ziņot pirmajās 24 stundās

Ja Latvijā atklājat kiberincidentu, saglabājiet pieejamos pierādījumus un ziņojiet CERT.LV; ja ir aizdomas par noziedzīgu nodarījumu, vērsieties arī Valsts policijā. Nacionālās kiberdrošības likuma 34. pants nosaka, ka regulētam subjektam par konstatētu incidentu jāinformē kompetentā institūcija nekavējoties, bet nozīmīga incidenta gadījumā agrīnais brīdinājums jāiesniedz ne vēlāk kā 24 stundu laikā un sākotnējais ziņojums — 72 stundu laikā.

Tehnisku incidentu var pieteikt, rakstot uz [email protected] vai zvanot uz diennakts tālruni 67085888; šos kanālus norāda CERT.LV rīcības norādes. Privātpersonai un uzņēmumam, kas nav likuma subjekts, ziņošana CERT.LV ir brīvprātīga. Pienākums iesniegt agrīno brīdinājumu un sākotnējo ziņojumu ir atkarīgs no organizācijas statusa un incidenta nozīmīguma.

Saglabājiet pierādījumus pirms sistēmu atjaunošanas

Ja aizdomīga saite vai pielikums varētu būt inficējis datoru, atvienojiet to no tīkla un informējiet atbildīgo IT speciālistu. Pierakstiet, kad problēmu pamanījāt, kas mainījās un kuras ierīces, konti vai pakalpojumi varētu būt skarti. Šāds sākotnējais apraksts palīdzēs ziņot arī tad, ja uzbrukuma cēlonis vēl nav zināms.

Pirms pārinstalēšanas, žurnālfailu dzēšanas vai datu atjaunošanas saglabājiet to, ko varat iegūt droši. Organizācijā tehnisko kopiju veidošanu uzticiet cilvēkam, kurš pārzina attiecīgās sistēmas: ierīces stāvokļa maiņa var izdzēst izmeklēšanai vajadzīgo informāciju. Privātpersonai pietiek sākt ar pieejamo ziņu apkopošanu un vajadzības gadījumā lūgt speciālista palīdzību.

• Fiksējiet pamanīšanas laiku, skartos kontus un pakalpojumus, redzamās sekas un jau veiktās darbības.
• Saglabājiet aizdomīgās vēstules un īsziņas, tīmekļa adreses, saziņu ar iespējamo uzbrucēju un ziņas par maksājumiem, ja tādi veikti.
• Organizācijā saglabājiet pieejamos auditācijas pierakstus, tīkla plūsmas datus un rezerves kopijas. Diska vai operatīvās atmiņas kopijas izveidi uzticiet atbildīgajam speciālistam.

Privātpersonai adresātu nosaka apdraudējuma veids

Par pikšķerēšanu, viltotu vietni vai aizdomīgi darbojošos ierīci ziņojiet CERT.LV. Ja situācija ietver izspiešanu, nozagtu naudu, draudus vai identitātes ļaunprātīgu izmantošanu, ziņojiet arī policijai. Kiberdrošības ceļvedī atsevišķi norādīti arī bērnu aizsardzības un valsts drošības kanāli.

• Krāpnieciskas īsziņas un tālruņa numurus var pārsūtīt CERT.LV uz +371 23230444. Šajā numurā zvanus nepieņem; par citiem tehniskiem incidentiem izmantojiet CERT.LV e-pastu vai diennakts tālruni.
• Par izspiešanu, šantāžu vai identitātes ļaunprātīgu izmantošanu vērsieties Valsts policijā. Steidzamā gadījumā zvaniet 110; rakstisku ziņu var iesniegt e-adresē vai elektroniski parakstītā e-pastā. Ja pārskaitīta nauda krāpniekiem, nekavējoties sazinieties arī ar banku.
• Ja bērns ir apdraudēts internetā, atbalstu var saņemt pa bērnu un jauniešu uzticības tālruni 116111. Par kaitīgu saturu var ziņot Latvijas Drošāka interneta centra kanālā ziņot.drossinternets.lv.
• Par aizdomām par spiegošanu vai valsts informācijas sistēmu apdraudējumu rakstiet Satversmes aizsardzības birojam uz [email protected]. Par aicinājumiem uz vardarbību vai terorismu internetā ziņojiet Valsts drošības dienestam uz [email protected].

Ja noplūduši jūsu personas dati vai kāds izmanto jūsu identitāti, varat vērsties arī Datu valsts inspekcijā. Atšķirīgie adresāti pilda atšķirīgus uzdevumus: CERT.LV palīdz risināt tehnisko incidentu, savukārt policija saņem ziņas par iespējamu noziegumu.

Uzņēmumam vispirms jānoskaidro savs statuss

Uzņēmuma lielums viens pats nepasaka, kādi incidentu ziņošanas pienākumi tam ir. Noskaidrojiet, vai organizācija ir būtisko vai svarīgo pakalpojumu sniedzējs vai informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs. Incidentu uzreiz nododiet atbildīgajam par kiberdrošību vai IT komandai, lai vienlaikus sāktu kaitējuma ierobežošanu un novērtētu skarto pakalpojumu.

Ja uzņēmums nav Nacionālās kiberdrošības likuma subjekts, tas var nosūtīt CERT.LV incidenta aprakstu brīvā formā. Brīvprātīgi var ziņot arī par gandrīz notikušu incidentu vai kiberapdraudējumu; šāda ziņošana pati par sevi nerada papildu pienākumus. Ja varētu būt skarti personas dati, atsevišķi izvērtējiet ziņošanas pienākumu Datu valsts inspekcijai, bet krāpšanas vai izspiešanas gadījumā — vēršanos policijā.

Regulētam subjektam pirmā saziņa ir tūlītēja

Likuma subjektam par konstatētu kiberincidentu nekavējoties jāinformē kompetentā kiberincidentu novēršanas institūcija un jāveic nepieciešamās darbības tā novēršanai. Vienlaikus jānovērtē, vai incidents ir nozīmīgs, ņemot vērā, piemēram, iespējamu būtiskā vai svarīgā pakalpojuma traucējumu, apdraudējumu sabiedrības drošībai vai pārrobežu ietekmi. Ja pilns apmērs vēl nav noskaidrots, pirmo saziņu neatlieciet līdz tehniskās izmeklēšanas beigām.

Nozīmīga incidenta gadījumā agrīnais brīdinājums un sākotnējais ziņojums ir atsevišķi iesniegumi ar atšķirīgiem termiņiem. Uzticamības pakalpojumu sniedzējam arī sākotnējais ziņojums jāiesniedz 24 stundu laikā. Brīdinājuma termiņš neatceļ pienākumu par konstatēto incidentu informēt nekavējoties; sākotnējā paziņojumā var norādīt, kurus apstākļus vēl skaidro.

Par incidentu, kas nav nozīmīgs, likuma subjekts kompetentajai institūcijai nosūta aprakstu brīvā formā. Informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekam vai tiesiskajam valdītājam par incidentu nekavējoties jāinformē arī kompetentā valsts drošības iestāde. Nozīmīgam incidentam izmanto noteiktās elektroniski parakstāmās veidlapas; finanšu vai citā īpaši regulētā nozarē atbildīgajam jāpārbauda arī piemērojamās nozares ziņošanas prasības.

Ko iekļaut pirmajā paziņojumā

Sāciet ar pārbaudītajiem faktiem un skaidri atdaliet tos no aizdomām. Norādiet kontaktpersonu, incidenta pamanīšanas laiku, skartās sistēmas vai kontus, redzamās sekas un darbības, kas jau veiktas kaitējuma ierobežošanai. Ja cēlonis, datu noplūdes apjoms vai atjaunošanas laiks vēl nav zināms, pasakiet to tieši un papildiniet ziņas vēlāk.

Organizācijai noder informācija par skarto iekārtu pakalpojumiem un operētājsistēmām, piekļuves aizsardzību, pieejamajiem žurnālfailiem un rezerves kopijām. Pierakstiet, kam un kad paziņojums nosūtīts un kādi norādījumi saņemti. Šādi incidenta risinātāji var atjaunot notikumu secību arī tad, ja vēlāk mainās atbildīgais darbinieks vai atklājas jaunas skartās sistēmas.

Lasiet arī:

• Latvijas startup vīza: pirmajam pieteikumam der angļu valoda, pagarinājumam ne vienmēr
• Latvijas tehnoloģiju misija sākas CEATEC — izstāde pulcē 821 dalībnieku