👥 Personāla drošība
Personāla (cilvēku) kontroles attiecas uz darbiniekiem, līgumdarbiniekiem un partneriem - pirms darba, tā laikā un pēc tā. Cilvēks vienlaikus ir biežākais uzbrukuma vektors (sociālā inženierija) un spēcīgākā aizsardzības līnija (cilvēciskais ugunsmūris). Pamatā ISO/IEC 27002 6. nodaļa (8 kontroles), NIST SP 800-53 PS un drošības kultūras prakse. Piemēri ir izdomāti, paredzēti mācībām.
Apzīmējumi: kodi kā 6.3 atsaucas uz ISO/IEC 27002:2022 6. nodaļas (personāla) kontrolēm. Daži (piem. 5.11) atsaucas uz citas nodaļas kontroli.
Kas ir personāla kontroles
ISO 27002:2022 četras kontroļu tēmas - personāla izceltas
Cilvēks - vājākais posms un spēcīgākā aizsardzība: lielākā daļa pārkāpumu ietver cilvēcisko elementu (kļūdu, manipulāciju vai ļaunprātību). Tāpēc personāla kontroles aptver visu darba ciklu - no pārbaudes pirms pieņemšanas līdz pienākumiem pēc aiziešanas. Labi apmācīts darbinieks kļūst par 'cilvēcisko ugunsmūri'.
Uz cilvēkiem, ne tehniku
Personāla kontroles pārvalda cilvēka uzvedību un uzticamību: pārbaude, līgumi, apmācība, ziņošana, disciplīna. Tās papildina tehniskās kontroles - tehnika neaptur darbinieku, kurš apzināti vai nejauši rīkojas nepareizi.
Attiecas uz visiem
Ne tikai pastāvīgie darbinieki - arī līgumdarbinieki, praktikanti, partneri un pakalpojumu sniedzēji ar piekļuvi. Kontroles samērīgas ar lomas riskupakāpi (position risk designation).
Saistība ar NIS2 un MK 397
NIS2 21. pants prasa kiberhigiēnas pamatpraksi un drošības apmācību, t.sk. vadībai. MK noteikumi Nr. 397 paredz personāla drošības pasākumus. Apmācība ir tieša normatīva prasība, ne tikai laba prakse.
Atbilstība Latvijā - galvenā prasība MK 397: MK noteikumi Nr. 397 ir Latvijā saistošais regulējums, kas nosaka, KO obligāti jāizdara (nacionālajā kiberdrošības ietvarā, ieviešot NIS2). Īstenošanas regula (ES) 2024/2690 un GDPR papildina prasības. Starptautiskie standarti (ISO 27001/27002, COBIT, SABSA, TOGAF, NIST) sniedz atzītu, auditējamu metodi, KĀ tās ieviest.
MK 397 nosaka rezultātu, ko prasa likums. Starptautiskais standarts ir pārbaudāms ceļš, kā to sasniegt - bez tā atbilstība paliek deklaratīva.
MK 397 - nacionālā prasība
Latvijā saistošais regulējums paredz personāla drošības un apmācības pasākumus. Ieviešanu balsta uz ISO 27002 6. nodaļu un NIST SP 800-50/800-53 PS - tās sniedz konkrētu, auditējamu programmu.
Īstenošanas regula (ES) 2024/2690
Pielikums tieši prasa kiberhigiēnas pamatpraksi un drošības apmācību (t.sk. vadībai) un cilvēkresursu drošību. Tas padara apziņu un apmācību (6.3) par juridisku prasību, ne izvēli.
GDPR - darbinieku dati
Personāla pārbaude (6.1), uzraudzība un iekšējo draudu programma jāsabalansē ar darbinieku personas datu aizsardzību (GDPR): samērīgums, caurspīdīgums un tiesiskais pamats. Pārmērīga novērošana ir gan juridisks, gan kultūras risks.
Joiner - Mover - Leaver
Darbinieka dzīves cikls - pirms, laikā un pēc darba attiecībām
Mover - bieži aizmirsts posms: mainot lomu, jaunās tiesības pievieno, bet vecās neatsauc - laika gaitā uzkrājas pārmērīgas privilēģijas (privilege creep). Periodiska piekļuves pārskatīšana (recertification) to novērš.
Pārbaude (6.1)
Identitātes, izglītības un atsauksmju pārbaude pirms pieņemšanas, samērīgi ar lomas jutīgumu un piemērojamiem likumiem. Augstāka riska lomām - padziļināta pārbaude. Ievēro datu aizsardzības prasības.
Onboarding un piekļuve
Stājoties darbā, piekļuvi piešķir pēc vismazāko privilēģiju principa un lomas (RBAC), nevis kopējot iepriekšējā darbinieka kontu. Sākotnējā drošības apmācība pirms piekļuves jutīgiem datiem.
Offboarding (6.5)
Aizejot, nekavējoties atsauc visu piekļuvi (konti, kartes, VPN, atslēgas), atgūst aktīvus un atgādina par paliekošajiem konfidencialitātes pienākumiem. Naidīgas aiziešanas gadījumā - piekļuvi atsauc pirms paziņošanas.
Starptautiskā prakse
ISO/IEC 27002:2022 6. nodaļa - 8 personāla kontroles
NIST SP 800-53 PS saime
Personnel Security: PS-2 lomas riska klasifikācija, PS-3 pārbaude, PS-4 izbeigšana, PS-5 pārcelšana, PS-6 piekļuves vienošanās, PS-7 ārējais personāls, PS-8 sankcijas. Tieši kartējas uz ISO 6.x.
Atribūti (2022)
Katrai kontrolei ir atribūti (tips, CIA īpašība, kiberdrošības koncepts, darbības spējas) filtrēšanai un kartēšanai pret citiem ietvariem - tāpat kā pārējās ISO 27002 tēmās.
Izvēle pēc riska
Kontroles izvēlas pēc risku novērtējuma un iekļauj piemērojamības deklarācijā (SoA), saskaņojot ar organizatorisko drošību. Skat. ceļvedi 'Organizatoriskā drošība'.
ISO 6.3 / NIST SP 800-50
Apziņa, apmācība, izglītība - ceļš uz drošības kultūru
Kultūra ir mērķis, ne plakāts: drošības kultūra nozīmē, ka droša rīcība ir noklusējums, par incidentiem ziņo bez baiļbām, un vadība rāda piemēru. To veido konsekventi laika gaitā, nevis vienreizēja apmācība gadā.
Uz lomu balstīta (role-based)
Saturu pielāgo lomai: izstrādātājiem - droša kodēšana, vadībai - risku lēmumi un krāpšana, atbalstam - sociālā inženierija. Vispārīga 'visiem viens' apmācība ir mazefektīva.
Pikšķerēšanas simulācijas
Kontrolētas pikšķerēšanas mācības mēra reālo uzvedību un māca atpazīt. Mērķis ir mācīšanās, ne sodīšana - 'noķertajam' uzreiz mikromācība, ne publisks kauns.
Mēra efektivitāti
Apmācība bez mērīšanas ir formalitāte. Seko ziņošanas līmenim, pikšķerēšanas klikšķu un ziņošanas rādītājiem, incidentu skaitam - un pielāgo programmu atbilstoši rezultātiem.
Sociālā inženierija un iekšējie draudi
Cilvēka faktors - manipulācija no ārpuses un risks no iekšpuses
Lielākā daļa iekšējo draudu nav ļaunprātīgi: biežākais ir nolaidīgais darbinieks, kurš kļūdās vai apiet kontroli ērtības dēļ. Tāpēc apmācība, ērti drošības rīki un bezvainas ziņošana ir efektīvāki par aizdomu kultūru.
Aizsardzība pret manipulāciju
Apmācība atpazīt steigas, autoritātes un ziņkārības trikus; procedūras jutīgām darbībām (piem. maksājumu izmaiņas pa atsevišķu kanālu); 'apstājies un pārbaudi' kultūra. Tehniski - MFA un e-pasta filtri.
Iekšējo draudu indikatori
Neparasta datu lejupielāde, piekļuve ārpus lomas vai darba laika, neapmierinātība pirms aiziešanas. Atklāj ar uzvedības analīzi (UEBA), žurnāliem un vismazāko privilēģiju principu - ne ar visu uzraudzību.
Līdzsvars ar privātumu
Iekšējo draudu programma ievēro darbinieku privātumu un likumu - uzraudzība samērīga, caurspīdīga un dokumentēta. Pārmērīga novērošana grauj uzticību un kultūru, palielinot risku.
ISO 6.8 / 6.4 / 6.7
Notikumu ziņošana, disciplīna un attālinātais darbs
Ātra ziņošana ierobežo kaitējumu: ja darbinieks baidās ziņot par 'es uzklikšķināju uz saites', uzbrucējs iegūst stundas vai dienas. Viegls ziņošanas kanāls un bezvainas kultūra (6.8) ir lētākā un efektīvākā agrīnās atklāšanas kontrole.
Notikumu ziņošana (6.8)
Skaidrs, viegli pieejams kanāls (poga e-pastā, viens numurs), zināms visiem. Ziņo par aizdomām, ne tikai apstiprinātiem incidentiem. Ātrums svarīgāks par pilnību - detaļas precizē triāža.
Disciplinārais process (6.4)
Formāls, taisnīgs un samērīgs process pārkāpumu gadījumā - zināms iepriekš, konsekventi piemērots. Tas attur no apzinātiem pārkāpumiem, neradot baiļu kultūru godīgām kļūdām.
Attālinātais darbs (6.7)
Mājas un publiskā vide rada jaunus riskus: ekrāna ieskats, nedroši tīkli, privātās ierīces, ģimenes piekļuve. Kontroles - VPN, ekrāna privātums, atsevišķas darba ierīces, skaidra attālinātā darba politika.