Incidentu reaģēšanas pārbaudes saraksts

1. Sagatavotība un lomas

Incidentu reaģēšanas plāns ir uzrakstīts un sasniedzamsArī tad, kad tīkls un iekšējie dokumenti nav pieejami. Derīga ir izdrukāta vai atsevišķi glabāta kopija.Kategorija: organizatoriskā.Risks: Incidenta laikā rīcību izdomā no jauna.Pārbaude: Atrodi plānu, neizmantojot organizācijas tīklu.Pierādījums: Plāns ar versiju un datumu.NIS2: 21(2)(b).
Ir nozīmēta persona, kas vada reaģēšanuTās pilnvaras, atbildība un aizvietotājs ir noteikti rakstiski.Kategorija: organizatoriskā.Risks: Lēmumi aizkavējas, jo nav, kas tos pieņem.Pārbaude: Nosauc atbildīgo un aizvietotāju.Pierādījums: Rīkojums.NIS2: 21(2)(b).
Komandas lomas ir sadalītas pēc konkrētām atbildībām, nevis pēc nodaļāmKurš izmeklē tehniski, kurš komunicē, kurš dod juridisko atbalstu un kurš pieņem lēmumu.Kategorija: personāla.Risks: Darbi dublējas vai paliek nedarīti.Pārbaude: Katram uzdevumam nosauc personu.Pierādījums: Lomu saraksts.NIS2: 21(2)(b).
Kāds drīkst atvienot sistēmu no tīkla bez papildu saskaņošanasJa katrs izolēšanas solis prasa vadības apstiprinājumu, uzbrucējs strādā ātrāk par procesu.Kategorija: organizatoriskā.Risks: Uzbrucējs turpina darbu, kamēr gaida apstiprinājumu.Pārbaude: Pajautā dežurantam, ko viņš drīkst izdarīt viens.Pierādījums: Pilnvaru apraksts.NIS2: 21(2)(b).
Kontaktu saraksts ir aktuāls un pieejams ārpus mērķa sistēmāmIekšējie, piegādātāji, uzraudzības iestādes un tiesībaizsardzība.Kategorija: organizatoriskā.Risks: Vajadzīgo cilvēku nevar sasniegt.Pārbaude: Piezvani uz diviem nejauši izvēlētiem numuriem.Pierādījums: Kontaktu saraksts ar pārbaudes datumu.NIS2: 21(2)(b).
Ārējā atbalsta pieejamība ir sakārtota iepriekšIzmeklēšanas pakalpojums, juridiskais atbalsts un sakari. Līgumu slēgt incidenta laikā ir lēni un dārgi.Kategorija: organizatoriskā.Risks: Izmeklēšana sākas dienām vēlāk.Pārbaude: Pārbaudi līguma derīgumu un reakcijas laiku.Pierādījums: Līgums vai vienošanās.NIS2: 21(2)(b).
Ir zināms, vai kiberrisku apdrošināšana pastāv un ko tā prasaDaļa polišu prasa paziņot noteiktā termiņā un nemainīt sistēmas pirms apsekošanas.Kategorija: organizatoriskā.Risks: Nepareiza rīcība zaudē apdrošināšanas segumu.Pārbaude: Izlasi polises paziņošanas nosacījumus.Pierādījums: Polise un nosacījumu kopsavilkums.NIS2: 21(2)(b).
Iespējamie scenāriji ir sakārtoti pēc ietekmesDatu noplūde, datu šifrēšana ar izspiešanu, pakalpojuma pārtraukums un piegādātāja incidents prasa atšķirīgus soļus.Kategorija: organizatoriskā.Risks: Visi incidenti tiek risināti vienādi.Pārbaude: Katram galvenajam scenārijam atrodi pirmos soļus.Pierādījums: Scenāriju saraksts ar ietekmi.NIS2: 21(2)(b).

2. Atklāšana un pieteikšana

Sistēmu un tīkla notikumi tiek uzraudzīti nepārtrauktiUn ir zināms, kurš uz brīdinājumu reaģē ārpus darba laika.Kategorija: tehnoloģiskā.Risks: Uzbrucējs darbojas nepamanīts naktī un brīvdienās.Pārbaude: Pārbaudi reakciju uz pēdējo trauksmi brīvdienās.Pierādījums: Uzraudzības grafiks un trauksmju žurnāls.NIS2: 21(2)(b).
Incidentu piesaka pa vienu zināmu kanāluDivi kanāli nozīmē, ka daļa pieteikumu nesasniedz atbildīgo.Kategorija: organizatoriskā.Risks: Pieteikums pazūd starp kanāliem.Pārbaude: Piesaki testa notikumu un mēri reakciju.Pierādījums: Kanāla apraksts un testa ieraksts.NIS2: 21(2)(b).
Darbinieki zina, kā un cik ātri pieteikt aizdomīgu notikumuPārbaudīts ar jautājumu darbiniekam, ne ar pieņēmumu, ka instrukcija ir izlasīta.Kategorija: personāla.Risks: Darbinieks pamana, bet nepiesaka.Pārbaude: Pajautā trim darbiniekiem.Pierādījums: Apmācību ieraksti.NIS2: 21(2)(b).
Ārējs ziņotājs var sasniegt organizācijuPublicēta adrese ievainojamību un incidentu ziņošanai, ar atbildes termiņu.Kategorija: organizatoriskā.Risks: Ārējs ziņojums nesasniedz atbildīgo.Pārbaude: Nosūti testa ziņojumu uz publicēto adresi.Pierādījums: Publicētais kontakts un atbilde.NIS2: 21(2)(b).
Žurnāli aptver tās sistēmas, kur incidents visdrīzāk sāksiesPiekļuve, autentifikācija, tīkla robeža un administratora darbības.Kategorija: tehnoloģiskā.Risks: Incidenta sākums nav redzams.Pārbaude: Salīdzini žurnālu avotus ar kritiskajām sistēmām.Pierādījums: Žurnālu avotu saraksts.NIS2: 21(2)(b).
Visu sistēmu laiks ir sinhronizēts pret vienu avotuBez tā notikumu secību starp diviem serveriem nevar pierādīt.Kategorija: tehnoloģiskā.Risks: Notikumu secību nevar pierādīt.Pārbaude: Salīdzini laiku trijās sistēmās.Pierādījums: Laika sinhronizācijas konfigurācija.NIS2: 21(2)(b).
Viltus trauksmes tiek samazinātas, nevis ignorētasBrīdinājums, ko neviens vairs neatver, ir tas pats, kas brīdinājuma trūkums.Kategorija: tehnoloģiskā.Risks: Īsta trauksme pazūd troksnī.Pārbaude: Pārbaudi neapstrādāto trauksmju skaitu.Pierādījums: Trauksmju statistika.NIS2: 21(2)(b).

3. Novērtēšana un klasifikācija

Incidentiem ir smaguma skala ar skaidriem sliekšņiemSkala nosaka reakcijas ātrumu, tāpēc tā ir vajadzīga pirms incidenta, ne tā laikā.Kategorija: organizatoriskā.Risks: Reakcijas ātrumu nosaka garastāvoklis, ne ietekme.Pārbaude: Klasificē pēdējo incidentu pēc skalas.Pierādījums: Apstiprināta smaguma skala.NIS2: 21(2)(b).
Ir zināms, kad incidents kļūst nozīmīgsApdraudēta sabiedrības veselība vai drošība, zaudējumi vismaz 500 000 euro vai 5 % no apgrozījuma, kaitējums dzīvībai vai veselībai, ietekme uz ierobežotas pieejamības informāciju, būtiska pakalpojuma traucējumi vai pārrobežu ietekme.Kategorija: organizatoriskā.Risks: Ziņošanas pienākums netiek atpazīts.Pārbaude: Salīdzini sliekšņus ar pēdējo incidentu.Pierādījums: Nozīmīguma kritēriji.NIS2: 23. pants.
Incidents tiek reģistrēts žurnālā 24 stundu laikā no konstatēšanasTermiņu skaita no brīža, kad incidents ir konstatēts.Kategorija: organizatoriskā.Risks: Incidenta laika līnija netiek atjaunota.Pārbaude: Salīdzini konstatēšanas un reģistrēšanas laiku.Pierādījums: Žurnāla ieraksts ar laikiem.NIS2: 21(2)(b).
Ierakstā ir konstatēšanas laiks, veids, apraksts, cēloņi, ietekme un statussTurpat atzīmē arī to, vai incidents ir nozīmīgs.Kategorija: organizatoriskā.Risks: Ziņojumam trūkst datu.Pārbaude: Pārbaudi, vai pēdējā ierakstā ir visi lauki.Pierādījums: Incidenta ieraksts.NIS2: 21(2)(b).
Eskalācijas ceļš uz vadību ir noteikts ar termiņuVadība uzzina no procesa, ne no ziņu portāla.Kategorija: organizatoriskā.Risks: Vadība uzzina par vēlu.Pārbaude: Pārbaudi, kad vadība uzzināja par pēdējo incidentu.Pierādījums: Eskalācijas kārtība un ieraksts.NIS2: 21(2)(b).
Tiek novērtēts, vai skarti personas datiNovērtējums sākas uzreiz, jo tam ir atsevišķs adresāts un atsevišķs termiņš.Kategorija: organizatoriskā.Risks: Nokavēts paziņojums par personas datiem.Pārbaude: Pārbaudi, vai novērtējums ir ierakstā.Pierādījums: Novērtējuma ieraksts.NIS2: 21(2)(b).
Lēmums par klasifikāciju tiek fiksēts ar laiku un pieņēmējuVēlāk pārbauda, vai lēmums bija pamatots ar to informāciju, kas tobrīd bija pieejama.Kategorija: organizatoriskā.Risks: Lēmumu vēlāk nevar pamatot.Pārbaude: Pārbaudi lēmuma laiku un pieņēmēju ierakstā.Pierādījums: Lēmumu žurnāls.NIS2: 21(2)(b).

4. Ierobežošana

Skartā sistēma tiek atvienota no tīkla, nevis izslēgtaIzslēgšana iznīcina operatīvo atmiņu, kas bieži ir vienīgā vieta, kur notikušais vēl ir redzams.Kategorija: tehnoloģiskā.Risks: Izslēgšana iznīcina pēdas atmiņā.Pārbaude: Pajautā tehniskajam darbiniekam secību.Pierādījums: Ierobežošanas instrukcija.NIS2: 21(2)(b).
Skartās paroles un atslēgas tiek nomainītasArī tās, kas ir koplietotas ar citām sistēmām.Kategorija: tehnoloģiskā.Risks: Uzbrucējs atgriežas ar to pašu paroli.Pārbaude: Pārbaudi nomainīto paroļu un atslēgu sarakstu.Pierādījums: Nomaiņas ieraksti.NIS2: 21(2)(i).
Aktīvās sesijas un pilnvaras tiek atsauktasParoles maiņa neizbeidz jau izsniegtu sesiju vai piekļuves pilnvaru.Kategorija: tehnoloģiskā.Risks: Atvērta sesija ļauj turpināt darbu.Pārbaude: Pārbaudi aktīvās sesijas pēc atsaukšanas.Pierādījums: Sesiju atsaukšanas ieraksts.NIS2: 21(2)(i).
Zināmie iekļūšanas ceļi tiek bloķēti tīkla robežāUn bloķējums tiek pierakstīts, lai to vēlāk atceltu.Kategorija: tehnoloģiskā.Risks: Uzbrucējs atgriežas pa to pašu ceļu.Pārbaude: Pārbaudi bloķējumu sarakstu.Pierādījums: Bloķējumu ieraksti ar laiku.NIS2: 21(2)(b).
Tiek pārbaudīts, vai skartas blakus sistēmasViena kompromitēta iekārta reti ir vienīgā.Kategorija: tehnoloģiskā.Risks: Kompromitācija turpinās citā iekārtā.Pārbaude: Pārbaudi savienojumus no skartās sistēmas.Pierādījums: Pārbaudīto sistēmu saraksts.NIS2: 21(2)(b).
Katra incidenta laikā veiktā izmaiņa tiek pierakstīta ar laikuBez tā pēc trim dienām neviens nezina, kas tika mainīts un ko drīkst atgriezt.Kategorija: organizatoriskā.Risks: Nevar zināt, ko drīkst atgriezt.Pārbaude: Pārbaudi, vai katrai izmaiņai ir laiks un veicējs.Pierādījums: Izmaiņu žurnāls.NIS2: 21(2)(b).
Ir izlemts, vai uzbrucēju bloķēt uzreiz vai novērotNovērošana dod informāciju, bet pagarina piekļuvi. Šo izvēli izdara apzināti, ne nejauši.Kategorija: organizatoriskā.Risks: Uzbrucējs paliek ilgāk, nekā izlemts.Pārbaude: Pārbaudi lēmuma ierakstu un pamatojumu.Pierādījums: Lēmuma ieraksts.NIS2: 21(2)(b).

5. Pierādījumi un izmeklēšana

Diska un atmiņas attēls tiek izveidots pirms tīrīšanasTīrīšana ir neatgriezeniska, attēla izveide - nav.Kategorija: tehnoloģiskā.Risks: Pierādījumi pazūd tīrīšanas laikā.Pārbaude: Pārbaudi, vai attēli ir pirms tīrīšanas laika.Pierādījums: Attēlu saraksts ar kontrolsummām.NIS2: 21(2)(b).
Žurnāli tiek saglabāti ārpus skartās sistēmasUzbrucējs, kurš ir sistēmā, var tos izdzēst.Kategorija: tehnoloģiskā.Risks: Uzbrucējs izdzēš savas pēdas.Pārbaude: Pārbaudi, kur žurnāli glabājas.Pierādījums: Centrālā žurnālu krātuve.NIS2: 21(2)(b).
Pierādījumu glabāšanas ķēde tiek dokumentētaKas paņēma, kad, kur tas glabājas un kas tam ir piekļuvis.Kategorija: organizatoriskā.Risks: Pierādījumi nav izmantojami tiesā.Pārbaude: Pārbaudi ķēdes ierakstus vienam pierādījumam.Pierādījums: Glabāšanas ķēdes forma.NIS2: 21(2)(b).
Izmeklēšana notiek ar kopiju, ne ar oriģināluOriģināls paliek neaiztikts arī tiesvedības gadījumam.Kategorija: tehnoloģiskā.Risks: Oriģināls tiek sabojāts.Pārbaude: Pārbaudi, ar kuru kopiju strādāja.Pierādījums: Izmeklēšanas pieraksti.NIS2: 21(2)(b).
Tiek meklēts sākotnējais iekļūšanas ceļš, ne tikai sekasNovērstas sekas bez novērsta cēloņa ir atkārtots incidents.Kategorija: tehnoloģiskā.Risks: Incidents atkārtojas pa to pašu ceļu.Pārbaude: Pārbaudi, vai ziņojumā ir iekļūšanas ceļš.Pierādījums: Izmeklēšanas ziņojums.NIS2: 21(2)(b).
Tiek noteikts, kādi dati un sistēmas ir skartasBez apjoma nevar ne ziņot precīzi, ne informēt skartos cilvēkus.Kategorija: tehnoloģiskā.Risks: Ziņojums un informēšana ir neprecīzi.Pārbaude: Pārbaudi skarto datu un sistēmu sarakstu.Pierādījums: Apjoma novērtējums.NIS2: 21(2)(b).
Žurnāli tiek glabāti pietiekami ilgi, lai incidentu varētu izmeklētIekļūšanu bieži atklāj mēnešus pēc tam, kad tā notikusi.Kategorija: tehnoloģiskā.Risks: Sen notikušu iekļūšanu nevar izsekot.Pārbaude: Pārbaudi vecākā pieejamā ieraksta datumu.Pierādījums: Glabāšanas iestatījumi.NIS2: 21(2)(b).

6. Izskaušana un atjaunošana

Cēlonis ir novērsts pirms sistēmas atgriešanas darbāCitādi atjaunotā sistēma tiek kompromitēta pa to pašu ceļu.Kategorija: tehnoloģiskā.Risks: Atjaunotā sistēma tiek kompromitēta vēlreiz.Pārbaude: Pārbaudi labojumu pirms atgriešanas.Pierādījums: Labojuma ieraksts.NIS2: 21(2)(b).
Atjaunošana notiek no kopijas, par kuru ir zināms, ka tā ir tīraKopija, kas izveidota pēc iekļūšanas, var saturēt to pašu piekļuvi.Kategorija: tehnoloģiskā.Risks: Atjaunošana atgriež uzbrucēja piekļuvi.Pārbaude: Salīdzini kopijas datumu ar iekļūšanas laiku.Pierādījums: Kopijas izvēles pamatojums.NIS2: 21(2)(c).
Rezerves kopijas atjaunošana ir pārbaudīta iepriekšKopija, kas nav atjaunota, nav kopija.Kategorija: tehnoloģiskā.Risks: Kopija nav lietojama, kad to vajag.Pārbaude: Pārbaudi pēdējo atjaunošanas testu.Pierādījums: Atjaunošanas protokols.NIS2: 21(2)(c).
Rezerves kopijas nav sasniedzamas no ikdienas darba videsDatu šifrēšanas uzbrukums vispirms meklē tieši tās.Kategorija: tehnoloģiskā.Risks: Izspiedējvīruss iznīcina arī kopijas.Pārbaude: Pārbaudi, vai kopijas var izdzēst no darba vides.Pierādījums: Glabāšanas konfigurācija.NIS2: 21(2)(c).
Atjaunošanas secība ir noteikta pēc pakalpojuma svarīgumaPretējā gadījumā vispirms atgriežas tas, ko atjaunot ir vieglāk, ne tas, kas ir vajadzīgs.Kategorija: organizatoriskā.Risks: Svarīgākais pakalpojums atgriežas pēdējais.Pārbaude: Salīdzini secību ar pakalpojumu svarīgumu.Pierādījums: Atjaunošanas secība.NIS2: 21(2)(c).
Pirms atgriešanas darbā sistēma tiek pārbaudītaGan darbība, gan tas, ka uzbrucēja piekļuves vairs nav.Kategorija: tehnoloģiskā.Risks: Sistēma atgriežas ar uzbrucēja piekļuvi.Pārbaude: Pārbaudi pārbaudes rezultātu pirms atgriešanas.Pierādījums: Pārbaudes ieraksts.NIS2: 21(2)(c).
Pēc atgriešanas uzraudzība ir pastiprināta noteiktu laikuUzbrucējs bieži mēģina atgriezties pa to pašu ceļu.Kategorija: tehnoloģiskā.Risks: Atkārtots mēģinājums paliek nepamanīts.Pārbaude: Pārbaudi uzraudzības noteikumus pēc incidenta.Pierādījums: Uzraudzības ieraksti.NIS2: 21(2)(b).

7. Ziņošana un komunikācija

Nozīmīgam incidentam agrīnais brīdinājums tiek nosūtīts 24 stundu laikāAdresāts ir kompetentā kiberincidentu novēršanas institūcija, un veidlapu paraksta ar drošu elektronisko parakstu.Kategorija: organizatoriskā.Risks: Nokavēts brīdinājums nozīmē sankcijas.Pārbaude: Salīdzini konstatēšanas un nosūtīšanas laiku.Pierādījums: Nosūtītais brīdinājums.NIS2: 23. pants.
Sākotnējais ziņojums tiek iesniegts 72 stundu laikāTas ir cits ziņojums un cita veidlapa, ne agrīnā brīdinājuma atkārtojums.Kategorija: organizatoriskā.Risks: Nokavēts ziņojums nozīmē sankcijas.Pārbaude: Pārbaudi iesniegšanas laiku.Pierādījums: Iesniegtais ziņojums.NIS2: 23. pants.
Galaziņojums tiek iesniegts mēneša laikā pēc sākotnējā ziņojumaJa incidents tik ātri nav atrisināts, vispirms iesniedz progresa ziņojumu un galaziņojumu pēc atrisināšanas.Kategorija: organizatoriskā.Risks: Incidents paliek nenoslēgts iestādes acīs.Pārbaude: Pārbaudi iesniegšanas datumu.Pierādījums: Galaziņojums vai progresa ziņojums.NIS2: 23. pants.
Par nenozīmīgu incidentu tiek ziņots brīvā formāSlieksnis nav sasniegts, bet ziņošanas pienākums paliek.Kategorija: organizatoriskā.Risks: Ziņošanas pienākums tiek aizmirsts.Pārbaude: Pārbaudi pēdējo nenozīmīgo incidentu.Pierādījums: Nosūtītais ziņojums.NIS2: 23. pants.
Ja skarti personas dati, Datu valsts inspekcija tiek informēta 72 stundu laikāAtsevišķs adresāts un atsevišķs pienākums, ne tas pats ziņojums.Kategorija: organizatoriskā.Risks: Nokavēts paziņojums par personas datiem.Pārbaude: Pārbaudi paziņošanas laiku.Pierādījums: Paziņojuma kopija.NIS2: 21(2)(b).
Skartie cilvēki un klienti tiek informēti, kad incidents tos ietekmēAr to, ko viņi var izdarīt paši, ne tikai ar faktu, ka kaut kas noticis.Kategorija: organizatoriskā.Risks: Skartie nevar laikus sevi aizsargāt.Pārbaude: Pārbaudi paziņojuma saturu un laiku.Pierādījums: Nosūtītais paziņojums.NIS2: 23. pants.
Saziņa incidenta laikā notiek pa kanālu ārpus skartās videsJa uzbrucējs lasa e-pastu, plāns tiek apspriests viņa klātbūtnē.Kategorija: tehnoloģiskā.Risks: Uzbrucējs lasa reaģēšanas plānu.Pārbaude: Pārbaudi, vai rezerves kanāls darbojas.Pierādījums: Kanāla apraksts un pārbaude.NIS2: 21(2)(j).
Publiskai saziņai ir viens sagatavots runātājsSagatavots paziņojuma melnraksts ietaupa stundas tieši tad, kad to nav.Kategorija: personāla.Risks: Pretrunīgi paziņojumi kaitē uzticībai.Pārbaude: Pārbaudi runātāju un paziņojuma melnrakstu.Pierādījums: Sagatavotais melnraksts.NIS2: 21(2)(b).

8. Pēcincidenta mācības

Pēc incidenta notiek apspriede noteiktā termiņāKamēr detaļas vēl atceras, ne ceturkšņa pārskata laikā.Kategorija: organizatoriskā.Risks: Mācības aizmirstas.Pārbaude: Salīdzini incidenta un apspriedes datumu.Pierādījums: Apspriedes protokols.NIS2: 21(2)(b).
Incidents tiek pievienots reģistram ar iznākumu un izmaksāmIzmaksas ir tas arguments, ar ko nākamo uzlabojumu apstiprina.Kategorija: organizatoriskā.Risks: Uzlabojumiem nav argumenta.Pārbaude: Pārbaudi ierakstu ar izmaksām.Pierādījums: Reģistra ieraksts.NIS2: 21(2)(b).
Plāns tiek labots tur, kur tas neizturējaNemainīts plāns pēc incidenta nozīmē, ka mācību nebija.Kategorija: organizatoriskā.Risks: Tā pati kļūda atkārtojas.Pārbaude: Salīdzini plāna versiju pirms un pēc incidenta.Pierādījums: Plāna izmaiņu vēsture.NIS2: 21(2)(b).
No incidenta izriet konkrētas izmaiņas kontrolēs ar atbildīgo un termiņuApspriede bez uzdevuma ir saruna.Kategorija: organizatoriskā.Risks: Secinājumi paliek uz papīra.Pārbaude: Pārbaudi uzdevumu izpildi.Pierādījums: Uzdevumu saraksts ar statusu.NIS2: 21(2)(b).
Reaģēšana tiek trenēta uz izdomāta scenārija vismaz reizi gadāPirmā reize nedrīkst sakrist ar īstu incidentu.Kategorija: personāla.Risks: Komanda pirmo reizi rīkojas īsta incidenta laikā.Pārbaude: Pārbaudi pēdējo mācību datumu.Pierādījums: Mācību protokols.NIS2: 21(2)(g).
Kontaktu saraksts un piekļuves tiek pārbaudītas pēc katrām mācībāmNovecojis numurs atklājas tieši tad, kad pa to zvana.Kategorija: organizatoriskā.Risks: Novecojis kontakts atklājas incidenta laikā.Pārbaude: Pārbaudi kontaktu saraksta datumu.Pierādījums: Pārbaudes ieraksts.NIS2: 21(2)(b).
Tiek mērīts laiks no atklāšanas līdz ierobežošanaiSkaitlis, kas nemainās, rāda, ka mācības neko nemaina.Kategorija: organizatoriskā.Risks: Nav zināms, vai reaģēšana uzlabojas.Pārbaude: Salīdzini laiku pēdējos incidentos un mācībās.Pierādījums: Rādītāju atskaite.NIS2: 21(2)(f).