IT risku reģistrs

Riska vērtība: rindās ietekme, kolonnās iespējamība
	1 - reti	2 - maz ticami	3 - iespējami	4 - ticami	5 - gandrīz droši
5 - kritiska	5	10	15	20	25
4 - būtiska	4	8	12	16	20
3 - vidēja	3	6	9	12	15
2 - neliela	2	4	6	8	10
1 - niecīga	1	2	3	4	5

1. Pārvaldība un atbildība

R-01: Nav noteikta atbildība par informācijas drošībuRisks: Lēmumi paliek bez īpašnieka, un riski netiek apstrādāti.Pārbaude: Pārbaudi, vai vadība ir iecēlusi atbildīgo un apstiprinājusi pilnvaras.Pierādījums: Vadības lēmums un amata apraksts.NIS2: 20. pants.
R-02: Vadība neapstiprina un nepārrauga riska pārvaldības pasākumusRisks: Drošība nesaņem resursus, un vadība uzzina par riskiem tikai incidentā.Pārbaude: Pārbaudi pēdējo vadības pārskatu un pieņemtos lēmumus.Pierādījums: Sanāksmes protokols.NIS2: 20. pants.
R-03: Nav aktīvu saraksta ar īpašniekiemRisks: Neuzskaitītu sistēmu neviens neatjaunina un neaizsargā.Pārbaude: Salīdzini sarakstu ar tīkla skenēšanas rezultātu.Pierādījums: Aktīvu saraksts ar īpašniekiem.NIS2: 21(2)(i).
R-04: Nav vienotas riska novērtēšanas metodesRisks: Riskus nevar salīdzināt, un resursi aiziet nepareizajiem.Pārbaude: Pārbaudi, vai kritēriji un pieņemšanas sliekšņi ir rakstiski.Pierādījums: Riska metodika ar kritērijiem.NIS2: 21(2)(a).
R-05: Drošības politikas ir novecojušas vai nezināmas darbiniekiemRisks: Darbinieki rīkojas pēc paraduma, un prasības nevar pierādīt.Pārbaude: Pārbaudi pārskatīšanas datumu un iepazīstināšanas pierakstus.Pierādījums: Politika ar versiju un pieraksti.NIS2: 21(2)(a).

2. Identitāte un piekļuve

R-06: Kompromitēti lietotāju akreditācijas datiRisks: Uzbrucējs piesakās kā īsts lietotājs, un kontroles to nepamana.Pārbaude: Pārbaudi MFA pārklājumu un noplūžu monitoringu.Pierādījums: MFA pārskats pa kontiem.NIS2: 21(2)(j).
R-07: Administratora kontiem nav MFARisks: Viena nozagta parole dod pilnu kontroli pār sistēmu.Pārbaude: Izvelc visus administratorus un viņu MFA statusu.Pierādījums: Administratoru saraksts ar MFA statusu.NIS2: 21(2)(j).
R-08: Lietotājiem ir vairāk tiesību nekā vajagRisks: Viena konta kompromitācija skar daudz vairāk datu un sistēmu.Pārbaude: Izlases veidā salīdzini tiesības ar amata vajadzībām.Pierādījums: Piekļuves pārskata rezultāts.NIS2: 21(2)(i).
R-09: Aizgājušu darbinieku konti paliek aktīviRisks: Bijušais darbinieks vai uzbrucējs lieto kontu, ko neviens neuzrauga.Pārbaude: Salīdzini aktīvos kontus ar personāla sarakstu.Pierādījums: Salīdzinājuma rezultāts un slēgšanas pieraksts.NIS2: 21(2)(i).
R-10: Koplietoti un servisa konti bez uzraudzībasRisks: Darbību nevar piesaistīt cilvēkam, un parole netiek mainīta gadiem.Pārbaude: Izvelc servisa kontus, to īpašniekus un paroles vecumu.Pierādījums: Servisa kontu saraksts.NIS2: 21(2)(i).
R-11: Attālinātā piekļuve bez pietiekamas aizsardzībasRisks: Publiski pieejams RDP vai VPN bez MFA ir bieža ielaušanās vieta.Pārbaude: Pārbaudi ārējos portus un VPN pieteikšanās nosacījumus.Pierādījums: Ārējās skenēšanas izvade un VPN iestatījumi.NIS2: 21(2)(j).

3. Tīkls un perimetrs

R-12: Plakans tīkls bez segmentācijasRisks: Viena inficēta darbstacija sasniedz serverus un rezerves kopijas.Pārbaude: No lietotāju tīkla mēģini sasniegt servera un pārvaldības portus.Pierādījums: Tīkla shēma un savienojamības tests.NIS2: 21(2)(e).
R-13: Liekas atvērtas ārējās pakalpesRisks: Aizmirsts serviss ar novecojušu versiju ir atvērtas durvis.Pārbaude: Salīdzini ārējo skenēšanu ar apstiprināto pakalpju sarakstu.Pierādījums: Skenēšanas izvade.NIS2: 21(2)(e).
R-14: Ugunsmūra noteikumi nav pārskatītiRisks: Pagaidu izņēmumi paliek, un atļauts ir vairāk nekā vajag.Pārbaude: Atlasi noteikumus bez īpašnieka vai pārskatīšanas datuma.Pierādījums: Noteikumu pārskata pieraksts.NIS2: 21(2)(e).
R-15: DDoS uzbrukums pārtrauc pakalpojumu pieejamībuRisks: Klienti nevar piekļūt, un slodze pārsniedz kanāla vai servera jaudu.Pārbaude: Pārbaudi aizsardzību, limitus un kontaktu pie pakalpojuma sniedzēja.Pierādījums: Līgums vai testa rezultāts.NIS2: 21(2)(c).
R-16: DNS vai domēna kontrole tiek zaudētaRisks: Uzbrucējs novirza vietni un e-pastu, un klienti to nepamana.Pārbaude: Pārbaudi reģistratora MFA, domēna bloķēšanu un termiņu.Pierādījums: Reģistratora iestatījumu izdruka.NIS2: 21(2)(j).

4. Sistēmas un ievainojamības

R-17: Kritiski ielāpi netiek uzstādīti laikāRisks: Zināma ievainojamība tiek izmantota, pirms tā ir aizvērta.Pārbaude: Salīdzini ielāpu līmeni ar CISA KEV un savu termiņu.Pierādījums: Ielāpu pārskats ar datumiem.NIS2: 21(2)(e).
R-18: Tiek lietota programmatūra bez ražotāja atbalstaRisks: Jaunām ievainojamībām labojumu vairs nebūs.Pārbaude: Atlasi aktīvu sarakstā versijas ar beigušos atbalstu.Pierādījums: Saraksts ar atbalsta termiņiem.NIS2: 21(2)(e).
R-19: Drošas konfigurācijas bāzlīnijas navRisks: Noklusējuma iestatījumi un paroles paliek produkcijā.Pārbaude: Salīdzini paraugsistēmu ar CIS Benchmark.Pierādījums: Salīdzinājuma atskaite.NIS2: 21(2)(e).
R-20: Ļaunatūra vai izspiedējvīruss šifrē datusRisks: Darbība apstājas, un atgūšana ilgst dienas vai nedēļas.Pārbaude: Pārbaudi EDR pārklājumu un atjaunošanas mēģinājuma datumu.Pierādījums: EDR pārskats un atjaunošanas protokols.NIS2: 21(2)(b).
R-21: Trūkst žurnālu vai tie netiek skatītiRisks: Ielaušanās paliek nepamanīta, un incidentu nevar izmeklēt.Pārbaude: Radi testa notikumu un pārbaudi, vai tas sasniedz centru un rada brīdinājumu.Pierādījums: Testa notikuma pēda un glabāšanas termiņš.NIS2: 21(2)(b).

5. Dati un rezerves kopijas

R-22: Rezerves kopijas neatjaunojasRisks: Kopija izskatās derīga, līdz tā vajadzīga.Pārbaude: Veic atjaunošanu testa vidē un izmēri laiku.Pierādījums: Atjaunošanas tests ar laiku.NIS2: 21(2)(c).
R-23: Uzbrucējs var izdzēst vai šifrēt kopijasRisks: Izspiedējvīruss sasniedz arī kopijas, un atgūšanas ceļa nav.Pārbaude: Pārbaudi nemainīgu vai atsevišķi glabātu kopiju un tās piekļuvi.Pierādījums: Krātuves iestatījumi.NIS2: 21(2)(c).
R-24: Personas datu noplūdeRisks: Iestājas paziņošanas pienākums, sods un klientu uzticības zudums.Pārbaude: Pārbaudi, kur dati glabājas, kas tiem piekļūst un kā tos atrod noplūdē.Pierādījums: Datu apstrādes reģistrs un piekļuves pārskats.NIS2: 21(2)(i).
R-25: Jutīgi dati nav šifrētiRisks: Nozagts disks, kopija vai datubāzes izraksts ir uzreiz lasāms.Pārbaude: Pārbaudi šifrēšanu klēpjdatoros, kopijās un pārraidē.Pierādījums: Šifrēšanas statusa pārskats.NIS2: 21(2)(h).
R-26: Kriptogrāfisko atslēgu un sertifikātu pārvaldība nav noteiktaRisks: Beidzies sertifikāts aptur pakalpojumu, vai noplūdusi atslēga paliek derīga.Pārbaude: Pārbaudi atslēgu sarakstu, termiņu brīdinājumus un rotāciju.Pierādījums: Sertifikātu saraksts ar termiņiem.NIS2: 21(2)(h).

6. Izstrāde un piegādes ķēde

R-27: Kompromitēts piegādātājs vai pakalpojumu sniedzējsRisks: Uzbrucējs ienāk caur uzticamu savienojumu vai atjauninājumu.Pārbaude: Pārbaudi kritisko piegādātāju sarakstu un līgumu drošības prasības.Pierādījums: Piegādātāju novērtējums.NIS2: 21(2)(d).
R-28: Viens piegādātājs bez aizstājējaRisks: Viņa kļūme vai aiziešana aptur kritisku procesu.Pārbaude: Atlasi kritiskos piegādātājus bez izejas plāna.Pierādījums: Izejas plāns.NIS2: 21(2)(d).
R-29: Ievainojama trešās puses atkarībaRisks: Zināma CVE bibliotēkā nonāk produkcijā.Pārbaude: Palaid SCA un pārbaudi, vai atradumi aptur būvi.Pierādījums: SCA atskaite un SBOM.NIS2: 21(2)(e).
R-30: Noslēpumi kodā vai konfigurācijāRisks: Noplūdusi atslēga dod tiešu piekļuvi, arī pēc dzēšanas no vēstures.Pārbaude: Palaid noslēpumu skenēšanu visā repozitorija vēsturē.Pierādījums: Skenēšanas izvade.NIS2: 21(2)(e).
R-31: Izmaiņas produkcijā bez pārskata un atgriešanas ceļaRisks: Kļūdaina izmaiņa aptur pakalpojumu vai atver caurumu.Pārbaude: Izlases veidā izseko izmaiņu no pieprasījuma līdz izlaidei.Pierādījums: Izmaiņu pieraksts ar apstiprinājumu.NIS2: 21(2)(e).

7. Nepārtrauktība un incidenti

R-32: Nav pārbaudīta darbības atjaunošanas plānaRisks: Kļūmes brīdī lēmumi tiek pieņemti pirmo reizi.Pārbaude: Pārbaudi pēdējā mācību datumu un secinājumus.Pierādījums: Mācību protokols.NIS2: 21(2)(c).
R-33: Atjaunošanas mērķi nav noteiktiRisks: Nav zināms, kas jāatjauno vispirms un cik daudz datu drīkst zaudēt.Pārbaude: Pārbaudi RTO un RPO kritiskajām sistēmām un salīdzini ar testu.Pierādījums: Ietekmes analīze ar RTO un RPO.NIS2: 21(2)(c).
R-34: Viens atteices punkts kritiskā sistēmāRisks: Viena mezgla vai kanāla kļūme aptur visu pakalpojumu.Pārbaude: Izej kritisko plūsmu un atzīmē komponentes bez rezerves.Pierādījums: Arhitektūras shēma ar atzīmēm.NIS2: 21(2)(c).
R-35: Incidents netiek atpazīts un ziņots laikāRisks: Tiek nokavēts 24 stundu agrīnais brīdinājums un 72 stundu paziņojums.Pārbaude: Izspēlē paraugincidentu ar laika mērījumu līdz ziņojumam.Pierādījums: Mācību laika līnija un kontakti.NIS2: 23. pants.

8. Cilvēki un fiziskā vide

R-36: Darbinieks atver pikšķerēšanas vēstuliRisks: Tā ir biežākā ielaušanās sākuma vieta.Pārbaude: Veic atļautu pikšķerēšanas testu un mēri ziņošanas īpatsvaru.Pierādījums: Testa rezultāts.NIS2: 21(2)(g).
R-37: Trūkst drošības apmācībuRisks: Darbinieks neatpazīst draudu un nezina, kam ziņot.Pārbaude: Pārbaudi apmācību aptvērumu, arī vadībai.Pierādījums: Apmācību pieraksti.NIS2: 20. pants.
R-38: Viena cilvēka zināšanas par kritisku sistēmuRisks: Viņa prombūtnē sistēmu neviens nevar atjaunot.Pārbaude: Pārbaudi dokumentāciju un aizvietotāju.Pierādījums: Instrukcija un aizvietotājs.NIS2: 21(2)(i).
R-39: Nesankcionēta fiziskā piekļuve serveriem vai ierīcēmRisks: Fiziska piekļuve apiet lielāko daļu tīkla kontroļu.Pārbaude: Pārbaudi telpu piekļuves žurnālu un apmeklētāju kārtību.Pierādījums: Piekļuves žurnāls.NIS2: 21(2)(i).
R-40: Pazaudēta vai nozagta darba ierīceRisks: Dati un aktīvas sesijas nonāk svešās rokās.Pārbaude: Pārbaudi diska šifrēšanu un attālinātu dzēšanu.Pierādījums: MDM pārskats.NIS2: 21(2)(h).

IT risku reģistrs

Kā novērtēt risku

Riska līmenis

Iespējamība

Ietekme