Rīcība kiberincidenta gadījumā

Nacionālās kiberdrošības likuma 34.panta pirmā daļa nosaka:

Konstatējot kiberincidentu, subjekts nekavējoties veic visas kiberincidenta novēršanai nepieciešamās darbības, kā arī nekavējoties par kiberincidentu informē kompetento kiberincidentu novēršanas institūciju un izpilda tās sniegtos norādījumus par rīcību kiberincidenta gadījumā.

Informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs kiberincidenta gadījumā nekavējoties par to informē arī kompetento valsts drošības iestādi. Ministru kabinets nosaka kiberincidentu kritērijus, par kuriem informācija sniedzama kompetentajai kiberincidentu novēršanas institūcijai, un kārtību, kādā veicama informēšana.

Kiberincidenta konstatēšanas gadījumā paziņot CERT.LV:
-    rakstot uz cert
-    zvanot uz 24x7 tālruni 67085888

CERT.LV sniedzn institūcijai rekomendācijas sākotnējai rīcībai, kā arī piedāvā atbalsta sniegšanu kiberincidenta novēršanā.

Atkarībā no kiberincidenta nozīmīguma par incidentiem ziņo sekojošos termiņos:

1.    Konstatējot kiberincidentu, subjekts nekavējoties novērtē kiberincidenta nozīmīgumu.
2.    Ziņo atbilstoši kiberincidenta nozīmīgumam.
3.    Ja informācija par kiberincidentu satur ierobežotas pieejamības informāciju – ziņojumu šifrē (PGP šifrēšanas metode).
4.    Informācijas apjoms, kas iespēju robežās (ja attiecas) būtu norādāms par nenozīmīgu kiberincidentu:

• Notikuma apraksts (brīvā formā)
• Vai ir identificēts incidenta cēlonis (iekšējs, ārējs vai nezināms)
• Skarto iekārtu uzturētie servisi un OS
• Pierādījumu saglabāšana pirms darbības atjaunošanas
• Cita informācija kas var palīdzēt incidenta atrisināšanā vai tā radīto seku mazināšanā

5.    Incidenta izmeklēšanai būs nepieciešami arī sekojoši dati:

• Vai un kā tika nodrošināta un aizsargāta piekļuve IT sistēmām (konkrēts produkts, tā versijas, piekļuves ierobežojumi, paroļu politika, 2FA veids un lietojums)
• Žurnālfailu pieejamība (iekārtas, ārējs kolektors, IDS, SIEM, rezerves kopijas)
• Skarto iekārtu RAM kopijas izveides iespējas
• Datu nesēju spoguļkopijas, virtuālo mašīnu snapshot iekļaujot RAM
• Tīkla plūsmas pieraksti
• Auditācijas pieraksti (log files)
• Vai ir notikusi personas datu noplūde (ziņošanas pienākums DVI) un vai cietušais zina kā pārbaudīt.
• Plānotais darbības atjaunošanas laiks un uzņēmuma IT sistēmas stāvoklis
• Cita informācija, kas var palīdzēt incidenta izmeklēšanā

Kiberincidentu nozīmīguma kritēriji

Kiberincidents ir uzskatāms par nozīmīgu, ja tas:

1. atbilst būtiska kiberincidenta definīcijai regulas 2024/2690 3. panta 1. punkta izpratnē

vai

2. vismaz vienai no šādām pazīmēm:

• kiberincidents apdraud sabiedrības veselību vai drošību, valsts drošību, ekonomisko drošību, valsts reputāciju, ārējās attiecības, pilsonisko brīvību vai pamattiesības;
• kiberincidents rada mantiskus zaudējumus subjektam, citiem subjektiem, Latvijas Republikai, pakalpojumu saņēmējiem vai citām personām vismaz 500 000 euro vai 5% apmērā no subjekta pēdējā finanšu gada apgrozījuma (atkarībā no tā, kura summa ir mazāka);
• kiberincidents rada vai var radīt kaitējumu fiziskās personas dzīvībai vai veselībai;
• kiberincidents rada vai var radīt ietekmi uz ierobežotas pieejamības vai klasificētās informācijas konfidencialitāti, integritāti vai pieejamību;
• kiberincidents ir izraisījis vai var izraisīt būtiskā vai svarīgā pakalpojuma saņemšanas vai IKT kritiskās infrastruktūras funkcionēšanas traucējumus;
• kiberincidents ir pārrobežu kiberincidents Nacionālā kiberdrošības likuma 1. panta 21. punkta izpratnē.

Par nozīmīgu kiberincidentu subjekts Nacionālās kiberdrošības likuma 34. panta otrajā, trešajā, piektajā un sestajā daļā noteiktajos termiņos ziņo kompetentajai kiberincidentu novēršanas institūcijai, nosūtot uz tās elektroniskā pasta adresi elektroniski aizpildītu un parakstītu ar drošu elektronisko parakstu:

    - agrīnā brīdinājuma veidlapu (10. pielikums);
    - sākotnējā ziņojuma veidlapu (11. pielikums);
    - progresa ziņojuma veidlapu (12. pielikums), ja attiecināms;
    - starpposma ziņojuma veidlapu (13. pielikums), ja attiecināms;
    - galaziņojuma veidlapu (14. pielikums).

Definīcijas:

*Kiberdrošības incidents (kiberincidents) — notikums, kas apdraud apstrādātus datus vai tādu pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību.

**Nozīmīgs kiberincidents — pārrobežu kiberincidents vai tāds kiberincidents, kam ir ietekme uz sniegtā pakalpojuma nepārtrauktību vai sabiedrības interesēm un kas atbilst Ministru kabineta noteiktajiem kritērijiem.

Pārrobežu kiberincidents — incidents, kas izraisa traucējumus tādā līmenī, kurš pārsniedz dalībvalsts spēju uz to reaģēt, vai kam ir būtiska ietekme uz vismaz divām dalībvalstīm.

***Gandrīz noticis kiberincidents — notikums, kurš būtu varējis apdraudēt apstrādātus datus vai tīklu un informācijas sistēmu piedāvāto vai ar tīklu un informācijas sistēmu starpniecību pieejamo pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, bet kura pilnīga īstenošanās tika sekmīgi novērsta vai kurš neīstenojās.

****Kiberapdraudējums — jebkādi iespējami apstākļi, notikums vai darbība, kas atbilst Eiropas Parlamenta un Padomes 2019. gada 17. aprīļa regulas (ES) 2019/881 par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (turpmāk — regula 2019/881) 2. panta 8. punktā noteiktajai definīcijai.