Kiberdrošības apmācības vadībai, finansēm, IT un klientu komandām

Kopīgais pamats un lomu atbildība

Visiem darbiniekiem vajag zināt, kur ziņot par aizdomīgu situāciju, kā aizsargāt piekļuvi un kādus datu kopīgošanas kanālus drīkst izmantot. Ar to sākas kopīgais ievads. Tālāk sadaliet nodarbības pēc darbībām, nevis amata prestiža vai pieņēmuma, ka tehniska komanda jau visu zina. Vienam cilvēkam mazā uzņēmumā var būt vairākas lomas, tādēļ viņam var būt vajadzīgi vairāki scenāriji.

NIST mācību programmu vadlīnijas uzsver dažādu auditoriju vajadzības. NIST SP 800-53 kontroles AT-2 un AT-3 atšķir vispārīgu izpratnes veidošanu un lomai atbilstošas mācības. Šīs publikācijas ir metodisks pamats, nevis automātiski visiem Latvijas uzņēmumiem piemērojams kursu saraksts. Zemāk minētie scenāriji ir pielāgojami praktiski piemēri.

Finanses un iepirkumi: pārbaude pirms maksājuma

Izspēlējiet piegādātāja bankas rekvizītu maiņu vai steidzamu vadītāja pieprasījumu. Darbinieka uzdevums ir atrast iepriekš apstiprinātu kontaktu un pārbaudīt pieprasījumu neatkarīgā kanālā. Negaidiet, ka viņš noteiks uzbrukumu tikai pēc gramatikas kļūdām: arī pārliecinošs teksts vai īsta sarakste var būt ļaunprātīgi izmantota. Pārbaudiet arī darbību, ja saņēmējs nav sazvanāms.

Mācību rezultāts ir izpildīta pārbaudes un apstiprināšanas secība. Pierakstiet, kur procesā bija iespējams to apiet, un kurš šo trūkumu novērsīs. Divu cilvēku apstiprinājums palīdz tikai tad, ja otrs cilvēks pārbauda būtiskos faktus. Vingrinājumam izmantojiet izdomātus rēķinus un nekad neveiciet īstu maksājumu.

Vadība: lēmumi, pilnvaras un prioritātes

Vadības galda mācībās izmantojiet ticamu darbības pārtraukumu: klientu sistēma nav pieejama, faktu vēl ir maz un pienāk ziņa par iespējamu datu noplūdi. Jāvienojas, kurš vada incidentu, kā saņem pārbaudītu informāciju, kas lemj par procesa apturēšanu un kurš koordinē ārējo saziņu. Tehnisku rīku demonstrācija šo sarunu neaizvieto.

Novērtējiet lēmuma pamatojumu un atbildības sadalījumu. Vai ir skaidra rīcība ārpus darba laika? Vai biznesa vadītājs spēj nosaukt kritiskāko atjaunojamo procesu? Pēc mācībām koriģējiet kontaktus, pilnvaras un nepārtrauktības plānu. Atšķiriet vispārīgu darbinieku instruktāžu no vadības konkrētajiem pienākumiem piemērojamajā regulējumā.

Vadības apmācība nav tikai iekšēja laba prakse. NIS2 direktīvas 20. panta otrā daļa prasa, lai būtisko un svarīgo vienību pārvaldības struktūru locekļi iziet apmācību, kas ļauj identificēt riskus un novērtēt kiberdrošības risku pārvaldības praksi, un mudina līdzīgu apmācību regulāri piedāvāt darbiniekiem. Konkrēto piemērošanu Latvijā vērtējiet kopā ar nacionālo regulējumu un savu subjekta statusu.

Klientu apkalpošana un personāls: identitāte pirms datiem

Scenārijā kāds pa tālruni pieprasa nomainīt konta e-pastu vai steidzami nosūtīt darbinieka dokumentu. Dalībnieks izmanto apstiprināto identitātes pārbaudi un nosaka, kādu informāciju drīkst izsniegt. Ja pieprasītājs izdara spiedienu, vajadzīgs skaidrs atteikuma formulējums un eskalācijas ceļš. Apmācībās nedrīkst nostādīt klientu servisa ātruma mērķi pretrunā drošības procedūrai.

Pārbaudiet, vai process darbojas arī aizvietotājam un attālinātam kolēģim. Ja darbiniekam nav pieejams apstiprinātais kanāls, tā ir organizatoriska problēma. Mācību atgriezeniskā saite jāizmanto tās novēršanai, nevis tikai darbinieka testa rezultāta pazemināšanai.

IT: piekļuves robežas un droša eskalācija

Administratoriem izvēlieties aizdomīgu privileģēto sesiju, piekļuves atjaunošanas pieprasījumu vai ārkārtas izmaiņu. Vingrinājuma mērķis ir pārbaudīt pilnvaras, saglabāt nepieciešamos faktus un iesaistīt atbildīgo komandu. Testa vidē var praktiski izmēģināt sesijas atsaukšanu; darba vidē darbības jāveic tikai saskaņotā tvērumā. Atsevišķi pārbaudiet, vai operatīvā steiga neizslēdz pierādījumu saglabāšanu.

Nacionālās kiberdrošības likuma subjektiem IKT personāla apmācība ir arī atsevišķs uzskaitāms pienākums – Ministru kabineta noteikumu Nr. 397 76.2. apakšpunkts prasa vismaz reizi kalendāra gadā apmācīt IKT personālu kiberrisku pārvaldības un IKT darbības nepārtrauktības pasākumu efektīvai īstenošanai. Praktiski tas nozīmē, ka IT komandas vingrinājumam jābūt saistītam ar konkrētiem plāna pasākumiem, nevis ar vispārīgu draudu apskatu.

Kā izvēlēties, kurai lomai sākt

Ja resursi ļauj sākt tikai ar vienu grupu, izvēlieties to, kurai kļūda maksā visvairāk un kuras darbību var pārbaudīt drošā vidē. Praksē tas parasti nozīmē finanses vai piekļuves pārvaldību. Pēc pirmās nodarbības uzdodiet trīs jautājumus: kāda pareiza darbība tika izpildīta, kādi šķēršļi to apgrūtināja un kurš tos novērsīs līdz kuram datumam.

Visām lomām noslēguma jautājums ir vienāds: kādu pareizu darbību dalībnieks izpildīja un kādi šķēršļi traucēja? Plānotājā izvēlieties lomu grupas, lai saņemtu atbilstošus uzdevumus gada programmai.