Incidenta plāns un incidenta karte

8. modulis: Kad kaut kas noiet greizi · Lasīšanas laiks: 10 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izveidot incidenta karti un vienkāršu incidenta plānu, kas darbojas arī tad, ja Jūsu datori, e-pasts un kontaktu saraksts vairs nav pieejami.

Pamatjēdzieni: incidents, incidenta karte, incidenta plāns, lomas, kontaktu saraksts, ierobežošana, pierādījumu saglabāšana, komunikācija, uzglabāšana bezsaistē, mācības (tabletop)

Kāpēc to kārtojat tagad, nevis tad, kad jau deg

Iedomājieties: ir pirmdienas rīts, 07:45. Bakery Example kases datorā parādās sarkans ekrāns ar paziņojumu, ka visi faili ir šifrēti. Koplietotā mape ar pasūtījumiem neatveras. Kāds saka: "Zvaniet IT speciālistam." Taču viņa numurs ir pastkastes kontaktos, un pati pastkaste atrodas tajā pašā datorā. Kāds cits grib datoru nekavējoties izslēgt. Trešais sāk pievienot rezerves kopijas disku, lai "visu atjaunotu".

Visas trīs reakcijas ir saprotamas, un divas no tām situāciju tikai pasliktina. Tā notiek gandrīz vienmēr: zem spiediena cilvēki dara to, kas pirmais ienāk prātā. Incidents ir jebkurš notikums, kas apdraud Jūsu datu vai sistēmu pieejamību, uzticamību vai konfidencialitāti: uzlauzts e-pasta konts, izspiedējvīruss, pazaudēts klēpjdators, e-pasts ar klientu datiem, kas aizsūtīts nepareizam saņēmējam, vai pārņemta tīmekļa vietne.

Plāna mērķis nav panākt, lai viss noritētu gludi. Mērķis ir nepieļaut pirmajā stundā kļūdas, ko vairs nevar labot, un zināt, kam zvanīt.

Incidenta karte un incidenta plāns: atšķirība

Uzņēmumam ar diviem līdz divdesmit darbiniekiem karte ir vissvarīgākā. Plāns var būt īss. Nīderlandes CERT (NCSC) izspiedējvīrusiem ir izstrādājis plašu incidentreakcijas plānu (sk. Vairāk lasīšanai); to varat izmantot kā paraugu un saīsināt.

Kas ir incidenta kartē

Laba karte atbild uz pieciem jautājumiem. Zemāk ir veidne, ko varat pārņemt.

INCIDENTA KARTE  Bakery Example            versija: 1   datums: ..-..-....

1. VAI PAMANĀT KO DĪVAINU?  (sarkans ekrāns, nosūtīts dīvains e-pasts, pieteikšanās neizdodas,
   nezināms maksājums, pazaudēts klēpjdators, dati nosūtīti nepareizam saņēmējam)
   -> Ziņojiet NEKAVĒJOTIES: ............................  tālr: ...............
      Rezerve: ..........................................  tālr: ...............
   Ziņošana vienmēr ir pareizi. Neviens netiks vainots.

2. PIRMIE SOĻI (nelabojiet pats)
   [ ] Atvienojiet tīkla kabeli / izslēdziet wifi / ieslēdziet lidmašīnas režīmu. NEIZSLĒDZIET.
   [ ] Atvienojiet USB un rezerves kopiju diskus. NEPIEVIENOJIET.
   [ ] Nofotografējiet ekrānu (ar telefonu).
   [ ] Pierakstiet: laiku, ko redzējāt, ko darījāt.
   [ ] Nemaksājiet, neatbildiet izspiedējam.

3. KAM ZVANĀM?
   IT atbalsts / administrators   ............................  tālr: ...............
   Mitināšana / e-pasts           ............................  tālr: ...............
   Banka (krāpšana, 24/7)         ............................  tālr: ...............
   Apdrošinātājs (kiberrisks)     ............................  polise: .............
   Valsts policija (iesniegums)   112 (ārkārtas gadījumos) vai tuvākā iecirkņa numurs
   DVI paziņojums par datu noplūdi   https://www.dvi.gov.lv/ (72 stundu laikā)
   Svarīgs klients/piegādātājs: ...................  tālr: ...............

4. KURŠ LEMJ UN KURŠ RUNĀ?
   Lemj (izslēgt, atjaunot, ziņot, maksāt): ..........................
   Runā ar klientiem, presi, darbiniekiem: ........................................
   Uztur žurnālu: .....................................................

5. KUR KAS ATRODAS?
   Rezerves kopijas: .............................. (pēdējā pārbaude: ..-..-....)
   Paroļu pārvaldnieka ārkārtas piekļuve: ...........................................
   Sistēmu un kontu saraksts: ..........................................
   Šis plāns (digitāli) + kopija ārpus uzņēmuma: ..............................

Daži šīs veidnes risinājumi ir jāpaskaidro.

• "Neizslēgt, bet gan atvienot." Izspiedējvīrusa gadījumā Nīderlandes CERT (NCSC) iesaka skarto ierīci nekavējoties atvienot no tīkla (kabeli, wifi, mobilo tīklu), bet neizslēgt to; miega režīms ir pieļaujams. Darbības atmiņā paliek pēdas, kas var būt vajadzīgas izmeklētājam, dažkārt pat atslēgas. Atvienošana apstādina izplatīšanos uz citām ierīcēm un tīkla disku.
• "Rezerves kopiju diskus nepievienot." Disks, ko pievienojat inficētam datoram, arī tiks šifrēts. Vispirms jābūt pārliecībai, ka vide ir tīra (nodarbība 8.3).
• "Ziņošana vienmēr ir pareizi." Darbinieks, kurš pirmais kaut ko pamana, ir Jūsu labākā aizsardzība. Ja viņš baidās no izrādes, viņš nogaidīs, un Jūs zaudēsiet stundas. Skatiet arī nodarbību 9.2.
• Numuri uz papīra. Tieši liela incidenta gadījumā Jūsu e-pasts, koplietotais kalendārs un reizēm arī telefona centrāle nedarbojas. Karte, kas glabājas tikai mākonī, tad ir nepieejama.

Ārkārtas gadījumos zvaniet 112. Nesteidzamos gadījumos sazinieties ar tuvāko Valsts policijas iecirkni, lai vienotos par iesnieguma iesniegšanu; kiberuzbrukums parasti nav 112 gadījums.

Lomas: kurš ko dara

Mazā uzņēmumā viena persona bieži dara visu. Tomēr vienojieties par trim lomām, pat ja divām ir vienāds vārds:

1. Lēmuma pieņēmējs. Lemj par izslēgšanu, atjaunošanu, ziņošanu DVI, saziņu ar banku un to, vai piesaistīt ārēju speciālistu. Vēlams īpašnieks vai direktors, ar pastāvīgu aizvietotāju.
2. Tehniskā līnija. Jūsu IT piegādātājs, tīmekļa vietnes izstrādātājs vai prasmīgs kolēģis. Dara to, ko lūdz lēmuma pieņēmējs, un konsultē. Iepriekš vienojieties, vai Jūsu IT piegādātājs palīdz arī incidenta gadījumā, cik ātri un cik tas maksā; tas ir jautājums nodarbībai 7.2.
3. Komunikators. Runā ar klientiem, darbiniekiem un, ja nepieciešams, presi, lai ārā nonāktu tikai viens stāsts. Datu aizsardzības pārkāpuma gadījumā tas ietver arī skarto personu informēšanu (nodarbība 8.2).

Noteikti norīkojiet arī kādu, kurš uztur žurnālu: laiku, ko notika, kurš ko nolēma. Tas šķiet birokrātiski, taču tas būs vajadzīgs paziņojumam DVI (kas jautās, kad atklājāt noplūdi un ko darījāt), apdrošinātājam, iesniegumam un vēlākai izvērtēšanai.

Plāns: dažas rindkopas katram incidenta veidam

Papildus kartei uzrakstiet īsu rīcības plānu katram biežāk sastopamajam incidentam. Pietiek sākt ar četriem:

Pierakstiet arī, kuras sistēmas ir vissvarīgākās, secībā. Bakery Example gadījumā tas, piemēram, ir: kase un karšu termināls, šodienas pasūtījumi, e-pasts, grāmatvedība, tīmekļa vietne. Atjaunošanā sāciet no augšas. Skatiet arī RPO un RTO nodarbībā 6.3.

Mācības: pusstunda pie galda

Plāns, ko neviens nezina, nedarbojas. Tabletop mācības prasa pusstundu: Jūs sēžat pie galda ar cilvēkiem, kuriem ir noteikta loma, un izspēlējat scenāriju, neko nepieskaroties. Vadītājs (tas varat būt Jūs pats) soli pa solim stāsta, kas notiek.

Piemērs: "Ir piektdiena, 16:30. Grāmatvedis saņem e-pastu no pastāvīga piegādātāja: IBAN ir mainīts, neapmaksāto rēķinu 8400 eiro apmērā lūdz pārskaitīt vēl šodien uz jauno numuru. Ko Jūs darāt?" Un pēc tam: "Ir pirmdiena. Piegādātājs zvana: viņš nav neko saņēmis." Katrā solī jautājiet: kurš ko dara, kam zvanāt, kur atrodas šis numurs?

Pēc beigām pierakstiet, kā trūka. Gandrīz vienmēr tas ir telefona numurs, parole, ko zina tikai viena persona, vai neskaidrība par to, kurš lemj. Atjauniniet karti un uzrakstiet jaunu datumu. Mazam uzņēmumam labs ritms ir mācīties vienreiz gadā un pārbaudīt karti, kā arī pēc katras lielākas izmaiņas (jauns IT piegādātājs, jauna grāmatvedības programma).

Praksē: šādi tas izskatās

Iekļaujiet kartē arī konkrētas vietas, kur varat ātri rīkoties pie saviem pakalpojumu sniedzējiem. WebOké gadījumā tās ir, piemēram: aktīvo sesiju skatīšana un izrakstīšanās Mans WebOké, soļu plāns "Mana tīmekļa vietne ir uzlauzta" DirectAdmin rokasgrāmatā un rezerves kopijas atjaunošana. Pie citiem mitināšanas, e-pasta un mākoņa pakalpojumu sniedzējiem ir līdzīgas funkcijas; atrodiet tās, pirms tās nepieciešamas, un pierakstiet, kur tās atrodas.

Kopsavilkums

• Incidenta karte (viena A4 lapa, uz papīra) nodrošina, ka visi pirmajās minūtēs rīkojas pareizi: ziņo, atvieno, bet neizslēdz, nepievieno rezerves kopijas, neko nemaksā.
• Vienojieties par lomām: kurš lemj, kurš veic tehnisko darbu, kurš komunicē, kurš uztur žurnālu.
• Katram biežāk sastopamajam incidentam uzrakstiet īsu rīcības plānu un Jūsu svarīgāko sistēmu secību.
• Glabājiet numurus un plānu arī ārpus datoriem.
• Mācieties reizi gadā pusstundu pie galda un atjauniniet karti.

Tests

Uzdevums

Uzdevums D8.1: Jūsu paša incidenta karte. Pārņemiet šīs nodarbības veidni un aizpildiet to savam uzņēmumam: reāliem vārdiem, numuriem un vietām. Izdrukājiet to, pakariet to redzamā vietā un nofotografējiet telefonam. Pēc tam kopā ar vienu kolēģi (vai vienatnē) ceturtdaļstundā izspēlējiet šīs nodarbības IBAN scenāriju un pierakstiet, kā Jums trūka.

Vairāk lasīšanai

WebOké rakstos minētie soļi attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• DirectAdmin rokasgrāmata 18.2: Mana vietne ir uzlauzta: rīcības plāns
• Palīdzība! Mana vietne ir uzlauzta. Kā to novērst un kā no tā izvairīties?
• WebOké rokasgrāmata 3.6: Aktīvo sesiju apskate un iziešana
• Nīderlandes CERT (NCSC), Ko darīt izspiedējvīrusa uzbrukuma gadījumā?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nīderlandes CERT (NCSC), Izspiedējvīrusa incidentreakcijas plāns (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• CERT.LV un Valsts policija, ziņošana un palīdzība izspiedējvīrusa gadījumā: https://cert.lv/