Noturības (resilience) jomas atzītākie prāti arvien vienotāk uzsver, ka organizācijas spēju veiksmīgi pārvarēt krīzi nosaka ne tik daudz rīcība pašas krīzes laikā, cik darbs, kas ieguldīts iepriekš.
To apliecina arī prakse, jo joprojām starp biežākajiem problēmu cēloņiem ir nepārskatīti procesi un neskaidras atbildības. Tāpēc tieši mierīgais laiks ir piemērotākais brīdis izvērtēt, kā organizācijā tiek pārvaldīti riski, stiprināta digitālā noturība un aizsargāta konfidenciāla informācija.
Ar ko sākt, ja nav skaidrs, ar ko sākt?
Apziniet obligātās prasības un ieteikumi
Vispirms būtu jāsaprot, vai uz jūsu organizāciju jau attiecas kādas obligātas prasības, piemēram, Nacionālās kiberdrošības likums, DORA, GDPR vai specifiski nozaru regulējumi enerģētikas, veselības, elektronisko sakaru, transporta, finanšu pakalpojumu, apdrošināšanas, pārapdrošināšanas un citās jomās.
Ja regulējums jūs vēl tieši neskar, nākamais solis ir izvērtēt, kuras no šīm prasībām, ņemot vērā organizācijas darbības veidu, izmēru, riskus un pieejamos resursus, būtu prioritāri ieviest arī tad, ja tās vēl nav obligātas tieši jums. Šeit noder vienkārši praktiski jautājumi: kas ir kritiski nepieciešams, lai nodrošinātu jūsu uzņēmuma stabilu darbību, reputāciju un konfidenciālās informācijas aizsardzību? Un kas varētu būt svarīgi jūsu klientiem vai sadarbības partneriem – kādas prasības jūsu klienti vai sadarbības partneri tuvākajā nākotnē varētu attiecināt arī uz jums?
Lai gan normatīvās prasības nereti tiek uztvertas kā papildu birokrātisks slogs, raugoties uz DORA, NIS2, Nacionālās kiberdrošības likumu un citiem mūsdienu regulējumiem, redzams, ka to pamatā lielā mērā ir starptautiski atzītas labās prakses principi. Šīs prasības nav radītas abstraktas juridiskās atbilstības nodrošināšanai. To mērķis ir palīdzēt organizācijām savlaicīgi veidot noturību, uzlabot risku pārvaldību un stiprināt gatavību neparedzētām situācijām.
Būtībā šīs prasības lielā mērā sakrīt ar noturības ekspertu teikto un tās palīdz savlaicīgi pamanīt un sakārtot jautājumus, kas krīzes brīdī citādi varētu kļūtu par vājajiem punktiem.
Saprātīgs sākotnējais atskaites punkts uzņēmumam ir CERT.LV un Nacionālā kiberdrošības centra ieteikumi. Tie ir galvenie kiberdrošības kompetences centri Latvijā, kas regulējuma prasības palīdz pārveidot skaidrākos, praktiskos soļos. Kā starptautiski atzīti labās prakses avoti var būt arī ENISA materiāli, NIST vadlīnijas un ISO standarti.
Skaidri procesi un tālredzīgi biznesa lēmumi
Tomēr, lai arī, runājot par kiberdrošību un digitālo noturību, pirmais, kas nāk prātā, bieži ir MFA, ugunsmūri un rezerves kopijas, organizācijas noturība nav tikai tehnoloģiju jautājums. To veido arī tālredzīgi biznesa lēmumi – labi pārvaldīti procesi, skaidras atbildības un pārdomātas prasības sadarbības partneriem.
Tas kļūst īpaši redzams brīdī, kad tiek vērtēti incidenta cēloņi un sekas iesaistītajām personām. Tad ļoti bieži būtisks jautājums nav tikai “vai sistēma bija aizsargāta?”, bet arī – vai bija skaidrs, kurš par ko atbild? Vai bija noteikti reakcijas termiņi un pienākums ziņot par anomāliju vai incidentu? Vai organizācija spētu nomainīt piegādātāju bez būtiskiem darbības traucējumiem un juridiskiem šķēršļiem, piemēram, nesamērīgiem līgumsodiem?
Sadarbība, vienošanās un pakalpojumu sniedzēji
Pārbaudiet savus līgumus. Piegādātāju un pakalpojumu sniedzēju pārvaldībā no juridisko risku viedokļa ir svarīgi savlaicīgi sakārtot tieši tos jautājumus, kas parasti kļūst izšķiroši brīdī, kad rodas problēma:
- skaidri noteiktas pušu lomas un atbildības sadale;
- precīzi definēti piegādātāja pienākumi un pakalpojuma kvalitātes kritēriji, piemēram, pieejamības līmenis, reakcijas laiks un problēmu novēršanas termiņi;
- skaidras prasības informācijas drošībai, piemēram, ISO 27001 vai līdzvērtīgu standartu ievērošana;
- noteikumi par apakšuzņēmēju piesaisti, tostarp klienta informēšanu vai iepriekšēju saskaņošanu;
- rīcība incidenta vai aizdomu par incidentu gadījumā, tai skaitā sākotnējais ziņošanas termiņš, statusa atjauninājumi un cēloņu analīze;
- tiesības pieprasīt informāciju, veikt auditu vai saņemt apliecinājumus par atbilstības prasību izpildi (ne tikai par incidentiem);
- saprātīgi noteikumi par līguma izbeigšanu, pakalpojuma nodošanu citam piegādātājam un datu atgriešanu vai dzēšanu;
- samērīgi līgumsodi un atbildības ierobežojumi.
Labs līgums šādā kontekstā nav tikai formāla atbilstības prasība. Tas ir praktisks instruments, kas palīdz krīzes brīdī nezaudēt laiku, skaidri saprast pušu pienākumus, ātrāk atjaunot normālu darbību un, sliktākā scenārija gadījumā, neļauj sadarbības partnerim izvairīties no savas atbildības.
Definētas atbildības robežas
Sakārtojiet atbildības organizācijas iekšienē. Jo īpaši lielākās organizācijās tikpat būtiska ir skaidra atbildību sadale organizācijas iekšienē. Spēja veiksmīgi reaģēt krīzes situācijā ir atkarīga no tā, vai svarīgākajiem procesiem un sistēmām ir skaidri “īpašnieki”. Praktiski tas nozīmē, ka organizācijai būtu jāspēj bez ilgas meklēšanas atbildēt uz dažiem pamata jautājumiem:
- kurš ir konkrētās sistēmas vai procesa īpašnieks;
- kurš pieņem lēmumus par izmaiņām;
- kurš atbild par datu kvalitāti;
- kurš koordinē incidentu pārvaldību;
- kurš sazinās ar piegādātāju, klientiem vai uzraudzības iestādēm, ja tas nepieciešams.
Ja atbildes uz šiem jautājumiem nav skaidras, pat salīdzinoši neliela problēma var ātri pāraugt plašākā darbības traucējumā. Krīzes laikā neskaidras atbildības bieži rada ne mazākus riskus kā pats tehniskais incidents.
Krīze reti ir labākais brīdis, kad sākt rakstīt noteikumus, dalīt atbildības vai mēģināt pārslēgt līgumus. Šeit labi iederas doma: jo vēlāk sāk sakārtot pamatus, jo dārgāk izmaksā plaisas.
