Atklāta metodoloģija

Vērtējums, ko var pārbaudīt.

Nozīmīguma vērtējums no 0 līdz 100 tiek veidots no sešiem publicētiem rādītājiem, katru vērtējot no 0 līdz 10 pēc fiksētas kritēriju sistēmas un apvienojot ar fiksētu svaru. Tā ir pārskatāma metode, nevis redakcionāls viedoklis — navigācijas palīglīdzeklis, nevis spriedums. Tā pati kritēriju sistēma, kas redzama šajā lapā, ir tā, pēc kuras vērtē cilvēks redaktors un pēc kuras ir instruēts vērtēt izpētes asistents, sagatavojot vērtējumu pārskatīšanai.

0–10katram rādītājam
×
svarssabiedrības intereses nozīmīgums
=
0–100nozīmīguma vērtējums
Kāpēc tieši šādi svari.

Trīs dimensijas apraksta, ko incidents patiesībā nodarīja cilvēkiem — sekas (25%), apjoms (20%) un datu jutīgums (20%). Kopā tās veido 65% no vērtējuma, jo tieši uz šo jautājumu reģistrs pastāv, lai atbildētu. Pārējās trīs apraksta kontekstu — pakalpojuma kritiskums (15%), ilgums (10%) un uzbrucēja nolūks (10%). Tās ir svarīgas, bet kā modifikatori: ilgstošs vai skaidri mērķēts uzbrukums, kas nevienam nekaitēja, nedrīkst pārspēt īsu un pavirši pieļautu incidentu, kas nodarīja reālu postu.

Pakalpojuma kritiskumam ir mazāks svars nekā kaitējuma dimensijām, un tas ir apzināti. Tā ir cietušā, nevis paša incidenta īpašība, un tad, kad tam bija vienāds svars, ikviens incidents valsts iestādē nopelnīja vienādus punktus neatkarīgi no tā, vai tika izgūts valsts mēroga reģistrs vai tīmekļvietne stundu strādāja lēni. Sekām ir vislielākais svars pretēja iemesla dēļ: tā ir vienīgā dimensija, kurai nav nozīmes, vai kaitējums nāk no nozagtiem datiem vai no pakalpojuma nepieejamības, tāpēc pārtraukums, kas cilvēkiem patiešām kaut ko maksāja, joprojām var sasniegt skalas augšgalu — savukārt iespaidīgs pārtraukums, kas nemaksāja neko, nevar.

Apjomssvars 20%

Cilvēki, ieraksti vai sistēmas, kam incidents patiešām nodarīja kaitējumu.

0Nav apstiprinātu skarto personu, ierakstu vai sistēmu — teorētisks gadījums vai novērsts pirms jebkādas noplūdes.
2Neliels skaits kontu vai viena nekritiska sistēma (aptuveni mazāk par 100 cilvēkiem vai ierakstiem).
4Simtiem līdz dažiem tūkstošiem ierakstu vai personu, vai tikai vienas organizācijas iekšējās sistēmas.
6Desmitiem tūkstošu līdz aptuveni 100 000 personu vai ierakstu, vai visa organizācija, ieskaitot tās klientus.
8Simtiem tūkstošu līdz vairākiem miljoniem personu vai ierakstu, vai vairākas organizācijas nozarē.
10Vairāki miljoni personu vai ierakstu, valsts iedzīvotāju skaita mērogā, vai koordinēta valsts mēroga daudznozaru kampaņa.

Noteikums. Skaiti tos, kam patiešām nodarīts kaitējums, nevis tos, kurus tas teorētiski varēja skart. Tīra pieejamības incidenta gadījumā tie ir cilvēki, kuriem reāli tika liegts izdarīt kaut ko viņiem svarīgu, nevis visa pakalpojuma auditorija. Publiska tīmekļvietne, kas stundu strādā lēni, nav nodarījusi kaitējumu visiem, kas to varēja apmeklēt.

Vērtējumi starp atsauces punktiem tiek interpolēti; ja pierādījumu maz, redaktori un izpētes asistents ir instruēti noapaļot uz leju.

Datu jutīgumssvars 20%

Iespējamais kaitējums no atklātas vai mainītas informācijas.

0Dati nav atklāti vai mainīti — tīrs pieejamības incidents (piemēram, DDoS), kurā nekas nav iegūts.
2Zemas jutības operatīvie vai publiskie dati, piemēram, jau publiski pieejams mājaslapas saturs vai nepersonalizēti metadati.
4Pamata kontaktinformācija vai konta dati — vārdi, e-pasti, lietotājvārdi — bez finanšu vai identitātei kritiskiem laukiem.
6Identitātei kritiski personas dati (personas kodi, dzīvesvietas adreses, dzimšanas datumi) vai nepubliski iekšējie uzņēmuma dati.
8Finanšu konta dati, veselības dati vai autentifikācijas noslēpumi (paroles, privātās atslēgas, sesijas žetoni).
10Dati, kas ļauj veikt plaša mēroga identitātes zādzību, valsts drošībai nozīmīgi materiāli vai dzīvībai kritiski svarīgi ieraksti.

Noteikums. Šī dimensija attiecas tikai uz datiem. Tīrs pieejamības incidents šeit saņem 0 — tas ir apzināti, nevis nepilnība: tā smagumu nes Apjoms, Ilgums, Pakalpojuma kritiskums un jo īpaši Sekas, kurām piešķirts lielākais svars tieši tāpēc, lai kaitējošu darbības pārtraukumu neierobežotu dimensija, kas uz to nemaz nevar attiekties.

Vērtējumi starp atsauces punktiem tiek interpolēti; ja pierādījumu maz, redaktori un izpētes asistents ir instruēti noapaļot uz leju.

Ilgumssvars 10%

Cik ilgi turpinājās datu pieejamība, darbības traucējumi vai uzbrucēja piekļuve.

0Acumirklīgs, vai novērsts pirms jebkādas noplūdes vai traucējuma.
2Mazāk par diennakti — dažas stundas ilgi traucējumi vai piekļuve.
4Vairākas dienas.
6Vairākas nedēļas.
8Vairāki mēneši.
10Gads vai ilgāk nepamanītas piekļuves, vai noplūde, kuras sākuma datumu nevar noteikt.

Noteikums. Mēri, cik ilgi turpinājās kaitējums, nevis cik ilga bija reaģēšana. Izmeklēšana, ekspertīze un sistēmu atjaunošana pēc tam, kad incidents jau ir ierobežots, ilgumu nepagarina; toties to pagarina pakalpojums, kas visu šo darbu laiku palika nepieejams.

Vērtējumi starp atsauces punktiem tiek interpolēti; ja pierādījumu maz, redaktori un izpētes asistents ir instruēti noapaļot uz leju.

Uzbrucēja nolūkssvars 10%

Pierādījumi par mērķtiecību, noturību vai koordināciju.

0Nav uzbrucēja — tīrs nejaušības gadījums, iekšēja kļūda vai netīša nepareiza konfigurācija bez ārēja dalībnieka.
2Izdevības meklēšana vai automatizēta izmantošana bez pierādījumiem, ka process turpinājies cilvēka vadībā.
4Viens izdevības uzbrucējs, kas pēc piekļuves iegūšanas veicis dažas manuālas darbības (pārlūkošana, neliela datu izgūšana).
6Apzināts, mērķēts uzbrukums konkrētajai organizācijai ar skaidru izlūkošanu vai pielāgotu tehniku.
8Ilgstoša, noturīga piekļuve ar pretkriminālistikas darbībām (žurnālu dzēšana, aizmugures durvis) vai koordinācija starp vairākiem mērķiem.
10Attiecināts uz organizētu grupu (ar valsti saistīts APT, izpirkuma programmatūras kartelis, haktīvistu koalīcija), kas veic koordinētu daudzmērķu kampaņu.

Noteikums. Nolūks raksturo uzbrucēju, nevis nodarīto kaitējumu. Izsmalcināts, ar valsti saistīts uzbrucējs, kurš panācis ļoti maz, šeit saņem augstu vērtējumu un visur citur — zemu; tā arī iecerēts: šī dimensija ir desmitdaļas svara modifikators, nevis smaguma galvenais faktors.

Vērtējumi starp atsauces punktiem tiek interpolēti; ja pierādījumu maz, redaktori un izpētes asistents ir instruēti noapaļot uz leju.

Pakalpojuma kritiskumssvars 15%

Cik svarīgs sabiedrībai ir skartais pakalpojums.

0Hobija projekts, personiska mājaslapa vai pilnībā nebūtisks pakalpojums.
2Neliels privāts uzņēmums bez publiska pakalpojuma funkcijas.
4Nozīmīgs privātā sektora pakalpojums (liels mazumtirgotājs, reģionāls darba devējs) vai neliels sabiedrībai pieejams pašvaldības pakalpojums.
6Valsts mērogā izmantots privāts pakalpojums (liela banka, telekomunikāciju vai komunālais uzņēmums) vai parasta valsts iestāde.
8Galvenā valsts iestāde — nodokļu administrācija, valsts iedzīvotāju reģistrs, veselības aprūpes sistēma, kritiskās infrastruktūras operators.
10Pakalpojums, kura darbības pārtraukums tieši apdraud dzīvību, valsts drošību vai valsts funkcionēšanu (elektrotīkls, ārkārtas dienesti, valsts aizsardzība).

Noteikums. Vērtē pakalpojumu, kas patiešām tika skarts, nevis to, cik nozīmīga ir organizācija, kurai tas pieder. Kritiska operatora mārketinga vietne nav kritisks pakalpojums; tā e-paraksta platforma — ir. Šī dimensija neko neizsaka par to, cik smagi pakalpojums tika skarts — to nes Ilgums un Sekas, tāpēc stunda un mēnesis dīkstāves šeit saņem vienādu vērtējumu un atšķiras tur.

Vērtējumi starp atsauces punktiem tiek interpolēti; ja pierādījumu maz, redaktori un izpētes asistents ir instruēti noapaļot uz leju.

Sekassvars 25%

Darbības, juridiskās, finansiālās un sabiedriskās sekas.

0Nav manāmu seku papildus tehniskajam labojumam.
2Tikai iekšēja novēršana (uzstādīts labojums, ieteikums mainīt paroles) vai īslaicīgas neērtības, kurās nekas nepalika tāds, ko nevarētu izdarīt vēlāk.
4Publisks paziņojums vai atvainošanās, uzsākta regulatora pārbaude vai traucējums, kas cilvēkiem vai organizācijai izmērāmi maksāja laiku vai naudu.
6Regulatora sods, tiesas prāva, dokumentēta krāpšana vai identitātes ļaunprātīga izmantošana pret skartajiem cilvēkiem, vai vairāku dienu ilgs tāda pakalpojuma zudums, no kura cilvēki ir atkarīgi.
8Vadītāju atkāpšanās, kriminālvajāšana, soda vai zaudējumu apmērs, kas pats par sevi ir ziņu vērts, vai kaitējums, ko skartie cilvēki nevar vērst atpakaļ (neatgriezeniski atklāti identitātes dati, iznīcināti ieraksti).
10Sistēmiskas sekas — valdības līmeņa iejaukšanās, valsts politikas vai tiesību aktu izmaiņas, apdraudējums dzīvībai vai fiziskai drošībai, vai ilgstoša sabiedrības uzticības maiņa nozarei.

Noteikums. Vērtē to, kas pierādāmi sekoja, nevis to, kas būtu varējis sekot. Plašs aptvērums bez izmērāma iznākuma pieder šīs skalas apakšai. Atskaites punkti ir apzināti neitrāli attiecībā uz to, vai kaitējums nāk no datiem vai no darbības traucējuma, tāpēc pārtraukums, kas cilvēkiem patiešām kaut ko maksāja, var sasniegt tikpat augstu vērtējumu kā datu noplūde — bet skaļš pārtraukums, kas nemaksāja neko, nevar.

Vērtējumi starp atsauces punktiem tiek interpolēti; ja pierādījumu maz, redaktori un izpētes asistents ir instruēti noapaļot uz leju.

Piemērs

Ilustratīvs incidents — nevis reāls ieraksts — novērtēts pēc iepriekš minētās kritēriju sistēmas, lai parādītu, kā apvienojas seši rādītāji.

RādītājsVērtējumsSvarsIeguldījums
Apjoms 6/10 20% 12.0
Datu jutīgums 8/10 20% 16.0
Ilgums 4/10 10% 4.0
Uzbrucēja nolūks 6/10 10% 6.0
Pakalpojuma kritiskums 8/10 15% 12.0
Sekas 6/10 25% 15.0
Nozīmīguma vērtējums65 / 100

Ko vērtējums nedara

  • Tas nepieņem faktus, kurus avoti neapstiprina. Nezināmām vērtībām tiek piešķirti piesardzīgi vērtējumi, un apgalvojumi paliek attiecīgi apzīmēti.
  • Tas neatalgo par spektakularitāti. Skaļš, bet īslaicīgs darbības traucējums ierindojas zemāk par klusu incidentu ar ilgstošām sekām — un svari jau vienreiz tika pārskatīti, kad stundu ilgs pakalpojumatteices uzbrukums valsts portālam ieguva vērtējumu, kas gandrīz līdzinājās izspiedējvīrusa incidentam ar desmitiem tūkstošu cilvēku identitātes datiem.
  • Tas nevērtē organizāciju. Nozīmīgumu vērtē caur patiesi skarto pakalpojumu un tikai kā modifikatoru — neliels incidents lielā iestādē paliek neliels incidents.
  • Tas neļauj vienam rādītājam paaugstināt citu — katrs no sešiem tiek vērtēts pēc saviem atsauces punktiem neatkarīgi, un tikai beigās tiek apvienots ar tam publicēto svaru.
  • Tas neuzskata MI sagatavotu vērtējumu par galīgu. Izpētes asistents vērtē pēc tieši tās pašas šajā lapā publicētās kritēriju sistēmas, taču katru melnrakstu pirms publicēšanas pārskata un var labot cilvēks redaktors.
  • Tas tiek pārskatīts, kad spēcīgāki pierādījumi maina pamatā esošo ierakstu. Datubāzes laika zīmogs katram ierakstam padara šīs izmaiņas redzamas.

Ziņot par trūkstošu incidentu

Zināt par kiberincidentu, kas skāris Latviju un vēl nav reģistrā?