Nacionālās kiberdrošības likums (Latvia)

Vaatimuksen kuvaus

Konstatējot kiberincidentu, subjekts nekavējoties veic visas kiberincidenta novēršanai nepieciešamās darbības, kā arī nekavējoties par kiberincidentu informē kompetento kiberincidentu novēršanas institūciju un izpilda tās sniegtos norādījumus par rīcību kiberincidenta gadījumā. Informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs kiberincidenta gadījumā nekavējoties par to informē arī kompetento valsts drošības iestādi. Ministru kabinets nosaka kārtību informēšanai par kiberincidentu un to kiberincidentu kritērijus, informācija par kuriem ir sniedzama kompetentajai kiberincidentu novēršanas institūcijai.

Kuinka täyttää vaatimus

34.(1): Incidentu novēršana un informēšana

Tehtävän nimi

Prioriteetti

Tila

Teema

Politiikka

Muut vaatimukset

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Häiriöiden hallinta

Häiriöiden hallinta ja ilmoittaminen

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

18.1.: Pranešimai apie incidentus CSIRT ir paslaugų gavėjams

NIS2 Lithuania

18.4.: Nukreipti pranešimai apie incidentus CSIRT

NIS2 Lithuania

23.1: Incident notifications to CSIRT and recipients of services

NIS2

Article 19: Reporting of major ICT-related incidents and voluntary notification of significant cyber threats

DORA

11 §: Poikkeamailmoitukset viranomaiselle

Kyberturvallisuuslaki

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Häiriöilmoitusten vaiheittainen prosessi viranomaisille

1. Tehtävän vaatimuskuvaus

Organisaatio ilmoittaa ilman viivästystä lainsäädännössä määritellylle viranomaiselle (CSIRT) merkittävästi palveluidensa tarjontaan vaikuttaneista häiriöistä.

Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:

häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia menetyksiä palveluntarjoajalle
häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa liittyville ihmisille tai muille organisaatioille

Ilmoitukset on tehtävä vaiheittain allaolevien kuvausten mukaisesti. Lisäksi häiriön ollessa käynnissä organisaation on toimitettava viranomaisen pyytämät statuspäivitykset.

Aikainen varoitus (viimeistään 24h kuluessa häiriön havaitsemisesta)

epäilläänkö syyksi laittomia toimia
voiko häiriö aiheuttaa vaikutuksia muihin maihin

Tarkempi häiriöilmoitus (viimeistään 72h kuluessa häiriön havaitsemisesta)

päivitetään aiempaa tietoa
annetaan tämänhetkinen arvio häiriöstä, sen vakavuudesta sekä vaikutuksista
listataan mahdolliset todisteet vuodon tapahtumisesta

Lopullinen raportti (viimeistään 1kk kuluessa häiriöilmoituksesta)

yksityiskohtainen kuvaus tapahtumasta, mukaan lukien sen vakavuus ja vaikutukset
uhan tyyppi tai perimmäinen syy, joka todennäköisesti laukaisi tapahtuman
sovelletut ja meneillään olevat lieventämistoimenpiteet
mahdolliset vaikutukset muihin maihin

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Kumppanihallinta

Sopimukset ja seuranta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

6.1.3: Yhteydet viranomaisiin

ISO 27001

RC.CO-1: Public relations

NIST

18.1.: Pranešimai apie incidentus CSIRT ir paslaugų gavėjams

NIS2 Lithuania

5.5: Yhteydet viranomaisiin

ISO 27001

23.1: Incident notifications to CSIRT and recipients of services

NIS2

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Yhteydenpito relevantteihin viranomaisiin

1. Tehtävän vaatimuskuvaus

Organisaatio listaa relevantit viranomaistoimijat, joihin on tärkeää pitää aktiivisesti yhteyttä sekä tarvittaessa saada yhteys nopeasti. Näitä viranomaisia ovat mm. kansallisia lakeja toimeenpanevat sekä valvontaa toteuttavat viranomaiset.

Relevantteihin viranomaisiin olisi määriteltävä selkeä yhteyshenkilö, joka toimii yhteyspisteenä organisaatioon.

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Kehitys ja digipalvelut

Teknisten haavoittuvuuksien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

12.6.1: Teknisten haavoittuvuuksien hallinta

ISO 27001

ID.RA-1: Asset vulnerabilities

NIST

PR.IP-12: Vulnerability management plan

NIST

RS.AN-5: Vulnerability management process

NIST

RS.MI-3: New vulnerability mitigation

NIST

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Tunnistettujen teknisten haavoittuvuuksien ensikäsittely

1. Tehtävän vaatimuskuvaus

Olemme määritelleet säännöt , joiden perusteella tunnistettuun haavoittuvuuteen reagoidaan. Säännöt voivat sisältää mm. seuraavat asiat:

ketkä kuuluvat quick-response tiimiin, joka on valmiina reagoimaan haavoittuvuuksiin
haavoittuvuuden paikallistava henkilö tiedottaa välittömästi koko tiimia sovittua kanavaa myöten
tiimi määrittää haavoittuvuudelle vakavuuden (matala, keskiverto, korkea) ennaltamääriteltyjen kriteerien perusteella
tiimi päättää, jatketaanko käsittelyä tietoturvahäiriönä (kiireellisemmin) vai yleisen muutostenhallinnan mukaisesti
haavoittuvuuden käsittelyä jatkamaan valitaan tarvittavat henkilöt

Riskialttiisiin järjestelmiin liittyvät haavoittuvuudet saavat aina korkean vakavuuden ja ne käsitellään ensimmäisinä.

Politiikkaan sisältyviä tietoturvatehtäviä

Tehtävän nimi

Prioriteetti

Tila

Teema

Politiikka

Muut vaatimukset

No items found.

Vaatimuksen kuvaus

Kuinka täyttää vaatimus