Регламент реагирования на инциденты: что в нём писать

Зачем он нужен отдельно от акта

Акт работодателя говорит работнику: заметил подозрительное — сообщи. Регламент отвечает на следующий вопрос: сообщил, и что дальше.

В момент инцидента времени разбираться нет, а решения принимаются дорогие: отключать ли систему, останавливать ли работу, уведомлять ли уполномоченный орган. Всё это должно быть решено заранее.

Что считать инцидентом

Перечень должен быть конкретным, иначе им не пользуются. Хороший критерий: если сотрудник может спутать, инцидент это или нет, формулировка плохая.

• письмо с данными отправлено не тому получателю;
• утерян или похищен ноутбук, телефон, флешка с рабочими данными;
• скомпрометирован пароль от рабочей системы;
• обнаружено вредоносное программное обеспечение;
• зафиксирован вход в систему из необычного места или в нерабочее время;
• обнаружены данные компании в открытом доступе;
• поступил звонок или сообщение от имени руководителя с просьбой об оплате;
• подрядчик сообщил об утечке на своей стороне.

Сроки, которые задаёт закон

Это единственная часть регламента, где сроки не на ваше усмотрение.

• нарушение безопасности персональных данных — уведомить уполномоченный орган в течение одного рабочего дня с момента обнаружения;
• блокирование или уничтожение данных по требованию субъекта — один рабочий день;
• ответ на отзыв согласия — пятнадцать рабочих дней;
• возражение против автоматизированной обработки — три рабочих дня.

Срок 72 часа, который встречается в шаблонах, — это европейский регламент. В Казахстане один рабочий день, и отсчёт идёт от обнаружения, а не от момента, когда разобрались в причинах.

Роли: кто что делает

1. 1ОбнаружившийСообщает ответственному и непосредственному руководителю. Не выключает устройство, не удаляет письма и файлы, не пытается чинить сам.
2. 2Ответственный за кибербезопасностьФиксирует обнаружение, оценивает масштаб, принимает первичные меры по ограничению доступа, ведёт журнал.
3. 3Ответственный за обработку персональных данныхОпределяет, затронуты ли данные людей, готовит уведомление уполномоченного органа и список затронутых субъектов.
4. 4РуководительПринимает решения, влияющие на работу компании: останавливать ли системы, привлекать ли внешних специалистов, сообщать ли клиентам.
5. 5Внешний специалистЕсли своего нет — контакт должен быть в регламенте заранее, а не искаться в момент инцидента.

Первые действия: что и чего не делать

• зафиксировать дату и время обнаружения — от них считаются сроки;
• отключить затронутое устройство от сети, но не выключать его;
• сменить пароли с заведомо чистого устройства;
• не удалять журналы, письма и файлы — по ним восстанавливают картину;
• не переустанавливать систему до того, как понятна точка входа;
• определить, какие данные и чьи затронуты;
• внести запись в журнал инцидентов в тот же день.

Что написать про разбор после

Самая пропускаемая часть. Инцидент закрыт, все выдохнули, и на этом всё заканчивается — а значит повторится.

В регламенте стоит зафиксировать: в течение скольких дней после закрытия проводится разбор, кто участвует, что фиксируется письменно и кто отвечает за изменения. Результат разбора попадает в чек-лист внутреннего контроля.

Частая ошибка

Регламент, написанный под организацию с дежурной сменой и круглосуточным центром мониторинга, в компании на тридцать человек не применяется ни разу. Пишите под тех, кто реально будет действовать: чаще всего это один человек, который параллельно занимается чем-то ещё.

Частые вопросы