Сотрудник переслал рабочий файл на личную почту, а перед этим в его корпоративном аккаунте заметили подозрительный вход. Сменить пароль необходимо, но этого мало: кто получил доступ к аккаунту, что было в файле и могли ли пострадать персональные данные? Пока команда выясняет обстоятельства, важно сохранить следы события. От ответов зависят и технические действия, и юридические обязанности компании.
Сначала определите, что именно защищаете
Для цифрового бизнеса риск не сводится к утечке клиентской базы. Под угрозой могут оказаться исходный код, неопубликованные материалы редакции, рекламные кабинеты, договоры с правообладателями или доступ к инфраструктуре клиента. Один инцидент иногда затрагивает сразу персональные данные, договорную конфиденциальность и работу сервиса.
Составьте карту критичных систем и сведений: где они хранятся, у кого есть доступ, кто отвечает за резервные копии и какие подрядчики подключены. Отдельно отметьте данные, которые компания обрабатывает по поручению клиента. Тот, кто ведет бизнес-процесс, и оператор персональных данных не всегда одно и то же лицо. Такая карта позволит заранее распределить ответственность, а при инциденте — быстрее оценить его масштаб.
Какие нормы и обязательства проверять
Применимое право зависит от страны деятельности, местонахождения пользователей, характера данных и роли компании. Если бизнес работает в России, при обработке персональных данных прежде всего проверяют требования закона № 152-ФЗ: основания и цели обработки, состав данных, меры защиты, отношения с теми, кому поручена обработка, и правила трансграничной передачи. Требования к локализации отдельных процессов и уведомлениям оценивают с учетом конкретной модели работы.
Если неправомерная или случайная передача, предоставление, распространение персональных данных либо доступ к ним повлекли нарушение прав субъектов, закон предусматривает уведомление Роскомнадзора. Первоначальное уведомление направляют в течение 24 часов с момента выявления, сообщение о результатах внутреннего расследования — в течение 72 часов. Не каждое подозрительное техническое событие отвечает этим критериям. Но пока команда разбирается, зафиксируйте момент выявления, состав затронутых данных и основания решения об уведомлении. По другим правовым режимам и договорам сроки и порядок сообщения могут быть иными.
Проверьте также специальные требования. Для отдельных организаций значимы правила о критической информационной инфраструктуре, отраслевые стандарты и условия государственных контрактов. Договор с заказчиком может требовать сообщить об инциденте раньше, чем закон, а также определять формат отчета и порядок привлечения экспертов. Если затронуты иностранные пользователи, нужно отдельно оценить законодательство соответствующих юрисдикций.
Что должно быть готово до атаки
Доступы и технические меры
Юридический документ не заменит настройку систем. Ограничьте права сотрудников тем, что нужно им для работы; используйте многофакторную аутентификацию, вовремя отключайте учетные записи уволенных сотрудников, устанавливайте обновления и проверяйте резервные копии. Для расследования понадобятся журналы событий с разграниченным доступом и заранее определенными сроками хранения. Эти сроки устанавливают с учетом целей обработки, требований закона и необходимости защиты прав — не по принципу «пусть лежит вечно».
Роли, договоры и инструкции
Назначьте ответственного за реагирование и того, кто его заменит. IT-команде нужны полномочия изолировать систему, юристу — доступ к фактам для оценки обязанности уведомлять, руководителю — понятный порядок согласования внешних сообщений. Сотрудникам достаточно короткой инструкции: кому сообщить о подозрительном письме, потере устройства или необычной активности аккаунта и чего нельзя делать с возможными доказательствами.
В договорах с облачными провайдерами, разработчиками и другими подрядчиками проверьте:
- к каким данным и системам подрядчик получает доступ и вправе ли привлекать субподрядчиков;
- в какие сроки стороны сообщают друг другу об инциденте и какие сведения передают;
- кто сохраняет журналы событий, помогает в расследовании и оплачивает согласованные работы;
- как восстанавливают сервис и что происходит с данными после прекращения договора.
Обещание «полной безопасности» не заменяет согласованных процедур. Если подрядчик не может предоставить журналы или вовремя сообщить о проблеме, заказчику сложнее выполнить собственные обязанности.
Первые часы после обнаружения
Локализацию и расследование нужно вести параллельно, но не смешивать. Скомпрометированную учетную запись, возможно, придется заблокировать сразу. А вот перед переустановкой сервера или удалением писем сохраните доступные доказательства. Записывайте время событий с указанием часового пояса, действия участников и источник каждого вывода. Исходные файлы журналов храните с ограниченным доступом; выгрузки с персональными данными не пересылайте в общий чат.
- Подтвердите событие. Определите затронутые системы и учетные записи, отделите установленные факты от предположений.
- Ограничьте распространение. Отзовите доступы, изолируйте узлы или токены, учитывая риск остановки критичного сервиса.
- Оцените данные и обязанности. Установите категории сведений, число затронутых лиц, роли участников и сроки применимых уведомлений.
- Согласуйте сообщения. Информируйте регуляторов, клиентов и пользователей, когда это требуется. Не утверждайте, что утечки не было, пока не проверили факты.
- Зафиксируйте восстановление. Перед возвратом системы в работу проверьте резервные копии и выясните причину инцидента.
При компрометации аккаунта редактора одного факта постороннего входа недостаточно для оценки последствий. Проверьте, скачивали ли неопубликованные материалы, меняли ли публикации, получили ли доступ к данным подписчиков. От этого зависит, кого нужно известить и какие меры принять.
После восстановления: проверка решений
Разбирая инцидент, не сводите причину к ошибке одного сотрудника. Выясните, какая настройка или процедура позволила событию развиться, какие уведомления направили и почему, что пообещали клиентам. Если затронут сервис заказчика, согласуйте с ним факты до публичного заявления. При этом не откладывайте сообщения, которые компания обязана направить самостоятельно.
Итогом разбора должна стать обновленная карточка инцидента: контакты ответственных, сроки уведомлений по каждому договору и место хранения журналов. Проверьте ее на простом сценарии: кто получит сообщение о подозрительном входе в пятницу вечером и сможет ли сразу найти нужные журналы?
Материал не заменяет индивидуальную юридическую консультацию: конкретные обязанности зависят от затронутых данных, договоров и применимого права.