Stručně: Seznam IT nouzových kontaktů uvádí pro každou roli osobu se zástupcem, dostupnost i mimo pracovní dobu, důvod, kdy je informována, a údaje, které je při hovoru nutné mít po ruce. Je k dispozici vytištěný i na odděleném zařízení, pravidelně se testuje a obsahuje i úřady s oznamovacími lhůtami. V krizi se tak neztrácí čas hledáním.
Číslo, které nikdo nemá
Páteční večer, e-shop ukazuje podivná přesměrování, administrátor má podezření. Co teď? Zavolat poskytovateli hostingu, ale které číslo platí mimo pracovní dobu a jaké zákaznické číslo je potřeba? Agentuře, ale kdo tam má přístup k serveru? Pojišťovně, ale kde je číslo smlouvy? A kdo rozhodne, zda e-shop půjde offline?
Takové okamžiky zná mnoho firem a týden s PHP2Shell je znásobil. Krizový plán v ideálním případě existuje, ale kontaktní seznam v něm bývá nejslabším článkem: zastaralý, neúplný nebo uložený jen digitálně právě na tom systému, který je zrovna nedostupný. Jak je plán uspořádán jako celek, popisuje Vytvoření IT krizového plánu pro webové servery. Zde jde o samotný seznam.
Kdo patří na seznam nouzových kontaktů?
Následující tabulka řadí typické kontakty podle důvodu, kdy jsou informovány, a uvádí, co mít při prvním kontaktu po ruce.
| Kontakt | Kdy informovat | Co mít po ruce |
|---|---|---|
| Vedení krizové situace (často vedení firmy) | při každém podezření na incident | stručná situace, první posouzení |
| Odpovědní za IT a administrátoři | ihned, k technické kontrole | dotčené systémy podle inventáře |
| Poskytovatel hostingu (nouzový kanál) | při podezření na serveru, kvůli odstavení nebo logům | zákaznické číslo, číslo smlouvy, heslo pro podporu |
| Agentura nebo vývojář | pokud je dotčena aplikace | název projektu, přístupy, kontaktní osoba |
| Dodavatel IT bezpečnosti | při potvrzeném nebo pravděpodobném průniku | dosavadní pozorování, časové údaje |
| Pověřenec pro ochranu osobních údajů | jakmile mohou být dotčeny osobní údaje | druhy údajů, období, systémy |
| Kyberpojištění | podle podmínek pojistky, většinou brzy | číslo pojistky, cesta k hlášení škody |
| Právní poradenství | při oznamovacích povinnostech, vydírání, otázkách odpovědnosti | stav věci, dosavadní kroky |
| Dozorový úřad pro ochranu osobních údajů | při oznamované havárii dat, pokud možno do 72 hodin | údaje podle čl. 33 odst. 3 GDPR |
| Ústřední kontaktní místo pro kybernetickou kriminalitu (ZAC) | při oznámení trestného činu | důkazy, časová osa |
| BSI | při oznamovací povinnosti podle NIS2 | podle pokynů BSI |
| Komunikace | před každou informací navenek | odsouhlasená fakta |
Příslušné ústřední kontaktní místo pro kybernetickou kriminalitu (ZAC) najdete přes policii vaší spolkové země; jak oznámení probíhá, popisuje Podat trestní oznámení: ústřední kontaktní místa pro kybernetickou kriminalitu. Jaké lhůty a povinnosti pojišťovny typicky stanovují, popisuje Kyberpojištění: na čem záleží při škodní události.
Co musí obsahovat každý záznam
Jméno a telefonní číslo nestačí. Úplný záznam odpoví na šest otázek:
- Role: Za co je osoba odpovědná, o čem smí rozhodovat?
- Jméno a zástupce: Kdo zaskočí, když první osoba není k zastižení?
- Dostupnost: Telefon, i mobilní, a druhá cesta. Platí číslo i v noci a o víkendu?
- Spouštěč: Při jaké události je tato osoba informována?
- Legitimace: Zákaznické číslo, číslo smlouvy, heslo pro podporu, aby hovor neztroskotal na ověření totožnosti.
- Stav: Kdy byl záznam naposledy zkontrolován?
Zvlášť bod 5 se často podceňuje. Poskytovatelé hostingu a registrátoři po telefonu ověřují, zda je volající oprávněn, a právem. Kdo musí teprve hledat zákaznické heslo, ztrácí cenný čas. Tyto údaje uchovávejte bezpečně, ale tak, aby k nim mělo vedení krizové situace v krizi přístup.
Telefonní čísla dodavatelů přebírejte ze smlouvy nebo z oficiálního webu, nikdy z e-mailu. Podvodníci rádi využívají známé bezpečnostní situace pro falešné zprávy s „nouzovými čísly“.
Pořadí v krizi
Ne všechny kontakty jsou potřeba současně. Osvědčil se postup po stupních: Nejdřív vedení krizové situace a technika, aby vzniklo první posouzení a mohlo se rozhodnout o omezení škod. Poté poskytovatel hostingu, agentura a dodavatel bezpečnosti pro technickou práci. Jakmile mohou být dotčeny osobní údaje, pověřenec pro ochranu osobních údajů, protože od okamžiku, kdy se o havárii dat dozvíte, běží lhůta podle čl. 33 GDPR. Pojišťovna a právní poradenství následují brzy, dříve než padnou důležitá rozhodnutí. Komunikace navenek přichází jako poslední a jen s odsouhlasenými fakty.
Jaké kroky následují po prvním poplachu, shrnuje Kontrolní seznam po napadení. Tato stránka podává obecné pokyny; oznamovací povinnosti a právní otázky ujasněte s pověřencem pro ochranu osobních údajů a právníkem.
Počítejte také s druhou komunikační cestou. Je-li dotčen poštovní server nebo existuje podezření, že útočník čte interní schránky, mělo by se koordinovat přes oddělený kanál, například telefonicky nebo přes předem zřízenou skupinu na jiné službě. Tento kanál určete předem a zařaďte ho do seznamu. Hledat novou cestu až v krizi stojí čas a vyvolává nejistotu, která zpráva je pravá.
Udržovat seznam živý
Kontaktní seznamy zastarávají nenápadně. Zaměstnanci se mění, dodavatelé mění nouzová čísla, smlouvy končí. Naplánujte proto dva pevné kontrolní termíny ročně a jeden mimořádný při každé změně. Krátký zkušební hovor mimo pracovní dobu nejspolehlivěji ukáže, zda nouzový kanál skutečně funguje. Zeptejte se přitom, zda osoba ví, že je na seznamu, a co se od ní v krizi očekává.
Jak konkrétně pomáhá PHP SOS?
- Společně s vámi sestavíme seznam technických nouzových kontaktů a ověříme, zda poskytovatelé hostingu a agentury skutečně mají nouzový kanál.
- Stanovíme, jaké údaje musí být u každého kontaktu připraveny, aby měl hovor okamžitý účinek.
- Doprovodíme zkušební běh poplachu a mezery zapracujeme do vašich podkladů.
- V krizi jsme na vašem seznamu jako technický kontakt prostřednictvím reakce na incidenty.
Závěr: Dobrý kontaktní seznam je krátký, úplný a otestovaný. Rozhoduje o tom, zda první hodiny incidentu uplynou jednáním, nebo hledáním.
Časté dotazy
Kdo patří na seznam IT nouzových kontaktů?
Interně vedení firmy, IT, pověřenec pro ochranu osobních údajů a komunikace, externě poskytovatel hostingu, agentura, dodavatel IT bezpečnosti, kyberpojištění, právní poradenství, příslušný dozorový úřad pro ochranu osobních údajů a ústřední kontaktní místo pro kybernetickou kriminalitu (ZAC) vaší spolkové země, při povinnostech podle NIS2 navíc BSI.
Kde nouzové kontakty uchovávat?
Alespoň na dvou místech, z nichž jedno je dostupné bez vlastního IT, například vytištěné v krizové složce a na odděleném zařízení. Seznam, který leží jen v poštovní schránce nebo na dotčeném serveru, není v krizi k dispozici.
Jak často by se měl seznam kontrolovat?
Nejméně dvakrát ročně a po každé změně personálu nebo dodavatele. Krátký zkušební hovor ukáže, zda čísla platí a zda lidé vědí, že na seznamu jsou.
Musí být dozorový úřad pro ochranu osobních údajů informován vždy?
Ne při každém incidentu. Čl. 33 GDPR vyžaduje oznámení při porušení zabezpečení osobních údajů, pokud možno do 72 hodin, ledaže nepravděpodobně povede k riziku pro subjekty údajů. Posouzení provedete s pověřencem pro ochranu osobních údajů; tato stránka není právním poradenstvím.