Ukratko: Popis IT kontakata za hitne slučajeve navodi za svaku ulogu osobu sa zamjenom, dostupnost i izvan radnog vremena, povod zbog kojeg se obavještava te podatke koje treba imati pri ruci prilikom poziva. Ispisan je i pohranjen na zasebnom uređaju, redovito se testira i sadrži i tijela s rokovima za prijavu. Tako u kritičnom trenutku ne ode vrijeme na traženje.
Broj koji nitko nema
Petak navečer, shop prikazuje čudna preusmjeravanja, administrator ima sumnju. Što sada? Nazvati pružatelja hostinga, ali koji broj vrijedi izvan radnog vremena i koji je korisnički broj potreban? Agenciju, ali tko tamo ima pristup poslužitelju? Osiguranje, ali gdje je broj police? I tko odlučuje hoće li shop otići s mreže?
Takve trenutke poznaju mnoge tvrtke, a tjedan PHP2Shella umnožio ih je. Plan za hitne slučajeve u idealnom slučaju postoji, ali popis kontakata u njemu često je najslabija karika: zastario, nepotpun ili pohranjen samo digitalno upravo na sustavu koji trenutno nije dostupan. Kako je plan u cjelini građen, opisuje Izrada IT plana za hitne slučajeve za web-poslužitelje. Ovdje je riječ o samom popisu.
Tko pripada na popis kontakata za hitne slučajeve?
Sljedeća tablica razvrstava tipične kontakte prema povodu zbog kojeg se obavještavaju i navodi što treba imati pri ruci pri prvom kontaktu.
| Kontakt | Kada obavijestiti | Što imati pri ruci |
|---|---|---|
| Voditelj za hitne slučajeve (često uprava) | kod svake sumnje na incident | kratka situacija, prva procjena |
| Odgovorni za IT i administratori | odmah, za tehničku provjeru | pogođeni sustavi prema popisu |
| Pružatelj hostinga (kanal za hitne slučajeve) | kod sumnje na poslužitelju, za isključivanje ili zapise | korisnički broj, broj ugovora, lozinka za podršku |
| Agencija ili razvojni programer | ako je pogođena aplikacija | naziv projekta, pristupi, kontakt osoba |
| Pružatelj usluga IT sigurnosti | kod potvrđene ili vjerojatne provale | dosadašnja opažanja, vremena |
| Službenik za zaštitu podataka | čim bi mogli biti pogođeni osobni podaci | vrste podataka, razdoblje, sustavi |
| Kibernetičko osiguranje | prema uvjetima police, najčešće rano | broj police, put prijave štete |
| Pravno savjetovanje | kod obveza prijave, ucjene, pitanja odgovornosti | stanje stvari, dosadašnji koraci |
| Nadzorno tijelo za zaštitu podataka | kod povrede podataka koja se mora prijaviti, ako je moguće u roku od 72 sata | podaci prema čl. 33. st. 3. GDPR-a |
| Središnja kontaktna točka za kibernetički kriminal | kod podnošenja kaznene prijave | dokazi, vremenska crta |
| BSI | kod obveze prijave prema NIS2 | prema uputama BSI-ja |
| Komunikacija | prije svake informacije prema van | usuglašene činjenice |
Nadležnu središnju kontaktnu točku za kibernetički kriminal (Zentrale Ansprechstelle Cybercrime, ZAC) pronaći ćete preko policije Vaše savezne zemlje; kako teče prijava, piše u članku Podnošenje prijave: središnje kontaktne točke za kibernetički kriminal. Koje rokove i obveze osiguranja tipično postavljaju, opisuje Kibernetičko osiguranje: što se računa u slučaju štete.
Što svaki unos mora sadržavati
Ime i telefonski broj nisu dovoljni. Potpun unos odgovara na šest pitanja:
- Uloga: Za što je osoba odgovorna, što smije odlučiti?
- Ime i zamjena: Tko uskače ako prva osoba nije dostupna?
- Dostupnost: Telefon, i mobilni, te drugi put. Vrijedi li broj i noću i vikendom?
- Okidač: Kod kojeg se događaja ta osoba obavještava?
- Legitimacija: Korisnički broj, broj ugovora, lozinka za podršku, da poziv ne zapne na provjeri identiteta.
- Stanje: Kada je unos zadnji put provjeren?
Osobito se točka 5 često podcjenjuje. Pružatelji hostinga i registrari telefonom provjeravaju je li pozivatelj ovlašten, i to s pravom. Tko prvo mora tražiti korisničku lozinku, gubi dragocjeno vrijeme. Takve podatke čuvajte sigurno, ali tako da im voditelj za hitne slučajeve može pristupiti u kritičnom trenutku.
Telefonske brojeve pružatelja usluga preuzimajte iz ugovora ili službene web-stranice, nikad iz e-pošte. Prevaranti rado koriste poznate sigurnosne situacije za lažne poruke s „brojevima za hitne slučajeve“.
Redoslijed u kritičnom trenutku
Svi se kontakti ne trebaju istodobno. Pokazao se koristan postupni pristup: najprije voditelj za hitne slučajeve i tehnika, da nastane prva procjena i da se može odlučiti o obuzdavanju. Zatim pružatelj hostinga, agencija i pružatelj usluga sigurnosti za tehnički rad. Čim bi mogli biti pogođeni osobni podaci, službenik za zaštitu podataka, jer od saznanja za povredu podataka teče rok prema čl. 33. GDPR-a. Osiguranje i pravno savjetovanje slijede rano, prije nego što padnu važne odluke. Komunikacija prema van dolazi zadnja i samo s usuglašenim činjenicama.
Koji koraci slijede nakon prvog uzbunjivanja, sažima Kontrolni popis nakon hakerskog napada. Ova stranica daje opće napomene; obveze prijave i pravna pitanja razjasnite sa službenikom za zaštitu podataka i odvjetnikom.
Planirajte i drugi komunikacijski put. Ako je pogođen poštanski poslužitelj ili postoji sumnja da napadač čita interne sandučiće, usuglašavanje treba teći zasebnim kanalom, primjerice telefonom ili unaprijed postavljenom grupom na drugoj usluzi. Taj kanal odredite unaprijed i uvrstite ga na popis. Tražiti novi put u kritičnom trenutku troši vrijeme i stvara nesigurnost oko toga koja je poruka autentična.
Održavanje popisa živim
Popisi kontakata zastarijevaju tiho. Zaposlenici se mijenjaju, pružatelji usluga mijenjaju brojeve za hitne slučajeve, ugovori istječu. Zato planirajte dva čvrsta termina provjere godišnje i jedan povodni termin kod svake promjene. Kratak probni poziv izvan radnog vremena najpouzdanije pokazuje radi li kanal za hitne slučajeve doista. Pritom pitajte i zna li osoba da je na popisu i što se od nje očekuje u kritičnom trenutku.
Kako PHP SOS konkretno pomaže?
- S Vama izrađujemo popis tehničkih kontakata za hitne slučajeve i provjeravamo imaju li pružatelji hostinga i agencije doista kanal za hitne slučajeve.
- Utvrđujemo koji podaci moraju biti pri ruci uz svaki kontakt, da poziv odmah djeluje.
- Pratimo probno izvođenje uzbunjivanja i nedostatke ugrađujemo u Vašu dokumentaciju.
- U kritičnom trenutku stojimo na Vašem popisu kao tehnički kontakt putem odgovora na incidente.
Zaključak: Dobar popis kontakata je kratak, potpun i testiran. On odlučuje hoće li prvi sati incidenta proći u djelovanju ili u traženju.
Česta pitanja
Tko pripada na popis IT kontakata za hitne slučajeve?
Interno uprava, IT, službenik za zaštitu podataka i komunikacija, eksterno pružatelj hostinga, agencija, pružatelj usluga IT sigurnosti, kibernetičko osiguranje, pravno savjetovanje, nadležno nadzorno tijelo za zaštitu podataka i središnja kontaktna točka za kibernetički kriminal Vaše savezne zemlje, a uz obvezu prema NIS2 dodatno BSI.
Gdje čuvati kontakte za hitne slučajeve?
Na barem dva mjesta, od kojih je jedno dostupno bez vlastitog IT-a, primjerice ispisano u mapi za hitne slučajeve i na zasebnom uređaju. Popis koji se nalazi samo u poštanskom sandučiću ili na pogođenom poslužitelju u kritičnom trenutku nije dostupan.
Koliko često treba provjeravati popis?
Najmanje dvaput godišnje i nakon svake promjene osoblja ili pružatelja usluga. Kratak probni poziv pokazuje jesu li brojevi točni i znaju li osobe da se nalaze na popisu.
Mora li se nadzorno tijelo za zaštitu podataka uvijek obavijestiti?
Ne kod svakog incidenta. Čl. 33. GDPR-a zahtijeva prijavu povrede zaštite osobnih podataka, ako je moguće u roku od 72 sata, osim ako ona vjerojatno ne dovodi do rizika za pogođene osobe. Procjenu provodite sa službenikom za zaštitu podataka; ova stranica nije pravni savjet.