Trumpai: IT avarinių kontaktų sąraše kiekvienam vaidmeniui nurodomas asmuo su pavaduotoju, pasiekiamumas ir ne darbo metu, priežastis, dėl kurios jis informuojamas, ir duomenys, kuriuos skambinant reikia turėti paruoštus. Sąrašas laikomas atspausdintas ir atskirame įrenginyje, reguliariai tikrinamas ir apima ir institucijas su pranešimo terminais. Taip kritiniu atveju laikas neprarandamas ieškant.
Numeris, kurio niekas neturi
Penktadienio vakaras, parduotuvė rodo keistus nukreipimus, administratorius įtaria. Ką daryti dabar? Skambinti hostingo teikėjui, bet kuris numeris galioja ne darbo metu ir kokio kliento numerio reikia? Agentūrai, bet kas ten turi prieigą prie serverio? Draudikui, bet kur parašytas poliso numeris? O kas nusprendžia, ar parduotuvė atjungiama nuo tinklo?
Tokius momentus pažįsta daugelis įmonių, o PHP2Shell savaitė juos padaugino. Geriausiu atveju avarinis planas yra, bet jame esantis kontaktų sąrašas dažnai yra silpniausia grandis: pasenęs, nepilnas arba saugomas tik skaitmeniškai toje sistemoje, kuri kaip tik dabar neprieinama. Kaip sudaromas planas apskritai, aprašyta skyriuje Žiniatinklio serverių IT avarinio plano sudarymas. Čia kalbama apie patį sąrašą.
Kas turi būti avarinių kontaktų sąraše?
Toliau pateiktoje lentelėje tipiniai kontaktai išdėstyti pagal priežastį, dėl kurios jie informuojami, ir nurodyta, ką verta turėti paruošus pirmam kontaktui.
| Kontaktas | Kada informuoti | Ką turėti paruošus |
|---|---|---|
| Avarinė vadovybė (dažnai direktorius) | įtarus bet kokį incidentą | trumpa situacija, pirmas vertinimas |
| IT atsakingieji ir administratoriai | nedelsiant, techninei patikrai | paveiktos sistemos pagal inventorių |
| Hostingo teikėjas (avarinis kanalas) | įtarus problemą serveryje, norint išjungti ar gauti žurnalus | kliento numeris, sutarties numeris, palaikymo slaptažodis |
| Agentūra ar kūrėjas | jei paveikta programa | projekto pavadinimas, prieigos, kontaktinis asmuo |
| IT saugumo paslaugų teikėjas | patvirtinus arba tikėtinai įvykus įsilaužimui | iki šiol pastebėta, laikai |
| Duomenų apsaugos pareigūnas | kai tik gali būti paveikti asmens duomenys | duomenų rūšys, laikotarpis, sistemos |
| Kibernetinio draudimo bendrovė | pagal poliso reikalavimus, dažniausiai anksti | poliso numeris, žalos pranešimo kelias |
| Teisinis konsultantas | esant pranešimo pareigoms, šantažui, atsakomybės klausimams | faktinė padėtis, iki šiol atlikti žingsniai |
| Duomenų apsaugos priežiūros institucija | esant pranešti privalomam duomenų pažeidimui, jei įmanoma, per 72 valandas | duomenys pagal BDAR 33 str. 3 d. |
| Kibernetinių nusikaltimų centrinis kontaktinis punktas (ZAC) | pateikiant pranešimą apie nusikalstamą veiką | įrodymai, laiko juosta |
| BSI | esant pranešimo pareigai pagal NIS2 | pagal BSI reikalavimus |
| Komunikacija | prieš bet kokią informaciją išorei | suderinti faktai |
Kompetentingą Kibernetinių nusikaltimų centrinį kontaktinį punktą (ZAC, Zentrale Ansprechstelle Cybercrime) rasite per savo federalinės žemės policiją; kaip vyksta pranešimas, aprašyta skyriuje Pranešimas policijai: Kibernetinių nusikaltimų centriniai kontaktiniai punktai. BSI yra Vokietijos federalinė informacijos saugumo tarnyba. Kokius terminus ir pareigas draudikai paprastai nustato, aprašyta skyriuje Kibernetinis draudimas: kas svarbu žalos atveju.
Ką turi apimti kiekvienas įrašas
Vardo ir telefono numerio nepakanka. Išsamus įrašas atsako į šešis klausimus:
- Vaidmuo: už ką asmuo atsakingas, ką jis gali spręsti?
- Vardas ir pavaduotojas: kas pavaduoja, jei pirmojo asmens nepavyksta pasiekti?
- Pasiekiamumas: telefonas, taip pat mobilusis, ir antras kelias. Ar numeris galioja ir naktį bei savaitgaliais?
- Aktyvavimo priežastis: dėl kokio įvykio šis asmuo informuojamas?
- Tapatybės patvirtinimas: kliento numeris, sutarties numeris, palaikymo slaptažodis, kad skambutis nesuklystų ties tapatybės patikra.
- Būsena: kada įrašas paskutinį kartą tikrintas?
Ypač 5 punktas dažnai nuvertinamas. Hostingo teikėjai ir registratoriai telefonu tikrina, ar skambinantysis turi teisę, ir daro tai teisėtai. Kas pirmiausia turi ieškoti kliento slaptažodžio, praranda brangaus laiko. Tokius duomenis saugokite saugiai, bet taip, kad avarinė vadovybė kritiniu atveju galėtų jais pasinaudoti.
Paslaugų teikėjų telefono numerius imkite iš sutarties ar oficialios svetainės, niekada ne iš el. laiško. Sukčiai mielai naudojasi žinomomis saugumo situacijomis, kad siųstų suklastotus pranešimus su „avariniais numeriais“.
Eilės tvarka kritiniu atveju
Ne visų kontaktų reikia vienu metu. Pasiteisino laipsniškas veikimas: pirmiausia avarinė vadovybė ir technika, kad susidarytų pirmas vertinimas ir būtų galima nuspręsti dėl sulaikymo. Po to hostingo teikėjas, agentūra ir saugumo paslaugų teikėjas techniniam darbui. Kai tik gali būti paveikti asmens duomenys, duomenų apsaugos pareigūnas, nes nuo sužinojimo apie duomenų pažeidimą teka BDAR 33 str. terminas. Draudikas ir teisinis konsultantas įtraukiami anksti, prieš priimant svarbius sprendimus. Komunikacija išorei – paskutinė ir tik su suderintais faktais.
Kokie žingsniai seka po pirmo pavojaus signalo, apibendrina kontrolinis sąrašas po įsilaužimo. Šis puslapis pateikia bendro pobūdžio nurodymus; pranešimo pareigas ir teisinius klausimus išsiaiškinkite su duomenų apsaugos pareigūnu ir advokatu.
Numatykite ir antrą komunikacijos kelią. Jei paveiktas pašto serveris arba įtariama, kad užpuolikas skaito vidines pašto dėžutes, derinimas turėtų vykti atskiru kanalu, pavyzdžiui, telefonu arba iš anksto sukurta grupe kitoje paslaugoje. Šį kanalą nustatykite iš anksto ir įtraukite jį į sąrašą. Kritiniu atveju ieškoti naujo kelio atima laiką ir sukelia netikrumą, kuris pranešimas tikras.
Sąrašą išlaikyti gyvą
Kontaktų sąrašai pasensta tyliai. Darbuotojai keičiasi, paslaugų teikėjai keičia avarinius numerius, sutartys baigiasi. Todėl suplanuokite du pastovius tikrinimo terminus per metus ir papildomą terminą po kiekvieno pasikeitimo. Trumpas bandomasis skambutis ne darbo metu patikimiausiai parodo, ar avarinis kanalas iš tikrųjų veikia. Tuo metu pasiteiraukite, ar asmuo žino, kad yra sąraše, ir ko iš jo tikimasi kritiniu atveju.
Kaip PHP SOS padeda konkrečiai?
- Kartu su jumis sudarome techninių avarinių kontaktų sąrašą ir patikriname, ar hostingo teikėjai ir agentūros iš tiesų turi avarinį kanalą.
- Nustatome, kokie duomenys kiekvienam kontaktui turi būti paruošti, kad skambutis iškart duotų rezultatą.
- Lydime aliarmo bandomąjį paleidimą ir spragas įtraukiame į jūsų dokumentus.
- Kritiniu atveju esame jūsų sąraše kaip techninis kontaktinis asmuo per Incident Response.
Išvada: geras kontaktų sąrašas yra trumpas, išsamus ir išbandytas. Nuo jo priklauso, ar pirmosios incidento valandos praeis veikiant, ar ieškant.
Dažni klausimai
Kas turi būti IT avarinių kontaktų sąraše?
Įmonėje – vadovybė, IT, duomenų apsaugos pareigūnas ir komunikacija; išorėje – hostingo teikėjas, agentūra, IT saugumo paslaugų teikėjas, kibernetinio draudimo bendrovė, teisinis konsultantas, kompetentinga duomenų apsaugos priežiūros institucija ir jūsų federalinės žemės Kibernetinių nusikaltimų centrinis kontaktinis punktas (ZAC), o jei taikoma NIS2 pareiga, papildomai BSI.
Kur saugoti avarinius kontaktus?
Bent dviejose vietose, iš kurių viena pasiekiama be savo IT, pavyzdžiui, atspausdinta avariniame segtuve ir atskirame įrenginyje. Sąrašas, esantis tik pašto dėžutėje ar paveiktame serveryje, kritiniu atveju neprieinamas.
Kaip dažnai sąrašą reikėtų tikrinti?
Bent du kartus per metus ir po kiekvieno darbuotojų ar paslaugų teikėjų pasikeitimo. Trumpas bandomasis skambutis parodo, ar numeriai teisingi ir ar asmenys žino, kad yra sąraše.
Ar duomenų apsaugos priežiūros institucija turi būti informuojama visada?
Ne kiekvieno incidento atveju. BDAR 33 str. reikalauja pranešti apie asmens duomenų saugumo pažeidimą, jei įmanoma, per 72 valandas, nebent pažeidimas greičiausiai nekelia pavojaus duomenų subjektams. Vertinimą atliekate kartu su duomenų apsaugos pareigūnu; šis puslapis nėra teisinė konsultacija.