Krótko: Lista awaryjnych kontaktów IT podaje dla każdej roli osobę wraz z zastępcą, dostępność także poza godzinami pracy, powód, dla którego osoba jest informowana, oraz dane, które trzeba mieć pod ręką podczas rozmowy. Leży wydrukowana i na oddzielnym urządzeniu, jest regularnie testowana i zawiera także organy z terminami zgłoszeń. Dzięki temu w razie awarii nie ucieka czas na szukanie.
Numer, którego nikt nie ma
Piątkowy wieczór, sklep pokazuje dziwne przekierowania, administrator ma podejrzenie. Co teraz? Zadzwonić do firmy hostingowej, ale który numer obowiązuje poza godzinami pracy i jakiego numeru klienta trzeba? Do agencji, ale kto tam ma dostęp do serwera? Do ubezpieczyciela, ale gdzie jest numer polisy? I kto decyduje, czy sklep zostanie odłączony od sieci?
Wiele firm zna takie chwile, a tydzień PHP2Shell je pomnożył. Plan awaryjny w idealnym przypadku istnieje, ale zawarta w nim lista kontaktów bywa najsłabszym ogniwem: nieaktualna, niekompletna albo zapisana wyłącznie cyfrowo w tym systemie, który akurat jest niedostępny. Jak zbudowany jest plan jako całość, opisuje artykuł Jak sporządzić plan awaryjny IT dla serwerów WWW. Tutaj chodzi o samą listę.
Kto należy do listy kontaktów awaryjnych?
Poniższa tabela porządkuje typowe kontakty według powodu, dla którego są informowane, i podaje, co warto mieć pod ręką przy pierwszym kontakcie.
| Kontakt | Kiedy informować | Co mieć pod ręką |
|---|---|---|
| Kierownictwo awaryjne (często zarząd) | przy każdym podejrzeniu incydentu | krótki opis sytuacji, pierwsza ocena |
| Osoby odpowiedzialne za IT i administratorzy | natychmiast, do kontroli technicznej | dotknięte systemy według inwentarza |
| Firma hostingowa (kanał awaryjny) | przy podejrzeniu na serwerze, w celu wyłączenia lub udostępnienia logów | numer klienta, numer umowy, hasło do wsparcia |
| Agencja lub programista | gdy dotknięta jest aplikacja | nazwa projektu, dostępy, osoba kontaktowa |
| Usługodawca w zakresie bezpieczeństwa IT | przy potwierdzonym lub prawdopodobnym włamaniu | dotychczasowe obserwacje, czasy zdarzeń |
| Inspektor ochrony danych | gdy tylko mogą być dotknięte dane osobowe | rodzaje danych, okres, systemy |
| Ubezpieczenie cyber | zgodnie z postanowieniami polisy, najczęściej wcześnie | numer polisy, droga zgłoszenia szkody |
| Doradztwo prawne | przy obowiązkach zgłoszeniowych, wymuszeniu, kwestiach odpowiedzialności | stan sprawy, dotychczasowe kroki |
| Organ nadzorczy ds. ochrony danych | przy naruszeniu podlegającym zgłoszeniu, w miarę możliwości w ciągu 72 godzin | dane zgodnie z art. 33 ust. 3 RODO |
| Centralny Punkt Kontaktowy ds. cyberprzestępczości (ZAC) | przy zawiadomieniu o przestępstwie | dowody, oś czasu |
| BSI | przy obowiązku zgłoszenia według NIS2 | zgodnie z wytycznymi BSI |
| Komunikacja | przed każdą informacją na zewnątrz | uzgodnione fakty |
Właściwy Centralny Punkt Kontaktowy ds. cyberprzestępczości (ZAC) znajdą Państwo przez policję swojego kraju związkowego w Niemczech; jak przebiega zawiadomienie, opisuje artykuł Złożenie zawiadomienia: centralne punkty kontaktowe ds. cyberprzestępczości. Jakie terminy i obowiązki zwykle narzucają ubezpieczenia, opisuje artykuł Ubezpieczenie cyber: co liczy się w razie szkody.
Co musi zawierać każdy wpis
Nazwisko i numer telefonu nie wystarczą. Kompletny wpis odpowiada na sześć pytań:
- Rola: Za co odpowiada osoba, o czym może decydować?
- Nazwisko i zastępca: Kto wchodzi w zastępstwo, gdy pierwsza osoba jest nieosiągalna?
- Dostępność: Telefon, także komórkowy, i druga droga. Czy numer obowiązuje także w nocy i w weekend?
- Wyzwalacz: Przy jakim zdarzeniu ta osoba jest informowana?
- Legitymacja: Numer klienta, numer umowy, hasło do wsparcia, aby rozmowa nie utknęła na weryfikacji tożsamości.
- Stan: Kiedy wpis był ostatnio sprawdzany?
Zwłaszcza punkt 5 jest często niedoceniany. Firmy hostingowe i rejestratorzy sprawdzają przez telefon, czy dzwoniący jest uprawniony, i słusznie. Kto musi najpierw szukać hasła klienta, traci cenny czas. Proszę przechowywać takie dane bezpiecznie, ale tak, aby kierownictwo awaryjne miało do nich dostęp w razie awarii.
Numery telefonów usługodawców proszę przepisywać z umowy lub oficjalnej strony internetowej, nigdy z wiadomości e-mail. Oszuści chętnie wykorzystują znane sytuacje związane z bezpieczeństwem do wysyłania fałszywych wiadomości z „numerami awaryjnymi”.
Kolejność w razie awarii
Nie wszystkie kontakty są potrzebne jednocześnie. Sprawdziło się postępowanie stopniowe: najpierw kierownictwo awaryjne i dział techniczny, aby powstała pierwsza ocena i można było zdecydować o powstrzymaniu zagrożenia. Potem firma hostingowa, agencja i usługodawca w zakresie bezpieczeństwa do pracy technicznej. Gdy tylko mogą być dotknięte dane osobowe, inspektor ochrony danych, ponieważ od momentu stwierdzenia naruszenia ochrony danych biegnie termin z art. 33 RODO. Ubezpieczenie i doradztwo prawne następują wcześnie, zanim zapadną ważne decyzje. Komunikacja na zewnątrz następuje na końcu i tylko z uzgodnionymi faktami.
Jakie kroki następują po pierwszym alarmie, podsumowuje lista kontrolna po włamaniu. Ta strona podaje ogólne wskazówki; obowiązki zgłoszeniowe i kwestie prawne należy wyjaśnić z inspektorem ochrony danych i adwokatem.
Proszę też zaplanować drugą drogę komunikacji. Jeśli dotknięty jest serwer poczty albo istnieje podejrzenie, że atakujący czyta wewnętrzne skrzynki, uzgodnienia powinny przebiegać oddzielnym kanałem, na przykład telefonicznie lub przez wcześniej założoną grupę w innej usłudze. Proszę ustalić ten kanał z góry i wpisać go na listę. Szukanie nowej drogi w razie awarii kosztuje czas i rodzi niepewność, która wiadomość jest prawdziwa.
Utrzymywanie listy przy życiu
Listy kontaktów starzeją się po cichu. Pracownicy się zmieniają, usługodawcy zmieniają numery awaryjne, umowy wygasają. Dlatego proszę zaplanować dwa stałe terminy kontroli w roku i termin okazjonalny przy każdej zmianie. Krótki telefon testowy poza godzinami pracy najpewniej pokazuje, czy kanał awaryjny naprawdę działa. Proszę przy tym zapytać również, czy osoba wie, że jest na liście, i czego się od niej oczekuje w razie awarii.
Jak konkretnie pomaga PHP SOS?
- Razem z Państwem sporządzamy listę technicznych kontaktów awaryjnych i sprawdzamy, czy firmy hostingowe i agencje faktycznie mają kanał awaryjny.
- Ustalamy, jakie dane muszą być pod ręką dla każdego kontaktu, aby rozmowa od razu przynosiła skutek.
- Towarzyszymy w teście alarmowania i uwzględniamy luki w Państwa dokumentach.
- W razie awarii jesteśmy na Państwa liście jako techniczna osoba kontaktowa w ramach reagowania na incydenty.
Podsumowanie: Dobra lista kontaktów jest krótka, kompletna i przetestowana. Decyduje o tym, czy pierwsze godziny incydentu upłyną na działaniu, czy na szukaniu.
Częste pytania
Kto należy do listy awaryjnych kontaktów IT?
Wewnętrznie zarząd, IT, inspektor ochrony danych i komunikacja, zewnętrznie firma hostingowa, agencja, usługodawca w zakresie bezpieczeństwa IT, ubezpieczenie cyber, doradca prawny, właściwy organ nadzorczy ds. ochrony danych oraz Centralny Punkt Kontaktowy ds. cyberprzestępczości (ZAC) Państwa kraju związkowego w Niemczech, a w przypadku obowiązku wynikającego z NIS2 dodatkowo BSI.
Gdzie przechowywać kontakty awaryjne?
W co najmniej dwóch miejscach, z których jedno jest dostępne bez własnego IT, na przykład wydrukowane w segregatorze awaryjnym i na oddzielnym urządzeniu. Lista, która znajduje się tylko w skrzynce pocztowej lub na dotkniętym serwerze, w razie awarii jest niedostępna.
Jak często sprawdzać listę?
Co najmniej dwa razy w roku oraz po każdej zmianie personelu lub usługodawcy. Krótki telefon testowy pokazuje, czy numery się zgadzają i czy osoby wiedzą, że są na liście.
Czy organ nadzorczy ds. ochrony danych trzeba informować zawsze?
Nie przy każdym incydencie. Art. 33 RODO wymaga zgłoszenia w przypadku naruszenia ochrony danych osobowych, w miarę możliwości w ciągu 72 godzin, chyba że naruszenie prawdopodobnie nie powoduje ryzyka dla osób, których dane dotyczą. Ocenę przeprowadzają Państwo z inspektorem ochrony danych; ta strona nie stanowi porady prawnej.