Stručne: Zoznam IT núdzových kontaktov uvádza pre každú rolu osobu so zástupcom, dostupnosť aj mimo pracovného času, dôvod, pre ktorý sa osoba informuje, a údaje, ktoré treba mať pri telefonáte poruke. Je vytlačený a uložený na samostatnom zariadení, pravidelne sa testuje a obsahuje aj úrady s oznamovacími lehotami. Tak sa v krízovej situácii nestratí čas hľadaním.
Číslo, ktoré nikto nemá
Piatkový večer, e-shop zobrazuje zvláštne presmerovania, administrátor má podozrenie. Čo teraz? Zavolať poskytovateľovi hostingu, ale ktoré číslo platí mimo pracovného času a aké zákaznícke číslo treba? Agentúre, ale kto tam má prístup k serveru? Poisťovni, ale kde je číslo poistky? A kto rozhodne, či sa obchod odpojí od siete?
Takéto chvíle pozná mnoho firiem a týždeň s PHP2Shell ich znásobil. Núdzový plán v ideálnom prípade existuje, ale zoznam kontaktov v ňom je často najslabším článkom: zastaraný, neúplný alebo uložený iba digitálne práve na systéme, ktorý momentálne nie je dostupný. Ako je plán postavený ako celok, opisuje článok Vypracovanie IT núdzového plánu pre webový server. Tu ide o samotný zoznam.
Kto patrí do zoznamu núdzových kontaktov?
Nasledujúca tabuľka radí typické kontakty podľa dôvodu, pre ktorý sa informujú, a uvádza, čo mať poruke pri prvom kontakte.
| Kontakt | Kedy informovať | Čo mať poruke |
|---|---|---|
| Krízové vedenie (často konatelia) | pri každom podozrení na incident | stručný obraz situácie, prvé posúdenie |
| Zodpovední za IT a administrátori | okamžite, na technickú kontrolu | dotknuté systémy podľa inventára |
| Poskytovateľ hostingu (núdzový kanál) | pri podozrení na serveri, na odpojenie alebo logy | zákaznícke číslo, číslo zmluvy, heslo pre podporu |
| Agentúra alebo vývojár | ak je dotknutá aplikácia | názov projektu, prístupy, kontaktná osoba |
| Dodávateľ IT bezpečnosti | pri potvrdenom alebo pravdepodobnom vniknutí | doterajšie pozorovania, časy |
| Zodpovedný pracovník pre ochranu údajov | hneď, ako by mohli byť dotknuté osobné údaje | druhy údajov, obdobie, systémy |
| Kybernetické poistenie | podľa podmienok poistky, väčšinou skoro | číslo poistky, cesta hlásenia škody |
| Právne poradenstvo | pri oznamovacích povinnostiach, vydieraní, otázkach zodpovednosti | stav vecí, doterajšie kroky |
| Dozorný orgán pre ochranu údajov | pri porušení ochrany údajov podliehajúcom oznámeniu, podľa možnosti do 72 hodín | údaje podľa čl. 33 ods. 3 GDPR |
| Centrálne kontaktné miesto pre kybernetickú kriminalitu (ZAC) | pri podaní trestného oznámenia | dôkazy, časová os |
| BSI | pri oznamovacej povinnosti podľa NIS2 | podľa pokynov BSI |
| Komunikácia | pred každou informáciou smerom von | odsúhlasené fakty |
Príslušné centrálne kontaktné miesto pre kybernetickú kriminalitu (ZAC) nájdete cez políciu vašej spolkovej krajiny; ako podanie prebieha, opisuje článok Podanie trestného oznámenia: centrálne kontaktné miesta pre kybernetickú kriminalitu. Aké lehoty a povinnosti poisťovne zvyčajne stanovujú, opisuje článok Kybernetické poistenie: čo sa počíta pri poistnej udalosti.
Čo musí obsahovať každý záznam
Meno a telefónne číslo nestačia. Úplný záznam odpovedá na šesť otázok:
- Rola: Za čo je osoba zodpovedná, o čom smie rozhodovať?
- Meno a zástup: Kto zaskočí, ak prvá osoba nie je dostupná?
- Dostupnosť: Telefón, aj mobilný, a druhá cesta. Platí číslo aj v noci a cez víkend?
- Spúšťač: Pri akej udalosti sa táto osoba informuje?
- Legitimácia: Zákaznícke číslo, číslo zmluvy, heslo pre podporu, aby telefonát nestroskotal na overení totožnosti.
- Stav: Kedy sa záznam naposledy skontroloval?
Najmä bod 5 sa často podceňuje. Poskytovatelia hostingu a registrátori po telefóne overujú, či je volajúci oprávnený, a robia dobre. Kto musí najprv hľadať zákaznícke heslo, stráca cenný čas. Takéto údaje uchovávajte bezpečne, ale tak, aby k nim krízové vedenie malo v krízovej situácii prístup.
Telefónne čísla dodávateľov preberajte zo zmluvy alebo z oficiálneho webu, nikdy z e-mailu. Podvodníci radi využívajú známe bezpečnostné situácie na falošné správy s „núdzovými číslami“.
Poradie v krízovej situácii
Nie všetky kontakty sa potrebujú naraz. Osvedčil sa postup po stupňoch: Najprv krízové vedenie a technika, aby vzniklo prvé posúdenie a dalo sa rozhodnúť o zadržaní. Potom poskytovateľ hostingu, agentúra a dodávateľ bezpečnosti na technickú prácu. Hneď ako by mohli byť dotknuté osobné údaje, zodpovedný pracovník pre ochranu údajov, lebo od okamihu, keď sa o úniku údajov dozviete, plynie lehota podľa čl. 33 GDPR. Poistenie a právne poradenstvo nasledujú skoro, skôr než padnú dôležité rozhodnutia. Komunikácia smerom von príde nakoniec a len s odsúhlasenými faktami.
Aké kroky nasledujú po prvom vyhlásení poplachu, zhŕňa kontrolný zoznam po hacknutí. Táto stránka podáva všeobecné upozornenia; oznamovacie povinnosti a právne otázky si vyjasnite so zodpovedným pracovníkom pre ochranu údajov a s právnikom.
Naplánujte navyše druhú komunikačnú cestu. Ak je dotknutý poštový server alebo existuje podozrenie, že útočník číta interné schránky, malo by sa dohadovanie viesť oddeleným kanálom, napríklad telefonicky alebo cez vopred zriadenú skupinu na inej službe. Tento kanál určite vopred a zaraďte ho do zoznamu. Hľadať v krízovej situácii novú cestu stojí čas a vytvára neistotu, ktorá správa je skutočná.
Udržať zoznam živý
Zoznamy kontaktov starnú nenápadne. Zamestnanci sa menia, dodávatelia menia núdzové čísla, zmluvy vypršia. Naplánujte preto dva pevné termíny kontroly ročne a jeden mimoriadny pri každej zmene. Krátky skúšobný telefonát mimo pracovného času najspoľahlivejšie ukáže, či núdzový kanál skutočne funguje. Opýtajte sa pritom aj, či osoba vie, že je na zozname, a čo sa od nej v krízovej situácii očakáva.
Ako konkrétne pomáha PHP SOS?
- Spolu s vami vypracujeme zoznam technických núdzových kontaktov a overíme, či poskytovatelia hostingu a agentúry skutočne majú núdzový kanál.
- Určíme, aké údaje musia byť poruke pri každom kontakte, aby mal telefonát okamžitý účinok.
- Sprevádzame skúšobný beh poplachu a medzery zapracujeme do vašich podkladov.
- V krízovej situácii sme na vašom zozname ako technický kontakt prostredníctvom Incident Response.
Záver: Dobrý zoznam kontaktov je krátky, úplný a otestovaný. Rozhoduje o tom, či prvé hodiny incidentu uplynú konaním, alebo hľadaním.
Časté otázky
Kto patrí do zoznamu IT núdzových kontaktov?
Interne konatelia, IT, zodpovedný pracovník pre ochranu údajov a komunikácia, externe poskytovateľ hostingu, agentúra, dodávateľ IT bezpečnosti, kybernetické poistenie, právne poradenstvo, príslušný dozorný orgán pre ochranu údajov a centrálne kontaktné miesto pre kybernetickú kriminalitu (ZAC) vašej spolkovej krajiny, pri povinnosti podľa NIS2 navyše BSI (nemecký Spolkový úrad pre informačnú bezpečnosť).
Kde uchovávať núdzové kontakty?
Najmenej na dvoch miestach, z ktorých jedno je dostupné bez vlastného IT, napríklad vytlačené v núdzovom šanóne a na samostatnom zariadení. Zoznam, ktorý leží len v poštovej schránke alebo na dotknutom serveri, nie je v krízovej situácii k dispozícii.
Ako často sa má zoznam kontrolovať?
Najmenej dvakrát ročne a po každej zmene personálu alebo dodávateľa. Krátky skúšobný telefonát ukáže, či čísla sedia a či osoby vedia, že sú na zozname.
Musí sa dozorný orgán pre ochranu údajov informovať vždy?
Nie pri každom incidente. Čl. 33 GDPR vyžaduje oznámenie pri porušení ochrany osobných údajov, podľa možnosti do 72 hodín, okrem prípadu, keď porušenie pravdepodobne nepovedie k riziku pre dotknuté osoby. Posúdenie urobte so zodpovedným pracovníkom pre ochranu údajov; táto stránka nie je právne poradenstvo.