Na kratko: Seznam IT-kontaktov za nujne primere za vsako vlogo navaja osebo z namestnikom, dosegljivost tudi zunaj poslovnega časa, povod, ob katerem je oseba obveščena, in podatke, ki jih je treba imeti pri roki ob klicu. Je natisnjen in na ločeni napravi, se redno preizkuša in vsebuje tudi organe z roki za prijavo. Tako se v skrajnem primeru ne izgublja čas z iskanjem.
Številka, ki je nihče nima
Petkov večer, trgovina kaže nenavadne preusmeritve, skrbnik ima sum. Kaj zdaj? Poklicati ponudnika gostovanja, a katera številka velja zunaj poslovnega časa in katero številko stranke potrebujemo? Agencija, a kdo tam ima dostop do strežnika? Zavarovalnica, a kje je številka police? In kdo odloči, ali trgovina gre z omrežja?
Takšne trenutke pozna veliko podjetij, teden PHP2Shell pa jih je pomnožil. Načrt za nujne primere v najboljšem primeru obstaja, vendar je seznam kontaktov v njem pogosto najšibkejši člen: zastarel, nepopoln ali shranjen samo digitalno na prav tistem sistemu, ki trenutno ni na voljo. Kako je načrt zgrajen kot celota, opisuje Izdelava IT-načrta za nujne primere za spletne strežnike. Tu gre za sam seznam.
Kdo sodi na seznam kontaktov za nujne primere?
Naslednja tabela razvršča značilne kontakte po povodu, ob katerem so obveščeni, in navaja, kaj imeti pri roki ob prvem stiku.
| Kontakt | Kdaj obvestiti | Kaj imeti pri roki |
|---|---|---|
| Vodstvo za nujne primere (pogosto uprava) | ob vsakem sumu na incident | kratek opis stanja, prva ocena |
| Odgovorni za IT in skrbniki | takoj, za tehnični pregled | prizadeti sistemi po popisu |
| Ponudnik gostovanja (kanal za nujne primere) | ob sumu na strežniku, za izklop ali dnevnike | številka stranke, številka pogodbe, geslo za podporo |
| Agencija ali razvijalec | če je prizadeta aplikacija | ime projekta, dostopi, kontaktna oseba |
| Ponudnik IT-varnosti | ob potrjenem ali verjetnem vdoru | dosedanja opažanja, časi |
| Pooblaščenec za varstvo podatkov | takoj, ko bi bili lahko prizadeti osebni podatki | vrste podatkov, obdobje, sistemi |
| Kibernetsko zavarovanje | po določilih police, običajno zgodaj | številka police, pot prijave škode |
| Pravno svetovanje | ob obveznostih prijave, izsiljevanju, vprašanjih odgovornosti | dejansko stanje, dosedanji koraki |
| Nadzorni organ za varstvo podatkov | ob prijavni obveznosti kršitve, če je mogoče v 72 urah | podatki po čl. 33(3) GDPR |
| Osrednja kontaktna točka za kibernetsko kriminaliteto (ZAC) | ob ovadbi kaznivega dejanja | dokazi, časovnica |
| BSI | ob obveznosti prijave po NIS2 | po navodilih BSI |
| Komuniciranje | pred vsakim obveščanjem navzven | usklajena dejstva |
Pristojno osrednjo kontaktno točko za kibernetsko kriminaliteto (ZAC) najdete prek policije vaše nemške zvezne dežele; kako poteka ovadba, je na strani Ovadba: osrednje kontaktne točke za kibernetsko kriminaliteto (ZAC). Kakšne roke in obveznosti zavarovalnice običajno postavljajo, opisuje Kibernetsko zavarovanje: kaj šteje ob škodnem primeru.
Kaj mora vsebovati vsak vnos
Ime in telefonska številka ne zadoščata. Popoln vnos odgovori na šest vprašanj:
- Vloga: Za kaj je oseba pristojna, o čem sme odločati?
- Ime in namestnik: Kdo priskoči, če prve osebe ni mogoče doseči?
- Dosegljivost: Telefon, tudi mobilni, in druga pot. Ali številka velja tudi ponoči in ob koncih tedna?
- Sprožilec: Ob katerem dogodku je oseba obveščena?
- Legitimacija: Številka stranke, številka pogodbe, geslo za podporo, da klic ne spodleti pri preverjanju identitete.
- Stanje: Kdaj je bil vnos nazadnje preverjen?
Zlasti točka 5 se pogosto podcenjuje. Ponudniki gostovanja in registrarji po telefonu preverijo, ali je klicatelj upravičen, in to upravičeno. Kdor mora šele iskati geslo stranke, izgubi dragocen čas. Takšne podatke shranjujte varno, a tako, da jih lahko vodstvo za nujne primere v skrajnem primeru doseže.
Telefonske številke ponudnikov prevzemite iz pogodbe ali uradne spletne strani, nikoli iz e-pošte. Goljufi radi izkoristijo znane varnostne razmere za ponarejena sporočila s »številkami za nujne primere«.
Vrstni red v skrajnem primeru
Vsi kontakti niso potrebni hkrati. Obnesel se je stopenjski postopek: najprej vodstvo za nujne primere in tehnika, da nastane prva ocena in da se odloči o zajezitvi. Nato ponudnik gostovanja, agencija in ponudnik varnosti za tehnično delo. Takoj ko bi bili lahko prizadeti osebni podatki, pooblaščenec za varstvo podatkov, saj od seznanitve s kršitvijo teče rok po čl. 33 GDPR. Zavarovalnica in pravno svetovanje sledita zgodaj, preden padejo pomembne odločitve. Komuniciranje navzven pride zadnje in samo z usklajenimi dejstvi.
Katere korake po prvem alarmu sledijo, povzema Kontrolni seznam po vdoru. Ta stran daje splošne napotke; obveznosti prijave in pravna vprašanja razjasnite s pooblaščencem za varstvo podatkov in odvetnikom.
Načrtujte tudi drugo komunikacijsko pot. Če je prizadet poštni strežnik ali obstaja sum, da napadalec bere notranje poštne predale, naj usklajevanje poteka prek ločenega kanala, na primer po telefonu ali prek vnaprej ustvarjene skupine na drugi storitvi. Ta kanal določite vnaprej in ga vključite na seznam. Iskanje nove poti v skrajnem primeru zahteva čas in ustvarja negotovost, katero sporočilo je pristno.
Seznam ohranjajte živ
Seznami kontaktov zastarajo neopazno. Zaposleni se menjajo, ponudniki spreminjajo številke za nujne primere, pogodbe potečejo. Zato načrtujte dva stalna termina pregleda na leto in priložnostni termin ob vsaki spremembi. Kratek testni klic zunaj poslovnega časa najbolj zanesljivo pokaže, ali kanal za nujne primere res deluje. Pri tem vprašajte tudi, ali oseba ve, da je na seznamu, in kaj se od nje pričakuje v skrajnem primeru.
Kako PHP SOS pomaga konkretno?
- Z vami izdelamo seznam tehničnih kontaktov za nujne primere in preverimo, ali imajo ponudniki gostovanja in agencije dejansko kanal za nujne primere.
- Določimo, katere podatke je treba imeti pri roki za vsak kontakt, da klic takoj učinkuje.
- Spremljamo preizkusni zagon alarmiranja in vrzeli vnesemo v vaše dokumente.
- V skrajnem primeru smo kot tehnična kontaktna oseba prek odziva na incidente na vašem seznamu.
Sklep: Dober seznam kontaktov je kratek, popoln in preizkušen. Odloča, ali prve ure incidenta minejo z ukrepanjem ali z iskanjem.
Pogosta vprašanja
Kdo sodi na seznam IT-kontaktov za nujne primere?
Interno vodstvo, IT, pooblaščenec za varstvo podatkov in komuniciranje, zunaj ponudnik gostovanja, agencija, ponudnik IT-varnosti, kibernetsko zavarovanje, pravno svetovanje, pristojni nadzorni organ za varstvo podatkov in osrednja kontaktna točka za kibernetsko kriminaliteto (ZAC) vaše nemške zvezne dežele, pri obveznosti po NIS2 dodatno BSI.
Kje hranim kontakte za nujne primere?
Na vsaj dveh mestih, od katerih je eno dosegljivo brez lastne IT, na primer natisnjeno v mapi za nujne primere in na ločeni napravi. Seznam, ki je samo v poštnem predalu ali na prizadetem strežniku, v skrajnem primeru ni na voljo.
Kako pogosto naj se seznam preverja?
Vsaj dvakrat letno in po vsaki zamenjavi osebja ali ponudnika. Kratek testni klic pokaže, ali številke držijo in ali osebe vedo, da so na seznamu.
Ali je treba nadzorni organ za varstvo podatkov obvestiti vedno?
Ne ob vsakem incidentu. Člen 33 GDPR zahteva prijavo ob kršitvi varstva osebnih podatkov, če je mogoče v 72 urah, razen če kršitev verjetno ne povzroči tveganja za prizadete. Oceno opravite s pooblaščencem za varstvo podatkov; ta stran ni pravno svetovanje.