Реагувати на інциденти та оцінювати необхідність повідомлення про них

Початковий набір з кібербезпеки: Розділ 9

У цьому розділі ви навчитеся:

Навчіться розпізнавати ознаки інциденту в сфері кібербезпеки та знайте, коли слід вживати заходів.
Складіть чіткий план реагування на інциденти з визначеними ролями та обов’язками.
Реагуйте на інциденти, повідомляйте про проблеми та безпечно відновлюйте роботу, щоб мінімізувати перебої.

Реагування на інциденти та оцінка необхідності повідомлення

Навіть за наявності надійних заходів безпеки можуть траплятися помилки, несправності обладнання та кібератаки. Підготовка плану реагування допоможе вашій некомерційній організації оперативно вжити заходів, захистити людей та продовжити виконання важливої роботи.
План реагування на надзвичайні ситуації визначає, хто керує процесом, до кого слід звертатися та що робити в першу чергу. Почати можна з короткого документа, що містить список контактних осіб та чітко визначені обов’язки. Вам не потрібно самостійно розбиратися з кожною проблемою, але ви повинні знати, як звернутися за допомогою.

Дізнайтеся, про що потрібно повідомляти

Інцидент — це подія, яка впливає або може вплинути на безпеку вашої інформації, облікових записів, пристроїв або послуг. До прикладів належать:

Конфіденційний файл, надісланий не тому адресату.
Втрачений пристрій, що містить інформацію про організацію.
Несподівана активність на рахунку або зміни в доступі.
Пароль, введений на підробленій сторінці входу.
Файли стають недоступними або з’являється повідомлення програми-вимагача.
Постачальник послуг, який повідомляє про інцидент, що стосується ваших даних.

Не кожне відключення є кібератакою, і не кожен інцидент пов’язаний з персональними даними. Про будь-які підозри слід негайно повідомляти, щоб відповідна особа могла їх оцінити. Співробітники та волонтери не повинні доводити, що шкода вже завдана, перш ніж звернутися по допомогу.

чоловік, який складає звіт про інциденти

Підготуйтеся заздалегідь, доки план ще не знадобився

Домовитися про такі домовленості:

Відповідальність	Що слід встановити
Координувати заходи реагування	Керівник та його заступник, які здатні організовувати діяльність та домагатися прийняття рішень
Надавати технічну допомогу	Контактні дані перевірених постачальників послуг, години роботи служби підтримки та порядок надання екстреної допомоги
Оцінити вимоги щодо конфіденційності та повідомлень	Уповноважена особа, яка може звернутися за відповідною консультацією з питань конфіденційності або юридичними питаннями
Затверджувати рішення та повідомлення	Хто затверджує витрати, зміни в наданні послуг та повідомлення для осіб, яких це стосується
Забезпечити функціонування життєво важливих служб	Що має продовжуватися і як співробітники можуть безпечно працювати під час перебоїв у роботі

Зберігайте захищену копію плану та контактні дані на випадок, якщо не вдасться отримати доступ до вашої звичайної електронної пошти або спільного диска. Включіть до списку фінансові установи, важливих постачальників послуг та будь-яких страховиків, з якими співпрацює ваша організація.
Перевірте, які вимоги щодо конфіденційності та договірні зобов’язання щодо повідомлення застосовуються, ще до того, як трапиться інцидент.

Перші дії: повідомити, мінімізувати шкоду та зафіксувати

Правильні дії залежать від того, що сталося. На помилково надісланий електронний лист потрібно реагувати інакше, ніж у випадку з ноутбуком, який, ймовірно, заражений.

Повідомте про це через надійний канал.

Зверніться до відповідального за реагування або його заступника. Якщо існує ймовірність, що електронна пошта може бути скомпрометована, скористайтеся іншим перевіреним каналом зв’язку.

Припиніть дії, які можуть погіршити ситуацію.

Припиніть надсилати інформацію, затверджувати запити або взаємодіяти з цією особою.

Вжийте відповідних заходів щодо локалізації.

Спільно з керівником групи реагування або постачальником послуг обмежте доступ до відкритих даних, забезпечте захист уражених облікових записів або ізолюйте уражений пристрій.

Запишіть те, що вам відомо, і зверніться за допомогою.

Зафіксуйте час, перелік облікових записів або файлів, на які це вплинуло, вжиті заходи та невирішені питання.

Якщо пристрій, судячи з усього, заражений, відключіть його від мереж, якщо це можна зробити безпечно, та зверніться до надійного постачальника послуг технічної підтримки. Уникайте стирання даних, перевстановлення або перезавантаження пристрою як імпровізованого способу усунення проблеми; ці дії можуть призвести до знищення доказів. У рекомендаціях Канадського центру кібербезпеки наголошується на необхідності збереження доказів під час реагування на випадок порушення безпеки системи.

Якщо гроші були перераховані в результаті шахрайства, негайно зверніться до фінансової установи через надійний канал зв’язку. Не чекайте, поки завершиться більш детальна перевірка.

Сценарій першої допомоги

Використовуйте це при отриманні повідомлення про інцидент:

“Дякую, що повідомили про це. Будь ласка, припиніть відповідну діяльність і збережіть відповідне повідомлення або інформацію. Розкажіть, що сталося, коли ви це помітили, який обліковий запис, пристрій або інформація були залучені, а також що ви вже зробили. Вам не обов’язково знати, чи це точно була атака. Ми узгодимо подальші дії”.”

Запитуйте про факти, не звинувачуючи. Своєчасне повідомлення може допомогти обмежити шкоду; страх перед ганьбою може затримати це.

Не просіть нікого надсилати паролі, коди для входу або зайві копії конфіденційних документів у рамках цього звіту.

Зберігати інформацію, не поширюючи її

Надійно зберігайте відповідні повідомлення, скріншоти, повідомлення від провайдера та записи про виконані дії. Службі технічної підтримки можуть знадобитися оригінальні повідомлення або системні записи, щоб з’ясувати, що сталося.

Обмежте доступ до записів про інциденти. Наскільки це можливо, описуйте інформацію, що зазнала впливу, замість того, щоб копіювати цілі клієнтські справи до журналу інцидентів. Запис:

Коли сталася подія (якщо це відомо) та коли про неї стало відомо.
Яка інформація, облікові записи, пристрої або послуги можуть бути зачеплені.
Хто міг отримати інформацію або отримати до неї доступ.
Заходи щодо локалізації та особи, які їх здійснювали.
Поради отримано, рішення прийнято, потрібно вжити подальших заходів.

Відрізняйте підтверджені факти від припущень. Оновлюйте запис у міру надходження нової інформації.

Визначте, чи йдеться про персональні дані

Порушення конфіденційності може полягати у втраті персональних даних, несанкціонованому доступі або випадковому розголошенні інформації. Для цього не обов’язково потрібен хакер.

Наприклад, надсилання списку учасників електронною поштою не тій особі може вимагати проведення оцінки дотримання конфіденційності, навіть якщо всі ваші облікові записи залишаються захищеними.

Сортування повідомлень означає визначення того, які запити та контакти потребують уваги. Це лише попередня оцінка, яка не замінює консультації, необхідної для прийняття складного рішення.

Запитання	Що слід встановити
Яка інформація була задіяна?	Види інформації, ступінь конфіденційності та особи, яких це стосується
Що з ним сталося?	Незалежно від того, чи дані були втрачені, чи до них отримали доступ, чи їх скопіювали, чи розкрили, чи оприлюднили
Які негативні наслідки це може спричинити?	Ризики для безпеки, фінансів, особистих даних, репутації, стосунків або доступу до послуг
Наскільки ймовірним є неправильне використання?	Хто отримав цю інформацію або мав до неї доступ, чи була вона захищена та які докази є в наявності
Які вимоги застосовуються?	Відповідні закони про захист персональних даних, договори, вимоги спонсорів та умови страхування
Кому потрібні дії або повідомлення?	Особи, які зазнали впливу, органи регулювання, партнери, постачальники послуг або інші особи, які можуть допомогти зменшити шкоду

Не варто вважати, що невелика кількість постраждалих означає низький ризик. Витік інформації про одну людину може мати серйозні наслідки.

Ознайомтеся з контекстом повідомлень у Канаді

Як зазначалося в розділі 6, статус некомерційної організації не визначає автоматично, яке законодавство про захист персональних даних застосовується. До комерційної діяльності може застосовуватися Закон про захист персональних даних та електронних даних (PIPEDA), хоча також можуть бути актуальними вимоги провінційного законодавства або вимоги, що стосуються конкретних галузей.

Сфера застосування Закону PIPEDA, про витік персональних даних, що перебувають під контролем організації, необхідно повідомити Управлінню комісара з питань захисту персональних даних Канади та поінформувати осіб, яких це стосується, якщо це призводить до реальна небезпека заподіяння значної шкоди. Під час оцінки враховуються ступінь конфіденційності інформації та ймовірність її неправомірного використання.

Необхідні звіти та повідомлення мають надсилатися якомога швидше після виявлення факту такого порушення. Записи про всі відповідні порушення мають зберігатися щонайменше два роки, включаючи порушення, які не відповідають критеріям обов’язкового повідомлення.

Інші вимоги можуть передбачати інші порогові значення або терміни. У разі невизначеності щодо застосовності або необхідності повідомлення слід негайно звернутися за відповідною консультацією. Не варто чекати завершення повного розслідування, перш ніж перевірити зобов’язання, виконання яких обмежене в часі.

Комісар з питань захисту персональних даних рекомендації щодо інцидентів порушення безпеки та матеріали з оцінки ризиків може підтвердити цю оцінку.

Спілкуйтеся чітко та безпечно

Повідомляючи людей, поясніть, що відомо, про яку інформацію йдеться, що робить ваша організація та що вони можуть зробити, щоб захистити себе. Вкажіть контактну особу, до якої можна звернутися з питаннями.

Дотримуйтесь відповідних вимог щодо змісту та способу надання інформації. Уникайте необґрунтованих запевнень, таких як “ніхто не отримав доступ до інформації”, якщо це не було доведено.

Оберіть спосіб зв’язку, який не призведе до чергового розголошення інформації. Наприклад, у груповому електронному листі не слід розкривати особисті дані клієнтів, яких це стосується, а при надсиланні повідомлення особі, що перебуває у вразливому становищі, слід ретельно обміркувати безпечний спосіб зв’язку.

Координуйте оновлення, щоб співробітники надавали узгоджену та точну інформацію.

Безпечно відновити роботу та винести уроки з цієї події

Перш ніж відновити файли або повернутися до звичайної роботи, переконайтеся у відповідного спеціаліста служби підтримки, що причина проблеми усунена і доступ є безпечним.
Визначте, що потрібно відновити в першу чергу, спираючись на пріоритети та заходи щодо резервного копіювання, описані в попередніх розділах. Зафіксуйте тимчасові робочі процедури та перегляньте їх після відновлення нормального функціонування.

Потім запитайте:

Що допомогло нам відреагувати?
Що нас сповільнило?
Які запобіжні заходи, інструкції чи домовленості потребують вдосконалення?
Хто здійснить це вдосконалення і до якого терміну?

Зосередьтеся на змінах, які зменшують ймовірність або наслідки рецидиву.

Пропоноване правило політики

Про фактичні або можливі інциденти необхідно негайно повідомляти призначену контактну особу або її заступника. Керівник реагування координує заходи з локалізації, збереження доказів, відновлення та оцінку вимог щодо повідомлення. Рішення та дії необхідно фіксувати, своєчасно здійснювати необхідні комунікації та призначати подальші заходи щодо вдосконалення.

Перш ніж затвердити це правило, визначте контактних осіб, осіб, які приймають рішення, та джерела технічних рекомендацій і порад щодо захисту персональних даних.

Діяльність

Відпрацюйте свої дії у разі надзвичайної ситуації

Обговоріть цей сценарій: Волонтер повідомив, що електронну таблицю з інформацією про клієнтів помилково надіслали сторонньому одержувачу.

Не вважайте, що подання запиту на видалення вирішує проблему. Зафіксуйте відповідь та проаналізуйте обставини.

Завантажити робочий аркуш можна тут

Відпрацюйте свої дії у разі надзвичайної ситуації

Висновок

До кінця цього розділу ви повинні:

Координатор з реагування, дублер та контактні особи для надійної підтримки.
Чіткий процес первинного звітування.
Спосіб фіксації інцидентів та оцінки необхідності їхнього повідомлення.
План безпечного одужання та подальшого спостереження.

Далі ви об’єднаєте ці запобіжні заходи, щоб на практиці навчитися захищати свою некомерційну організацію від шахрайства та махінацій, навіть якщо запит здається знайомим і правдоподібним.

ноутбук та маска, отримані в результаті шахрайства (відредаговано)

Розділ 10: Як захистити вашу некомерційну організацію від шахрайства та зловживань

Цей розділ ґрунтується на заходах безпеки, про які ви вже дізналися, і покликаний допомогти захистити інформацію, облікові записи та кошти вашої некомерційної організації від кіберзлочинців, які вдаються до обману, щоб схилити людей до небезпечних дій.

Див. розділ 10