Порядок реагирования на инциденты ИБ

Без заранее прописанного порядка реагирование на инцидент в реальности сводится к панике и импровизации: сотрудники не понимают, кому сообщать о проблеме, руководство теряет время на выяснение масштаба, а доказательства инцидента могут быть утрачены раньше, чем начнётся расследование. Формализованный порядок снимает эту неопределённость — у каждого участника процесса заранее есть понятная роль.

Дополнительная причина иметь такой документ — требования закона. Операторы персональных данных обязаны уведомлять уполномоченный орган о некоторых видах инцидентов, и без внутреннего порядка обеспечить своевременное уведомление сложно: пока внутри компании разбираются, что произошло и кто отвечает, срок уведомления может быть упущен.

Есть и репутационная составляющая: то, как компания реагирует на инцидент — быстро, прозрачно, с понятным планом действий, — влияет на доверие клиентов не меньше, чем сам факт утечки. Организация, у которой заранее продуман порядок действий, обычно проходит через инцидент с меньшими потерями, чем та, что реагирует хаотично.

К инцидентам информационной безопасности обычно относят:

• неправомерный доступ к информационным системам;
• утечку персональных данных или иной конфиденциальной информации;
• заражение вредоносным программным обеспечением;
• отказ в обслуживании;
• утрату или кражу устройств с рабочей информацией;
• ошибочную рассылку данных не тому адресату;
• потерю доступа к системе из-за атаки шифровальщика-вымогателя.

Порядок реагирования должен явно перечислять типовые категории инцидентов, актуальные для конкретной организации, а не ограничиваться абстрактным определением — это упрощает сотрудникам задачу распознать инцидент и вовремя о нём сообщить, не дожидаясь явных проявлений вроде публичной огласки или жалоб клиентов.

Закон 152-ФЗ возлагает на оператора персональных данных обязанность уведомлять уполномоченный орган по защите прав субъектов персональных данных о некоторых видах инцидентов, связанных с утечкой персональных данных. Конкретные основания и порядок уведомления установлены законом и подзаконными актами; сроки уведомления — сжатые, установленные законом, и откладывать их на время внутреннего разбирательства нельзя.

Порядок реагирования на инциденты ИБ должен прямо предусматривать шаг «оценить, относится ли инцидент к утечке персональных данных, подлежащей уведомлению регулятора» и назначать ответственного, который принимает это решение оперативно, не дожидаясь завершения полного расследования причин произошедшего события.

Типовая структура порядка реагирования отражает последовательность действий при инциденте:

1. классификация инцидентов по типу и уровню серьёзности;
2. распределение ролей и ответственности — кто фиксирует инцидент, кто оценивает масштаб, кто принимает решения, кто уведомляет регулятора и пострадавших субъектов при необходимости;
3. первичная фиксация и сохранение доказательств инцидента;
4. меры по локализации и устранению последствий;
5. уведомление уполномоченного органа и, если применимо, субъектов персональных данных, в установленные сроки;
6. разбор инцидента после устранения и корректировка мер защиты, чтобы аналогичный инцидент не повторился вновь.

Документ утверждается руководителем и доводится до сведения сотрудников, которые могут первыми столкнуться с признаками инцидента, — не только специалистов по ИБ. Полезно проводить короткий инструктаж хотя бы раз в год, чтобы порядок реагирования не оставался документом, о существовании которого сотрудники забыли сразу после ознакомления.

Для небольшой организации порядок реагирования не обязан быть объёмным документом на десятки страниц — важнее, чтобы он реально работал. Минимально достаточная версия отвечает на три вопроса: куда сообщить об инциденте, кто принимает решение о дальнейших действиях, и при каких условиях нужно уведомлять Роскомнадзора.

Стоит заранее, до наступления инцидента, определить контактное лицо или юридическую поддержку, к которой можно обратиться для оценки, подпадает ли конкретная ситуация под обязанность уведомления регулятора — в момент самого инцидента разбираться с этим вопросом с нуля будет уже поздно.

Полезно также заранее подготовить шаблон внутреннего отчёта об инциденте — с полями для даты обнаружения, характера события, затронутых данных, принятых мер. Такой шаблон экономит время именно тогда, когда его особенно не хватает, и снижает риск упустить какую-либо существенную деталь при описании произошедшего.