На первый взгляд уведомление об утечке данных кажется задачей юридического отдела. На деле же уложиться в срок уведомления — вопрос исключительно технической подготовки. Без журналов событий вы не узнаете, что именно утекло; без средств обнаружения вы даже не заметите, когда начался отсчёт.
С какого момента отсчитываются 72 часа?
Согласно решению Совета по защите персональных данных Турции, оператор данных обязан уведомить Совет в кратчайший разумный срок и не позднее семидесяти двух часов с момента, когда ему стало известно об утечке. Ключевые слова здесь — «стало известно». Отсчёт начинается в тот момент, когда вы обнаружили инцидент, а не когда произошла атака.
Поэтому сердцевина подготовки — обнаружение. Чем дольше вы не замечаете инцидент, тем меньше остаётся от этих семидесяти двух часов.
Что должно содержать уведомление?
Форма Совета требует конкретных сведений о характере инцидента:
- Когда и каким образом произошла утечка
- Приблизительное число затронутых лиц и записей
- Категории затронутых данных
- Возможные последствия и принятые технические меры
Если начать собирать эти сведения только в момент инцидента, в срок не уложиться. Все они — результат заранее выстроенной системы журналирования и обнаружения.
Техническая подготовка: четыре основы
1. Централизованные и неизменяемые журналы. Как минимум должны журналироваться три уровня: аутентификация, доступ к данным и исходящие потоки данных. Журналы следует хранить в отдельном месте, недоступном для удаления злоумышленником.
2. Правила обнаружения. Правила, формирующие оповещения о нетипичном доступе, массовой выгрузке данных и административных действиях в нерабочее время. Если оповещение не срабатывает, об инциденте вы узнаете лишь спустя несколько дней.
3. Письменный план реагирования. Кого оповещать, кто принимает решение, какую систему изолировать, кто готовит уведомление. Этот порядок должен быть определён заранее, а не в разгар инцидента.
4. Учения. Не реже одного раза в год отрабатывайте план в формате штабных учений. План, который впервые проверяется во время реального инцидента, планом не является.
Типичная ошибка
Чаще всего мы видим, что журналы существуют, но срок их хранения слишком мал. Атака нередко начинается за несколько недель до того, как её заметят. Если ваши журналы охватывают лишь последние несколько дней, вы так и не увидите начало инцидента и не сможете ответить на вопрос «когда» в форме уведомления.
Вывод
Правило 72 часов записано как юридическая норма, но на практике это инженерное требование. Уложиться в срок уведомления позволяют лишь журналирование, обнаружение и реагирование, выстроенные до инцидента. Мы можем выстроить такую систему вместе с вами и проверить её на учениях.