Цель модуля
Научить работника распознавать признаки инцидента, правильно фиксировать обстановку и выполнять первые действия, не разрушая доказательства.
Что считается инцидентом
Инцидент информационной безопасности — любое событие, которое привело или может привести к нарушению конфиденциальности, целостности или доступности информации. Утечка — частный случай инцидента, когда данные стали доступны тем, кому не предназначены.
К инцидентам относятся не только взломы: подозрительные обращения к учётной записи, случайная отправка данных не тому получателю, потеря рабочего устройства, заражение рабочей машины — всё это инциденты, требующие реакции.
Признаки инцидента
- появляются незнакомые активные сеансы и устройства в учётной записи;
- приходят уведомления о входе в необычное время или из другого города;
- коллеги получают от вашего имени странные письма и сообщения;
- файлы или настройки изменились без вашего участия;
- продукт перестал отвечать или резко изменил поведение без правок;
- обнаружена выгрузка данных на внешний адрес или непонятное вложение;
- нашли рабочее устройство после потери или пропажи.
Первые действия
- Не выключайте и не перезагружайте машину без указания службы безопасности: память может хранить важные сведения.
- Не пытайтесь самостоятельно исправить и не удаляйте следы: этим вы уничтожите доказательства.
- Сообщите в службу информационной безопасности и руководителю немедленно, даже ночью.
- Зафиксируйте обстановку: время обнаружения, что именно заметили, какие действия выполнили до этого.
- При утечке данных не уведомляйте людей и заказчиков самостоятельно — порядок уведомления определяется службой безопасности и юристами.
- Сохраняйте спокойствие и не обсуждайте случай в общих каналах: обсуждение подсказывает злоумышленнику, что его заметили.
Чего делать нельзя
- Скрывать инцидент, чтобы «разобраться самому» или избежать недовольства руководителя.
- Удалять подозрительные письма и файлы вместо их сохранения для разбора.
- Менять пароли в панике до консультации со службой безопасности, если это может помешать расследованию.
- Рассказывать подробности в общих каналах и социальных сетях.
- Ждать до утра или до конца рабочего дня: счёт идёт на минуты.
Роль каждого работника
Работник не обязан быть специалистом по расследованию, но обязан вовремя сообщить и не мешать разбору. Сокрытие инцидента всегда оценивается строже, чем сама ошибка, потому что лишает компанию возможности уменьшить ущерб.
Проверочный список перед выходом на работу
- Известен телефон и канал связи со службой информационной безопасности.
- Понятно, какие события считаются инцидентом, а не бытовой помехой.
- При обнаружении инцидента сохраняются следы, ничего не удаляется.
- Уведомление выполняется немедленно, не откладывается до утра.
- Самостоятельное уведомление заказчиков и людей не выполняется.
- Обсуждение случая ведётся только в закрытых каналах.
Вопросы для самопроверки
- Что делать в первую очередь при подозрении на инцидент? Немедленно сообщить в службу информационной безопасности и руководителю, сохранить обстановку и ничего не удалять.
- Почему нельзя самому удалять подозрительное письмо? Письмо и заголовки — доказательства для расследования; удаление затрудняет установление причины и объёма утечки.
- Считается ли потеря рабочего телефона инцидентом? Да, это инцидент: устройство содержит доступы и данные, о нём нужно сообщить немедленно.
Основание и что делать при сомнении
Модуль опирается на: Федеральный закон от 27.07.2006 № 152-ФЗ (статьи 18.1, 19, 21), приказ ФСТЭК России от 11.02.2013 № 17, ГОСТ Р 56939-2016.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.