Цель модуля
Научить работника понимать, кто и в какие сроки уведомляется, готовить точные сведения для сообщения и не раскрывать лишнего.
Кто уведомляется
| Кому | Когда | Кто отвечает |
|---|---|---|
| Служба информационной безопасности | Немедленно при обнаружении | Любой работник, заметивший признак |
| Руководитель подразделения | Немедленно, одновременно со службой безопасности | Работник, обнаруживший инцидент |
| Руководство компании | В течение первого часа после подтверждения значимости | Служба информационной безопасности |
| Заказчик по договору | В срок, установленный договором | Служба безопасности совместно с юристами |
| Регулятор | В срок, установленный законом; по регламенту — 72 часа | Служба безопасности совместно с юристами |
Что содержит сообщение
- время обнаружения и время, когда событие началось, насколько это установлено;
- какие системы и какие категории сведений затронуты;
- сколько людей затронуто, если это уже известно;
- принятые меры по локализации и их результат;
- что ещё предстоит выяснить и к какому сроку.
Чего нельзя делать при подготовке сообщения
- Указывать предположения как установленные факты.
- Раскрывать внутреннее устройство защиты и уязвимости до их устранения.
- Обвинять конкретных работников до завершения разбора.
- Задерживать сообщение в ожидании полной картины: сроки важнее полноты.
- Отправлять сведения через неофициальные каналы и личные адреса.
Сроки и последствия
Промедление с уведомлением увеличивает ответственность компании и уменьшает доверие заказчиков. Поэтому сообщение готовится в два шага: сначала краткое уведомление о факте в установленный срок, затем уточнение по мере выяснения подробностей.
Роль разработчика
Разработчик предоставляет службе безопасности точные технические сведения: какие журналы доступны, какие системы затронуты, как воспроизвести проблему. От точности этих данных зависит и оценка масштаба, и сроки уведомления.
Проверочный список перед выходом на работу
- Порядок и сроки уведомления известны работнику.
- Уведомление направляется одновременно руководителю и в службу безопасности.
- Сообщение отделяет установленные факты от предположений.
- Заказчик и регулятор уведомляются только через официальный порядок.
- Перечень затронутых систем и категорий сведений уточняется у разработчиков.
- Уточнения направляются по мере выяснения, не задерживая первое сообщение.
Вопросы для самопроверки
- Почему первое сообщение отправляют до полного выяснения картины? Установленный срок важнее полноты: сначала сообщается факт, затем направляются уточнения.
- Можно ли в сообщении раскрыть подробности уязвимости? Нет. Раскрытие устройства защиты до устранения уязвимости помогает злоумышленнику и запрещено.
- Кто отвечает за уведомление заказчика? Служба информационной безопасности совместно с юристами по установленному порядку.
Основание и что делать при сомнении
Модуль опирается на: Федеральный закон от 27.07.2006 № 152-ФЗ (статьи 18.1, 19, 21), приказ ФСТЭК России от 11.02.2013 № 17, ГОСТ Р 56939-2016.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.