Управление инцидентами: практика и уровни зрелости

Как реагировать на инциденты, уведомлять регуляторов и делать выводы.

С чего начать

Инцидент случится рано или поздно, и первые часы решают, во что он превратится. Заранее продуманный порядок действий помогает не терять время на споры: кто решает, что отключать, кого уведомлять и что сохранить для расследования.

Определите, что считается инцидентом и кто принимает решение о его объявлении.
Распишите первые 24 часа: изоляция, сохранение логов и образов, оповещение руководства, фиксация действий.
Подготовьте контакты и шаблоны уведомлений заранее, до того, как они понадобятся.
Для персональных данных учтите сроки уведомления Роскомнадзора об утечке.
После закрытия разберите причины и внесите изменения в процессы.

Что делать в первые сутки: порядок реагирования. Утечки ПДн: уведомление РКН и чек-лист готовности.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Известно, кому сообщать об инциденте; случаи записываются.
2. Гигиенический	Есть план реагирования с ролями и этапами, учёт с приоритетами, шаблоны уведомлений и разбор после инцидента.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

Жалоба субъекта и запрос Роскомнадзора: как ответить и в какие сроки
Пошаговый порядок ответа на жалобу субъекта и запрос Роскомнадзора: сроки по статье 20 152-ФЗ, регистрация, разбор по фактам, блокирование и уточнение данных, мотивированный отказ, содержание ответа, ошибки и…
Как уведомить Роскомнадзор об утечке персональных данных
Что нужно сделать оператору в первые 24 и 72 часа после утечки персональных данных и как подготовиться заранее.
Реагирование на инцидент ИБ: первые 24 часа, роли и сроки
Лонгрид о реагировании на инцидент ИБ на Linux-серверах: подготовка, роли, изоляция, сбор данных со скриптом, масштаб, восстановление, сроки уведомлений РКН и ФСБ, сценарии и разбор после инцидента.
Сценарии реагирования на инциденты ИБ: пять playbook’ов для небольшой команды
Пять сценариев реагирования (playbook) для небольшой ИТ-команды: компрометация учётной записи, шифровальщик, веб-оболочка на сайте, утечка сотрудником и потеря устройства. Признаки, первые действия, сбор данных, восстановление, уведомления и проверка.
Чек-лист оператора ПДн: базовый минимум и готовность к утечке
Лонгрид-чек-лист для оператора ПДн: 11 базовых мер, какие доказательства хранить, готовность к утечке (24 и 72 часа), план устранения и карта остальных требований по мотивам методики Группы Сбер.