Плейбук: инцидент у подрядчика, который обрабатывает ваши данные

Отзовите доступ подрядчика и выясните, какие ваши данные затронуты, если он сообщил об инциденте или новость о нём подтверждена. Договор поручения пишется заранее: поручение обработки ПДн. Сутки у себя: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Чужую инфраструктуру не «проверяйте сканом» без письменного права.

Признаки и что не делать

Письмо от подрядчика, новость о взломе сервиса, который у вас в реестре, странная активность его учёток у вас. Не ждите «официального PDF через неделю», чтобы отозвать VPN. Не публикуйте обвинения. Не ходите в его сеть.

Первые шаги

1. Отзовите VPN, API-ключи, учётки в ваших системах: отзыв доступа.
2. Зафиксируйте время, источник известия, перечень данных, которые он обрабатывал по договору.
3. Запросите у него письменно: что случилось, какие ваши записи затронуты, когда узнали. Срок ответа — из поручения, не «когда смогут».
4. Если ПДн ваших субъектов могли утечь — вы оператор, сроки РКН считаете вы: уведомление Роскомнадзора.
5. Субъект КИИ: компьютерный инцидент у значимого подрядчика может требовать линии НКЦКИ: уведомление НКЦКИ.

Приоритет: высокий всегда, критический при ПДн или платежах. Эскалация: юрист, директор, кадры если люди подрядчика имели пропуска. Независимый канал — ваш, не их «инцидент-чат».

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Поручение — бумага до беды. Плейбук — часы после новости.

Как проверить

1. По каждому подрядчику с доступом есть кому отозвать VPN и ключи за час.
2. В плейбуке написано, что сроки РКН считаете вы.
3. Нет шага «просканировать подрядчика».

Источники

• CIS Control 17: cisecurity.org/controls.