Плейбук: теневой SaaS, куда уже выгрузили персональные данные
Отзовите доступ к облачному сервису (SaaS), который отдел завёл без ИТ и куда уже выгрузили персональные данные. Как выбирать облако заранее: ПДн в облаке и SaaS. DLP — профилактика: когда нужен DLP. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон и не замена 152-ФЗ. Чужой SaaS не взламываем: только отзыв своих учёток и запрос к оператору сервиса.
Признаки и что не делать
Таблица клиентов в неизвестном облаке, счёт за SaaS в бухгалтерии, журнал прокси на новый хост. Не оставляйте «ещё на неделю, отдел не может». Не копируйте базу обратно на шару всем. Не публикуйте пароль сервиса в общем чате.
Первые шаги
- Отзовите SSO/OAuth и пароли, смените пароль, если ящик регистрации корпоративный. Прокси может помочь найти, кто ходил: прокси выхода.
- Состав: какие ПДн, сколько субъектов, куда передавали (в т.ч. трансгранично).
- Поручение с сервисом есть? Если нет — это и договорной, и инцидентный контур: поручение.
- Запросите удаление и подтверждение у сервиса письменно. Сроки РКН, если утечка или бесконтрольная передача уже состоялась: уведомление.
- Людям отдела — обязательство и ознакомление, не только «больше так не делайте»: неразглашение.
Приоритет: высокий; критический при специальной категории ПДн или большом объёме. Эскалация директору и юристу. Кадры — если это сознательный обход.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Отозвали SSO, личные ящики остались | Регистрация была на gmail. Письмо людям и сервису на удаление |
| Сервис «удалил», выгрузки нет | Нечем подтвердить. Просите акт, сроки РКН всё равно считайте |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Выбор SaaS — гигиена данных. Плейбук — когда таблица клиентов уже в чужом облаке.
Как проверить
- Есть как отозвать OAuth и найти сервис в журнале прокси или карт.
- Плейбук ведёт к срокам РКН, не только к «запретить отделу».
- Нет шага входа в чужой SaaS чужими паролями.
Источники
- CIS Control 17: cisecurity.org/controls.
