Плейбук: ваши данные нашли в паблике или в сливе
Зафиксируйте факт и выборочно сверьте известные вам записи, если ваши данные видят в поиске, на форуме или в «сливе». Не скачивайте архив на рабочий компьютер. Письмо не туда: утечка сотрудником. Открытая шара: открытая шара. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Архивы чужих сливов не коллекционируем.
Признаки и что не делать
Журналист, клиент или бот прислали фрагмент; поиск находит таблицу с вашими договорами. Не открывайте файл из телеграм-канала на почтовом ПК. Не торгуйтесь с вымогателем без юриста. Не выкладывайте «опровержение» с ещё большим объёмом данных.
Первые шаги
- Сохраните URL, время, скрин фрагмента во внешнее хранилище.
- Сверьте 2–3 идентификатора, которые вы и так знаете (свой тестовый ящик, одна обезличенная строка договора), не весь архив.
- Если это ПДн субъектов — вы оператор, часы РКН от выявления: уведомление Роскомнадзора, готовность: чек-лист утечки.
- Откуда могло утечь: шара, подрядчик, почта, бэкап. Не параллельте все плейбуки — один наиболее вероятный, остальные как гипотезы.
- Пароли из слива считайте скомпрометированными: сброс с чистой машины, не повтор старого.
Приоритет: критический при ПДн или реквизитах. Эскалация директору и юристу в первый час. Жалоба площадке — по их форме, не атака.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Скачали весь архив «на всякий» | Рабочая станция теперь носитель. Изоляция |
| Ждёте полный разбор слива неделями | Сроки РКН уже идут. Первичное уведомление по факту, который есть |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Чек-лист РКН — форма регулятору. Плейбук — первые часы после находки в паблике.
Как проверить
- В плейбуке запрещено качать архив слива на рабочий ПК.
- Часы РКН считаются от вашего выявления, не от даты файла.
- Есть внешнее место для скрина, не общий чат.
Источники
- CIS Control 17: cisecurity.org/controls.
