zabezpieczenie
zarządzanie incydentami
Spisany sposób na wykrycie incydentu, uznanie go, powstrzymanie, zgłoszenie i wyciągnięcie wniosków, z wyznaczonymi rolami. Przepisy wymagają procesu i ustalają terminy zgłoszeń. Narzędzie jest miejscem na zapis.
- co chroni
- pierwsze godziny kłopotu, gdy decyzje zapadają przy niepełnych faktach
- kto za to odpowiada
- szef IT, z wyznaczonym zastępcą
- zacznij od
- wskaż, kto może ogłosić incydent o każdej porze, i trzymaj listę kontaktów poza dotkniętą siecią
czym jest
Zarządzanie incydentami to sposób, w jaki firma zauważa, że coś poszło źle, uznaje, że to się liczy, powstrzymuje skutki, powiadamia osoby, które trzeba powiadomić, i wyciąga wnioski. Zaczyna się od spisanej procedury z nazwanymi osobami. Narzędzie pomaga, trzymając w jednym miejscu zapis, oś czasu i terminy zgłoszeń.
NIS2 wymienia obsługę incydentów wśród swoich środków i ustala terminy zgłoszeń. DORA opisuje proces dokładniej dla podmiotów finansowych. RODO dodaje zapis każdego naruszenia ochrony danych osobowych. Każdy przepis liczy termin od innej chwili i kieruje do innego organu, więc proces musi obejmować wszystkie naraz.
Najtrudniejsza jest decyzja o uznaniu zdarzenia za incydent, zanim fakty są pełne. Daj jednej wskazanej osobie uprawnienie do niej i włącz zgłoszenia do tego samego zapisu co reakcję.
podstawa NIS2 art. 21(2)(b), 23(4); DORA art. 17(1), 19(1); RODO art. 33(5). Role i narzędzia są praktyką.
od zauważenia problemu do wyciągnięcia wniosków
- 1zauważktoś widzi coś dziwnego i wie, kogo powiadomić
- 2ogłośwskazana osoba lub jej zastępca uznaje, że to się liczy
- 3powstrzymajzatrzymaj rozprzestrzenianie, trzymaj oś czasu w jednym zapisie
- 4zgłośkażdy termin biegnie od swojej chwili, każde zgłoszenie ma właściciela
- 5wyciągnij wnioskiprzyczyna źródłowa zapisana przed zamknięciem sprawy
ćwiczenie w ustalonych odstępach sprawdza tę samą drogę
podstawa NIS2 art. 21(2)(b), 23(4); DORA art. 17(1), 17(2). Role i kolejność są praktyką.
przykład
Wyobraź sobie firmę z 200 osobami, której serwer plików przestaje odpowiadać w nocy.
Administrator, który to widzi, nie ma uprawnień, by uznać zdarzenie za incydent, a kierownik, który je ma, siedzi w samolocie. Procedura leży na tym samym serwerze. Rano nikt nie wie, kiedy zaczął biec termin, a zapisem jest wątek na czacie.
Wskazana osoba i jej zastępca mogą ogłosić incydent o każdej porze. Lista kontaktów istnieje na papierze i w telefonie. Jeden zapis trzyma oś czasu, decyzje i każde zgłoszenie ze znacznikiem czasu. Krótkie ćwiczenie raz w roku pokazuje, na co nikt nie umiał odpowiedzieć.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(b) | Obsługa incydentów jako jeden ze środków zarządzania ryzykiem w cyberbezpieczeństwie. | Spisz proces: kto może ogłosić incydent, co dzieje się dalej i kogo się powiadamia. |
| NIS2 | NIS2 art. 23(4) | Wczesne ostrzeżenie w ciągu 24 godzin od stwierdzenia poważnego incydentu, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca od zgłoszenia. | Wbuduj trzy zgłoszenia w proces, z osobą odpowiedzialną i zastępcą dla każdego. |
| IR 2024/2690 | IR 2024/2690 załącznik 3.1 | Wymienieni dostawcy usług cyfrowych: polityka obsługi incydentów określająca role, odpowiedzialności i procedury wykrywania, analizowania, powstrzymywania, odtwarzania po incydencie, dokumentowania i zgłaszania, testowana i przeglądana. | Użyj tej samej listy etapów jako listy kontrolnej dla własnego procesu. |
| DORA | DORA art. 17(1) | Podmioty finansowe określają, ustanawiają i wdrażają proces zarządzania incydentami związanymi z ICT, służący do wykrywania, obsługi i zgłaszania incydentów. | Obejmij jednym procesem całą drogę od wykrycia do zgłoszenia. |
| DORA | DORA art. 17(2) | Rejestruj wszystkie incydenty związane z ICT i istotne cyberzagrożenia oraz prowadź działania następcze tak, aby przyczyny źródłowe zostały zidentyfikowane, udokumentowane i usunięte. | Prowadź jeden rejestr każdego incydentu i zapisz przyczynę źródłową przed zamknięciem sprawy. |
| DORA | DORA art. 19(1) | Zgłaszanie poważnych incydentów związanych z ICT właściwemu organowi. | Dodaj do procesu test poważnego incydentu i trzy etapy zgłoszeń. Terminy są na stronie pracy o zgłaszaniu incydentów. |
| RODO | RODO art. 33(5) | Dokumentuj każde naruszenie ochrony danych osobowych, z okolicznościami, skutkami i podjętymi działaniami, aby organ mógł zweryfikować zgodność. | Zapisuj także naruszenia, których nie zgłaszasz, wraz z powodem. |
podstawa NIS2 art. 21(2)(b), 23(4); IR 2024/2690 załącznik 3.1 jako punkt odniesienia; DORA art. 17(1), 17(2), 19(1); RODO art. 33(5). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy prowadzi jeden zapis na incydent, z osią czasu, osobą odpowiedzialną, wagą i podjętymi decyzjami?
- Czy od chwili ogłoszenia incydentu odlicza terminy zgłoszeń i pokazuje, kto co zgłosił?
- Czy ma szablony dla każdego organu i dla zawiadomień do klientów oraz listę kontaktów, do której da się dotrzeć po godzinach?
- Czy potrafi wezwać dyżurnego telefonem lub wiadomością o każdej porze i eskalować, gdy nikt nie odpowiada?
- Czy działa, gdy Wasze własne systemy leżą, na przykład na osobnym koncie lub na papierze?
- Czy trzyma zapis oddzielnie od systemów, które opisuje, z własnymi ograniczeniami dostępu?
- Czy pozwala powiązać incydent z dotkniętymi zasobami, dostawcami i danymi osobowymi?
- Czy możesz wyeksportować pełny zapis dla organu lub prawnika?
- Ile kosztuje na użytkownika miesięcznie i kto liczy się jako użytkownik po dodaniu dyżurnych i kontaktów prawnych?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Spisz proces na jednej stronie: kto może ogłosić incydent, kogo się powiadamia, kto składa każde zgłoszenie. Trzymaj kopię poza dotkniętą siecią.
- solidnie
Prowadź jeden zapis na incydent, dodaj zastępcę do każdej roli, miej szablony dla każdego organu i przeglądaj proces po każdym incydencie.
- mocno
Ćwicz w ustalonych odstępach, powiąż incydenty z zasobami i dostawcami i sprawdź, czy dostawcy wiedzą, jak się z Wami skontaktować.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
nikt nie może uznać zdarzenia za incydent
Osoba, która widzi problem, nie ma uprawnień, by go ogłosić, a osoba z uprawnieniami jest nieobecna. Wyznacz, kto może ogłosić, wraz z zastępcą, o każdej porze.
plan leży na systemie, który nie działa
Procedura trzymana tylko w dotkniętej sieci jest nieosiągalna, gdy jest potrzebna. Trzymaj kopię i listę kontaktów w miejscu, które od niej nie zależy.
zamknięcie sprawy po naprawie
Zapis musi mówić, co się stało, co postanowiono i dlaczego. Dopisz przyczynę źródłową i wnioski przed zamknięciem i sprawdź, czy proces się zmienił.
nigdy niesprawdzany
Proces, którego nie przećwiczono, zawodzi przy pierwszym prawdziwym użyciu. Przeprowadzaj krótkie ćwiczenia w ustalonych odstępach i zapisuj, na co nikt nie umiał odpowiedzieć.
incydent dostawcy dociera za późno
Twój termin może zacząć biec od jego zawiadomienia, a to przychodzi tylko wtedy, gdy umowa tego wymaga. Sprawdź, czy dostawcy wiedzą, jak się z Wami skontaktować.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| procedura obsługi incydentów z nazwanymi rolami, zastępcami i listą kontaktów | szef IT | raz w roku i po każdym incydencie |
| zapis incydentu: oś czasu, decyzje, waga, przyczyna źródłowa | szef IT | po każdym incydencie |
| rejestr naruszeń, także zdarzeń uznanych za niepodlegające zgłoszeniu, z powodem | szef IT i inspektor ochrony danych | po każdym zdarzeniu |
| wysłane zgłoszenia ze znacznikami czasu | szef IT i prawnik | po każdym zgłoszeniu |
| zapis ćwiczenia: data, scenariusz, uczestnicy, wykryte luki | szef IT | raz w roku |
podstawa RODO art. 33(5) dla rejestru naruszeń. Reszta jest praktyką, a częstotliwość jest Twoim wyborem.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Zapisz osobę, która może ogłosić incydent o trzeciej w nocy, i jej zastępcę, a potem sprawdź, czy obie są osiągalne.