Ръководство за уведомяване при изтичане на данни за предприятия

Подозрение за пробив в сигурността се превръща в бизнес извънредна ситуация много преди първият клиент да получи уведомително писмо. Първите часове определят дали доказателствата ще бъдат запазени, дали системите ще бъдат ограничени, дали законовите срокове ще бъдат спазени и дали застрахователното покритие ще остане валидно. Това ръководство за уведомяване при пробив в сигурността на данните помага на бизнес лидерите да организират реакцията си, без да разглеждат уведомяването като обикновена комуникационна задача.

Решението дали да бъде изпратено уведомление се намира на пресечната точка между техническите факти, законодателството за защита на личните данни, договорните задължения, доверието на клиентите и финансовата експозиция. Изпращането на уведомление твърде рано може да доведе до объркване и предоставяне на неточна информация. Прекаленото забавяне може да увеличи регулаторния риск, да навреди на засегнатите лица и да породи въпроси дали организацията е действала разумно. Целта не е бързина на всяка цена. Целта е дисциплинирана и документирана реакция.

Започнете с ограничаване на инцидента и съхраняване на доказателствата

Преди да решите кого трябва да уведомите, спрете неоторизирания достъп. Вашият ИТ екип или доставчик на услуги за реакция при инциденти трябва да изолира засегнатите крайни устройства, да деактивира компрометираните акаунти, да смени идентификационните данни, когато е необходимо, и да съхрани логовете, системните образи и свързаните записи. Избягвайте изтриването или преинсталирането на системи преди събирането на доказателства, освен ако непосредствена оперативна необходимост не изисква това.

Ограничаването трябва да бъде премерено. Изключването на всички системи може да спре нападателя, но също така може да прекъсне критични операции и да унищожи полезни доказателства. Правилният подход зависи от засегнатата среда, действията на нападателя, дали е налице рансъмуер или кражба на данни и дали са налични надеждни резервни копия.

Едновременно с това създайте регистър на инцидента. Запишете кога е бил открит проблемът, кой го е докладвал, кои системи са засегнати, какви действия са предприети, какви решения са взети и кой ги е одобрил. Тази документация подпомага правния анализ, регулаторните проверки, застрахователните претенции и подобренията след инцидента.

Включете правилните хора в реакцията

Пробивът в сигурността не трябва да се управлява само от ИТ отдела. Определете малка група за вземане на решения, която включва висшето ръководство, ИТ или екипа по сигурност, правни консултанти, специалисти по защита на личните данни или съответствие, ръководители на комуникациите и отдела по човешки ресурси, ако са засегнати данни на служители. Вашият киберзастраховател или брокер също трябва да бъде информиран своевременно, съобразно изискванията на полицата.

Много киберзастрахователни полици изискват бързо уведомяване и могат да посочват одобрени юридически консултанти, криминалистични специалисти, доставчици на услуги за уведомяване и експерти по връзки с обществеността. Наемането на външни доставчици преди преглед на тези условия може да повлияе върху възстановяването на разходите. Това не означава да се чака със защитата на бизнеса. Означава да се координират спешните технически действия със задълженията по полицата възможно най-рано.

Ръководство за уведомяване при пробив в сигурността на данните: установете какво се е случило

Задълженията за уведомяване зависят от фактите, а не от предположенията. Разследването трябва да установи какви данни са били засегнати, на кого принадлежат, дали са били достъпени или придобити, къде живеят засегнатите лица и дали информацията е била криптирана или по друг начин направена нечетима.

Често засегнатите данни включват имена в комбинация със социалноосигурителни номера, номера на шофьорски книжки или лични документи, данни за финансови сметки, информация за платежни карти, здравна информация, идентификационни данни за вход, данъчни документи и поверителни клиентски записи. Компрометираната електронна поща е особено важен случай, защото може да съдържа няколко категории лична или поверителна информация, дори когато не е засегната централна база данни.

Не бива да се бърка инцидент по сигурността с пробив в сигурността, който подлежи на уведомяване. Загубен лаптоп със силно криптиране може да доведе до различен правен резултат в сравнение с некриптиран лаптоп, съдържащ клиентски записи. По същия начин злонамерен софтуер, открит и премахнат преди достъп до данни, може да не води до същите задължения като потвърдено извличане на информация. Неяснотата не е причина събитието да бъде пренебрегнато. Тя е причина за внимателно разследване.

Свържете данните със засегнатите лица и местонахождението им

Законите за защита на личните данни и уведомяване при пробиви обикновено се прилагат според местоживеенето на засегнатите лица, а не само според мястото, където оперира компанията. Бизнес с клиенти или служители в няколко юрисдикции може да се наложи да анализира множество нормативни режими с различни определения, срокове, изисквания към съдържанието и прагове за уведомяване на регулатори.

Възможно е да се прилагат и специфични секторни изисквания. Организации в здравеопазването, финансовия сектор, образованието, държавните доставки или други регулирани сфери могат да са обект на допълнителни задължения. Договорите с клиенти, доставчици на платежни услуги или корпоративни партньори също могат да съдържат по-строги изисквания от приложимото законодателство.

Поради тази причина е препоръчително да се използват квалифицирани консултанти по защита на личните данни и пробиви в сигурността. Техническото разследване може да определи обхвата на инцидента. Юридическите експерти помагат да се определи какво означава този обхват от гледна точка на уведомяването.

Създайте ясни и полезни уведомления

Когато уведомяването е необходимо, съобщението трябва да предоставя практическа информация, без да спекулира с факти, които все още не са установени. То трябва да обяснява какво се е случило, кога е настъпило или е било открито, какви категории информация са били засегнати, какви действия е предприела организацията и какво могат да направят получателите, за да се защитят.

Ясният език е от значение. Клиентите не трябва да разчитат сложни технически описания на фишинг атаки, инструменти за отдалечен достъп или криминалистични анализи, за да разберат риска за себе си. Ако са били компрометирани идентификационни данни, уведомете ги да сменят паролите си и да не използват повторно стари пароли. Ако е била засегната финансова информация, обяснете как да наблюдават сметките си и как да се свържат с финансовите институции. Когато е приложимо, предоставете инструкции за услуги за наблюдение на идентичност или кредитен мониторинг.

Съдържанието и начинът на доставяне на уведомлението често са определени от закона. Писменото уведомяване е най-разпространено, докато алтернативни форми могат да бъдат допустими само при определени обстоятелства. Някои инциденти изискват уведомяване на регулатори, органи за защита на личните данни, кредитни бюра или секторни организации. Съхранявайте копия от всички уведомления, списъци за разпространение, записи за одобрение и доказателства за доставяне.

Не омаловажавайте инцидента. Формулировки като „няма доказателства за злоупотреба“ могат да бъдат коректни, но не бива да внушават, че засегнатите лица нямат причина да предприемат предпазни мерки. Същевременно не твърдете, че данните са били откраднати или използвани неправомерно, ако разследването все още не е потвърдило това. Доверието зависи от точността.

Управлявайте застрахователния и финансовия аспект

Пробивът в сигурността генерира разходи, които далеч надхвърлят изпращането на уведомления. Дигитална криминалистика, правен анализ, кол центрове, администриране на уведомления, кредитен мониторинг, връзки с обществеността, прекъсване на дейността, възстановяване на данни, реакция при изнудване и защита пред регулатори могат да доведат до значителни разходи.

Киберзастраховката може да помогне за покриването на много от тези разходи и задължения, но това зависи от текста на полицата, лимитите, самоучастието, изключенията и фактите по инцидента. Различните полици третират по различен начин плащанията при рансъмуер, загубите от социално инженерство, зависимото прекъсване на дейността, регулаторните санкции, когато могат да бъдат застраховани, и разходите, свързани с външни доставчици. Общата застраховка „Гражданска отговорност“ не е заместител на киберзастраховката.

Поддържайте организирана комуникацията със застрахователя и съхранявайте фактури, обхвати на работа на доставчиците, отчети за изразходваното време и доказателства за загубени приходи, когато е необходимо. Подкрепата при претенции е най-ефективна, когато организацията може да покаже, че разходите са били необходими, разумни и пряко свързани с инцидента.

Подгответе се преди следващия инцидент

Най-ефективният процес за уведомяване се изгражда преди да е настъпил пробивът. Поддържайте план за реакция при инциденти с посочени контакти, резервни отговорници, критерии за ескалация, информация за доставчиците и одобрени комуникационни процедури. Тествайте го чрез настолни упражнения, включващи висшето ръководство, а не само техническите екипи.

Контролите за сигурност трябва да намаляват както вероятността, така и последствията от инцидент. Решенията за откриване и реакция на крайни устройства, многофакторната автентикация, наблюдаваните защитни стени, защитените резервни копия, защитата на електронната поща, управлението на уязвимости, контролът на достъпа, логването и обучението на служителите адресират различни точки на риск. Нито един продукт не може да предотврати всеки пробив. Многослойната защита, комбинирана с активно наблюдение и упражнявани процедури за реакция, създава по-силна защита.

Преглеждайте киберзастраховката заедно с тези контроли. Застрахователите все по-често оценяват многофакторната автентикация, резервните копия, защитата на крайните устройства, готовността за реакция при инциденти и управлението на доставчици по време на процеса на оценка. По-добрите контроли могат да подобрят условията за застраховане, но по-голямата им стойност е, че намаляват оперативните щети, които стоят в основата на претенциите.
InsureCyberSec помага на организациите да свържат техническите мерки за сигурност с планирането на киберзастраховането и подкрепата при инциденти, така че защитата да не спира нито при превенцията, нито при осигуряването на застрахователно покритие.

Уведомяването при пробив в сигурността в крайна сметка е обещание за отговорно поведение, след като доверието е било поставено под риск. Подгответе хората, доказателствата, контролните механизми, правния процес и финансовата защита още сега, за да може организацията ви да взема правилни решения тогава, когато времето е най-ограничено.

Често задавани въпроси

1. Какво представлява уведомяването при пробив на данни?

Уведомяването при пробив на данни е процесът на информиране на засегнатите лица, регулатори, партньори или други заинтересовани страни, когато лични, финансови или конфиденциални данни са били достъпени, разкрити или компрометирани при киберинцидент.

2. Кога трябва да започне процесът по уведомяване за пробив на данни?

Процесът трябва да започне веднага след като организацията овладее инцидента, съхрани доказателствата и събере достатъчно информация за естеството и обхвата на нарушението. Уведомленията трябва да се основават на потвърдени факти, а не на предположения.

3. Кой трябва да участва в реакцията при пробив на данни?

Ефективният отговор изисква участието на ИТ и киберсигурност екипи, висш мениджмънт, юридически консултанти, служители по защита на данните, комуникационни специалисти и при необходимост представители на киберзастрахователя.

4. Какви данни могат да наложат уведомяване за пробив?

Често това включва имена, ЕГН или лични идентификатори, номера на банкови сметки, данни за платежни карти, здравна информация, потребителски имена и пароли, данъчни документи и друга чувствителна информация.

5. Как се определя дали инцидентът е докладваем пробив на данни?

Организацията трябва да установи какви данни са засегнати, дали са били достъпени или копирани, дали са били криптирани и какви законови или договорни задължения са приложими спрямо засегнатите лица.

Автор: Явор Златев
LinkedIn: https://www.linkedin.com/in/yavor-y-zlatev-1a9b817