Регламент реагирования на инциденты
для Роверон CRM и сервисных центров
1. Назначение и приоритет времени
Регламент применяется при подозрении или подтверждении неправомерной либо случайной передачи, предоставления, распространения, доступа, изменения, удаления или утраты персональных данных. Он не заменяет обязанностей оператора перед Роскомнадзором.
Оператор должен иметь возможность направить первичное уведомление Роскомнадзору в течение 24 часов с момента выявления инцидента и результаты внутреннего расследования в течение 72 часов. Поэтому внутренние сроки сторон короче.
2. Каналы и контакты
| Роль | Основной канал | Резервный канал |
|---|---|---|
| Роверон — дежурный ИБ | [EMAIL/ТЕЛЕФОН 24×7] | [ЗАПОЛНИТЬ] |
| Роверон — ответственный за ПД | [ЗАПОЛНИТЬ] | [ЗАПОЛНИТЬ] |
| Сервисный центр — владелец аккаунта | Контакт в аккаунте | [ЗАПОЛНИТЬ] |
| Сервисный центр — ответственный за ПД | [ЗАПОЛНИТЬ] | [ЗАПОЛНИТЬ] |
3. Классификация
| Уровень | Примеры | Эскалация |
|---|---|---|
| Критический | Массовая выгрузка; публичный доступ; компрометация админа; специальные данные | Немедленно, 24×7 |
| Высокий | Доступ постороннего к отдельной организации; потеря устройства с активной сессией | Не позднее 1 часа |
| Средний | Ошибочная отправка ограниченного набора известному получателю | Не позднее 2 часов |
| Низкий/событие | Неудачные попытки без подтвержденного доступа | В журнал, анализ по процедуре |
4. Первые действия обнаружившей стороны
- Не уничтожать журналы и доказательства; зафиксировать время выявления.
- Ограничить дальнейший доступ минимально необходимым обратимым способом.
- Сохранить идентификаторы аккаунтов, IP, временной интервал, объект и объем данных.
- Уведомить другую сторону по установленному каналу не позднее 2 часов при подозрении и не позднее 4 часов с подтверждения.
- Назначить координатора и открыть карточку инцидента.
5. Содержание первичного сообщения
- Дата и время события и выявления; кто выявил.
- Характер нарушения и затронутые системы/организации.
- Предполагаемые категории субъектов, состав и примерный объем данных.
- Вероятные причины и лицо/учетная запись, если известно.
- Принятые меры локализации и сохранения доказательств.
- Контакт координатора и время следующего обновления.
6. Распределение ролей
| Ситуация | Ведущий | Обязанности другой стороны |
|---|---|---|
| Инцидент в инфраструктуре или у работника Роверона | Роверон расследует; сервис как оператор принимает решения об уведомлениях | Предоставляет контекст субъектов и целей; не искажает доказательства |
| Инцидент из учетной записи/у работника сервиса | Сервис расследует и исполняет обязанности оператора | Роверон сохраняет журналы, ограничивает сессию, дает технические сведения |
| Причина не установлена | Совместная группа; оператор координирует регуляторные действия | Обе стороны сохраняют доказательства и не делают неподтвержденных заявлений |
7. Расследование и отчет
- Хронология с часовым поясом; источник выявления.
- Корневая и сопутствующие причины.
- Точный или максимально обоснованный объем данных и субъектов.
- Перечень учетных записей, выгрузок, запросов и адресатов.
- Оценка вреда и последствий для субъектов.
- Меры локализации, восстановления и предотвращения повторения.
- Решения об уведомлении органа и субъектов с указанием ответственного.
8. Коммуникации
Сообщения Роскомнадзору и субъектам направляет соответствующий оператор, если закон или обстоятельства не требуют иного. Роверон как обработчик предоставляет известную информацию без задержки. Публичные заявления согласуются, но согласование не может препятствовать соблюдению обязательного срока.
9. Хранение материалов и улучшения
Карточка, журналы, доказательства, уведомления и итоговый отчет хранятся с ограниченным доступом. Корректирующие меры получают владельца и срок; выполнение проверяется. Не реже раза в год проводится учебная отработка.