Главная мысль
В первом сообщении факты неполны. Отмечайте предположения, сохраняйте доказательства, назначайте ответственных и проверяйте требования к уведомлению с профильным специалистом.
Руководство и команда реагирования должны опираться на общую картину
При подозрении на утечку назначьте руководителя реагирования и подключите службы безопасности и ИТ, юристов, специалистов по защите персональных данных, коммуникациям и представителей затронутых подразделений. В первом отчёте укажите наблюдаемые факты, открытые вопросы, потенциально затронутые системы и время следующего обновления. Руководство решает вопросы непрерывности работы, выделения ресурсов и коммуникаций; техническая команда собирает доказательства и определяет масштаб инцидента.
Ограничьте масштаб и сохраните доказательства
Определите затронутые учётные записи, устройства и сервисы; при необходимости отзовите доступ, изолируйте подозрительный узел и перекройте путь атаки. Сохраните журналы, заголовки писем, записи аутентификации и сети, историю изменений и временные метки. Согласуйте очистку и восстановление со сбором доказательств, чтобы изменения не помешали расследованию. Не объявляйте систему безопасной, пока не установлены масштаб и последствия инцидента.
Планируйте уведомление, восстановление и разбор
Установите, какие данные, сколько людей и какие системы затронуты. С юристами и ответственными за защиту персональных данных подтвердите, кого и когда нужно уведомить по применимым законам, договорам и регуляторным требованиям; не назначайте сроки наугад. Сообщите затронутым людям подтверждённые факты, практические шаги и канал помощи. Восстановите данные и сервисы из проверенных резервных копий, обновите учётные данные и проверьте восстановление.
Покажите руководству последствия и решения
В обновлениях для руководства отражайте простой операций, влияние на данные и клиентов, оценку расходов с указанием её обоснования и неопределённости, неустранённый риск и ответственного за решение. Наряду с техническими показателями включайте возвращение к работе, зависимости от поставщиков и поддержку сотрудников. После инцидента зафиксируйте причину, пропущенные сигналы, недостатки защиты и согласованные меры с ответственными и сроками; цель — улучшить реагирование в будущем, а не искать виноватых.