РАЗПОЗНАВАНЕ
Възможни признаци
Един симптом сам по себе си не потвърждава пробив. Запишете какво наблюдавате и го проверете с отговорния екип.
- Вътрешни или лични данни се откриват на публичен адрес, споделен линк или непознато място.
- Получател съобщава, че е получил чужд файл или таблица.
- Има известия за масово сваляне, необичаен достъп или споделяне от облачна услуга.
- Клиенти или служители съобщават за съобщения, които използват вътрешни или лични данни.
ПЪРВИ ДЕЙСТВИЯ
Какво да направите сега
- 01
Ескалирайте към отговорните роли
Уведомете ръководството, ИТ/сигурност екипа и длъжностното лице по защита на данните или правния екип. Ако действате като обработващ, уведомете администратора съгласно договорения канал.
- 02
Ограничете достъпа с одобрена промяна
Спрете публичното споделяне или неоторизирания достъп чрез администраторския панел, като запазите журнала и текущите настройки преди промяната. Не изтривайте файла, ако това ще унищожи доказателства.
- 03
Запишете известните факти
Документирайте кога е установено, какъв тип информация може да е засегнат, приблизителния период, системата и известните получатели. Отделете потвърдени факти от предположения.
- 04
Не разпространявайте копието допълнително
Не прикачвайте изтеклия файл към общи имейли и не качвайте журналите или данните в публични услуги. Използвайте ограничен и одобрен канал за обмен с екипите за реакция.
НАСОКИ ЗА РЕАКЦИЯ
Първо овладейте достъпа
При открит публичен линк или погрешно зададени разрешения, намалете експозицията веднага чрез отговорния администратор. Преди промяната запазете достатъчно контекст: идентификатор на ресурса, настройки за споделяне, журналите и часа. Това позволява да се установи дали ресурсът е бил видян или свален.
При съмнение за проникване в акаунт или система, третирайте случая и като инцидент със сигурността. Смяната на споделянето не прекратява непременно активна сесия; администраторът трябва да прегледа идентичностите, токените и съседните хранилища.
- Не променяйте журнали, роли или конфигурации без да запишете контекста.
- Координирайте съобщенията по доверен канал.
НАСОКИ ЗА РЕАКЦИЯ
Определете какво е засегнато
Съставете списък с категории данни, системи и периоди, които може да са засегнати. Разграничете лични данни от фирмена поверителна информация и търговски тайни. Установете дали данните са само били достъпни, действително прегледани, свалени, променени или изтрити. Не правете окончателни твърдения, преди да има доказателства.
Запазете контролирано копие или журнал само ако е необходимо и разрешено; ограничете достъпа до хората, които разследват случая. Не изпращайте реални записи или идентифициращи данни в обикновен имейл към външен екип.
- Документирайте източника и надеждността на всяко сведение.
- Определете дали клиенти, служители, партньори или подизпълнители може да са засегнати.
НАСОКИ ЗА РЕАКЦИЯ
Оценка и уведомяване
Когато има лични данни, администраторът трябва с длъжностното лице по защита на данните и правния екип да оцени риска и приложимите задължения по GDPR. Уведомяване на надзорен орган в рамките на 72 часа е условно изискване при приложимия праг, а не автоматично правило за всеки инцидент. При висок риск може да има и задължение за уведомяване на засегнатите лица. Решението зависи от фактите и трябва да бъде документирано.
Обработващият уведомява администратора без ненужно забавяне според приложимите правила и договора. Не чакайте пълното техническо разследване, за да ескалирате фактите към отговорните лица; предоставяйте актуализации, когато се установяват нови обстоятелства.
- Запишете оценката, мерките и основанията за решението.
- Публикувайте или изпращайте уведомления само след съгласуване с упълномощените лица.
НАСОКИ ЗА РЕАКЦИЯ
Техническо разследване и подкрепа
ИТ екипът проверява одитни записи за достъп, споделяне и изтегляне, свързани акаунти, API ключове и други системи, до които може да е имало достъп. Премахнете неоторизирани достъпи, подменете изложени тайни по одобрен процес и наблюдавайте за повторен достъп. Избягвайте импровизирани действия, които унищожават доказателства или променят широк набор от права.
Инфосек Груп може да обсъди с организацията първоначалната техническа картина и дали услугата е в договорения обхват. Първият контакт чрез SOC.bg не е автоматичен договор, поемане на случая или денонощно покритие.
- За първоначален разговор: contact@soc.bg или +359 876 830 388.
- Изпратете обобщение без реални лични данни, пароли, токени или незащитени журнали.
ЧЕСТО ЗАДАВАНИ ВЪПРОСИ
Кратки отговори
Всяко изтичане ли трябва да се докладва на КЗЛД?
Не автоматично. Администраторът оценява риска за правата и свободите на хората и документира решението. При приложимия праг GDPR предвижда уведомяване на надзорния орган без ненужно забавяне и, когато е възможно, до 72 часа.
Трябва ли да изтрия публичния файл веднага?
Ограничете достъпа незабавно чрез одобрен администратор, но първо запазете необходимия контекст и журнали. Не унищожавайте доказателства и не разпространявайте копия.
Какво да изпратя на SOC.bg за оценка?
Започнете с кратко описание на системата, времето и вида на събитието. Не изпращайте лични записи, пароли, токени или сурови логове по обикновен имейл.
ОФИЦИАЛНИ НАСОКИ