Məlumat sızması prosedurları

1) Məqsəd və tətbiq sahəsi

Məqsəd: zərəri minimuma endirmək, hüquqi tələbləri yerinə yetirmək və şəxsi/ödəniş/əməliyyat məlumatlarının təsdiqlənmiş və ya ehtimal olunan sızması ilə normal işi tez bir zamanda bərpa etmək.
Əhatə: Oyunçuların və əməkdaşların PII, ödəniş artefaktları, giriş loqləri/tokenləri, KYC/AML sənədləri, affiliatların/tərəfdaşların məlumatları, məhsulların və infrastrukturun məxfi artefaktları.

2) «Sızma» tərifləri və meyarları

Məlumat sızması (data breach) - təhlükəsizlik hadisəsi və ya proses səhvi nəticəsində şəxsi məlumatların (və ya digər qorunan məlumatların) məxfiliyinin, bütövlüyünün və ya əlçatanlığının pozulması.
Təsdiqlənmiş vs şübhəli: hər hansı bir göstərici (SIEM anomaliyaları, satıcılardan/istifadəçilərdən mesajlar, Paste saytları) təkzib edilməzdən əvvəl proseduru işə salır.

3) Ciddilik təsnifatı (nümunə)

4) SLA və «hadisə-bric»

Başlanğıc: Orta + ilə war-room (chat/zəng) yaradılır, Incident Commander (IC) təyin edilir.
SLA: Low - 24 saat· Medium - 4 saat· High - 1 saat· Critical - 15 dəqiqə.
Kadens yeniləmələri: hər 30-60 dəq (daxili), hər 2-4 saat (xarici maraqlı tərəflər).

5) RACI (böyük)

6) Cavab proseduru (addım-addım)

1. Identifikasiya və ilkin validasiya

SIEM/EDR/antifrod/satıcı/istifadəçi → hadisə reyestrinə giriş siqnalı.
Minimum faktların toplanması: nə/nə vaxt/harada/nə qədər, məlumatların və yurisdiksiyaların təsirlənmiş növləri.

2. Containment

Həssas end-point/fich, geo-seqmentlər, vaxt limitləri, relizlərin dondurulması.
Açarların/tokenlərin rotasiyası, girişlərin geri çağırılması, güzəştə getmiş hesabların bloklanması.

3. Eradication (aradan qaldırılması)

Yamaq/ -fiks, zərərli artefaktların təmizlənməsi, şəkillərin yenidən seçilməsi, alt prosessorların yoxlanılması.

4. Recovery (bərpa)

Kanarya giriş trafiki, regressiya monitorinqi, bütövlük çeklərinin keçməsi.

5. Forensika və təsirin qiymətləndirilməsi

Subyektlər üçün həcm, həssaslıq, coğrafiya, risk hesablanması; təsirlənmiş qeydlərin təsdiqi.

6. Bildirişlər və kommunikasiyalar

DPO/Legal bildirişlərin vəzifəsini və müddətini müəyyən edir; mətnlərin hazırlanması; ünvanlara göndərmə.

7. Post-Mortem və CAPA

Səbəblərin təhlili (5 Whys), sahibləri və şərtləri ilə düzəliş/xəbərdarlıq tədbirləri planı.

7) 72 saatlıq pəncərə və hüquqi ünvanlar

Məlumat Nəzarəti (DPA) - subyektlərin hüquqları/azadlıqları üçün risk aradan qaldırılmadıqda, əhəmiyyətli bir sızma aşkar edildikdən sonra 72 saatdan gec olmayaraq bildirilməlidir.
İstifadəçilər - yüksək risk altında «əsassız gecikmə olmadan» (başa düşülən tövsiyələrlə).
Qumar tənzimləyicisi - oyunçulara təsir etdikdə/sabitlik/hesabat.
Banklar/PSP - ödəniş riskləri/tokenlərin güzəştləri/şübhəli əməliyyatlar zamanı.
Partnyorlar/satıcılar - ümumi axınlar/məlumatlar təsirlənərsə və ya onların hərəkəti tələb olunarsa.

8) Forensika və «dəlil saxlama zənciri»

Həcm/log şəkilləri, heşləmə ilə artefaktların ixracı (SHA-256).
Yalnız nüsxə/snapshot ilə işləmək; mənbə sistemləri - read-only.
Fəaliyyət protokolu: kim/nə vaxt/nə etdi, istifadə olunan əmrlər/alətlər.
WORM/obyekt anbarında saxlama; məhdud giriş, audit.

9) Rabitə (daxili/xarici)

Prinsiplər: faktlar → tədbirlər → tövsiyələr → növbəti yeniləmə.
Mümkün deyil: PII dərc etmək, yoxlanılmamış fərziyyələr qurmaq, nəzarətsiz vaxt vəd etmək.

• Nə tapıldı?· Miqyas/kateqoriyalar· Cari tədbirlər· Risklər· Növbəti addımlar· HH-də növbəti yeniləmə: MM.

10) Satıcılarla/subprosessorlarla qarşılıqlı əlaqə

Onların insident reyestrlərini, giriş qeydlərini, SLA bildirişlərini, alt prosessorların siyahısını yoxlayın.
Hesabatları tələb edin (pentest/forensika), məlumatların silinməsi/geri qaytarılması təsdiqini qeyd edin.
DPA uyğun olmadıqda - eskalasiya və müvəqqəti təcrid/inteqrasiyanın dayandırılması.

11) Bildiriş şablonları (fraqmentlər)

11. 1 Nəzarət orqanı (DPA)

Hadisənin və aşkarlanma vaxtının qısa təsviri, kateqoriyalar/təxmini məlumat həcmi, subyektlərin qrupları, coğrafiya, nəticələr və risklər, görülən/planlaşdırılan tədbirlər, DPO əlaqə, tətbiqlər (timline, heş-xat).

11. 2 istifadəçilər

Nə oldu; hansı məlumatlar zərər verə bilər; biz nə etdik; nə edə bilərsiniz (parol dəyişikliyi, əməliyyat nəzarəti, fişinq məsləhətləri); əlaqə necə; FAQ/Dəstək Mərkəzinə keçid.

11. 3 Partners/PSP/tənzimləyici

Faktlar və təsir interfeyslər; partnyorun gözlənilən hərəkətləri; müddət; əlaqə.

12) Hadisələrin reyestri (minimum sahələr)

ID· Aşkarlama/təsdiqləmə vaxtı· Ciddilik· Mənbə· Sistemlər/məlumatlar· Həcm/Kateqoriyalar· Coğrafiya· Tədbir görənlər (zaman)· Bildirişlər (kimə/nə vaxt)· Məsul (RACI)· Əsərlərə istinadlar· SARA/vaxt· Status.

13) Metriklər və hədəflər

MTTD/MTTC/MTTR (aşkar/saxlama/bərpa).
72 saat bildirişlərin% - 100%.
Müəyyən edilmiş ilkin səbəb ilə insidentlərin payı 90% ≥.
CAPA 95% ≥ bağlanır.
Bir səbəbə görə təkrar insidentlər ≤ 5%.
SLA-da (Medium/High/Critical) bağlanmış insidentlərin nisbəti: 90/95/99%.

14) Çek vərəqləri

14. 1 Start (ilk 60 dəqiqə)

• IC təyin və açıq war-room
• Stabilləşdirici tədbirlər (off/limitlər/açar rotasiyası)
• Minimum faktların və ekran görüntülərinin/qeydlərinin toplanması
• DPO/Legal xəbərdar, preliminary sinif müəyyən
• Relizlərin və log təmizləmə protokollarının dondurulması

14. 2 24 saata qədər

• Forensika: həcm/kateqoriyalar/coğrafiya (draft)
• Bildiriş həlli, mətn hazırlanması
• Yeniləmə/bütövlük yoxlaması planı
• WORM dəlil paketi, time line hadisələr

14. 3 72 saata qədər

• DPA/tənzimləyicilərə/PSP bildirişlərinin göndərilməsi (lazım olduqda)
• Comm istifadəçilər (yüksək risk ilə)
• Yenilənmiş CAPA planı, sahibləri və şərtləri

15) Tipik ssenarilər və tədbirlər

A) Açıq saxlama seqmentinə sapport chat bazasının ixracı

Tədbirlər: çıxışı bağlamaq, yükləmələri inventarlaşdırmaq, təsirlənənləri xəbərdar etmək, S3/ACL siyasətini gücləndirmək, ixrac üçün DLP qaydaları.

B) API-yə giriş tokenlərinin güzəşti

Tədbirlər: dərhal rotasiya, refresh tokenlərinin geri çağırılması, zənglər jurnalının yoxlanılması, vebhukların yenidən imzalanması, trafikin seqmentləşdirilməsi.

C) Vendor vasitəsilə KYC-scan sızması

Tədbirlər: inteqrasiya izolyasiyası, silinmənin təsdiqlənməsi, yüksək riskli müştərilərin əl ilə yenidən yoxlanılması, DPA/saxlama yoxlaması.

D) Ictimaiyyətdə dampin nəşri

Tədbirlər: artefaktların (heş) fiksasiyası, linklərin qanuni çıxarılması (takedown), bildirişlər, sonrakı nəşrlərin monitorinqi.

16) Komplayens və gizlilik ilə inteqrasiya

GDPR prosesləri ilə əlaqə: DSAR, RoPA, DPIA/DTIA; Təchizatçılar/məqsədlər dəyişdikdə Siyasət və cookies/SMR yeniləmə.
Hadisənin risk matrisinə daxil edilməsi və hədlərin/nəzarətlərin yenidən nəzərdən keçirilməsi.

17) CAPA və post-mortem (sabitləşmədən sonra 72 saat ≤)

Hesabatın strukturu: faktlar/taymline· impakt· əsil səbəb· nə işləmiş/yox· CAPA siyahısı (sahibi, müddəti, uğur meyarı)· effektivliyin yoxlanılması tarixi (30-60 gündən sonra).

18) Prosesin yetkinlik yol xəritəsi

Ay 1: playbook yeniləmək, əlaqə, şablonlar, WORM arxivi, bildiriş testi.
Ay 2: tabletop təlimləri (PII sızması/vendor/tokenlər), SOAR playbook.
Ay 3 +: retrospektivlər, satıcıların auditi, antifrod/deteksiya modellərinin bias testləri, eşiklərin müntəzəm yoxlanılması.

TL; DR

Sızma zamanı: tez stabilləşdiririk (containment), dəqiq təsdiqləyirik (forensika), vaxtında xəbərdar edirik (DPA/istifadəçilər/tərəfdaşlar), şəffaf sənədləşdiririk (reyestr, time line, sübut) və əsas səbəbi düzəldir (CAPA). Nəticə - daha az zərər, tələblərə uyğunluq və oyunçuların və tərəfdaşların yenidən inamı.