Διαδικασίες παραβίασης δεδομένων

1) Σκοπός και πεδίο εφαρμογής

Στόχος: ελαχιστοποίηση των ζημιών, συμμόρφωση με τις νομικές απαιτήσεις και ταχεία αποκατάσταση της κανονικής λειτουργίας με επιβεβαιωμένη ή πιθανή διαρροή δεδομένων προσωπικού χαρακτήρα/πληρωμής/λειτουργίας.
Κάλυψη: PII players και εργαζόμενοι, τεχνουργήματα πληρωμών, αρχεία καταγραφής/μάρκας πρόσβασης, έγγραφα KYC/AML, δεδομένα θυγατρικών/εταίρων, εμπιστευτικά προϊόντα και αντικείμενα υποδομής.

2) Ορισμοί και κριτήρια «διαρροής»

Παραβίαση δεδομένων - παραβίαση της εμπιστευτικότητας, της ακεραιότητας ή της διαθεσιμότητας δεδομένων προσωπικού χαρακτήρα (ή άλλων προστατευόμενων πληροφοριών) λόγω συμβάντος ασφάλειας ή σφάλματος διαδικασίας.
Επιβεβαιώθηκε έναντι υποψίας: τυχόν δείκτες (ανωμαλίες SIEM, μηνύματα από πωλητές/χρήστες, ιστότοποι Paste) ξεκινούν τη διαδικασία πριν από την απόρριψη.

3) Ταξινόμηση σοβαρότητας (παράδειγμα)

4) SLA και «γέφυρα περιστατικών»

Έναρξη: με το Medium +, δημιουργείται αίθουσα πολέμου (συνομιλία/κλήση), διορίζεται Διοικητής Συμβάντων (IC).

SLA: Χαμηλή - 24 ώρες· Μεσαία - 4 ώρες· Υψηλή - 1 ώρα· Κρίσιμη - 15 λεπτά

Επικαιροποίηση: κάθε 30-60 λεπτά (εσωτερικό), κάθε 2-4 ώρες (εξωτερικοί ενδιαφερόμενοι).

5) RACI (διευρυμένη)

6) Διαδικασία αντίδρασης (βήμα προς βήμα)

1. Ταυτοποίηση και πρωτογενής επικύρωση

Σήμα από το SIEM/EDR/κατά της απάτης/πωλητή/χρήστη → καταχώριση στο μητρώο συμβάντων.
Συλλογή ελάχιστων στοιχείων: τι/πότε/πού/πόσο, τύποι δεδομένων και δικαιοδοσίες επηρεάζονται.

2. Περιορισμός

Απενεργοποίηση ευάλωτων τελικών σημείων/χαρακτηριστικών, γεωγραφικών τμημάτων, χρονικών ορίων, εκλύσεων κατάψυξης.
Εναλλαγή κλειδιού/μάρκας, ανάκληση πρόσβασης, εμπλοκή των διακυβευόμενων λογαριασμών.

3. Εξάλειψη

Διόρθωση patch/config, καθαρισμός κακόβουλων αντικειμένων, ανακατασκευή εικόνων, έλεγχος υπο-επεξεργαστών.

4. Ανάκτηση (ανάκτηση)

Είσοδος καναρινιών, παρακολούθηση παλινδρόμησης, έλεγχοι ακεραιότητας διέλευσης.

5. Εγκληματολογία και εκτίμηση αντικτύπου

Υπολογισμός του όγκου, της ευαισθησίας, των γεωγραφιών, του κινδύνου για τους συμμετέχοντες. επιβεβαίωση των επηρεαζόμενων αρχείων.

6. Κοινοποιήσεις και ανακοινώσεις

DPO/Νομικός προσδιορισμός του καθήκοντος και του χρονοδιαγράμματος των προκηρύξεων· την προετοιμασία των κειμένων· διανομή στους αποδέκτες.

7. Μεταθανάτια και CAPA

Ανάλυση βασικής αιτίας (5 Whys), διορθωτικό/προληπτικό σχέδιο δράσης με ιδιοκτήτες και χρονοδιαγράμματα.

7) Παράθυρο 72 ωρών και νόμιμοι αποδέκτες (ορόσημα)

Επιτήρηση δεδομένων (DPA) - κοινοποίηση το αργότερο 72 ώρες μετά την ανίχνευση σημαντικής διαρροής, εάν δεν αποκλείεται ο κίνδυνος για τα δικαιώματα/τις ελευθερίες των υποκειμένων.
Χρήστες - «χωρίς αδικαιολόγητη καθυστέρηση» με υψηλό κίνδυνο (με σαφείς συστάσεις).
Ρυθμιστική αρχή τυχερών παιχνιδιών - όταν επηρεάζει τους παίκτες/βιωσιμότητα/υποβολή εκθέσεων.
Τράπεζες/ΠΥΠ - με κίνδυνο πληρωμών/συμβιβασμού μαρκών/ύποπτων συναλλαγών.
Εταίροι/πωλητές - εάν επηρεάζονται κοινές ροές/δεδομένα ή απαιτείται δράση.

8) Εγκληματολογία και «αλυσίδα κηδεμονίας αποδεικτικών στοιχείων»

Στιγμιότυπα όγκων/κορμών, εξαγωγή αντικειμένων με θραύση (SHA-256).
Εργασίες μόνο με αντίγραφα/στιγμιότυπα. συστήματα πηγής - μόνο ανάγνωση.
Πρωτόκολλο δράσης: ποιος/πότε/τι έκανε, εντολές/εργαλεία που χρησιμοποιήθηκαν.
Αποθήκευση σε WORM/αποθήκευση αντικειμένου. περιορισμένη πρόσβαση, λογιστικός έλεγχος.

9) Ανακοινώσεις (εσωτερικές/εξωτερικές)

Αρχές: γεγονότα → μέτρα → συστάσεις → την ακόλουθη επικαιροποίηση.
Είναι αδύνατο: η δημοσίευση του PII, η οικοδόμηση μη δοκιμασμένων υποθέσεων, η υπόσχεση προθεσμιών χωρίς έλεγχο.

• Τι βρίσκεται;· Κλίμακα/κατηγορίες· Τρέχοντα μέτρα· Κίνδυνοι· Επόμενα βήματα· Επόμενη ενημέρωση σε HH: MM.

10) Αλληλεπίδραση με πωλητές/υπεργολάβους

Ελέγξτε τα μητρώα συμβάντων, τα αρχεία καταγραφής πρόσβασης, τις SLA ειδοποίησης, τον κατάλογο υπεργολάβων.
Αναφορές αιτήσεων (pentest/rate), επιβεβαίωση εγγραφής διαγραφής/επιστροφής δεδομένων.
Σε περίπτωση αναντιστοιχίας DPA - κλιμάκωση και προσωρινή απομόνωση/αναστολή της ενσωμάτωσης.

11) Υποδείγματα κοινοποίησης (τμήματα)

11. 1 Εποπτική Αρχή (DPA)

Σύντομη περιγραφή του συμβάντος και του χρόνου ανίχνευσης, των κατηγοριών/κατά προσέγγιση όγκου των δεδομένων, των ομάδων θεμάτων, της γεωγραφίας, των συνεπειών και των κινδύνων, των μέτρων που ελήφθησαν/σχεδιάστηκαν, της επαφής των ΥΠΔ, των εφαρμογών (χρονοδιάγραμμα, περίληψη χασίς).

11. 2 Χρήστες

Τι συνέβη? ποια δεδομένα ενδέχεται να έχουν επηρεαστεί· τι κάναμε? τι μπορείτε να κάνετε (αλλαγή κωδικού πρόσβασης, έλεγχος συναλλαγών, συμβουλές phishing)· τον τρόπο επαφής· σύνδεση με συχνές ερωτήσεις/κέντρο υποστήριξης.

11. 3 Εταίροι/ΠΥΠ/Ρυθμιστική Αρχή

γεγονότα και επηρεαζόμενες διεπαφές· Αναμενόμενες προθεσμίες για τις δράσεις των εταίρων· πρόσωπα επικοινωνίας.

12) Μητρώο συμβάντων (ελάχιστα πεδία)

ID· Χρόνος ανακάλυψης/επιβεβαίωσης· σοβαρότητα· πηγή· συστήματα/δεδομένα· πεδίο εφαρμογής/κατηγορίες· γεωγραφίες· εμπλεκόμενοι προμηθευτές· ενέργειες που αναλαμβάνονται (εγκαίρως)· κοινοποιήσεις (έως/πότε)· υπεύθυνοι (RACI)· αναφορές σε αντικείμενα· CAPA/Προθεσμίες· Κατάσταση·

13) Μετρήσεις και στόχοι

MTTD/MTTC/MTTR (ανίχνευση/περιορισμός/ανάκτηση).
% των κοινοποιήσεων στις 72 ώρες - 100%.
Το ποσοστό των περιστατικών με προσδιορισμένη αιτία ≥ 90%.
Οι CAPA είναι κλειστές ≥ 95%.
Επαναλαμβανόμενα περιστατικά για έναν λόγο ≤ 5%.
Ποσοστό περιστατικών που έκλεισαν στο SLA (μέσο/υψηλό/κρίσιμο): 90/95/99%.

14) Κατάλογοι ελέγχου

14. 1 Έναρξη (πρώτα 60 λεπτά)

• Εκδιδόμενη IC και ανοικτή αίθουσα πολέμου
• Μέτρα σταθεροποίησης (αποσύνδεση/όρια/περιστροφή κλειδιού)
• Συλλογή ελάχιστων δεδομένων και στιγμιότυπων/αρχείων καταγραφής
• ΥΠΔ/Νόμιμη γνωστοποίηση, καθορισμένη προκαταρκτική κλάση
• Έκλυση καταψύξεων και πρωτόκολλα καθαρισμού ημερολογίου

14. 2 Έως 24 ώρες

• Εγκληματολογία: πεδίο εφαρμογής/κατηγορίες/γεωγραφία (σχέδιο)
• Απόφαση κοινοποίησης, προετοιμασία κειμένων
• Σχέδιο ανάκαμψης/ακεραιότητας
• Πακέτο αποδεικτικών στοιχείων του WORM, Χρονοδιάγραμμα γεγονότων

14. 3 Έως 72 ώρες

• Κοινοποιήσεις DPA/Ρυθμιστικής Αρχής/PSP (εάν απαιτείται)
• Comm to users (υψηλού κινδύνου)
• Επικαιροποιημένο σχέδιο, ιδιοκτήτες και χρονοδιάγραμμα CAPA

15) Τυπικά σενάρια και μέτρα

Α) Βάση δεδομένων συνομιλιών υποστήριξης εξαγωγών για το άνοιγμα τμήματος αποθήκευσης

Μέτρα: στενή πρόσβαση, τηλεφορτώσεις αποθεμάτων, κοινοποίηση επηρεαζόμενων, ενίσχυση των S3/ACL πολιτικών, κανόνες εξαγωγών DLP.

B) Συμβιβασμός σημάτων πρόσβασης API

Μέτρα: άμεση εναλλαγή, ανάκληση μαρκών ανανέωσης, επαλήθευση καταγραφής κλήσεων, επανυπογραφή webhook, κατάτμηση της κυκλοφορίας.

C) Διαρροή των σαρώσεων KYC μέσω του πωλητή

Μέτρα: απομόνωση της ολοκλήρωσης, επιβεβαίωση της διαγραφής, εκ νέου επαλήθευση των πελατών υψηλού κινδύνου χειροκίνητα, αναθεώρηση των DPA/μειώσεων.

D) Δημοσίευση σε δημόσια χωματερή

Μέτρα: στερέωση αντικειμένων (hashes), άρση των νομικών δεσμών (αφαίρεση), κοινοποιήσεις, παρακολούθηση περαιτέρω δημοσιεύσεων.

16) Ενσωμάτωση της συμμόρφωσης και της ιδιωτικής ζωής

Δέσμη με διαδικασίες GDPR: DSAR, RoPA, DPIA/DTIA. επικαιροποίηση της πολιτικής και των cookies/CIW σε περίπτωση αλλαγών στους προμηθευτές/στόχους.
Συμπερίληψη του συμβάντος στον πίνακα κινδύνου και αναθεώρηση των κατώτατων ορίων/ελέγχων.

17) CAPA και μεταθανάτια (≤ 72 ώρες μετά τη σταθεροποίηση)

Δομή αναφοράς: γεγονότα/χρονοδιάγραμμα· αντίκτυπος· αιτία· τι λειτούργησε/όχι· κατάλογος CAPA (ιδιοκτήτης, όρος, κριτήριο επιτυχίας)· ημερομηνία ελέγχου αποτελεσματικότητας (σε 30-60 ημέρες).

18) Χάρτης πορείας για τη λήξη της διαδικασίας

Μήνας 1: ενημέρωση του playbook, επαφές, πρότυπα, αρχείο WORM, δοκιμή κοινοποίησης.
Μήνας 2: ασκήσεις tabletop (διαρροή PII/πωλητής/μάρκες), βιβλία SOAR.
Μήνας 3 +: τριμηνιαίες αναδρομικές αξιολογήσεις, έλεγχοι πωλητών, δοκιμές μεροληψίας των μοντέλων καταπολέμησης της απάτης/ανίχνευσης, τακτική αναθεώρηση των κατώτατων ορίων.

TL, DR

Σε περίπτωση διαρροής: σταθεροποιούμε γρήγορα (περιορισμό), επιβεβαιώνουμε με ακρίβεια (εγκληματολογία), ειδοποιούμε εγκαίρως (DPA/χρήστες/συνεργάτες), τεκμηριώνουμε με διαφάνεια (μητρώο, χρονοδιάγραμμα, αποδεικτικά στοιχεία) και διορθώνουμε τη βασική αιτία (CAPA). Το αποτέλεσμα είναι μικρότερη ζημία, συμμόρφωση και αποκατάσταση της εμπιστοσύνης των παικτών και των εταίρων.