Περιστατικό και απόκριση διαρροής

1) Σκοπός, αρχές και πεδίο εφαρμογής

Στόχος: μείωση των ζημιών και των νομικών κινδύνων, διασφάλιση της συνέχειας των επιχειρήσεων και της δυνατότητας απόδειξης των ενεργειών σε περίπτωση συμβάντων ασφάλειας/συμμόρφωσης.
Αρχές: «να περιέχει γρήγορα → να επιβεβαιώνει με ακρίβεια → διαφανή έγγραφα → να κοινοποιεί νομίμως → να εμποδίζει την επανάληψη».

Κάλυψη: συμβάντα στον κυβερνοχώρο (DDoS, ATO, αμυχές, τρωτά σημεία), διαρροές δεδομένων PII/πληρωμής, παραβιάσεις AML/KYC/κυρώσεις, αποτυχίες παρόχου (KYC/PSP), συμβάντα διαφήμισης/υπευθυνότητας τυχερών παιχνιδιών (RG G),

2) Ταξινόμηση και ενεργοποιήσεις αυστηρότητας

3) Κλιμακώσεις SLA και «γέφυρα συμβάντων»

Έναρξη: Το High/Critical δημιουργεί αίθουσα πολέμου (συνομιλία/κλήση), αναθέτει Διοικητή Συμβάντων (IC).

SLA: Πληροφορίες - n/a; Χαμηλή - 24 ώρες· Μέσο - 4 ч, Υψηλή - 1 ώρα, Κρίσιμο - 15 λεπτά

Ρόλοι γέφυρας: IC, επικεφαλής ασφαλείας, SRE/Ops, συμμόρφωση (αναπληρωτής IC για τη νομιμότητα), νομικός/ΥΠΔ, πληρωμές/FRM, υποστήριξη/VIP, δημόσιες σχέσεις/κοινότητες, στοιχεία/εγκληματολογία.

4) Διαδικασία απόκρισης (στοίβα SANS/NIST στην προσαρμογή)

1. Προετοιμασία: εγχειρίδια, λίστες επαφής, εφεδρικοί πάροχοι, ειδοποιήσεις δοκιμών, «προκαθορισμένες κλειστές» προσβάσεις.
2. Ταυτοποίηση: συσχετισμοί SIEM/SOAR, κανόνες για την καταπολέμηση της απάτης, σήματα KRI. επιβεβαίωση γεγονότος/όγκου.
3. Περιορισμός: κατάτμηση, απενεργοποίηση ευάλωτων χαρακτηριστικών/τελικό σημείο, γεωγραφικοί περιορισμοί, σημαίες χαρακτηριστικών, χρονικά όρια/κύτη.
4. Εξάλειψη (Εξάλειψη): έμπλαστρο/περιστροφή κλειδιού, μπλοκ λογαριασμών/συσκευών, καθαρισμός κακόβουλων αντικειμένων, επανασυναρμολόγηση εικόνων.
5. Ανάκτηση: επικύρωση ακεραιότητας, σταδιακή συμπερίληψη της κυκλοφορίας (δεξαμενές καναρινιών), παρακολούθηση παλινδρόμησης.
6. Μετά το συμβάν: μεταθανάτια, σχέδιο CAPA, επικαιροποιημένες πολιτικές/κατώτατα όρια/μοντέλα.

5) Νομικές ανακοινώσεις και εξωτερικές ανακοινώσεις

• Επιτήρηση δεδομένων (DPA): επιβεβαιωμένη γνωστοποίηση διαρροής PII (περιγραφή συμβάντων, κατηγορίες δεδομένων, μέτρα, επαφή με ΥΠΔ).
• Ρυθμιστική αρχή τυχερών παιχνιδιών: Μαζικές παραβιάσεις των κανόνων RG/διαφήμισης/αστοχίες που επηρεάζουν τους παίκτες/υποβολή εκθέσεων.
• Τράπεζες/ΠΥΠ: ύποπτες δραστηριότητες/υποθέσεις ΕΔΠ, μαζικές χρεώσεις, συμβιβασμός της ροής πληρωμών.
• Χρήστες: διαρροή των δεδομένων τους/υψηλός κίνδυνος βλάβης· υποδείγματα γραμμάτων και συχνές ερωτήσεις.
• Συνεργάτες/πωλητές: συμβάντα με αυτούς ή με εμάς που επηρεάζουν κοινές ροές/δεδομένα.

Κανόνες Comm: ενιαίος ομιλητής, γεγονότα χωρίς εικασίες, σαφείς ενέργειες/συστάσεις, αποθήκευση όλων των εκδόσεων μηνυμάτων και απαντήσεων.

6) Εγκληματολογία και «αλυσίδα επιμέλειας» (αλυσίδα επιμέλειας)

Καταγράφεται ποιος/πότε/τι συλλέχθηκε· χρήση WORM/μη τροποποιήσιμη αποθήκευση.
Στιγμιότυπα όγκου/καταγραφής, που εξάγουν τεχνουργήματα μέσω hashing (SHA-256).
Πρόσβαση μόνο ανάγνωσης, εργασία μέσω αντιγράφων.
Έγγραφο όλων των εντολών/βημάτων. αποθηκεύει το χρονοδιάγραμμα.
Συμφωνία με τον νομικό/ΥΠΔ σχετικά με τους όρους μεταφοράς αντικειμένων σε τρίτους.

7) Ελεγχόμενες επικοινωνίες (εσωτερικές/εξωτερικές)

Να: συνοπτικά, πραγματικά, συμφωνημένα με τα ΣΔ/Νομικά. Προσδιορίστε την επόμενη θέση ενημέρωσης (π.χ. κάθε 60 λεπτά).
Μην: υποθέσεις ως γεγονότα, αποκαλύψεις PII, ισχυρισμοί, υποσχέσεις για προθεσμίες ανεξέλεγκτες.

• Τι συνέβη ;/Σοβαρότητα/Περιοχή επιρροής/Μέτρα που ελήφθησαν/Επόμενα βήματα/Επόμενη ενημέρωση το...

8) Τυπικό domain playbook 'και

Α) Διαρροή PII (εφαρμογή/υποστήριξη/πωλητής)

1. Γέφυρα-λεπτά πάγωμα ύποπτων τελικών σημείων/κλειδιών την αύξηση του ελέγχου της πρόσβασης στα δεδομένα.
2. Ρυθμός: προσδιορισμός της πηγής/του όγκου/των τύπων PII, χρονική γραμμή.
3. Ενέργειες: εναλλαγή μυστικών, διορθώσεων, αναθεώρηση δικαιωμάτων, απομόνωση του πωλητή.
4. Κοινοποιήσεις: DPA/ρυθμιστική αρχή/χρήστες/εταίροι (εφόσον απαιτείται).
5. Υποστήριξη παίκτη: Συχνές ερωτήσεις, δίαυλος υποστήριξης, συστάσεις (αλλαγή κωδικού πρόσβασης/απάτη).
6. Μεταθανάτια και CAPA.

B) Συμβιβασμός λογαριασμών παικτών (ATO/credential fuffing)

1. Ακίδα σε σήματα ATO → ενίσχυση limit/2FA-enforce/WebAuthn ρυθμού, προσωρινά μπλοκ εξόδου.
2. Ομαδοποίηση συσκευών/IP, αποστολή ειδοποιήσεων σε όσους επηρεάζονται, επαναρύθμιση σημάτων.
3. Ελέγξτε τις χρηματοοικονομικές συναλλαγές, εφόσον απαιτείται, SAR.

Γ) Άρνηση του CUS/παρόχου κυρώσεων

1. Μετάβαση σε εφεδρικό πάροχο, περιορισμός ταχείας εξόδου, χειροκίνητη ροή για VIP.
2. Comm για τους διαχειριστές υποστήριξης και VIP· κατά τη σύσφιξη - ενημέρωση της ρυθμιστικής αρχής/των τραπεζών (εάν επηρεάζει τους ελέγχους).

Δ) PSP/περιστατικό πληρωμής (χρέωση/συμβιβασμός)

1. Ενεργοποίηση αυστηρών κανόνων 3DS/AVS, ορίων πτώσης και ταχύτητας. κατέχει ομάδες κινδύνου.
2. Ενημερώστε τον PSP/τράπεζα. με σημάδια νομιμοποίησης εσόδων από παράνομες δραστηριότητες - EDD/SAR.
3. Ανάκτηση και έλεγχος απορριφθείσας κίνησης.

Ε) DDoS/μη διαθεσιμότητα

1. Ενεργοποίηση WAF/γεωγραφικής κοπής/καθαρισμού· εκλύσεις «παγετού».
2. Συμπερίληψη των περιφερειών στις Κανάριες Νήσους, έλεγχος SLO. μετά θάνατον όσον αφορά την ανθεκτικότητα.

9) Εργαλεία και τεχνουργήματα

SIEM/SOAR, IDS/IPS, WAF, EDR, DLP, μυστικός διαχειριστής, εναλλαγή θησαυροφυλακίου, ανίχνευση ανωμαλίας κατά της απάτης, μητρώο συμβάντων, υποδείγματα κοινοποίησης.
Τεχνουργήματα: μητρώο συμβάντων, πρωτόκολλο γέφυρας (χρονοδιάγραμμα), αναφορά εγκληματολογίας, πακέτο κοινοποίησης (ρυθμιστής/χρήστες/τράπεζες), μετά θάνατον, ανιχνευτής CAPA.

10) Μετρήσεις και στόχοι

MTTD (χρόνος ανίχνευσης), MTTC (πριν από τη συγκράτηση), MTTR (πριν από την ανάκτηση).
Ποσοστό περιστατικών με διαπιστωμένη αιτία ρίζας ≥ 90%.
Ποσοστό ολοκλήρωσης CAPA ≥ 95%.
Το ποσοστό επαναλαμβανόμενων συμβάντων για τον ίδιο λόγο ≤ 5%.
Το ποσοστό των περιστατικών που έκλεισαν στην SLA: Medium ≥ 90%, High ≥ 95%, Critical ≥ 99%.

11) RACI (διευρυμένη)

Διοικητής συμβάντων (Ops/Sec): A για τη διαχείριση, τη λήψη αποφάσεων, το χρονοδιάγραμμα.
Επικεφαλής ασφαλείας (R): τεχνολογία. ανάλυση, εγκληματολογία, περιορισμός/εξάλειψη.
Συμμόρφωση/ΥΠΔ (R/A για νομιμότητα): χαρακτηρισμός διαρροής, κοινοποιήσεις, κατάλογος αλληλογραφίας.
Νομικό (Γ): νομική αξιολόγηση, συμβάσεις/συμβάσεις, διατύπωση επιστολών.
SRE/Μηχανική (R): διορθώσεις, παλμοί, σταθερότητα.
Πληρωμές/FRM (R): κατώφλια, κατώφλι καταπολέμησης της απάτης, αλληλεπίδραση με ΠΥΠ/τράπεζες.
PR/Comms (R): εξωτερικά μηνύματα, Q&A για υποστήριξη.
Υποστήριξη/VIP (I/C): εμπρός στην επικοινωνία με τους παίκτες.

12) Υποδείγματα (ελάχιστο σύνολο)

12. 1 Κάρτα περιστατικού (μητρώο)

ID· Χρόνος ανακάλυψης· Κατηγορία/σοβαρότητα· Επηρεασμένη (συστήματα/δεδομένα/δικαιοδοσίες)· IC· Ιδιοκτήτης τεχνολογίας/επιχείρησης· Πρώτα μέτρα· Όγκος/εκτίμηση ζημιών· Κοινοποιήσεις (έως/πότε)· Σύνδεσμοι με αντικείμενα· Κατάσταση/CAPA/προθεσμίες.

12. 2 Κοινοποίηση στους χρήστες (συμπίεση)

Τι συνέβη? ποια δεδομένα ενδέχεται να έχουν επηρεαστεί· τι κάναμε? τι σας συνιστούμε; στοιχεία επικοινωνίας· αναφορά πολιτικής/συχνές ερωτήσεις.

12. 3 Μεταθανάτια (δομή)

Γεγονότα/Χρονοδιάγραμμα· Αντίκτυπος· Αιτία ρίζας (5 Whys)· Τι λειτούργησε/δεν λειτούργησε· CAPA (ιδιοκτήτης/προθεσμία)· Έλεγχος αποτελεσματικότητας μετά από N εβδομάδες.

13) Ολοκλήρωση με τις επιχειρήσεις και συμμόρφωση

CAB/Αλλαγή: επικίνδυνες αλλαγές - μόνο μέσω σημαιών/καναρινιών. κάθε έκδοση έχει σχέδιο ανατροπής.
Δεδομένα και αναφορά: αυτόματη συναρμολόγηση πινάκων των συμβάντων. επικοινωνία με τις KRI (κυρώσεις/PEP, KYC, CBR, ATO).
Κίνδυνοι: επικαιροποίηση της μήτρας και του μητρώου κινδύνου, βαθμονόμηση των κατωφλίων μετά από κάθε σημαντικό συμβάν.

14) Ασκήσεις και ετοιμότητα

Tabletop μία φορά το τέταρτο (διαρροή PII, βλάβη KYC, κύμα ATO, περιστατικό PSP).
Έλεγχοι κόκκινων/μπλε/μωβ ομάδων κοινές ασκήσεις με πωλητές και ΠΥΠ.
KPI ετοιμότητας: ποσοστό εργαζομένων που ολοκλήρωσαν την κατάρτιση· την επιτυχία της άσκησης· μέσος χρόνος «ανύψωσης γέφυρας».

15) Χάρτης πορείας για την εφαρμογή

1-2 εβδομάδες: επικαιροποίηση ρόλων/επαφών, προτύπων, εφεδρικών παρόχων.
3-4 εβδομάδες: SOAR playbooks, bridge channels, test notifications, WORM archive.
Μήνας 2 +: τακτικές ασκήσεις, λογιστικά αρχεία, αυτοματοποίηση της αναφοράς συμβάντων.

TL· DR

Ετοιμότητα = προσυμφωνημένοι ρόλοι και κατώτατα όρια + ταχεία γέφυρα + σκληρός περιορισμός + νόμιμες και έγκαιρες κοινοποιήσεις + εγκληματολογία με αλυσίδα αποδεικτικών στοιχείων + υποχρεωτικές νεκροψίες και CAPA. Αυτό ελαχιστοποιεί τις ζημίες, μειώνει τους κινδύνους επιβολής κυρώσεων και ενισχύει την εμπιστοσύνη των παικτών και των εταίρων.