Խախտումների և հաշվետվությունների ժամկետների մասին ծանուցումներ

1) Նշանակումներ և տարածք

Տեղադրել պարտադիր ծանուցումների միասնական, ստուգված և կրկնվող կարգը Վիրահատությունների և Կոմպլանսի կոնտակտներում, տվյալների անվտանգությունը, վճարումները/ֆինանսական վիրահատությունները, կարգավորող պահանջները, պատասխանատու խաղը, գործընկերությունը, հեղինակության ռիսկերը։ Փաստաթղթը սահմանում է ժամկետներ, հասցեներ, հասցեներ, ինչպես նաև պատրաստման և վերահսկման ընթացակարգեր։

2) Հիմնական տերմինները

Reportable incident (տեղեկացված դեպքը) 'իրադարձություն, որտեղ օրենքի/լիցենզիայի/լիցենզիայի միջոցով արտաքին կողմերին ծանուցում է պահանջվում։

DPA-ը տվյալների պաշտպանության օրգանն է (GDPR և անալոգներ)։

FIU - ֆինանսական հետազոտություն (AML/CFT; SAR/STR).

PMS/Acquirer/Card Scheme - հիբրիդային պրովայդերներ/ecwayers/հիբրիդային համակարգեր։

CBS/CSIRT-ը ազգային/արդյունաբերական կենտրոններն են, որոնք կապված են կիբերանվտանգության պատահականության վրա։

LEA իրավաբանական օրգաններ են։

Holding statatium-ը առաջին ռուսական ծանուցումն է հիմնական փաստերով և հաջորդ ապդեյթի ժամանակ։

3) Տեղեկացված իրադարձությունների դասարանները (կատեգորիաներ)

1. IB/գաղտնիությունը 'PII/findance արտահոսքը, վերջնական գրառումների փոխզիջումը։

2. Խաղային կարգավորիչ 'ձախողումներ, որոնք ազդում են խաղի/ազնվության/հավասարակշռության հասանելիության վրա։ լիցենզիայի/գովազդի պայմանները/RG։

3. AML/CFT: Կասկածելի վիրահատություններ/արտոնագրեր www.SAR/STR-ում FIU-ում։

4. Վճարումները 'PSA-ի զանգվածային անհասանելիությունը, բարձր շեղումները, վճարող տվյալների փոխզիջումը։

5. Սպառողը/խաղացողը 'մարդկանց պատասխանները (www.breach, դրամական վիրահատություններ, ռուսական։ միջոցներ)։

6. Գործընկերներ/աֆֆիլիատներ/պրովայդերներ 'ազդեցություն թրկինգի, հաշվետվությունների, ֆինանսական հաշվարկների վրա։

7. CBS/LEA 'կիբերհանցագործություններ հասարակական կարևորությամբ, ֆիշինգը/բրենդի կլոնավորումը։

8. Աուդիտ/լիցենզիայի սեփականատերերը 'SLA հաշվետվությունների համապատասխանությունը, վերացման ապացույցը։

4) Մատրիցա (ուղեցույցներ)

5) RACI և դերերը

IC (Incident Commander) - թայմլայնի և «war room» սեփականատերը։ (A)

Legal/Compliance Lead-ը «reportable» որակավորում է, հասցեների և հասցեների ընտրություն, վերջնական նշանը։ (R/A)

Direct Lead-ը IB փաստերն է, փոխզիջման ծավալը/PII, փոխազդեցությունը CBS/LEA-ի հետ։ (R)

Payments Lead-ը PSA/bank/սխեմա, PCI հարցեր, բարձրացումներ/chargebacks։ (R)

Comics Lead-ը ուղարկման տեքստն ու ալիքն է, կարգավիճակը-էջը, CS-ի մակրոսները։ (R)

Express/Analyt.ru-ը ազդված սուբյեկտների/գործարքների իրականացումն է, ազդեցության գնահատումը։ (R)

CS/CRM Lead-ը խաղացողներին ծանուցումների առաքումն է, փոխհատուցումը։ (R)

Exec Sponsor/CEO-ը S1 հանրային հայտարարություններն են։ (C/I)

6) Անցումային գործընթացը (հայտնաբերումից մինչև փակումը)

Ա. Ծանուցման սահմանումը

դետեկտիվացումը իրավաբանական որակավորում (Legal) բացատրում է «reportable» լուծումը։ ո՞ վ։ վերջնաժամկետն է։ ».

Բ. Պատրաստումը

փաստերի/արտեֆակտների հավաքումը բացատրում է լրջության դասակարգումը www.ru (Legal/Comics/IC)։

C ուղարկումը և տրամաբանությունը

առաքումը (կարգավորիչի պորտալներ, պաշտպանված փոստ, API, թղթի ձևեր) բացատրում է ուղարկման ժամանակի ամրագրումը և ստացման հաստատումը։

D. Apdeita

Ըստ ժամանակացույցի/Whames-ի, տեքստերի տարբերակների կառավարումը համապատասխանում է կարգավիճակի հետ համաժամեցմանը։

E. Finalization

մրցույթի եզրափակիչ զեկույցը CAPA պլանն է։

7) Ծանուցման նվազագույն կազմը (կմախքը)

1. Մոսկվան, ամսաթվերը/ժամանակը (UTC և տեղական)։

2. Նշված է իրադարձության և ազդեցության շառավղի նկարագրությունը։

3. Տվյալների/հաճախորդների/վիրահատությունների կատեգորիաները, որոնք ազդեցին։

4. Ֆինանսական միջոցները (բեռնարկղը/վերականգնումը)։

5. Ռիսկի գնահատումը և ներկա կարգավիճակը։

6. Քայլերի պլանը և ETA հաջորդ ապդեյթ։

7. Կոնտակտային դեմքը/հետադարձ կապի ալիքը։

8. Իրավաբանական գրառումներ լիցենզիայի/ընկերության (եթե պահանջվում է)։

9. Ծրագրերը ՝ թայմլայնը, տեխնոլոգիական արտեֆակտները, սուբյեկտների ցանկը։

8) Ձևանմուշներ (արագ շարժիչներ)

8. 1 DPA (տվյալների արտահոսք, առաջնային ծանուցում)

Իրադարձություն/հայտնաբերման ամսաթիվը

Տվյալների կատեգորիաները/ծավալը/աշխարհագրությունը

Վնասի նվազեցման միջոցները (հոսանքների նետումը, MFA, 108)

Ռիսկերի գնահատում սուբյեկտների համար

Սուբյեկտների և ժամկետների ծանուցման պլանը

Կապ DPO/Legal

8. 2 խաղացողներ (www.breach)

Թեմա ՝ Կարևոր տեղեկատվություն ձեր հաշիվի անվտանգության մասին

Մարմինը 'ինչ տեղի ունեցավ (առանց տեխնիկայի։ մանրամասները և առանց PII), թե ինչ միջոցներ են ձեռնարկվել, ինչ անել խաղացողին հիմա (փոխել գաղտնաբառը, միացնել MFA), որտեղ վերահսկել ապդեյտները, ինչպես ստանալ օգնություն/փոխհատուցում։

8. 3 Խաղային կարգավորիչ (հասանելիության/ազնվության ձախողում)

Ի՞ նչ ՝ ծառայություն/խաղեր/դրամապանակ, ժամանակային կայունություն, գոտիներ

Ազդեցությունը 'տոկոսներ/թվեր/հավասարակշռություններ

Միջոցներ 'պատասխան, պահուստ, safe-mode դրամապանակ

Ակնկալվող ETA վերականգնումը, ազնվության/հավասարակշռությունների վերահսկումը

Վերջնական ստուգման և հաշվետվությունների ծրագիր

8. 4 FIU (SAR/STR, հակիրճ)

Կասկածության փաստերն ու հիմքերը (առանց «հաճախորդի նախազգուշացման»)

Գումարներ/կապված հաշիվներ/վարքի մոդելներ

Ծրագրեր (գործարքներ/կապի գրաֆիկ)

AML-ի համար պատասխանատու կապը

8. 5 PSP/Acquirer/Card Scheme:

Ի՞ նչ տեղի ունեցավ (ազդանշանների սխեմաներ/մեթոդներ), PCI ռիսկերի մարկերներ

Բիզնեսի ազդեցությունը (auth-rate, հրաժարումը/latency)

Տեխնիկական միջոցներ/բայպասներ, համատեղ ախտորոշման խնդրանք

Հաճախորդների փոխհատուցման պլանը/վերադարձի վերամշակում

8. 6 CERT/CSIRT:

Փոխզիջման (IoC), TTP, վեկտորներ

Ֆինանսական միջոցներ և մնացած ռիսկերը

Հեռուստաչափության համակարգման/կրճատման հարցում

9) Չեկ թերթերը

Առաջին ծանուցում ուղարկելուց առաջ

• Փաստերը ապացուցված են. գաղտնիքները/PII։
• Համաձայնեցված է Legal/Compliance-ի հետ; ընտրվում է հասցեատերը/ալիքը։
• Նշված է հաջորդ ապդեյթը (ամսաթիվը/ժամանակը/ալիքը)։
• Գրանցվել են սքրինշոտներ/ARTEFACTS-ը և դիմումների ծանր գումարը։
• Ստուգված է տեղայնացումը/լեզուն (եթե պահանջվում է)։

Ուղարկելուց հետո

• Ստացվեց թիկետի/կադաստրային ID։
• Ստեղծվել է ապդեյտների և սեփականատերերի պլանը։
• Տեքստերը համաժամեցված են կարգավիճակի վրա/FAQ/CS մակրո։

Lenta.ru

• Վերջնական զեկույցը ուղարկվել և ապացուցվել է։
• CAPA-ն գրանցված է արդյունավետության ժամկետներով և չափումներով։
• Ռետրոն կատարվեց 387 օր։

10) Մոսկվան և հասցեատերը (տվյալների կառուցվածքը)

Այն պահպանվում է Git/Systluence-ում աղյուսակի տեսքով (տարբերակվում է, սեփականատերը Legal)

11) Արտեֆակտները և վերականգնումը

Timline (րոպեանոց ճշգրտություն), բոլոր ծանուցումների տարբերակները, հայտարարությունների հաստատումը։

Նրանք։ արտեֆակտներ ՝ լոգներ, տիկնայք, մեթրիկի արտահանումը, IoC, միգրացիայի նկարները։

Սուբյեկտների/գործարքների ցուցակները, որոնք օգտագործվում են ծանուցման/փոխհատուցման համար։

Ռենտենիա 'պահեստավորում համաձայն օրենքի/օրենքների պահանջներին (սովորաբար 1-7 տարի, հաշվարկվում է իրավասությամբ)։

12) Մետրիկի

Timeliness: Ծանուցումների տոկոսը ուղարկվել է ժամանակին (կատեգորիաներով)։

Completeness: ծանուցումների մասը առաջին անգամ (առանց ուղղումների հարցումների)։

Acknowledg.ru SLA-ն հաստատման միջին ժամանակն է։

Corate Discipline-ը 'apdeit ընդմիջումների պահպանումը։

CAPA Efficacy: CAPA-ի մասը ժամանակին։

13) Գործիքներ և ավտոմատիզացիա

Պատահականություն '"/notify <կատեգորիա>, ավտոմեքենաների տեղադրում 2019/ջրանցքներ, dedlines հիշեցումներ։

Ձևանմուշը 'ծանուցումների հավաքումը 105 ռուբլիից։ տարբերակները/տեղայնացումը։

Կարգավիճակ-էջ 'համաժամանակ արտաքին ապդեյթների հետ։ TFC (Time-to-statium) վերահսկումը։

SOAR/SIEM 'արտեֆակտների ավտոմատ հավաքումը DPA/CBS համար։

MSH/CRM 'բարձրացված սուբյեկտների հատվածները, առաքման և հայտնագործությունների ճեղքումը։

14) Փոփոխությունների կառավարումը (governae)

Մրցույթի սեփականատերը 'Head of Compliance (պահեստը Legal Counsel)։

Հետաքննության վերանայումը (թիվ 10) 'ոչ պակաս, քան եռամսյակային և յուրաքանչյուր S1/S2-ից հետո։

Ուսուցումներ ՝ table-top DPA/Regulator/AML-ը եռամսյակային է։ 71-71 IB-ը վեց ամիս է։

Աուդիտ 'տարեկան անկախ ստուգումը կատարվում է ժամկետներով և ամբողջական ծանուցումներով։

15) Արագ սկիզբը (ներդրումը 30 օրվա ընթացքում)

1. Ստեղծել պարտադիր հասցեների ցանկը բոլոր բյուջեներում/շուկաներում և զբաղեցնել գրանցամատյանում (թիվ 10)։

2. Հաստատել ծանուցման ձևանմուշները (388) և դրանք միացնել բոտին։

3. Տեղադրել SLA-մետրիկները (թիվ 12) և dashbord «Regulatory Reporting» -ը։

4. Ուսուցում անցկացնելը 'wwww.breach no DPA + խաղացողներ, PSA, AML-SAR www.FIU։

5. Միացրեք dedlines-ի հիշեցումները և holding statements-ի ավտոմատ արտադրությունը։

6. Սկսել ռետրոն առաջին ուսուցումից հետո, նորարարել պլեյբուսները։

Հարակից բաժինները

Ճգնաժամային կառավարում և հաղորդակցություն

Պատահական պլեյբուսներ և սցենարներ

Բիզնեսի շարունակականության պլանը (BCP)

Disaster Recovery Plan (DRP)

Էսկալացիայի մատրիցա

Ծանուցման և ալտերտերի համակարգը

Պատասխանատու խաղը և խաղացողների պաշտպանությունը