მონაცემთა გაჟონვის პროცედურები
1) გამოყენების მიზანი და სფერო
მიზანი: ზიანის შემცირება, იურიდიული მოთხოვნების შესრულება და ნორმალური მუშაობის სწრაფად აღდგენა პირადი/გადახდის/ოპერაციული მონაცემების დადასტურებული ან სავარაუდო გაჟონვით.
გაშუქება: PII მოთამაშეები და თანამშრომლები, გადახდის არტეფაქტები, logs/წვდომის ნიშნები, KYC/AML დოკუმენტები, აფილიატების/პარტნიორების მონაცემები, პროდუქტებისა და ინფრასტრუქტურის კონფიდენციალური არტეფაქტები.
2) „გაჟონვის“ განმარტებები და კრიტერიუმები
მონაცემთა გაჟონვა (მონაცემთა გაჟონვა) - კონფიდენციალურობის, მთლიანობის ან პერსონალური მონაცემების (ან სხვა დაცული ინფორმაციის) დარღვევა უსაფრთხოების ინციდენტის ან პროცესის შეცდომის გამო.
დადასტურებული vs ეჭვმიტანილი: ნებისმიერი ინდიკატორი (SIEM ანომალიები, შეტყობინებები გამყიდველების/მომხმარებლებისგან, Paste საიტებიდან) იწყებს პროცედურას უარყოფამდე.
3) სერიოზულობის კლასიფიკაცია (მაგალითი)
4) SLA და ინციდენტის ხიდი
ინიციაცია: Medium + - ში იქმნება ომის ოთახი (ჩატი/ზარი), ინიცირებული Commander (IC) ინიცირებულია.
SLA: დაბალი - 24 საათი· საშუალო - 4 საათი· მაღალი - 1 საათი· Critical - 15 წთ
კადენსი აფდეიტი: ყოველ 30-60 წუთში (შიდა), ყოველ 2-4 საათში (გარე დაინტერესებული მხარეები).
5) RACI (გაფართოებული)
6) რეაგირების პროცედურა (ეტაპობრივი)
1. იდენტიფიკაცია და პირველადი იდენტიფიკაცია
სიგნალი SIEM/EDR/ანტიფროდი/მოვაჭრე/მომხმარებლისგან/მომხმარებლისგან - ჩანაწერი ინციდენტების რეესტრში.
მინიმალური ფაქტების შეგროვება: რა/როდის/სად/რამდენი, გავლენას ახდენს მონაცემთა ტიპები და იურისდიქციები.
2. Containment (შეკავება)
დაუცველი endpoints/fich გამორთვა, გეო-სეგმენტები, დროებითი ლიმიტები, გამოშვებების გაყინვა.
კლავიშების/ნიშნების როტაცია, წვდომის მიმოხილვა, კომპრომეტირებული ანგარიშების დაბლოკვა.
3. მოწყობა (აღმოფხვრა)
Patch/კონფისკაციის ფიქსი, მავნე არტეფაქტების გაწმენდა, სურათების შეცვლა, სუბპროცესორების შემოწმება.
4. რეკოვერი (აღდგენა)
კანარის ტრაფიკის შეყვანა, რეგრესიების მონიტორინგი, ჩეკების მთლიანობის გავლა.
5. Forenzic და ზემოქმედების შეფასება
საგნების მოცულობის, მგრძნობელობის, გეოგრაფიის გაანგარიშება, რისკი; განხილული ჩანაწერების დადასტურება.
6. შეტყობინებები და კომუნიკაციები
DPO/Legal განსაზღვრავს შეტყობინებების ვალდებულებას და ვადებს; ტექსტების მომზადება; გაგზავნეთ მიმღები.
7. პოსტ-mortem და CAPA
მიზეზების ანალიზი (5 Whys), მაკორექტირებელი/გამაფრთხილებელი ზომების გეგმა მფლობელებთან და ვადებთან.
7) 72-საათიანი ფანჯარა და იურიდიული ადრესატები (სახელმძღვანელო)
ზედამხედველობა (DPA) - აცნობეთ მნიშვნელოვანი გაჟონვის გამოვლენის შემდეგ არა უგვიანეს 72 საათისა, თუ არ არის გამორიცხული სუბიექტების უფლებების/თავისუფლებების რისკი.
მომხმარებლები - „გაუმართლებელი შეფერხების გარეშე“ მაღალი რისკის პირობებში (გასაგები რეკომენდაციებით).
აზარტული თამაშების რეგულატორი - როდესაც გავლენას ახდენს მოთამაშეებზე/სტაბილურობაზე/ანგარიშგებაზე.
ბანკები/PSP - ტოქსინების გადახდის/კომპრომისების რისკების დროს/საეჭვო გარიგებები.
პარტნიორები/გამყიდველები - თუ გავლენას ახდენს საერთო ნაკადები/მონაცემები, ან საჭიროა მათი მოქმედება.
8) Forenzica და „მტკიცებულების შენახვის ჯაჭვი“
ტომების/ლოგების სურათები, ჰეშირების არტეფაქტების ექსპორტი (SHA-256).
მუშაობა მხოლოდ ასლებით/სნაიპშოტებით; საწყისი სისტემები - read-only.
მოქმედების პროტოკოლი: ვინ/როდის/რა გააკეთა, გამოყენებული ბრძანებები/ინსტრუმენტები.
შენახვა WORM/ობიექტის საცავში; შეზღუდული წვდომა, აუდიტი.
9) კომუნიკაციები (შიდა/გარე)
პრინციპები: ფაქტები - ზომები, რეკომენდაციები - შემდეგი განახლება.
შეუძლებელია: PII- ის გამოქვეყნება, გადამოწმებული ჰიპოთეზების შექმნა, ვადების დაპირება კონტროლის გარეშე.
- რა არის ნაპოვნი? მასშტაბები/კატეგორიები· მიმდინარე ზომები· რისკები· შემდეგი ნაბიჯები HH: MM.
10) ურთიერთქმედება ვენდორებთან/ქვე-პროცესორებთან
შეამოწმეთ მათი ინციდენტების რეესტრები, წვდომის ლოგოები, SLA შეტყობინებები, სუბპროცესორების სია.
მოითხოვეთ მოხსენებები (პენტესტი/წინსვლა), ჩაწერეთ მონაცემთა წაშლის/დაბრუნების დადასტურება.
DPA- ს შეუსაბამობის შემთხვევაში - ესკალაცია და დროებითი იზოლაცია/ინტეგრაციის შეჩერება.
11) შეტყობინებების შაბლონები (ფრაგმენტები)
11. 1 ზედამხედველი (DPA)
გამოვლენის მოვლენისა და დროის მოკლე აღწერა, კატეგორია/სავარაუდო მონაცემების რაოდენობა, სუბიექტების ჯგუფი, გეოგრაფია, შედეგები და რისკები, მიღებული/დაგეგმილი ზომები, DPO კონტაქტი, პროგრამები (დრო, ჰეშტის შეჯამება).
11. 2 მომხმარებლები
რა მოხდა; რა მონაცემები შეიძლება დაზარალდეს; რაც გავაკეთეთ; რა შეგიძლიათ გააკეთოთ (პაროლის შეცვლა, გარიგების კონტროლი, ფიშინგის რჩევები); დაუკავშირდით; ბმული FAQ/დამხმარე ცენტრზე.
11. 3 პარტნიორები/PSP/რეგულატორი
ფაქტები და გავლენა ინტერფეისები; პარტნიორის მოსალოდნელი ქმედებები; ვადები; საკონტაქტო პირები.
12) ინციდენტების რეესტრი (მინიმალური სფეროები)
ID· გამოვლენის/დადასტურების დრო· სერიოზულობა· წყარო· სისტემები/მონაცემები· მოცულობა/კატეგორია· გეოგრაფია· ჩართული ვენდორები· მიღებული ზომები (დროულად)· შეტყობინებები (კო/როდის)· პასუხისმგებელი (RACI)· ბმულები არტეფაქტებზე· SARA/სტატუსი· სტატუსი.
13) მეტრიკა და მიზნები
MTTD/MTTC/MTTR (აღმოჩენა/შეკავება/აღდგენა).
% შეტყობინებები 72 საათზე - 100%.
დადგენილი ძირითადი მიზეზით ინციდენტების წილი 90% -ს შეადგენს.
CAPA დახურულია 95% -ით.
განმეორებითი ინციდენტები ერთი მიზეზის გამო 5% -ს შეადგენს.
SLA- ში დახურული ინციდენტების წილი (Medium/High/Critical): 90/95/99%.
14) ჩეკის ფურცლები
14. 1 დაწყება (პირველი 60 წუთი)
- დაინიშნა IC და გაიხსნა ომის ოთახი
სტაბილიზაციის ზომები (გამორთვა/ლიმიტები/გასაღების როტაცია)
- მინიმალური ფაქტების და ეკრანების/ლოგოების შეგროვება
- აცნობეთ DPO/Legal, განსაზღვრულია პრინცის კლასი
- გამოშვებების გაყინვა და ლოგიკის გაწმენდის ოქმები
14. 2 24 საათამდე
- Forenzica: მოცულობა/კატეგორია/გეოგრაფია (draft)
შეტყობინებების შესახებ გადაწყვეტილება, ტექსტების მომზადება
- მთლიანობის გადამოწმების/შემოწმების გეგმა
- მტკიცებულებათა პაკეტი WORM- ში, მოვლენების დრო
14. 3 72 საათამდე
- შეტყობინებების გაგზავნა DPA/რეგულატორებისთვის/PSP (საჭიროების შემთხვევაში)
მომხმარებელთა კომი (მაღალი რისკით)
- განახლებული CAPA გეგმა, მფლობელები და ვადები
15) ტიპიური სცენარები და ზომები
ა) საფორტეპიანო ბაზის ექსპორტი საცავის ღია სეგმენტში
ზომები: წვდომის დახურვა, გადმოტვირთვის ინვენტარიზაცია, დაზარალებულთა ინფორმირება, S3/ACL პოლიტიკის გაძლიერება, ექსპორტის DLP წესები.
B) API- ზე წვდომის ნიშნების კომპრომეტირება
ზომები: დაუყოვნებლივი როტაცია, რეფრეშის ნიშნების გაწვევა, გამოწვევების ჟურნალის შემოწმება, ვებჰუკების ხელახალი ხელმოწერა, ტრაფიკის სეგმენტი.
C) KYC სკანების გაჟონვა გამყიდველის მეშვეობით
ზომები: ინტეგრაციის იზოლაცია, მოცილების დადასტურება, მაღალი დონის მომხმარებლების ხელახალი გადამოწმება ხელით, DPA/შეფერხების გადასინჯვა.
D) საზოგადოებაში dump- ის გამოქვეყნება
ზომები: არტეფაქტების დაფიქსირება (ჰაში), ბმულების ლეგალური ამოღება (takedown), შეტყობინებები, შემდგომი პუბლიკაციების მონიტორინგი.
16) ინტეგრაცია შესაბამისობასა და კონფიდენციალურობასთან
GDPR პროცესებთან ერთად: DSAR, RoPA, DPIA/DTIA; პოლიტიკის განახლება და ქუქი-ფაილები/SMR მიმწოდებლების/მიზნების შეცვლისას.
ინციდენტის ჩართვა რისკების მატრიცაში და ბარიერების/კონტროლის გადასინჯვა.
17) CAPA და პოსტ-mortem (სტაბილიზაციის შემდეგ 72 საათის განმავლობაში)
მოხსენების სტრუქტურა: ფაქტები/ტაიმლაინი· იმპაქტირება· ძირითადი შედეგი· რა მუშაობდა/არა· CAPA სია (მფლობელი, ვადა, წარმატების კრიტერიუმი)· ეფექტურობის გადამოწმების თარიღი (30-60 დღის შემდეგ).
18) პროცესის სიმწიფის გზის რუკა
თვე 1: განაახლეთ playbook, კონტაქტები, შაბლონები, WORM არქივი, შეტყობინებების ტესტი.
თვე 2: tabletop ვარჯიშები (გაჟონვა PII/wendor/ნიშნები), SOAR playbuks.
თვე 3 +: კვარტალური რეტროსპექტივები, მოვაჭრეების აუდიტი, ანტიფროდული/დეტექტივის მოდელების bias ტესტები, რეიდების რეგულარული აუდიტი.
TL; DR
გაჟონვისას: ჩვენ სწრაფად ვაწარმოებთ სტაბილიზაციას (შინაარსს), ზუსტად ვადასტურებთ (წინსვლას), დროულად ვაცნობებთ (DPA/მომხმარებლები/პარტნიორები), გამჭვირვალედ ვაწარმოებთ დოკუმენტაციას (რეესტრი, დრო, მტკიცებულებები) და ვასწორებთ ძირეულ შედეგს (CAPA). შედეგი - ნაკლები ზიანი, მოთხოვნების დაცვა და მოთამაშეთა და პარტნიორების აღდგენილი ნდობა.