Procedury naruszania danych

1) Cel i zakres

Cel: zminimalizowanie szkód, spełnienie wymogów prawnych i szybkie przywrócenie normalnej pracy z potwierdzonym lub prawdopodobnym wyciekiem danych osobowych/płatniczych/operacyjnych.
Zasięg: gracze i pracownicy PII, artefakty płatnicze, logi/żetony dostępu, dokumenty KYC/AML, dane afiliacyjne/partnerskie, poufne artefakty produktowe i infrastrukturalne.

2) Definicje i kryteria „przecieku”

Naruszenie danych - naruszenie poufności, integralności lub dostępności danych osobowych (lub innych informacji chronionych) ze względu na incydent bezpieczeństwa lub błąd procesu.
Potwierdzone vs podejrzany: wszelkie wskaźniki (anomalie SIEM, wiadomości od sprzedawców/użytkowników, miejsca wklejenia) rozpocząć procedurę przed obaleniem.

3) Klasyfikacja dotkliwości (przykład)

4) SLA i „most incydentalny”

Inicjacja: z Medium + powstaje pokój wojenny (czat/wywołanie), przypisany jest dowódca incydentu (IC).

SLA: Low - 24 h· Medium - 4 h· High - 1 h· Critical - 15 min

Aktualizacja: co 30-60 minut (wewnętrzne), co 2-4 godziny (zainteresowane strony zewnętrzne).

5) RACI (powiększony)

6) Procedura reagowania (krok po kroku)

1. Identyfikacja i walidacja pierwotna

Sygnał z SIEM/EDR/anti-fraud/vendor/user → wpis do rejestru incydentów.
Zbieranie minimalnych faktów: co/kiedy/gdzie/ile, typy danych i jurysdykcje mają wpływ.

2. Przechowywanie

Wyłączanie wrażliwych punktów/funkcji końcowych, geo-segmentów, limitów czasowych, freezing releases.
Rotacja klucza/tokena, cofnięcie dostępu, zablokowanie zagrożonych kont.

3. Eliminacja

Poprawka patch/config, czyszczenie złośliwych artefaktów, odbudowywanie obrazów, sprawdzanie sub-procesorów.

4. Odzyskiwanie (odzyskiwanie)

Wejście kanaryjskie, monitorowanie regresji, kontrola integralności.

5. Badania sądowe i ocena skutków

Obliczanie objętości, wrażliwości, geografii, ryzyka dla uczestników; potwierdzenie zaatakowanych zapisów.

6. Powiadomienia i komunikaty

DPO/Legal określić obowiązek i harmonogram ogłoszeń; przygotowanie tekstów; dystrybucja do adresatów.

7. Pośmiertnie i CAPA

Analiza przyczyny głównej (5 Whys), plan działań naprawczych/zapobiegawczych z właścicielami i liniami czasowymi.

7) 72-godzinne okno i adresaci prawni (punkty orientacyjne)

Nadzór nad danymi (DPA) - powiadomienie nie później niż 72 godziny po wykryciu znaczącego przecieku, jeżeli nie wyklucza się zagrożenia dla praw/wolności osób, których dotyczą.
Użytkownicy - „bez zbędnej zwłoki” na wysokie ryzyko (z jasnymi zaleceniami).
Regulator hazardu - przy wpływie na graczy/zrównoważony rozwój/sprawozdawczość.
Banki/PSP - na ryzyko płatności/kompromisu żetonów/podejrzanych transakcji.
Partnerzy/sprzedawcy - jeśli wpływ na wspólne przepływy/dane lub wymagane jest działanie.

8) Technicy sądowi i „łańcuch dowodowy”

Migawki woluminów/dzienników, eksport artefaktów z hashingiem (SHA-256).
Praca tylko z kopiami/migawkami; systemy źródłowe - tylko do odczytu.
Protokół działania: kto/kiedy/co zrobił, polecenia/narzędzia używane.
Przechowywanie w magazynie WORM/obiektu; ograniczony dostęp, audyt.

9) Komunikacja (wewnętrzna/zewnętrzna)

Zasady: fakty → środki → zalecenia → następująca aktualizacja.
Niemożliwe jest: publikowanie PII, budowanie niesprawdzonych hipotez, obiecywanie terminów bez kontroli.

• Co znaleziono?· Skala/kategorie· Bieżące środki· Ryzyko· Następne kroki· Następna aktualizacja w HH: MM.

10) Interakcje ze sprzedawcami/podwykonawcami

Sprawdź ich rejestry incydentów, dzienniki dostępu, notyfikacje SLA, listę sub-procesorów.
Żądanie raportów (pentest/rate), rejestrowanie potwierdzenia usunięcia/zwrotu danych.
W przypadku niedopasowania DPA - eskalacja i tymczasowe izolowanie/zawieszenie integracji.

11) Wzory zgłoszeń (fragmenty)

11. 1 Organ Nadzoru (DPA)

Krótki opis zdarzenia i czasu wykrycia, kategorie/przybliżona ilość danych, grupy uczestników, geografia, konsekwencje i zagrożenia, podjęte/planowane środki, kontakt z inspektorem ochrony danych, aplikacje (linia czasowa, podsumowanie skrótu).

11. 2 Użytkownicy

Co się stało; jakie dane mogły zostać naruszone; to, co zrobiliśmy; co można zrobić (zmienić hasło, kontrolować transakcje, wskazówki phishingowe); sposób kontaktu; link do FAQ/centrum wsparcia.

11. 3 Partnerzy/PSP/Regulator

Fakty i dotknięte interfejsy; przewidywane terminy działań partnerskich; osoby kontaktowe.

12) Rejestr incydentów (minimalne pola)

Identyfikator· Czas odkrycia/potwierdzenia· Dotkliwość· Źródło· Systemy/Dane· Zakres/Kategorie· Geografie· Zaangażowani dostawcy· Działania podjęte (w czasie)· Powiadomienia (do/kiedy)· Osoby odpowiedzialne (RACI)· Odniesienia do artefaktów· CAPA/Terminy· Status.

13) Wskaźniki i cele

MTTD/MTTC/MTTR (wykrywanie/przechowywanie/odzyskiwanie).
% powiadomień w 72 godziny - 100%.
Odsetek zdarzeń z rozpoznaną przyczyną korzenia ≥ 90%.
CAPA są zamknięte ≥ 95%.
Powtarzane incydenty z jednego powodu ≤ 5%.
Odsetek incydentów zamkniętych w SLA (Medium/High/Critical): 90/95/99%.

14) Listy kontrolne

14. 1 Start (pierwsze 60 minut)

• Przydzielone IC i sala wojenna otwarta
• Środki stabilizujące (odłączenia/ograniczenia/rotacja klucza)
• Zbieranie minimalnych faktów i zrzutów ekranu/dzienników
• DPO/Legal notified, wstępna klasa zdefiniowana
• Zamrażanie wydań i protokołów czyszczenia dziennika

14. 2 Do 24 godzin

• Badania sądowe: zakres/kategorie/geografia (projekt)
• Decyzja o zgłoszeniu, przygotowanie tekstów
• Plan naprawy/integralności
• WORM Evidence Package, Event Timeline

14. 3 Do 72 godzin

• Powiadomienia DPA/Regulator/PSP (jeśli wymagane)
• Komunikacja z użytkownikami (wysokie ryzyko)
• Zaktualizowany plan CAPA, właściciele i harmonogram

15) Typowe scenariusze i środki

A) Baza danych czatu wsparcia eksportu do otwartego segmentu pamięci masowej

Środki: bliski dostęp, pobieranie zapasów, powiadamianie dotkniętych, wzmocnienie polityki S3/ACL, zasady eksportu DLP.

B) Kompromis z tokenami dostępu API

Środki: natychmiastowy obrót, przypomnienie żetonów odświeżających, weryfikacja dziennika wywoławczego, ponowne podpisanie haka internetowego, segmentacja ruchu.

C) Wyciek skanów KYC przez sprzedawcę

Środki: izolacja integracji, potwierdzenie usunięcia, ręczna weryfikacja klientów wysokiego ryzyka, rewizja DPA/potrąceń.

D) Publiczna publikacja zrzutów

Środki: ustalanie artefaktów (hashes), prawne usuwanie linków (takedown), powiadomienia, monitorowanie dalszych publikacji.

16) Integracja z przestrzeganiem i prywatnością

Pakiet z procesami RODO: DSAR, RoPA, DPIA/DTIA; aktualizacja Polityki i plików cookie/CIW w przypadku zmian w dostawcach/celach.
Włączenie incydentu do macierzy ryzyka i zmiana progów/kontroli.

17) CAPA i pośmiertnie (≤ 72 godziny po ustabilizowaniu)

Struktura raportu: fakty/timeline· impact· root cause· what worked/not· lista CAPA (właściciel, termin, kryterium sukcesu)· data kontroli skuteczności (w 30-60 dni).

18) Plan działania dotyczący dojrzałości procesu

Miesiąc 1: aktualizacja odtwarzania, kontakty, szablony, archiwum WORM, test powiadomień.
Miesiąc 2: ćwiczenia na tabletop (wyciek PII/sprzedawca/żetony), playbooks SOAR.
Miesiąc 3 +: kwartalne środki retrospektywne, audyty dostawców, testy stronniczości modeli zwalczania oszustw/wykrywania, regularna weryfikacja progów.

TL; DR

W przypadku przecieku: szybko stabilizujemy (przechowywanie), dokładnie potwierdzamy (badania sądowe), informujemy na czas (DPA/użytkownicy/partnerzy), przejrzysto dokumentujemy (rejestr, linia czasu, dowody) i korygujemy przyczynę główną (CAPA). Rezultatem jest mniejsze szkody, zgodność i przywrócone zaufanie graczy i partnerów.