Настільне навчання з реагування на витік даних

Що таке Настільне навчання з реагування на витік даних?

Реагування на витік дає збій уже на четвертій годині, коли відома лише третина фактів. У ролі із захисту даних на кризовому навчанні ви ухвалюєте чотири рішення, і проти кожного виступає інший підрозділ: з якого моменту йде відлік для повідомлення, чи розгортати системи заново вже сьогодні ввечері, знищуючи докази, чи знімає обов'язок повідомити сплата викупу і чи чекати на повний криміналістичний звіт. Ви подасте повідомлення з тим, що ще невідомо, і відхилите публічну заяву, яка применшує цифру, вже подану наглядовому органу.

Що ви дізнаєтесь у Настільне навчання з реагування на витік даних

• Визначайте, коли починається відлік для повідомлення, і розумійте, чому затримка внутрішньої ескалації входить у відлік
• Зіставляйте збереження криміналістичних доказів із відновленням сервісу й розумійте, що дають докази для повідомлення
• Пояснюйте, що сплата викупу змінює, а що не змінює в обов'язку повідомляти та в оцінці ризиків
• Подавайте повідомлення поетапно: що відомо, що ні і коли надійде решта
• Визначайте, коли людей треба повідомляти безпосередньо, і де закінчується дія винятку для нерозбірливих даних
• Усвідомлюйте, що сама лише кількість людей не робить індивідуальне повідомлення непропорційним
• Узгоджуйте публічну заяву з тим, про що вже повідомлено у приватному порядку
• Записуйте обґрунтування кожного рішення, бо реагування оцінюють за тим, що було розумно на той момент

Настільне навчання з реагування на витік даних — Кроки навчання

1. Вступ

   Сьогодні ви виконуєте роль із захисту даних у штабі реагування на інцидент під час повноцінного кризового навчання. Правила знати не найважче. Найважче — застосувати їх на четвертій годині, коли відома лише третина фактів, а кожен інший підрозділ у штабі домагається рішення, зручного саме для його проблеми.

2. Початок навчання

   Аліса отримує лист від Нільса Остранда, який проводить кризові навчання для Torvell Retail Group. Щорічне навчання почнеться за кілька хвилин, і Аліса виконує на ньому роль із захисту даних.

3. Приєднання до штабу

   Навчання починається в штабі реагування на інцидент — спільній консолі, з якої під час масштабного інциденту працюють усі підрозділи.

4. Роль у штабі

   У штабі видно, скільки часу минуло, у якому стані кожен напрям роботи і хто ухвалив кожне зафіксоване рішення.

5. Нульова година

   Надходить перша ввідна. Уночі програма-вимагач зашифрувала клієнтську платформу, а зловмисники залишили записку: нібито вони скопіювали базу даних клієнтів, перш ніж її зашифрувати. Поки що ніхто не може підтвердити, чи справді хоч щось вийшло за межі мережі. Перше рішення штабу процедурне, і від нього залежить решта. Служба безпеки наполягає, що відлік слід починати, коли фахівці з цифрової криміналістики підтвердять, що саме викрали, адже заява в записці з вимогою викупу ще не доказ, на який можна спиратися в повідомленні.

6. Коли почався відлік

7. Фіксація часу початку

   Аліса фіксує позицію, щоб усі в штабі працювали за одним відліком, а не за чотирма.

8. Година 5: розгорнути заново чи зберегти докази

   Відділ інфраструктури хоче сьогодні ввечері стерти уражені сервери й розгорнути їх заново з образів. Торгівля стоїть, компанія щогодини втрачає виручку, а повторне розгортання — найшвидший шлях до відновлення. Але стерті сервери — це водночас знищені єдині докази того, що зробили зловмисники і чи вийшло щось за межі мережі.

9. Що дало збереження доказів

   Зняття образів додає п'ять годин до початку відновлення. Штаб погоджується на це. Зловмисники виходять на зв'язок. Вони хочуть грошей і натомість обіцяють видалити свою копію даних та надати ключ для розшифрування. Фінансовий директор зауважує, що заплатити дешевше за альтернативу, і питає, чи означає видалення даних зловмисниками, що повідомляти нікого не треба.

10. Година 19: вимога викупу