informowanie o naruszeniach

Informowanie o naruszeniach to obowiązek powiadomienia odpowiednich stron o zdarzeniu naruszającym bezpieczeństwo danych.

Zakres pojęcia i moment rozpoczęcia analizy

Informowanie o naruszeniach jest elementem obsługi incydentu bezpieczeństwa informacji. Obejmuje ustalenie, co się wydarzyło, jakie zasoby zostały objęte zdarzeniem, kto powinien otrzymać komunikat oraz jakie informacje należy przekazać. Samo naruszenie może polegać między innymi na nieuprawnionym odczycie pliku, ujawnieniu hasła, przejęciu konta, błędnej konfiguracji uprawnień, utracie nośnika danych albo wysłaniu dokumentu do niewłaściwego odbiorcy. W środowisku komputerowym nie wystarczy więc odnotowanie komunikatu programu antywirusowego lub alarmu z zapory sieciowej. Trzeba ustalić, czy zdarzenie rzeczywiście naruszyło poufność, integralność albo dostępność informacji.

Pierwszym krokiem jest rozdzielenie faktów od przypuszczeń. Należy zapisać czas wykrycia, źródło zgłoszenia, identyfikator urządzenia, konto użytkownika, adres sieciowy, nazwę systemu oraz rodzaj podejrzanej aktywności. Warto zachować kopię odpowiednich logów, nagłówków wiadomości, komunikatów systemowych i informacji o zmianach konfiguracji. Nie powinno się nadpisywać tych danych przez pochopne czyszczenie logów, reinstalację systemu lub usunięcie konta, ponieważ utrudnia to późniejsze odtworzenie przebiegu zdarzenia.

Ustalenie, jakie informacje podlegają zgłoszeniu

Treść zawiadomienia powinna wynikać z potwierdzonych ustaleń technicznych. Przydatne są informacje o rodzaju incydentu, przewidywanym okresie jego trwania, sposobie wykrycia, systemach objętych zdarzeniem oraz aktualnym stanie zabezpieczeń. Jeżeli doszło do nieautoryzowanego dostępu, trzeba wskazać, czy intruz uzyskał możliwość odczytu, modyfikacji lub usunięcia danych. Jeżeli problem dotyczy dostępności, należy odnotować, które funkcje przestały działać i czy przywrócono je z kopii zapasowej. W przypadku złośliwego oprogramowania istotne są między innymi nazwa wykrytej rodziny, identyfikator próbki, zaatakowane pliki i wykonane działania izolacyjne.

Komunikat powinien być zrozumiały dla odbiorcy i nie może zastępować dowodów technicznych ogólnymi określeniami. Sformułowanie „wystąpił problem z bezpieczeństwem” nie wyjaśnia, czy chodzi o wyciek, blokadę systemu, błąd uprawnień czy próbę ataku. Lepiej podać zakres ustaleń oraz wyraźnie oddzielić elementy potwierdzone od nadal badanych. Należy również wskazać działania ograniczające skutki, na przykład zmianę haseł, unieważnienie sesji, odłączenie urządzenia od sieci, przywrócenie kopii zapasowej lub zablokowanie reguły dostępu. Jeżeli analiza nie pozwala jeszcze określić pełnego zakresu naruszenia, komunikat powinien to jasno zaznaczać.

Logi, dowody i kontrola terminów

Informowanie o naruszeniach wymaga sprawnego przepływu danych między osobą, która zauważyła incydent, zespołem technicznym oraz podmiotem odpowiedzialnym za decyzję o zgłoszeniu. Pomocna jest jedna karta incydentu zawierająca chronologiczną oś zdarzeń, listę systemów, status działań i osoby odpowiedzialne za kolejne kroki. Godziny należy zapisywać wraz ze strefą czasową albo w jednolitym czasie używanym przez monitoring. Dzięki temu można porównać logi z różnych urządzeń, nawet gdy komputer użytkownika, router i usługa sieciowa zapisują czas w odmienny sposób.

Dowody powinny być przechowywane w sposób ograniczający ryzyko ich przypadkowej modyfikacji. Oryginalne pliki logów można zabezpieczyć przed zapisem, a kopie robocze wykorzystywać do filtrowania i analizy. Przy pobieraniu obrazu dysku lub plików diagnostycznych warto zapisać sumę kontrolną, aby później potwierdzić, że materiał nie zmienił się po przekazaniu. Należy unikać przesyłania pełnych logów w zwykłej wiadomości, jeżeli zawierają hasła, tokeny sesyjne, klucze API lub inne dane umożliwiające dostęp do systemu. Przed przekazaniem materiału trzeba usunąć sekrety albo zastosować uzgodniony, bezpieczny kanał wymiany.

Praktyczne znaczenie dla użytkownika komputera

Na komputerze domowym lub biurowym sygnałem wymagającym weryfikacji może być nagła zmiana hasła, pojawienie się nieznanego programu, wysyłka wiadomości bez udziału użytkownika, otwarcie plików przez obce konto albo utrata dostępu do danych. Nie należy wtedy kasować podejrzanych plików bez zapisania podstawowych informacji o zdarzeniu. Bezpieczniejsze jest odłączenie urządzenia od sieci, pozostawienie go w stanie pozwalającym na zebranie danych i przekazanie zgłoszenia osobie odpowiedzialnej za sprzęt lub bezpieczeństwo. Jeżeli urządzenie nadal działa, można zanotować widoczne komunikaty, godzinę wystąpienia problemu i nazwy używanych aplikacji.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można ustalić, czy problem wynika z awarii sprzętu, błędnej konfiguracji systemu lub objawów infekcji. Sama naprawa nie zastępuje procedury informowania o naruszeniu. Jeżeli na urządzeniu znajdowały się istotne dane, decyzja o przekazaniu informacji właściwym osobom powinna opierać się na ustaleniach właściciela systemu, administratora bezpieczeństwa albo innego podmiotu odpowiedzialnego za dane. Techniczna dokumentacja objawów, wykonanych czynności i stanu urządzenia ułatwia późniejsze odtworzenie zdarzenia oraz ocenę, czy zastosowane zabezpieczenia zadziałały prawidłowo.