Wdrożona procedura zgłaszania naruszeń danych

Wdrożona procedura zgłaszania naruszeń danych określa, jak i komu należy zgłosić wykryty incydent.

Wdrożona procedura zgłaszania naruszeń danych – znaczenie pojęcia

Wdrożona procedura zgłaszania naruszeń danych to przyjęty i opisany sposób postępowania po zauważeniu zdarzenia, które mogło doprowadzić do utraty, ujawnienia, zmiany albo nieuprawnionego wykorzystania informacji. Nie chodzi wyłącznie o sytuację, w której dane zostały skopiowane lub opublikowane. Naruszeniem może być również wysłanie dokumentu do niewłaściwej osoby, pozostawienie papierowej teczki w miejscu dostępnym dla osób postronnych, zagubienie urządzenia zawierającego informacje, przejęcie konta użytkownika albo przypadkowe usunięcie danych, których kopia nie została prawidłowo wykonana.

Najważniejszym elementem takiej procedury jest jasne wskazanie, co należy zrobić po wykryciu problemu. Powinno być wiadomo, komu przekazać zgłoszenie, jakimi kanałami można to zrobić, jakie informacje opisać oraz w jakim czasie należy zareagować. Dzięki temu osoba, która zauważyła zdarzenie, nie musi samodzielnie oceniać całej sytuacji ani poszukiwać właściwego adresata. Wystarczy przekazać informację zgodnie z ustalonym schematem, a dalsze czynności mogą zostać przeprowadzone przez wyznaczoną osobę lub zespół.

Procedura nie powinna ograniczać się do formalnego dokumentu przechowywanego w niedostępnym miejscu. Powinna być zrozumiała dla osób, które na co dzień korzystają z poczty elektronicznej, dokumentów, aplikacji, urządzeń przenośnych oraz nośników danych. Istotne jest także regularne przypominanie zasad, ponieważ prawidłowa reakcja w pierwszych chwilach często ułatwia ograniczenie skutków zdarzenia i późniejsze ustalenie jego przebiegu.

Wdrożona procedura zgłaszania naruszeń danych a incydent techniczny i błąd użytkownika

W praktyce naruszenie danych może mieć źródło techniczne, organizacyjne albo ludzkie. Złośliwe oprogramowanie, nieuprawnione logowanie, awaria urządzenia, błędnie ustawione uprawnienia, pomyłka przy wyborze odbiorcy wiadomości czy zgubienie telefonu to różne zdarzenia, lecz każde z nich może wymagać zgłoszenia. Nie powinno się zakładać, że procedura dotyczy tylko celowego działania osoby z zewnątrz. Równie ważne są sytuacje przypadkowe, ponieważ ich skutki mogą być podobne.

Warto odróżnić samo podejrzenie od potwierdzonego naruszenia. Jeśli zauważono nietypową wiadomość, nieznaną aktywność na koncie, brak dokumentu albo niespodziewaną zmianę w pliku, nie trzeba czekać na pełne wyjaśnienie. Zgłoszenie może zawierać informację, że zdarzenie jest dopiero podejrzewane. Osoba odpowiedzialna za analizę oceni, czy doszło do naruszenia, jakie dane mogły zostać objęte zdarzeniem i czy konieczne są dalsze działania.

Ważne jest również rozróżnienie między zgłoszeniem a samodzielnym usuwaniem śladów. Nie należy pochopnie kasować wiadomości, formatować urządzenia, zmieniać nazw plików ani usuwać historii zdarzeń, jeżeli mogłoby to utrudnić późniejsze ustalenia. Jeżeli sytuacja wymaga odłączenia urządzenia od sieci, zablokowania dostępu lub zmiany hasła, działanie powinno wynikać z przyjętych zasad albo z polecenia osoby prowadzącej obsługę incydentu. Sama procedura powinna wskazywać, które czynności można wykonać od razu, a które wymagają konsultacji.

W wielu przypadkach pomocne jest porównanie procedury do instrukcji alarmowej. Nie rozstrzyga ona od razu, kto ponosi odpowiedzialność ani jakie będą wszystkie konsekwencje. Jej pierwszym celem jest szybkie zebranie podstawowych informacji, ograniczenie dalszego dostępu i skierowanie sprawy do właściwej osoby. Dopiero później można przeprowadzić dokładniejszą analizę przyczyn, zakresu zdarzenia oraz zastosowanych zabezpieczeń.

Wdrożona procedura zgłaszania naruszeń danych – typowe problemy przy zgłoszeniu

Częstym problemem jest zbyt ogólny opis zdarzenia. Wiadomość o treści „dane wyciekły” nie pozwala sprawnie ustalić, co się wydarzyło, kiedy zauważono problem i jakie informacje mogą być zagrożone. Zgłoszenie powinno, w miarę możliwości, obejmować datę oraz przybliżoną godzinę wykrycia, sposób zauważenia zdarzenia, rodzaj użytego urządzenia lub programu, osoby mogące mieć dostęp do danych, a także wykonane dotychczas czynności. Nie trzeba tworzyć długiego raportu. Najważniejsza jest dokładność i oddzielenie faktów od przypuszczeń.

Drugim problemem bywa zwłoka wynikająca z obawy przed konsekwencjami. Ukrywanie pomyłki, próba samodzielnego naprawienia sytuacji albo oczekiwanie na potwierdzenie od innej osoby może zwiększyć zakres szkody. Zgłoszenie nie powinno być traktowane jako automatyczne przypisanie winy. Jego celem jest uruchomienie działań ochronnych. Nawet niepełna informacja przekazana szybko może mieć większą wartość niż szczegółowy opis przygotowany dopiero po wielu godzinach.

Nieprawidłowym działaniem jest także przekazywanie wrażliwych informacji przypadkowym kanałem. W treści zgłoszenia nie powinno się umieszczać większej ilości danych, niż jest potrzebna do rozpoznania zdarzenia. Jeżeli konieczne jest przekazanie pliku, zrzutu ekranu lub kopii wiadomości, należy skorzystać z kanału wskazanego w procedurze. Dobrą praktyką jest ograniczenie dostępu do materiałów osobom, które zajmują się wyjaśnieniem sprawy.

Trudność może sprawiać także brak jednoznacznego zastępstwa. Jeśli jedyna osoba uprawniona do odbioru zgłoszeń jest nieobecna, powinien istnieć alternatywny kontakt. Procedura powinna uwzględniać dni wolne, zmianę zakresu obowiązków, awarię głównego kanału komunikacji oraz sytuację, w której naruszenie dotyczy samego konta używanego do zgłoszenia. Warto okresowo sprawdzać, czy podane dane kontaktowe są aktualne i czy każdy zainteresowany wie, gdzie znaleźć instrukcję.

Wdrożona procedura zgłaszania naruszeń danych – praktyczne wskazówki organizacyjne

Przejrzysta procedura powinna być krótka na poziomie pierwszej reakcji, a jednocześnie wystarczająco szczegółowa dla osoby prowadzącej dalszą analizę. Można podzielić ją na kilka etapów: rozpoznanie zdarzenia, przekazanie zgłoszenia, zabezpieczenie podstawowych dowodów, ograniczenie dostępu oraz zapisanie przebiegu działań. Każdy etap powinien mieć przypisaną odpowiedzialność, lecz instrukcja nie może zakładać, że osoba zgłaszająca zna specjalistyczne pojęcia.

Pomocny bywa prosty formularz zawierający pytania: co zauważono, kiedy to nastąpiło, jakich danych może dotyczyć zdarzenie, kto mógł mieć dostęp, jakie działania wykonano i z kim skontaktowano się wcześniej. Formularz nie powinien wymuszać pewnych odpowiedzi tam, gdzie nie ma jeszcze wystarczających informacji. Można zaznaczyć „nie ustalono” albo „wymaga sprawdzenia”. Takie oznaczenie jest bardziej użyteczne niż domysł przedstawiony jako pewnik.

Warto przeprowadzać okresowe ćwiczenia, podczas których sprawdza się, czy zgłoszenie dociera do właściwej osoby, czy kanał komunikacji działa i czy można szybko odtworzyć kolejność czynności. Ćwiczenie nie musi obejmować prawdziwych danych. Może opierać się na opisanym przykładzie, takim jak zagubiony nośnik, omyłkowo wysłany dokument albo przejęcie dostępu do konta. Po zakończeniu należy zapisać wnioski i poprawić niejasne fragmenty instrukcji.

Istotne jest prowadzenie rejestru zgłoszeń. Powinien on pozwalać odnotować datę, źródło informacji, krótki opis zdarzenia, osoby zaangażowane w analizę, podjęte działania oraz wynik oceny. Dostęp do rejestru powinien być ograniczony, a jego zawartość zabezpieczona przed przypadkową zmianą. Dzięki temu możliwe staje się porównywanie podobnych zdarzeń, wykrywanie powtarzających się przyczyn i planowanie usprawnień.

Jeżeli problem dotyczy urządzenia, na którym przechowywano lub przetwarzano informacje, można skorzystać z pomocy serwisu technicznego. Warszawskie Pogotowie Komputerowe 24/7 może zostać uwzględnione jako kontakt przy ocenie stanu laptopa lub komputera PC, gdy potrzebne jest techniczne sprawdzenie sprzętu i uporządkowanie dalszych czynności. Samo zgłoszenie naruszenia powinno jednak zostać przekazane zgodnie z wewnętrznymi zasadami podmiotu, którego dane dotyczą.

Kiedy skorzystać z wdrożonej procedury zgłaszania naruszeń danych

Z procedury należy skorzystać za każdym razem, gdy istnieje uzasadnione podejrzenie, że dane mogły trafić do osoby nieuprawnionej, zostały zmienione bez zgody, zniknęły albo stały się niedostępne w sposób mogący wpływać na ich bezpieczeństwo. Dotyczy to zarówno pojedynczego dokumentu, jak i większego zbioru informacji. Zgłoszenie może być potrzebne po kradzieży urządzenia, utracie nośnika, ujawnieniu hasła, błędnym udostępnieniu pliku, przesłaniu wiadomości do niewłaściwego odbiorcy lub wykryciu podejrzanej aktywności.

Nie należy odkładać zgłoszenia do czasu zakończenia własnego dochodzenia. Wystarczy przekazać dostępne fakty i zaznaczyć, które elementy pozostają nieznane. Osoba odpowiedzialna za obsługę incydentu może wtedy zdecydować o zmianie uprawnień, zabezpieczeniu urządzenia, sprawdzeniu kopii zapasowych, kontakcie z użytkownikami lub wykonaniu dodatkowej analizy. W przypadku sprzętu, który działa niestabilnie, nie reaguje na polecenia albo wykazuje oznaki nieuprawnionej ingerencji, przydatna może być konsultacja techniczna bez podejmowania ryzykownych prób samodzielnej naprawy.

Dobrze wdrożona procedura powinna być znana przed wystąpieniem zdarzenia, łatwa do znalezienia i regularnie aktualizowana. Należy sprawdzać, czy opisane osoby nadal pełnią wskazane funkcje, czy kanały kontaktu są dostępne, czy zakres chronionych danych się nie zmienił oraz czy wcześniejsze doświadczenia zostały uwzględnione. Dzięki temu zgłoszenie może uruchomić uporządkowaną reakcję, ograniczyć chaos informacyjny i pomóc w udokumentowaniu działań podjętych po wykryciu naruszenia.