Upravljanje incidentima
U prvom satu incidenta nitko ne čita politiku. Zato pišemo kratke upute, uvježbamo ih i posložimo tko koga zove i u kojem roku.
Prvi sat odlučuje
Rokovi teku od saznanja, a ne od trenutka kad se sve razjasni.
Kad incident nastupi, nema vremena za čitanje propisa. Rano upozorenje nadležnom CSIRT-u ide bez odgode, najkasnije u 24 sata od saznanja, početna obavijest u 72 sata, a završno izvješće u 30 dana od početne obavijesti. Ako incident još traje, umjesto završnog ide izvješće o napretku.
Zato postupak mora biti napisan i uvježban prije nego što zatreba. Mora biti jasno tko trijažira sumnjiv događaj, u kojem se roku prijavljuje interno, tko odlučuje je li incident značajan i tko šalje obavijest. Podmjera 11.4 traži upravo to: definiran vremenski okvir za interno prijavljivanje i dokumentirana pravila trijaže.
Ono što ostaje iza incidenta jednako je važno kao i sam odgovor. Zapisi o trijaži, o odlukama i o poslanim obavijestima dokaz su da postupak nije samo dokument.
Pet vrsta obavijesti i rokovi
Uredba u članku 65. nabraja pet vrsta obavijesti nadležnom CSIRT-u. Tablica uz njih prikazuje i poseban rok za pružatelje usluga povjerenja te obavijest primateljima usluga, pa ima sedam redaka.
Rokovi teku od saznanja za incident. Obveza obavještavanja započinje u roku od 30 dana od dostave obavijesti o kategorizaciji, prema članku 37. stavku 4. i članku 38. stavku 3. Zakona. Obavijest se dostavlja i tijelima kaznenog progona kad postoje osnove sumnje da je incident nastao počinjenjem kaznenog djela. Kanali za prijavu nisu propisani Zakonom, nego ih objavljuje nadležni CSIRT, pa ih uvijek provjeravamo prije nego što ih upišemo u Vaš postupak.
Što postavljamo s Vama
Sedam koraka koji postupak čine upotrebljivim u tri ujutro, a ne samo urednim na papiru.
Postupak za incident, kratak i upotrebljiv
Jedan dokument koji stane na nekoliko stranica, s trijažom, internim rokom prijave i jasnim pravilom tko odlučuje. Dugi priručnik pod pritiskom nitko ne otvara.
Mjerila značajnog incidenta, primijenjena na Vas
Uredba propisuje mjerila, ali ih netko mora primijeniti na Vaše usluge i Vaše brojke. Unaprijed posložimo popis po kojem se odlučuje, jer se pod pritiskom ne stigne čitati propis.
Popis kontakata i zamjena, s telefonima
Tko koga zove, tko ga mijenja i na koji broj. Popis se provjerava barem dvaput godišnje, jer ljudi mijenjaju uloge i brojeve, a to se otkrije upravo kad ne treba.
Obrasci za prijavu u zakonskim rokovima
Pripremljeni obrasci za svih pet obavijesti koje Uredba poznaje: rano upozorenje, početnu obavijest, privremeno izvješće, izvješće o napretku i završno izvješće. Obrazac se popunjava, ne sastavlja.
Odvojeni tijek za povredu osobnih podataka
Ako je incident obuhvatio i povredu osobnih podataka, usporedno teče prijava Agenciji za zaštitu osobnih podataka u roku od 72 sata. To su dva odvojena postupka s dva obrasca i jedan drugoga ne isključuje.
Simulacijska vježba s upravom i informatikom
Dva do tri sata, kratak scenarij i zapisnik. Vježba otkrije ono što se u dokumentu ne vidi: tko se ne javlja, koji podatak nedostaje i tko zapravo donosi odluku. Podmjera 11.5 traži godišnju vježbu od srednje razine naviše.
Pregled nakon incidenta i popravci
Nakon svakog incidenta prolazimo što je radilo, što nije i što se mijenja. Uz to se preispituje procjena rizika, jer je incident najjasniji ulaz u registar rizika koji postoji.
Zapisi koji dokazuju da se postupak provodi
Mjera 11. ima šest podmjera i dvadeset šest kontrola. Ovo je ono što revizor traži da ih pokrije.
- Procedura za postupanje s incidentima, s datumom odobrenja
- Dokumentirana pravila trijaže i rok za interno prijavljivanje
- Popis kontakata i zamjena, uz zapis o provjeri
- Evidencija sumnjivih događaja i incidenata, s vremenskim slijedom
- Zapisi o poslanim obavijestima, s datumom i vremenom slanja
- Zapis o odluci je li incident značajan i tko ju je donio
- Zapisi o obavještavanju primatelja usluga, gdje se primjenjuje
- Zapisnik godišnje simulacijske vježbe s popisom sudionika
- Izvješće nakon incidenta, s uzrokom i popisom popravaka
- Zapisi o obuci zaposlenika za prepoznavanje i prijavu
- Zapisi iz alata za otkrivanje i odgovor, ondje gdje se koriste
- Zapisi o odbijenim napadima, kao dokaz da nadzor radi
Česta pitanja
Pitanja koja nam najčešće postave prije nego što krenemo.
Kome se prijavljuje incident?
Nadležnom CSIRT-u za Vaš sektor. Za većinu sektora to je nacionalni centar za kibernetičku sigurnost. Nacionalni CERT je nadležan za bankarstvo, infrastrukturu financijskog tržišta, registar naziva vršne nacionalne domene, istraživanje i sustav obrazovanja. Financijski subjekti imaju i obveze prema posebnim propisima. Kanale i obrasce objavljuje nadležni CSIRT, pa ih uvijek provjerimo prije nego što ih upišemo u Vaš postupak.Što je značajan incident?
Onaj koji uzrokuje ozbiljan poremećaj u pružanju usluge, financijski gubitak ili znatnu štetu drugima. Mjerila propisuje Uredba i nisu stvar dogovora. Unaprijed posložite tko ih primjenjuje i po kojem popisu.Koji su rokovi za prijavu?
Rano upozorenje nadležnom CSIRT-u bez odgode, najkasnije u 24 sata od saznanja. Početna obavijest u 72 sata, a za pružatelje usluga povjerenja u 24 sata. Završno izvješće u 30 dana od početne obavijesti. Rokovi teku od trenutka kad ste za incident saznali.Što ako incident još traje kad istekne rok za završno izvješće?
Umjesto završnog izvješća dostavlja se izvješće o napretku. Ako incident traje dulje od šezdeset dana od početne obavijesti, izvješće o napretku ide svakih trideset dana, a završno izvješće trideset dana od posljednjeg izvješća o napretku.Što ako je incident obuhvatio i povredu osobnih podataka?
Tada usporedno teče prijava Agenciji za zaštitu osobnih podataka u roku od 72 sata. To su dva odvojena postupka s dva obrasca i jedan drugoga ne isključuje. U postupku zato imamo grananje, da se jedan od dva ne zaboravi.Moramo li obavijestiti i korisnike?
Kada incident može znatno utjecati na pružanje usluge, obavijest pogođenim primateljima usluga ide bez odgode, najkasnije u 72 sata od saznanja. Podaci koji tada nisu bili poznati dostavljaju se u daljnja 72 sata od slanja obavijesti.Moramo li prijaviti i pokušaj napada?
Ne svaki, ali ga morate zabilježiti. Zapis o odbijenom napadu jedan je od dokaza da nadzor radi, a bez njega je teško pokazati da ste išta pratili. Uz to postoji i dobrovoljno obavještavanje, koje nije obveza.Koliko traje simulacijska vježba?
Dva do tri sata s upravom i informatikom, uz kratak scenarij i zapisnik. Zapisnik je ujedno dokaz za mjeru kontinuiteta poslovanja, pa jedna vježba pokriva dvije mjere.Tko donosi odluku o prijavi?
To mora biti zapisano prije incidenta. Obično je to voditelj informatike za tehničku procjenu i član uprave za odluku o prijavi, uz imenovanu zamjenu za svakoga. Nejasno vlasništvo odluke najčešći je razlog probijenog roka od 24 sata.Povezane stranice
Incident je ulaz u nekoliko drugih mjera, a i najjasniji ulaz u registar rizika.
Iz bloga: kibernetička sigurnost
Tri najnovija teksta o napadima, incidentima i ljudskom čimbeniku.
Uvježbajmo prvi sat prije nego što zatreba.
Pola sata, bez obveze. Prođemo Vaš prvi sat i vidimo tko koga zove kad zazvoni telefon.