Upravljanje kibernetičkim incidentima povrede osobnih podataka

5. Koraci u upravljanju računalno sigurnosnim incidentom povrede podataka

1. Priprema za incident povrede podataka

• provesti analizu rizika
• formirati tim za odgovor na incident
• pripremiti odgovarajuću programsku podršku (data breach response cybersecurity software)

threat detection and monitoring tools, data loss prevention systems, access management solutions, user and entity behavior analytics i sl.

• kreirati plan i politiku odgovora na incident povrede podataka
• provesti (provoditi) treninge osvješćivanja o kibernetičkoj sigurnosti

U prevenciji povrede podataka ključno je zaposlenike tretirati kao prvu liniju obrane. To se ponajprije postiže redovitom edukacijom.  

2. Detektiranje da se doista radi o povredi podataka

Indikatori koji upućuju na to da bi moglo doći do povrede podataka:

• u log datotekama web servera pronalazimo artefakte koji upućuju na pretraživanje ranjivosti našeg sustava
• pronalazak ranjivosti unutar našeg sustava koja može biti eksploatirana
• objave na nekom kanalu koje upućuju na namjeru da se izvede napad na našu organizaciju.

Indikatori koji govore da je došlo ili upravo dolazi do povrede podataka: 

• buffer overflow usmjeren na naš database server
• višestruki neuspješan login s nepoznatog udaljenog sustava
• primanje e-poruke sa sumnjivim sadržajem.

3. Izvođenje hitnih odgovora na incident

Nužno je napraviti nekoliko hitnih koraka kad se dogodi incident povrede podataka:

• zapisati vrijeme kad je došlo do prve informacije o povredi podataka kao i sve tad poznate činjenice
• osoba koja je otkrila incident treba informirati sve potrebne strane o incidentu, IRT
• odgovorna osoba provodi mjere ograničavanja pristupa kompromitiranim podatcima kako bi se spriječilo daljnje curenje podataka
• izolirati lokaciju na kojoj se dogodio incident
• prikupiti sve moguće podatke o incidentu
• napraviti intervju s osobama koje su otkrile incident
• provesti analizu rizika
• dokumentirati sve korake i analize
• izvijestiti nadležne ustanove (MUP?)
• početi dubinsku analizu, forenziku, kako bi se pronašao glavni vektor napada
• izvijestiti regulatora.

4. Prikupljanje dokaza

Potrebno je prikupiti podatke sa svih alata za kibernetičku sigurnost, poslužitelja i mrežnih uređaja i prikupiti informacije od zaposlenika.

Informacije koje je potrebno prikupiti uključuju:

• datum i vrijeme kada je otkrivena povreda podataka
• datum i vrijeme kada je započela reakcija na povredu podataka
• tko je otkrio povredu, tko ju je prijavio i tko još zna za povredu podataka
• koje su informacije ugrožene i kako
• opis svih događaja povezanih s incidentom
• informacije o svim stranama uključenim u povredu podataka
• koji su sustavi pogođeni incidentom
• informacije o opsegu i vrsti štete uzrokovane incidentom.

5. Analiziranje povrede podataka

Nakon što se prikupe podatci o incidentu potrebno ih je analizirati. Ovaj korak ima za cilj analizirati sve okolnosti koje su dovele do incidenta.

Pitanja na koja je potrebno odgovoriti u ovom procesu:

• Je li otkriven sumnjivi promet?
• Je li napadač imao privilegirani pristup do sustava?
• Koliko su dugo podatci bili kompromitirani?
• Jesu li napadači upotrebljavali specijalizirani software? Koji?
• Je li povreda podataka bila namjerna i jesu li involvirani vanjski napadači izvan organizacije?

6. Provođenje mjera sprječavanja širenja, uklanjanja i oporavka sustava

Sprječavanje širenje – cilj ove mjere nije samo izolirati kompromitirana računala i servere već i spriječiti uništavanje dokaza koji mogu pomoći u istrazi. Ako je moguće, treba također pratiti aktivnost napadača i utvrditi dolazi li do curenja podataka tijekom istrage.

Uklanjanje – od ključne je važnosti ukloniti sve izvore povrede podataka. Na primjer, ako je do povrede došlo zbog prijetnje iznutra, stručnjaci za sigurnost trebali bi onemogućiti sve račune s kojih su curile informacije. Ako je prijetnja bila vanjska, poput zlonamjernog softvera, potrebno je očistiti zahvaćeni sustav i zakrpati iskorištene ranjivosti.

Oporavak – nakon uspješnog uklanjanja, organizacija mora nastaviti s normalnim radom. To uključuje vraćanje zahvaćenih sustava u potpuno operativno stanje, instaliranje zakrpa, promjenu lozinki itd.

7. Izvještavanje pogođenih strana

Neovisno o zakonskoj obvezi, potrebno je informirati sve koji su pogođeni povredom podataka kako bi svi pogođeni mogli poduzeti mjere zaštite.

Koga sve treba izvijestiti ovisi o tipu podataka koji su kompromitirani?

Prema pojedinim uredbama potrebno je u određenom roku informirati nadležna tijela.

Opća uredba o zaštiti podataka (GDPR) zahtijeva da se obavijeste odgovarajuća nadzorna tijela najkasnije 72 sata nakon otkrivanja povrede podataka. GDPR postavlja maksimalnu kaznu od 20 milijuna eura ili četiri posto godišnjeg prometa (što je veće) za povredu podataka.

8. Provođenje post-incident mjera

Ove aktivnosti uključuju analizu incidenta i njegove posljedice te poduzmete mjere za sprječavanje sličnih problema u budućnosti. Svaku povredu podataka treba naknadno temeljito revidirati:

• revidirati mjere koje organizacija poduzima u kibernetičkoj zaštiti sustava
• analizirati uzroke povrede podataka
• izraditi ili revidirati plan kojim će se spriječiti slični incidenti u budućnosti
• revidirati politike i procedure u skladu s naučenim lekcijama
• poboljšati svijest o kibernetičkoj sigurnosti među zaposlenicima.