Ką daryti įvykus duomenų saugumo pažeidimui?

Sustabdykite tolesnį duomenų plitimą: atšaukite prieigą, atsiimkite netinkamai išsiųstą laišką, pakeiskite slaptažodžius, atjunkite pažeistą įrenginį. Tuo pat metu pradėkite fiksuoti: kas nutiko, kada įvyko, kada pastebėjote, kas pranešė.

Nedelsdami nustatykite mastą: kokios duomenų kategorijos paliestos, kiek žmonių, ar tarp jų yra specialių kategorijų duomenų. Nuo šių atsakymų priklauso visi tolesni sprendimai, todėl jie renkami pirmiausia, o ne po savaitės.

Vertinama rizika žmonėms, ne organizacijai. Klausiama, kas blogo gali nutikti asmeniui: tapatybės vagystė, finansinė žala, diskriminacija, reputacijos pakenkimas, nepatogumas. Svarbu duomenų pobūdis, kiekis, ar jie buvo šifruoti ir kas galėjo juos pasiekti.

Sprendimą ir jo motyvus užrašykite iš karto. Jei nusprendėte nepranešti, pagrindimas turi būti dokumente — vėliau paaiškinti iš atminties bus sunku.

Jei pažeidimas įvyko pas tiekėją, jis privalo pranešti jums nedelsdamas, o pranešimą institucijai teikiate jūs kaip duomenų valdytojas. Pranešimo terminus ir turinį žr. BDAR 33 str. 1, 2 ir 3 d.

Visi pažeidimai registruojami vidiniame žurnale, net ir tie, apie kuriuos pranešti nereikia: kas nutiko, kada, koks mastas, kokių priemonių imtasi, koks sprendimas dėl pranešimo. Toks žurnalas yra viena pirmųjų vietų, į kurią pažiūri patikrinimas.

Po kiekvieno incidento verta užrašyti vieną pakeitimą, kuris sumažins pasikartojimo tikimybę: siauresnė prieiga, dvigubas patikrinimas prieš siunčiant sąrašus, šifravimas nešiojamuose įrenginiuose. Be šio žingsnio žurnalas lieka tik istorija.

Incidento metu nebūna laiko galvoti, kas ką daro. Vieno puslapio planas — kam pranešti pirmiausia, kas vertina riziką, kas rengia pranešimą, kas kalba su klientais — sutrumpina reakciją nuo dienų iki valandų.

Plane naudinga iš anksto nurodyti tiekėjų kontaktus, nes dauguma incidentų nutinka jų sistemose. Jei sutartyje sutartas pranešimo terminas, įrašykite jį šalia kontakto.

Kartą per metus planą verta pertikrinti trumpu pratybų scenarijumi: netinkamai išsiųstas sąrašas, pamestas nešiojamas kompiuteris, prisijungimo duomenų nutekėjimas. Pusvalandžio pokalbio pakanka, kad spragos taptų matomos.