Prijava incidenta je mjera koja se najlakše opiše i najteže izvede. Razlog je jednostavan: sve ostale mjere radite u radno vrijeme, a ovu u tri ujutro, dok istovremeno pokušavate zaustaviti ono što se događa.
Tri roka prema ZKS-u
| Rok | Što se šalje | Sadržaj |
|---|---|---|
| 24 sata | Rano upozorenje | Da se dogodio značajan incident, prva procjena je li posljedica protupravne radnje i može li imati prekogranični učinak. |
| 72 sata | Obavijest o incidentu | Ažurirana procjena, pokazatelji ugroženosti, ozbiljnost i utjecaj. |
| 30 dana | Završno izvješće | Detaljan opis, vrsta prijetnje i uzrok, primijenjene i planirane mjere, prekogranični učinak. Rok teče od dostave obavijesti o incidentu, ne od saznanja. |
Rokovi se računaju od saznanja o incidentu, ne od njegovog nastanka i ne od trenutka kad je istraga završena. To je razlika koja odlučuje jeste li u roku.
Uz ova tri postoje i privremeno izvješće, koje nadležni CSIRT može zatražiti u roku od 48 sati do 7 dana, te izvješće o napretku, koje se dostavlja svakih 30 dana ako incident još traje. Detaljan pregled svih pet vrsta obavijesti i prijave preko platforme PiXi u zasebnom tekstu.
Unesite trenutak saznanja u kalkulator rokova pa dobijete svih pet datuma odjednom, uključujući usporednu prijavu AZOP-u. Radi u pregledniku, ne traži registraciju.
Rok od 24 sata nije rok za objašnjenje što se dogodilo. To je rok da javite da se nešto dogodilo. Timovi koji čekaju da razumiju incident prije nego što pošalju rano upozorenje redovito probiju prvi rok, a nisu ništa dobili zauzvrat.
Četvrti rok koji teče usporedno
Ako je incidentom zahvaćena i povreda osobnih podataka, uz rokove iz ZKS-a usporedno teče rok od 72 sata za prijavu Agenciji za zaštitu osobnih podataka, prema članku 33. Opće uredbe o zaštiti podataka. Riječ je o zasebnoj prijavi, drugom tijelu, s drugim sadržajem.
Ta dva roka ne poništavaju jedan drugoga i ne teku jedan za drugim. Ransomware koji je zaustavio proizvodnju i istovremeno iznio kadrovsku bazu proizvodi obje obveze u istom satu.
Što mora biti spremno prije, a ne poslije
Rokovi su izvediviji nego što izgledaju, ali samo ako se pripreme unaprijed. Konkretno:
- Kriterij značajnosti. Netko mora moći u roku od sat vremena reći je li ovo značajan incident. Ako se to pitanje prvi put postavlja tijekom incidenta, sat već teče.
- Imenovana osoba i zamjena. Incidenti se ne događaju samo radnim danom. Ako prijavu može poslati jedna osoba, imate rizik dostupnosti u samoj mjeri.
- Pripremljeni obrasci. Predložak ranog upozorenja s poljima koja se popunjavaju, ne dokument koji se piše.
- Kontaktni podaci nadležnog CSIRT-a i pristupni podaci za kanal prijave, provjereni prije nego što zatrebaju.
- Odluka o paralelnoj prijavi. Tko procjenjuje je li zahvaćena i povreda osobnih podataka i tko onda šalje prijavu AZOP-u.
- Zapisi. Vrijeme saznanja, tko je što odlučio i kad je što poslano. To je dokaz da ste bili u roku.
Test koji vrijedi više od plana
Plan odgovora na incident koji nikad nije isproban dokumentira namjeru, ne sposobnost. Vježba na stolu u trajanju od dva sata, sa scenarijem i stvarnim mjerenjem vremena do pripremljenog ranog upozorenja, otkrit će više nego još jedan krug uređivanja dokumenta. U praksi se najčešće otkrije da nitko nije siguran tko donosi odluku o značajnosti.
Prijava incidenta pokriva mjeru 11 iz Priloga II. Uredbe, ali dokazna baza se preklapa s mjerom 12 (kontinuitet poslovanja i upravljanje kibernetičkim krizama). Ako plan odgovora na incident i plan kontinuiteta pišete kao dva nepovezana dokumenta, posao radite dvaput.
Izvori
Ne znate gdje stojite?
Pola sata razgovora i ništa vas ne obvezuje. Kad završimo, znate što trebate napraviti i kojim redom.