Зачем нужен план реагирования на утечку данных
План реагирования на утечку данных — это заранее подготовленный документ, определяющий, кто, когда, в какие сроки и с каким содержанием реагирует на инцидент. В отличие от живого реагирования, которое представляет собой управление уже случившимся фактом, план — экс-анте инструмент: он создаётся, когда ничего не произошло, чтобы решения в кризис не были результатом импровизации. Закон Грузии «О защите персональных данных» не требует существования плана отдельно, но каждый его элемент опирается на установленные законом обязанности — и именно нарушение этих обязанностей влечёт санкции, от которых план защищает.
Правовая основа плана стоит на двух опорах. Первая — обязанность безопасности: согласно второму пункту статьи 27 закона, ответственное лицо и уполномоченное лицо обязаны принимать организационные и технические меры, соответствующие возможным и сопутствующим рискам, включая псевдонимизацию, учёт доступа и механизмы информационной безопасности. Вторая — обязанности фиксации инцидента и уведомления по статьям 29 и 30.
Что план должен отражать из базового уровня безопасности
План начинается с перечня мер, установленных статьёй 27, которые активируются при инциденте: псевдонимизация данных, учёт доступа, механизмы конфиденциальности, целостности и доступности. Третий пункт той же статьи требует периодической оценки эффективности этих мер — в плане это отражается графиком оценки.
Отдельный акцент — на учёт. Согласно четвёртому пункту статьи 27, каждое действие в отношении данных в электронной форме, включая сведения об инцидентах, фиксируется. План определяет, кто ведёт учёт во время инцидента и где фиксируются наступившее последствие и принятые меры — ведь именно эта запись становится основанием уведомления.
Уведомление в течение 72 часов и его содержание
Центральный временной параметр плана — 72 часа: согласно первому пункту статьи 29, ответственное лицо обязано письменно или в электронной форме уведомить Службу государственного аудита об инциденте не позднее 72 часов с момента обнаружения, кроме случая, когда значительный ущерб или угроза основным правам маловероятны. Фиксация момента обнаружения инцидента — поэтому отдельная процедура плана.
План заранее формирует шаблон уведомления с содержанием, требуемым третьим пунктом статьи 29: обстоятельства, характер и время инцидента; предположительные категории и объём повреждённых или раскрытых данных и предположительный круг затронутых субъектов; предположительный ущерб и осуществлённые или запланированные мероприятия; намерение об информировании субъектов; контактное лицо. Если предоставление информации одновременно невозможно, план предусматривает поэтапную передачу по согласованию со Службой государственного аудита.
Если обработка ведётся через уполномоченное лицо, второй пункт статьи 29 требует от него немедленного уведомления — этот канал должен быть установлен в договоре как часть плана.