Регламент реагирования на инциденты с персональными данными

1.1. Настоящий Регламент определяет порядок обнаружения, регистрации, классификации, расследования и закрытия инцидентов информационной безопасности, затрагивающих персональные данные, в __________ (далее — Оператор).

1.2. Регламент разработан в соответствии со статьями 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ и принят в составе мер, направленных на обеспечение выполнения обязанностей оператора 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.3. Регламент обязателен для всех работников Оператора, а также для лиц, выполняющих работы и оказывающих услуги Оператору с доступом к персональным данным.

1.4. Действие Регламента распространяется на все информационные системы Оператора, на бумажные носители персональных данных и на процессы обработки без использования средств автоматизации.

1.5. Ответственным за организацию реагирования является __________ __________, контакты: __________, __________ 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.6. Сообщения об инцидентах принимаются круглосуточно на адрес __________ и по телефону __________.

1.7. Термины, не определённые настоящим Регламентом, применяются в значении, установленном законодательством о персональных данных.

2.1. Настоящий Регламент охватывает все инциденты информационной безопасности, затрагивающие персональные данные, независимо от того, повлекли ли они неправомерную передачу данных.

2.2. Если в ходе реагирования установлен факт неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, дальнейшие действия и сроки уведомления уполномоченного органа определяются отдельным локальным актом Оператора о порядке реагирования на утечку персональных данных 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

2.3. Настоящий Регламент не заменяет и не изменяет установленные законом сроки уведомления уполномоченного органа.

2.4. Внутренние сроки, установленные Регламентом, всегда короче законных и рассчитаны так, чтобы обеспечить их соблюдение.

2.5. Технические действия администратора безопасности при инциденте выполняются в порядке, установленном инструкцией администратора безопасности системы защиты персональных данных.

2.6. Вопросы взаимодействия с уполномоченным органом при проверках, вызванных инцидентом, регулируются регламентом взаимодействия с регуляторами.

2.7. При противоречии между настоящим Регламентом и требованием закона применяется требование закона.

3.1. Инцидентом признаётся событие, которое повлекло или могло повлечь нарушение конфиденциальности, целостности или доступности персональных данных, а равно нарушение установленного порядка их обработки.

3.2. Событие признаётся инцидентом независимо от того, был ли причинён реальный вред и удалось ли установить виновное лицо.

3.3. Не признаются инцидентами плановые работы, согласованные изменения конфигурации и учебные тревоги, о проведении которых заранее уведомлена команда реагирования.

4.1. Уровень критичности присваивает руководитель команды реагирования не позднее двух часов с момента регистрации инцидента.

4.2. Уровень определяет состав привлекаемых работников и предельные сроки действий.

4.3. Уровень критичности может быть повышен на любом этапе.

4.4. Понижение уровня оформляется мотивированным решением руководителя команды реагирования с записью в журнале.

4.5. При наличии признаков неправомерной передачи персональных данных инциденту присваивается критический уровень до тех пор, пока обратное не установлено расследованием.

4.6. Сроки исчисляются непрерывно, включая выходные и нерабочие праздничные дни.

4.7. Отсутствие работника на рабочем месте не является основанием для переноса срока.

5.1. Работник, обнаруживший инцидент или его признаки, обязан сообщить об этом не позднее __________ часов с момента обнаружения на адрес __________ или по телефону __________.

5.2. Сообщение направляется независимо от того, считает ли работник событие значительным и удалось ли устранить его последствия своими силами.

5.3. В сообщении указываются дата и время обнаружения, что именно произошло, какие системы и документы затронуты, какие действия уже совершены.

5.4. Источниками сведений об инциденте являются также срабатывания средств защиты, анализ журналов событий, обращения субъектов персональных данных, сообщения подрядчиков и информация из внешних источников.

5.5. Каждое поступившее сообщение регистрируется в __________ в день поступления с присвоением регистрационного номера.

5.6. Регистрируются в том числе сообщения, по которым инцидент впоследствии не подтвердился.

5.7. Момент обнаружения инцидента определяется по времени первого сообщения или первого срабатывания средства защиты, а не по времени, когда о событии узнал руководитель.

5.8. Самостоятельное устранение последствий работником без сообщения в команду реагирования запрещено и является самостоятельным дисциплинарным проступком.

6.1. Для реагирования на инциденты у Оператора создаётся постоянно действующая команда реагирования.

6.2. Её состав утверждается приказом руководителя.

6.3. Руководитель команды реагирования организует работу, принимает решения о привлечении работников и внешних специалистов и отвечает за соблюдение сроков.

6.4. Технический специалист выполняет локализацию, сбор технических сведений и восстановление систем.

6.5. Ответственный за организацию обработки персональных данных оценивает правовые последствия инцидента, готовит уведомления и взаимодействует с уполномоченным органом.

6.6. Команда реагирования вправе без дополнительных согласований отключать информационные системы, сетевые сегменты и учётные записи, если это необходимо для прекращения инцидента.

6.7. Команда реагирования вправе запрашивать у любого работника объяснения, документы и доступ к рабочим устройствам, связанным с инцидентом.

6.8. Решения команды оформляются протоколом.

6.9. Разногласия внутри команды разрешает руководитель Оператора, при этом установленные законом сроки не приостанавливаются.

7.1. Первый уровень реагирования — администратор безопасности и ответственный за организацию обработки персональных данных.

7.2. На этом уровне закрываются инциденты низкого уровня критичности.

7.3. Второй уровень — команда реагирования в полном составе.

7.4. На этот уровень передаются инциденты среднего и высокого уровня, а также инциденты, не устранённые на первом уровне в установленный срок.

7.5. Третий уровень — руководитель Оператора.

7.6. Информируется при критическом уровне немедленно, при высоком — в течение четырёх часов, а также в любом случае, когда требуется решение о привлечении внешних специалистов или о взаимодействии с правоохранительными органами.

7.7. Эскалация производится автоматически при истечении срока, установленного для текущего уровня, без дополнительного решения.

7.8. Инцидент, затрагивающий данные более чем ста субъектов, специальные категории или биометрические данные, передаётся на третий уровень независимо от первоначальной оценки.

7.9. Каждый факт эскалации фиксируется в журнале с указанием времени и лица, принявшего решение.

8.1. Этап первый — выявление и первичная оценка.

8.2. Выполняется немедленно, не позднее двух часов с момента регистрации: фиксация признаков в журнале, предварительное определение типа и уровня инцидента, оценка круга затронутых данных и систем, оповещение руководителя команды реагирования.

8.3. Этап второй — локализация.

8.4. Выполняется не позднее четырёх часов с момента регистрации: изоляция затронутых систем и сегментов сети, блокирование скомпрометированных учётных записей, прекращение процесса, приводящего к нарушению, введение усиленного наблюдения за смежными системами.

8.5. Этап третий — оценка признаков неправомерной передачи данных.

8.6. Если такие признаки установлены, ответственный за организацию обработки персональных данных немедленно начинает подготовку уведомления уполномоченного органа в сроки, установленные законом: первичное уведомление в течение двадцати четырёх часов с момента обнаружения, сведения о результатах внутреннего расследования — в течение семидесяти двух часов.

8.7. Этап четвёртый — расследование.

8.8. Устанавливаются причина и способ реализации инцидента, круг затронутых субъектов и состав данных, лица, действия или бездействие которых привели к инциденту, а также достаточность принятых мер защиты.

8.9. Этап пятый — устранение причины и восстановление.

8.10. Устраняется уязвимость или организационный недостаток, системы восстанавливаются из проверенных резервных копий, работоспособность подтверждается проверкой.

8.11. Этап шестой — закрытие инцидента.

8.12. Оформляется заключение с описанием инцидента, хронологией, причинами, последствиями и принятыми мерами.

8.13. Заключение утверждает руководитель Оператора.

8.14. Этап седьмой — разбор и корректирующие меры.

8.15. Проводится в срок не более __________ рабочих дней со дня закрытия инцидента.

8.16. Переход к следующему этапу до завершения предыдущего допускается, если это сокращает время реагирования и не влечёт утраты доказательств.

10.1. Восстановление начинается после локализации инцидента и устранения его причины.

10.2. Восстановление до устранения причины не допускается.

10.3. Данные восстанавливаются из резервных копий, созданных до момента возникновения инцидента и проверенных на отсутствие вредоносного кода.

10.4. После восстановления производится проверка целостности данных и полноты восстановленных сведений, результат фиксируется в журнале.

10.5. Пароли всех учётных записей, которые могли быть скомпрометированы, подлежат обязательной смене до возобновления штатной работы.

10.6. Возобновление обработки персональных данных в затронутой системе оформляется решением руководителя команды реагирования с отметкой в журнале.

11.1. Отказ информационной системы, повреждение или утрата базы данных признаются инцидентом и регистрируются в общем порядке, даже если конфиденциальность данных не нарушена.

11.2. При таком инциденте команда реагирования устанавливает объём утраченных сведений, глубину доступной резервной копии и перечень операций, которые придётся выполнить повторно.

11.3. Если данные утрачены безвозвратно, Оператор восстанавливает их из первичных документов и уведомляет затронутых работников или клиентов о необходимости повторно представить сведения.

11.4. Утрата данных, которые Оператор обязан хранить по закону, оформляется актом с указанием причин и мер по восстановлению.

11.5. Если причиной отказа стало вредоносное программное обеспечение, инцидент дополнительно проверяется на предмет копирования данных до их шифрования или удаления.

11.6. По итогам такого инцидента в обязательном порядке проверяются полнота и восстановимость резервных копий всех систем, обрабатывающих персональные данные.

12.1. Все действия по инциденту фиксируются в __________ с указанием даты и времени с точностью до минуты.

12.2. По каждому инциденту заводится карточка, в которую вносятся регистрационный номер, обстоятельства обнаружения, уровень критичности, затронутые системы и данные, состав принятых мер и результат.

12.3. К материалам инцидента приобщаются объяснения работников, копии журналов событий, протоколы команды реагирования и заключение по результатам расследования.

12.4. Записи журнала не подлежат изменению.

12.5. Исправление вносится новой записью со ссылкой на исправляемую.

12.6. Журнал и материалы расследования хранятся __________ лет и находятся у ответственного за организацию обработки персональных данных.

12.7. Материалы по инцидентам предъявляются уполномоченному органу при проведении контрольных мероприятий и служат подтверждением исполнения Оператором обязанностей по обеспечению безопасности данных.

13.1. Ответственный за организацию обработки персональных данных представляет руководителю Оператора отчёт об инцидентах с периодичностью: __________.

13.2. Отчёт содержит перечень нереализованных корректирующих мер с указанием причин и новых сроков.

13.3. По итогам рассмотрения отчёта руководитель Оператора принимает решение о выделении ресурсов, изменении мер защиты или пересмотре локальных актов.

14.1. Разбор инцидента проводится в срок не более __________ рабочих дней со дня его закрытия с участием команды реагирования и руководителей затронутых подразделений.

14.2. Разбор направлен на установление причины, а не на поиск виновного.

14.3. Работник, своевременно сообщивший об инциденте, не может быть привлечён к ответственности за сам факт сообщения.

14.4. По итогам разбора утверждается план корректирующих мер с указанием мероприятий, ответственных и сроков.

14.5. Корректирующие меры могут включать изменение настроек средств защиты, пересмотр прав доступа, изменение процессов обработки, дополнительное обучение работников и внесение изменений в локальные акты.

14.6. Исполнение плана контролирует ответственный за организацию обработки персональных данных, о результатах докладывает руководителю Оператора.

14.7. При повторении инцидента по ранее выявленной и не устранённой причине руководитель Оператора решает вопрос об ответственности лиц, отвечавших за корректирующие меры.

14.8. Модель угроз безопасности персональных данных актуализируется, если инцидент выявил угрозу, ранее в ней не учтённую Метод. документ ФСТЭК от 05.02.2021Метод. документ ФСТЭК от 05.02.2021Методика оценки угроз безопасности информации.

15.1. Нарушение требований настоящего Регламента является дисциплинарным проступком и влечёт применение дисциплинарного взыскания в порядке статей 192 и 193 Трудового кодекса Российской Федерации ТК РФ ст. 192ТК РФ ст. 192Дисциплинарные взыскания.

15.2. Самостоятельным нарушением признаются сокрытие инцидента, несообщение о нём в установленный срок, а также искажение сведений об обстоятельствах инцидента.

15.3. Нарушение установленного порядка обработки и защиты персональных данных влечёт административную ответственность Оператора и его должностных лиц КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

15.4. Неправомерный доступ к персональным данным и их распространение могут повлечь уголовную ответственность УК РФ ст. 137УК РФ ст. 137Нарушение неприкосновенности частной жизни.

15.5. Возмещение субъекту персональных данных морального вреда и убытков, причинённых инцидентом, производится независимо от привлечения виновных лиц к ответственности 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

15.6. Работник, действия которого привели к инциденту, но который своевременно сообщил о нём и содействовал устранению последствий, — это обстоятельство учитывается при выборе меры взыскания.

16.1. Регламент вступает в силу со дня утверждения приказом руководителя Оператора и действует до его отмены или замены новой редакцией.

16.2. Регламент пересматривается не реже одного раза в год, а также после каждого инцидента критического уровня и при изменении состава информационных систем или требований законодательства.

16.3. Работники, участвующие в обработке персональных данных, знакомятся с Регламентом под подпись при приёме на работу и при внесении изменений.

16.4. Не реже одного раза в год проводится учебное реагирование на инцидент с оценкой соблюдения сроков.

16.5. Результаты оформляются актом.

16.6. Контроль исполнения Регламента возложен на ответственного за организацию обработки персональных данных.

17.1. Ответственный за организацию обработки персональных данных:

17.2. __________ ______________ / __________ /

17.3. Руководитель:

17.4. __________ ______________ / __________ /