Регламент реагирования на инциденты с персональными данными на случай утечки ПДн

1.1. Настоящий Регламент определяет порядок выявления, локализации, расследования инцидентов безопасности персональных данных (далее — инциденты, инциденты с ПДн) и уведомления уполномоченных органов в __________ (далее — Оператор).

1.2. Правовые основания: часть 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152); Приказ Роскомнадзора № 276 от 25.07.2024 «Об утверждении требований к содержанию уведомления об инциденте»; статья 13.11 КоАП РФ; 572-ФЗ от 30.11.2024.

1.3. Оператор принимает все необходимые меры для предотвращения инцидентов: антивирусная защита не применяется; межсетевой экран не применяется; шифрование канала применяется; двухфакторная аутентификация не применяется.

1.4. План реагирования на инциденты находится в стадии разработки.

1.5. Журнал учёта инцидентов планируется к введению.

1.6. Ответственным за координацию реагирования на инциденты является __________ (Генеральный Директор), e-mail: __________, телефон: __________.

2.1. Категории инцидентов с персональными данными

3.1. Для реагирования на инциденты формируется Команда реагирования (далее — КР) в составе:

3.2. Руководитель КР — __________ (Генеральный Директор): координация всех мероприятий, взаимодействие с РКН;

3.3. Технический специалист — системный администратор / специалист по ИБ: локализация инцидента, сбор технических данных;

3.4. Юридический советник — юрист организации (при наличии) или привлекаемый эксперт: оценка правовых рисков, формирование уведомлений;

3.5. Представитель руководства — Генеральный директор ________________: принятие решений об эскалации.

4.1. Этап 1. Выявление и первичная оценка (срок: немедленно, не позднее 2 часов с момента обнаружения):

4.2. Фиксация признаков инцидента в Журнале учёта инцидентов (дата, время, источник сигнала);

4.3. Первичная классификация: тип инцидента, потенциально затронутые ПДн, примерное число субъектов;

4.4. Уведомление руководителя КР.

4.5. Этап 2. Локализация (срок: не позднее 4 часов с момента обнаружения):

4.6. Изоляция затронутых систем/компонентов ИСПДн;

4.7. Блокирование скомпрометированных учётных записей;

4.8. Сохранение криминалистических данных (образы дисков, логи, сетевые дампы);

4.9. Введение усиленного мониторинга смежных систем.

4.10. Этап 3. Уведомление РКН (срок: не позднее 72 часов с момента обнаружения):

4.11. Подготовка первичного уведомления по форме Приказа РКН № 276 от 25.07.2024 (см. Регламент уведомления РКН об утечке);

4.12. Направление уведомления через портал РКН (gosuslugi.ru) или на бумажном носителе.

4.13. Этап 4. Расследование (срок: не позднее 72 часов с момента обнаружения для направления результатов в РКН):

4.14. Анализ причин инцидента (технические векторы атаки, ошибки персонала, уязвимости);

4.15. Установление объёма скомпрометированных ПДн и числа затронутых субъектов;

4.16. Определение виновных и квалификация инцидента;

4.17. Подготовка отчёта о результатах расследования для РКН.

4.18. Этап 5. Устранение и восстановление:

4.19. Устранение уязвимостей и причин инцидента;

4.20. Восстановление работоспособности ИСПДн из чистых резервных копий;

4.21. Усиление мер защиты во избежание повторения.

4.22. Этап 6. Уведомление субъектов ПДн (при значительном вреде): Оператор уведомляет затронутых субъектов в разумный срок о факте инцидента, составе скомпрометированных данных и принятых мерах.

4.23. Этап 7. Post-incident review: в течение 30 дней после инцидента проводится разбор, вносятся изменения в политики и меры защиты, актуализируется модель угроз.

5.1. Все действия по каждому этапу фиксируются в Журнале учёта инцидентов безопасности ПДн.

5.2. Журнал хранится не менее 5 лет.

5.3. По каждому инциденту составляется Отчёт об инциденте, включающий: описание, хронологию, причины, меры, рекомендации.

6.1. Нарушение сроков уведомления РКН влечёт ответственность по статье 13.11 КоАП РФ (штраф для юридических лиц до 3 000 000 рублей за первое нарушение; повторно — до 3% годовой выручки по 572-ФЗ от 30.11.2024).

6.2. Работники, виновные в возникновении инцидента вследствие нарушения требований безопасности, привлекаются к дисциплинарной ответственности (ст. 192 ТК РФ) и несут иную ответственность, предусмотренную законодательством РФ.

6.3. Генеральный директор                _________________   / ________________ /