Εν ολίγοις: Μια λίστα επαφών έκτακτης ανάγκης IT αναφέρει για κάθε ρόλο ένα πρόσωπο με αναπληρωτή, τη διαθεσιμότητα και εκτός ωραρίου εργασίας, την αφορμή για την οποία ενημερώνεται, και τα στοιχεία που πρέπει να έχετε έτοιμα στην κλήση. Υπάρχει εκτυπωμένη και σε χωριστή συσκευή, δοκιμάζεται τακτικά και περιλαμβάνει και αρχές με προθεσμίες γνωστοποίησης. Έτσι σε περίπτωση έκτακτης ανάγκης δεν χάνεται χρόνος σε αναζητήσεις.
Ο αριθμός που δεν έχει κανείς
Ένα βράδυ Παρασκευής, το e-shop εμφανίζει περίεργες ανακατευθύνσεις, ο διαχειριστής έχει μια υποψία. Τι κάνετε τώρα; Να τηλεφωνήσετε στον πάροχο φιλοξενίας, αλλά ποιος αριθμός ισχύει εκτός ωραρίου και ποιον αριθμό πελάτη χρειάζεστε; Στο πρακτορείο, αλλά ποιος εκεί έχει πρόσβαση στον διακομιστή; Στην ασφαλιστική, αλλά πού βρίσκεται ο αριθμός του ασφαλιστηρίου; Και ποιος αποφασίζει αν το e-shop θα τεθεί εκτός δικτύου;
Πολλές επιχειρήσεις γνωρίζουν τέτοιες στιγμές, και η εβδομάδα του PHP2Shell τις πολλαπλασίασε. Το σχέδιο έκτακτης ανάγκης υπάρχει στην ιδανική περίπτωση, αλλά η λίστα επαφών μέσα σε αυτό είναι συχνά ο πιο αδύναμος κρίκος: παλιά, ελλιπής ή αποθηκευμένη μόνο ψηφιακά ακριβώς στο σύστημα που δεν είναι διαθέσιμο εκείνη τη στιγμή. Πώς δομείται το σχέδιο συνολικά, περιγράφει το Δημιουργία σχεδίου έκτακτης ανάγκης IT για διακομιστές ιστού. Εδώ εξετάζουμε την ίδια τη λίστα.
Ποιοι ανήκουν στη λίστα επαφών έκτακτης ανάγκης;
Ο παρακάτω πίνακας κατατάσσει τις τυπικές επαφές με βάση την αφορμή για την οποία ενημερώνονται και αναφέρει τι πρέπει να έχετε έτοιμο στην πρώτη επικοινωνία.
| Επαφή | Πότε ενημερώνεται | Τι να έχετε έτοιμο |
|---|---|---|
| Επικεφαλής έκτακτης ανάγκης (συχνά η διοίκηση) | σε κάθε υποψία περιστατικού | σύντομη εικόνα της κατάστασης, πρώτη εκτίμηση |
| Υπεύθυνοι IT και διαχειριστές | αμέσως, για τεχνικό έλεγχο | επηρεαζόμενα συστήματα σύμφωνα με την απογραφή |
| Πάροχος φιλοξενίας (κανάλι έκτακτης ανάγκης) | σε υποψία στον διακομιστή, για απενεργοποίηση ή logs | αριθμός πελάτη, αριθμός σύμβασης, κωδικός για την υποστήριξη |
| Πρακτορείο ή προγραμματιστής | όταν επηρεάζεται η εφαρμογή | όνομα έργου, προσβάσεις, πρόσωπο επαφής |
| Πάροχος υπηρεσιών ασφάλειας IT | σε επιβεβαιωμένη ή πιθανή παραβίαση | μέχρι τώρα παρατηρήσεις, χρονικές στιγμές |
| Υπεύθυνος προστασίας δεδομένων | μόλις ενδέχεται να επηρεάζονται δεδομένα προσωπικού χαρακτήρα | είδη δεδομένων, χρονική περίοδος, συστήματα |
| Ασφάλιση κυβερνοκινδύνων | σύμφωνα με τους όρους του ασφαλιστηρίου, συνήθως νωρίς | αριθμός ασφαλιστηρίου, διαδρομή δήλωσης ζημίας |
| Νομική συμβουλευτική | σε υποχρεώσεις γνωστοποίησης, εκβίαση, ζητήματα ευθύνης | πραγματική κατάσταση, μέχρι τώρα βήματα |
| Αρχή εποπτείας προστασίας δεδομένων | σε παραβίαση δεδομένων που πρέπει να γνωστοποιηθεί, εφόσον είναι δυνατό εντός 72 ωρών | στοιχεία σύμφωνα με το άρθρο 33 παρ. 3 ΓΚΠΔ |
| Κεντρικό σημείο επαφής για το έγκλημα στον κυβερνοχώρο (ZAC) | για υποβολή μήνυσης για ποινικό αδίκημα | αποδεικτικά, χρονογραμμή |
| BSI | σε υποχρέωση γνωστοποίησης σύμφωνα με το NIS2 | σύμφωνα με τις προδιαγραφές της BSI |
| Επικοινωνία | πριν από κάθε πληροφόρηση προς τα έξω | συμφωνημένα γεγονότα |
Το αρμόδιο ZAC Cybercrime θα το βρείτε μέσω της αστυνομίας της γερμανικής ομόσπονδης πολιτείας σας· πώς γίνεται η μήνυση, εξηγεί το Υποβολή μήνυσης: Κεντρικά σημεία επαφής Cybercrime. Ποιες προθεσμίες και υποχρεώσεις θέτουν συνήθως οι ασφαλιστές, περιγράφει το Ασφάλιση κυβερνοκινδύνων: τι μετράει σε περίπτωση ζημίας.
Τι πρέπει να περιέχει κάθε εγγραφή
Ένα όνομα και ένας αριθμός τηλεφώνου δεν αρκούν. Μια πλήρης εγγραφή απαντά σε έξι ερωτήματα:
- Ρόλος: Για τι είναι αρμόδιο το πρόσωπο, τι δικαιούται να αποφασίζει;
- Όνομα και αναπληρωτής: Ποιος παρεμβαίνει αν το πρώτο πρόσωπο δεν είναι διαθέσιμο;
- Διαθεσιμότητα: Τηλέφωνο, και κινητό, και δεύτερος τρόπος επικοινωνίας. Ισχύει ο αριθμός και τη νύχτα και το Σαββατοκύριακο;
- Αφορμή ενεργοποίησης: Σε ποιο γεγονός ενημερώνεται αυτό το πρόσωπο;
- Νομιμοποίηση: Αριθμός πελάτη, αριθμός σύμβασης, κωδικός υποστήριξης, ώστε η κλήση να μην σκοντάψει στον έλεγχο ταυτότητας.
- Ημερομηνία ελέγχου: Πότε ελέγχθηκε τελευταία φορά η εγγραφή;
Ιδιαίτερα το σημείο 5 υποτιμάται συχνά. Οι πάροχοι φιλοξενίας και οι καταχωρητές ελέγχουν τηλεφωνικά αν ο καλών είναι εξουσιοδοτημένος, και δικαίως. Όποιος πρέπει πρώτα να ψάξει τον κωδικό πελάτη, χάνει πολύτιμο χρόνο. Φυλάξτε τέτοια στοιχεία με ασφάλεια, αλλά έτσι ώστε ο επικεφαλής έκτακτης ανάγκης να έχει πρόσβαση σε αυτά σε περίπτωση ανάγκης.
Αντιγράψτε τους αριθμούς τηλεφώνου των παρόχων υπηρεσιών από τη σύμβαση ή από τον επίσημο ιστότοπο, ποτέ από email. Οι απατεώνες εκμεταλλεύονται ευχαρίστως γνωστές καταστάσεις ασφάλειας για πλαστά μηνύματα με «αριθμούς έκτακτης ανάγκης».
Η σειρά σε περίπτωση έκτακτης ανάγκης
Δεν χρειάζονται όλες οι επαφές ταυτόχρονα. Έχει αποδειχθεί αποτελεσματική μια διαβαθμισμένη πορεία: πρώτα ο επικεφαλής έκτακτης ανάγκης και η τεχνική ομάδα, ώστε να διαμορφωθεί μια πρώτη εκτίμηση και να αποφασιστεί ο περιορισμός του προβλήματος. Έπειτα ο πάροχος φιλοξενίας, το πρακτορείο και ο πάροχος υπηρεσιών ασφάλειας για την τεχνική δουλειά. Μόλις ενδέχεται να επηρεάζονται δεδομένα προσωπικού χαρακτήρα, ο υπεύθυνος προστασίας δεδομένων, επειδή από τη στιγμή που γίνεται γνωστή μια παραβίαση δεδομένων τρέχει η προθεσμία του άρθρου 33 ΓΚΠΔ. Η ασφαλιστική και η νομική συμβουλευτική ακολουθούν νωρίς, πριν ληφθούν σημαντικές αποφάσεις. Η επικοινωνία προς τα έξω έρχεται τελευταία και μόνο με συμφωνημένα γεγονότα.
Ποια βήματα ακολουθούν μετά την πρώτη ειδοποίηση, συνοψίζει ο Έλεγχος μετά από hack. Αυτή η σελίδα δίνει γενικές υποδείξεις· τις υποχρεώσεις γνωστοποίησης και τα νομικά ζητήματα τα διευκρινίζετε με τον υπεύθυνο προστασίας δεδομένων και με δικηγόρο.
Προβλέψτε επιπλέον έναν δεύτερο δρόμο επικοινωνίας. Αν επηρεάζεται ο διακομιστής email ή υπάρχει υποψία ότι ένας επιτιθέμενος διαβάζει εσωτερικά γραμματοκιβώτια, ο συντονισμός πρέπει να γίνεται μέσω χωριστού καναλιού, για παράδειγμα τηλεφωνικά ή μέσω μιας ομάδας που έχει στηθεί εκ των προτέρων σε άλλη υπηρεσία. Ορίστε αυτό το κανάλι εκ των προτέρων και συμπεριλάβετέ το στη λίστα. Το να ψάχνετε νέο δρόμο σε περίπτωση έκτακτης ανάγκης κοστίζει χρόνο και δημιουργεί αβεβαιότητα για το ποιο μήνυμα είναι γνήσιο.
Η λίστα παραμένει ζωντανή
Οι λίστες επαφών παλιώνουν αθόρυβα. Οι εργαζόμενοι αλλάζουν, οι πάροχοι υπηρεσιών αλλάζουν αριθμούς έκτακτης ανάγκης, οι συμβάσεις λήγουν. Προγραμματίστε γι' αυτό δύο σταθερές ημερομηνίες ελέγχου τον χρόνο και μία ημερομηνία αφορμής σε κάθε αλλαγή. Μια σύντομη δοκιμαστική κλήση εκτός ωραρίου δείχνει πιο αξιόπιστα αν ένα κανάλι έκτακτης ανάγκης λειτουργεί πραγματικά. Ρωτήστε και αν το πρόσωπο γνωρίζει ότι βρίσκεται στη λίστα και τι αναμένεται από αυτό σε περίπτωση έκτακτης ανάγκης.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταρτίζουμε μαζί σας τη λίστα των τεχνικών επαφών έκτακτης ανάγκης και ελέγχουμε αν οι πάροχοι φιλοξενίας και τα πρακτορεία διαθέτουν πράγματι κανάλι έκτακτης ανάγκης.
- Ορίζουμε ποια στοιχεία πρέπει να είναι έτοιμα για κάθε επαφή, ώστε μια κλήση να έχει άμεσο αποτέλεσμα.
- Συνοδεύουμε μια δοκιμαστική εκτέλεση της ειδοποίησης και ενσωματώνουμε τα κενά στα έγγραφά σας.
- Σε περίπτωση έκτακτης ανάγκης βρισκόμαστε ως τεχνικό πρόσωπο επαφής στη λίστα σας μέσω της αντιμετώπισης περιστατικών (incident response).
Συμπέρασμα: Μια καλή λίστα επαφών είναι σύντομη, πλήρης και δοκιμασμένη. Αποφασίζει αν οι πρώτες ώρες ενός περιστατικού θα περάσουν με δράση ή με αναζήτηση.
Συχνές ερωτήσεις
Ποιοι ανήκουν σε μια λίστα επαφών έκτακτης ανάγκης IT;
Εσωτερικά η διοίκηση, το τμήμα IT, ο υπεύθυνος προστασίας δεδομένων και η επικοινωνία· εξωτερικά ο πάροχος φιλοξενίας, το πρακτορείο, ο πάροχος υπηρεσιών ασφάλειας IT, η ασφάλιση κυβερνοκινδύνων, η νομική συμβουλευτική, η αρμόδια αρχή εποπτείας προστασίας δεδομένων και το Κεντρικό σημείο επαφής για το έγκλημα στον κυβερνοχώρο (ZAC Cybercrime) της γερμανικής ομόσπονδης πολιτείας σας· αν ισχύει υποχρέωση NIS2, επιπλέον η BSI.
Πού φυλάσσω τις επαφές έκτακτης ανάγκης;
Σε τουλάχιστον δύο σημεία, από τα οποία το ένα είναι προσβάσιμο χωρίς τα δικά σας συστήματα IT, για παράδειγμα εκτυπωμένο στον φάκελο έκτακτης ανάγκης και σε χωριστή συσκευή. Μια λίστα που βρίσκεται μόνο στο γραμματοκιβώτιο email ή στον επηρεαζόμενο διακομιστή δεν είναι διαθέσιμη σε περίπτωση έκτακτης ανάγκης.
Πόσο συχνά πρέπει να ελέγχεται η λίστα;
Τουλάχιστον δύο φορές τον χρόνο και μετά από κάθε αλλαγή προσωπικού ή παρόχου υπηρεσιών. Μια σύντομη δοκιμαστική κλήση δείχνει αν οι αριθμοί ισχύουν και αν τα πρόσωπα γνωρίζουν ότι βρίσκονται στη λίστα.
Πρέπει να ενημερώνεται πάντα η αρχή εποπτείας προστασίας δεδομένων;
Όχι σε κάθε περιστατικό. Το άρθρο 33 ΓΚΠΔ απαιτεί γνωστοποίηση σε περίπτωση παραβίασης της προστασίας δεδομένων προσωπικού χαρακτήρα, εφόσον είναι δυνατό εντός 72 ωρών, εκτός αν η παραβίαση δεν είναι πιθανό να προκαλέσει κίνδυνο για τα πρόσωπα που αφορά. Την αξιολόγηση την κάνετε με τον υπεύθυνο προστασίας δεδομένων· αυτή η σελίδα δεν αποτελεί νομική συμβουλή.