Pierwsza godzina: ogranicz skutki
| Sytuacja | Co zrobić od razu |
|---|---|
| Zgubiony lub skradziony laptop, telefon | zmień hasła do kont, zablokuj lub zdalnie wyczyść urządzenie przez system zarządzania urządzeniami (np. Microsoft Intune), przy kradzieży zgłoś sprawę na policję |
| E-mail z danymi do złej osoby | poproś odbiorcę o usunięcie i potwierdzenie, spróbuj odwołać wiadomość, jeśli poczta na to pozwala |
| Podejrzenie ransomware | odłącz komputer od sieci (kabel i Wi-Fi), nie wyłączaj go, nie płać okupu, dzwoń do IT |
| Przejęta skrzynka pocztowa | zmień hasło, wyloguj wszystkie sesje, włącz MFA, sprawdź reguły przekierowania poczty |
| Dokumenty w niewłaściwym miejscu | zabezpiecz je i ustal, kto mógł mieć do nich dostęp |
Pierwszy dzień: ustal fakty
- Zapisz przebieg: kiedy, co, kto zauważył, jakich danych i ilu pacjentów dotyczy.
- Powiadom osobę odpowiedzialną za dane — kierownika lub inspektora ochrony danych.
- Oceń ryzyko: czy dane były zaszyfrowane, czy trafiły do zaufanej osoby, czy mogą posłużyć do oszustwa.
- Zabezpiecz dowody: logi, wiadomości, zrzuty ekranu. Nie formatuj zainfekowanego komputera przed decyzją IT.
Do 72 godzin: decyzja i zgłoszenie
- Zgłoszenie do Prezesa UODO — gdy naruszenie może powodować ryzyko dla pacjentów. Termin to 72 godziny od stwierdzenia naruszenia. Jeśli nie wszystkie informacje są znane, zgłasza się to, co wiadomo, i uzupełnia później.
- Zawiadomienie pacjentów — gdy ryzyko jest wysokie, np. wyciek danych o zdrowiu bez szyfrowania.
- Rejestr naruszeń — wpis zawsze, także gdy uznano, że zgłoszenie nie jest potrzebne, z uzasadnieniem.
- Podmioty objęte NIS2 — dodatkowo zgłoszenie incydentu do właściwego CSIRT w terminach z ustawy o KSC. Więcej: NIS2 w Polsce.
Zanim to się zdarzy
Najwięcej czasu traci się na ustalanie, kto decyduje i gdzie są informacje. Wystarczy jedna strona procedury: kto zgłasza, kto decyduje, do kogo dzwonić w IT i gdzie jest rejestr naruszeń. Do tego szyfrowanie dysków, kopie zapasowe testowane przez odtworzenie i konta z MFA — wtedy większość zdarzeń kończy się wpisem do rejestru, a nie kryzysem.