Qëllimi i një Plani Reagimi
Plani i reagimit të shkeljeve të të dhënave ofron një udhërrëfyes për t'u ndjekur kur zbulohet një shkelje.
Është një mjet për reduktimin e kohës dhe për reduktimin e stresit. Pasi plani juaj është në vend, ju nuk do të duhet të humbni kohë dhe energji duke vendosur çfarë të bëni çdo herë që ndodh një shkelje. Ju thjesht ndiqni hapat që keni vendosur paraprakisht. Një plan i mirë-menduar i përgjigjes mund t'ju ndihmojë të shmangni hapat e gabimeve që ju mund të bëni kur veproni në mënyrën e krizës.
Elementet e një Plani Reagimi
Për të qenë efektiv, plani i reagimit të shkeljeve të të dhënave duhet të përfshijë:
- Një përkufizim i shkeljes
- Një listë e anëtarëve të ekipit të reagimit
- Hapat e veprimit për trajtimin e shkeljes
- Një procedurë ndjekëse
Përcaktimi i një Shkeljeje
Një hap i rëndësishëm në zhvillimin e një plani reagimi është të vendosni se çfarë përbën një shkelje . Kjo është, cilat lloje incidentesh do të aktivizojnë planin tuaj? Disa ngjarje, të tilla si një email phishing, mund të kenë pak ose aspak efekt në veprimet e kompanisë suaj. Të tjerë, si një infeksion ransomware ose sulm denial shërbimi, mund të shkaktojnë një përçarje serioze.
Ndërsa përkufizimi i shkeljes mund të ndryshojë nga një plan në tjetrin, zakonisht përfshin çdo vjedhje ose ndërhyrje të skedarëve elektronikë të të dhënave që përmbajnë informacion të ndjeshëm në lidhje me klientët, pacientët, klientët ose punonjësit. Ai gjithashtu duhet të përfshijë çdo vjedhje (ose tentim vjedhjeje) të informacionit të ndjeshëm të kompanisë si patentat, sekretet tregtare dhe pronat e tjera intelektuale.
Ekipi juaj i reagimit
Plani juaj i përgjigjes duhet të identifikojë anëtarët e ekipit tuaj të reagimit. Këta janë individët të cilët do të kryejnë planin tuaj të reagimit kur ndodh një shkelje. Ata duhet t'u besohen punonjësve të cilët janë të njohur me biznesin tuaj. Ata duhet të marrin përgjegjësitë e tyre si anëtarë të ekipit seriozisht.
Madhësia e ekipit tuaj dhe përbërja e tij varet nga disa faktorë. Këto përfshijnë madhësinë e kompanisë suaj, industrinë në të cilën veproni dhe kompleksitetin e biznesit tuaj. Në shumë kompani, ekipi i reagimit përfshin të paktën një përfaqësues nga secila prej fushave në vijim:
- Burimet njerëzore
- Teknologjia e informacionit ose siguria e të dhënave
- Communications
- Menaxhimi i rrezikut
- juridik
- Menaxhmenti i lartë
Disa shkelje të të dhënave mund të jenë shumë të mëdha ose shumë komplekse për punonjësit tuaj për tu trajtuar vetëm. Për t'u marrë me këto ngjarje ekipi juaj do të ketë nevojë për ndihmë nga ekspertë të jashtëm. Këto konsulentë të jashtëm duhet të identifikohen në planin tuaj të reagimit. Ato mund të përfshijnë avokatët, personelin e zbatimit të ligjit dhe ekspertët e sigurisë ose të rikuperimit të të dhënave.
Hapat e Veprimit të Planit Tuaj
Plani juaj i reagimit duhet të japë udhëzime hap pas hapi për anëtarët e ekipit tuaj të reagimit mbi atë se çfarë duhet të bëni kur ndodh një shkelje e të dhënave. Çdo anëtari duhet të caktohet një rol që reflekton ekspertizën e tij ose të saj.
Për shembull, përgjegjësia për të përcaktuar se si ka ndodhur shkelja duhet t'i caktohet një punonjësi të sigurisë së të dhënave. Po ashtu, detyra e njoftimit të siguruesit që ka lëshuar politikën tuaj të përgjegjësisë në internet duhet t'i caktohet një punonjësi të administrimit të rrezikut. Plani duhet t'i mundësojë ekipit tuaj që të analizojë shkeljet, të përcaktojë se çfarë gaboi, të kufizojë dëmtimet dhe të bëjë çfarëdo përmirësimi të nevojshëm për të parandaluar ngjarje të ngjashme që ndodhin në të ardhmen.
Anëtarët e ekipit tuaj të reagimit duhet të dokumentojnë me kujdes të gjitha veprimet që morën pas shkeljes. Kjo është e rëndësishme për disa arsye. Së pari, të dhënat do të verifikojnë se anëtarët e ekipit ndoqën udhëzimet e përshkruara në planin tuaj. Së dyti, dokumentacioni do të japë informacion të vlefshëm kur po kryeni vlerësimin tuaj pas shkelje.
Së treti, të dhënat mund të kërkohen nga autoritetet shtetërore ose federale nëse shkelja ka të bëjë me të dhënat e mbrojtura me ligj. Disa lloje të informacionit personalisht të identifikueshëm (siç janë numrat e kartës së kreditit ose informacioni shëndetësor) janë subjekt i legjislacionit shtetëror ose federal të privatësisë. Nëse ruani të dhëna të ndjeshme për klientët, pacientët ose punonjësit në sistemin tuaj kompjuterik dhe informacioni është komprometuar, mund t'ju kërkohet me ligj që të njoftojë individët të dhënat e të cilëve janë shkelur. Ju gjithashtu mund të kërkohet që të raportojnë shkeljen në një agjensi shtetërore ose federale. Shumë ligje përcaktojnë një afat kohor për njoftim. Kërkesat e njoftimit, duke përfshirë ata që duhet të njoftohen dhe afati kohor i mandatuar, duhet të theksohen në planin tuaj të përgjigjes.
Ndiqe
Sapo plani juaj të jetë zbatuar plotësisht dhe shkelja ka qenë e përfshirë, duhet të zhvilloni një sesion njoftimi me ekipin tuaj të reagimit. Kërkojuni të gjithë anëtarëve të kalojnë nëpër hapat që morën dhe mësimet që mësuan nga procesi. Anëtarët duhet të përshkruajnë çdo problem që kanë hasur gjatë rrugës kështu që plani mund të rregullohet sipas nevojës.