Инцидент с персональными данными: готовность, журнал и удаление

Зафиксируйте время, источник сигнала, затронутую систему, категории и примерный объём данных. Не распространяйте сами данные в рабочих чатах.

Подготовьте единый intake с incident ID, обнаружившим лицом, временем по UTC, затронутым tenant, системами, предполагаемым вектором и уровнем уверенности. Автоматический алерт не равен подтверждённой утечке: дежурный сохраняет исходные сигналы и классифицирует событие. Доступ к кейсу ограничивается командой реагирования, а реальные образцы данных заменяются хэшами или безопасными признаками, где возможно.

Отзовите скомпрометированные ключи, закройте ошибочный доступ и сохраните неизменяемые журналы. Изменения проводите с идентификатором инцидента.

Используйте заранее подготовленные действия по типу секрета и системы: отзыв токена, закрытие публичного объекта, ограничение роли, изоляция узла. Каждое изменение получает время, исполнителя и ожидаемый эффект. Перед очисткой сохраняйте необходимые журналы в защищённое неизменяемое хранилище. Если исход внешней команды неизвестен, сначала сверяйте состояние и не повторяйте разрушительное действие автоматически.

При установленном инциденте, повлекшем нарушение прав субъектов, закон предусматривает сообщение Роскомнадзору в течение 24 часов с первичной информацией и в течение 72 часов — с результатами внутреннего расследования и сведениями о виновных лицах, если они установлены. Ответственный фиксирует момент обнаружения, содержание и подтверждение отправки и отдельно проверяет иные применимые уведомления.

Создайте контрольную временную шкалу: момент обнаружения, подтверждение фактов, первичная оценка, решения и отправленные сообщения. При нарушении прав субъектов предусмотрены два контрольных этапа для Роскомнадзора — первичное сообщение в течение 24 часов и результаты внутреннего расследования в течение 72 часов. Ответственный специалист сверяет адресатов и содержание с действующей редакцией требований; статья не заменяет такую проверку. Сообщайте подтверждённые сведения, помечайте неизвестное и сохраняйте доказательство отправки без лишнего раскрытия данных.

После устранения причины обновите модель угроз, сроки хранения и обучение. Доказательства инцидента храните отдельно и только необходимый период.

Закрытие требует post-incident review: корневая причина, эффективность сдерживания, затронутые записи, корректирующие меры, владелец и срок проверки. Доказательства хранят по отдельному утверждённому сроку и legal hold, если он применим; обычные пользовательские данные не следует сохранять бессрочно под видом расследования. После срока выполните проверяемое удаление из рабочего кейса и его резервных копий.