Утечка данных: каналы, признаки, первые действия и профилактика

Граница материала: Инцидент несанкционированного раскрытия или ухода данных: признаки, реакция и профилактика. Общий закон о персональных данных остаётся отдельным. Сквозной пример — ссылка на экспорт клиентской базы стала доступна постороннему. Каждый раздел заканчивается решением или доказательством, которое можно проверить через показатель: время обнаружения и локализации, объём затронутых данных, число субъектов, повторные каналы и выполнение действий.

Подтвердить сигнал без разрушения следов: утечка данных

Изменение защиты проходит управляемый выпуск. Для «подтвердить сигнал без разрушения следов» владелец актива прикладывает артефакт операции «подтвердить сигнал без разрушения следов» для темы «утечка данных»: свидетельство защиты по шагу «подтвердить сигнал без разрушения следов» с датой, источником и итогом теста, тест, план отката и окно наблюдения. В теме «утечка данных» сравните риск до и после. При условии «при действии «подтвердить сигнал без разрушения следов» в теме «утечка данных» возникает отклонение: для «подтвердить сигнал без разрушения следов» нет проверки в контуре «утечка данных»» выпуск останавливают.

• Изменение: «подтвердить сигнал без разрушения следов» в системе «утечка данных».
• Кто выпускает: владелец актива.
• Тест и откат: артефакт операции «подтвердить сигнал без разрушения следов» для темы «утечка данных»: свидетельство защиты по шагу «подтвердить сигнал без разрушения следов» с датой, источником и итогом теста.
• Стоп выпуска: при действии «подтвердить сигнал без разрушения следов» в теме «утечка данных» возникает отклонение: для «подтвердить сигнал без разрушения следов» нет проверки в контуре «утечка данных».

Активировать команду реагирования: утечка данных

Инцидентный сценарий проверяется заранее. Во время «активировать команду реагирования» руководитель безопасности использует артефакт операции «активировать команду реагирования» для темы «утечка данных»: свидетельство защиты по шагу «активировать команду реагирования» с датой, источником и итогом теста и фиксирует время обнаружения, ограничения и восстановления. На примере «ссылка на экспорт клиентской базы стала доступна постороннему» проведите настольную тренировку. Риск «при действии «активировать команду реагирования» в теме «утечка данных» возникает отклонение: для «активировать команду реагирования» нет проверки в контуре «утечка данных»» становится задачей с датой.

• Сценарий: «активировать команду реагирования» в системе «утечка данных».
• Кто реагирует: руководитель безопасности.
• Хронология: артефакт операции «активировать команду реагирования» для темы «утечка данных»: свидетельство защиты по шагу «активировать команду реагирования» с датой, источником и итогом теста.
• Неготовая роль: при действии «активировать команду реагирования» в теме «утечка данных» возникает отклонение: для «активировать команду реагирования» нет проверки в контуре «утечка данных».

Определить данные и субъектов: утечка данных

Исключение не должно становиться постоянным обходом. Для шага «определить данные и субъектов» архитектор защиты записывает артефакт операции «определить данные и субъектов» для темы «утечка данных»: свидетельство защиты по шагу «определить данные и субъектов» с датой, источником и итогом теста, причину, компенсирующую меру и срок закрытия. В «утечка данных» регулярно ищите просроченные исключения. Ошибка: при действии «определить данные и субъектов» в теме «утечка данных» возникает отклонение: для «определить данные и субъектов» нет проверки в контуре «утечка данных».

• Исключение: «определить данные и субъектов» в системе «утечка данных».
• Кто принимает: архитектор защиты.
• Компенсация: артефакт операции «определить данные и субъектов» для темы «утечка данных»: свидетельство защиты по шагу «определить данные и субъектов» с датой, источником и итогом теста.
• Просрочка: при действии «определить данные и субъектов» в теме «утечка данных» возникает отклонение: для «определить данные и субъектов» нет проверки в контуре «утечка данных».

Локализовать канал утечки: утечка данных

После «локализовать канал утечки» пересмотрите модель «утечка данных». администратор системы сопоставляет артефакт операции «локализовать канал утечки» для темы «утечка данных»: свидетельство защиты по шагу «локализовать канал утечки» с датой, источником и итогом теста с показателем «время обнаружения и локализации, объём затронутых данных, число субъектов, повторные каналы и выполнение действий» и обновляет правила по факту. Отдельно сохраните удачные и неудачные решения. При риске «при действии «локализовать канал утечки» в теме «утечка данных» возникает отклонение: для «локализовать канал утечки» нет проверки в контуре «утечка данных»» назначьте повторную проверку.

• Урок: «локализовать канал утечки» в системе «утечка данных».
• Кто закрепляет: администратор системы.
• Новое правило: артефакт операции «локализовать канал утечки» для темы «утечка данных»: свидетельство защиты по шагу «локализовать канал утечки» с датой, источником и итогом теста.
• Повторная проверка: при действии «локализовать канал утечки» в теме «утечка данных» возникает отклонение: для «локализовать канал утечки» нет проверки в контуре «утечка данных».

Сохранить доказательства: утечка данных

Для контроля «утечка данных» сначала определите защищаемый объект. На операции «сохранить доказательства» владелец данных оформляет артефакт операции «сохранить доказательства» для темы «утечка данных»: свидетельство защиты по шагу «сохранить доказательства» с датой, источником и итогом теста. Проверьте сценарий «ссылка на экспорт клиентской базы стала доступна постороннему» с обычным пользователем и нарушителем. Риск «при действии «сохранить доказательства» в теме «утечка данных» возникает отклонение: для «сохранить доказательства» нет проверки в контуре «утечка данных»» означает, что мера существует только формально.

• Актив: «сохранить доказательства» в системе «утечка данных».
• Владелец: владелец данных.
• Доказательство: артефакт операции «сохранить доказательства» для темы «утечка данных»: свидетельство защиты по шагу «сохранить доказательства» с датой, источником и итогом теста.
• Пробел: при действии «сохранить доказательства» в теме «утечка данных» возникает отклонение: для «сохранить доказательства» нет проверки в контуре «утечка данных».

Оценить обязательные уведомления: утечка данных

Шаг «оценить обязательные уведомления» оценивают по снижению реального риска. В контуре «утечка данных» аналитик SOC сохраняет артефакт операции «оценить обязательные уведомления» для темы «утечка данных»: свидетельство защиты по шагу «оценить обязательные уведомления» с датой, источником и итогом теста, границу действия и известные исключения. Сопоставьте угрозу, стоимость меры и показатель «время обнаружения и локализации, объём затронутых данных, число субъектов, повторные каналы и выполнение действий». Если остаётся «при действии «оценить обязательные уведомления» в теме «утечка данных» возникает отклонение: для «оценить обязательные уведомления» нет проверки в контуре «утечка данных»», решение возвращают на уточнение.

• Угроза: «оценить обязательные уведомления» в системе «утечка данных».
• Кто решает: аналитик SOC.
• Оценка меры: артефакт операции «оценить обязательные уведомления» для темы «утечка данных»: свидетельство защиты по шагу «оценить обязательные уведомления» с датой, источником и итогом теста.
• Остаточный риск: при действии «оценить обязательные уведомления» в теме «утечка данных» возникает отклонение: для «оценить обязательные уведомления» нет проверки в контуре «утечка данных».

Защитить затронутых пользователей: утечка данных

Не доверяйте одному сигналу. Для действия «защитить затронутых пользователей» координатор изменений собирает артефакт операции «защитить затронутых пользователей» для темы «утечка данных»: свидетельство защиты по шагу «защитить затронутых пользователей» с датой, источником и итогом теста минимум из двух независимых источников. На примере «ссылка на экспорт клиентской базы стала доступна постороннему» проверьте ложноположительный и пропущенный случаи. При риске «при действии «защитить затронутых пользователей» в теме «утечка данных» возникает отклонение: для «защитить затронутых пользователей» нет проверки в контуре «утечка данных»» автоматическое решение ограничивают.

• Сигнал: «защитить затронутых пользователей» в системе «утечка данных».
• Кто проверяет: координатор изменений.
• Два источника: артефакт операции «защитить затронутых пользователей» для темы «утечка данных»: свидетельство защиты по шагу «защитить затронутых пользователей» с датой, источником и итогом теста.
• Ошибка детектора: при действии «защитить затронутых пользователей» в теме «утечка данных» возникает отклонение: для «защитить затронутых пользователей» нет проверки в контуре «утечка данных».

Восстановить безопасную работу: утечка данных

Разделите предупреждение и блокировку. В системе «утечка данных» операция «восстановить безопасную работу» получает владельца группа реагирования, правило реакции и артефакт операции «восстановить безопасную работу» для темы «утечка данных»: свидетельство защиты по шагу «восстановить безопасную работу» с датой, источником и итогом теста. Сначала протестируйте наблюдение, затем влияние на работу. Признак остановки: при действии «восстановить безопасную работу» в теме «утечка данных» возникает отклонение: для «восстановить безопасную работу» нет проверки в контуре «утечка данных».

• Режим реакции: «восстановить безопасную работу» в системе «утечка данных».
• Кто включает: группа реагирования.
• Запись события: артефакт операции «восстановить безопасную работу» для темы «утечка данных»: свидетельство защиты по шагу «восстановить безопасную работу» с датой, источником и итогом теста.
• Влияние на работу: при действии «восстановить безопасную работу» в теме «утечка данных» возникает отклонение: для «восстановить безопасную работу» нет проверки в контуре «утечка данных».

Найти корневую причину: утечка данных

Права на шаге «найти корневую причину» выдаются под конкретную функцию и срок. Для «утечка данных» владелец исключения подтверждает артефакт операции «найти корневую причину» для темы «утечка данных»: свидетельство защиты по шагу «найти корневую причину» с датой, источником и итогом теста. Проверьте отзыв после смены роли и аварийный доступ. Ситуация «при действии «найти корневую причину» в теме «утечка данных» возникает отклонение: для «найти корневую причину» нет проверки в контуре «утечка данных»» требует немедленного разбора.

• Минимальное право: «найти корневую причину» в системе «утечка данных».
• Кто одобряет: владелец исключения.
• Срок доступа: артефакт операции «найти корневую причину» для темы «утечка данных»: свидетельство защиты по шагу «найти корневую причину» с датой, источником и итогом теста.
• Лишняя привилегия: при действии «найти корневую причину» в теме «утечка данных» возникает отклонение: для «найти корневую причину» нет проверки в контуре «утечка данных».

Проверить профилактические меры: утечка данных

Доказательство безопасности должно пережить смену исполнителя. На этапе «проверить профилактические меры» независимый аудитор хранит артефакт операции «проверить профилактические меры» для темы «утечка данных»: свидетельство защиты по шагу «проверить профилактические меры» с датой, источником и итогом теста в общей системе. Для случая «ссылка на экспорт клиентской базы стала доступна постороннему» воспроизведите проверку по инструкции. Если возникает «при действии «проверить профилактические меры» в теме «утечка данных» возникает отклонение: для «проверить профилактические меры» нет проверки в контуре «утечка данных»», процедуру нельзя считать рабочей.

• Процедура: «проверить профилактические меры» в системе «утечка данных».
• Кто выполняет: независимый аудитор.
• Повторяемый тест: артефакт операции «проверить профилактические меры» для темы «утечка данных»: свидетельство защиты по шагу «проверить профилактические меры» с датой, источником и итогом теста.
• Зависимость от человека: при действии «проверить профилактические меры» в теме «утечка данных» возникает отклонение: для «проверить профилактические меры» нет проверки в контуре «утечка данных».

Матрица контроля и владения

Что изучить дальше

• персональные данные в ИИ
• маскирование данных
• качество данных
• аудит ИИ-систем
• инциденты с ИИ
• маскирование данных

Чек-лист запуска