Odgovor na sigurnosni incident.

Niz postupaka od prve dojave do završnog izvješća: utvrđivanje opsega, ograničavanje štete i čuvanje dokaza, procjena je li incident značajan, obavijesti nadležnom CSIRT-u, AZOP-u ili HNB-u i HANFA-i, komunikacija s upravom i klijentima te oporavak i analiza uzroka.

Prema članku 37. Zakona o kibernetičkoj sigurnosti, kada je uzrokovao ili može uzrokovati ozbiljne poremećaje u funkcioniranju usluga ili financijske gubitke za subjekt, ili kada je utjecao ili bi mogao utjecati na druge osobe uzrokovanjem znatne materijalne ili nematerijalne štete. Uredba u člancima 58. do 62. propisuje kriterije i pragove, primjerice: najmanje 20 % primatelja nije moglo pristupiti usluzi najmanje jedan sat, ili su gubitak prihoda i troškovi dosegnuli 100.000 eura ili 5 % godišnjeg poslovnog prihoda, ovisno o tome koji je iznos niži.

Nadležnom CSIRT-u prema Prilogu III. Zakona o kibernetičkoj sigurnosti: Nacionalnom CERT-u pri CARNET-u za bankarstvo, infrastrukturu financijskog tržišta, registar domene .hr, istraživanje i sustav obrazovanja, a Nacionalnom centru za kibernetičku sigurnost za ostale sektore. Obavijesti se dostavljaju putem nacionalne platforme PiXi (članak 94. Uredbe). Povreda osobnih podataka prijavljuje se i AZOP-u, a financijski subjekti značajne IKT incidente prijavljuju HNB-u ili HANFA-i i CSIRT-u prema DORA-i.

Rano upozorenje nadležnom CSIRT-u u 24 sata i početna obavijest u 72 sata od saznanja za značajan incident, a završno izvješće u 30 dana od početne obavijesti. Ako incident još traje, umjesto završnog izvješća šalje se izvješće o napretku (članak 71. Uredbe). Izvješće AZOP-u o povredi osobnih podataka ide u 72 sata. Financijski subjekti početnu obavijest šalju u 4 sata od klasifikacije, a najkasnije 24 sata od otkrivanja, prijelazno izvješće u 72 sata od početne obavijesti, a završno najkasnije mjesec dana nakon posljednjeg prijelaznog izvješća.

Da, kada postoje osnove sumnje da je značajan incident posljedica kaznenog djela. Ključni i važni subjekti tada obavijest dostavljaju i tijelima kaznenog progona (članak 37. stavak 3. Zakona o kibernetičkoj sigurnosti). Kod ransomwarea i neovlaštenog pristupa sustavima to je čest slučaj.

Ključni i važni subjekti obavještavaju primatelje svojih usluga o značajnim incidentima koji bi na njih mogli utjecati, a kod ozbiljne prijetnje i o mjerama zaštite (članak 38. Zakona). Kod povrede osobnih podataka s visokim rizikom obavještavaju se i ispitanici (članak 34. Opće uredbe). Financijski subjekti bez odgode obavještavaju klijente o značajnom IKT incidentu koji utječe na njihove financijske interese i o poduzetim mjerama (DORA, članak 19. stavak 3.).

Rok teče od saznanja za značajan incident, pa procjenu treba napraviti odmah i dokumentirati je. Zakon o kibernetičkoj sigurnosti dopušta i dobrovoljnu obavijest nadležnom CSIRT-u o svakom incidentu, prijetnji ili izbjegnutom incidentu (članak 39.). Javite nam se rano, procjenu radimo s vama.

Odgovornost za obavijest je na subjektu, a za povredu osobnih podataka na voditelju obrade. Obavijesti na platformi PiXi unose osobe koje subjekt imenuje korisnicima platforme (članak 97. Uredbe). Mi pripremamo sadržaj ranog upozorenja, obavijesti i izvješća, provjeravamo rokove i pratimo komunikaciju s CSIRT-om, AZOP-om ili HNB-om i HANFA-om.

Dokumentirajte postupke za incidente s ulogama i kontaktima (mjera 11.1. Uredbe), pripremite predloške obavijesti, provjerite sigurnosne kopije i plan kontinuiteta te provedite vježbu sa simuliranim incidentom. Na srednjoj i naprednoj razini mjera vježba je obvezna jednom godišnje (mjera 11.5.), a na osnovnoj je dobrovoljna.

Ako je incident u tijeku, opišite u upitu što se dogodilo i kada ste to uočili. Za pripremu pošaljite djelatnost, kategoriju subjekta ako je znate i postojeće procedure. Javljamo se s prijedlogom opsega.