Incydent w systemie teleinformatycznym: obowiązki inspektora

← Powrót do przewodnika: Naruszenie ochrony

Incydent w systemie różni się od pozostałych naruszeń jedną cechą: system jest jednocześnie miejscem zdarzenia i głównym źródłem dowodów. Dlatego kolejność czynności ma tu wyjątkowe znaczenie.

Rola inspektora

Inspektor bezpieczeństwa teleinformatycznego działa w pionie ochrony i realizuje w części technicznej zadania pełnomocnika, do których art. 15 ustawy o ochronie informacji niejawnych zalicza zapewnienie ochrony systemów teleinformatycznych oraz kontrolę przestrzegania przepisów o ochronie informacji niejawnych.

Przy incydencie oznacza to trzy rzeczy: wykrycie, udokumentowanie i zgłoszenie. Decyzje podejmuje kierownik jednostki na podstawie ustaleń pionu ochrony.

Inspektor weryfikuje zgodność działania systemu z SWB i przestrzeganie PBE (art. 52 ust. 1 pkt 1). Administrator może wykonywać przewidziane procedurą czynności techniczne, zabezpieczać dane i składać wyjaśnienia. Nie zastępuje jednak niezależnej kontroli własnych działań.

Wykrywanie

Incydent rzadko zgłasza się sam. Wykrycie opiera się na czynnościach, które muszą być zaplanowane, a nie doraźne:

Przegląd rejestrów zdarzeń w rytmie zapisanym w PBE. Rejestr, do którego nikt nie zagląda, przydaje się dopiero po fakcie.

Kontrola uprawnień i porównanie aktywnych kont z wykazem osób uprawnionych.

Kontrola ewidencji nośników i jej zgodności ze stanem faktycznym.

Zgłoszenia użytkowników. Najczęstsze źródło, pod warunkiem że ścieżka zgłoszenia jest znana i prosta.

Pierwsze czynności

Nie restartuj odruchowo. Restart może usunąć dane ulotne. Sposób zabezpieczenia śladów i zatrzymania zagrożenia powinien wynikać z PBE; nie należy zwlekać z działaniem niezbędnym do ochrony ludzi lub ograniczenia trwającego ujawnienia.

Zabezpiecz rejestry. Skopiuj je w sposób przewidziany procedurą, zanim zaczną się nadpisywać.

Odizoluj, jeśli trzeba. Odłączenie stanowiska albo zablokowanie konta zatrzymuje rozprzestrzenianie.

Zapisz stan. Co widać, o której, kto zgłosił, jakie objawy.

Zgłoś pełnomocnikowi. Natychmiast, nie po ustaleniu przyczyny.

Zgłoszenie i ograniczanie szkody należy prowadzić bez zwłoki, w miarę możliwości równolegle z zabezpieczeniem śladów. Nie istnieje uniwersalna zasada, że najpierw trzeba skopiować wszystkie rejestry, a dopiero potem odizolować system.

Rejestrowanie

Incydent powinien mieć własny wpis obejmujący: datę i godzinę wykrycia, sposób wykrycia, opis objawów, system i zakres, podjęte czynności doraźne, osoby uczestniczące, moment zgłoszenia pełnomocnikowi.

Ten wpis powstaje w trakcie, a nie po zakończeniu. Odtwarzanie chronologii z pamięci po tygodniu daje zapis, który nie wytrzyma pierwszego pytania kontrolującego.

Zgłaszanie na zewnątrz

Jeżeli stwierdzono naruszenie przepisów o ochronie informacji niejawnych, pełnomocnik zawiadamia kierownika i niezwłocznie podejmuje działania wyjaśniające oraz ograniczające skutki (art. 17 ust. 1). Przy informacjach „poufne” lub wyższych niezwłocznie zawiadamia także ABW albo SKW (ust. 2). Obowiązku tego nie uzależnia się od uznania kierownika ani zakończenia wewnętrznych ustaleń.

Tryb powiadomienia powinien być opisany w procedurze reagowania, żeby w dniu zdarzenia nie trzeba było go ustalać.

Powrót do dokumentacji

Incydent kończy się nie usunięciem objawów, tylko powrotem do dokumentacji.

Jeżeli działania naprawcze wymagają zmiany w systemie, obowiązuje art. 49 ust. 4: podstawą dokonywania jakichkolwiek zmian jest przeprowadzenie procesu szacowania ryzyka. Dokumentację modyfikuje się przed zmianą, zgodnie z art. 49 ust. 2 i 3.

Incydent jest powodem do przeglądu oszacowania ryzyka i skuteczności zabezpieczeń. Nie dowodzi sam przez się błędnej analizy: może być urzeczywistnieniem wcześniej rozpoznanego ryzyka szczątkowego.

Co powinno być przygotowane wcześniej

• procedura reagowania w PBE, wskazująca wykonawcę każdej czynności,
• sposób zabezpieczania rejestrów, opisany technicznie,
• ścieżka zgłoszenia znana użytkownikom ze szkolenia,
• dane kontaktowe pełnomocnika i zastępcy dostępne poza godzinami pracy,
• formularz zgłoszenia incydentu.

Procedura reagowania jest jedną z tych, które pisze się raz i ma się nadzieję nigdy nie użyć. Wartość ma tylko wtedy, gdy powstała wcześniej.

Podsumowanie

Przy incydencie w systemie inspektor zabezpiecza ślady, dokumentuje przebieg i zgłasza go pełnomocnikowi, a decyzje zapadają wyżej. Najgroźniejszym odruchem jest restart „na szybko”, a właściwym zakończeniem powrót do szacowania ryzyka i aktualizacja dokumentacji.

Chcecie przygotować procedurę reagowania na incydenty? Napiszcie do nas.