Обязанности при возникновении инцидента безопасности в Atlassian
Введение
Как и любой поставщик облачных сервисов, Atlassian делает все возможное, чтобы предотвратить возникновение сбоев или инцидентов безопасности для своих клиентов. Однако мы понимаем, что риск их возникновения все равно остается. Нам важно, чтобы клиенты понимали свою роль в нашем процессе реакции на инциденты безопасности и свои обязанности. У нас разработан план действий на случай развития событий по неблагополучному сценарию, и если это происходит на самом деле, мы знаем, что делать, и остаемся верны принципу «Не #@!% клиента» (DFTC).
Мы делаем все возможное, чтобы устранить абсолютно все инциденты безопасности, затрагивающие наши сервисы и инфраструктуру. Все действия — от обнаружения нарушений до их локализации и даже раскрытия — мы берем на себя. Но мы не можем уследить абсолютно за всем; иногда нам требуется помощь наших клиентов, которые сообщили бы об инциденте, или стороннего консультанта, обладающего специальными знаниями для проведения расследования или выполнения экспертной оценки.
Роли
Мы рассмотрели ряд моделей по управлению инцидентами безопасности и используем их для обеспечения не только всеобъемлющего, но и соответствующего мировым стандартам подхода к реагированию на инциденты. Мы выбрали из этих моделей наиболее значимые виды деятельности и описали ответственность для каждой из них.
| | Сторона | Роль | Описание |
|---|---|---|---|
|
| Сторона Atlassian | Роль Координатор реагирования на инцидент безопасности | Описание За каждым инцидентом безопасности закрепляется главный координатор инцидента из состава команды обеспечения безопасности Atlassian, который принимает решения, связанные с безопасностью, контролирует процесс и распределяет задачи. |
|
| Сторона Atlassian | Роль Аналитик инцидентов безопасности | Описание Аналитики по вопросам безопасности проводят большинство расследований и анализов инцидентов. В случае небольших инцидентов эту роль на себя берет координатор процесса реагирования на инцидент безопасности. |
|
| Сторона Atlassian | Роль Ведущий специалист по взаимодействию с клиентами | Описание За каждым инцидентом закрепляется ведущий специалист по взаимодействию с клиентами, который решает, каким образом подключать клиентов к решению вопроса. Как правило, этот человек также выполняет основной объем работы, связанной с информированием клиентов. |
|
| Сторона Atlassian | Роль «Красная команда» | Описание «Красная команда» Atlassian имитирует злоумышленников из реального киберпространства и выполняет определенные тестовые сценарии, чтобы оценить и проверить улучшение наших возможностей по обнаружению угроз и реагированию на них. |
|
| Сторона Atlassian | Роль Консультант по поддержке | Описание Команды по управлению инцидентами безопасности Atlassian обращаются за советами к различным внутренним профильным экспертам (например, в области права, конфиденциальности, рисков, человеческих ресурсов и т. д.). Эти консультанты предоставляют экспертные рекомендации по вопросам, которые затрагивают их область компетенции. |
|
| Сторона Консультации по вопросам безопасности | Роль Консультант | Описание В случае возникновения инцидента Atlassian пользуется услугами квалифицированных консультантов по кибербезопасности. Как правило, такие консультации используются для привлечения дополнительных ресурсов в случае нехватки узкопрофильных навыков внутри компании, а также для получения рекомендаций и оценки инцидентов независимыми экспертами. |
|
| Сторона Клиент | Роль Информатор | Описание Рекомендуется поощрять сообщения со стороны клиентов о любом несанкционированном доступе или злонамеренном поведении в отношении ресурсов Atlassian. |
|
| Сторона Клиент | Роль Контактное лицо по вопросам безопасности | Описание Если затрагивающий клиента инцидент подтверждается, контактное лицо по вопросам безопасности на стороне этого клиента получает соответствующее уведомление. Обычно в качестве этого лица выступает контактное лицо по техническим вопросам, связанным с аккаунтом, но ситуация может меняться, если у клиента есть выделенная команда по обеспечению безопасности. Контактное лицо по вопросам безопасности обеспечивает надлежащее управление инцидентом за пределами ресурсов Atlassian на стороне клиента. |
Ответственность
Для определения ответственности за управление инцидентами безопасности мы используем матрицу RACI. Несмотря на то что мы прилагаем все усилия к выполнению установленных для нашей стороны обязанностей, ответственность за безопасность своих данных в конечном счете несут сами клиенты, что определяется Соглашением Atlassian с клиентом.
- Responsible (исполнитель). Сторона, проводящая работы по выполнению задания.
- Accountable (ответственное лицо). Сторона, которая в конечном итоге несет ответственность за правильное и тщательное выполнение операций.
- Consulted (консультант). Сторона, чьим мнением руководствуются и с которой существует двусторонняя связь.
- Informed (информируемое лицо). Сторона, которой постоянно поступает информация о ходе выполнения работы и с которой существует только односторонняя связь.
| | Деятельность | Atlassian | Клиент |
|---|---|---|---|
|
| Деятельность Обнаружение | Atlassian Исполнитель | Клиент
|
|
| Деятельность Приоритизация | Atlassian Исполнитель | Клиент
|
|
| Деятельность Исследование | Atlassian Исполнитель | Клиент
|
|
| Деятельность Локализация | Atlassian Исполнитель | Клиент
|
|
| Деятельность Ликвидация | Atlassian Исполнитель | Клиент Информируемое лицо |
|
| Деятельность Восстановление | Atlassian Исполнитель | Клиент Информируемое лицо |
|
| Деятельность Оповещение (клиента) | Atlassian Исполнитель | Клиент Информируемое лицо |
|
| Деятельность Оповещение (компании Atlassian) | Atlassian Информируемое лицо | Клиент Исполнитель |
|
| Деятельность Улучшение | Atlassian Исполнитель | Клиент
|
|
| Деятельность Тестирование | Atlassian Исполнитель | Клиент
|
|
| Деятельность Выпуск внешней отчетности (соблюдение законодательства и соответствия требованиям) | Atlassian Ответственное лицо Исполнитель | Клиент Информируемое лицо |
|
| Деятельность Публикация сводных данных | Atlassian Исполнитель | Клиент Информируемое лицо |