Правила формирования и ведения журнала регистрации инцидентов ИБ
Документ, который превращает форму журнала в работающую процедуру: кто вносит записи, в какой срок, кто вправе признать случай утечкой и что делать с ошибками. Без него один и тот же журнал разные люди ведут по-разному.
Зачем нужен документ
Журнал инцидентов — это таблица, а правила — ответ на вопрос, как эта таблица заполняется. Разница видна на простом примере: работник заметил, что клиентская база выгружена на личный диск. Кому он сообщает, через сколько минут об этом появляется запись, кто решает, утечка это или внутреннее нарушение, и кто вправе закрыть инцидент. Без правил каждый из этих вопросов решается заново и по-разному.
Ценность документа в трёх пунктах, которые он закрепляет. Срок внесения записи — иначе журнал заполняется по итогам разбора, когда сутки уже прошли. Право классификации — иначе решение «это не утечка» примет тот, кому невыгодно сообщать. Порядок исправления ошибок — иначе неудобные записи будут переписаны, и журнал перестанет быть доказательством.
Есть и практическая функция, о которой думают редко: правила устанавливают периодическую сверку журнала с техническими источниками — сработками средств защиты, обращениями субъектов, запросами регулятора. Именно сверка обнаруживает инциденты, которые кто-то решил не регистрировать, и делает это раньше проверяющего.
Чем грозит отсутствие
Отдельного состава за отсутствие правил ведения нет — нарушение идёт по общей ч. 1 ст. 13.11, как невыполнение требований к организации обработки. Но реальная цена проявляется через сроки уведомления.
Как ещё называют этот документ
Что должно быть в документе
Правила короткие, но каждый пункт закрывает конкретный способ испортить журнал.
Требования законодательства
Как связан с другими документами
Правила обслуживают журнал и стыкуются с процедурами реагирования — дублировать их содержание не должны.
Что спросит проверяющий
Правила проверяют не текстом, а сверкой их требований с фактическим состоянием журнала.
Разбор эксперта
Из всех пунктов этих правил работает один, а остальные его обслуживают: срок внесения записи. Мы видели десятки журналов, где записи аккуратные, графы заполнены, но время внесения стоит на два-три дня позже обнаружения — потому что запись делали после разбора, когда стало понятно, что писать. С точки зрения закона это признание, что организация знала об инциденте раньше, чем начала действовать. Запись делается немедленно и в незаконченном виде: три строки о том, что замечено, — этого достаточно.
Второе, что мы всегда прописываем отдельно, — кто решает, является ли случай утечкой. Это решение с последствиями: признал — уведомляй регулятора. Если правила молчат, решение принимает тот, кто обнаружил инцидент, и часто это администратор, для которого признание означает вопросы к его собственной работе. Право классификации должно лежать выше — у ответственного за безопасность или у руководителя, с обязательной фиксацией обоснования.
И третье, чисто практическое: заведите правило исправлять только новой записью. Ошибки в журнале нормальны, их делают все. Ненормально их затирать — потому что журнал существует ровно для того, чтобы показать, что происходило на самом деле. Уточняющая запись со ссылкой на предыдущую сохраняет и точность, и доказательную силу; правка поверх убивает и то и другое.
Поставьте срок внесения записи в часах, а не в оценочных словах, и разрешите первичную фиксацию любому работнику, обнаружившему проблему. Право признать случай утечкой закрепите за ответственным за безопасность или руководителем и требуйте обоснования в журнале. Запретите правку записей прямым пунктом и добавьте квартальную сверку журнала с сработками средств защиты — это единственный способ найти пропущенный инцидент раньше проверяющего.
Частые вопросы
Регламент отвечает на вопрос, как организация действует при инциденте: роли, эскалация, сроки уведомления. Правила — как ведётся учётная форма: когда вносится запись, кто её вправе сделать, как исправляются ошибки, сколько хранится журнал. Читатели у документов разные, и в комплекте это отдельные позиции.
Немедленно при обнаружении, предельно — в течение часа. Ориентир задан суточным сроком уведомления регулятора: если запись появляется после разбора, доказать соблюдение двадцати четырёх часов уже нечем.
Ответственный за обеспечение безопасности ПДн либо руководитель — то есть уровень выше того, кто инцидент обнаружил. Решение фиксируется в журнале с обоснованием: признание случая утечкой влечёт обязанность уведомить Роскомнадзор.
Исправлять — да, переписывать — нет. Уточнение вносится новой записью со ссылкой на предыдущую, а для электронной формы сохраняется история изменений. Затирание записей лишает журнал доказательной силы полностью.
Внести запись с реальными датами обнаружения и внесения, не подгоняя их. Если срок уведомления регулятора при этом уже истёк, правила должны прямо предписывать уведомить немедленно: просрочка меньшего размера лучше сокрытия.
Практический ориентир — не менее трёх лет, а по инцидентам, о которых уведомлялся регулятор, лучше бессрочно. Конкретный срок закрепляется в правилах, а не остаётся на усмотрение того, кто ведёт журнал.
Разумная периодичность — раз в квартал, с фиксацией результата. Сверка нужна, чтобы найти инциденты, которые не были зарегистрированы: именно они дают неожиданные просрочки уведомления.