Потеря данных: порядок действий при инциденте

Потеря данных: порядок действий при инциденте

Потеря медицинских документов — это не только техническая авария. Это риск для пациентов, для организации и для доверия к системе.

Разберём порядок действий: от первого часа до разбора причин. Главное — не импровизировать, а следовать заранее описанному плану.

Первые действия

Остановите то, что продолжает разрушать данные: отключите заражённое устройство от сети, приостановите синхронизацию.

Не перезаписывайте диск и не переустанавливайте систему до оценки ситуации.

Зафиксируйте, что произошло и когда: время, устройство, действия пользователя.

Оценка масштаба

Определите, какие данные затронуты: отдельный документ, папка, система, резервные копии.

Проверьте, есть ли копии и когда они создавались.

Оцените, содержит ли потерянная информация персональные данные.

Сохранение следов

Сделайте копию журналов и состояния системы, если это возможно без изменения данных.

Не удаляйте подозрительные файлы: они могут понадобиться для разбора.

Фотографируйте экраны ошибок, если система не загружается.

Восстановление

Восстанавливайте из последней проверенной копии, а не из первой найденной.

Сначала восстановите на отдельном носителе и проверьте целостность.

Только после проверки переносите данные в рабочую систему.

Уведомление

Внутреннее уведомление — руководителю и ответственному за информационную безопасность — делается сразу.

Внешнее уведомление зависит от законодательства и типа данных: сроки могут быть короткими.

Не ждите полной картины, чтобы сообщить о факте: предварительное уведомление допустимо с последующим уточнением.

Коммуникация с пациентами

Если затронуты их данные, сообщение должно быть понятным: что произошло, что уже сделано, что делать.

Не используйте технические термины и не перекладывайте ответственность.

Укажите канал для вопросов.

Работа в период восстановления

Определите, как отделение работает без системы: бумажные формы, телефон, резервный контур.

Проинструктируйте сотрудников и зафиксируйте временный порядок.

Не создавайте «теневые» копии данных, которые потом не попадут в систему.

Разбор причин

После восстановления выясните, что именно привело к потере: сбой, ошибка, атака, человеческий фактор.

Проверьте, сработали ли резервные копии и уведомления.

Зафиксируйте выводы и изменения в регламенте.

Профилактика

Проверяйте восстановление копий, а не только их создание.

Ограничивайте права и используйте многофакторную аутентификацию.

Обучайте сотрудников: часть инцидентов начинается с открытого вложения.

Частые ошибки

• переустановка системы до оценки;
• восстановление из непроверенной копии;
• задержка уведомления;
• отсутствие плана работы без системы;
• разбор «для галочки» без изменений.

Кто входит в команду реагирования

Ответственный за ИТ, за информационную безопасность, руководитель подразделения и юрист.

У каждого должна быть роль и контакт, доступный вне рабочей почты.

Список контактов хранят и на бумаге: система может быть недоступна.

Как проверить план до инцидента

Проведите учения: имитируйте потерю доступа к папке.

Проверьте, сколько времени занимает восстановление и кто принимает решения.

Найдите узкие места и обновите план: непроверенный план — это лишь намерение.

Восстановление и проверка данных

После восстановления проверьте не только наличие файлов, но и их читаемость.

Откройте несколько документов и убедитесь, что вложения и подписи сохранились.

Сверьте количество записей с ожидаемым.

Уроки и изменения

Каждый инцидент должен заканчиваться изменением: в правах, копиях, обучении или регламенте.

Запишите, что именно изменено, к какому сроку и кто отвечает за внедрение, иначе решение останется на бумаге.

Без этого следующий инцидент повторит предыдущий.

Как не усугубить ситуацию

Не пытайтесь восстановить данные с помощью случайных утилит на рабочем диске.

Не форматируйте носитель и не создавайте новые файлы на нём.

Если данных нет в копии, обратитесь к специалистам по восстановлению.

Документирование хода работ

Ведите краткий журнал: время, действие, результат.

Он нужен для отчёта и для понимания, что уже пробовали.

Без журнала команда повторяет одни и те же шаги и теряет время, которое в такой ситуации особенно ценно.

Проверка копий заранее

Раз в квартал восстанавливайте несколько файлов из резервной копии.

Если восстановление не проверялось, оно может не сработать в нужный момент.

Фиксируйте результат проверки и выявленные проблемы.

Итог

При потере данных важнее всего остановить процесс, зафиксировать факты и восстановить из проверенной копии.

Уведомления делаются по регламенту и в сроки.

Каждый инцидент должен заканчиваться изменением в процессе: в правах, копиях, обучении или регламенте.

Общение с руководством

Руководителю нужны факты, оценка риска и план действий, а не технические детали.

Сообщите, какие данные затронуты, что уже сделано и когда будет следующее обновление.

Договоритесь о единой версии сообщения для сотрудников, чтобы не порождать слухи и противоречивые инструкции.

Чек-лист

• Источник проблемы остановлен.
• Факты и время зафиксированы.
• Масштаб оценён.
• Журналы сохранены.
• Копия проверена и восстановлена.
• Уведомления сделаны.
• Причины разобраны, меры внедрены.

Частые вопросы

Нужно ли сразу сообщать пациентам?

Решение зависит от законодательства и оценки риска; внутреннее уведомление делается сразу.

Можно ли восстановить данные после шифрования вирусом?

Иногда да, но надёжнее восстановление из резервной копии, если она есть и проверена заранее.

Кто руководит инцидентом?

Назначенный ответственный по плану реагирования, а не первый заметивший.