Политика реагирования на инциденты
1. Назначение
Документ определяет порядок действий при инцидентах информационной безопасности, затрагивающих системы ICE SQUAD MEDIA LLC или данные, полученные через TikTok Shop Open API.
2. Что считается инцидентом
- несанкционированный доступ к данным клиентов или продавцов;
- компрометация учётных данных, ключей API или токенов доступа;
- компрометация инфраструктуры или цепочки поставок кода;
- вредоносное ПО на рабочем устройстве с доступом к рабочим системам;
- утеря или кража устройства с таким доступом;
- отказ в обслуживании, влияющий на доступность сервиса.
3. Роли
Владелец продукта выступает Incident Owner: принимает решения, координирует реагирование и уведомляет затронутые стороны. Техническая локализация и устранение выполняются им же либо привлечённым разработчиком. Команда небольшая, роли не размыты — за каждое действие отвечает названное лицо.
4. Классификация и сроки реакции
| Уровень | Что это | Начало реагирования |
|---|---|---|
| P1 | Утечка или компрометация данных клиентов либо продавцов | Немедленно |
| P2 | Компрометация внутренних систем без признаков утечки данных | 4 часа |
| P3 | Уязвимость без признаков эксплуатации | 24 часа |
5. Этапы
- Обнаружение. Автоматические оповещения о событиях безопасности, сообщения извне, наблюдения при работе.
- Локализация. Отзыв скомпрометированных ключей и токенов, при необходимости отключение затронутой функции. Ключи ротируются при подозрении, не дожидаясь подтверждения.
- Устранение. Исправление причины, а не симптома.
- Восстановление. Возврат сервиса в штатный режим, проверка целостности данных.
- Разбор. По итогам добавляется тест или мера, исключающая повторение.
6. Каналы сообщений
Сообщения об инцидентах и уязвимостях извне: security@tikshopro.com. Автоматические оповещения о критических событиях доставляются Incident Owner немедленно, круглосуточно.
7. Уведомление внешних сторон
- При инциденте, затрагивающем данные из TikTok Shop Open API, уведомление TikTok Shop направляется в течение 72 часов с момента подтверждения.
- Затронутые продавцы и пользователи уведомляются в тот же срок, напрямую.
- Регуляторы уведомляются в сроки, установленные применимым законодательством.
Уведомление не откладывается до завершения расследования. Лучше сообщить о подтверждённом факте с неполной картиной, чем о полной картине с опозданием.
8. Что содержит уведомление
Форма уведомления зафиксирована заранее, чтобы в момент инцидента не решать, о чём писать:
- дата и время обнаружения;
- характер инцидента;
- категории затронутых данных;
- приблизительное число затронутых продавцов и записей;
- принятые меры локализации;
- меры по предотвращению повторения;
- контакт для связи.
Если на момент уведомления часть сведений неизвестна, это указывается прямо, а уведомление не откладывается до их выяснения.
9. Документирование
По каждому инциденту уровня P1 и P2 составляется отчёт: хронология, причина, принятые меры, меры по предотвращению повторения. Отчёты хранятся не менее двух лет.
10. Проверка процедуры
Процедура проверяется не реже одного раза в год: разбирается учебный сценарий, проверяется доставка оповещений и актуальность контактов.