Реакция при инцидент по DORA: дискусионно учение за управителния орган

1. Проверете решенията, а не познаването на регламента наизуст

При сериозен технологичен инцидент трудното решение пред управителния орган рядко е „Трябва ли да приемем това сериозно?“. По-вероятно е да трябва да се реши дали да се спре бизнес услуга, да се работи с намалени контролни мерки, да се финансира спешна алтернатива или да се направи изявление пред клиентите, докато фактите все още са непълни. Дискусионното симулационно упражнение разкрива тези противоречия преди реален инцидент.

Членове 17–19 от DORA обхващат управлението, класифицирането и докладването на инциденти. Член 17 включва ескалация към съответните висши ръководители и информиране на управителния орган за съществените инциденти, тяхното въздействие, предприетите действия и допълнителните мерки за контрол. Това не означава, че управителният орган поема оперативното ръководство на реакцията при инцидент. Упражнението трябва да провери дали разпределението на отговорностите и ескалацията работят съгласувано.

Определете три практически резултата: ясно решение с отговорник, задача за докладване с отговорно лице и запис на фактите, известни към момента на решението. Не отчитайте успех само защото всички са присъствали. Полезен резултат може да бъде откритието, че при отказ на системата за управление на идентичности никой няма достъп до портала за докладване.

Упражнението по-долу използва измислен учебен сценарий. То не заменя техническите тестове за възстановяване, цялостната програма за тестване на устойчивостта или тестовете за проникване, основани на заплахи. Продължителността от 90 минути е предложение, а не нормативно установен минимум.

2. Разграничавайте класификацията, спешността и ескалацията до управителния орган

Даден инцидент може да изисква вниманието на ръководството още преди да е определена регулаторната му класификация. И обратно, съществен инцидент, който подлежи на докладване, може да изисква незабавно уведомяване, докато възстановяването вече напредва успешно. Не поставяйте нито едно от тези решения в зависимост от това дали председателят е на разположение, за да одобри съобщение за медиите.

Подробните правила за класификация са в Делегиран регламент (ЕС) 2024/1772. Член 8 съчетава засягането на критични услуги с определени условия за същественост; той не означава, че всяко техническо прекъсване автоматично е съществен инцидент. Правилата обхващат и повтарящите се инциденти. Използвайте одобрен работен формуляр за класификация, който прилага действителните критерии и прагове, вместо да импровизирате оценка по цветовете на светофара по време на заседанието.

За учението възложете на участник от екипа по съответствие или управление на риска да предложи класификация на инцидента и да я подкрепи с факти. Ръководителят на реакцията при инцидента отговаря за оперативните приоритети. Упълномощен отговорник за докладването подготвя и подава уведомлението. Разпределението на правомощията във вашата организация може да е различно — уточнете го преди първото развитие на сценария.

• Какво е известно за засегнатите услуги, клиенти, трансакции и данни?
• Кое е приблизителна оценка, на какво се основава тя и кога ще бъде актуализирана?
• Кои критерии за класификация са изпълнени, кои не са и за кои все още няма яснота?
• Кой може да взема решения и да действа, ако лицето, което обичайно носи отговорност, не е на разположение?

Запишете отделно действителния момент на узнаване за инцидента и момента на класифицирането му. По-късното информиране на ръководството не поставя ново начало на срока, който тече от узнаването. Също така установяването на инцидент и заключението, че той е съществен, са отделни събития, за които е необходима точна хронология.

3. Упражнете изчисляването на сроковете за докладване

Следващото обобщение се отнася до докладването на съществени инциденти, свързани с ИКТ, съгласно член 5 от Делегиран регламент (ЕС) 2025/301. При инцидент използвайте самия нормативен текст и процедурата за докладване на вашия компетентен орган.

В нашия измислен пример узнаването за инцидента е във вторник в 09:00, а класифицирането му като съществен — в 10:00. Обичайният краен срок за първоначалното уведомление е вторник в 14:00, като остава задължението за уведомяване възможно най-рано. Ако уведомлението бъде подадено във вторник в 11:30, 72-часовият срок за междинния доклад изтича в петък в 11:30. Последваща актуализация на междинния доклад променя началния момент, от който се изчислява едномесечният срок за окончателния доклад. Един месец не означава 30 дни.

Няма общо правило за спиране на сроковете през почивните дни. Когато е приложим, член 5, параграф 4 позволява подаване до обяд на следващия работен ден, ако крайният срок се пада в почивен ден или на официален празник в държавата членка на докладващия субект. Параграф 5 изключва от това облекчение първоначалните уведомления и междинните доклади на кредитни институции, централни контрагенти, оператори на места за търговия и други финансови субекти, определени като съществени или важни съгласно NIS2. Съгласно параграф 6 органите могат да изключат и други значими или системно значими субекти, след като ги уведомят; това решение се прилага за инциденти, докладвани след уведомяването. Потвърдете приложимостта, преди да разчитате на облекчението.

Ако не можете да спазите даден срок, уведомете компетентния орган без ненужно забавяне и не по-късно от съответния краен срок, като обясните причините. Това не означава автоматично удължаване на срока.

4. Подгответе участниците и правилата на учението

Поканете председателя или ръководителя, упълномощен да взема решения, отговорника за бизнес услугата, ръководителя на екипа за реакция при инциденти, представители на функциите по риск или съответствие, правни въпроси и комуникации, както и протоколчик. Включете представител, отговарящ за управлението на доставчиците, когато услугата зависи от външна платформа. В по-малка организация един човек може да изпълнява няколко роли, но отговорностите трябва да са ясно определени.

Изпратете кратък пакет с подготвителни материали: информация за съответната бизнес услуга, схема за ескалация, цели за възстановяване, ред за докладване, актуален списък с контакти и празен дневник на решенията. Помолете участниците да използват действителните процедури на организацията. Водещият определя измислените факти и управлява времето в упражнението. Протоколчикът записва решенията, а не стенограма на всеки разговор.

Разграничавайте времето на упражнението от времето в сценария. Петминутна дискусия може да представлява един час от измисления инцидент, но водещият трябва да обяви това придвижване напред във времето. Обозначавайте всяко съобщение и всяка чернова с „УПРАЖНЕНИЕ“. Не изпращайте учебни уведомления до регулатор, клиент или доставчик, освен ако участието им не е уговорено. Използвайте безопасен симулиран канал за подаване.

Нашата измислена организация предоставя услуга за клиентски плащания чрез външна платформа за обработка. Във вторник в 09:00 оперативният екип узнава за неуспешна обработка на плащания. Причината е неясна. За целите на това упражнение организацията е оценила поддържаната функция като критична или важна. Участниците все пак трябва да приложат критериите за класифициране на съществен инцидент; определянето на функцията като критична или важна само по себе си не определя тази класификация.

5. Проведете срещата по този 90-минутен дневен ред

Този дневен ред дава предимство на вземането на решения пред представянето на слайдове. Водещият трябва да прекъсва продължителните технически догадки и да иска решение, уточнение каква информация е необходима или последващо действие с посочен отговорник. Не изяснявайте всяка неизвестност вместо участниците: решението какви доказателства са нужни е част от упражнението.

Ако вземането на решение бъде отложено, протоколиращият трябва да запише кой ще представи какви доказателства и в какъв срок. „Ще включим юристите“ не е изпълнено действие, ако никой не посочи лицето за контакт по правни въпроси, въпроса, на който трябва да се отговори, или наличното време. Същият стандарт важи за „свържете се с доставчика“ и „задействайте плана за възстановяване“.

6. Въведете три нови обстоятелства в сценария, които налагат реален компромис

Първо развитие на сценария: услугата не работи нормално, но причината е неясна

В 09:15 ч. по сценария броят на неуспешните плащания нараства. Доставчикът потвърждава проблем с платформата, но не дава прогноза за времето за възстановяване. Някои клиенти опитват отново, което може да създаде проблем при сверяването на транзакциите. Оперативният екип може временно да ограничи обработката, но това ще прекъсне обслужването на клиенти, които в момента може да не са засегнати.

Попитайте: каква вреда за клиентите се ограничава и каква нова вреда може да създаде ограничението? Кой има правомощия да промени услугата? Какви са минимално необходимите факти в момента? Как екипът ще различи забавена транзакция от такава, която трябва да бъде повторена? Очакваният резултат е оперативно решение с ясно определени граници, поименно посочен отговорник и час за преглед, а не предположение за техническата причина.

Второ развитие на сценария: класификацията е потвърдена, а лицето, което обичайно подава докладите, не е на разположение

В 10:00 ч. по сценария водещият предоставя оценка, която показва, че условието за засегнати критични услуги и приложимите прагове за същественост са изпълнени. За целите на учението упълномощеният екип класифицира инцидента като съществен в 10:00 ч. Обичайният отговорник за докладването не е на разположение. Заместникът никога не е използвал портала за подаване на уведомления и не знае дали достъпът му работи.

Помолете участниците да посочат реда за докладване и да попълнят примерно първоначално уведомление с наличната информация. Отбележете честно неизвестното и определете кой ще го изясни. Какъв е срокът за първоначалното уведомление? Кой го подава? Кой потвърждава получаването? Може ли организацията да действа, без да чака следващото насрочено заседание на управителния орган? Използвайте Регламент за изпълнение (ЕС) 2025/302 за образците и процедурите за докладване; дневникът на решенията от учение не замества регулаторния формуляр.

Трето развитие: доставчикът обявява възстановяване, но проверките още не са приключили

В 11:15 ч. по сценария доставчикът съобщава, че обработката е възстановена. Вътрешното сверяване все още не е потвърдило, че повторните опити са обработени правилно. Голям клиент иска публично уверение, че няма засегнати записи. Отговорникът за услугата предлага тя да бъде възобновена незабавно; ръководителят на действията при инцидента иска допълнителна проверка.

Попитайте какви доказателства подкрепят възобновяването на услугата и кой може да приеме евентуалния остатъчен оперативен риск. Може ли услугата да бъде възобновена поетапно? Какво може да се съобщи точно в момента? Каква актуална информация трябва да се предостави на компетентния орган? Определете условията за връщане към нормална работа, отговорник за допълнителната проверка и конкретен час за следващото информиране. Не поощрявайте най-бързото възобновяване, ако участниците не могат да обяснят как ще бъдат проверени клиентските записи.

7. Водете дневник на решенията, който показва мотивите за тях

Добрият дневник позволява да се проследи защо е взето разумно решение при непълна информация. Той трябва да разграничава решенията от допусканията и да посочва кой може да промени решението. Следващият пример е измислен и илюстрира начин за документиране, а не препоръчителна реакция при всеки платежен инцидент.

Освен в регистъра записвайте в хронологията на инцидента датата и часа на узнаване, класифициране и подаване на уведомленията. Използвайте една и съща часова зона. Съхранявайте източника на важните факти и запазвайте предишните оценки, когато се променят. Коригираният брой засегнати клиенти не бива да заменя безследно броя, въз основа на който е взето първоначалното решение.

8. Превърнете наблюденията в конкретни действия с доказуем резултат

Започнете обсъждането след учението с наблюдения: кое решение се е забавило, кой факт не е могъл да бъде установен и кой процес не е могъл да бъде демонстриран? Избягвайте общи заключения като „комуникацията беше лоша“, без да дадете пример. Попитайте участниците кои решения биха били различни, ако инцидентът беше започнал извън работно време или беше засегнал обичайните им инструменти за съвместна работа.

Съхранявайте версията на сценария, данните за присъствието и ролите, съществените решения, работния лист за класифициране, учебните уведомления, установените пропуски и решенията за последващи действия. Защитете комплекта материали според степента му на чувствителност. Целта е организацията да извлече полезни поуки, а не ненужно да разпространява реална информация за клиенти или тайни на доставчици.

Тези цели са примерни управленски решения, а не законови срокове. Определете кой ще проверява изпълнението преди приключване и продължете да отчитате неотстранения остатъчен риск. Включете съществените констатации в отчетите и показателите пред управителния орган. Ако учението разкрие външна зависимост без надеждна алтернатива, използвайте ръководството за риска от външни доставчици като основа за свързване на констатацията с договорите, концентрацията и планирането на прекратяване или прехвърляне на услугата.

9. Свържете обучението на ръководителите със следващото повторно тестване

Най-полезната следваща стъпка е кратко упражнение, което проверява дали конкретната слабост е отстранена. Ако първото учение е установило проблем с достъпа за докладване, проверете как заместникът подава уведомление. Ако е имало неяснота кога услугата може да бъде възобновена, тествайте отново условията за одобрение. Повтарянето на същата презентация със същите неотстранени пропуски дава малко нова увереност.

Използвайте ръководството за изискванията на DORA към обучението на управителните органи като основа за свързване на учението с продължаващото обучение на управителния орган. Курсът на BlueTeam Academy «DORA обучение по киберсигурност за мениджъри» представя основните понятия за управление на ръководните екипи във финансовите субекти, попадащи в обхвата на DORA. Завършването на курса или записът за присъствие не доказва съответствието на организацията с изискванията. Съчетайте тази основа с контекста на собствените си услуги, наблюдаваните решения и проверените подобрения.