first commit

docs/org/reglament-incidenty.md

@@ -0,0 +1,37 @@
+# Регламент реагирования на инциденты безопасности ПДн
+
+**Оператор:** {{ организация }} · **Утверждено:** {{ дата }} · **Ответственный:** {{ ... }}
+
+## 1. Определения
+Инцидент — событие, повлёкшее или способное повлечь нарушение
+конфиденциальности, целостности или доступности ПДн (НСД, утечка, подмена
+журналов, компрометация ключей и т.п.).
+
+## 2. Обнаружение (ИНЦ.1)
+Источники: журнал аудита, алерты SIEM, команда `audit:verify` (контроль
+целостности журнала), мониторинг диска, обращения пользователей.
+
+## 3. Классификация и эскалация
+| Уровень | Пример | Срок реакции |
+|---|---|---|
+| Критический | Утечка ПДн, компрометация ключей | немедленно |
+| Высокий | Множественный НСД, нарушение целостности журнала | {{ 1 ч }} |
+| Средний | Подбор паролей, аномалии | {{ 4 ч }} |
+
+## 4. Реагирование
+1. Локализация (блокировка учётных записей/IP, изоляция сегмента).
+2. Сбор доказательств (выгрузка журнала аудита, образ системы).
+3. Устранение причины.
+4. Восстановление из доверенной резервной копии.
+
+## 5. Уведомление Роскомнадзора (ИНЦ.3)
+При утечке ПДн — уведомление в течение **24 часов** о факте и в течение
+**72 часов** о результатах внутреннего расследования (152-ФЗ ст. 21 ч. 3.1).
+Контакты и форма: {{ ... }}.
+
+## 6. Взаимодействие с ГосСОПКА / НКЦКИ
+{{ при отнесении к субъектам КИИ — порядок и сроки уведомления }}
+
+## 7. Анализ и предупреждение (ИНЦ.5)
+Post-mortem, корректирующие меры, обновление модели угроз. Журнал инцидентов
+ведётся ответственным за безопасность ПДн.