ООО «SELLAI»

Сервис SafeLaw (safelaw.ai)

ИНН: 312530703

Адрес: Республика Узбекистан, Республика Каракалпакстан, г. Нукус, ул. А. С. Пушкина, 91/7

Электронная почта: info@safelaw.ai. Телефон: +998 90 590 59 00

ПЛАН РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Документ IRP-01

Версия 1.2

Дата ввода в действие: 15 мая 2026 г.

Дата последнего пересмотра: 30 октября 2026 г.

Соответствие: PCI DSS v4.0.1, SAQ A

1. Назначение

Настоящий План реагирования на инциденты информационной безопасности (далее — План) устанавливает порядок действий ООО «SELLAI» (далее — Компания) при выявлении инцидентов информационной безопасности, в том числе инцидентов, затрагивающих платёжные данные, обрабатываемые в рамках сервиса SafeLaw (safelaw.ai). План разработан в соответствии с требованиями PCI DSS v4.0.1 (Требование 12.10).

Цели Плана:

• обеспечение быстрого и эффективного реагирования на инциденты информационной безопасности;
• минимизация ущерба и предотвращение распространения последствий инцидента;
• своевременное информирование заинтересованных сторон (платёжных провайдеров FreedomPay, Click и Payme, платёжных систем, регуляторов, пользователей);
• восстановление нормальной работы информационных систем;
• извлечение уроков и совершенствование мер защиты по результатам инцидента.

2. Область применения

План применяется ко всем инцидентам информационной безопасности, затрагивающим:

• информационные системы Компании;
• данные пользователей сервиса SafeLaw;
• инфраструктуру, обеспечивающую работу платёжных операций;
• деловую репутацию Компании.

План обязателен для исполнения всеми работниками и подрядчиками Компании.

3. Определения

Событие информационной безопасности — выявленное состояние системы, сервиса или сети, указывающее на возможное нарушение информационной безопасности.

Инцидент информационной безопасности — одно или несколько нежелательных или непредвиденных событий информационной безопасности, которые имеют значительную вероятность нарушения деловой деятельности и угрожают информационной безопасности.

Компрометация данных — фактический или подозреваемый несанкционированный доступ, раскрытие, изменение или уничтожение данных.

Команда реагирования (IRT — Incident Response Team) — группа лиц, ответственная за реагирование на инциденты информационной безопасности.

4. Классификация инцидентов

Инциденты классифицируются по уровню критичности:

Уровень

Название

Описание

P1

Критический

Компрометация данных платёжных карт; компрометация учётных записей с административными привилегиями; масштабное нарушение доступности сервиса (>4 часов); подозрение на наличие вредоносного ПО в производственной инфраструктуре.

P2

Высокий

Утечка персональных данных пользователей; компрометация учётных записей пользователей сервиса; целенаправленные атаки (фишинг руководства, попытки взлома); серьёзные уязвимости публичных сервисов.

P3

Средний

Подозрительная активность, не приведшая к компрометации; единичные случаи фишинга; неавторизованные попытки входа в учётные записи без последствий.

P4

Низкий

Нарушения политик информационной безопасности без существенных последствий; технические сбои без признаков атаки.

5. Примеры типов инцидентов

• несанкционированный доступ к серверам, базам данных или административным панелям;
• компрометация учётной записи (раскрытие пароля, кража токена);
• вредоносное программное обеспечение на устройствах или серверах;
• утечка персональных данных или иной конфиденциальной информации;
• подозрение на компрометацию данных платёжных карт пользователей;
• DDoS-атаки и нарушение доступности сервиса;
• фишинговые атаки на работников или пользователей;
• обнаружение в исходном коде или конфигурациях ключей, паролей, учётных данных;
• обнаружение вмешательства в платёжные страницы (несанкционированный JavaScript, изменения форм);
• инциденты у поставщиков услуг (TPSP), затрагивающие инфраструктуру Компании.

6. Команда реагирования

Команда реагирования (IRT) формируется на постоянной основе. Роли в команде возлагаются приказом директора на работников Общества; в настоящем Плане указывается только роль, без фамилий. Состав команды:

Роль

Обязанности

Назначение

Руководитель команды реагирования на инциденты

Общая координация реагирования; ведение хода инцидента; эскалация директору Общества; направление уведомлений внешним сторонам по решению директора.

Возлагается приказом директора на работника Общества

Ответственный за информационную безопасность

Приём сообщений об инцидентах; технический анализ; локализация и устранение угрозы; ведение журнала инцидентов; уведомление руководителя команды реагирования.

Возлагается приказом директора на работника Общества

Администратор инфраструктуры

Работа с инфраструктурой, серверами, базами данных, сетью; изоляция затронутых систем; восстановление систем.

Возлагается приказом директора на работника Общества

Ответственный за обработку персональных данных

Оценка правовых последствий в части персональных данных; подготовка уведомлений уполномоченного государственного органа и затронутых пользователей; при необходимости привлекается внешний юридический консультант.

Возлагается приказом директора на работника Общества

Ответственный за работу с поставщиками услуг

Взаимодействие с поставщиками услуг (TPSP) в ходе инцидента; направление им уведомлений.

Возлагается приказом директора на работника Общества

Директор Общества утверждает настоящий План, принимает решения об эскалации и об уведомлении внешних сторон. Директор не совмещает роль руководителя команды реагирования на инциденты.

Контактная информация команды:

• «Горячая линия» по инцидентам: security@safelaw.ai, телефон +998 90 590 59 00;
• Эскалация директору Общества: через адрес info@safelaw.ai с пометкой «Эскалация» и по телефону +998 90 590 59 00;
• Альтернативный канал связи: внутренний мессенджер Компании.

Команда реагирования работает в режиме 24/7. Ответственные лица обеспечивают доступность по указанным каналам круглосуточно либо назначают замещающих лиц на период отсутствия.

7. Этапы реагирования на инцидент

7.1. Подготовка

Этап подготовки осуществляется на постоянной основе и включает:

• поддержание актуальности настоящего Плана;
• проведение обучения работников и членов команды реагирования;
• обеспечение технических средств для мониторинга, журналирования и реагирования;
• ведение реестра контактов внешних сторон (платёжные провайдеры FreedomPay, Click и Payme, поставщики услуг, юридические консультанты);
• тестирование Плана не реже одного раза в 12 месяцев.

7.2. Обнаружение и анализ

Источники обнаружения инцидентов:

• сообщения работников и пользователей;
• системы мониторинга, журналирования, антивирусные системы, межсетевой экран сервера;
• уведомления от поставщиков услуг (платёжные провайдеры FreedomPay, Click и Payme, хостинг-провайдер);
• уведомления от платёжных систем и регуляторов;
• публикации в средствах массовой информации и базах данных уязвимостей.

Действия на этапе обнаружения и анализа:

1. Лицо, обнаружившее событие, незамедлительно (в течение 30 минут с момента обнаружения) сообщает ответственному за информационную безопасность по адресу security@safelaw.ai или по телефону +998 90 590 59 00.
2. Ответственный за информационную безопасность открывает запись об инциденте в журнале инцидентов с указанием даты, времени, источника, описания, предварительной классификации.
3. Производится первичный анализ: подтверждение факта инцидента, оценка масштаба, классификация по уровню критичности.
4. Для инцидентов уровня P1 и P2 ответственный за информационную безопасность уведомляет руководителя команды реагирования на инциденты в течение 1 часа с момента подтверждения инцидента.
5. Руководитель команды реагирования на инциденты эскалирует инциденты уровня P1 и P2 директору Общества; решения об уведомлении внешних сторон принимает директор.

7.3. Сдерживание

Цель этапа — ограничить распространение инцидента и минимизировать ущерб. Действия:

• изоляция скомпрометированных систем от сети (при необходимости);
• блокировка скомпрометированных учётных записей;
• ротация паролей, ключей API, токенов доступа;
• включение дополнительных правил защиты в межсетевом экране сервера и на веб-сервере;
• в случае подозрения на компрометацию платёжных данных — приостановка соответствующих платёжных операций по согласованию с платёжным провайдером (FreedomPay).

На этапе сдерживания обязательно сохранение доказательств для последующего анализа: образы оперативной памяти, копии журналов, артефакты файловой системы.

7.4. Устранение

Действия по устранению причин инцидента:

• удаление вредоносного программного обеспечения;
• устранение использованных злоумышленником уязвимостей (установка обновлений, изменение конфигурации);
• укрепление средств защиты в затронутых системах;
• при необходимости — переустановка скомпрометированных систем «с нуля».

7.5. Восстановление

Действия по восстановлению нормальной работы:

• восстановление систем из доверенных резервных копий или эталонных образов;
• поэтапный возврат восстановленных систем в эксплуатацию с усиленным мониторингом;
• проверка корректности работы систем и отсутствия признаков повторной компрометации;
• уведомление пользователей и партнёров о восстановлении работы (при необходимости).

7.6. Анализ результатов и извлечение уроков

В течение 10 рабочих дней после закрытия инцидента уровня P1 или P2 проводится постмортем-анализ с участием команды реагирования и руководства. Результаты оформляются документально и должны включать:

• хронологию инцидента;
• первопричину инцидента;
• оценку эффективности реагирования;
• выявленные пробелы в защите и Плане;
• конкретные меры по предотвращению повторения, ответственные лица и сроки;
• обновления Плана и связанных политик.

8. Уведомление внешних сторон

8.1. Уведомление платёжного провайдера

При выявлении инцидентов уровня P1, связанных с потенциальной компрометацией данных платёжных карт, либо инцидентов, затрагивающих платёжные операции, Компания уведомляет платёжного провайдера (FreedomPay) в течение 24 часов с момента подтверждения инцидента. Уведомление направляется по официальным каналам, согласованным договором с платёжным провайдером, и должно содержать:

• дату и время инцидента;
• описание инцидента и его потенциального воздействия;
• принятые меры сдерживания и устранения;
• планируемые сроки устранения и восстановления;
• контактное лицо со стороны Компании.

8.2. Уведомление платёжных систем

При подтверждённой компрометации данных платёжных карт Компания направляет уведомление платёжному провайдеру, через которого проходили затронутые операции (FreedomPay, Click или Payme), и операторам национальной платёжной системы — Uzcard и Humo — в порядке и сроки, установленные правилами этих платёжных систем. Компания принимает оплату картами Uzcard и Humo через FreedomPay, а также через платёжные сервисы Click и Payme.

8.3. Уведомление регуляторов

При утечке персональных данных пользователей Компания уведомляет уполномоченный государственный орган в области персональных данных Республики Узбекистан в порядке и сроки, установленные Законом РУз № ЗРУ-547 «О персональных данных».

8.4. Уведомление затронутых пользователей

При утечке персональных данных, затрагивающей пользователей сервиса SafeLaw, Компания направляет уведомление затронутым пользователям не позднее 72 часов с момента подтверждения утечки. Уведомление должно содержать:

• описание характера утечки;
• категории и приблизительный объём затронутых данных;
• вероятные последствия для пользователя;
• меры, принятые Компанией для устранения утечки;
• рекомендации пользователю по защите его учётной записи;
• контактные данные для обращений (security@safelaw.ai).

8.5. Уведомление поставщиков услуг

При инцидентах, затрагивающих или потенциально затрагивающих инфраструктуру поставщиков услуг (Netcup, Google Workspace, провайдеры AI и др.), Компания уведомляет соответствующих поставщиков в установленные ими сроки. Уведомления направляет ответственный за работу с поставщиками услуг.

9. Журнал инцидентов

Все события и инциденты информационной безопасности фиксируются в журнале инцидентов. По каждому инциденту фиксируются следующие сведения:

• уникальный идентификатор инцидента;
• дата и время выявления, дата и время начала инцидента (если известно);
• источник обнаружения;
• уровень критичности;
• описание инцидента;
• затронутые системы, данные, пользователи;
• предпринятые действия с указанием дат, времени и ответственных лиц;
• уведомлённые внешние стороны (с указанием даты и канала уведомления);
• результаты постмортем-анализа и принятые меры по предотвращению повторения;
• дата закрытия инцидента.

Журнал инцидентов хранится не менее 3 лет с момента закрытия инцидента.

10. Тестирование Плана

План реагирования проходит тестирование не реже одного раза в 12 месяцев. Формы тестирования:

• настольные учения (tabletop exercises) — обсуждение действий команды по гипотетическим сценариям;
• учебные тревоги — проверка доступности членов команды по каналам уведомления;
• полное симулированное реагирование на инцидент.

По результатам тестирования составляется протокол, выявленные недостатки устраняются, План при необходимости обновляется.

11. Обучение

Члены команды реагирования проходят обучение действиям в соответствии с настоящим Планом не реже одного раза в 12 месяцев. Все работники Компании проходят инструктаж по порядку сообщения о подозрительной активности и инцидентах при приёме на работу и далее ежегодно.

12. Пересмотр Плана

Настоящий План пересматривается не реже одного раза в 12 месяцев, а также:

• после каждого инцидента уровня P1 или P2;
• при существенных изменениях информационной инфраструктуры Компании;
• при изменении состава ключевых поставщиков услуг (TPSP);
• при изменении нормативных требований или стандартов (PCI DSS, законодательство РУз).

13. Сведения о документе

Версия

Дата

Изменения

Утвердил

1.0

15.05.2026

Первичное утверждение документа

Директор Общества

1.1

22.09.2026

Плановый пересмотр: состав ролей команды реагирования; разведение уведомляющей и уведомляемой сторон; контактные данные; реквизиты Общества

Директор Общества

1.2

30.10.2026

Внеплановый пересмотр: платёжные провайдеры Click и Payme; адрес security@safelaw.ai для сообщений об инцидентах; актуализирован перечень мер защиты

Директор Общества

Утверждение документа

Документ утверждён директором Общества и введён в действие с 15 мая 2026 года. Документ подлежит обязательному ознакомлению всеми работниками, подрядчиками и иными лицами, имеющими доступ к информационным активам Общества.