Právní blokace a pozastavení výmazu po kybernetickém incidentu pro GDPR, NIS2 a DORA

Ve 4:17 ráno přijala Maria, CISO fintechového poskytovatele SaaS služeb, telefonát, na který se připravuje každý vedoucí bezpečnosti, ale stále doufá, že nikdy nepřijde. Kritické produkční servery nereagovaly. Soubory byly zašifrovány. Na obrazovce juniorního administrátora byla otevřená zpráva s požadavkem na výkupné.

Ve 4:28 chtěl tým reakce na incidenty izolovat dotčené systémy a znovu nasadit čistou infrastrukturu. Ve 4:41 se technický tým ptal, zda může provést rotaci přístupových údajů, odstranit dočasné soubory a znovu nasadit kontejnery. V 5:03 pověřenec pro ochranu osobních údajů upozornil, že kompromitované prostředí obsahuje zákaznické identifikátory a transakční metadata. V 5:16 se ke krizovému hovoru připojil právní poradce s jediným pokynem: „Neničte potenciální důkazy. Možná budeme muset vyhlásit právní blokaci a pozastavení výmazu.“ V 5:30 se provozní ředitel zeptal, zda vznikly oznamovací povinnosti podle DORA. V 6:00 si Maria uvědomila lhůty podle NIS2: včasné varování může být nutné podat do 24 hodin, podrobnější oznámení do 72 hodin a závěrečnou zprávu do jednoho měsíce.

Poté přišla otázka, která rozhoduje o tom, zda bude reakce na kybernetický incident obhajitelná, nebo chaotická:

„Máme ještě logy?“

Toto je oblast řízení po incidentu, kterou mnoho plánů reakce podceňuje. Nestačí incident detekovat, zamezit jeho šíření a obnovit provoz. V roce 2026 musí organizace také prokázat, co se stalo, uchovat relevantní důkazy, zabránit znehodnocení forenzních artefaktů, respektovat minimalizaci údajů podle GDPR, podpořit dohled podle NIS2 a udržovat záznamy o rizicích v oblasti ICT podle DORA tak, aby obstály při auditu, soudním řízení i regulatorním přezkumu.

Právní blokace, pozastavení výmazu a uchovávání důkazů po kybernetickém incidentu leží na průsečíku bezpečnostního provozu, ochrany soukromí, právní agendy, souladu, cloudového inženýrství, řízení dodavatelů a auditu. Pokud je proces během porušení zabezpečení improvizovaný, organizace může přijít o důkazy potřebné pro analýzu kořenové příčiny, hlášení regulačnímu orgánu, pojistné nároky, právní obranu, disciplinární řízení se zaměstnanci a ujištění zákazníků. Pokud je proces nastaven příliš široce, organizace může uchovávat nadměrné množství osobních údajů a vytvořit si druhý problém v oblasti souladu.

Přístup Clarysec spočívá v tom, aby pozastavení výmazu bylo řízeným procesem ISMS, nikoli panickou reakcí. Model propojuje správu a řízení podle ISO/IEC 27001:2022, důkazní a protokolovací opatření ISO/IEC 27002:2022, odpovědnost podle GDPR, hlášení incidentů podle NIS2 a důkazy o rizicích ICT podle DORA do jednoho provozního systému. Tento systém týmům říká, co uchovat, kdo může uchování autorizovat, jak dlouho důkazy zůstávají v režimu pozastavení výmazu, kdo k nim smí přistupovat a kdy lze obnovit výmaz.

Prvních 24 hodin rozhoduje o tom, zda důkazy přežijí

U mnoha skutečných incidentů nejsou důkazy zničeny útočníky. Zničí je běžný provoz.

Vyprší retenční doba cloudových logů. Kontejner je znovu nasazen. Koncové zařízení je přeinstalováno dříve, než je zachycen obsah paměti. Správce SaaS exportuje CSV pro vyšetřování a poté soubor upraví. Dobře míněný zásah inženýra smaže škodlivé skripty ještě před pořízením forenzní kopie. Retenční úloha v datovém skladu odstraní záznamy potřebné ke zjištění, kteří zákazníci byli dotčeni.

Organizace se může provozně zotavit, ale ztratí důkazní oporu. Na tomto rozdílu záleží.

Podle GDPR musí být správce schopen doložit soulad se zásadami ochrany údajů, včetně integrity a důvěrnosti, omezení účelu, minimalizace údajů a omezení uložení. Pokud je pravděpodobné, že porušení zabezpečení osobních údajů povede k riziku pro fyzické osoby, Article 33 může vyžadovat oznámení dozorovému úřadu bez zbytečného odkladu a, je-li to možné, do 72 hodin od zjištění. Pokud je pravděpodobné, že porušení povede k vysokému riziku pro fyzické osoby, Article 34 může vyžadovat informování dotčených subjektů údajů.

Podle NIS2 musí základní a důležité subjekty řídit významné incidenty prostřednictvím postupného hlášení a dohledu. Podle DORA musí finanční subjekty zaznamenávat incidenty související s ICT, klasifikovat závažné incidenty, hlásit je, provádět analýzu kořenové příčiny a uchovávat důkazy napříč ICT aktivy, podnikovými funkcemi a závislostmi na třetích stranách.

ISO/IEC 27001:2022 pro to poskytuje strukturu systému řízení. Kapitola 4.2 vyžaduje, aby organizace určila potřeby a očekávání zainteresovaných stran, včetně právních, regulačních a smluvních požadavků relevantních pro bezpečnost informací. Kapitola 4.3 vyžaduje, aby rozsah ISMS zohledňoval rozhraní a závislosti, což je kritické, když jsou důkazy uloženy u poskytovatele cloudových služeb, poskytovatele řízených bezpečnostních služeb, platební platformy nebo outsourcovaného helpdesku. Kapitola 6.1 propojuje tyto povinnosti s riziky bezpečnosti informací a jejich ošetřením. Kapitola 7.5 vyžaduje řízené dokumentované informace. Kapitola 8 vyžaduje operativní plánování a řízení.

Clarysec Zenith Blueprint: 30krokový plán auditora vysvětluje, proč musí být tento proces navržen před incidentem, nikoli až během něj. Ve fázi zavedení opatření do praxe, kroku 23, pokyn k ISO/IEC 27002:2022 opatření 5.28 uvádí:

„Když nastane incident informační bezpečnosti, jedním z nejkritičtějších, a přesto často přehlížených prvků reakce jsou důkazy. Ne logy, ne snímky obrazovky, ne volné popisy, ale řádně uchované důkazy při zachování řetězce důkazní péče a ochrany proti manipulaci.“

Tentýž krok 23 dodává, že „to, co dokážete prokázat, je stejně důležité jako to, co se skutečně stalo“. Tato věta vyjadřuje rozdíl mezi reakcí na incident a obhajitelnou reakcí na incident. Regulační orgán, auditor zákazníka, soud, pojišťovna ani dozorový úřad nepřijmou ústní rekonstrukci, pokud organizace nedokáže předložit uchované logy, spolehlivá časová razítka, řízené záznamy a dokumentovaný řetězec důkazní péče.

Pozastavení výmazu neznamená „uchovat všechno navždy“

Právní blokace a pozastavení výmazu po kybernetickém incidentu je formální pozastavení běžného výmazu nebo likvidace vymezených záznamů, logů, záloh, obrazů, komunikace a dalších důkazů, které mohou být relevantní pro vyšetřování, soudní řízení, regulatorní šetření, audit nebo smluvní spor.

Nejčastějším selháním je pojímat pozastavení výmazu jako plošný pokyn: „Nemažte nic.“ To vytváří rizika pro ochranu soukromí, náklady i provoz. GDPR během kybernetického incidentu nezmizí. Osobní údaje musí být i nadále zpracovávány zákonně, korektně a transparentně, pro určené účely, v rozsahu omezeném na nezbytné údaje a uchovávány pouze po nezbytnou dobu. Article 5(2) doplňuje odpovědnost, což znamená, že organizace musí být schopna tato rozhodnutí doložit.

Právě zde se knihovna politik Clarysec stává praktickým nástrojem. SME Politika uchovávání údajů a bezpečné likvidace pro malé a střední podniky uvádí:

„Právní blokace a pozastavení výmazu má přednost před standardními požadavky na uchovávání a brání výmazu dat.“

Pro větší organizace říká Enterprise Politika uchovávání údajů a likvidace, Clause 6.4.1:

„Pokud je vydána právní blokace a pozastavení výmazu (např. z důvodu probíhajícího soudního řízení, vyšetřování nebo auditu), data, která by jinak podléhala zničení, musí být uchována nad rámec své běžné retenční lhůty.“

Stejná Enterprise politika vyžaduje, aby pozastavení bylo:

„Dokumentováno a schváleno právním poradcem a pověřencem pro ochranu osobních údajů (DPO)“

Tento schvalovací model není byrokracie. Je to vyvažovací mechanismus mezi uchováním důkazů a omezením zásahu do soukromí. Právní poradce potvrzuje základ v soudním řízení, vyšetřování nebo regulaci. DPO potvrzuje, že rozsah, účel, kategorie osobních údajů, řízení přístupu a prodloužení uchovávání zůstávají přiměřené.

U malých a středních podniků bez plnohodnotného právního oddělení nebo funkce DPO může stejnou rozhodovací logiku vykonat vCISO, vlastník agendy ochrany soukromí, jednatel a externí právní poradce, pokud je autorizace dokumentovaná, časově omezená a přezkoumávaná.

Napětí v oblasti souladu, které musí vyřešit každý CISO

Po závažném incidentu požadují různé zainteresované strany různé důkazy. Právní oddělení chce uchování. Ochrana soukromí chce minimalizaci. Regulační orgány chtějí fakta. Provoz chce obnovu. Zákazníci chtějí ujištění. Auditoři chtějí objektivní důkazy.

Řídit tyto požadavky oddělenými pracovními postupy pro ochranu soukromí, právní agendu, SOC a audit je recept na rozpory. Jednotný ISMS podle ISO/IEC 27001:2022 z nich dělá součást jednoho procesu rizik, opatření a důkazů.

Sada opatření pro obhajitelné uchovávání důkazů

Právní blokace a pozastavení výmazu po kybernetickém incidentu není jedno opatření ISO/IEC 27002:2022. Je to vztah mezi opatřeními.

Clarysec Zenith Controls: Průvodce napříč požadavky na soulad mapuje ISO/IEC 27002:2022 opatření 5.28, Sběr důkazů, jako nápravné opatření podporující důvěrnost, integritu a dostupnost. Patří do konceptů kybernetické bezpečnosti Detect a Respond a do provozní schopnosti řízení událostí bezpečnosti informací.

Stejný průvodce Zenith Controls propojuje 5.28 s reakcí na incidenty informační bezpečnosti, protokolováním a monitorováním, ochranou záznamů a hlášením událostí. Logika je praktická: týmy reakce na incidenty potřebují logy a artefakty dříve, než nápravné zásahy změní stav prostředí, osoby odpovědné za regulatorní oznámení potřebují spolehlivá fakta a vyšetřovatelé potřebují důkazy, které nebyly změněny.

Stejně důležité je ISO/IEC 27002:2022 opatření 5.33, Ochrana záznamů. Podporuje právní požadavky a požadavky souladu, správu aktiv a ochranu informací. Propojuje ochranu záznamů s klasifikací, zálohami, bezpečnou likvidací, právními a smluvními požadavky, řízením přístupu a reakcí na incidenty. V praxi nesmí pozastavení výmazu důkazy pouze zachytit. Musí chránit integritu, důvěrnost a dostupnost samotného důkazního záznamu.

Pro protokolování je základem ISO/IEC 27002:2022 opatření 8.15, Protokolování. Navazuje na 8.16, Monitorovací činnosti, a 8.17, Synchronizace času. Pokud jsou logy neúplné, upravitelné administrátory, nejsou časově synchronizované nebo jsou uchovávány příliš krátce, důkazní proces může selhat ještě před zahájením vyšetřování.

Zenith Blueprint, fáze zavedení opatření do praxe, krok 19, to posiluje praktickým jazykem k protokolování:

„Logy, které zaznamenávají činnosti, výjimky, chyby a další relevantní události, mají být vytvářeny, ukládány, chráněny a analyzovány.“

Zároveň upozorňuje, že ochrana logů zahrnuje omezení přístupu a použití mechanismů, jako je hashování nebo úložiště typu write-once, aby se zabránilo manipulaci. Krok 19 propojuje synchronizaci času s forenzní soudržností a vysvětluje, že synchronizované hodiny umožňují sladit logy z různých systémů pro účely vyšetřování.

Odpovědnost podle GDPR: uchovejte, co potřebujete, a odůvodněte, co ponecháváte

GDPR vytváří nejviditelnější napětí při uchovávání důkazů k incidentu. Bezpečnostní týmy často chtějí více dat. Týmy ochrany soukromí chtějí méně. Obhajitelná právní blokace slaďuje obojí.

Logy a artefakty mohou obsahovat IP adresy, uživatelská ID, e-mailové adresy, identifikátory zařízení, autentizační záznamy, texty tiketů podpory, snímky obrazovky, zákaznické exporty nebo zvláštní kategorie údajů. Uchovávání důkazů je proto zpracováním. Oznámení o právní blokaci a pozastavení výmazu má dokumentovat právní základ, účel, rozsah, omezení přístupu, datum přezkumu uchovávání a spouštěč likvidace.

SME Politika ochrany údajů a soukromí pro malé a střední podniky společnosti Clarysec uvádí:

„Musí být shromažďovány a uchovávány pouze minimální nezbytné osobní údaje.“

Enterprise Politika sběru důkazů a forenzního šetření výslovně ukotvuje nakládání s forenzními důkazy v:

„GDPR Article 5, včetně omezení účelu a minimalizace údajů“

To je provozní zásada. Neuchovávejte celou produkční databázi, pokud relevantním důkazem je úzká auditní stopa, log přístupu, záznam dotazu a seznam dotčených uživatelů. Neposkytujte každému členovi reakčního týmu přístup k surovým důkazům, pokud postačí pseudonymizované výpisy nebo přístup podle rolí. Neuchovávejte artefakty k incidentu neomezeně po uplynutí právní, regulatorní a auditní potřeby.

Kvalitní záznam o právní blokaci a pozastavení výmazu zohledňující GDPR odpovídá na sedm otázek:

1. Jaký incident nebo vyšetřování pozastavení vyvolalo?
2. Jaké kategorie osobních údajů mohou být zahrnuty?
3. Proč je každá kategorie důkazů nezbytná?
4. Kdo pozastavení schválil a kdy?
5. Kdo může k důkazům přistupovat?
6. Kdy bude pozastavení přezkoumáno?
7. Jaký proces výmazu nebo bezpečné likvidace se obnoví po uvolnění pozastavení?

Takto se z uchovávání důkazů nestane nadměrné uchovávání z pohledu ochrany soukromí.

NIS2: pozastavení výmazu pro postupné hlášení incidentů

U organizací spadajících do působnosti NIS2 se očekávání ohledně důkazů mění z „užitečné interně“ na „potřebné pro dohled“.

NIS2 se vztahuje na mnoho základních a důležitých subjektů v EU, včetně poskytovatelů digitální infrastruktury, poskytovatelů cloudových služeb, poskytovatelů datových center, sítí pro doručování obsahu, poskytovatelů služeb vytvářejících důvěru, poskytovatelů elektronických komunikací, poskytovatelů řízených služeb, poskytovatelů řízených bezpečnostních služeb a některých digitálních poskytovatelů, jako jsou online tržiště, online vyhledávače a platformy sociálních sítí.

Article 21 vyžaduje vhodná a přiměřená technická, provozní a organizační opatření, včetně analýzy rizik, zvládání incidentů, kontinuity činností, zabezpečení dodavatelského řetězce, bezpečného vývoje, posuzování účinnosti, školení, kryptografie, bezpečnosti lidských zdrojů, řízení přístupu, správy aktiv a autentizace. Article 20 činí řídicí orgány odpovědnými za schvalování těchto opatření a dohled nad nimi.

Pro pozastavení výmazu je klíčovým tématem NIS2 Article 23. Významné incidenty vyžadují postupné hlášení: včasné varování do 24 hodin od zjištění, oznámení incidentu do 72 hodin, průběžné zprávy na vyžádání a závěrečnou zprávu nejpozději jeden měsíc po 72hodinovém oznámení. Závěrečná zpráva potřebuje popis, závažnost, dopad, pravděpodobný typ hrozby nebo kořenovou příčinu, zmírňující opatření a případný přeshraniční dopad.

Pokud incident zasahuje osobní údaje, příslušné orgány podle NIS2 mohou spolupracovat s dozorovými úřady podle GDPR. To zvyšuje potřebu jedné důkazní narace, která podporuje jak dohled nad kybernetickou bezpečností, tak odpovědnost v oblasti ochrany soukromí.

DORA: důkazy o rizicích ICT přesahují bezpečnostní logy

Pro finanční subjekty je DORA odvětvovým režimem provozní odolnosti. Použije se od 17. ledna 2025 a pokrývá řízení rizik v oblasti ICT, hlášení závažných incidentů v oblasti ICT, testování odolnosti, sdílení informací a řízení rizik třetích stran v oblasti ICT. U finančních subjektů, které jsou zároveň základními nebo důležitými subjekty podle NIS2, DORA obecně funguje jako odvětvově specifický právní akt Unie pro rizika ICT a hlášení incidentů.

DORA je záměrně náročná na důkazy. Article 17 vyžaduje proces řízení incidentů souvisejících s ICT. Article 18 se týká klasifikace incidentů souvisejících s ICT a kybernetických hrozeb. Article 19 pokrývá hlášení závažných incidentů souvisejících s ICT. Finanční subjekty musí také udržovat ujednání o správě a řízení, identifikovat kritické nebo důležité funkce, dokumentovat ICT aktiva a závislosti a provádět analýzu kořenové příčiny.

To znamená, že pozastavení výmazu podle DORA musí pokrývat důkazy o provozní odolnosti, nikoli pouze bezpečnostní artefakty. Po kompromitaci cloudové identity ovlivňující platební operace může pozastavení zahrnovat logy poskytovatele identit, historii privilegovaného přístupu, cloudové auditní logy, upozornění SIEM, obrazy koncových zařízení, analýzu dopadu na zákaznické transakce, záznamy o aktivaci kontinuity činností, důkazy o zálohování a obnově, komunikaci s dodavateli, briefingy řídicích orgánů, analýzu kořenové příčiny a validaci nápravy.

DORA také činí důkazy od třetích stran v oblasti ICT nevyhnutelnými. Articles 28 to 30 vyžadují řízení rizik třetích stran v oblasti ICT, registry smluvních ujednání, náležitou péči, posouzení rizika koncentrace a písemné smlouvy s právy a povinnostmi. U kritických nebo důležitých funkcí mají smlouvy podporovat oznamovací a reportovací povinnosti poskytovatele, pomoc při incidentech, spolupráci s orgány, práva na přístup, inspekci a audit a strategie ukončení spolupráce.

Pokud relevantní logy drží váš poskytovatel cloudových služeb, MSP, MSSP, zpracovatel plateb nebo závislost v SaaS, proces pozastavení výmazu již musí být zakotven ve smlouvách s dodavateli. Jinak můžete během závažného incidentu zjistit, že standardní retenční okno poskytovatele je kratší než váš regulatorní životní cyklus hlášení.

Jak Clarysec provozně uplatňuje pozastavení výmazu během porušení zabezpečení SaaS

Vezměme Mariino fintechové prostředí SaaS. Incident může zahrnovat neoprávněný přístup k zákaznickým identifikátorům, transakčním metadatům, administrátorským systémům a záznamům outsourcovaného SOC. Společnost obsluhuje finanční instituce v EU, spoléhá na cloudovou infrastrukturu a může čelit GDPR, smluvním povinnostem podle DORA a povinnostem podle NIS2.

Prvním krokem není uchovat vše. Prvním krokem je vyvolat řízené rozhodnutí.

Velitel incidentu odešle žádost o právní blokaci a pozastavení výmazu právnímu poradci, DPO nebo vedoucímu ochrany soukromí, CISO a vlastníkovi společnosti. Žádost zahrnuje ID incidentu, datum a čas, dotčené systémy, podezřelé kategorie dat, počáteční regulatorní cesty, navrhované kategorie důkazů a bezprostřední rizika výmazu.

Podle Enterprise Politika uchovávání údajů a likvidace je pozastavení dokumentováno a schváleno právním poradcem a DPO. Pro malé a střední podniky poskytuje Politika uchovávání údajů a bezpečné likvidace pro malé a střední podniky pravidlo pozastavení výmazu. Autorizace zahrnuje datum přezkumu sladěné s milníky vyšetřování, lhůtami regulatorních oznámení a očekávaným rizikem soudního řízení nebo smluvního sporu. Neříká „navždy“. Říká „do uvolnění autorizovaným rozhodnutím po přezkumu“.

Následně tým zmrazí relevantní logy a artefakty. SME Politika protokolování a monitorování pro malé a střední podniky uvádí:

„Logy musí být zařazeny do režimu právní blokace a pozastavení výmazu a chráněny proti změně nebo smazání.“

Tým pozastaví výmaz pro případy SIEM, logy identit, cloudové auditní logy, aplikační logy, databázové logy dotazů, události WAF a metadata upozornění SOC. Exportované logy se ukládají do omezeného důkazního úložiště s hashováním, správou verzí a oprávněními pouze pro čtení tam, kde je to vhodné.

Pravidlo sběru je jednoduché: uchovat důkazy bez úprav originálů. SME Politika sběru důkazů a forenzního šetření pro malé a střední podniky uvádí:

„Vždy musí být vytvořena forenzní kopie nebo export; původní důkaz nesmí být nikdy přímo upravován.“

Inženýři mohou provést nápravu, ale až po pořízení požadovaných snapshotů, exportů nebo forenzních kopií, pokud není okamžité zamezení šíření nezbytné k zabránění pokračující škodě. Pokud se nouzová náprava provede jako první, důvod se dokumentuje.

Stejná SME politika říká:

„Pro každý incident musí být veden jednoduchý log řetězce důkazní péče (např. soubor Excel nebo šablona dokumentu).“

Pro enterprise prostředí Politika sběru důkazů a forenzního šetření, Clause 5.6, vyžaduje:

„Log řetězce důkazní péče musí doprovázet veškeré fyzické nebo digitální důkazy od okamžiku získání až po archivaci nebo předání a musí dokumentovat:“

V praxi log řetězce důkazní péče zaznamenává ID důkazu, popis, zdrojový systém, osobu provádějící sběr, metodu získání, případnou hash hodnotu, zdroj času, umístění úložiště, přístupové události, předání, analytické kopie a konečné naložení.

Nakonec musí být chráněn samotný záznam vyšetřování. Enterprise Politika monitorování auditu a souladu uvádí:

„Všechny auditní logy, zjištění a zprávy o nápravě musí být uchovávány, šifrovány a chráněny proti manipulaci.“

Tento požadavek se vztahuje na časovou osu incidentu, rozhodovací log, oznámení o právní blokaci a pozastavení výmazu, komunikaci s regulačním orgánem, komunikaci se zákazníky, analýzu kořenové příčiny a důkazy o nápravě.

Dokumentované informace, které budou auditoři kontrolovat

ISO/IEC 27001:2022 kapitola 7.5 vyžaduje řízení dokumentovaných informací potřebných pro ISMS a vyžadovaných normou. Zenith Blueprint, fáze základů a vedení ISMS, krok 6, převádí tento požadavek do praktických pravidel: dokumenty mají mít identifikaci, formát, přezkum, schválení, správu verzí, řízený přístup, ochranu integrity, řízení změn, uchovávání a naložení.

Krok 6 také uvádí, že záznamy jako monitorovací logy, auditní zprávy a soubory z vyšetřování incidentů mohou být důvěrné a mají být sdíleny podle principu potřeby znát, přičemž oprávnění k úpravám mají být omezena na autorizované uživatele.

Obhajitelný důkazní balíček má zahrnovat:

• Oznámení o právní blokaci a pozastavení výmazu a schválení.
• Klasifikaci incidentu a rozhodnutí o závažnosti.
• Evidenci důkazů.
• Log řetězce důkazní péče.
• Potvrzení uchování logů.
• Záznamy o forenzních obrazech nebo exportech.
• Hash hodnoty nebo kontroly integrity, kde je to použitelné.
• Seznam přístupů k důkaznímu úložišti.
• Důkazy o regulatorním oznámení.
• Posouzení ochrany soukromí a analýzu dopadu na osobní údaje.
• Žádosti o důkazy od dodavatelů a jejich odpovědi.
• Analýzu kořenové příčiny.
• Důkazy o nápravě a validaci.
• Přezkum pozastavení a rozhodnutí o jeho uvolnění.

Čím silnější je řízení dokumentovaných informací, tím jednodušší je audit.

Důkazy od dodavatelů a z cloudu: selhání, které mnoho týmů přehlíží

Nejobtížnější důkazy často nejsou uvnitř vaší organizace. Drží je poskytovatel cloudových služeb, platforma SaaS, MSSP, MSP, zpracovatel plateb, poskytovatel identit nebo outsourcovaný vývojový tým.

NIS2 Article 21 zahrnuje zabezpečení dodavatelského řetězce a bezpečnostní aspekty vztahů s přímými dodavateli nebo poskytovateli služeb. DORA jde u finančních subjektů dále a vyžaduje registry třetích stran v oblasti ICT, náležitou péči, analýzu rizika koncentrace a smlouvy s pomocí při incidentech, reportingem poskytovatele, spoluprací s orgány, právy na audit a ustanoveními o ukončení pro kritické nebo důležité funkce.

NIST Cybersecurity Framework 2.0 rovněž pojímá riziko dodavatelského řetězce jako disciplínu životního cyklu. Jeho funkce Govern zahrnuje výsledky řízení rizik dodavatelů pro strategii, role, smlouvy, náležitou péči, monitorování, účast na incidentech a ustanovení o ukončení. Profily CSF mohou vyjádřit cílové požadavky na kybernetickou bezpečnost vůči dodavatelům, což je užitečné při převodu požadavků na důkazy v režimu pozastavení výmazu do smluvních ustanovení.

Smlouvy s dodavateli mají řešit:

• Typy bezpečnostních logů dostupné zákazníkovi.
• Výchozí retenční lhůty a možnosti prodlouženého uchovávání.
• Proces nouzové žádosti o uchování.
• Lhůtu pro uchování důkazů po žádosti zákazníka.
• Formáty forenzních exportů.
• Podporu řetězce důkazní péče.
• Spolupráci s regulačním orgánem.
• Povinnosti dílčích zpracovatelů nebo subdodavatelů v oblasti důkazů.
• Omezení umístění a přenosu dat.
• Bezpečný výmaz po uvolnění pozastavení.

Zenith Blueprint, fáze zavedení opatření do praxe, krok 18, stanovuje podobnou disciplínu pro předávání fyzických médií a vyžaduje šifrování, obaly s detekcí manipulace, sledování, přepravní logy, evidenci médií a audit registru. Stejná logika platí pro předávání cloudových důkazů: zachovat integritu, sledovat řetězec důkazní péče, omezit přístup a potvrdit převzetí.

Jak auditoři a regulační orgány otestují váš proces pozastavení výmazu

Proces pozastavení výmazu vypadá odlišně podle mandátu přezkoumávající osoby. Clarysec používá Zenith Controls jako kompas pro soulad napříč požadavky, aby stejný důkazní balíček uspokojil více pohledů bez duplicitní práce.

Auditor ISO se bude zajímat o shodu a objektivní důkazy. Přezkoumávající podle GDPR se bude zajímat o nezbytnost, omezení účelu a doložitelnou odpovědnost. Přezkoumávající podle NIS2 se bude zajímat o fakta pro hlášení významného incidentu a odpovědnost vedení. Přezkoumávající podle DORA se bude zajímat o správu rizik ICT, zvládání závažných incidentů, závislosti na třetích stranách a získané poznatky. Auditor ve stylu COBIT 2019 nebo ISACA se bude zajímat o správu a řízení, návrh opatření, fungování opatření a ujištění nad kvalitou informací.

Jeden důkazní balíček může sloužit všem, pokud je tak navržen.

Praktický kontrolní seznam pro právní blokaci a pozastavení výmazu po kybernetickém incidentu v roce 2026

Použijte tento kontrolní seznam před dalším závažným incidentem, nikoli během něj.

Tento kontrolní seznam má větší sílu, pokud je začleněn do plánu ošetření rizik ISMS, bezpečnostních požadavků na dodavatele, provozních scénářů reakce na incidenty, architektury protokolování a správy ochrany soukromí.

Od paniky při porušení zabezpečení k odolnosti připravené na audit

Telefonát ve 4 ráno bude vždy stresující. Nemusí se však změnit v chaos.

Vyspělý proces právní blokace a pozastavení výmazu po kybernetickém incidentu poskytuje každé zainteresované straně řízenou cestu. Právní oddělení získá obhajitelné uchování. Ochrana soukromí získá minimalizaci a přezkum. CISO získá integritu důkazů. DPO získá odpovědnost. Správní rada získá spolehlivá fakta. Přezkoumávající podle NIS2, DORA a GDPR získají objektivní důkazy namísto improvizovaných vysvětlení.

30kroková metodika Clarysec nepovažuje pozastavení výmazu za samostatné právní memorandum. Považuje je za provozní schopnost ISMS.

V Zenith Blueprint krok 6 buduje knihovnu dokumentovaných informací, včetně pravidel uchovávání a naložení. Krok 19 posiluje protokolování a synchronizaci času, aby vyšetřování mohla rekonstruovat časové osy. Krok 23 provozně zavádí sběr důkazů a řetězec důkazní péče. Krok 18 doplňuje disciplínu nakládání s médii tam, kde se důkazy pohybují fyzicky nebo mezi stranami.

V Zenith Controls Clarysec propojuje základní opatření ISO/IEC 27002:2022 tak, aby klienti viděli, jak sběr důkazů závisí na protokolování, monitorování, reakci na incidenty, ochraně záznamů, řízení přístupu, zálohách, ochraně soukromí a právních požadavcích.

V knihovně politik Clarysec jsou praktické kotvy pracovních postupů již definovány: Politika uchovávání údajů a likvidace, Politika uchovávání údajů a bezpečné likvidace pro malé a střední podniky, Politika sběru důkazů a forenzního šetření, Politika sběru důkazů a forenzního šetření pro malé a střední podniky, Politika protokolování a monitorování pro malé a střední podniky, Politika ochrany údajů a soukromí pro malé a střední podniky a Politika monitorování auditu a souladu.

Pokud váš plán reakce na incidenty říká „uchovat důkazy“, ale nedefinuje pravomoc pro právní blokaci a pozastavení výmazu, rozsah důkazů, pozastavení retenčních pravidel, řetězec důkazní péče, uchování u dodavatelů, minimalizaci podle GDPR a kritéria uvolnění, není ještě připraven na audit.

Vybudujte proces před porušením zabezpečení. Clarysec vám může pomoci vytvořit obhajitelnou schopnost právní blokace, pozastavení výmazu a uchovávání důkazů po kybernetickém incidentu pomocí Zenith Blueprint: 30krokový plán auditora, Zenith Controls: Průvodce napříč požadavky na soulad a šablon politik Clarysec, včetně Politika uchovávání údajů a likvidace, Politika sběru důkazů a forenzního šetření, Politika monitorování auditu a souladu, Politika protokolování a monitorování pro malé a střední podniky, Politika ochrany údajů a soukromí pro malé a střední podniky a Politika sběru důkazů a forenzního šetření pro malé a střední podniky.

Stáhněte si sady nástrojů, požádejte o přezkum politik Clarysec nebo si objednejte posouzení připravenosti na uchovávání důkazů před příštím auditem, žádostí dozorového orgánu nebo významným zákaznickým bezpečnostním přezkumem.