Plean freagartha teagmhais do Weblate

Raon feidhme agus cuspóirí

Clúdaíonn an IRP seo teagmhais a mbíonn tionchar acu ar rúndacht, sláine nó infhaighteacht imscaradh atá á oibriú ag Weblate.

Note

Tá an plean seo deartha go sonrach le haghaidh imscaradh atá á oibriú ag Weblate s.r.o. Caithfidh imscaradh eile céimeanna atá sainiúil don soláthraí agus don eagraíocht a oiriúnú dá dtimpeallacht féin.

Ag déileáil le teagmhas

Láimhseálann ball foirne amháin an eachtra agus ainmníonn sé/sí comhghleacaí foirne atá ar fáil mar chúltaca. Comhordaíonn siad imscrúdú, coinneáil, téarnamh, tuairisciú agus cumarsáid le húsáideoirí, ag iarraidh cabhrach ar chomhghleacaithe foirne eile nó ar shaineolaithe seachtracha nuair is gá. Glacann an cúltaca seilbh nuair nach mbíonn an láimhseálaí ar fáil.

Bain úsáid as Tuairisciú teagmhas chun cinntí, spriocdhátaí agus nóta príobháideach faoin teagmhas a thuairisciú. Ní gá ceadú ar leith ón mbainistíocht chun tús a chur leis an bhfreagairt.

Loighistic chumarsáide

• Cumarsáid Inmheánach:

  • Is é Signal an príomhchainéal le haghaidh comhordú idir daoine.

  • Fanann foláirimh theicniúla lasmuigh de Signal chun torann a sheachaint.

• Cumarsáid Sheachtrach:

  • Úsáidtear ríomhphost chun teagmháil a dhéanamh le custaiméirí.

  • Coinnítear liostaí teagmhála custaiméirí i roinnt áiteanna chun rochtain a chinntiú le linn briseadh seirbhíse.

• Nochtadh Poiblí:

  • Má bhíonn leochaileacht táirge Weblate i gceist i gcás teagmhais, lean an próiseas tuairiscithe leochaileachta táirge agus an Polasaí nochta leochaileachta i Leochaileacht agus láimhseáil teagmhas.

Catagóirí agus déine teagmhais

Gníomhachtú teagmhais

• Teagmhas a dhearbhú nuair a dheimhnítear nó nuair a bhíonn amhras láidir ann go mbíonn tionchar ag teagmhas ar rúndacht, sláine nó infhaighteacht na seirbhíse thar thorann oibríochtúil gnáth.

• Déanann an té a aithníonn an teagmhas foláireamh a thabhairt do chomhpháirtithe foirne trí Signal. Glacann comhpháirtí foirne atá ar fáil freagracht as, déanann sé nó sí an déine tosaigh a thaifeadadh, agus ainmníonn sé nó sí ionadaí cúltaca.

• Athaicmigh an eachtra má athraíonn a raon feidhme nó a tionchar le linn an imscrúdaithe.

Catagóirí teagmhais

• Catagóir 1 – Rochtain Neamhúdaraithe

• Catagóir 2 – Sárú Ionracais Sonraí

• Catagóir 3 – Briseadh nó Meath Seirbhíse

• Catagóir 4 – Earráid Mhíchumraíochta nó Imscartha

Leibhéil déine agus SLAanna

Is spriocanna freagartha oibríochtúla iad seo, ní ráiteas ar fhoireann leanúnach. Déan measúnú ar thuairisciú slándála táirgí ar leithligh ag baint úsáide as Tuairisciú teagmhas; ní shíneann na spriocanna seo spriocdhátaí tuairiscithe.

Déine	Sainmhíniú	Admháil Sprioc	Gníomh Tosaigh Spriocdhírithe
Criticiúil	Briseadh iomlán; Comhréiteach riarthóra; Sárú sonraí gníomhach; teastaíonn smacht láithreach.	< 30 Nóiméad	< 4 Uair an Chloig
Ard	Teip ar phríomhghné; sceitheadh PII úsáideora aonair.	< 2 Uair an Chloig	12 Uair an Chloig
Meánach	Meath feidhmíochta; Fadhb bheag slándála.	1 Lá Gnó	3 Lá Gnó
Íseal	Fabhtanna sa chomhéadan úsáideora; Fadhbanna stáitsithe; Earráidí neamhshlándála.	Iarracht is Fearr	Iarracht is Fearr

Timthriall saoil freagartha teagmhais

Ullmhúchán

• Cinntigh go ndéantar cúltacaí laethúla rialta den bhunachar sonraí PostgreSQL agus den eolaire sonraí ag baint úsáide as cúltaca ionsuite Weblate le rothlú, féach Weblate a thacú agus a bhogadh.

• Cinntigh go n-úsáideann Weblate seachfhreastalaí droim ar ais atá cumraithe i gceart (m.sh., NGINX) le HTTPS (TLS 1.2+).

• Cumasaigh 2FA do gach cuntas ar leibhéal an riarthóra.

• Coinnigh an sampla de Weblate agus a spleáchais (Python, Django, Celery, bunachar sonraí, srl.) cothrom le dáta.

• Comhtháthú le córais SIEM ag baint úsáide as an bprótacal GELF le haghaidh iniúchta agus atreorú logaí feidhmchlár.

• Comhlánaigh an liosta seiceála ullmhúcháin in Tuairisciú teagmhas agus coinnigh sonraí teagmhála agus rochtana príobháideacha cothrom le dáta.

Aitheantas

• Monatóireacht a dhéanamh ar logaí an chórais agus na bhfeidhmchlár (journalctl, logaí seachfhreastalaí droim ar ais, logaí feidhmchláir agus iniúchta Weblate).

• Déan anailís ar imeachtaí logála isteach, forghníomhuithe webhook, agus teipeanna brú/tarraingthe.

• Cumraigh foláirimh (trí Prometheus, Zabbix, nó SIEM) le haghaidh teipeanna logála isteach iolracha, atosaithe gan choinne, nó gníomhartha VCS neamhrialta.

• Taifead amanna feasachta agus déan measúnú ar fhógraí d’údaráis agus d’úsáideoirí ag baint úsáide as Tuairisciú teagmhas, gan fanacht le himscrúdú iomlán.

• Déan measúnú ar an gceist ar tharla scrios, caillteanas nó athrú de thaisme nó go neamhdhleathach ar shonraí pearsanta, nó nochtadh nó rochtain neamhúdaraithe, de bharr teagmhais slándála, agus lean Fógraí faoi shárú sonraí pearsanta. Áirítear leis seo sáruithe ar infhaighteacht nó ar shláine gan nochtadh, amhail scriosadh de thaisme nó scriosadh de bharr earraí fuascailte (ransomware). Iarr comhairle maidir le príobháideachas nuair is gá, agus an t-imscrúdú agus an ullmhúchán don tuairisciú á leanúint agat ag an am céanna.

Fógraí faoi shárú sonraí pearsanta

Socraíonn an duine atá i mbun láimhseáil na teagmhais cé acu an rialaitheoir nó an próiseálaí é Weblate i ndáil leis an bpróiseáil lena mbaineann, agus déanann sé an measúnú a thaifeadadh i nóta príobháideach na teagmhais. Faoi Airteagal 33 den GDPR:

• Mar rialaitheoir, cuir an t-údarás maoirseachta inniúil ar an eolas gan mhoill mhíchuí agus, i gcás inar féidir, laistigh de 72 uair an chloig tar éis duit a bheith ar an eolas faoin sárú sonraí pearsanta, mura dócha go mbeidh riosca do chearta agus do shaoirsí daoine aonair mar thoradh ar an sárú. Déan taifead ar an gcúis le cinneadh gan fógra a thabhairt.

• Má thógann sé níos faide ná 72 uair an chloig fógra a thabhairt, cuir na cúiseanna leis an moill san áireamh. I gcás nach féidir an fhaisnéis a sholáthar le chéile, cuir ar fáil í i gcéimeanna gan moill bhreise mhíchuí.

• Mar phróiseálaí, cuir an rialaitheoir ar an eolas gan mhoill mhíchuí tar éis duit a bheith ar an eolas faoi shárú sonraí pearsanta; ná fan go dtí go mbeidh an spriocdháta 72 uair an chloig atá ag an rialaitheoir sroichte.

Ní mór don fhógra chuig an údarás maoirseachta, arna chur ag an rialaitheoir, an fhaisnéis seo a leanas a áireamh de réir Airteagal 33(3):

• Cineál na sáraithe, lena n-áirítear, i gcás inar féidir, catagóirí agus líon neasach na ndaoine aonair agus na dtaifead sonraí pearsanta a ndearnadh difarr dóibh.

• Ainm agus sonraí teagmhála an duine ar féidir leis tuilleadh eolais a sholáthar, amhail an duine atá i mbun láimhseáil na teagmhais nó oifigeach cosanta sonraí, má tá a leithéid ceaptha.

• Iarmhairtí dóchúla an tsáraithe.

• Bearta a glacadh nó atá beartaithe chun aghaidh a thabhairt ar an sárú, lena n-áirítear bearta chun a éifeachtaí díobhálacha a laghdú i gcásanna iomchuí.

Aithin an fhaisnéis nach bhfuil ar fáil go fóill agus cuir ar fáil í i bhfógraí leantacha gan moill bhreise mhíchuí. Ná fan go mbeidh líon cruinn agat sula gcuirfidh tú an t-údarás ar an eolas.

Mar rialaitheoir, déan measúnú ar leith ar an gcumarsáid leis na daoine aonair a ndéantar difarr dóibh de réir Airteagal 34 den GDPR. Má tá dóchúlacht ann go gcruthóidh an sárú riosca ard dá gcearta agus dá saoirsí, cuir in iúl dóibh é gan mhoill mhíchuí, mura bhfuil feidhm ag eisceacht faoi Airteagal 34(3). Baineann sé seo fiú mura bhfuil saothrú gníomhach nó teagmhas tromchúiseach slándála táirge i gceist. Ní hionann fógra a thabhairt don údarás maoirseachta agus an chumarsáid seo a dhéanamh.

Explain the breach in clear language, giving a contact for further information, likely consequences, measures taken or proposed, and actions individuals can take. Record the assessment and any exception relied on: effective protection of the affected data, such as encryption making it unreadable to unauthorized people, or subsequent measures ensuring the high risk is no longer likely. If individual communication would involve disproportionate effort, use public communication or a similar measure that informs individuals equally effectively. See the EDPB data-breach guidance.

Taifead stampaí ama feasachta ar sháruithe, faighteoirí agus spriocdhátaí ar leithligh ó thuairisciú CRA. Ní chuireann aighneacht CRA fógra GDPR in ionad, agus féadfaidh an dá chlog tuairiscithe tosú ag amanna difriúla.

Coinneáil

• Coinnigh an nóta teagmhais príobháideach ó Tuairisciú teagmhas, lena n-áirítear nuashonruithe ar an amlíne, spriocdhátaí tuairiscithe, agus admhálacha aighneachta.

• Comhordaigh freagairt dhaonna i Signal agus coinnigh foláirimh theicniúil sna córais monatóireachta atá ann cheana féin.

• I gcás teagmhais Chatagóir 1 nó 2, cruthaigh Hetzner Cloud Snapshot de láimh sula ndéantar gníomh suaiteach nuair atá sé sábháilte déanamh amhlaidh.

  • Formáid ainm: IRP-[CaseID]-[YYYYMMDD]-Evidence.

  • Tá siad seo ar leithligh ó chúltacaí rothlacha caighdeánacha agus ní mór iad a chaomhnú le haghaidh anailíse.

• Déan an t-óstach nó an tseirbhís atá buailte a leithlisiú de réir mar is gá (mar shampla trí rialacha balla dóiteáin nó leithlisiú seirbhíse).

• Díchumasaigh comhtháthú seachtrach (Git/webhooks) má tá siad mar chuid den veicteoir ionsaithe.

• Cuir cuntais úsáideoirí lena mbaineann ar fionraí láithreach.

• Cúlghair nó rothlaigh dintiúir riaracháin, API, VCS, agus webhook lena mbaineann de réir mar is infheidhme.

• Coinnigh fianaise ábhartha, lena n-áirítear logaí córais, logaí seachfhreastalaí droim ar ais, logaí feidhmchláir agus iniúchta Weblate, staid chumraíochta lena mbaineann, agus liosta na ndintiúir nó na gcomhtháthú a ndearnadh difear dóibh.

Díothú

• Bain aon chód nó sonraí neamhúdaraithe.

• Paisteáil leochaileachtaí aitheanta trí Weblate nó comhpháirteanna freastalaí a uasghrádú.

• Déan sláine na ndéanártha agus na stórtha a bhailíochtú ag baint úsáide as suimeanna seiceála SHA-256 nó logaí Git.

Aisghabháil

• Athchóirigh seirbhísí nó sonraí lena mbaineann ó na cúltacaí Weblate is déanaí ar a bhfuil aithne orthu.

• Seirbhísí a athbhunú de réir a chéile.

• Deimhnigh gur baineadh an chúis bhunúsach nó go bhfuil rialú cúitimh i bhfeidhm sula ndéantar trácht gnáth a athbhunú.

• Rothlaigh na dintiúir lena mbaineann agus fíoraigh sláine an chórais, na stórtha agus na cumraíochta athchóirithe.

• Taifeadann an láimhseálaí an cinneadh filleadh ar ghnáthoibríochtaí, ag seiceáil an téarnaimh leis an gcúltaca nó le comhghleacaí foirne eile nuair is féidir.

• Déan monatóireacht leanúnach ar logaí agus ar iompar an chórais ar feadh 72 uair an chloig ar a laghad tar éis an aisghabhála.

Athbhreithniú iar-eachtra

• Amchlár: Déan athbhreithniú gairid leis an bhfoireann laistigh de 5 lá oibre tar éis an teagmhas a dhúnadh.

• Cuir amlíne iomlán na teagmhais agus na gníomhartha a glacadh le chéile.

• Déan Anailís ar an gcúis fréimhe (RCA) agus déan í a dhoiciméadú laistigh de 10 lá gnó.

• Nuashonraigh beartais slándála agus doiciméadacht IRP bunaithe ar thorthaí.

• Athbhreithnigh éifeachtacht na meicníochtaí braite agus coinneála.

• Fíoraigh an raibh an t-ardú céime, an foláireamh, agus an chumarsáid sheachtrach ag leanúint Leochaileacht agus láimhseáil teagmhas mar a bhíothas ag súil leis.

• Déan seiceáil le haghaidh tuairiscí gan réiteach, nuashonruithe geallta, agus nochtuithe moillithe sula ndúnann tú an nóta teagmhais.