Po podejrzeniu incydentu: jak przygotować przegląd w zakresie

Co to jest

Użyteczny pierwszy zapis oddziela zaobserwowane fakty, zgłoszone obawy, założenia i otwarte pytania. Może odnotować, kiedy pojawił się problem, kto go zgłosił, których systemów może dotyczyć, jaki jest obecny wpływ na biznes, jakie działania już podjęto i kto jest właścicielem istotnych dowodów. Autoryzowane logi, alerty, wiadomości, znaczniki czasu, zrzuty ekranu, zdarzenia na kontach i zapisy systemowe mogą być istotne, ale ich zbieranie i udostępnianie powinno uwzględniać własność, wrażliwość i umocowanie prawne. Usuwanie, przebudowywanie, resetowanie lub zmienianie systemów bez koordynacji może wpłynąć na późniejszy przegląd. Jest to ogólne przygotowanie do spokojnej, dobrze udokumentowanej reakcji.

Dla kogo

Ten przewodnik jest przeznaczony dla zespołów, które:

• Muszą uporządkować wewnętrzny pierwszy obraz po zgłoszeniu problemu, nie traktując ograniczonych informacji jako dowodu
• Mogą wyznaczyć właściciela incydentu i osobę decyzyjną w sprawie dowodów, wpływu na biznes i koordynacji kolejnych kroków
• Muszą odróżnić zwykły przegląd w określonym zakresie od ciągłego monitoringu, analizy powłamaniowej, porady prawnej, zgłoszenia do ubezpieczyciela lub regulatora, kontaktu z organami ścigania czy służb ratunkowych
• Chcą przygotować autoryzowane podsumowanie bez danych wrażliwych, zanim poszukają wsparcia specjalistów

Co pomaga wyjaśnić

Spokojnie przygotowany zapis może wyjaśnić:

• Co zaobserwowano, kiedy to zauważono, kto to zgłosił, których systemów może to dotyczyć i co jest wciąż tylko założeniem
• Które autoryzowane logi, alerty, wiadomości, znaczniki czasu, zrzuty ekranu, zdarzenia na kontach i zapisy mogą być istotne
• Jaki jest wpływ operacyjny i jakie pilne pytania decyzyjne istnieją oraz jakie działania już podjęto
• Czy kolejna potrzeba przypomina Incident Recovery Sprint, Threat Hunting, sprawdzony proces awaryjny, analizę powłamaniową, poradę prawną, zgłoszenie czy inną ścieżkę specjalistyczną

Co jest zawarte

• Ogólne ramy przygotowania dotyczące wewnętrznej odpowiedzialności, zaobserwowanych faktów, autoryzowanych dowodów, pytań o wpływ, podjętych już działań i uprawnień do udostępniania
• Proste rozróżnienie między przeglądem odzyskiwania w określonym zakresie, threat huntingiem, monitoringiem/MDR, analizą powłamaniową, poradą prawną, zgłoszeniem do ubezpieczyciela/regulatora, organami ścigania i reagowaniem awaryjnym
• Wskazówki dotyczące zachowania kontekstu i unikania zbędnych zmian, które mogłyby wpłynąć na późniejszy przegląd
• Format zapytania bez danych wrażliwych do opisania problemu i dostępnych autoryzowanych dowodów

Co nie jest uwzględnione

• Diagnoza naruszenia na podstawie ograniczonych informacji, reagowanie na żywo, powstrzymanie, przywrócenie działania, atrybucja, dopuszczalność dowodów ani SLA
• Kroki usuwania złośliwego oprogramowania, porady dotyczące unikania wykrycia, działania odwetowe ani wskazówki dotyczące nieautoryzowanego dostępu
• Porady prawne, regulacyjne, dotyczące ubezpieczeń, organów ścigania lub reagowania awaryjnego
• Twierdzenie, że każdy problem wymaga tej samej usługi lub że zwykłe prace w określonym zakresie zastępują pilne wsparcie w zakresie bezpieczeństwa ludzi lub pomocy awaryjnej

Kiedy to wybrać

Ten przewodnik warto przeczytać, gdy organizacja musi uporządkować własne pytania, zanim wybierze pomoc zewnętrzną. Jest przydatny po nietypowym dostępie, podejrzeniu problemu ze stroną, nieoczekiwanym zdarzeniu na koncie, niepokojącym alercie lub zgłoszeniu od klienta czy dostawcy. To przewodnik przygotowawczy, który funkcjonuje obok Państwa procedur awaryjnych. Jeśli ludzie są zagrożeni, krytyczna usługa nie jest bezpieczna lub organizacja potrzebuje natychmiastowej reakcji na żywo, należy skorzystać ze sprawdzonego kanału awaryjnego lub wykwalifikowanego dostawcy. W mniej pilnych sprawach staranne podsumowanie może zwiększyć skuteczność rozmowy o zakresie.

Nasze podejście

Należy zacząć od zdyscyplinowanego prowadzenia notatek. Warto wyznaczyć wewnętrznego właściciela, zapisać czas i źródło obserwacji, wskazać systemy i skutki biznesowe oraz wymienić już podjęte działania. Trzeba potwierdzić, kto może zgodnie z prawem udostępnić jakie dowody. Fakty i niepewność należy trzymać osobno i unikać destrukcyjnych lub szerokich zmian wprowadzanych tylko po to, by „posprzątać”, bez koordynacji. Późniejszy przegląd może wtedy ocenić autoryzowany materiał w kontekście. Celem jest danie właściwym osobom stabilnego punktu wyjścia do decyzji po stronie klienta, przeglądu technicznego lub eskalacji do specjalistów. Wstępne podsumowanie powinno w miarę możliwości nie zawierać danych wrażliwych, a uzgodnionego bezpiecznego kanału należy używać dopiero wtedy, gdy późniejszy przegląd wymaga więcej szczegółów. Dobre podsumowanie wskazuje zablokowaną decyzję biznesową i oczekiwany termin, unikając spekulacji o przyczynie lub winie. Daje to potencjalnemu recenzentowi wystarczający kontekst do wyjaśnienia granic, bez zachęcania do szerokiego dostępu lub niepotrzebnego przekazywania materiałów wrażliwych. Zapis przygotowawczy powinien też oddzielać pilne pytanie operacyjne od długoterminowych prac usprawniających. Zespół może musieć zdecydować, kto komunikuje się z klientami, czy krytyczną usługę należy wstrzymać lub czy trzeba skontaktować się z dostawcą; są to decyzje biznesowe, a nie wnioski z tego przewodnika. Zapisanie ich obok niepewności technicznej pomaga uniknąć sytuacji, w której zewnętrzny przegląd ma rozstrzygać kwestie, za które nie może bezpiecznie odpowiadać. W razie potrzeby warto zapisać kontakty do ubezpieczyciela, doradcy prawnego, regulatora, dostawcy lub usługodawcy awaryjnego organizacji, bez zakładania, że zgłoszenie lub eskalacja są wymagane. Takie decyzje zależą od faktów i obowiązków wykraczających poza ogólny przewodnik. Jeśli problem dotyczy informacji o klientach, współdzielonej infrastruktury, działalności regulowanej lub relacji z dostawcą, granicę należy wyraźnie określić przed udostępnieniem jakichkolwiek materiałów. Celem jest to, aby właściciel mógł opisać, co można zbadać, a co musi zostać obsłużone przez inny wykwalifikowany podmiot. Dzięki temu zapytanie pozostaje proporcjonalne do dowodów i bieżącej decyzji. Daje to też zespołowi przeglądającemu jaśniejszą podstawę do wyjaśnienia, czy właściwe jest zwykłe określenie zakresu, zgoda specjalisty, czy inny dostawca.

Często zadawane pytania

Artykuły pokrewne