Po podezření na bezpečnostní problém: příprava na přezkum

Co to je?

Užitečný první záznam odděluje pozorovaná fakta, nahlášené obavy, předpoklady a nezodpovězené otázky. Může zaznamenat, kdy obava vznikla, kdo ji nahlásil, které systémy mohou být dotčeny, aktuální dopad na podnikání, již podniknuté kroky a kdo vlastní relevantní důkazy. Relevantní mohou být autorizované logy, alerty, zprávy, časová razítka, snímky obrazovky, události účtů a systémové záznamy, ale jejich shromažďování a sdílení by mělo respektovat vlastnictví, citlivost a zákonné oprávnění. Mazání, přestavba, resetování nebo změny systémů bez koordinace mohou ovlivnit pozdější přezkum. Jde o obecnou přípravu na klidnou a dobře zdokumentovanou reakci.

Pro koho to je?

Tento průvodce je určen týmům, které:

• Potřebují po nahlášení obavy uspořádat první interní přehled, aniž by omezené informace považovaly za důkaz
• Mohou určit vlastníka incidentu a osobu s rozhodovací pravomocí pro koordinaci důkazů, dopadu na podnikání a dalších kroků
• Potřebují odlišit běžný vymezený přezkum od průběžného monitoringu, forenzní analýzy, právního poradenství, oznámení pojistiteli nebo regulátorovi, kontaktu s orgány činnými v trestním řízení nebo služeb pro mimořádné události
• Chtějí připravit autorizované shrnutí bez citlivých údajů dříve, než vyhledají specializovanou podporu

Co to pomůže objasnit

Klidně připravený záznam může ujasnit:

• Co bylo pozorováno, kdy si toho někdo všiml, kdo to nahlásil, které systémy mohou být zapojeny a co je stále jen předpokladem
• Které autorizované logy, alerty, zprávy, časová razítka, snímky obrazovky, události účtů a záznamy mohou být relevantní
• Jaký provozní dopad a jaké naléhavé rozhodovací otázky existují a jaké kroky již byly podniknuty
• Zda další potřeba odpovídá službě Incident Recovery Sprint, Threat Hunting, zavedenému procesu pro mimořádné události, forenzní práci, právnímu poradenství, oznámení nebo jiné specializované cestě

Co je zahrnuto

• Obecný rámec přípravy pro interní vlastnictví, pozorovaná fakta, autorizované důkazy, otázky dopadu, již podniknuté kroky a oprávnění ke sdílení
• Srozumitelné rozlišení mezi vymezeným přezkumem obnovy, threat huntingem, monitoringem/MDR, forenzní analýzou, právním poradenstvím, oznámením pojistiteli/regulátorovi, orgány činnými v trestním řízení a reakcí na mimořádné události
• Doporučení k zachování kontextu a vyhnutí se zbytečným změnám, které by mohly ovlivnit pozdější přezkum
• Formát žádosti bez citlivých údajů pro popis obavy a dostupných autorizovaných důkazů

Co není součástí

• Diagnóza narušení z omezených informací, živá reakce, omezení šíření, obnova, atribuce, přípustnost důkazů ani SLA
• Kroky k odstranění malwaru, rady k vyhýbání se odhalení, odvetné kroky ani návody k neoprávněnému přístupu
• Právní, regulatorní, pojistné poradenství, poradenství ohledně orgánů činných v trestním řízení ani poradenství k reakci na mimořádné události
• Tvrzení, že každá obava potřebuje stejnou službu nebo že běžná vymezená práce nahrazuje naléhavou bezpečnostní či mimořádnou podporu

Kdy si ji vybrat

Tohoto průvodce si přečtěte, když organizace potřebuje uspořádat vlastní otázky dříve, než zvolí externí pomoc. Je užitečný po neobvyklém přístupu, podezření na problém s webem, neočekávané události účtu, znepokojivém alertu nebo hlášení od zákazníka či dodavatele. Jde o přípravnou příručku, která doplňuje vaše postupy pro mimořádné události. Pokud jsou ohroženi lidé, kritická služba není bezpečná nebo organizace potřebuje okamžitou živou reakci, použijte zavedený kanál pro mimořádné události nebo kvalifikovaného poskytovatele. U méně naléhavých obav může pečlivé shrnutí učinit diskusi o vymezeném rozsahu efektivnější.

Náš přístup

Začněte disciplinovaným zapisováním poznámek. Určete interního vlastníka, zaznamenejte čas a zdroj pozorování, identifikujte systémy a dopady na podnikání a sepište již podniknuté kroky. Potvrďte, kdo smí zákonně sdílet jaké důkazy. Fakta a nejistotu udržujte oddělené a vyhněte se destruktivním nebo rozsáhlým změnám jen kvůli „úklidu“ bez koordinace. Pozdější přezkum pak může autorizovaný materiál posoudit v kontextu. Cílem je dát správným lidem stabilní výchozí bod pro rozhodnutí, která náleží zákazníkovi, technický přezkum nebo specializovanou eskalaci. Úvodní shrnutí podle možností udržujte bez citlivých údajů a dohodnutý zabezpečený kanál použijte, až když pozdější přezkum bude vyžadovat více podrobností. Dobré shrnutí pojmenuje obchodní rozhodnutí, které je zablokované, a očekávané načasování, a přitom se vyhne spekulacím o příčině nebo vině. Potenciální posuzovatel tak získá dostatek kontextu k vysvětlení hranic, aniž by to podněcovalo k širokému přístupu nebo zbytečnému předávání citlivého materiálu. Záznam z přípravy by měl také oddělit okamžitou provozní otázku od dlouhodobější práce na zlepšení. Tým může potřebovat rozhodnout, kdo bude komunikovat se zákazníky, zda by se měla kritická služba pozastavit nebo zda je třeba kontaktovat dodavatele; to jsou obchodní rozhodnutí, nikoli závěry tohoto průvodce. Jejich zaznamenání vedle technické nejistoty pomáhá zabránit tomu, aby byl externí přezkum žádán o rozhodnutí ve věcech, za které nemůže bezpečně odpovídat. Kde je to vhodné, poznamenejte si kontakty na pojistitele organizace, právního poradce, regulátora, dodavatele nebo poskytovatele pro mimořádné události, aniž byste předpokládali, že je oznámení nebo eskalace nutná. Tato rozhodnutí závisejí na faktech a povinnostech mimo obecného průvodce. Pokud se obava týká informací o zákaznících, sdílené infrastruktury, regulované činnosti nebo vztahu s dodavatelem, stanovte hranici výslovně dříve, než bude jakýkoli materiál sdílen. Účelem je zajistit, aby vlastník dokázal popsat, co lze prověřit a co musí řešit jiná kvalifikovaná strana. Žádost tak zůstává přiměřená důkazům a aktuálnímu rozhodnutí. Posuzujícímu týmu to také dává jasnější základ pro vysvětlení, zda je vhodné běžné vymezení rozsahu, specializované schválení, nebo jiný poskytovatel.

Často kladené otázky

Související články