Efter et mistænkt sikkerhedsproblem: forbered en gennemgang

Hvad det er

Et nyttigt første overblik adskiller observerede fakta, rapporterede bekymringer, antagelser og ubesvarede spørgsmål. Det kan notere, hvornår bekymringen begyndte, hvem der rapporterede den, hvilke systemer der kan være berørt, den aktuelle forretningsmæssige påvirkning, handlinger, der allerede er foretaget, og hvem der ejer den relevante dokumentation. Autoriserede logs, alarmer, beskeder, tidsstempler, skærmbilleder, kontohændelser og systemregistreringer kan være relevante, men indsamling og deling bør respektere ejerskab, følsomhed og lovlig bemyndigelse. Sletning, genopbygning, nulstilling eller ændring af systemer uden koordinering kan påvirke en senere gennemgang. Dette er generel forberedelse til en rolig og veldokumenteret respons.

Hvem er det for?

Denne guide er beregnet til teams, der:

• Skal organisere et første internt overblik, efter at en bekymring er rapporteret, uden at behandle begrænsede oplysninger som bevis
• Kan udpege en hændelsesejer og en beslutningstager for dokumentation, forretningsmæssig påvirkning og koordinering af næste skridt
• Skal skelne en almindelig afgrænset gennemgang fra løbende overvågning, forensik, juridisk rådgivning, underretning af forsikringsselskab eller tilsynsmyndighed, kontakt til politiet eller akut beredskab
• Vil forberede et autoriseret, ikke-følsomt resumé, før de søger specialiseret støtte

Hvad det hjælper med at afklare

Et roligt forberedelsesoverblik kan afklare:

• Hvad der blev observeret, hvornår det blev bemærket, hvem der rapporterede det, hvilke systemer der kan være involveret, og hvad der stadig kun er en antagelse
• Hvilke autoriserede logs, alarmer, beskeder, tidsstempler, skærmbilleder, kontohændelser og registreringer der kan være relevante
• Hvilken driftsmæssig påvirkning og hvilke presserende beslutningsspørgsmål der findes, og hvilke handlinger der allerede er foretaget
• Om det næste behov ligner Incident Recovery Sprint, Threat Hunting, en etableret beredskabsproces, forensisk arbejde, juridisk rådgivning, underretning eller en anden specialiseret vej

Hvad er inkluderet

• En generel forberedelsesramme for internt ejerskab, observerede fakta, autoriseret dokumentation, spørgsmål om påvirkning, allerede foretagne handlinger og bemyndigelse til deling
• Letforståelige skel mellem afgrænset gennemgang af genopretning, threat hunting, overvågning/MDR, forensik, juridisk rådgivning, underretning af forsikringsselskab/tilsyn, politi og akut beredskab
• Vejledning i at bevare kontekst og undgå unødvendige ændringer, der kan påvirke en senere gennemgang
• Et ikke-følsomt format til en henvendelse, der beskriver bekymringen og den tilgængelige autoriserede dokumentation

Hvad er ikke inkluderet?

• Diagnose af et brud ud fra begrænsede oplysninger, live respons, inddæmning, genopretning, attribution, bevisers anvendelighed i retten eller en SLA
• Trin til fjernelse af malware, råd om undvigelse, gengældelse eller vejledning i uautoriseret adgang
• Juridisk, regulatorisk, forsikringsmæssig, politimæssig eller beredskabsmæssig rådgivning
• En påstand om, at enhver bekymring kræver den samme tjeneste, eller at almindeligt afgrænset arbejde erstatter akut sikkerheds- eller beredskabsstøtte

Hvornår du skal vælge det

Læs denne guide, når organisationen skal organisere sine egne spørgsmål, før den vælger ekstern hjælp. Den er nyttig efter usædvanlig adgang, et mistænkt problem med et website, en uventet kontohændelse, en bekymrende alarm eller en henvendelse fra en kunde eller leverandør. Den er en forberedelsesguide, der fungerer sammen med jeres beredskabsprocedurer. Hvis mennesker er i fare, en kritisk tjeneste er usikker, eller organisationen har brug for øjeblikkelig live respons, så brug den etablerede beredskabskanal eller en kvalificeret leverandør. Ved mindre presserende bekymringer kan et omhyggeligt resumé gøre en afgrænset samtale mere effektiv.

Vores tilgang

Begynd med disciplinerede notater. Udpeg en intern ejer, registrer tidspunkt og kilde for observationer, identificer systemer og forretningsmæssige konsekvenser, og opstil de handlinger, der allerede er foretaget. Bekræft, hvem der lovligt kan dele hvilken dokumentation. Hold fakta og usikkerhed adskilt, og undgå destruktive eller brede ændringer blot for at „rydde op“ uden koordinering. En senere gennemgang kan så vurdere det autoriserede materiale i sammenhæng. Målet er at give de rette personer et stabilt udgangspunkt for kundens egne beslutninger, teknisk gennemgang eller specialiseret eskalering. Hold det første resumé ikke-følsomt, hvor det er muligt, og brug kun en aftalt sikker kanal, når en senere gennemgang kræver flere detaljer. Et godt resumé navngiver den forretningsbeslutning, der er blokeret, og den forventede tidshorisont og undgår spekulation om årsag eller skyld. Det giver en kommende gennemgangsansvarlig tilstrækkelig kontekst til at forklare grænser uden at tilskynde til bred adgang eller unødvendig overførsel af følsomt materiale. Forberedelsesoverblikket bør også adskille det umiddelbare driftsmæssige spørgsmål fra længerevarende forbedringsarbejde. Et team kan have brug for at beslutte, hvem der kommunikerer med kunderne, om en kritisk tjeneste skal sættes på pause, eller om en leverandør skal kontaktes; det er forretningsbeslutninger, ikke konklusioner fra denne guide. At registrere dem sammen med den tekniske usikkerhed hjælper med at undgå, at en ekstern gennemgang bliver bedt om at afgøre forhold, den ikke sikkert kan eje. Hvor det er relevant, så noter kontakterne hos organisationens forsikringsselskab, juridiske rådgiver, tilsynsmyndighed, leverandør eller beredskabsleverandør uden at antage, at en underretning eller eskalering er påkrævet. Disse beslutninger afhænger af fakta og forpligtelser uden for en generel guide. Hvis bekymringen involverer kundeoplysninger, delt infrastruktur, en reguleret aktivitet eller et leverandørforhold, så gør grænsen eksplicit, før noget materiale deles. Formålet er at sikre, at en ejer kan beskrive, hvad der kan undersøges, og hvad der skal håndteres af en anden kvalificeret part. Det holder henvendelsen i forhold til dokumentationen og den aktuelle beslutning. Det giver også et gennemgangsteam et klarere grundlag for at forklare, om almindelig afgrænsning, specialiseret godkendelse eller en anden leverandør er passende.

Ofte stillede spørgsmål

Relaterede artikler