Efter ett misstänkt säkerhetsproblem: förbered en granskning

Vad det är

Ett användbart första underlag skiljer observerade fakta, rapporterade farhågor, antaganden och obesvarade frågor åt. Det kan notera när farhågan uppstod, vem som rapporterade den, vilka system som kan vara påverkade, aktuell påverkan på verksamheten, åtgärder som redan har vidtagits och vem som äger den relevanta evidensen. Godkända loggar, larm, meddelanden, tidsstämplar, skärmbilder, kontohändelser och systemposter kan vara relevanta, men insamling och delning bör respektera ägarskap, känslighet och lagligt mandat. Att radera, bygga om, återställa eller ändra system utan samordning kan påverka en senare granskning. Detta är allmän förberedelse för en lugn och väldokumenterad hantering.

Vem det är för

Guiden är avsedd för team som:

• Behöver ordna en första intern bild efter att en farhåga har rapporterats, utan att behandla begränsad information som bevis
• Kan utse en incidentägare och en beslutsfattare för evidens, påverkan på verksamheten och samordning av nästa steg
• Behöver skilja en vanlig avgränsad granskning från kontinuerlig övervakning, teknisk utredning för rättsligt bruk, juridisk rådgivning, anmälan till försäkringsbolag eller tillsynsmyndighet, kontakt med polis eller akuta tjänster
• Vill förbereda en godkänd, icke-känslig sammanfattning innan de söker specialiststöd

Vad det hjälper till att klargöra

Ett lugnt förberedelseunderlag kan klargöra:

• Vad som observerades, när det upptäcktes, vem som rapporterade det, vilka system som kan vara inblandade och vad som fortfarande bara är ett antagande
• Vilka godkända loggar, larm, meddelanden, tidsstämplar, skärmbilder, kontohändelser och poster som kan vara relevanta
• Vilken operativ påverkan och vilka brådskande beslutsfrågor som finns, och vilka åtgärder som redan har vidtagits
• Om nästa behov liknar Incident Recovery Sprint, Threat Hunting, en etablerad akut process, teknisk utredning, juridisk rådgivning, anmälan eller en annan specialistväg

Vad ingår

• En allmän ram för förberedelse av internt ägarskap, observerade fakta, godkänd evidens, frågor om påverkan, redan vidtagna åtgärder och behörighet att dela
• Tydliga skillnader i klarspråk mellan avgränsad granskning för återställning, threat hunting, övervakning/MDR, teknisk utredning, juridisk rådgivning, anmälan till försäkringsbolag/tillsynsmyndighet, polis och akut incidenthantering
• Vägledning om att bevara sammanhang och undvika onödiga ändringar som kan påverka en senare granskning
• Ett format för en icke-känslig förfrågan som beskriver farhågan och den godkända evidens som finns

Vad som inte ingår

• Diagnos av ett dataintrång utifrån begränsad information, incidenthantering i realtid, inneslutning, återställning, attribuering, att evidens godtas eller en SLA
• Steg för borttagning av skadlig kod, råd om undanmanöver, vedergällningsåtgärder eller vägledning för obehörig åtkomst
• Rådgivning i juridiska eller regulatoriska frågor, frågor om försäkringsbolag, polis eller akut incidenthantering
• Ett påstående om att varje farhåga kräver samma tjänst eller att vanligt avgränsat arbete ersätter brådskande säkerhetsstöd eller akut stöd

När det passar att välja den

Läs den här guiden när organisationen behöver ordna sina egna frågor innan den väljer extern hjälp. Den är användbar efter ovanlig åtkomst, ett misstänkt problem med webbplatsen, en oväntad kontohändelse, ett oroande larm eller en rapport från en kund eller leverantör. Den är en förberedelseguide som fungerar vid sidan av era rutiner för akuta lägen. Om människor är i fara, en kritisk tjänst är osäker eller organisationen behöver omedelbar incidenthantering i realtid, använd den etablerade akuta kanalen eller en kvalificerad leverantör. För mindre brådskande farhågor kan en noggrann sammanfattning göra ett avgränsat samtal mer effektivt.

Vår strategi

Börja med disciplinerade anteckningar. Utse en intern ägare, notera tidpunkt och källa för observationerna, identifiera system och effekter på verksamheten och lista redan vidtagna åtgärder. Bekräfta vem som lagligen får dela vilken evidens. Håll fakta och osäkerhet åtskilda och undvik destruktiva eller breda ändringar bara för att ”städa upp” utan samordning. En senare granskning kan då bedöma det godkända materialet i sitt sammanhang. Målet är att ge rätt personer en stabil utgångspunkt för beslut som kunden äger, teknisk granskning eller eskalering till specialister. Håll den första sammanfattningen icke-känslig där det är möjligt och använd en överenskommen säker kanal först när en senare granskning kräver mer detaljer. En bra sammanfattning anger vilket affärsbeslut som är blockerat och den förväntade tidpunkten, men undviker spekulationer om orsak eller skuld. Det ger en blivande granskare tillräcklig kontext för att förklara gränserna utan att uppmuntra till bred åtkomst eller onödig överföring av känsligt material. Förberedelseunderlaget bör också skilja den omedelbara operativa frågan från långsiktigt förbättringsarbete. Ett team kan behöva avgöra vem som kommunicerar med kunderna, om en kritisk tjänst ska pausas eller om en leverantör behöver kontaktas; det är affärsbeslut, inte slutsatser från den här guiden. Att dokumentera dem tillsammans med den tekniska osäkerheten hjälper till att förhindra att en extern granskning ombeds avgöra frågor som den inte säkert kan äga. Där det är lämpligt, notera kontaktuppgifter till organisationens försäkringsbolag, juridiska rådgivare, tillsynsmyndighet, leverantör eller leverantör av akuta insatser, utan att anta att en anmälan eller eskalering krävs. Sådana beslut beror på fakta och skyldigheter utanför en allmän guide. Om farhågan rör kundinformation, delad infrastruktur, en reglerad verksamhet eller en leverantörsrelation, gör gränsen uttrycklig innan något material delas. Syftet är att säkerställa att en ägare kan beskriva vad som kan undersökas och vad som måste hanteras av en annan kvalificerad part. Det håller förfrågan proportionerlig i förhållande till evidensen och det aktuella beslutet. Det ger också ett granskande team ett tydligare underlag för att förklara om vanlig avgränsning, specialistgodkännande eller en annan leverantör är lämpligt.

Vanliga frågor

Relaterade artiklar