Mistenkt sikkerhetshendelse: Forbered en avgrenset gjennomgang

Hva det er

En nyttig første oversikt skiller observerte fakta, rapporterte bekymringer, antakelser og ubesvarte spørsmål. Den kan notere når bekymringen oppsto, hvem som rapporterte den, hvilke systemer som kan være berørt, nåværende konsekvenser for virksomheten, tiltak som allerede er gjort, og hvem som eier den relevante dokumentasjonen. Autoriserte logger, varsler, meldinger, tidsstempler, skjermbilder, kontohendelser og systemposter kan være relevante, men innsamling og deling bør respektere eierskap, sensitivitet og lovlig fullmakt. Å slette, bygge om, tilbakestille eller endre systemer uten koordinering kan påvirke en senere gjennomgang. Dette er generell forberedelse til en rolig og godt dokumentert respons.

Hvem det er for

Denne veiledningen er ment for team som:

• Må organisere et første internt bilde etter at en bekymring er rapportert, uten å behandle begrenset informasjon som bevis
• Kan utpeke en hendelseseier og en beslutningstaker for dokumentasjon, konsekvenser for virksomheten og koordinering av neste steg
• Må skille en vanlig avgrenset gjennomgang fra kontinuerlig overvåking, digital etterforskning, juridisk rådgivning, varsling til forsikringsselskap eller tilsyn, kontakt med politiet eller nødetater
• Vil forberede et autorisert, ikke-sensitivt sammendrag før de søker spesialiststøtte

Hva det hjelper med å klarlegge

En rolig forberedelsesoversikt kan avklare:

• Hva som ble observert, når det ble oppdaget, hvem som rapporterte det, hvilke systemer som kan være involvert, og hva som fortsatt bare er en antakelse
• Hvilke autoriserte logger, varsler, meldinger, tidsstempler, skjermbilder, kontohendelser og poster som kan være relevante
• Hvilke driftskonsekvenser og hastende beslutningsspørsmål som finnes, og hvilke tiltak som allerede er gjort
• Om neste behov ligner Incident Recovery Sprint, Threat Hunting, en etablert beredskapsprosess, digital etterforskning, juridisk rådgivning, varsling eller en annen spesialistvei

Hva er inkludert

• Et generelt forberedelsesrammeverk for internt eierskap, observerte fakta, autorisert dokumentasjon, spørsmål om konsekvenser, tiltak som allerede er gjort, og fullmakt til deling
• Skiller i klarspråk mellom avgrenset gjennomgang for gjenoppretting, trusseljakt, overvåking/MDR, digital etterforskning, juridisk rådgivning, varsling til forsikringsselskap/tilsyn, politi og nødberedskap
• Veiledning i å bevare kontekst og unngå unødvendige endringer som kan påvirke en senere gjennomgang
• Et ikke-sensitivt forespørselsformat for å beskrive bekymringen og tilgjengelig autorisert dokumentasjon

Hva er ikke inkludert

• Diagnose av et brudd ut fra begrenset informasjon, respons i sanntid, inndemming, gjenoppretting, attribusjon, at dokumentasjon kan brukes som bevis, eller en SLA
• Trinn for fjerning av skadevare, råd om unnvikelse, gjengjeldelse eller veiledning i uautorisert tilgang
• Råd om juss, tilsyn, forsikring, politi eller nødberedskap
• En påstand om at alle bekymringer trenger samme tjeneste, eller at vanlig avgrenset arbeid erstatter hastende sikkerhets- eller nødstøtte

Når skal den velges

Les denne veiledningen når organisasjonen må ordne sine egne spørsmål før den velger ekstern hjelp. Den er nyttig etter uvanlig tilgang, et mistenkt problem med nettstedet, en uventet kontohendelse, et bekymringsfullt varsel eller en rapport fra en kunde eller leverandør. Den er en forberedelsesveiledning som fungerer sammen med deres nødprosedyrer. Hvis mennesker er i fare, en kritisk tjeneste ikke er trygg, eller organisasjonen trenger umiddelbar respons i sanntid, bruk den etablerte nødkanalen eller en kvalifisert leverandør. For mindre hastende bekymringer kan et nøye sammendrag gjøre en avgrenset samtale mer effektiv.

Vår tilnærming

Begynn med disiplinert notatføring. Utpek en intern eier, registrer tidspunkt og kilde for observasjonene, identifiser systemer og konsekvenser for virksomheten, og list opp tiltak som allerede er gjort. Bekreft hvem som lovlig kan dele hvilken dokumentasjon. Hold fakta og usikkerhet atskilt, og unngå destruktive eller brede endringer bare for å «rydde opp» uten koordinering. En senere gjennomgang kan da vurdere det autoriserte materialet i kontekst. Målet er å gi de riktige personene et stabilt utgangspunkt for kundens egne beslutninger, teknisk gjennomgang eller eskalering til spesialister. Hold det første sammendraget ikke-sensitivt der det er mulig, og bruk en avtalt sikker kanal bare når en senere gjennomgang krever flere detaljer. Et godt sammendrag navngir forretningsbeslutningen som er blokkert, og forventet tidspunkt, og unngår spekulasjoner om årsak eller skyld. Det gir en mulig gjennomgår nok kontekst til å forklare grenser uten å oppmuntre til bred tilgang eller unødvendig overføring av sensitivt materiale. Forberedelsesoversikten bør også skille det umiddelbare driftsspørsmålet fra langsiktig forbedringsarbeid. Et team kan måtte avgjøre hvem som kommuniserer med kunder, om en kritisk tjeneste bør settes på pause, eller om en leverandør må kontaktes; dette er forretningsbeslutninger, ikke konklusjoner fra denne veiledningen. Å registrere dem sammen med den tekniske usikkerheten bidrar til at en ekstern gjennomgang ikke blir bedt om å avgjøre forhold den ikke trygt kan eie. Der det er passende, noter kontaktpersonene hos organisasjonens forsikringsselskap, juridiske rådgiver, tilsynsmyndighet, leverandør eller beredskapsleverandør uten å anta at varsling eller eskalering er påkrevd. Slike beslutninger avhenger av fakta og forpliktelser utenfor en generell veiledning. Hvis bekymringen gjelder kundeinformasjon, delt infrastruktur, regulert virksomhet eller et leverandørforhold, gjør grensen eksplisitt før noe materiale deles. Formålet er å sikre at en eier kan beskrive hva som kan undersøkes, og hva som må håndteres av en annen kvalifisert part. Slik holdes forespørselen forholdsmessig i forhold til dokumentasjonen og beslutningen som skal tas. Det gir også et gjennomgangsteam et klarere grunnlag for å forklare om vanlig avgrensning, spesialistgodkjenning eller en annen leverandør er passende.

Ofte stilte spørsmål

Beslektede artikler