Sau một sự cố bảo mật nghi ngờ: Chuẩn bị đợt rà soát có phạm vi

Đây là gì

Một hồ sơ ban đầu hữu ích tách biệt các dữ kiện quan sát được, các mối lo ngại được báo cáo, các giả định và những câu hỏi chưa được trả lời. Hồ sơ có thể ghi lại thời điểm mối lo ngại bắt đầu, ai đã báo cáo, những hệ thống nào có thể bị ảnh hưởng, tác động hiện tại đến hoạt động kinh doanh, các hành động đã thực hiện và ai sở hữu bằng chứng liên quan. Log, cảnh báo, tin nhắn, dấu thời gian, ảnh chụp màn hình, sự kiện tài khoản và bản ghi hệ thống được ủy quyền có thể có liên quan, nhưng việc thu thập và chia sẻ cần tôn trọng quyền sở hữu, mức độ nhạy cảm và thẩm quyền hợp pháp. Việc xóa, xây dựng lại, đặt lại hoặc thay đổi hệ thống mà không có sự phối hợp có thể ảnh hưởng đến một đợt rà soát sau này. Đây là sự chuẩn bị chung cho một phản ứng bình tĩnh, được ghi nhận đầy đủ.

Dành cho ai

Hướng dẫn này dành cho các đội ngũ:

• Cần sắp xếp một góc nhìn nội bộ ban đầu sau khi một mối lo ngại được báo cáo, mà không coi thông tin hạn chế là bằng chứng
• Có thể chỉ định một người phụ trách sự cố và một người ra quyết định về bằng chứng, tác động kinh doanh và điều phối bước tiếp theo
• Cần phân biệt một đợt rà soát có phạm vi thông thường với giám sát liên tục, điều tra kỹ thuật số, tư vấn pháp lý, thông báo cho công ty bảo hiểm hoặc cơ quan quản lý, liên hệ với cơ quan thực thi pháp luật hoặc dịch vụ khẩn cấp
• Muốn chuẩn bị một bản tóm tắt được ủy quyền, không chứa thông tin nhạy cảm, trước khi tìm kiếm hỗ trợ chuyên môn

Giúp làm rõ điều gì

Một hồ sơ chuẩn bị điềm tĩnh có thể làm rõ:

• Điều gì đã được quan sát, được nhận thấy khi nào, ai đã báo cáo, những hệ thống nào có thể liên quan, và điều gì vẫn chỉ là giả định
• Những log, cảnh báo, tin nhắn, dấu thời gian, ảnh chụp màn hình, sự kiện tài khoản và bản ghi được ủy quyền nào có thể có liên quan
• Những tác động vận hành và câu hỏi cần quyết định gấp nào đang tồn tại, và những hành động nào đã được thực hiện
• Nhu cầu tiếp theo giống với Incident Recovery Sprint, Threat Hunting, một quy trình khẩn cấp đã được thiết lập, công việc điều tra kỹ thuật số, tư vấn pháp lý, thông báo hay một hướng chuyên môn khác

Những gì được bao gồm

• Một khung chuẩn bị chung về quyền sở hữu nội bộ, dữ kiện quan sát được, bằng chứng được ủy quyền, câu hỏi về tác động, hành động đã thực hiện và thẩm quyền chia sẻ
• Phân biệt bằng ngôn ngữ dễ hiểu giữa rà soát phục hồi có phạm vi, săn tìm mối đe dọa, giám sát/MDR, điều tra kỹ thuật số, tư vấn pháp lý, thông báo cho công ty bảo hiểm/cơ quan quản lý, cơ quan thực thi pháp luật và ứng phó khẩn cấp
• Hướng dẫn giữ nguyên bối cảnh và tránh những thay đổi không cần thiết có thể ảnh hưởng đến việc rà soát sau này
• Một định dạng yêu cầu không chứa thông tin nhạy cảm để mô tả mối lo ngại và bằng chứng được ủy quyền sẵn có

Những gì không được bao gồm

• Chẩn đoán vi phạm từ thông tin hạn chế, ứng phó trực tiếp, ngăn chặn, phục hồi, quy kết, khả năng bằng chứng được chấp nhận hoặc SLA
• Các bước gỡ bỏ mã độc, lời khuyên né tránh, hành động trả đũa hoặc hướng dẫn truy cập trái phép
• Tư vấn về pháp lý, quy định, bảo hiểm, thực thi pháp luật hoặc ứng phó khẩn cấp
• Tuyên bố rằng mọi mối lo ngại đều cần cùng một dịch vụ, hoặc rằng công việc có phạm vi thông thường thay thế cho hỗ trợ an toàn hay khẩn cấp cấp bách

Khi nào nên chọn

Hãy đọc hướng dẫn này khi tổ chức cần sắp xếp các câu hỏi của chính mình trước khi chọn hỗ trợ từ bên ngoài. Hướng dẫn hữu ích sau một lượt truy cập bất thường, một vấn đề nghi ngờ trên website, một sự kiện tài khoản không mong đợi, một cảnh báo đáng lo ngại hoặc một báo cáo từ khách hàng hay nhà cung cấp. Đây là hướng dẫn chuẩn bị, được dùng song song với các quy trình khẩn cấp của bạn. Nếu có người gặp nguy hiểm, một dịch vụ quan trọng không an toàn, hoặc tổ chức cần ứng phó trực tiếp ngay lập tức, hãy sử dụng kênh khẩn cấp đã được thiết lập hoặc một nhà cung cấp có chuyên môn. Với những mối lo ngại ít khẩn cấp hơn, một bản tóm tắt cẩn thận có thể giúp buổi trao đổi về phạm vi hiệu quả hơn.

Phương pháp của chúng tôi

Hãy bắt đầu bằng việc ghi chép có kỷ luật. Chỉ định một người phụ trách nội bộ, ghi lại thời điểm và nguồn của các quan sát, xác định các hệ thống và tác động kinh doanh, và liệt kê các hành động đã thực hiện. Xác nhận ai có thể chia sẻ hợp pháp bằng chứng nào. Giữ dữ kiện và sự chưa chắc chắn tách biệt, và tránh những thay đổi mang tính phá hủy hoặc trên diện rộng chỉ để “dọn dẹp” khi chưa có sự phối hợp. Khi đó, một đợt rà soát sau này có thể đánh giá tài liệu được ủy quyền trong đúng bối cảnh. Mục tiêu là cung cấp cho đúng người một điểm khởi đầu ổn định cho các quyết định thuộc về khách hàng, việc rà soát kỹ thuật hoặc chuyển lên chuyên gia. Hãy giữ bản tóm tắt ban đầu không chứa thông tin nhạy cảm khi có thể, và chỉ sử dụng một kênh bảo mật đã thống nhất khi một đợt rà soát sau này cần thêm chi tiết. Một bản tóm tắt tốt nêu rõ quyết định kinh doanh đang bị chặn và thời điểm dự kiến, đồng thời tránh suy đoán về nguyên nhân hay lỗi của ai. Điều đó cung cấp cho người rà soát tiềm năng đủ bối cảnh để giải thích các ranh giới mà không khuyến khích truy cập trên diện rộng hay chuyển giao không cần thiết tài liệu nhạy cảm. Hồ sơ chuẩn bị cũng nên tách câu hỏi vận hành trước mắt khỏi công việc cải thiện dài hạn. Đội ngũ có thể cần quyết định ai liên lạc với khách hàng, có nên tạm dừng một dịch vụ quan trọng hay không, hoặc có cần liên hệ với nhà cung cấp hay không; đó là các quyết định kinh doanh, không phải kết luận từ hướng dẫn này. Ghi lại chúng cùng với những điểm chưa chắc chắn về kỹ thuật giúp tránh việc một đợt rà soát bên ngoài bị yêu cầu quyết định những vấn đề mà nó không thể đảm nhận một cách an toàn. Khi phù hợp, hãy ghi lại đầu mối liên hệ của công ty bảo hiểm, cố vấn pháp lý, cơ quan quản lý, nhà cung cấp hoặc nhà cung cấp ứng phó khẩn cấp của tổ chức, mà không mặc định rằng cần thông báo hoặc chuyển lên cấp trên. Những quyết định đó phụ thuộc vào các dữ kiện và nghĩa vụ nằm ngoài phạm vi một hướng dẫn chung. Nếu mối lo ngại liên quan đến thông tin khách hàng, hạ tầng dùng chung, một hoạt động chịu sự quản lý hoặc một mối quan hệ với nhà cung cấp, hãy làm rõ ranh giới trước khi chia sẻ bất kỳ tài liệu nào. Mục đích là bảo đảm rằng người phụ trách có thể mô tả những gì có thể được xem xét và những gì phải được một bên có chuyên môn khác xử lý. Điều này giữ cho yêu cầu tương xứng với bằng chứng và quyết định trước mắt. Nó cũng cung cấp cho đội ngũ rà soát một cơ sở rõ ràng hơn để giải thích liệu việc xác định phạm vi thông thường, sự phê duyệt chuyên môn hay một nhà cung cấp khác là phù hợp.

Câu hỏi thường gặp

Bài viết liên quan