Erkennung und Reaktion ist der Ablauf, verdächtige Aktivität zu bemerken und den möglichen Schaden im Betrieb einzudämmen.
Es ist eine organisatorische Schleife, weiter als ein einzelnes Produkt für Endgeräte, und sie umfasst Sichtung, Eindämmung, Verständigung und Wiederherstellung.
So funktioniert es
Erkennung nützt nur, wenn jemand verpflichtet ist hinzusehen, wenn Alarme wenige genug zum Beurteilen sind und wenn die nächste Handlung schon verabredet ist.
Reaktion kann eine Sitzung trennen, einen Zugang zurücksetzen, einen Lieferanten rufen oder betroffenen Menschen sagen, was sie tun sollen.
Die Schleife wird besser, wenn jeder Fall festhält, was gesehen wurde, was getan wurde und was unsicher bleibt.
Ein Werkzeug, das Daten sammelt, ohne dass jemand handelt, ist Beobachtung und nicht Reaktion.
Konkrete Beispiele
- Eine diensthabende Person bestätigt einen ungewöhnlichen Export, sperrt das Konto und ruft innerhalb derselben Stunde die datenverantwortliche Person an.
- Ein Team unterscheidet einen Schub fehlgeschlagener Anmeldungen von einer harmlos falsch eingestellten Anwendung, bevor es die ganze Firma weckt.
- Nach der Eindämmung schreibt die Gruppe auf, was der Alarm verpasst hat, damit der nächste ähnliche Fall früher erkannt wird.
Schutzmaßnahmen
- Benennen Sie, wer einen Vorfall zu jeder Stunde der Woche eindämmen darf, einschließlich der Feiertage.
- Verringern Sie Alarmlärm, bis die übrigen Zeichen solche sind, die eine Person in einer Schicht beurteilen kann.
- Verabreden Sie die ersten drei Eindämmungshandlungen im Voraus, damit die erste Stunde nicht mit dem Erfinden von Befugnis verbracht wird.
- Schreiben Sie zu jeder Reaktion eine kurze Notiz, einschließlich dessen, was Sie noch nicht wissen.