Die Reaktion auf Sicherheitsvorfälle ist die geordnete Behandlung eines vermuteten Bruchs vom ersten Bericht über Eindämmung und Erholung bis zum Lernen.
Sie ist ein Ablauf mit Zuständigen und Schritten, nicht der Raum, in dem Analytiker sitzen, und nicht das Werkzeug, das Protokolle speichert.
So funktioniert es
Ein brauchbarer Plan nennt, wer einen Vorfall ausruft, wie betroffene Systeme getrennt werden, wie Belege bleiben und wer mit Kunden oder Aufsicht spricht.
Übung zählt, weil die erste Stunde eine schlechte Zeit ist, um Rollen zu erfinden.
Die Reaktion umfasst Erholungswahlen wie das Zurückspielen sauberer Sicherungen und den Neuaufbau von Systemen, denen man nicht trauen kann.
Sie enthält keine Zahlungsanweisungen für Kriminelle und veröffentlicht keine Angriffsverfahren.
Konkrete Beispiele
- Ein nächtlicher Alarm wird zum Vorfall, wenn eine Bereitschaft bestätigt, dass Kundendaten sich bewegt haben könnten.
- Der Plan sagt dem Personal, einen Rechner von Freigaben zu trennen, bevor eine lange Debatte beginnt.
- Nach der Wiederherstellung schreibt das Team, was zu spät kam, welche Belege fehlten und welche Kontrolle ergänzt wird.
Schutzmaßnahmen
- Bestimmen Sie eine Bereitschaft und eine Vertretung und veröffentlichen Sie, wie jede beschäftigte Person sie zu jeder Stunde erreicht.
- Trennen Sie betroffene Systeme, bewahren Sie Protokolle in einem getrennten Speicher und stellen Sie nur aus Sicherungen wieder her, denen Sie vertrauen.
- Bereiten Sie Wege für Kunden und Aufsicht vor, damit die rechtliche Prüfung nicht bei einer leeren Seite beginnt.
- Halten Sie nach jedem Vorfall eine kurze Nachschau und ändern Sie den Plan dort, wo Menschen improvisieren mussten.