Incidentu pārvaldības process

NIST SP 800-61 Rev. 2 incidentu reaģēšanu iedala četrās fāzēs:

1. Sagatavošana
   Incidentu reaģēšanas plāna izstrāde, atbildību noteikšana, rīku sagatavošana, kontaktu saraksti, juridiskās prasības un darbinieku apmācības.
2. Atklāšana un analīze
   Incidentu identificēšana ar SIEM, EDR un žurnālfailu analīzi. Tiek veikta incidenta klasifikācija, prioritizācija, ietekmes novērtēšana un dokumentēšana.
3. Ierobežošana, novēršana un atjaunošana
   Incidenta izplatības ierobežošana, ļaunatūras novēršana, ievainojamību labošana, sistēmu atjaunošana un pastiprināts monitorings.
4. Pēcincidenta izvērtēšana
   Lessons learned analīze, cēloņu noteikšana, reaģēšanas procesa uzlabošana un dokumentācijas aktualizēšana.

Būtiski: incidents nav tikai problēma — tas ir arī pamats drošības procesu un kontroļu uzlabošanai.